概念実証ガereplicationド:ネereplicationティブOTP認証を使用したCitrix GatewayのnFactor . xml
はじめに
多要素認証の実装は,アイデンティティを検証し,セキュリティポスチャを改善する最良の方法の1つです。ネイティブ(時間ベース)ワンタイムパスワード(OTP)はすぐに使用できるオーセンティケータアプリケーションを使用して別の要素を実装するのに便利な方法です。これにより,ユーザは認証アプリケーションからゲートウェイフォームに検証コードを入力して認証できます。
Citrix网关はネイティブOTPをサポートしており,Webサービス,VPN, Citrix虚拟应用程序和桌面などのさまざまなサービスの認証を提供できます。このPOCガイドでは,Citrix虚拟应用程序和桌面環境での認証のためにそれを使用することをデモンストレーションします。
概念アキテクチャ
概要
このガイドでは,Citrix网关で2要素認証を使用して概念実証環境を実装する方法について説明します。最初の要素としてLDAPを使用してActive Directory資格情報を検証し,第2の要因としてネイティブOTPを使用します。
これは,ンストルが完了し,次のコンポ。
- Citrix网关は,ワイルドカード証明書にバインドされた外部から到達可能な仮想サーバーを使用してインストール,ライセンス供与,構成
- 認証にLDAPを使用するCitrix网关とCitrix虚拟应用程序和桌面環境を統合する
- Citrix Workspaceアプリがereplicationンストereplicationルされたエンドポereplicationント
- 時間ベースのOTPをサポートするサポートされている認証アプリがインストールされています(微软认证器,谷歌身份验证,Citrix SSOを含む)
- AD (Active Directory)が環境で使用可能
最新の製品バ,Citrixドキュメントを参照してください。ネ邮箱ティブotp認証
nFactor
LdapポリシLdap
まず,nFactorフローを構築するときに後で参照する2つのLDAPポリシーを作成します。
ネ邮箱ティブotp登録
このLDAP登録ポリシーは,時刻ベースのOTPコードを生成するために使用されるキーを交換および格納するために使用されます。
- Citrix ADC UIにログンする
- [セキュリティ]> [AAAアプリケーショントラフィック]>[ポリシー]>[認証]>[詳細ポリシー]>に移動します
- ダウンロドが完了した後,
添加
- ポリシ名として
polldap_notpmanage
を入力し,[动作类型]をLDAP
に変更します。 - [アクション]の下の
添加
をクリックします - 次のフィルドに入力します。
- 名前-
actldap_notpmanage
を入力 - サバ名/ ipアドレス-adサのfqdnまたはipアドレスを選択します。
192.0.2.50
を入力します 身份验证
クリアこの設定と以下のOTPシークレットは,ポリシーが得到ではなくオブジェクト属性を設定することを示します。- ベスdn-adユコンテナへのパスを入力します。
DC =工作区,DC = wwco, DC =净
を入力します - 管理者バインドDN -管理者/サービスアカウントを入力して,ユーザーを認証するために广告を照会します。
workspacessrv@workspaces.wwco.net
を入力します - 確認/管理者パスワド-管理者/サビスアカウントのパスワドを入力/確認する
- [ネットワク接続のテスト]をクリックして,接続を確認します
- サバログオン名属性-このフィルドの下の2番目のフィルドに
userPrincipalName
を入力 - OTP秘密——
userParameters
入力これは,時間ベースのOTPコードを生成するためにハッシュで使用されるキーで更新されるユーザーのLDAPオブジェクトです
- 名前-
- [作成]を選択します
真正的
式を入力し,好吧
をクリックします
ネ邮箱ティブotp認証
このldap認証ポリシは,第1要素認証を行うために使用されます。
安全> aaa -应用流量>策略>认证>高级策略>策略
にアクセスします。- ダウンロドが完了した後,
添加
- ポリシ名として
polldap_notpauth
