6.2.25 Citrix XenDesktop 7.x

USB-токены и смарт-карты JaCartaИнтеграцииUSB-токены и смарт-карты JaCarta

Не актуализировано

Документ не актуализирован: описывает версии продуктов, снятые с поддержки. Приведён в справочных целях; для актуальных сценариев см. другие инструкции раздела.

Аннотация

Настоящий документ представляет собой сведения о настройке двухфакторной аутентификации с использо-ванием смарт-карт JaCarta PKI в виртуальной среде Citrix XenDesktop версии 7.x.

Краткое описание инфраструктуры демо-стенда

• Microsoft Windows Server 2008 R2 – сервер с ролью контроллер домена (DC.aladdin.local).

• Microsoft Windows Server 2008 R2 – сервер с ролью центр сертификации Microsoft Certifica-

tion Authority (MS CA) (CA.aladdin.local):

• JC Client 6.24.16.

• Microsoft Windows Server 2008 R2 – компоненты программного обеспечения (ПО) XenDesk-top (Citrix Director, Citrix License Server, Citrix Studio, Citrix StoreFront, Citrix Delivery Controller) (XD7.aladdin.local). Данные компоненты могут быть установлены на разных серверах.

• ПО Citrix XenDesktop 7.0.

• Microsoft Windows 7 64-bit – тестовый ПК пользователя (Test2.aladdin.local):

• Citrix Receiver 4.0.0.45893;

• JC Client 6.24.16.

• Microsoft Windows 7 32-bit – тестовая эталонная машина – «золотой» образ, с которого бу-

дут развернуты виртуальные машины для пользователей (win7x32.aladdin.local):

• Citrix Receiver 4.0.0.45893;

• JC Client 6.24.16;

• Virtual Delivery Agent.

1. Создание виртуальных машин

1.1. Создание каталога виртуальных машин

1. Перед созданием каталога для виртуальных машин необходимо подготовить эталонную машину. В дан-ном тестовом окружение – это виртуальная машина с операционной системой (ОС) Windows 7 (32-bit).

Для подготовки эталонной машины на неё необходимо установить ПО Virtual Delivery Agent (дистрибу-тив, которого расположен на диске с ПО XenDesktop 7.0), JC Client 6.24.161, а также другое ПО, которое необходимы для работы пользователей данной группы. После установки виртуальную машину необхо-димо выключить.

Cоздание каталога для виртуальных машин

2. На сервере, где установлен компонент Citrix Studio2, запустите Citrix Studio (Start -> All Programs -> Citrix), подключитесь к Citrix Delivery Controller и перейдите в Machine Catalogs, запустите мастер создания ка-талога Create Machine Catalog (рис. 1).

   

Рис. 1 — Окно «Create Machine Catalog»

3. Нажмите Next.

4. Установка и настройка ПО JC Client 6.24.16 описана в документе «JC-Client — Руководство администратора».

5. Установка и настройка ПО Citrix XenDesktop 7.x описана на сайте http://support.citrix.com/proddocs/topic/xendesktop-71/cds-install-config-intro.html.

6. Выберите пункт Windows Desktop OS или другой пункт в зависимости от настроек вашей среды (рис. 2).

   

   

Рис. 2 — Окно выбора операционной системы для каталога

7. Нажмите Next.

8. Выберите пункт Virtual machines и Machine Creation Services (MCS) (рис. 3).

Рис. 3 — Окно выбора способа доставки виртуальной машины

9. Нажмите Next.

   

10. В окне Desktop Experience настройте параметры рабочих столов для пользователей и способ хранения пользовательских данных, так как показано ниже (рис. 4). Могут быть выбраны другие параметры в за-висимости от настроек вашей среды и требуемых задач.

11. Рис. 4 — Окно настроек параметров виртуальной машины.

12. Нажмите Next.

Из списка доступных виртуальных машин выберите ранее созданную эталонную машину (рис. 5).

