Documentação de produtos
Citrix Virtual Apps and Desktops
Service Current Release 2402 LTSR 2311 2308 2305 2303 2212 2209 2206 2203 LTSR 1912 LTSR
Ver PDF

Gerenciar chaves de segurança

January 23, 2026
Contribuição de: 
C

Importante:

  • Você deve usar este recurso em combinação com o StoreFront™ 1912 LTSR CU2 ou posterior.
  • O recurso Secure XML é compatível apenas com o Citrix ADC e o Citrix Gateway versão 12.1 e posterior.

Observação:

Você pode gerenciar sua implantação do Citrix Virtual Apps and Desktops™ usando dois consoles de gerenciamento: Web Studio (baseado na web) e Citrix Studio (baseado no Windows). Este artigo aborda apenas o Web Studio. Para obter informações sobre o Citrix Studio, consulte o artigo equivalente no Citrix Virtual Apps and Desktops 7 2212 ou anterior.

Este recurso permite que você autorize apenas máquinas StoreFront e Citrix Gateway aprovadas a se comunicarem com os Delivery Controllers. Depois de habilitar este recurso, todas as solicitações que não contiverem a chave serão bloqueadas. Use este recurso para adicionar uma camada extra de segurança para proteger contra ataques originados da rede interna.

Um fluxo de trabalho geral para usar este recurso é o seguinte:

  1. Habilitar o Web Studio para exibir as configurações do recurso.

  2. Configurar as definições para o seu site.

  3. Configurar as definições para o StoreFront.

  4. Configurar as definições para o Citrix ADC.

Configurar as definições para o site

Você pode usar o Web Studio ou o PowerShell para configurar as definições da chave de segurança para o seu site.

Usar o Web Studio

  1. Faça login no Web Studio, selecione “Configurações” no painel esquerdo.

  2. Localize o bloco “Gerenciar chave de segurança” e clique em “Editar”. A página “Gerenciar Chave de Segurança” é exibida.

    Assistente de Gerenciamento de Chave de Segurança

  3. Clique no ícone de atualização para gerar as chaves.

    Importante:

    • Existem duas chaves disponíveis para uso. Você pode usar a mesma chave ou chaves diferentes para comunicações pelas portas XML e STA. Recomendamos que você use apenas uma chave por vez. A chave não utilizada é usada apenas para rotação de chaves.
    • Não clique no ícone de atualização para atualizar a chave já em uso. Se o fizer, ocorrerá interrupção do serviço.

  4. Selecione onde uma chave é necessária para as comunicações:

    • Exigir chave para comunicações pela porta XML (somente StoreFront). Se selecionado, exige uma chave para autenticar comunicações pela porta XML. O StoreFront se comunica com o Citrix Cloud por esta porta. Para obter informações sobre como alterar a porta XML, consulte o artigo da Central de Conhecimento CTX127945.

    • Exigir chave para comunicações pela porta STA. Se selecionado, exige uma chave para autenticar comunicações pela porta STA. O Citrix Gateway e o StoreFront se comunicam com o Citrix Cloud por esta porta. Para obter informações sobre como alterar a porta STA, consulte o artigo da Central de Conhecimento CTX101988.

  5. Clique em “Salvar” para aplicar as alterações e fechar a janela.

Usar o PowerShell

A seguir estão as etapas do PowerShell equivalentes às operações do Web Studio.

  1. Execute o SDK Remoto do PowerShell do Citrix Virtual Apps and Desktops.

  2. Em uma janela de comando, execute o seguinte comando:
    • Add-PSSnapIn Citrix*
  3. Execute os seguintes comandos para gerar uma chave e configurar a Key1:
    • New-BrokerXmlServiceKey
    • Set-BrokerSite -XmlServiceKey1 <the key you generated>
  4. Execute os seguintes comandos para gerar uma chave e configurar a Key2:
    • New-BrokerXmlServiceKey
    • Set-BrokerSite -XmlServiceKey2 <the key you generated>
  5. Execute um ou ambos os comandos a seguir para habilitar o uso de uma chave na autenticação de comunicações:
    • Para autenticar comunicações pela porta XML:
      • Set-BrokerSite -RequireXmlServiceKeyForNFuse $true
    • Para autenticar comunicações pela porta STA:
      • Set-BrokerSite -RequireXmlServiceKeyForSta $true

Consulte a ajuda do comando PowerShell para obter orientação e sintaxe.

Configurar as definições para o StoreFront

Após concluir a configuração do seu site, você precisa configurar as definições relevantes para o StoreFront usando o PowerShell.

