SAML-Signaturzertifikat des Dienstanbieters aktualisieren
SAML-Verbindungen, die signierte Anfragen und Antworten verwenden, hängen von zwei verschiedenen SAML-Signaturzertifikaten ab. Eines für jede Seite der SAML-Verbindung.
Signaturzertifikat des Dienstanbieters
Dieses Zertifikat wird von Citrix über die Citrix Cloud™ SAML-Metadaten bereitgestellt und während der Ankündigungsphase der SP-Signaturzertifikatsrotation aktualisiert. Dies geschieht mindestens einmal pro Kalenderjahr.
SAML-Signaturzertifikate müssen vor ihrem Ablaufdatum rotiert werden, um den Administratoren von Citrix Cloud Zeit zu geben, sich auf die Bereitstellung vorzubereiten. Die Zertifikatsrotation ist sowohl für Dienstanbieter als auch für Identitätsanbieter erforderlich, um die Abstimmung sicherzustellen und Ausfallzeiten zu vermeiden.
Wenn ein ausgewählter SAML-Anbieter keine automatische Rotation des SP-SAML-Signaturzertifikats unterstützt, muss eine manuelle Rotation des SAML-Signaturzertifikats innerhalb Ihres SAML-Anbieters durchgeführt werden, um das ablaufende Zertifikat zu ersetzen.
Wichtig:
Alle bestehenden Anleitungen in diesem SAML-eDoc-Abschnitt enthalten Details zur Konfiguration der Signierung auf beiden Seiten der SAML-Verbindung. Citrix® empfiehlt nur signierte SAML-Konfigurationen, da diese sicherer sind und von einigen SAML-Anbietern für einen erfolgreichen Logout (SLO) benötigt werden.
FAQ
Was ist SAML-Signierung?
Das SAML-Protokoll verwendet Nachrichten, um die Authentifizierung anzufordern und Identitätsaussagen zu senden. Die Sicherheit dieser Nachrichten hängt sowohl von der Transport- als auch von der Nachrichtenebenensicherheit ab. Die Nachrichten sind XML-Dokumente, die gemäß der XML-Signatursyntax signiert sind. Dies gewährleistet sowohl die Integrität der Nachricht als auch die Authentifizierung des Absenders, indem bewiesen wird, dass er den privaten Schlüssel besitzt. Das Vertrauensmodell wird beschrieben durch: SAML-Sicherheits- und Datenschutzüberlegungen. Die öffentlichen Schlüssel, die zur Definition vertrauenswürdiger privater Schlüssel verwendet werden, können in jedem geeigneten Format verteilt werden. Citrix verwendet X.509-Zertifikate als geeignete Container zum Verteilen und Verwenden von Schlüsseln.
Was ist die Erzwingung signierter SAML-Anfragen?
Nur weil Citrix Cloud so konfiguriert ist, dass signierte Anfragen innerhalb der SAML-Verbindung gesendet werden, garantiert dies nicht, dass der SAML-Anbieter die Verwendung von Signaturen erzwingt und unsignierte eingehende SAML-Anfragen ablehnt. Die meisten SAML-IdPs bieten eine Option zur Erzwingung signierter Anfragen. Wenn eine unsignierte Anfrage zum Anmelden beim SAML-Anbieter empfangen wird, schlägt die SAML-Anmeldung fehl. Einige SAML-IdPs wie Duo bieten diese Option nicht einmal an. Es liegt in der Verantwortung des SAML-IdP-Administrators, den Status der SAML-IdP-Konfiguration zu überprüfen. Der Citrix-Support hat keine Kontrolle oder Einsicht darüber, ob signierte Anfragen in Ihrer SAML-Anwendung erzwungen werden.
Wie häufig rotiert Citrix sein SAML-Signaturzertifikat des Dienstanbieters?
