Single Sign-On mit Citrix Federated Authentication Service aktivieren

Der Citrix Federated Authentication Service (FAS) ermöglicht Single Sign-On (SSO) für Ressourcen, die auf in Active Directory eingebundenen VDAs gehostet werden. Dadurch wird sichergestellt, dass Benutzer, sobald sie sich bei ihrem Store angemeldet haben, virtuelle Apps und Desktops starten können, ohne zur erneuten Eingabe ihrer Anmeldeinformationen aufgefordert zu werden.

FAS wird typischerweise verwendet, wenn Sie einen der folgenden Identitätsanbieter zur Authentifizierung nutzen:

• Microsoft Entra ID
• Okta
• SAML 2.0
• Citrix Gateway
• Google Cloud Identity

FAS ist für SSO zu Ressourcen nicht erforderlich, wenn Sie Active Directory (AD), AD plus Token oder bestimmte Konfigurationen von Citrix Gateway verwenden. Weitere Informationen zur Konfiguration von Citrix Gateway finden Sie unter Erstellen einer OAuth-IdP-Richtlinie auf dem lokalen Citrix Gateway.

Für Single Sign-On zu Entra-verbundenen VDAs siehe stattdessen Entra ID SSO zu VDAs.

FAS-Server

Innerhalb jedes Ressourcenstandorts können Sie mehrere FAS-Server mit Citrix Cloud™ für Lastenausgleichs- und Failover-Zwecke verbinden.

Citrix Cloud unterstützt die Verwendung von FAS-Servern in den folgenden Szenarien.

In beiden Szenarien geben Endbenutzer, die sich über einen föderierten Identitätsanbieter bei ihren Stores anmelden, ihre Anmeldeinformationen nur einmal ein, um auf Apps und Desktops zuzugreifen.

FAS-Server, die mit einem einzelnen Ressourcenstandort verbunden sind

Wenn Ihre Ressourcenstandorte unterschiedliche Infrastrukturen enthalten (zum Beispiel enthalten verschiedene Ressourcenstandorte unterschiedliche AD-Gesamtstrukturen), stellen Sie FAS-Server an dem Ressourcenstandort bereit, an dem sich Ihre VDAs befinden. SSO ist nur an Ressourcenstandorten aktiv, an denen ein oder mehrere FAS-Server verbunden sind.

Mit mehreren Ressourcenstandorten verbundene FAS-Server

Wenn Sie Netzwerkverbindungen zwischen Ihren Ressourcenstandorten haben und diese eine ähnliche Infrastruktur enthalten, können Sie Ihre FAS-Server mit mehreren Ressourcenstandorten verbinden. SSO ist für Store-Endbenutzer aktiv, die sich mit Apps und Desktops an diesen Ressourcenstandorten verbinden. In diesem Szenario ist es nicht erforderlich, separate FAS-Server mit jedem Ressourcenstandort zu verbinden.

Wenn Endbenutzer eine virtuelle App oder einen virtuellen Desktop starten, wählt Citrix Cloud einen FAS-Server am selben Ressourcenstandort wie die gestartete App oder der gestartete Desktop aus. Citrix Cloud kontaktiert den ausgewählten FAS-Server, um ein Ticket zu erhalten, das den Zugriff auf ein auf dem FAS-Server gespeichertes Benutzerzertifikat gewährt. Um den Endbenutzer zu authentifizieren, verbindet sich der VDA mit dem FAS-Server und präsentiert das Ticket.

Sie können denselben FAS-Server sowohl für lokale Bereitstellungen als auch für Citrix Cloud mit der richtigen Regelkonfiguration verwenden.

Failover-Priorität für mehrere Ressourcenstandorte

Bei der Verwendung von FAS-Servern mit mehreren Ressourcenstandorten können FAS-Server an einem Ressourcenstandort ein Failover für FAS-Server an anderen Ressourcenstandorten bereitstellen. Wenn Sie FAS-Server zu anderen Ressourcenstandorten hinzufügen, weisen Sie jedem Server die Bezeichnung primär oder sekundär zu. Wenn Endbenutzer eine virtuelle App oder einen virtuellen Desktop starten, verwendet Citrix Cloud diese Bezeichnung auf folgende Weise, um einen FAS-Server auszuwählen:

• FAS-Server, die am jeweiligen Ressourcenstandort als primär bezeichnet sind, werden zuerst berücksichtigt.
• Wenn keine primären Server verfügbar sind, werden FAS-Server berücksichtigt, die als sekundär bezeichnet sind.
• Wenn keine sekundären Server verfügbar sind, wird der Start fortgesetzt, aber Single Sign-On findet nicht statt.