を入力し,[动作类型]をLDAP
に変更します。 - [アクション]の下の
添加
をクリックします - 次のフィルドに入力します。
- 名前-
actldap_notpauth
を入力 - サバ名/ ipアドレス-adサのfqdnまたはipアドレスを選択します。
192.0.2.50
を入力します - ベスdn-adユコンテナへのパスを入力します。
DC =工作区,DC = wwco, DC =净
を入力します - 管理者バインドDN -管理者/サービスアカウントを入力して,ユーザーを認証するために广告を照会します。
workspacessrv@workspaces.wwco.net
を入力します - 確認/管理者パスワド-管理者/サビスアカウントのパスワドを入力/確認する
- [ネットワク接続のテスト]をクリックして,接続を確認します
- サバログオン名属性-このフィルドの下の2番目のフィルドに
userPrincipalName
を入力
- 名前-
- [作成]を選択します
真正的
式を入力し,好吧
をクリックします
詳細にいては,Ldap認証ポリシLdapを参照してください。
ログ邮箱ンスキ邮箱マ
ログマは,ポリシ。
ネiad . xmlティブOTP lSchema -単一認証. xml
この登録ログeconf econfンスキマは,ldap econf登録ポリシ。
安全> aaa -应用流量>登录模式
にアクセスします。配置文件
タブを選択します- [プロフィル]の下で
添加
をクリックし,名前を付けます。prolschema_notpsingle
noschema
の横にある鉛筆ア邮箱コンをクリックします登录模式
をクリックし,下にスクロルしてSingleAuthManageOTP.xml
を選択し,右隅の青い选择
を選択します。- ダウンロドが完了した後,
创建
ネiad . xmlティブOTP lSchema -デュアル認証. xml
この登録ログインスキーマは,ユーザーがパスワードとOTPパスコードの両方を入力する二重要素認証に対応しています。
配置文件
タブの下でもう一度添加
をクリックします- 名前の入力
pollschema_notpdual
- [プロフィル]の下で
添加
クリックし,名前を付けます。prolschema_notpdual
noschema
の横にある鉛筆ア邮箱コンをクリックします登录模式
をクリックし,下にスクロルしてDualAuth.xml
を選択し,右隅の青い选择
を選択します。- ダウンロドが完了した後,
更多的
密码凭据指数
フィルドに1
を入力します- ダウンロドが完了した後,
创建
AAA
仮想サバ-ビジュアラ
ネ邮箱ティブotp- 次に移動します。
安全> AAA -应用流量> nFactor Visualizer > nFactor流
- ダウンロドが完了した後,
添加
+
記号をクリックして,初期因子を作成します。この要素はアクションを実行せず,着信トラフィックを登録または認証ファクタフローに転送する処理を行います。factor0-notp
と入力し,创建
をクリックします
登録フロ
- 選択
添加政策
选择政策
の横にある添加
を選択します- 名前の入力
polfactor0-notpmanage
动作类型
をNO_AUTHN
に設定します。- 式に
HTTP.REQ.COOKIE.VALUE (“NSC_TASS”) .EQ (“manageotp”)
を貼り付ける,または表情生成器で構築する。オプションとして,送信元IPアドレス条件を追加することで,内部ネットワーク上のエンドポイントへの登録を制限できます
http.req.cookie.value(“NSC_TASS”).eq (manageotp) & & client.IP.SRC.IN_SUBNET (10.0.0.0/8)
。 创建
、添加
をクリックします
- 作成した
polfactor0-notpmanage
ポリシの右側にある緑+
を選択します。 factor1-notpmanage
と入力し,创建
をクリックします
- [新しい係数]ボックスで,
添加模式
を選択します prolschema_notpsingle
を選択し,好吧
をクリックします- 選択
添加政策
选择政策
のドロップダウンリストから,polldap_notpauth
を選択し添加
をクリックしますpolldap_notpauth