No servidor StoreFront, execute os seguintes comandos do PowerShell:

Para configurar a chave para comunicações pela porta XML, use o comando [Set-STFStoreFarm https://developer-docs.citrix.com/en-us/storefront-powershell-sdk/current-release/Set-STFStoreFarm.html]. Por exemplo 
$store = Get-STFStoreService -VirtualPath [Path to store]
$farm = Get-STFStoreFarm -StoreService $store -FarmName [Resource feed name]
Set-STFStoreFarm -Farm $farm -XMLValidationEnabled $true -XMLValidationSecret [secret]
<!--NeedCopy-->

Insira os valores apropriados para os seguintes parâmetros:

  • Path to store
  • Resource feed name
  • secret

Para configurar a chave para comunicações pela porta STA, use os comandos New-STFSecureTicketAuthority e Set-STFRoamingGateway. Por exemplo:

$gateway = Get-STFRoamingGateway -Name [Gateway name]
$sta1 = New-STFSecureTicketAuthority -StaUrl [STA1 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
$sta2 = New-STFSecureTicketAuthority -StaUrl [STA2 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
Set-STFRoamingGateway -Gateway $gateway -SecureTicketAuthorityObjs $sta1,$sta2
<!--NeedCopy-->

Insira os valores apropriados para os seguintes parâmetros:

  • Gateway name
  • STA URL
  • Secret

Consulte a ajuda do comando PowerShell para obter orientação e sintaxe.

Configurar as definições para o Citrix ADC

Observação:

A configuração deste recurso para o Citrix ADC não é necessária, a menos que você use o Citrix ADC como seu gateway. Se você usar o Citrix ADC, siga estas etapas:

  1. Certifique-se de que a seguinte configuração de pré-requisito já esteja em vigor:

    • Os seguintes endereços IP relacionados ao Citrix ADC estão configurados.
      • Endereço IP de Gerenciamento do Citrix ADC (NSIP) para acessar o console do Citrix ADC. Para obter detalhes, consulte Configuring the NSIP address.

      Endereço IP de gerenciamento do ADC

      • Endereço IP de Sub-rede (SNIP) para habilitar a comunicação entre o dispositivo Citrix ADC e os servidores de back-end. Para obter detalhes, consulte Configuring Subnet IP Addresses.
      • Endereço IP virtual do Citrix Gateway e endereço IP virtual do balanceador de carga para fazer login no dispositivo ADC para iniciar a sessão. Para obter detalhes, consulte Create a virtual server.

      Endereço IP de sub-rede

    • Os modos e recursos necessários no dispositivo Citrix ADC estão habilitados.
      • Para habilitar os modos, na GUI do Citrix ADC, vá para “System” > “Settings” > “Configure Mode”.
      • Para habilitar os recursos, na GUI do Citrix ADC, vá para “System” > “Settings” > “Configure Basic Features”.
    • As configurações relacionadas a certificados estão concluídas.
      • A Solicitação de Assinatura de Certificado (CSR) é criada. Para obter detalhes, consulte Create a certificate.

      Criar um certificado CSR

      • Os certificados de servidor e CA e os certificados raiz estão instalados. Para obter detalhes, consulte Install, link, and updates.

      Instalar certificado de servidor

      Instalar certificado CA

      Gateway para desktops virtuais

  2. Adicionar uma ação de reescrita. Para obter detalhes, consulte Configuring a Rewrite Action.

    1. Vá para “AppExpert” > “Rewrite” > “Actions”.
    2. Clique em “Adicionar” para adicionar uma nova ação de reescrita. Você pode nomear a ação como “definir Tipo para INSERT_HTTP_HEADER”.

    Adicionar ação de reescrita

    1. Em “Tipo”, selecione “INSERT_HTTP_HEADER”.
    2. Em “Nome do Cabeçalho”, insira X-Citrix-XmlServiceKey.
    3. Em “Expressão”, adicione <XmlServiceKey1 value> com as aspas. Você pode copiar o valor de XmlServiceKey1 da sua configuração do Desktop Delivery Controller™.

    Valor da chave de serviço XML

  3. Adicionar uma política de reescrita. Para obter detalhes, consulte Configuring a Rewrite Policy.

    1. Vá para “AppExpert” > “Rewrite” > “Policies”.

    2. Clique em “Adicionar” para adicionar uma nova política.

    Adicionar política de reescrita

    1. Em “Ação”, selecione a ação criada na etapa anterior.
    2. Em “Expressão”, adicione HTTP.REQ.IS_VALID.
    3. Clique em “OK”.