Рис. 5 — Окно выбора эталонной машины

13. Нажмите Next.

14. Задайте количество виртуальных машин в каталоге и задайте их технические характеристики (рис. 6).

Рис. 6 — Выбор параметров виртуальных машин пользователей

15. Нажмите Next.

16. Настрайте схему для автоматического добавления учетных записей созданных машин в службу каталогов Active Directory (AD) (рис. 7).

Для простоты администрирования можно предварительно создать организационный модуль (OU) в

службе каталогов AD, куда будут добавлены учетные записи создаваемых виртуальных машин.

Рис. 7 — Окно «Active Directory Computer Account»

17. Нажмите Next.

18. Проверьте параметры создаваемых виртуальных машин и определите имя для каталога, а также имя виртуальной машины для отображения у пользователей (рис. 8).

Рис. 8 — Окно «Summary»

19. Нажмите Finish.

20. Каталог виртуальных машин создан (рис. 9).

21. Рис. 9 — Созданный каталог виртуальных машин.

1.2. Создание группы пользователей виртуальных машин - Delivery Group

1. Для связи созданных виртуальных машин с пользователями, необходимо настроить группу пользовате-лей виртуальных машин (Delivery Group).

   

машин

2. Откройте консоль управления Citrix Studio и перейдите во вкладку Delivery Group -> Create Delivery Group (рис. 10).

   

Рис. 10 — Окно «Delivery Group»

3. Выберите ранее созданный каталог виртуальных машин и укажите сколько виртуальных машин будет доступно для пользователей этой группы (рис. 11).

   

   

Рис. 11 — Окно «Machines»

4. Нажмите Next.

5. Выберите тип доставляемых ресурсов: приложения или виртуальные машины (рис. 12).

   

Рис. 12 — Выбор «Delivery Type»

6. Нажмите Next.

   

Назначьте пользователей, с которыми будут связаны виртуальные машины (рис. 13).

Рис. 13 — Окно выбора пользователей

7. Нажмите Next.

8. ПО Citrix Receiver настраивается позднее (см. раздел 2.5).

9. В следующем окне выберите пункт Manually, using a StoreFront server address that I will provide later (рис. 14).

   

10. Рис. 14 — Окно настройки «Citrix StoreFront».

11. Нажмите Next.

12. Проверьте итоговые настройки и определите название группы (рис. 15).

Рис. 15 — Окно «Summary»

13. Нажмите Finish.

14. Группа пользователей виртуальных машин создана (рис. 16).

15. Рис. 16 — Созданная «Delivery Group».

16. Внимание: Убедитесь, что все виртуальные машины в пуле зарегистрированы (имеют статус Registered.

(рис. 17)).

Рис. 17 — Окно статуса виртуальных машин

1.3. Проверка доступности виртуальных машин

1. Перейдите на рабочую станцию (ПК) пользователя. Это Windows 7 x64 с предустановленным JC Client 6.24.16.

   

2. Откройте браузер и в адресной строке укажите путь к веб-интерфейсу ПО Citrix XenDesktop: http://xd7.aladdin.local/Citrix/StoreWeb/ (рис. 18).

Если ПО Citrix Receiver не установлено, отобразится окно установки ПО Citrix Receiver (рис. 19).

3. Нажмите Установить.

   

Рис. 18 — Web-интерфейс ПО XenDesktop

4. Рис. 19 — Установка ПО Citrix Receiver.

   

5. Введите Логин и Пароль учетной записи пользователя в службе каталогов AD. Данная учетная запись должна входит в группу пользователей виртуальных машин, которая была создана в разделе 1.2 (рис. 20).

   

   

Рис. 20 — Окно аутентификации пользователя на Web-интерфейсе ПО XenDesktop

6. Убедитесь, что виртуальная машина доступна. После чего, завершите сеанс пользователя (рис.

7. (Пуск-> Выйти из системы).