ポリシの右側にある緑+
を選択しますfactor2-notpmanage
と入力し,创建
をクリックします
- [新しい係数]ボックスで,
添加政策
を選択します 选择政策
のドロップダウンリストからpolldap_notpmanage
を選択し,添加
をクリックします
認証フロ
- 作成した初期係数ボックス
factor0-notp
で,青の+
を選択します 选择政策
の横にある添加
を選択します- 名前の入力
polfactor0-notpauth
动作类型
をno_authnに設定します- 式で
真正的
を入力します 创建
をクリックしてから,添加
ポリシの優先順位が110に増加したことに注意してください。つまり,上記のポリシーpolfactor0-notpmanage
が100で一致しない場合にのみ実行されます。- 作成した
polfactor0-notpauth
ポリシの右側にある緑+
を選択します。 factor1-notpauth
と入力し,创建
をクリックします- [新しい係数]ボックスで,
添加模式
を選択します prolschema_notpdual
を選択し,好吧
をクリックします- 選択
添加政策
选择政策
のドロップダウンリストから,polldap_notpauth
を選択し添加
をクリックします- 選択
完成
AAA
仮想サ仮想サバ
ネ邮箱ティブotpこのAAA
仮想サバは,ポリシンドされる場所です。
- [トラフィック管理]> [ssl] >[証明書]>[すべての証明書]@の順に選択し,ドメe @ン証明書がe @ンストe @ルされていることを確認します。このPOC の例では、Active Directory ドメインに対応するワイルドカード証明書を使用しました。 詳細については、Citrix ADC SSL証明書を参照してください。
- 次に
安全> AAA -应用流量>虚拟服务器
に移動し,[追加]を選択します - 次のフィルドに入力します。
- 名前:一意の値。
nativeotp_authvserver
を入力します - IPアドレスの種類-
非可寻址
- 名前:一意の値。
- ダウンロドが完了した後,
好吧
- [サバ証明書なし]を選択し,
选择服务器证书
の下の矢印を選択し,ドメイン証明書を選択して[選択],[バインド],[続行]の順にクリックします。 高级认证政策
で没有Nfactor流
を選択します选择nFactor流
で右矢印を選択し,factor0_notp
を選択し,选择
をクリックし,绑定
をクリックします
继续
、完成
をクリックします
交通政策
ここで、LDAPパスワードを店面にリレーするトラフィックポリシーを作成します,代わりに,OTPパスコード。
- Citrix Gateway >仮想サバ>ポリシ>トラフィックに移動します
交通概况
タブを選択し,[追加]をクリックします。- 名前の入力
notp_trafficprofile
- 選択
HTTP
- 登录パスワド式に
http.REQ.USER.ATTRIBUTE (1)
を入力します - [作成]をクリックします
- 次に,[トラフィックポリシ]タブをクリックします。
- [请求配置文件]フィルドで,作成した
notp_trafficprofile
トラフィックプロファ邮箱ルを選択します。 - 名前の入力
nOTP_TrafficPolicy
- [エクスプレス]ボックスに
真正的
を入力します - ダウンロドが完了した後,
创建
ゲトウェ
ゲトウェAAA
仮想サーバーにバインドされ,Citrix虚拟应用程序和桌面の認証が提供されます。
Citrix Gateway >虚拟服务器
にアクセスします。- 現在のゲトウェを選択し,
编辑
をクリックします - 右側の[詳細設定]パネルから[認証プロファ]を選択します
- 選択
添加
- プロファ邮箱ル名を入力します。
nativeotp_authprofile
を入力します - [ポリシ]で矢印を選択し,[ネ
AAA
仮想サバ]を選択しますnativeotp_authvserver
- ダウンロドが完了した後,
创建
- 右側の[詳細設定]パネルから[ポリシ]を選択します
+
記号を選択して追加します选择政策
で交通
を選択し,选择类型
で请求
を選択します。继续
を選択します- 右矢印をクリックし
notp_trafficpolicy
、好吧
を選択します 完成
