Gerenciar chaves de segurança
Observação:
- Você deve usar este recurso em combinação com o StoreFront™ 1912 LTSR CU2 ou posterior.
- O recurso Secure XML é compatível apenas com o Citrix ADC e o Citrix Gateway versão 12.1 e posterior.
Este recurso permite que apenas máquinas StoreFront e Citrix Gateway aprovadas se comuniquem com os Citrix Delivery Controllers. Depois de habilitar este recurso, quaisquer solicitações que não contenham a chave serão bloqueadas. Use este recurso para adicionar uma camada extra de segurança para proteger contra ataques originados da rede interna.
Um fluxo de trabalho geral para usar este recurso é o seguinte:
- Habilite o Studio para exibir as configurações do recurso.
- Configure as configurações para o seu site.
- Configure as configurações no StoreFront.
- Configure as configurações no Citrix ADC.
Habilitar o Studio para exibir as configurações do recurso
Por padrão, as configurações das chaves de segurança estão ocultas no Studio. Para habilitar o Studio a exibi-las, use o PowerShell SDK da seguinte forma:
- Execute o PowerShell SDK do Citrix Virtual Apps and Desktops™.
- Em uma janela de comando, execute os seguintes comandos:
-
Add-PSSnapIn Citrix*. Este comando adiciona os snap-ins do Citrix. Set-ConfigSiteMetadata -Name "Citrix_DesktopStudio_SecurityKeyManagementEnabled" -Value "True"
-
Para obter mais informações sobre o PowerShell SDK, consulte SDKs e APIs.
Configurar as configurações para o site
Você pode usar o Studio ou o PowerShell para configurar as configurações da chave de segurança para o seu site.
Usar o console do Studio
-
Navegue até Studio > Configurações > Gerenciar chave de segurança e clique em Editar. A janela Gerenciar Chave de Segurança é exibida.
Importante:
- Há duas chaves disponíveis para uso. Você pode usar a mesma chave ou chaves diferentes para comunicações pelas portas XML e STA. Recomendamos que você use apenas uma chave por vez. A chave não utilizada é usada apenas para rotação de chave.
- Não clique no ícone de atualização para atualizar a chave já em uso. Se o fizer, ocorrerá interrupção do serviço.
-
Clique no ícone de atualização para gerar novas chaves.
-
Selecione onde uma chave é necessária:
-
Exigir chave para comunicações pela porta XML (somente StoreFront). Se selecionado, exige uma chave para autenticar comunicações pela porta XML. O StoreFront se comunica com o Citrix Cloud por esta porta. Para obter informações sobre como alterar a porta XML, consulte o artigo da Central de Conhecimento CTX127945.
-
Exigir chave para comunicações pela porta STA. Se selecionado, exige uma chave para autenticar comunicações pela porta STA. O Citrix Gateway e o StoreFront se comunicam com o Citrix Cloud por esta porta. Para obter informações sobre como alterar a porta STA, consulte o artigo da Central de Conhecimento CTX101988.
-
-
Clique em Salvar para aplicar suas alterações e sair da janela.
Usar o PowerShell
A seguir estão as etapas do PowerShell equivalentes às operações do Studio.
-
Execute o PowerShell SDK Remoto do Citrix Virtual Apps and Desktops.
- Em uma janela de comando, execute o seguinte comando:
Add-PSSnapIn Citrix*
- Execute os seguintes comandos para gerar uma chave e configurar a Chave1:
New-BrokerXmlServiceKeySet-BrokerSite -XmlServiceKey1 <a chave que você gerou>
- Execute os seguintes comandos para gerar uma chave e configurar a Chave2:
New-BrokerXmlServiceKeySet-BrokerSite -XmlServiceKey2 <a chave que você gerou>
- Execute um ou ambos os comandos a seguir para habilitar o uso de uma chave na autenticação de comunicações:
- Para autenticar comunicações pela porta XML:
Set-BrokerSite -RequireXmlServiceKeyForNFuse $true
- Para autenticar comunicações pela porta STA:
Set-BrokerSite -RequireXmlServiceKeyForSta $true
- Para autenticar comunicações pela porta XML:
Consulte a ajuda do comando PowerShell para obter orientação e sintaxe.