   

Рис. 21 — Виртуальная машина пользователя

2. Настройка аутентификации по смарт-картам

2.1. Выпуск сертификата для IIS

1. На сервере, где установлено ПО XenDesktop 7, запустите оснастку управления сервисом Internet Information Services (IIS) (рис. 22).

   

   

Рис. 22 — Путь к оснастке управления сервисом IIS

2. Откройте вкладку Server Certificates (рис. 23).

   

   

Рис. 23 — Оснастка управления сервисом IIS

3. Выберите Create Domain Certificate (рис. 24).

   

Рис. 24 — Вкладка **«**Create Certificate»

4. Заполните информацию об организации для выпускаемого сертификата (рис. 25).

   

5. В поле Common name укажите полное доменное имя сервера с установленным ПО XenDesktop. В насто-ящем примере: xd7.aladdin.local.

   

Рис. 25 — Данные об организации в выпускаемом сертификате

6. Выберите центр сертификации организации и в поле Friendly name укажите полное доменное имя сер-вера с установленным ПО XenDesktop. В настоящем примере: xd7.aladdin.local (рис. 26).

   

Рис. 26 — Выпуск сертификата для сервиса IIS

7. Нажмите Finish.

8. Убедитесь, что сертификат выпущен успешно (рис. 27).

   

Рис. 27 — Результат выпуска сертификата

2.2. Настройка SSL доступа к IIS

1. Перейдите на вкладку Default Web Site и нажмите Bindings….

   

2. В открывшемся окне нажмите Add (рис. 28).

3. Рис. 28 — Окно настройки «Site Bindings».

   

4. Выберите тип соединения https, а в списке SSL certificate, выберите ранее выпущенный сертификат для IIS (рис. 29).

5. В настоящем примере имя сертификата: xd7.aladdin.local.

   

Рис. 29 — Окно «Add Site Binding»

6. Нажмите OK.

7. Убедитесь, что данный тип соединения добавлен в список (рис. 30).

Настройка Citrix

1. Рис. 30 — Результат настройки типа соединения.

   

   

Закройте окно «Site Bindings».

2.3. StoreFront

Внимание! При работе с StoreFront в многосерверных установках, используйте только один сервер при

1. внесения изменений в настройки. Убедитесь, что консоль управления Citrix StoreFront не выполняется на другом сервере или серверах, данной серверной группы. После завершения конфигурирования, убедитесь что изменения применились на все серверы группы (propagate your configuration changes to the server group).

2. Запустите Citrix Studio. Во вкладке Citrix StoreFront откройте вкладку Authentication (рис. 31).

   

Рис. 31 — Вкладка «StoreFront Authentication»

3. Выберите пункт Add/Remove Authentication Methods.

4. Откроется окно Add/Remove Methods (рис. 32).

   

5. Выберите метод аутентификации Smart card.

   

Рис. 32 — Окно «Add/Remove Authentication Methods»

6. Нажмите OK.

7. Убедитесь, что на вкладке Authentication добавился метод аутентификации Smart card (рис. 33).

   

Рис. 33 — Результат изменения методов аутентификации

8. Откройте Default Web Site -> Citrix -> Authentication -> Certificate (рис. 34).

   

   

Рис. 34 — Вкладка Certificate Home

9. Выберите пункт SSL Settings -> Require SSL. Отметьте параметр Require (рис. 35).

10. Рис. 35 — Настройки SSL Settings.

11. Для проверки правильности SSL-настроек, необходимо выполнить следующую последовательность дей-ствий:.

• Подключитесь к ПК пользователя;

• Подключите смарт-карту с сертификатом пользователя к ПК пользователя;

• Откройте браузер;

• В адресной строке укажите путь к странице с тестовым приложением. В настоящем приме-

ре — https://xd7.aladdin.local/Citrix/Authentication/Certificate/test.aspx.Вместо xd7.aladdin.local необходимо указать полное доменное имя сервера с ПО Citrix XenDesktop.

