6.2.26 XenDesktop 5.6 / XenApp 6.5

USB-токены и смарт-карты JaCartaИнтеграцииUSB-токены и смарт-карты JaCarta

Не актуализировано

Документ не актуализирован: описывает версии продуктов, снятые с поддержки. Приведён в справочных целях; для актуальных сценариев см. другие инструкции раздела.

Краткое руководство

Версия 1.0

Аннотация

Настоящий документ содержит сведения о настройке аутентификации по смарт-картам в средствах доставки приложений XenApp версии 6.5 и рабочих столов XenDesktop версии 5.6.

По вопросам технической поддержки обращайтесь в ЗАО «Аладдин Р.Д.» по адресу: http://www.aladdin-rd.ru/support/index.php. Таким способом вы всегда сможете отслеживать состояние своей заявки.

Введение

• Microsoft Windows Server 2008 R2 - Контроллер домена (DC.aladdin.local)

• Microsoft Windows Server 2008 R2 – Центр сертификации MSCA (CA.aladdin.local)

• SAC 8.2

• Microsoft Windows Server 2008 R2 – XenDesktopServer (XD.aladdin.local)

• XenDesktop 5.6

• Microsoft Windows Server 2008 R2 – XenAppServer (XA.aladdin.local)

• XenApp 6.5

• Microsoft Windows Server 2008 R2 – Web-интерфейс (WI.aladdin.local)

• HP-t510 ThinPro 4.4.0 – Тонкий клиент

• Microsoft Windows 7 32-bit – Тестовая эталонная машина (win71.aladdin.local)

• Citrix Receiver 3.4.

• SAC_Post_GA 8.2.116

• Virtual Delivery Agent

В настоящее время такое решение, как тонкий клиент получило огромную популярность. Многие модели тонких клиентов оснащены интерфейсами для подключения к серверам виртуализации Citrix, VmWare, Microsoft TS и т.д. Основные проблема по настройке аутентификации по смарт-картам к виртуальным инфраструктурам возникают из-за того, что на многие тонкие клиенты, как правило, не устанавливаются операционные системы или устанавливаются урезанные Linux-подобные системы. В связи с этим на подобные тонкие клиенты становится проблематичным установка драйверов и дополнительного программного обеспечения.

Линейка устройств eToken, кроме eToken PRO 32/64K, являются CCID-совместимыми устройствами и для их определения в Linux системах достаточно установленного пакета pcsc и информации об устройствах в файле Info.plist (VID, PID, Название устройства). Как правило, этот компонент уже включен в образы Linux-подобных систем большинства производителей тонких клиентов, но не все интерфейсы подключения умеют взаимодействовать с устройствами.

В данном документе будет описан способ настройки аутентификации по смарт-картам eToken в инфраструктуре Citrix XenApp 6.5 и Citrix XenDesktop 5.6 с тонких клиентов Hewlett-Packard HP-t510 на базе Linux-подобной операционной системы ThinPro 4.4.0

Предварительная настройка тонкого клиента

Для того, чтобы стало возможным настраивать тонкий клиент, необходимо перейти в режим администрирования (см. изображение ниже).

Рис. 1 – Переход в режим администрирования Далее, необходимо убедиться, что установлена актуальная версия операционной системы. В нашем случае это ThinPro версии 4.4.0.

Внимание:

1. Для возможности проверки и скачивания обновлений с ресурсов HP, необходимо чтобы тонкий клиент имел выход в Internet.

2. Для того, чтобы проверить версию операционной системы (ОС) тонкого клиента, необходимо запустить Easy Config Wizard и перейти к пункту Updates (см. изображение ниже).

   

Рис. 2 – Easy Config Wizard

Нажимаем Full Image Updates В открывшемся окне видно какая операционная система в данный момент установлена на тонком клиенте. В нашем случае это ThinPro 4.4.0. Если у Вас установлена более старая версия ОС, выберете версию ThinPro 4.4.0 и нажмите Install (см. изображение ниже).

Рис. 3 – Образ ОС Убедившись, что установлена актуальная версия ОС, переходим к настройке даты и времени. Это необходимо сделать для того, чтобы не было проблем с установкой SSL соединения между клиентом и сервером. Чтобы установить время перейдите в Control Panel и откройте вкладку Setup (рис. 4).

Рис. 4 – Control Panel (Setup) Открываем Date and Time Появится следующее окно, в котором необходимо настроить местоположение и часовой пояс.

Рис. 5 – Часовой пояс Переходим на вкладку Date and Time, где необходимо установить дату и время, аналогичную дате и времени установленной на удаленном сервере Citrix.

Рис. 6 – Дата и время

3. Для установки SSL-соединения между тонким клиентом и сервером необходимо на тонкий клиент установить сертификат корневого центра сертификации. Копируем корневой сертификат УЦ на съемный носитель (USB-Flash) и подключаем его к тонкому клиенту. Открываем Control Panel и переходим на вкладку Advanced. Выбираем Certificates (рис. 7).

   

Рис. 7 – Advanced (Certificates) Открывается следующее окно (рис. 8)

Рис. 8 – Certificates Нажимаем Import From File Находим сертификат корневого УЦ на съемный носителе и импортируем его. Появится окно, показывающее, что сертификат успешно импортирован (см. изображение ниже)

Рис. 9 – Imported successfully

4. На этом предварительная настройка тонкого клиента завершается.