Um eine ausreichende Überschneidung zwischen dem aktiven Signaturzertifikat des Dienstanbieters und dem neu ausgestellten zu ermöglichen, rotiert Citrix das Signaturzertifikat des Dienstanbieters etwa alle 11 Monate. Dies soll sicherstellen, dass den Citrix Cloud-Kunden 30 Tage vor der Aktivierung des neuen Zertifikats ein gültiges Zertifikat zur Verfügung steht.
Was ist die Werbephase des SAML-Signaturzertifikats des Dienstanbieters?
Während der Werbephase sind das aktuelle und das Ersatz-SAML-Signaturzertifikat in den Citrix Cloud-Metadaten vorhanden. Nur das aktive Zertifikat kann zur SAML-Anforderungsüberprüfung bis zum Rotationsdatum und der Rotationszeit verwendet werden. Dies ist das Datum und die Uhrzeit, die in den Citrix Cloud-E-Mails und den Benachrichtigungen der Citrix Cloud-Konsole angegeben sind.
Wichtig:
Das Ablaufdatum des Signaturzertifikats ist nicht dasselbe wie das Aktivierungsdatum. Es ist das Aktivierungsdatum, auf das die Citrix- und IdP-Administratoren achten müssen, NICHT das Ablaufdatum des Zertifikats. Das Citrix Cloud-Signaturzertifikat wird immer vor seinem Ablauf rotiert.
Sie können das Werbe- und Aktivierungsdatum und die Uhrzeit über diesen Link Rotationsplan überprüfen.
Die Daten und Uhrzeiten werden als Unix-Epoch-Zeitstempel für jedes Ereignis im Rotationsprozess des Dienstanbieter-Signaturzertifikats bereitgestellt.
Verwenden Sie den Epoch-Konverter, um Unix-Epoch-Zeitstempel in ein menschenlesbares Datums- und Uhrzeitformat umzuwandeln.
Warum hat Citrix beschlossen, ein selbstsigniertes Citrix Cloud SAML-Signaturzertifikat anstelle eines von einer öffentlichen Zertifizierungsstelle wie Digitcert signierten Zertifikats zu verwenden?
Der Aussteller im SAML-Signaturzertifikat der neuesten Version, das Sie in Ihre SAML-Anwendungen hochladen sollten, ist jetzt „samlsigning.cloud.com, Citrix Systems Inc.“ anstelle einer öffentlichen Zertifizierungsstelle wie Digicert. Die Verwendung selbstsignierter SP-Signaturzertifikate dient dazu, eine bekannte SAML-Schwachstelle bei extern ausgestellten Zertifikaten, die als „Silver SAML“ bezeichnet wird, zu mindern.
Warum habe ich eine Benachrichtigung per E-Mail und in der Citrix Cloud-Konsole erhalten, die darauf hinweist, dass das aktuelle Citrix Cloud SAML-Signaturzertifikat bald abläuft und ersetzt werden muss?
SAML-Anbieter (IdP) benötigen ein gültiges und aktuelles Zertifikat, um die Signatur eingehender SAML-Anfragen von Dienstanbietern wie Store und der Citrix Cloud-Konsole zu überprüfen. Citrix Cloud-Kunden, die SAML für die Anmeldung bei Store oder der Citrix Cloud-Konsole verwenden, werden kontaktiert, um sie über eine bevorstehende Rotation des SAML-Signaturzertifikats zu informieren.
Woher weiß ich, ob mein Citrix Cloud-Kunde von der Rotation des Citrix Cloud SAML-Signaturzertifikats betroffen ist oder nicht?
Dies betrifft Citrix Cloud-Kunden mit der folgenden SAML-Konfiguration.
- Ihre SAML-Verbindung in Citrix Cloud ist konfiguriert mit Authentifizierungsanfragen signieren = Ja
- Sie haben Ihren SAML-Anbieter wie Microsoft Entra ID, ADFS oder Okta so konfiguriert, dass er unsignierte SAML-Anfragen ablehnt (Erzwingung der Signatur).
- Sie haben Single Logout (SLO) innerhalb Ihrer Citrix Cloud SAML-Verbindung und innerhalb Ihres SAML-Anbieters konfiguriert. SLO-Anfragen müssen als Teil der Best Practices für Sicherheit signiert werden.