Отобразится следующее окно, в котором необходимо выбрать сертификат пользователя (рис. 36).

Рис. 36 — Окно запроса сертификата пользователя

12. Выберите сертификат пользователя и нажмите OK.

Отобразится следующее окно (рис. 37).

Рис. 37 — Окно запроса PIN-кода для смарт-карты пользователя

13. Введите PIN-код смарт-карты пользователя и нажмите OK.

14. Если SSL соединение установлено успешно, то вы увидите на открывшейся странице информацию о сертификате пользователя (рис. 38).

15. Рис. 38 — Окно проверки сертификата пользователя.

16. Подключитесь к серверу с установленным ПО Citrix XenDesktop и выполните настройку протоколов связи для SSL.

17. Запустите консоль управления Citrix Studio. Для этого откройте ПО Citrix StoreFront и выберите вкладку Server Group. Выберите пункт Change Base URL и измените значение http на https (рис. 39).

Рис. 39 — Окно «Change Base URL»

Нажмите OK.

18. Перейдите на вкладку Stores (рис. 40).

Рис. 40 — Вкладка «Stores»

19. Выберите пункт Manage Delivery Controllers.

20. В открывшемся окне нажмите Edit (рис. 41).

Рис. 41 — Окно «Manage Delivery Controllers»

В поле Transport type замените HTTP на HTTPS (рис. 42; рис. 43).

Рис. 42 — Окно «Edit Delivery Controller» с значением HTTP

Рис. 43 — Окно «Edit Delivery Controller» с значением HTTPS

21. Нажмите OK.

22. Убедитесь, что в поле Status появилось значение Service using HTTPS (рис. 44).

23. Внимание: После применение настроек необходимо выполнить перезагрузку сервера с ПО Citrix.

XenDesktop

Рис. 44 — Значение поля Status

2.4. Настройка XML-запросов

Необходимо разрешить XML-запросы к серверу с установленным ПО Citrix XenDesktop. Для этого выполните следующие действия.

1. На сервере с установленным ПО Citrix XenDesktop откройте командную строку Windows PowerShell (рис. 45).

   

Рис. 45 — Путь к командной строке «Windows PowerShell»

2. В открывшейся командной строке выполните команду:.

   

Set-BrokerSite -TrustRequestsSentToTheXmlServicePort $true (рис. 46)

Рис. 46 — Команда строка «Windows PowerShell»

2.5. Настройка ПКпользователя

1. Поключитесь к ПК пользователя. Откройте ПО Citrix Receiver и добавьте строку подключения к серверу, с опубликованными рабочими столами и/или приложениями (рис. 47).

   

2. Рис. 47 — Добавление адерса сервера в ПО Citrix Receiver.

   

Для обеспечения корректной работы, необходимо чтобы адрес сервера с ПО Citrix StoreFront был

3. добавлен в доверенные(Trusted) или локальные(Local Intranet) сайты в используемом браузере. В настройках уровня безопасности для каждого из вариантов необходимо убедится, что включена настройка Automatic logon with the current user name and password. Рекомендуется использовать браузер – Internet Explorer 9.0 и выше.

   

Если адрес сервера указан верно, а смарт-карта с сертификатом подключена к USB-порту ПК пользователя, откроется окно с запросом PIN-кода пользователя (рис. 48).

Рис. 48 — ПО Citrix Receiver: запрос PIN-кода для смарт-карты пользователя

4. Введите PIN-код пользователя (рис. 49).

   

Рис. 49 — Ввод PIN-кода пользователя

5. Подключение к серверу приложений (рис. 50).

   

6. Рис. 50 — Подключение к серверу приложений.

   

7. После подключения откройте вкладку Все приложения. Отобразятся доступные приложения и рабочие столы.

8. В настоящем примере выберите Win7x32 (рис. 51).

   

   

Рис. 51 — Список доступных приложений

Для входа в ОС Windows на виртуальной машине необходимо ввести PIN-код на ключевой носитель пользователя (рис. 52).

