Citrix ADC

看到PDF

Conformité au protocol d 'intégration du proxy du service Active Directory

2022年6月23日

Contributeur:

Si des代理层doivent être utilisés à la place du proxy d 'application Web, ils doivent prendre en charge le protocol MS-ADFSPIP qui spécifie les règles d 'intégration ADFS et WAP。ADFSPIP intègre les services de fédération Active Directory à un proxy d ' authentication et d 'application pour permettre l 'accès aux services situés à l 'intérieur des limited du réseau d ' enterprise pour les clients situés en dehors de cette limited。

ADFSPIP et Citrix ADC

其实条件

Pour établir la confc entre le server proxy et la batterie de servers ADFS, consultez la configuration suivante dans l 'appliance Citrix ADC:

Créez un profile SSL pour le后端et activez SNI dans le profile SSL。Desactivez SSLv3 / TLS1。À l 'invite de commandes, tapez la commande suivante:
```
add ssl profile  -sniEnable ENABLED -ssl3 DISABLED -tls1 DISABLED -commonName < ADFS的FQDN > 
```
Désactivez SSLv3/TLS1 pour le服务。À l 'invite de commandes, tapez la commande suivante:
```
设置ssl服务 -sslProfile ns_default_ssl_profile_backend 
```
Activez l 'extension SNI pour les poignées de contact du server principal。À l 'invite de commandes, tapez la commande suivante:
```
设置vpn参数-backendServerSni ENABLED设置ssl参数-denySSLReneg NONSECURE 
```

重要的

scénarios Home Realm Discovery (HRD) dans lesquels l’authentication doit être déchargée vers le server ADFS, Citrix vous推荐désactiver à la fois l’authentication et l’authentication unique sur l’appliance Citrix ADC。

Mecanisme d 'authentification

我们的声音événements我们的身份认证。

Établir la con未婚夫avec le server ADFS: le server Citrix ADC établit la confc avec le server ADFS en enregistrant un certificate client。Une fois la con未婚夫établie, l 'appliance Citrix ADC rétablit la con未婚夫après le redémarrage没有干预de l 'utilisateur。
À到期证书，特此证明rétablir认可的附属机构和附属机构à新设立的代理机构。
决定终点publiés: l ' appliance Citrix ADC récupère自动列表终端publiés sur le server ADFS après l ' établissement de l '赞。ce点决定publiés过滤要求传输到服务器ADFS。
Insérer des en-têtes aux demandes du client- Lorsque l 'appliance Citrix ADC tunnel les demandes du client, les en-têtes HTTP liés à ADFSPIP sont ajoutés au paquet lors de leur envoi au server ADFS。您的祝福implémenter un contrôle d 'accès在您的服务中，您的服务是有价值的'en-tête。Les en-têtes suivants sont pris en charge。
- X-MS-Proxy
- X-MS-Endpoint-Absolute-Path
- X-MS-Forwarded-Client-IP
- X-MS-Proxy
- X-MS-Target-Role
- X-MS-ADFS-Proxy-Client-IP
Gérer法国交通发达国家交通工具acheminé en toute sécurité vers les resources souhaitées。

标记

L 'appliance Citrix ADC使用L '认证basée根据公式。

配置器Citrix ADC倒prendre en charge le服务器ADFS

其实条件

配置服务器转换上下文(CS) en tant que server front avec le server d ' authentication, d 'autorisation et d 'audit derrière CS。À l 'invite de commands, tapez:

                add cs vserver  SSL 10.220.xxx。xx 443 -cltTimeout 180 -AuthenticationHost  -Authentication OFF -persistenceType NONE 
               

add cs action  -targetLBVserver

add cs action  -targetLBVserver

                添加cs策略 -rule " http.req.url.contains("/adfs/services/trust") || http.req.url.contains("federationmetadata/2007-06/federationmetadata.xml")"-action  
               

add cs policy  -rule "HTTP.REQ.URL.CONTAINS("/adfs/ls")"-action

bind cs vserver  -policyName  -priority 100

bind cs vserver  -policyName  -priority 110

绑定cs vserver  -lbvserver

Ajoutez un service ADFS。À l 'invite de commands, tapez:

add service   SSL 443

设置ssl服务 -sslProfile ns_default_ssl_profile_backend

Ajoutez un server virtuel à charge équilibrée。À l 'invite de commands, tapez:

add lb vserver  SSL 0.0.0.0 0

set ssl vserver  -sslProfile ns_default_ssl_profile_frontend

Liez le service au serur d ' équilibrage de charge。À l 'invite de commands, tapez:
```
绑定lb vserver   
```