Videoübersicht

Eine Übersicht über den Federated Authentication Service für Citrix® StoreFront Cloud finden Sie in diesem Tech Insight-Video:

[![Tech Insight – Federated Authentication Service für Citrix Workspace

](https://img.youtube.com/vi/WQfn_rLyZWs/0.jpg)](https://www.youtube.com/watch?v=WQfn_rLyZWs “Tech Insight - Federated Authentication Service for Citrix Workspace “)

Anforderungen

Konnektivitätsanforderungen

Verwenden Sie die FAS-Verwaltungskonsole, um einen FAS-Server mit Citrix Cloud zu verbinden. Sie können diese Konsole verwenden, um einen lokalen oder Remote-FAS-Server zu konfigurieren. Um SSO für Stores mit FAS zu aktivieren, greifen die FAS-Verwaltungskonsole und der FAS-Dienst jeweils über das Konto des Konsolenbenutzers und das Netzwerkdienstkonto auf die folgenden Adressen zu.

• FAS-Verwaltungskonsole, über das Konto des Konsolenbenutzers:
  • *.cloud.com
  • *.citrixworkspacesapi.net
  • Adressen, die von einem Identitätsanbieter eines Drittanbieters benötigt werden, falls einer in Ihrer Umgebung verwendet wird
• FAS-Dienst, über das Netzwerkdienstkonto:
  • *.citrixworkspacesapi.net
  • https://*.citrixnetworkapi.net/

Wenn Ihre Umgebung Proxyserver umfasst, konfigurieren Sie den Benutzerproxy mit den Adressen für die FAS-Verwaltungskonsole. Stellen Sie außerdem sicher, dass die Adresse für das Netzwerkdienstkonto entsprechend Ihrer Umgebung konfiguriert ist.

FAS-Systemanforderungen

Sie müssen Federated Authentication Service 2003 (Version 10.1) oder höher an jedem der Ressourcenstandorte bereitstellen, an denen Sie Single Sign-On aktivieren möchten. Vollständige Systemanforderungen für den FAS-Server werden im Abschnitt Systemanforderungen der FAS-Produktdokumentation beschrieben.

Citrix DaaS™

Sie müssen Citrix DaaS unter Dienstintegrationen bereitgestellt und aktiviert haben.

Cloud Connectors

Citrix Cloud Connectors ermöglichen die Kommunikation zwischen Ihrem Ressourcenstandort (wo sich die VDAs befinden) und Citrix Cloud. Stellen Sie mindestens zwei Cloud Connectors bereit, um Hochverfügbarkeit zu gewährleisten. Die Server, auf denen Sie die Cloud Connector-Software installieren, müssen die folgenden Anforderungen erfüllen:

• Systemanforderungen, wie in Cloud Connector Technical Details beschrieben
• Es sind keine anderen Citrix-Komponenten installiert, der Server ist kein Active Directory-Domänencontroller und ist keine Maschine, die für Ihre Ressourcenstandort-Infrastruktur kritisch ist.
• Der Domäne beigetreten, in der sich Ihre VDAs befinden.

Weitere Informationen zur Bereitstellung von Cloud Connectors finden Sie in den folgenden Artikeln:

• Cloud Connector Proxy- und Firewall-Konfiguration
• Cloud Connector-Installation

Einrichtungsübersicht

1. Wenn Sie neue FAS-Server bereitstellen, überprüfen Sie die Anforderungen und befolgen Sie die Anweisungen unter FAS installieren und konfigurieren in diesem Artikel.
2. Verbinden Sie Ihren FAS-Server mit Citrix Cloud, wie unter „Einen FAS-Server mit Citrix Cloud verbinden“ in diesem Artikel beschrieben. Durch Abschluss dieser Aufgabe wird Ihr FAS-Server mit einem einzelnen Ressourcenstandort verbunden.
3. Wenn Sie planen, Ihren FAS-Server mit mehreren Ressourcenstandorten zu verbinden, befolgen Sie die Anweisungen unter Einen FAS-Server zu mehreren Ressourcenstandorten hinzufügen in diesem Artikel.

