Sicherheit und Netzwerkkonfiguration

Der Federated Authentication Service (FAS) ist eng in Microsoft Active Directory und die Microsoft-Zertifizierungsstelle integriert. Stellen Sie sicher, dass das System angemessen verwaltet und gesichert wird, indem Sie eine Sicherheitsrichtlinie entwickeln, wie Sie es für einen Domänencontroller oder andere kritische Infrastrukturen tun würden.

Dieses Dokument bietet einen Überblick über Sicherheitsaspekte, die bei der Bereitstellung von FAS zu berücksichtigen sind. Es bietet auch einen Überblick über verfügbare Funktionen, die zur Sicherung Ihrer Infrastruktur beitragen können.

Netzwerkarchitektur

Das folgende Diagramm zeigt die Hauptkomponenten und Sicherheitsgrenzen, die in einer FAS-Bereitstellung verwendet werden.

Der FAS-Server muss als Teil der sicherheitskritischen Infrastruktur behandelt werden, zusammen mit der Zertifizierungsstelle und dem Domänencontroller. In einer föderierten Umgebung sind Citrix Gateway und Citrix StoreFront Komponenten, denen die Durchführung der Benutzerauthentifizierung vertraut wird; andere Citrix Virtual Apps and Desktops™-Komponenten bleiben von der Einführung von FAS unberührt.

Firewall und Netzwerksicherheit

TLS über Port 443 schützt die Kommunikation zwischen Citrix Gateway, StoreFront und den Delivery Controller™-Komponenten. Der StoreFront-Server stellt nur ausgehende Verbindungen her, und das Citrix Gateway darf nur Verbindungen über das Internet über HTTPS-Port 443 akzeptieren.

Der StoreFront-Server kontaktiert den FAS-Server über Port 80 unter Verwendung von gegenseitig authentifiziertem Kerberos. Die Authentifizierung verwendet die Kerberos HOST/fqdn-Identität des FAS-Servers und die Kerberos-Maschinenkonto-Identität des StoreFront-Servers. Diese Option generiert ein einmalig verwendbares „Anmelde-Handle“, das vom Citrix Virtual Delivery Agent (VDA) benötigt wird, um den Benutzer anzumelden.

Wenn eine HDX-Sitzung mit dem VDA verbunden ist, kontaktiert der VDA den FAS-Server ebenfalls über Port 80. Die Authentifizierung verwendet die Kerberos HOST/fqdn-Identität des FAS-Servers und die Kerberos-Maschinenidentität des VDA. Außerdem muss der VDA das „Anmelde-Handle“ bereitstellen, um auf das Zertifikat und den privaten Schlüssel zuzugreifen.

• Die Microsoft-Zertifizierungsstelle akzeptiert die Kommunikation über Kerberos-authentifiziertes DCOM, das für die Verwendung eines festen TCP-Ports konfiguriert werden kann. Die Zertifizierungsstelle verlangt außerdem, dass der FAS-Server ein CMC-Paket bereitstellt, das von einem vertrauenswürdigen Registrierungsagenten-Zertifikat signiert ist.

  • Server

    Firewall-Ports

  • |—|—|

  • Federated Authentication Service

    [eingehend] Kerberos über HTTP von StoreFront™ und VDAs, [ausgehend] DCOM zur Microsoft-Zertifizierungsstelle

  • Citrix Gateway

    [eingehend] HTTPS von Clientcomputern, [eingehend/ausgehend] HTTPS zum/vom StoreFront-Server, [ausgehend] HDX zum VDA

  • StoreFront	[eingehend] HTTPS von Citrix Gateway, [ausgehend] HTTPS zum Delivery Controller, [ausgehend] Kerberos HTTP zu FAS
    Delivery Controller	[eingehend] HTTPS vom StoreFront-Server, [eingehend/ausgehend] Kerberos über HTTP von VDAs
    VDA	[eingehend/ausgehend] Kerberos über HTTP vom Delivery Controller, [eingehend] HDX von Citrix Gateway, [ausgehend] Kerberos HTTP zu FAS
    Microsoft-Zertifizierungsstelle	[eingehend] DCOM & signiert von FAS

Verbindungen zwischen Citrix Federated Authentication Service und Citrix Cloud™

Die Konsole und FAS greifen jeweils über das Benutzerkonto und das Netzwerkdienstkonto auf die folgenden Adressen zu.