Configurar as configurações no StoreFront
Após concluir a configuração do seu site, você precisa configurar as configurações relevantes no StoreFront usando o PowerShell.
No servidor StoreFront, execute os seguintes comandos PowerShell:
Para configurar a chave para comunicações pela porta XML, use o comando Set-STFStoreFarm. Por exemplo:
$store = Get-STFStoreService -VirtualPath [Caminho para o armazenamento]
$farm = Get-STFStoreFarm -StoreService $store -FarmName [Nome do feed de recursos]
Set-STFStoreFarm -Farm $farm -XMLValidationEnabled $true -XMLValidationSecret [segredo]
<!--NeedCopy-->
Insira os valores apropriados para os seguintes parâmetros:
Caminho para o armazenamentoNome do feed de recursossegredo
Para configurar a chave para comunicações pela porta STA, use os comandos New-STFSecureTicketAuthority e Set-STFRoamingGateway. Por exemplo:
$gateway = Get-STFRoamingGateway -Name [Nome do Gateway]
$sta1 = New-STFSecureTicketAuthority -StaUrl [URL da STA1] -StaValidationEnabled $true -StaValidationSecret [segredo]
$sta2 = New-STFSecureTicketAuthority -StaUrl [URL da STA2] -StaValidationEnabled $true -StaValidationSecret [segredo]
Set-STFRoamingGateway -Gateway $gateway -SecureTicketAuthorityObjs $sta1,$sta2
<!--NeedCopy-->
Insira os valores apropriados para os seguintes parâmetros:
Nome do GatewayURL da STASegredo
Consulte a ajuda do comando PowerShell para obter orientação e sintaxe.
Configurar as configurações no Citrix ADC
Observação:
A configuração deste recurso no Citrix ADC não é necessária, a menos que você use o Citrix ADC como seu gateway. Se você usa o Citrix ADC, siga as etapas abaixo.
-
Certifique-se de que a seguinte configuração de pré-requisito já esteja em vigor:
- Os seguintes endereços IP relacionados ao Citrix ADC estão configurados.
- Endereço IP de Gerenciamento do Citrix ADC (NSIP) para acessar o console do Citrix ADC. Para obter detalhes, consulte Configuring the NSIP address.
- Endereço IP de Sub-rede (SNIP) para habilitar a comunicação entre o appliance Citrix ADC e os servidores de back-end. Para obter detalhes, consulte Configuring Subnet IP Addresses.
- Endereço IP virtual do Citrix Gateway e endereço IP virtual do balanceador de carga para fazer login no appliance ADC para iniciar a sessão. Para obter detalhes, consulte Create a virtual server.
- Os modos e recursos necessários no appliance Citrix ADC estão habilitados.
- Para habilitar os modos, na GUI do Citrix ADC, navegue até Sistema > Configurações > Configurar Modo.
- Para habilitar os recursos, na GUI do Citrix ADC, navegue até Sistema > Configurações > Configurar Recursos Básicos.
- As configurações relacionadas a certificados estão concluídas.
- A Solicitação de Assinatura de Certificado (CSR) é criada. Para obter detalhes, consulte Create a certificate.
- Os certificados de servidor e CA e os certificados raiz estão instalados. Para obter detalhes, consulte Install, link, and updates.
- Um Citrix Gateway foi criado para o Citrix Virtual Desktops. Teste a conectividade clicando no botão Testar Conectividade STA para confirmar que os servidores virtuais estão online. Para obter detalhes, consulte Setting up Citrix ADC for Citrix Virtual Apps and Desktops.
- Os seguintes endereços IP relacionados ao Citrix ADC estão configurados.
-
Adicionar uma ação de reescrita. Para obter detalhes, consulte Configuring a Rewrite Action.
- Navegue até AppExpert > Rewrite > Actions.
- Clique em Adicionar para adicionar uma nova ação de reescrita. Você pode nomear a ação como “set Type to INSERT_HTTP_HEADER”.
- Em Tipo, selecione INSERT_HTTP_HEADER.
- Em Nome do Cabeçalho, insira X-Citrix-XmlServiceKey.
- Em Expressão, adicione
<valor da XmlServiceKey1>com as aspas. Você pode copiar o valor da XmlServiceKey1 da sua configuração do Desktop Delivery Controller™.
