Authentifizierung

Smartcard

• Die Citrix Workspace-App für ChromeOS unterstützt USB-Smartcard-Lesegeräte mit StoreFront. Sie können Smartcards für die folgenden Zwecke verwenden:

• Smartcard-Anmeldeauthentifizierung bei der Citrix Workspace-App.
• Smartcard-fähige veröffentlichte Apps für den Zugriff auf lokale Smartcard-Geräte.

• Smartcards zum Signieren von Dokumenten und E-Mails. Zum Beispiel Microsoft Word und Outlook, die in ICA®-Sitzungen gestartet werden.

• Unterstützte Smartcards (mit USB-Smartcard-Lesegeräten) umfassen:

• Personal Identity Verification (PIV)
• Common Access Cards (CAC)

Voraussetzungen

• StoreFront-Versionen 3.6 oder höher
• XenDesktop 7.6 oder höher
• XenApp 6.5 oder höher
• Citrix Virtual Apps and Desktops 1808 oder höher
• Citrix Workspace-App 1808 oder höher

Wichtig:

• Für die Smartcard-Authentifizierung bei StoreFront 3.5 und früheren Versionen benötigen Sie ein benutzerdefiniertes Skript, um die Smartcard-Authentifizierung zu aktivieren. Wenden Sie sich an den Citrix Support, um Unterstützung zu erhalten.

• Die neuesten Informationen zu unterstützten Versionen finden Sie unter den Lebenszyklus-Meilensteinen für die Citrix Workspace-App und Citrix Virtual Apps and Desktops.

Voraussetzungen für die Gerätekonfiguration

• Der Google Smart Card Connector ist eine App, die mit den USB-Smartcard-Lesegeräten auf dem Gerät interagiert. Die Connector-App stellt Personal Computer Smart Card (PCSC) Lite-APIs für andere Apps, einschließlich der Citrix Workspace-App, bereit.

• Zertifikatanbieter sind die von Anbietern geschriebenen Middleware-Apps, die mit dem Smartcard-Connector interagieren. Die Middleware-Apps greifen auf das Smartcard-Lesegerät zu, lesen Zertifikate und stellen Smartcard-Zertifikate für ChromeOS bereit.

• Die Middleware-Apps implementieren auch Signaturfunktionen mithilfe von PIN-Eingabeaufforderungen.

• Zum Beispiel CACKey.

• Weitere Informationen finden Sie unter Smartcards auf ChromeOS bereitstellen.

• Wenn Sie die Smartcard-Authentifizierung in StoreFront konfigurieren, fordert die Citrix Workspace-App ChromeOS auf, Clientzertifikate auf der Smartcard bereitzustellen. ChromeOS präsentiert die Zertifikate, wie sie von den Anbietern empfangen wurden. PIN-Eingabeaufforderungen zeigen die Authentifizierung an.

  • Die Citrix Workspace-App verfügt über eine genehmigte Liste zulässiger Betriebssysteme für die Smartcard-Authentifizierung. StoreFront 3.6 und höher genehmigen auch ChromeOS. Für frühere Versionen von StoreFront können Sie ein benutzerdefiniertes Skript verwenden, um die Smartcard-Authentifizierung unter ChromeOS zuzulassen. Wenden Sie sich an den Citrix Support für ein benutzerdefiniertes Skript.

  • Die Citrix Workspace-App steuert den Smartcard-Authentifizierungs-Workflow mit StoreFront nicht. In einigen Fällen kann StoreFront Sie jedoch auffordern, den Browser zu schließen, um Cookies zu löschen.

  • Um alle Cookies zu löschen und die Store-URL erneut zu laden, klicken Sie in der Citrix Workspace-App für ChromeOS auf die Schaltfläche zum Neuladen.

  Um Cookies zusätzlich zu löschen, können Sie sich manchmal vom ChromeOS-Gerät abmelden.

  • Wenn Sie versuchen, eine App oder eine Desktopsitzung zu starten, verwendet die Citrix Workspace-App keine Smartcard-Umleitung. Stattdessen interagiert sie mit der Smartcard-Connector-App für PC/SC Lite-APIs.

  PIN-Eingabeaufforderungen, die für die Windows-Anmeldung erforderlich sind, erscheinen innerhalb der Sitzung. Hier spielen die Zertifikatanbieter keine Rolle. Die Citrix Workspace-App verwaltet die sitzungsinternen Aktivitäten wie Double Hop oder das Signieren von E-Mails.

Smartcard-Einschränkungen

-  Wenn Sie die Smartcard vom ChromeOS-Gerät entfernen, wird das Smartcard-Zertifikat zwischengespeichert. Dieses Verhalten ist ein bekanntes Problem in Google Chrome. Starten Sie das ChromeOS-Gerät neu, um den Cache zu löschen.

• Wenn die Citrix Workspace-App für ChromeOS neu verpackt wird, muss der Administrator die AppID-Genehmigung von Google einholen. Dadurch wird bestätigt, dass die Smartcard-Connector-Anwendung durchgelassen wird.
• Es wird jeweils nur ein Smartcard-Lesegerät unterstützt.
• Virtuelle Smartcards und schnelle Smartcards werden nicht unterstützt.
• Smartcards werden in Citrix Workspace (Cloud) nicht unterstützt.