Wie überprüfe ich die Signaturkonfiguration meiner Citrix Cloud SAML-Verbindung?
Navigieren Sie zu Identitäts- und Zugriffsverwaltung > SAML 2.0 > Ansicht, um zu überprüfen, ob Sie Authentifizierungsanfragen signieren innerhalb Ihrer Citrix Cloud SAML-Verbindung aktiviert haben. Alle neuen SAML-Verbindungen in Citrix Cloud werden standardmäßig auf Identitätsanbieter Authentifizierungs-/Abmeldeanfragen signieren = Ja für die Anmeldung (SSO) und Abmeldung (SLO) eingestellt.
Wie überprüfe ich, ob die Erzwingung der Signatur in meiner SAML-App konfiguriert ist?
Dies variiert je nach dem von Ihnen verwendeten SAML-Anbieter. Alle von Citrix dokumentierten SAML-Lösungen enthalten Schritte zur Aktivierung der Erzwingung der Signatur als Teil der Best Practices für Sicherheit.
EntraID Beispiel für Erzwingung der Signatur:
Okta Beispiel für Erzwingung der Signatur:
Wo erhalte ich eine Kopie des neuesten Service Provider (SP) Signaturzertifikats?
Dieses Zertifikat wird von Citrix über die Citrix Cloud SAML-Metadaten bereitgestellt und während der Ankündigungsphase der SP-Signaturzertifikatsrotation regelmäßig aktualisiert. Dies geschieht mindestens einmal pro Kalenderjahr.
USA, EU und APS: https://saml.cloud.com/saml/metadata
JP: https://saml.citrixcloud.jp/saml/
GOV: https://saml.cloud.us/saml/metadata
Wann kann das alte Citrix Cloud SAML-Signaturzertifikat sicher entfernt werden, wenn meine SAML-App mehrere Verifizierungszertifikate unterstützt?
Entfernen Sie das alte Citrix Cloud-Signaturzertifikat erst nach dem in der E-Mail und der Citrix Cloud-Konsolenbenachrichtigung angegebenen Aktivierungsdatum und der Aktivierungszeit aus Ihren SAML-Anwendungen. Einige SAML-IdPs wie Okta erlauben das Hochladen nur eines Signaturzertifikats gleichzeitig. In dieser Situation bleibt keine andere Wahl, als das aktuelle Zertifikat nach dem Aktivierungsdatum und der Aktivierungszeit mit dem neuen zu überschreiben. Dies sollte nicht vor dem Aktivierungsdatum und der Aktivierungszeit erfolgen.
Metadatenaustausch verwenden, um den SAML-Anbieter automatisch mit dem neuesten Citrix Cloud SP SAML-Signaturzertifikat zu aktualisieren
Mithilfe des SAML-Metadatenaustauschs konsumiert der SAML-Anbieter die Citrix Cloud SAML-Metadaten automatisch, indem er die Metadaten-URL überwacht, z. B. https://saml.cloud.com/saml/metadata. Wenn Ihr SAML-Anbieter den SAML-Metadatenaustausch unterstützt, ist das SP-Signaturzertifikat möglicherweise bereits automatisch aktualisiert worden. Vergewissern Sie sich, dass Ihr SAML-Anbieter den Metadatenaustausch unterstützt. Danach können Sie überprüfen, ob die Aktualisierung erfolgt ist, bevor das aktuelle SAML-Signaturzertifikat abläuft.
Wichtig
Es gibt große Unterschiede hinsichtlich der SAML-Funktionen, die jeder SAML-Drittanbieter unterstützt. Es liegt in der Verantwortung des Citrix Cloud-Administrators, die Funktionen und Anforderungen des von Ihnen verwendeten SAML-Anbieters zu kennen und zu verstehen. Dies ist notwendig, um sicherzustellen, dass sowohl die Citrix Cloud SAML-Verbindungskonfiguration (SP) als auch die SAML-Anbieterkonfiguration (IdP) übereinstimmen. Schlagen Sie in der Dokumentation Ihres SAML-Anbieters nach, um festzustellen, ob er die Signaturprüfung unterstützt und ob SAML-Anfragen und -Antworten signiert werden müssen.