FAS installieren und konfigurieren

Befolgen Sie den FAS-Installations- und Konfigurationsprozess, der in der FAS-Produktdokumentation beschrieben ist. Die Konfigurationsschritte für StoreFront und den Delivery Controller sind nicht erforderlich.

Tipp:

Sie können den Installer für den Federated Authentication Service auch über die Citrix Cloud-Konsole herunterladen:

1. Wählen Sie im Citrix Cloud-Menü die Option Ressourcenstandorte.
2. Wählen Sie die Kachel FAS-Server und klicken Sie dann auf Herunterladen.

FAS-Server mit Citrix Cloud verbinden

Verwenden Sie die FAS-Verwaltungskonsole, um Ihren FAS-Server mit Citrix Cloud zu verbinden, wie unter Installieren und Konfigurieren in der FAS-Produktdokumentation beschrieben.

Nachdem Sie den Konfigurationsschritt Mit Citrix Cloud verbinden abgeschlossen haben, registriert Citrix Cloud den FAS-Server und zeigt ihn auf der Seite „Ressourcenstandorte“ in Ihrem Citrix Cloud-Konto an.

Wenn die Seite „Ressourcenstandorte“ bereits in Ihrem Browser geladen ist, aktualisieren Sie die Seite, um den registrierten FAS-Server anzuzeigen.

Unterstützung für Cloud-Benachrichtigungen

FAS unterstützt jetzt Cloud-Benachrichtigungen. Mit den neuen Cloud-Benachrichtigungen für FAS-Server erhalten Sie Benachrichtigungen in den folgenden Fällen:

• Ein FAS-Server ist ausgefallen oder nicht verfügbar.
• Das Zertifikat der Registrierungsstelle (RA) eines FAS-Servers ist abgelaufen oder läuft bald ab.
• Eine neue Version von FAS steht zum Download bereit.

Benachrichtigungen auslösen

Es wird eine regelmäßige Überprüfung auf neue Benachrichtigungen durchgeführt und diese werden in der Citrix Cloud-Verwaltungskonsole angezeigt. Die Benachrichtigungen werden unter dem Glockensymbol in der oberen rechten Ecke der Citrix Cloud-Verwaltungskonsole angezeigt. Wählen Sie Alle anzeigen auf dem Benachrichtigungssymbol, um alle Benachrichtigungen anzuzeigen. Weitere Informationen finden Sie unter Benachrichtigungen.

Hinweis:

Sobald eine Benachrichtigung ausgelöst wurde, wird sie nur dann regelmäßig erneut ausgelöst, wenn das Problem nicht behoben ist.

Alle Benachrichtigungen enthalten den FQDN des betroffenen FAS-Servers. Die Benachrichtigung über den Ablauf des RA-Zertifikats wird nur für FAS-Server mit Version 10.10.0.14 und höher angezeigt.

FAS-Server zu mehreren Ressourcenstandorten hinzufügen

1. Wählen Sie im Citrix Cloud-Menü Ressourcenstandorte und dann die Registerkarte FAS-Server.
2. Suchen Sie den FAS-Server, den Sie verwalten möchten, klicken Sie auf die Auslassungspunkte (…) auf der rechten Seite des Eintrags, und wählen Sie dann Server verwalten.
3. Wählen Sie Zu einem Ressourcenstandort hinzufügen und dann die gewünschten Ressourcenstandorte aus.
4. Wählen Sie Primär oder Sekundär für die Failover-Priorität des FAS-Servers an jedem ausgewählten Ressourcenstandort.
5. Wählen Sie Änderungen speichern.

Um den hinzugefügten FAS-Server anzuzeigen, wählen Sie im Menü Citrix Cloud die Option Ressourcenstandorte und dann die Registerkarte FAS-Server. Eine Liste aller FAS-Server für alle verbundenen Ressourcenstandorte wird angezeigt. Um FAS-Server für einen bestimmten Ressourcenstandort anzuzeigen, wählen Sie den Ressourcenstandort aus der Dropdown-Liste aus.