をクリックして,実行構成を保存します。
ユザエンドポント
今,私たちは,私たちのCitrix虚拟应用程序和桌面環境に認証することにより,ネイティブOTPをテストします。
Citrix SSOアプリでの登録
まず,Citrix SSOアプリを使用してデバereplicationスをネereplicationティブOTPに登録します。
- ブラウザを開き,Citrix Gatewayで管理されるドメeconf eンFQDNにFQDNの最後に
/ manageotp
が付加されたドメ邮箱ンに移動します。https://gateway.workspaces.wwco.net/manageotp
を使用します。 - ブラウザがログ。
- 次の画面で[デバ]を選択し,名前を入力します。
iPhone7_nOTP
を使用します。
- “進む”を選択すると,二维码コドが表示されます。
- モバイルデバイスで,Citrix SSOアプリ,または微软や谷歌などの他の認証アプリを開きます(アプリストアからダウンロード可能)
- [新しいトクンの追加]を選択します
- 二维码ココドをスキャンを選択します
- カメラをqrコドに向ける]を選択し,キャプチャしたら[追加]を選択します。
- トクンを保存するには,[保存]を選択します
- トクンがアクティブになり,30秒間隔でotpコドの表示が開始されます。
- [完了]を選択すると,デバ电子书スが正常に追加されたことが確認されます。
Citrix虚拟应用程序和桌面の認証,公開,起動
次に,ユーザーはCitrix SSOアプリからUserPrincipalName,パスワード,OTPパスコードを入力して,仮想アプリおよびデスクトップにアクセスします。
- ブラウザを開き,Citrix Gatewayで管理されるドメeconf eンFQDNに移動します。
https://gateway.workspaces.wwco.net
を使用します。 - ブラウザがログイン画面にリダイレクトされたら,userPrincipalNameとパスワードを入力します。
- Citrix SSOアプリを開き,
iPhone7_nOTP
デバ。 - ユザの仮想アプリとデスクトップが列挙されていることを確認し,ログンしたら起動する。
トラブルシュティング
ここでは,Native OTPの一般的なトラブルシュティング領域をいくか見ていきます。
ntpエラ
OTPコードでログインすると,国家结核控制规划同期の確認を知らせるメッセージがページに投稿されることがあります。正しい時刻ベスのOTPを生成するには,Citrix ADCの時刻を同期する必要があります。NTPを実装していない場合は,次の手順を実行します。
- Citrix ADCで時刻を手動で設定するを現在の時刻に設定します。これにより,同期が高速になり,それ以外の場合はより長い時間がかかります
- ntpサバの追加
- Otpコドの送信時にNTPエラが発生する場合は,NetScaler時刻表示がNTPを使用して同期されないを参照してください。
認証エラ
无法完成您的请求。
——認証が成功した後にこのエラーメッセージが表示される場合は,ユーザーの資格情報を店面に渡すエラーを示している可能性があります。二重認証スキマとトラフィックポリシの設定を確認します。重试或联系您的帮助台
—このエラメッセジは,多くの場合,ldapログ。パスワドが正しいことを確認した場合は,管理者バドが設定されていることを確認します。既存のLDAP認証ポリシーがあり,管理ポリシーを選択し,【添加】を選択して作成した可能性があります。この手順では,
基本DN
のような既存の設定を入力することで時間を節約できます。また,管理员密码フィールドは入力されているように見えますが,パスワードを再入力する必要があります。
結果
Citrix工作区とCitrix网关を使用すると,企業ではユーザーエクスペリエンスを複雑にすることなく,多要素認証を実装することで,セキュリティ体制を向上させることができます。ユーザーは,ドメインユーザー名とパスワードを入力し,登録済みの認証アプリからワンタイムパスワードを入力して身元を確認することで,Citrix虚拟应用程序和桌面にアクセスできます。
参照ドキュメント
詳細にいては,以下を参照してください。
ネ邮箱ティブotp認証—ネ邮箱ティブotp邮箱の実装と使用例の詳細をご覧ください。