Рис. 52 — Аутентификация по смарт-карте на удаленном рабочем столе

Аутентификация прошла успешно (рис. 53).

Рис. 53 — Успешная аутентификация по смарт-карте в удаленном рабочем столе

Настройка сквозной аутентификации по смарт-карте

3.1. Порядок настройки Single Sing-On при

Внимание: Для корректной работы сквозной аутентификации по смарт-картам необходимо, чтобы

аутентификации по смарт

конечное устройство пользователя (ПК пользователя) было добавлено в домен, в котором находятся инфраструктурные серверы с установленным ПО Citrix XenDesktop 7 (Delivery Controller, StoreFront и тд.) или, при использовании нескольких доменов, между доменами были настроены доверительные отношения.

1. Настройка Single Sign-on (SSO) для аутентификации по смарт-карте при использовании ПО XenDesktop7 состоит из следующих этапов:.

-карте при

использовании ПО

XenDesktop

7

2. Создание каталога виртуальных машин (стр. 4).

3. Создание группы пользователей виртуальных машин (стр. 10).

4. Установка ПО Citrix Receiver 4.0 и выше на ПК пользователя (стр. 39).

5. Настройка политик аутентификации ПО Citrix XenDesktop (стр. 40).

6. Выпуск сертификата для IIS и настройка SSL доступа к IIS (стр. 19 и 23).

7. Настройка XML-запросов к серверу, с установленным ПО XenDesktop 7 (стр. 32).

8. Настройка ПО Citrix StoreFront 2.1 для включения SSO при аутентификации по смарт-картам (стр. 42).

9. Настройка ПКпользователя (стр. 34).

3.2. 4.0 Установка и настройка ПО Citrix Receiver для включения SSO пр и аутентификации по-картам.

1. Для настройки сквозной аутентификации по смарт-картам на Citrix Receiver 4.0 необходимо выполнить установку Citrix Receiver 4.0 с дополнительными параметрами. Установка Citrix Receiver 4.0 выполняется из командной строки:.

смарт

2. На ПК пользователя запустите утилиту командной строки CMD с правами админи-стратора.

3. В командной строке указать путь к файлу установщика Citrix Receiver 4.0 и дополни-тельно указать параметры для включения SSO:.

/includeSSON AM_SMARTCARDPINENTRY=CSP.

Пример:

C:\Distr\CitrixReceiver.exe /includeSSON AM_SMARTCARDPINENTRY=CSP

4. Дождитесь окончания установки ПО Citrix Receiver 4.0 и перезагрузите ПК пользователя.

5. После перезагрузки ПК пользователя проверьте, что в исполняемых процессах (Task Manager/Processes) присутсвует процесс ssonsrv.exe.

6. Выполните настройку политик аутентификации для ПО Citrix XenDesktop, которые будут применяться на серверы Citrix и устройства пользователей, как описано в разделе 3.3.

3.3.

7. Подробную информацию для настройки аутентификации по смарт-картам можно найти на сайте.

электронной документации: http://support.citrix.com/proddocs/topic/receiver-windows-40/receiver-windows-smart-card-cfg.html. Для настройки параметров сквозной аутентификации необходимо обратить внимание на следующие разделы: To enable single sign-on for smart card authentication, To use CSP PIN prompts.

Настройка политик аутентификации для ПО Citrix XenDesktop

1. Настройку политик рекомендуется выполнять через групповые политики службы каталога Active Directory. Также настройку можно осуществить из оснастки управления локальными политиками.

2. Для настройки групповых политики необходимо выполнить следующую последовательность действий:.

3. В шаблоны групповых политик службы каталога Active Directory импортируйте шаб-лон политик Citrix ADM Template (Add Template в оснастке управления групповыми политиками).

Шаблон политик можно найти в папке установки клиента ПО Citrix Receiver: C:\Program Files

(x86)\Citrix\ICA Client\Configuration\icaclient.adm.

