Citrix Virtual Apps and Desktops 7 2203 LTSR

管理安全密钥

May 31, 2026

投稿者:

C C

注意：

您必须将此功能与 StoreFront™ 1912 LTSR CU2 或更高版本结合使用。

此功能允许您仅允许经批准的 StoreFront 和 Citrix Gateway 计算机与 Citrix Delivery Controllers 通信。启用此功能后，任何不包含密钥的请求都将被阻止。使用此功能可增加一层额外的安全保护，以防范源自内部网络的攻击。

使用此功能的通用工作流程如下：

启用 Studio 以显示功能设置。
为您的站点配置设置（使用 Studio 控制台或 PowerShell）。
请在 StoreFront 环境中对相关设置进行配置（此操作需要使用 PowerShell 命令行工具）。
请在 Citrix ADC 环境中对相关设置进行配置（此操作需要使用 PowerShell 命令行工具）。

启用 Studio 以显示功能设置

默认情况下，安全密钥设置在 Studio 中是隐藏的。要启用 Studio 显示它们，请按如下方式使用 PowerShell SDK：

要启用此功能，请执行以下步骤：

运行 Citrix 虚拟应用和桌面™ 远程 PowerShell 软件开发工具包。
在命令窗口中，运行以下命令：
- Add-PSSnapIn Citrix*。此命令添加 Citrix 管理单元。
- Set-ConfigSiteMetadata -Name "Citrix_DesktopStudio_SecurityKeyManagementEnabled" -Value "True"

有关远程 PowerShell 软件开发工具包的更多信息，请参阅软件开发工具包和应用程序编程接口。

配置您站点的设置

您可以使用 Studio 控制台或 PowerShell 在 Studio 中配置设置。

使用 Studio 控制台

在您启用 Studio 以显示功能设置后，转到 Studio > 配置 > 管理安全密钥。您可能需要单击刷新才能显示管理安全密钥选项。

单击管理安全密钥后，将显示管理安全密钥窗口。

管理安全密钥向导

重要提示：

有两个密钥可供使用。您可以对通过 XML 和 STA 端口进行的通信使用相同密钥或不同密钥。我们建议您一次只使用一个密钥。未使用的密钥仅用于密钥轮换。

请勿单击刷新图标来更新已在使用中的密钥。如果这样做，将导致服务中断。

单击刷新图标以生成新密钥。

要求通过 XML 端口进行通信的密钥（仅限 StoreFront）。如果选中，则要求密钥对通过 XML 端口进行的通信进行身份验证。StoreFront 通过此端口与 Citrix Cloud 通信。有关更改 XML 端口的信息，请参阅知识中心文章 CTX127945。

要求通过 STA 端口进行通信的密钥。如果选中，则要求密钥对通过 STA 端口进行的通信进行身份验证。Citrix Gateway 和 StoreFront 通过此端口与 Citrix Cloud 通信。有关更改 STA 端口的信息，请参阅知识中心文章 CTX101988。

应用更改后，单击关闭以退出管理安全密钥窗口。

Use PowerShell

以下是与 Studio 操作等效的 PowerShell 步骤。

Run the Citrix Virtual Apps and Desktops Remote PowerShell SDK.
在命令窗口中，运行以下命令：
- Add-PSSnapIn Citrix*
运行以下命令以生成密钥并设置 Key1：
- New-BrokerXmlServiceKey
- Set-BrokerSite -XmlServiceKey1 <the key you generated>
运行以下命令以生成密钥并设置 Key2：
- New-BrokerXmlServiceKey
- Set-BrokerSite -XmlServiceKey2 <the key you generated>
运行以下一个或两个命令，以在身份验证通信中启用密钥的使用：
- 要通过 XML 端口验证通信：
  - Set-BrokerSite -RequireXmlServiceKeyForNFuse $true
- 要通过 STA 端口验证通信：
  - Set-BrokerSite -RequireXmlServiceKeyForSta $true

有关指导和语法，请参阅 PowerShell 命令帮助。

Configure settings in StoreFront

完成 Studio 中的配置后，您需要使用 PowerShell 在 StoreFront 中配置相关设置。

On the StoreFront server, run the following PowerShell commands:

要配置用于通过 XML 端口进行通信的密钥，请使用命令 [Set-STFStoreFarm

https://developer-docs.citrix.com/zh-cn/storefront-powershell-sdk/current-release/Set-STFStoreFarm.html]。例如：

$store = Get-STFStoreService -VirtualPath [Path to store]
$farm = Get-STFStoreFarm -StoreService $store -FarmName [Resource feed name]
Set-STFStoreFarm -Farm $farm -XMLValidationEnabled $true -XMLValidationSecret [secret]
<!--NeedCopy-->

请为以下各项参数输入适当的值：

Path to store
Resource feed name
secret

要配置用于通过 STA 端口进行通信的密钥，请使用 New-STFSecureTicketAuthority 和 Set-STFRoamingGateway 命令。例如：

$gateway = Get-STFRoamingGateway -Name [Gateway name]
$sta1 = New-STFSecureTicketAuthority -StaUrl [STA1 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
$sta2 = New-STFSecureTicketAuthority -StaUrl [STA2 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
Set-STFRoamingGateway -Gateway $gateway -SecureTicketAuthorityObjs $sta1,$sta2
<!--NeedCopy-->