Failover-Priorität eines FAS-Servers ändern

1. Wählen Sie auf der Seite Ressourcenstandorte die Kachel FAS-Server für den Ressourcenstandort aus, den Sie verwalten möchten.
2. Wählen Sie die Registerkarte FAS-Server.
3. Suchen Sie den FAS-Server, den Sie verwalten möchten, klicken Sie auf die Auslassungspunkte auf der rechten Seite des Eintrags, und wählen Sie dann Server verwalten.
4. Suchen Sie den Ressourcenstandort mit der Priorität, die Sie ändern möchten, und wählen Sie die neue Priorität aus der Dropdown-Liste aus.
5. Wählen Sie Änderungen speichern.

Föderierte Authentifizierung für Stores aktivieren

1. Wählen Sie im Citrix Cloud-Menü StoreFront Cloud und dann Authentifizierung.
2. Klicken Sie auf FAS aktivieren. Diese Änderung kann bis zu fünf Minuten dauern, bis sie auf Endbenutzersitzungen angewendet wird.

Danach ist der Federated Authentication Service für alle Starts virtueller Apps und Desktops von Citrix® StoreFront Cloud aktiv.

Wenn Endbenutzer sich bei ihrem Store anmelden und eine virtuelle App oder einen virtuellen Desktop am selben Ressourcenstandort wie der FAS-Server starten, wird die App oder der Desktop ohne Aufforderung zur Eingabe von Anmeldeinformationen gestartet.

Hinweis:

Wenn alle FAS-Server an einem Ressourcenstandort ausgefallen oder im Wartungsmodus sind, sind Anwendungsstarts erfolgreich, aber Single Sign-On ist nicht aktiv. Endbenutzer werden aufgefordert, ihre AD-Anmeldeinformationen einzugeben, um auf jede Anwendung oder jeden Desktop zuzugreifen.

Einen FAS-Server entfernen

So entfernen Sie einen FAS-Server von einem einzelnen Ressourcenstandort:

1. Wählen Sie auf der Seite Ressourcenstandorte die Kachel FAS-Server für den Ressourcenstandort aus, den Sie verwalten möchten.
2. Wählen Sie die Registerkarte FAS-Server.
3. Suchen Sie den FAS-Server, den Sie verwalten möchten, klicken Sie auf die Auslassungspunkte auf der rechten Seite des Eintrags und wählen Sie dann Server verwalten.
4. Suchen Sie den Ressourcenstandort, den Sie entfernen möchten, und klicken Sie dann auf das X-Symbol.

So entfernen Sie einen FAS-Server von allen verbundenen Ressourcenstandorten:

1. Wählen Sie im Citrix Cloud-Menü die Option Ressourcenstandorte.
2. Suchen Sie den Ressourcenstandort, den Sie verwalten möchten, und wählen Sie dann die Kachel FAS-Server.
3. Suchen Sie den FAS-Server, den Sie entfernen möchten, klicken Sie auf die Auslassungspunkte auf der rechten Seite des Eintrags und wählen Sie dann FAS-Server entfernen.
4. Wählen Sie in der FAS-Verwaltungskonsole (auf Ihrem lokalen FAS-Server) unter Mit Citrix Cloud verbinden die Option trennen. Alternativ können Sie FAS deinstallieren.

Fehlerbehebung

Wenn der FAS-Server nicht verfügbar ist, wird auf der Seite „FAS-Server“ eine Warnmeldung angezeigt.

Um das Problem zu diagnostizieren, öffnen Sie die FAS-Verwaltungskonsole auf Ihrem lokalen FAS-Server und überprüfen Sie den Status. Zum Beispiel ist der FAS-Server nicht in der FAS-Server-GPO vorhanden:

Wenn die FAS-Verwaltungskonsole anzeigt, dass der Server ordnungsgemäß funktioniert, aber immer noch VDA-Anmeldeprobleme auftreten, konsultieren Sie den FAS-Fehlerbehebungsleitfaden.

Weitere Informationen

Konfigurieren von Single Sign-On für die Workspace-App