So konfigurieren Sie die Smartcard-Unterstützung auf Ihrem ChromeOS-Gerät

1. Installieren Sie die Smartcard-Connector-Anwendung. Die Smartcard-Anwendung ist für die Personal Computer Smart Card (PCSC)-Unterstützung auf dem ChromeOS-Gerät erforderlich. Diese Anwendung liest die Smartcard über die USB-Schnittstelle. Sie können diese Anwendung von der Chrome-Website installieren.

2. Installieren Sie die Middleware-Anwendung. Eine Middleware-Anwendung ist als Schnittstelle erforderlich, die mit der Smartcard und den anderen Clientzertifikaten kommuniziert. Zum Beispiel Charismathics oder CACKey:

   1. Informationen zur Installation der Charismathics Smartcard-Erweiterung oder von CACKey finden Sie in den Anweisungen auf der Chrome-Website.

   2. Weitere Informationen zu Middleware-Anwendungen und Smartcard-Authentifizierung finden Sie auf der Google Support-Website.

3. Konfigurieren Sie die Smartcard-Authentifizierung mit:

   1. Citrix Gateway
   2. StoreFront Management Console

   Weitere Informationen finden Sie unter Konfigurieren der Smartcard-Authentifizierung und Konfigurieren des Authentifizierungsdienstes in der Citrix Gateway-Dokumentation.

SAML-Authentifizierung

So konfigurieren Sie Single Sign-On:

1. Richten Sie den Drittanbieter-Identitätsanbieter (IdP) für die SAML-Authentifizierung ein, falls dies noch nicht geschehen ist. Zum Beispiel ADFS 2.0.

   Weitere Informationen finden Sie im Knowledge Center-Artikel CTX133919.

2. Richten Sie Single Sign-On mit Google Apps mithilfe von SAML IdP ein. Die Konfiguration ermöglicht es Benutzern, eine Drittanbieter-Identität zu verwenden, um Google Apps anstelle des Google Enterprise-Kontos zu nutzen.

   Weitere Informationen finden Sie unter Single Sign-On für verwaltete Google-Konten mit Drittanbieter-Identitätsanbietern einrichten im Google Support.

3. Konfigurieren Sie Chrome-Geräte so, dass sie sich über SAML IdP anmelden. Die Konfiguration ermöglicht es Benutzern, sich mit einem Drittanbieter-Identitätsanbieter bei Chrome-Geräten anzumelden.

   Weitere Informationen finden Sie unter SAML Single Sign-On für Chrome-Geräte konfigurieren im Google Support.

4. Konfigurieren Sie Citrix Gateway so, dass es sich über SAML IdP anmeldet. Die Konfiguration ermöglicht es Benutzern, sich mit einem Drittanbieter-Identitätsanbieter bei Citrix Gateway anzumelden.

   Weitere Informationen finden Sie unter Konfigurieren der SAML-Authentifizierung.

5. Konfigurieren Sie Citrix Virtual Apps and Desktops für die Federated Authentication, um sich mit dynamisch generierten Zertifikaten bei Citrix Virtual Apps and Desktops-Sitzungen anzumelden. Sie können dies nach der SAML-Anmeldung tun, anstatt Benutzernamen- und Kennwortkombinationen einzugeben.

   Weitere Informationen finden Sie unter Federated Authentication Service.

   Um SSO für virtuelle Apps und Desktops zu erreichen, müssen Sie einen Federated Authentication Service (FAS) bereitstellen.

   Hinweis:

   Ohne FAS werden Sie zur Eingabe des Active Directory-Benutzernamens und -Kennworts aufgefordert. Weitere Informationen finden Sie unter Single Sign-On für Workspaces mit Citrix Federated Authentication Service aktivieren.

6. Installieren und konfigurieren Sie SAML SSO für die Chrome-App-Erweiterung auf Chrome-Geräten. Weitere Informationen finden Sie auf der Google-Website. Diese Erweiterung ruft SAML-Cookies vom Browser ab und stellt sie Citrix Workspace zur Verfügung. Diese Erweiterung muss mit der folgenden Richtlinie konfiguriert werden, damit Citrix Workspace SAML-Cookies abrufen kann.

   Wenn Sie die Citrix Workspace-App für ChromeOS neu verpacken, ändern Sie die appId korrekt. Ändern Sie außerdem die Domäne in die SAML-IdP-Domäne Ihres Unternehmens.

   {
       "whitelist" : {
           "Value" : [
               {
               "appId" : "haiffjcadagjlijoggckpgfnoeiflnem",
               "domain" : "saml.yourcompany.com"
               }
           ]
        }
   }
   <!--NeedCopy-->
   

7. Konfigurieren Sie Citrix Workspace so, dass es das für die SAML-Anmeldung konfigurierte Citrix Gateway verwendet. Die Konfiguration ermöglicht Benutzern die Verwendung des für die SAML-Anmeldung konfigurierten Citrix Gateways. Weitere Informationen zur ChromeOS-Konfiguration finden Sie im Knowledge Center-Artikel CTX141844.