倒配置器Citrix ADC afin qu 'il功能avec le服务器ADFS, vous devez procéder comme suit:

Créez une clé de profile SSL CertKey à utiliser avec le profile代理ADFS
Création d 'un profile代理ADFS
联合配置文件代理ADFS au服务器虚拟LB

Créez un certificat SSL avec clé privée à utiliser avec le配置文件代理ADFS

À l 'invite de commands, tapez:

添加SSL certkey  -cert <证书路径> -key

标记:Le fichier de certificate et Le fichier de clé doivent être présents dans l’appliance Citrix ADC。Créer un profile代理ADFS à l 'aide de la CLI

À l 'invite de commands, tapez:

              add authentication adfsProxyProfile <配置文件名称> -serverUrl /> -username  -password < admin用户>的密码-certKeyName <上述创建的CertKey配置文件的名称> 
             

欧?

化名:化名代理AFDS à créer

ServerURL:域名完整服务ADFS，包含协议和端口。比如,https://adfs.citrix.com

用户名-在ADFS服务器上存在的用户名

过时之词:行政长官过时之词utilisé我的名字

CertKeyName - CertKey SSL créé précédemment

Associez le profile代理ADFS au server virtuel d ' équilibrage de charge à l ' aide de la CLI

Dans le déploiement ADFS, deux servers virtuels d ' équilibrage de charge sont utilisés, l ' un pour le traffic client et l ' autre pour l ' échange de métadonnées。Le profile代理ADFS doit être associé au server virtuel d ' équilibrage de charge quest front au server ADFS。

À l 'invite de commands, tapez:

              set lb vserver < ADFS -proxy-lb> -adfsProxyProfile < ADFS代理配置文件名称> 
             

Soutien au renouvelment de con未婚夫

证书的存在是由于到期的原因而存在的，因为证书的存在是无效的。认证认证effectué唯一认证认证établie入口l 'appliance Citrix ADC et Le server ADFS。为你的新证书，为你的新证书。

重要的

有干预，有需要，有需要，有新证书。

L ' example suivant répertorie les étapes impliquées dans le renouvelementde L 'approbation de certificat:

L 'appliance Citrix ADC代表古老证书(SerializedTrustCertificate)和新证书(SerializedReplacementCertificate) dans une requête POST au server ADFS pour le renouvelementde L 'approbation。
Le server ADFS répond avec un succès de 200 OK si l’apapest renouvelée avec succès。
L ' appliance Citrix ADC遇见à jour L ' état en tant que«ESTABLISHED_RENEW_SUCCESS»si le reouvelment de L ' apest réussi。我的认可的更新程序échoue，我的état est mis à jour en tant que«ESTABLISHED_RENEW_FAILED»et l ' appliance Citrix ADC继续使用旧证书。

标记

你的名字à jour la clé de certification si elle est déjà liée à un profile proxy ADFS。

倾配置者le renouvelment de conconfdes证书à l 'aide de la CLI

À l 'invite de commands, tapez:

set authentication adfsProxyProfile  [-CertKeyName ]

为例:

set authentication adfsProxyProfile adfs_2 -CertKeyName ca_cert1

认证basée根据客户端根据服务器ADFS

À partir de Windows Server 2016, Microsoft a introduction une nouvelle méthode d ' authentication des utilisateurs lorsque l 'accès à ADFS est effectué通过服务器代理。Désormais, les utilisateurs finaux peuvent se connect ter avec leurs certificates， évitant ainsi l ' use d 'un mot de past。