-  FAS-Verwaltungskonsole, unter dem Benutzerkonto
-  `*.cloud.com`
-  `*.citrixworkspacesapi.net`
-  Adressen, die von einem Drittanbieter-Identitätsanbieter benötigt werden, falls dieser in Ihrer Umgebung verwendet wird

• FAS-Dienst, unter dem Netzwerkdienstkonto:
  • *.citrixworkspacesapi.net
  • *.citrixnetworkapi.net

Wenn Ihre Umgebung Proxyserver umfasst, konfigurieren Sie den Benutzerproxy mit den Adressen für die FAS-Verwaltungskonsole. Stellen Sie außerdem sicher, dass die Adresse für das Netzwerkdienstkonto mithilfe von netsh oder einem ähnlichen Tool konfiguriert wird.

Sicherheitsüberlegungen

FAS verfügt über ein Registrierungsstellen-Zertifikat, das es ihm ermöglicht, Zertifikate autonom im Namen Ihrer Domänenbenutzer auszustellen. Daher ist es wichtig, eine Sicherheitsrichtlinie zu entwickeln und zu implementieren, um FAS-Server zu schützen und deren Berechtigungen einzuschränken.

Delegierte Registrierungsagenten

FAS stellt Benutzerzertifikate aus, indem es als Registrierungsagent fungiert. Die Microsoft-Zertifizierungsstelle ermöglicht es Ihnen, Registrierungsagenten, Zertifikatvorlagen und Benutzer einzuschränken, für die Registrierungsagenten Zertifikate ausstellen können.

Sie können dieses Dialogfeld verwenden, um sicherzustellen, dass:

-  Die Liste der *Registrierungsagenten* nur FAS-Server enthält.

• Die Liste der Zertifikatvorlagen nur die FAS-Vorlagen enthält.
• Die Liste der Berechtigungen nur Benutzer enthält, die FAS verwenden dürfen. Es ist beispielsweise eine gute Praxis, FAS daran zu hindern, Zertifikate für Benutzer in einer Administrator- oder geschützten Benutzergruppe auszustellen.

Konfiguration der Zugriffssteuerungsliste

Wie im Abschnitt Regeln konfigurieren beschrieben, müssen Sie eine Liste von StoreFront-Servern konfigurieren, denen vertraut wird, Benutzeridentitäten gegenüber FAS zu bestätigen, wenn Zertifikate ausgestellt werden. Ebenso können Sie einschränken, welchen Benutzern Zertifikate ausgestellt werden und an welchen VDA-Maschinen sie sich authentifizieren können. Diese Funktion ergänzt alle standardmäßigen Sicherheitsfunktionen von Active Directory oder der Zertifizierungsstelle, die Sie konfigurieren.

Firewall-Einstellungen

Die gesamte Kommunikation zu FAS-Servern verwendet gegenseitig authentifizierte Windows Communication Foundation (WCF) Kerberos-Netzwerkverbindungen über Port 80.

Überwachung des Ereignisprotokolls

FAS und der VDA schreiben Informationen in das Windows-Ereignisprotokoll. Dies kann zur Überwachung und Auditierung von Informationen verwendet werden. Der Abschnitt Ereignisprotokolle listet die Ereignisprotokolleinträge auf, die generiert werden müssen.

• Hardwaresicherheitsmodule

  • Alle privaten Schlüssel, einschließlich der von FAS ausgestellten Benutzerzertifikate, werden vom Network Service-Konto als nicht exportierbare private Schlüssel gespeichert. FAS unterstützt die Verwendung eines kryptografischen Hardwaresicherheitsmoduls, falls Ihre Sicherheitsrichtlinie dies erfordert.

Die kryptografische Konfiguration auf niedriger Ebene ist in der Datei FederatedAuthenticationService.exe.config verfügbar. Diese Einstellungen werden angewendet, wenn private Schlüssel zum ersten Mal erstellt werden. Daher können unterschiedliche Einstellungen für private Schlüssel der Registrierungsstelle (z. B. 4096 Bit, TPM-geschützt) und Laufzeit-Benutzerzertifikate verwendet werden.