4. Создайте политику (или отредактируйте имеющуюся) и включите сквозную аутен-тификацию по смарт картам.

5. Откройте раздел Computer Configuration -> Policies -> Administrative templates -> Classic -> Citrix Components -> Citrix receiver -> User Authentication.

   

6. Выберите настройку Smart Card Authentication и включите параметры «Allow smart card authentication» и «Use pass-through authentication for PIN». Выберите настройку Local User Name and Password и включите параметры «Enable pass-through authenti-cation» и «Allow pass-through authentication for all ICA connections» (рис. 54; рис. 55).

Подробной информация доступна на сайте — http://support.citrix.com/proddocs/topic/ica-settings/ica-settings-wrapper.html

7. Рис. 54 — Настройка групповых политик AD для SSO.

   

8. Рис. 55 — Настройка групповых политик службы каталога AD для SSO.

   

3.4. 2.1 Настройка ПО Citrix StoreFront для включения сквозной аутентификации по смарт -

Внимание: При работе с ПО Citrix StoreFront в многосерверных установках, используйте только один

сервер при внесения изменений в настройки. Убедитесь, что консоль управления Citrix StoreFront не выполняется на другом(их) серверах, данной серверной группы. После завершения конфигурирования, убедитесь что изменения применились на все серверы группы (propagate your configuration changes to the server group).

1. Для настройки ПО Citrix StoreFront для работы SSO при аутентификации по смарт-картам необходимо выполнить следующие действия на сервере с установленным ПО Citrix StoreFront:.

2. Выполните первоначальную настройку ПО Citrix StoreFront 2.1 согласно разделу — Настройка Citrix StoreFront (стр. 24).

3. В разделе Add/Remove Authentication Methods добавьте метод аутентификации Domain pass-through (рис. 56).

4. Рис. 56 — Настройка метода аутентификации.

   

5. Для включения сквозной аутентификации с использованием смарт-карт необходи-мо внести дополнительные изменения в конфигурацию. Для этого отредактируйте default.ica, для каждого ПО Citrix Store, где требуется сквозная аутентификация по смарт-картам.

картам.

6. Используя текстовый редактор, откройте файл default.ica, который находится в папке:.

 C:\inetpub\wwwroot\Citrix\storename\App_Data\.

7. Если в инфраструктуре не используется аутентификация через NetScaler Gateway, то добавьте следующий параметры.

   

[Application]: DisableCtrlAltDel=Off.

8. Данная настройка будет применяться для всех пользователей.

9. Для включения сквозной аутентификации по смарт-картам с использованием NetScaler Gateway, добавьте следующий параметр:.

[Application]: UseLocalUserAndPassword=On.

Подробная информация доступна на сайте: http://support.citrix.com/proddocs/topic/dws-storefront-21/dws-configure-conf-smartcard.html.7. Выполните настройку пользователя согласно разделу — Настройка ПК пользовате-ля (см. раздел 2.5). Проверить, что вход на виртуальную машину пользователя вы-полняется успешно. Проверить, что после входа на ПК пользователя (по смарт-карте или по паролю) больше не появляется окно запроса учетных данных или PIN-кода при доступе к StoreFront или/и к виртуальной машине пользователя.

Подробная информация доступна на сайте: support.citrix.com — настройка смарт-карт StoreFront.

Список сокращений

ОС — операционная система;

ПО — программное обеспечение;

ПК — персональный компьютер;

AD — active directory;

CA — certification authority;

CMD — command line interpreter;

DC — domain controller;

JC — JaCarta;

MS CA — microsoft certification authority;

HTTP — hyper text transfer protocol;

HTTPS — hyper text transfer protocol secure;

IIS — internet information services;

OU — organizational unit;

PIN — personal identification number;

PKI — public key infrastructure;

SSL — secure sockets layer;

SSO — single sign-on;

XML — eXtensible markup language.