  4. Configurar o balanceamento de carga. Você deve configurar um servidor virtual de balanceamento de carga por servidor STA. Caso contrário, as sessões não serão iniciadas.

    Para obter detalhes, consulte Set up basic load balancing.

    1. Criar um servidor virtual de balanceamento de carga.
      • Vá para “Traffic Management” > “Load Balancing” > “Servers”.
      • Na página “Virtual Servers”, clique em “Adicionar”.

      Adicionar um servidor de balanceamento de carga

      • Em “Protocolo”, selecione “HTTP”.
      • Adicione o endereço IP virtual do balanceamento de carga e em “Porta” selecione 80.
      • Clique em “OK”.
    2. Criar um serviço de balanceamento de carga.
      • Vá para “Traffic Management” > “Load Balancing” > “Services”.

      Adicionar um serviço de balanceamento de carga

      • Em “Existing Server”, selecione o servidor virtual criado na etapa anterior.
      • Em “Protocolo”, selecione “HTTP” e em “Porta” selecione 80.
      • Clique em “OK” e, em seguida, clique em “Concluído”.
    3. Vincular o serviço ao servidor virtual.
      • Selecione o servidor virtual criado anteriormente e clique em “Editar”.
      • Em “Services and Service Groups”, clique em “No Load Balancing Virtual Server Service Binding”.

      Vincular serviço a um servidor virtual

      • Em “Service Binding”, selecione o serviço criado anteriormente.
      • Clique em “Vincular”.
    4. Vincular a política de reescrita criada anteriormente ao servidor virtual.
      • Selecione o servidor virtual criado anteriormente e clique em “Editar”.
      • Em “Advanced Settings”, clique em “Policies” e, em seguida, na seção “Policies”, clique em +.

      Vincular política de reescrita

      • Em “Choose Policy”, selecione “Rewrite” e em “Choose Type”, selecione “Request”.
      • Clique em “Continuar”.
      • Em “Select Policy”, selecione a política de reescrita criada anteriormente.
      • Clique em “Vincular”.
      • Clique em “Concluído”.
    5. Configurar a persistência para o servidor virtual, se necessário.
      • Selecione o servidor virtual criado anteriormente e clique em “Editar”.
      • Em “Advanced Settings”, clique em “Persistence”.

      Configurar persistência

      • Selecione o tipo de persistência como “Outros”.
      • Selecione “DESTIP” para criar sessões de persistência com base no endereço IP do serviço selecionado pelo servidor virtual (o endereço IP de destino).
      • Em “IPv4 Netmask”, adicione a máscara de rede igual à do DDC.
      • Clique em “OK”.
    6. Repita estas etapas para o outro servidor virtual também.

Alterações de configuração se o dispositivo Citrix ADC já estiver configurado com o Citrix Virtual Desktops™

Se você já configurou o dispositivo Citrix ADC com o Citrix Virtual Desktops, para usar o recurso Secure XML, você deve fazer as seguintes alterações de configuração.

  • Antes do início da sessão, altere a “URL da Autoridade de Ticket de Segurança” do gateway para usar os FQDNs dos servidores virtuais de balanceamento de carga.
  • Certifique-se de que o parâmetro TrustRequestsSentToTheXmlServicePort esteja definido como False. Por padrão, o parâmetro TrustRequestsSentToTheXmlServicePort é definido como False. No entanto, se o cliente já configurou o Citrix ADC para o Citrix Virtual Desktops, o TrustRequestsSentToTheXmlServicePort é definido como True.
  1. Na GUI do Citrix ADC, vá para “Configuration” > “Integrate with Citrix Products” e clique em “XenApp and XenDesktop®”.

  2. Selecione a instância do gateway e clique no ícone de edição.

    Editar configuração de gateway existente

  3. No painel do StoreFront, clique no ícone de edição.

    Editar detalhes do StoreFront

  4. Adicione a “URL da Autoridade de Ticket de Segurança”.
    • Se o recurso Secure XML estiver habilitado, a URL do STA deve ser a URL do serviço de balanceamento de carga.
    • Se o recurso Secure XML estiver desabilitado, a URL do STA deve ser a URL do STA (endereço do DDC) e o parâmetro TrustRequestsSentToTheXmlServicePort no DDC deve ser definido como True.

    Adicionar URLs STA

Gerenciar chaves de segurança
January 23, 2026
Contribuição de: 
C
January 23, 2026
Contribuição de: 
C

Neste artigo

Feedback do site | Your privacy choices footer linkSuas escolhas de privacidade | Privacidade e termos legais | Preferências de cookies | Configurações de consentimento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.