Verwaltungsaufgaben

Die Verwaltung der Umgebung kann in die folgenden Gruppen unterteilt werden:

| Name | Verantwortung | | – | – |

• Enterprise-Administrator

  Installiert und sichert Zertifikatvorlagen in der Gesamtstruktur

• Domänenadministrator	Konfiguriert Gruppenrichtlinieneinstellungen
  Zertifizierungsstellenadministrator	Konfiguriert die Zertifizierungsstelle
  FAS-Administrator	Installiert und konfiguriert den FAS-Server
  StoreFront/Citrix Gateway-Administrator	Konfiguriert die Benutzerauthentifizierung
  Citrix Virtual Desktops™-Administrator	Konfiguriert VDAs und Controller

Jeder Administrator steuert verschiedene Aspekte des gesamten Sicherheitsmodells, was einen mehrschichtigen Ansatz zur Absicherung des Systems ermöglicht.

Gruppenrichtlinieneinstellungen

Vertrauenswürdige FAS-Maschinen werden durch eine Nachschlagetabelle von „Indexnummer -> FQDN“ identifiziert, die über Gruppenrichtlinien konfiguriert wird. Beim Kontaktieren eines FAS-Servers überprüfen Clients die Kerberos-Identität HOST\<fqdn> des FAS-Servers. Alle Server, die auf den FAS-Server zugreifen, müssen identische FQDN-Konfigurationen für denselben Index aufweisen; andernfalls müssen StoreFront und VDAs unterschiedliche FAS-Server kontaktieren.

Citrix empfiehlt, eine einzige Richtlinie auf alle Maschinen in der Umgebung anzuwenden, um Fehlkonfigurationen zu vermeiden. Seien Sie vorsichtig, wenn Sie die Liste der FAS-Server ändern, insbesondere beim Entfernen oder Neuanordnen von Einträgen.

Die Kontrolle über dieses GPO sollte auf FAS-Administratoren (und/oder Domänenadministratoren) beschränkt sein, die FAS-Server installieren und außer Betrieb nehmen. Achten Sie darauf, einen Maschinen-FQDN-Namen nicht kurz nach der Außerbetriebnahme eines FAS-Servers wiederzuverwenden.

Zertifikatvorlagen

Wenn Sie die mit FAS gelieferte Zertifikatvorlage Citrix_SmartcardLogon nicht verwenden möchten, können Sie eine Kopie davon ändern. Die folgenden Änderungen werden unterstützt.

Zertifikatvorlage umbenennen

Wenn Sie die Citrix_SmartcardLogon umbenennen möchten, um sie an Ihren organisationsinternen Vorlagen-Namensstandard anzupassen, müssen Sie:

• Erstellen Sie eine Kopie der Zertifikatvorlage und benennen Sie sie um, um sie an Ihren organisationsinternen Vorlagen-Namensstandard anzupassen.
• Verwenden Sie FAS PowerShell-Befehle zur Verwaltung von FAS anstelle der administrativen Benutzeroberfläche. (Die administrative Benutzeroberfläche ist nur für die Verwendung mit den Citrix-Standardvorlagennamen vorgesehen.)
  • Verwenden Sie entweder das Microsoft MMC-Snap-In für Zertifikatvorlagen oder den Befehl Publish-FasMsTemplate, um Ihre Vorlage zu veröffentlichen, und
  • Verwenden Sie den Befehl New-FasCertificateDefinition, um FAS mit dem Namen Ihrer Vorlage zu konfigurieren.

Allgemeine Eigenschaften ändern

Sie können den Gültigkeitszeitraum in der Zertifikatvorlage ändern.

Ändern Sie nicht den Verlängerungszeitraum. FAS ignoriert diese Einstellung in der Zertifikatvorlage. FAS verlängert das Zertifikat automatisch nach der Hälfte seiner Gültigkeitsdauer.

Eigenschaften der Anforderungsbehandlung ändern

Ändern Sie diese Eigenschaften nicht. FAS ignoriert diese Einstellungen in der Zertifikatvorlage. FAS deaktiviert immer Privaten Schlüssel exportieren zulassen und deaktiviert Mit demselben Schlüssel erneuern.

Kryptografieeigenschaften ändern

Ändern Sie diese Eigenschaften nicht. FAS ignoriert diese Einstellungen in der Zertifikatvorlage.

Siehe Schutz privater Schlüssel für äquivalente Einstellungen, die FAS bereitstellt.

Eigenschaften der Schlüsselattestierung ändern

Ändern Sie diese Eigenschaften nicht. FAS unterstützt keine Schlüsselattestierung.

Eigenschaften der ersetzten Vorlagen ändern

Ändern Sie diese Eigenschaften nicht. FAS unterstützt das Überschreiben von Vorlagen nicht.