Les utilisateurs finaux accèdent souvent à通过代理的ADFS, en particer lorsqu 'ils ne se trouvent pas sur。Par conséquent，服务器代理ADFS sont nécessaires通过协议ADFSPIP将认证Par证书发送到客户端。

Lorsque ADFS est équilibré de charge à l 'aide d 'une Citrix ADC, pour prendre en charge l '认证basée sur les certificates sur le server ADFS, les utilisateurs doivent également se connector à l 'appliance Citrix ADC à l 'aide du certificate。Cela permet à Citrix ADC de transmettre le certificate utilisateur à ADFS pour fournir l’认证唯一的au服务器ADFS。

Le schéma suivant说明Le flux d ' authentication du certificate at client。

认证工作流程认证客户端

配置l '认证唯一倾勒服务器ADFS à l 'aide d 'un证书客户端

倾配置认证唯一倾服务器ADFS à l 'aide du certificate client, vous devez d ' ard配置认证du certificate client sur l 'appliance Citrix ADC。Vous devez ensuite lier la stratégie d ' authentication par certificat au server virtuel d ' authentication, d 'autorisation et d 'audit。

好极了，我们都活着étapes活着。

服务器虚拟交换的端口supplémentaire端口49443 être configuré服务器虚拟交换的端口指示的端口même服务器虚拟交换的端口équilibrage端口指示的端口，查询的端口créé précédemment。
Le port 49443 doit être ouvert sur l 'appliance Citrix ADC pour l ' authentication。
La stratégie de交换de上下文doit être liée au même服务器虚拟的d ' équilibrage收费avec le port 443 ouvert que vous avez créé précédemment。
您的服务même服务SSL que Vous avez créé précédemment au服务virtuel d ' équilibrage de charge。
Si vous avez déjà créé un profile SSL pour le后端，vous deveseriser ce profile。

À l 'invite de commands, tapez;

              add cs vserver    bind cs vserver  (-lbvserver  | -vServer  | [-targetLBVserver ] set ssl vserver ] bind ssl vserver  add authentication certAction <动作名称> add authentication Policy <策略名称> -rule  -action <动作名称> add authentication policyable  bind authentication policylabel  -policyName <策略名称>优先级<整数> < !——NeedCopy >
             

为例:

              add cs vserver srv123_adfsproxy_csvs_tls SSL $VIP_1 49443 bind cs vserver srv123_adfsproxy_csvs_tls -lbvserver srv123_adfsproxy_adfs_lbvserver set SSL vserver srv123_adfsproxy_csvs_tls -sslProfile ns_default_ssl_profile_front bind SSL vserver srv123_adfsproxy_csvs_tls -certkeyName srv123_wildcardcert add authentication certAction adfsproxy-cert add authentication Policy cert1 -rule TRUE -action adfsproxy-cert add authentication policyable certfactor bind authentication policylabel certfactor-policyName cert1 -priority 100 
             

为客户提供配置和证书方面的信息在客户端à l 'aide de stratégies avancées上配置认证证书．

这是一份英文版本的文件。Citrix ont某些文件的竞争été traduits de façon automatique à des fins pratiques unique。Citrix n' orauun contrôle sur le contutraduit de façon automatique, qui peut contuir de errors, des imprécisions ou un语言inapproprié。有一个明确的或隐含的，最具价值的价值à准确的，有一个fiabilité，有针对性的贸易贸易正义effectuée代理英国的原产地的贸易，有一个à la conformité生产和服务的价值à有一个façon自动，有一个使用许可的合同最终的使用条件和适用的服务的使用条件，有一个符合Citrix，量化公司à la conformité du生产服务à提供文件补足措施où cette提供文件été traduite de façon自动。Citrix ne pourra être tenu responddestout dommage ou problème dû à l' use de contenutraduit de façon automatique。

Cela vous a-t-il été实用?

Conformité au protocol d 'intégration du proxy du service Active Directory

2022年6月23日

Contributeur:

2022年6月23日

Contributeur:

在cet(中央东部东京)的文章

Cela vous a-t-il été实用?