SAML-Anbieter manuell mit dem neuesten Citrix Cloud SP SAML-Signaturzertifikat aktualisieren
Wichtig
Die SP-Zertifikatsrotation muss jedes Mal durchgeführt werden, wenn ein neues Zertifikat von Citrix Cloud veröffentlicht wird, da sonst die SAML-Anmeldung beeinträchtigt wird und es zu Ausfallzeiten kommt.
Eine Kopie des zukünftigen Service Provider-Zertifikats aus den Citrix Cloud-Metadaten abrufen
-
Rufen Sie die neuesten SAML-Metadaten aus Citrix Cloud ab, indem Sie Ihre aktuelle SAML-Verbindung unter Identitäts- und Zugriffsverwaltung anzeigen, auf Authentifizierung klicken, SAML-Verbindung auswählen und auf Anzeigen klicken. Die folgende Abbildung zeigt ein Beispiel, wie diese Datei für Citrix Cloud-Regionen wie USA, EU und APS aussehen könnte:
https://saml.cloud.com/saml/metadata
In diesem Beispiel einer Metadaten-XML-Datei gibt es zwei x.509 Citrix Cloud SAML-Signaturzertifikate.
- Es ist möglich, das x.509-Zertifikat aus den Metadaten zu extrahieren, indem die XML-Datei in ein Drittanbieter-Tool hochgeladen oder die Metadaten-URL bereitgestellt wird.
- Navigieren Sie zu https://www.rcfed.com/SAMLWSFed/MetadataCertificateExtract
-
Geben Sie die SAML-Metadaten-URL ein, die Ihrer Citrix Cloud-Kundenregion entspricht:
- USA, EU und APS: https://saml.cloud.com/saml/metadata
- JP: https://saml.citrixcloud.jp/saml/metadata
- GOV: https://saml.cloud.us/saml/metadata
Laden Sie das SAML-Signaturzertifikat von https://www.rcfed.com/SAMLWSFed/MetadataCertificateExtract herunter.
-
Laden Sie das neu extrahierte Citrix Cloud SP SAML-Zertifikat bei Ihrem SAML-Anbieter hoch. Dieser Vorgang ist für jeden SAML-Anbieter unterschiedlich. Überprüfen Sie das korrekte Verfahren zur Rotation des SP-Signaturzertifikats anhand der Dokumentation Ihres spezifischen SAML-Anbieters.
Je nach Ihrem SAML-Anbieter muss das vorhandene SAML-Signaturzertifikat möglicherweise durch das neue ersetzt werden. In einigen Fällen unterstützt der SAML-Anbieter möglicherweise mehrere SP-Signaturzertifikate gleichzeitig, sodass das Hochladen des neuen Zertifikats ausreicht. Es wird empfohlen, das alte Zertifikat zu entfernen, sobald es abgelaufen ist.
ODER,
Eine Kopie des zukünftigen Service Provider-Zertifikats aus der Citrix Cloud-Benutzeroberfläche abrufen
-
Innerhalb des Assistenten zum Konfigurieren von SAML 2.0 für neue manuell erstellte Verbindungen.
-
Navigieren Sie im Assistentenfluss zur Seite Identitätsanbieter.
-
Wählen Sie Ich kann die Metadaten-URL nicht verwenden. Welche anderen Optionen gibt es?
-
Wählen Sie Metadatenfelder manuell eingeben und navigieren Sie zum Abschnitt Service Provider-Zertifikate.
-
Laden Sie die zukünftige Version des Citrix Cloud-Signaturzertifikats herunter.
Ein Ersatz-SAML-Signaturzertifikat für Citrix Cloud in Ihre Microsoft Entra ID SAML-Anwendung hochladen
Bevor Sie die Microsoft Entra ID SAML-App konfigurieren, lesen Sie SAML-Anforderungssignaturprüfung für weitere Informationen.