• Erweiterungseigenschaften ändern

• Sie können diese Einstellungen ändern, um sie an Ihre Unternehmensrichtlinien anzupassen.

Hinweis: Ungeeignete Erweiterungseinstellungen können Sicherheitsprobleme verursachen oder zu unbrauchbaren Zertifikaten führen.

Sicherheitseigenschaften ändern

Citrix empfiehlt, dass Sie diese Einstellungen ändern, um die Berechtigungen Lesen und Registrieren nur für die Computerkonten der FAS-Server zuzulassen. Für den FAS-Dienst sind keine weiteren Berechtigungen erforderlich. Wie bei anderen Zertifikatvorlagen können Sie jedoch:

• Administratoren das Lesen oder Schreiben der Vorlage gestatten
• authentifizierten Benutzern das Lesen der Vorlage gestatten

Eigenschaften des Antragstellernamens ändern

Citrix empfiehlt, diese Eigenschaften nicht zu ändern.

Die Vorlage hat die Option Aus diesen Active Directory-Informationen erstellen ausgewählt, wodurch die Zertifizierungsstelle die SID des Benutzers in eine Zertifikaterweiterung aufnimmt. Dies bietet eine starke Zuordnung zum Active Directory-Konto des Benutzers.

Servereigenschaften ändern

Obwohl Citrix dies nicht empfiehlt, können Sie diese Einstellungen bei Bedarf ändern, um sie an Ihre Unternehmensrichtlinien anzupassen.

Eigenschaften der Ausstellungsanforderungen ändern

Ändern Sie diese Einstellungen nicht. Diese Einstellungen müssen wie abgebildet sein:

Kompatibilitätseigenschaften ändern

Sie können diese Einstellungen ändern. Die Einstellung muss mindestens Windows Server 2003-CAs (Schemaversion 2) sein. FAS unterstützt jedoch nur Windows Server 2008 und spätere CAs. Wie oben erläutert, ignoriert FAS auch die zusätzlichen Einstellungen, die durch Auswahl von Windows Server 2008-CAs (Schemaversion 3) oder Windows Server 2012-CAs (Schemaversion 4) verfügbar sind.

Verwaltung der Zertifizierungsstelle

Der Administrator der Zertifizierungsstelle ist verantwortlich für die Konfiguration des Zertifizierungsstellenservers und den privaten Schlüssel des ausstellenden Zertifikats, den er verwendet.

Vorlagen veröffentlichen

Damit eine Zertifizierungsstelle Zertifikate basierend auf einer vom Unternehmensadministrator bereitgestellten Vorlage ausstellen kann, muss der Administrator der Zertifizierungsstelle diese Vorlage zur Veröffentlichung auswählen.

Eine einfache Sicherheitspraxis ist es, nur die Zertifikatvorlagen der Registrierungsstelle zu veröffentlichen, wenn FAS-Server installiert werden, oder auf einem vollständig Offline-Ausstellungsprozess zu bestehen. In beiden Fällen muss der Administrator der Zertifizierungsstelle die vollständige Kontrolle über die Autorisierung von Zertifikatanforderungen der Registrierungsstelle behalten und eine Richtlinie für die Autorisierung von FAS-Servern haben.

Firewalleinstellungen

Der Administrator der Zertifizierungsstelle hat die Kontrolle über die Netzwerkkonfiguration der Firewall der Zertifizierungsstelle, wodurch die Kontrolle über eingehende Verbindungen ermöglicht wird. Der Administrator der Zertifizierungsstelle kann DCOM-TCP- und Firewallregeln konfigurieren, sodass nur FAS-Server Zertifikate anfordern können.

Eingeschränkte Registrierung

Standardmäßig kann jeder Inhaber eines Zertifikats der Registrierungsstelle Zertifikate für jeden Benutzer ausstellen, unter Verwendung jeder Zertifikatvorlage, die den Zugriff erlaubt. Diese Funktion muss auf eine Gruppe nicht privilegierter Benutzer beschränkt werden, mithilfe der Eigenschaft der Zertifizierungsstelle “Registrierungsagenten einschränken”.

Richtlinienmodule und Überwachung

Für erweiterte Bereitstellungen können benutzerdefinierte Sicherheitsmodule verwendet werden, um die Zertifikatsausstellung zu verfolgen und zu unterbinden.

FAS-Verwaltung

FAS verfügt über mehrere Sicherheitsfunktionen.