- Adicionar uma política de reescrita. Para obter detalhes, consulte Configuring a Rewrite Policy.
-
Navegue até AppExpert > Rewrite > Policies.
-
Clique em Adicionar para adicionar uma nova política.
- Em Ação, selecione a ação criada na etapa anterior.
- Em Expressão, adicione HTTP.REQ.IS_VALID.
- Clique em OK.
-
-
Configurar o balanceamento de carga. Você deve configurar um servidor virtual de balanceamento de carga por servidor STA. Caso contrário, as sessões não serão iniciadas.
Para obter detalhes, consulte Set up basic load balancing.
- Crie um servidor virtual de balanceamento de carga.
- Navegue até Gerenciamento de Tráfego > Balanceamento de Carga > Servidores.
- Na página Servidores Virtuais, clique em Adicionar.
- Em Protocolo, selecione HTTP.
- Adicione o endereço IP virtual do balanceamento de carga e em Porta selecione 80.
- Clique em OK.
- Crie um serviço de balanceamento de carga.
- Navegue até Gerenciamento de Tráfego > Balanceamento de Carga > Serviços.
- Em Servidor Existente, selecione o servidor virtual criado na etapa anterior.
- Em Protocolo, selecione HTTP e em Porta selecione 80.
- Clique em OK e, em seguida, clique em Concluído.
- Vincule o serviço ao servidor virtual.
- Selecione o servidor virtual criado anteriormente e clique em Editar.
- Em Serviços e Grupos de Serviços, clique em Nenhuma Vinculação de Serviço de Servidor Virtual de Balanceamento de Carga.
- Em Vinculação de Serviço, selecione o serviço criado anteriormente.
- Clique em Vincular.
- Vincule a política de reescrita criada anteriormente ao servidor virtual.
- Selecione o servidor virtual criado anteriormente e clique em Editar.
- Em Configurações Avançadas, clique em Políticas e, em seguida, na seção Políticas, clique em +.
- Em Escolher Política, selecione Rewrite e em Escolher Tipo, selecione Request.
- Clique em Continuar.
- Em Selecionar Política, selecione a política de reescrita criada anteriormente.
- Clique em Vincular.
- Clique em Concluído.
- Configure a persistência para o servidor virtual, se necessário.
- Selecione o servidor virtual criado anteriormente e clique em Editar.
- Em Configurações Avançadas, clique em Persistência.
- Selecione o tipo de persistência como Outros.
- Selecione DESTIP para criar sessões de persistência com base no endereço IP do serviço selecionado pelo servidor virtual (o endereço IP de destino)
- Em Máscara de Rede IPv4, adicione uma máscara de rede igual à do DDC.
- Clique em OK.
- Repita estas etapas para o outro servidor virtual também.
- Crie um servidor virtual de balanceamento de carga.
Alterações de configuração se o appliance Citrix ADC já estiver configurado com o Citrix Virtual Desktops™
Se você já configurou o appliance Citrix ADC com o Citrix Virtual Desktops, então, para usar o recurso Secure XML, você deve fazer as seguintes alterações de configuração.
- Antes do início da sessão, altere a URL da Autoridade de Tíquetes de Segurança do gateway para usar os FQDNs dos servidores virtuais de balanceamento de carga.
- Certifique-se de que o parâmetro
TrustRequestsSentToTheXmlServicePortesteja definido como False. Por padrão, o parâmetroTrustRequestsSentToTheXmlServicePorté definido como False. No entanto, se o cliente já configurou o Citrix ADC para o Citrix Virtual Desktops, então oTrustRequestsSentToTheXmlServicePorté definido como True.
- Na GUI do Citrix ADC, navegue até Configuração > Integrar com Produtos Citrix e clique em XenApp and XenDesktop®.
-
Selecione a instância do gateway e clique no ícone de edição.
-
No painel do StoreFront, clique no ícone de edição.
- Adicione a URL da Autoridade de Tíquetes de Segurança.
- Se o recurso Secure XML estiver habilitado, então a URL da STA deve ser a URL do serviço de balanceamento de carga.
- Se o recurso Secure XML estiver desabilitado, então a URL da STA deve ser a URL da STA (endereço do DDC) e o parâmetro TrustRequestsSentToTheXmlServicePort no DDC deve ser definido como True.