- Navigieren Sie zu Microsoft Entra ID, wählen Sie Unternehmensanwendungen und klicken Sie auf Ihre SAML-App.
-
Suchen Sie den Abschnitt SAML-Zertifikate innerhalb der SAML-Anwendung.
-
Wählen Sie Zertifikat hochladen und laden Sie das Ersatz-SAML-Signaturzertifikat von Citrix Cloud hoch, das Sie aus den SAML-Metadaten erhalten haben.
Hinweis:
Microsoft Entra ID SAML-Apps können mit mehreren Signatur-Verifizierungszertifikaten konfiguriert werden, sodass es möglich ist, ein Ersatzzertifikat lange vor Ablauf des aktuellen Zertifikats hochzuladen. Der folgende Screenshot zeigt zwei gültige Zertifikate. Eines der Zertifikate läuft in naher Zukunft ab. Vorausgesetzt, mindestens eines der hochgeladenen Zertifikate ist gültig und noch nicht abgelaufen, wird eine SAML-Anmeldung bei einem Store oder Citrix Cloud weiterhin erfolgreich sein und Sie werden keine Ausfallzeiten erleben.
Wichtig:
Entfernen Sie das vorhandene Verifizierungszertifikat nicht, bevor das in der E-Mail und der Citrix Cloud-Konsolenbenachrichtigung angegebene SAML-Rotationsdatum und die Uhrzeit verstrichen sind. Das neue Citrix Cloud-Zertifikat wird erst zu dem in diesen beiden Benachrichtigungen angegebenen Datum und der Uhrzeit aktiv.
Laden Sie ein Ersatz-SAML-Signaturzertifikat von Citrix Cloud in Ihre Okta SAML-Anwendung hoch
Okta unterstützt nicht mehrere SP-SAML-Signaturzertifikate gleichzeitig. Sie müssen das vorhandene Citrix Cloud SP-Signaturzertifikat, das Sie derzeit verwenden, mit dem neuen überschreiben. Es wird empfohlen, dies in einem geplanten Wartungsfenster zu tun.
-
Navigieren Sie zu Anwendungen, wählen Sie Anwendungen und suchen Sie nach Ihrer Okta SAML-App
-
Navigieren Sie von Allgemein zu SAML-Einstellungen, klicken Sie auf Bearbeiten, wählen Sie SAML konfigurieren, wählen Sie Erweiterte Einstellungen anzeigen und klicken Sie auf Signaturzertifikat, um einen Ersatz hochzuladen. Okta zeigt das aktuelle Citrix Cloud SAML-Signaturzertifikat nicht in der Upload-Benutzeroberfläche an. Es wird das Ersatzzertifikat erst nach dem Hochladen anzeigen.
-
Wählen Sie Signaturzertifikat, klicken Sie auf Dateien durchsuchen und laden Sie das Ersatz-SAML-Signaturzertifikat von Citrix Cloud hoch, das Sie aus den Citrix Cloud SAML-Metadaten erhalten haben.
Wichtig
Überschreiben Sie das vorhandene Verifizierungszertifikat nicht, bevor das in der E-Mail und der Citrix Cloud-Konsolenbenachrichtigung angegebene SAML-Rotationsdatum und die angegebene Uhrzeit erreicht sind. Das neue Citrix Cloud-Zertifikat wird erst zu dem in diesen beiden Benachrichtigungen angegebenen Datum und der angegebenen Uhrzeit aktiv.
In diesem Artikel
- Signaturzertifikat des Dienstanbieters
- FAQ
- Metadatenaustausch verwenden, um den SAML-Anbieter automatisch mit dem neuesten Citrix Cloud SP SAML-Signaturzertifikat zu aktualisieren
- SAML-Anbieter manuell mit dem neuesten Citrix Cloud SP SAML-Signaturzertifikat aktualisieren
- Ein Ersatz-SAML-Signaturzertifikat für Citrix Cloud in Ihre Microsoft Entra ID SAML-Anwendung hochladen