Настройка подключения к инфраструктуре Citrix

Для того, чтобы Citrix ICA Client мог работать с устройства eToken, для начала необходимо добавить PKCS#11 библиотеку в образ системы. Копируем библиотеку libeToken.so на съемный носить (USB-Flash)

Внимание:

Библиотека libeToken.so входит в состав установочного пакета SAC для Linux

1. Подключаем съемный носить к тонкому клиенту, открываем Control Panel и переходим на вкладку Advanced.

   

Рис. 10 – Advanced (X Terminal) Запускаем X Terminal

Рис. 11 –X Terminal

Разблокируем файловую систему для получения возможности изменения и добавления файлов командой fsunlock. Копируем файл libeToken.so в каталог /usr/lib командой cp /путь к каталогу на съемном носителе/libeToken.so /usr/lib** После этого выполняем команду fslock для того, чтобы заблокировать возможность изменения файлов системы (см. изображение ниже).

Рис. 12 –Копирование библиотеки Закрываем окно X Terminal

В главном окне выбираем Connections, раскрываем вкладку General Settings и открываем Citrix

Рис. 13 –General Settings (Citrix) Откроется окно настроек Citrix Connection, Здесь необходимо установить галочку напротив Allow Smart Card Logon – разрешить вход по смарт-карте

Рис. 14 – Citrix connection settings

Принимаем изменения и закрываем окно

Внимание:

2. С данного тонкого клиента подключение по смарт-картам к инфраструктуре Citrix поддерживается только через Web-интерфейс.

Раскрываем вкладку General Settings и открываем Web Browser

Рис. 15 – General Settings (Web Browser)

3. Откроется окно настройки Web-браузера.

4. Здесь необходимо установить галочку напротив Allow connections to manage their own settings, для того, чтобы появилась возможность управления настройками Web-браузера. (рис. 16).

5. Рис. 16 – Окно настройки браузера.

   

Нажимаем Ok.

6. Теперь добавим новое подключение.

Раскрываем вкладку Add и нажимаем Web Browser

Рис. 17 – Add (Web Browser)

7. Откроется следующее окно, в котором необходимо заполнить поля: имя подключения Name и URL для подключения к Web-интерфейсу Citrix (см. изображение ниже).

   

Рис. 18 –Web Browser (New connection)

Нажимаем Finish

8. Видим, что подключение My Connection успешно добавлено.

9. Запускаем созданное подключение.

   

Рис. 19 –My Connection

10. Открывается браузер, в котором необходимо добавить поддержку устройства eToken, для этого нажимаем Edit -> Preferences (см. изображение ниже).

Рис. 20 – Firefox (Preferences)

Переходим на вкладку Advanced -> Certificates и открываем Security Devices

Рис. 21 – Firefox (Security Devices)

11. Для добавления устройства в открывшемся окне нажимаем Load (рис. 22).

Рис. 22 – Firefox (Device Manager)

12. Выбираем скопированную ранее библиотеку libeToken.so и нажимаем Open.

Рис. 23 – Firefox (Choose PKCS#11)

13. Проверяем правильность добавляемой информации (см. изображение ниже).

Рис. 24 – Firefox (Load PKCS#11)

Нажимаем OK

14. Устройство успешно добавлено.

15. Если подключить eToken, появляется запись о подключенном устройстве и информация о нем. (см. рисунок 25).

Рис. 25 – Firefox (eToken PKCS#11 Module)

Нажимаем OK и закрываем браузер.

16. На этом настройка аутентификации по смарт-картам завершается. Переходим к проверке работоспособности.

17. Запускаем созданное ранее подключение.

В случае если отобразится следующее окно (см. изображение ниже)

Рис. 26 – Firefox (Secure Connection Failed)

18. заходим в расширенные настройки браузера, для этого необходимо в адресной строке написать about:config.

В поиске ищем security.ssl.allow_unrestricted_renego_every… и меняем значение на true (см. изображение ниже)

Рис. 27 – Firefox (Secure SSL Allow)

19. Закрываем браузер и снова открываем созданное подключение My Connection.

20. Если все настроено правильно и устройство eToken подключено к терминальному клиенту, то при подключении к Web-интерфейсу, браузер запросит пин-код.

Рис. 28 – Запрос пин-кода браузером

Вводим пин-код и нажимаем OK.

Выбираем сертификат с использованием которого будет осуществлен вход в Web-интерфейс

Рис. 29 – Выбор сертификата для входа

Нажимаем OK

21. Открывается окно с доступными пользователю программами и рабочими столами.

Выбираем приложение (рабочий стол) к которому требуется подключиться.

Рис. 30 – Доступные приложения и рабочие столы

Запускаем приложение (рабочий стол). В данном документе в качестве примера мы подключаемся к виртуальному рабочему столу Windows 7 32-bit.

Рис. 31 – Запрос пин-кода на удаленной машине

Вводим пин-код пользователя.

Аутентификация на удаленной машине прошла успешно. Запустив SafeNet Authentication Client Tools можно убедиться, что устройство корректно пробросилось в сессию (см. изображение ниже)

Рис. 32 – SAC Tools