StoreFront, Benutzer und VDAs über eine ACL einschränken

Im Mittelpunkt des FAS-Sicherheitsmodells steht die Steuerung, welche Kerberos-Konten auf Funktionen zugreifen können:

Regeln konfigurieren

Regeln sind nützlich, wenn mehrere unabhängige Citrix Virtual Apps™- oder Citrix Virtual Desktops-Bereitstellungen dieselbe FAS-Serverinfrastruktur verwenden. Jede Regel verfügt über einen separaten Satz von Konfigurationsoptionen; insbesondere können die Kerberos-Zugriffssteuerungslisten (ACLs) unabhängig voneinander konfiguriert werden.

Zertifizierungsstelle und Vorlagen konfigurieren

Für unterschiedliche Zugriffsrechte können verschiedene Zertifikatvorlagen und CAs konfiguriert werden. Erweiterte Konfigurationen können je nach Umgebung weniger oder leistungsfähigere Zertifikate verwenden. Beispielsweise können als „extern“ identifizierte Benutzer ein Zertifikat mit weniger Berechtigungen als „interne“ Benutzer besitzen.

In-Session- und Authentifizierungszertifikate

Der FAS-Administrator kann steuern, ob das zur Authentifizierung verwendete Zertifikat für die Verwendung in der Benutzersitzung verfügbar ist. Beispielsweise kann diese Option verwendet werden, um nur „Signatur“-Zertifikate in der Sitzung verfügbar zu machen, wobei das leistungsfähigere „Anmelde“-Zertifikat nur bei der Anmeldung verwendet wird.

Schutz des privaten Schlüssels und Schlüssellänge

Der FAS-Administrator kann FAS so konfigurieren, dass private Schlüssel in einem Hardware Security Module (HSM) oder Trusted Platform Module (TPM) gespeichert werden. Citrix empfiehlt aus Sicherheitsgründen, mindestens den privaten Schlüssel des Registrierungsstellenzertifikats in einem TPM zu speichern. Diese Option wird als Teil des „Offline“-Zertifikatsanforderungsprozesses bereitgestellt.

Ebenso können private Schlüssel von Benutzerzertifikaten in einem TPM oder HSM gespeichert werden. Alle Schlüssel müssen als „nicht exportierbar“ generiert werden und mindestens 2048 Bit lang sein.

Ereignisprotokolle

Der FAS-Server stellt detaillierte Konfigurations- und Laufzeit-Ereignisprotokolle bereit, die für Audits und die Erkennung von Eindringversuchen verwendet werden können.

Administrativer Zugriff und Verwaltungstools

FAS umfasst Funktionen und Tools für die Remote-Administration (gegenseitig authentifiziertes Kerberos). Mitglieder der „Gruppe der lokalen Administratoren“ haben die volle Kontrolle über die FAS-Konfiguration. Diese Liste muss sorgfältig gepflegt werden.

Citrix Virtual Apps-, Citrix Virtual Desktops- und VDA-Administratoren

Die Verwendung von FAS ändert das Sicherheitsmodell der Delivery Controller- und VDA-Administratoren nicht, da der FAS-„Anmeldeinformations-Handle“ einfach das „Active Directory-Kennwort“ ersetzt. Controller- und VDA-Administrationsgruppen dürfen nur vertrauenswürdige Benutzer enthalten. Audits und Ereignisprotokolle müssen gepflegt werden.

Allgemeine Windows-Server-Sicherheit

Alle Server müssen vollständig gepatcht sein und über standardmäßige Firewall- und Antivirensoftware verfügen. Sicherheitskritische Infrastrukturserver müssen an einem physisch sicheren Ort aufbewahrt werden, wobei auf Festplattenverschlüsselung und Wartungsoptionen für virtuelle Maschinen geachtet werden muss.

Audits und Ereignisprotokolle müssen sicher auf einer Remote-Maschine gespeichert werden.

Der RDP-Zugriff muss auf autorisierte Administratoren beschränkt sein. Wo möglich, müssen Benutzerkonten eine Smartcard-Anmeldung erfordern, insbesondere für Zertifizierungsstellen- und Domänenadministratorkonten.

Verwandte Informationen

• Installieren und Konfigurieren ist die primäre Referenz für die FAS-Installation und -Konfiguration.
• FAS-Architekturen werden im Artikel Bereitstellungsarchitekturen vorgestellt.
• Weitere „How-to“-Artikel werden im Artikel Erweiterte Konfiguration vorgestellt.