请为以下各项参数输入适当的值：

Gateway name
STA URL
Secret

有关指导和语法，请参阅 PowerShell 命令帮助。

在 Citrix ADC 中配置设置

注意：

除非您使用 Citrix ADC 作为网关，否则无需在 Citrix ADC 中配置此功能。如果您使用 Citrix ADC，请按照以下步骤操作。

请确保以下先决条件配置已正确设置并就绪：
- 已配置以下 Citrix ADC 相关 IP 地址。
  - 用于访问 Citrix ADC 控制台的 Citrix ADC 管理 IP (NSIP) 地址。有关详细信息，请参阅配置 NSIP 地址。
  - 子网 IP (SNIP) 地址，用于启用 Citrix ADC 设备与后端服务器之间的通信。有关详细信息，请参阅配置子网 IP 地址。
  - Citrix Gateway 虚拟 IP 地址和负载平衡器虚拟 IP 地址，用于登录 ADC 设备以启动会话。有关详细信息，请参阅创建虚拟服务器。
- Citrix ADC 设备中所需的模式和功能已启用。
  - 要启用这些模式，请在 Citrix ADC GUI 中转到 系统 > 设置 > 配置模式。
  - 要启用这些功能，请在 Citrix ADC GUI 中转到 系统 > 设置 > 配置基本功能。
- 所有与证书相关的配置均已完成。
  - 已创建证书签名请求 (CSR)。有关详细信息，请参阅创建证书。
  - 已安装服务器证书、CA 证书和根证书。有关详细信息，请参阅安装、链接和更新。
  - 已为 Citrix 虚拟桌面创建了 Citrix Gateway。通过单击“测试 STA 连接”按钮测试连接，以确认虚拟服务器在线。有关详细信息，请参阅为 Citrix 虚拟应用和桌面设置 Citrix ADC。
添加重写操作。有关详细信息，请参阅配置重写操作。
1. 转到 应用专家 > 重写 > 操作。
2. 单击“添加”以添加重写操作。您可以将操作命名为“set Type to INSERT_HTTP_HEADER”。
1. In Type, select INSERT_HTTP_HEADER.
2. In Header Name, enter X-Citrix-XmlServiceKey.
3. In Expression, add <XmlServiceKey1 value> with the quotes. You can copy the XmlServiceKey1 value from your Desktop Delivery Controller™ configuration.
添加重写策略。有关详细信息，请参阅配置重写策略。
1. Go to AppExpert > Rewrite > Policies.
2. 单击 Add 以添加策略。
1. 在 Action 中，选择上一步中创建的操作。
2. In Expression, add HTTP.REQ.IS_VALID.
3. 单击 OK。
设置负载平衡。您必须为每个 STA 服务器配置一个负载平衡虚拟服务器。否则，会话将无法启动。

有关详细信息，请参阅设置基本负载平衡。
1. 创建负载平衡虚拟服务器。
  - 转到 流量管理 > 负载平衡 > 服务器。
  - 在 虚拟服务器 页面上，单击添加。
  - 在协议中，选择 HTTP。
  - 添加负载平衡虚拟 IP 地址，并在 Port 中选择 80。
  - 点击确定。
2. 创建负载平衡服务。
  - 转到 流量管理 > 负载平衡 > 服务。
  - 在 现有服务器 中，选择上一步中创建的虚拟服务器。
  - 在协议中，选择 HTTP，并在端口中选择 80。
  - 点击确定，然后点击完成。
3. 将服务绑定到虚拟服务器。
  - 选择之前创建的虚拟服务器，然后点击编辑。
  - 在 服务和服务器组 中，点击 无负载平衡虚拟服务器服务绑定。
  - 在 服务绑定 中，选择之前创建的服务。
  - 点击绑定。
4. 将之前创建的重写策略绑定到虚拟服务器。
  - 选择之前创建的虚拟服务器，然后点击编辑。
  - 在 高级设置 中，点击策略，然后在策略部分点击 +。
  - 在 选择策略 中，选择重写，并在 选择类型 中，选择请求。
  - 点击继续。
  - 在 选择策略 中，选择之前创建的重写策略。
  - 点击绑定。
  - 点击完成。
5. 如有必要，为虚拟服务器设置持久性。
  - 选择之前创建的虚拟服务器，然后点击编辑。
  - 在 高级设置 中，点击 持久性。
  - 将持久性类型选择为其他。
  - 选择 DESTIP 以根据虚拟服务器选择的服务 IP 地址（目标 IP 地址）创建持久性会话。
  - 在 IPv4 子网掩码 中，添加与 DDC 相同的网络掩码。
  - 点击确定。
6. 重复这些步骤，也适用于其他虚拟服务器。

Configuration changes if the Citrix ADC appliance is already configured with Citrix Virtual Desktops™

如果您已将 Citrix ADC 设备配置为使用 Citrix Virtual Desktops，那么要使用安全 XML 功能，您必须进行以下配置更改。

在会话启动之前，更改网关的 安全票证颁发机构 URL，以使用负载平衡虚拟服务器的 FQDN。
确保 TrustRequestsSentToTheXmlServicePort 参数设置为 False。默认情况下，TrustRequestsSentToTheXmlServicePort 参数设置为 False。但是，如果客户已为 Citrix Virtual Desktops 配置了 Citrix ADC，则 TrustRequestsSentToTheXmlServicePort 将设置为 True。

In the Citrix ADC GUI, go to Configuration > Integrate with Citrix Products and click XenApp and XenDesktop®.
选择网关实例并单击编辑图标。
在 StoreFront 窗格中，单击编辑图标。
添加 安全票证颁发机构 URL。
- 如果启用了安全 XML 功能，则 STA URL 必须是负载平衡服务的 URL。
- 如果安全 XML 功能处于禁用状态，则 STA 地址必须是 STA 的地址（DDC 的地址），并且 DDC 上的 TrustRequestsSentToTheXmlServicePort 参数必须设置为真。

本产品文档的官方版本为英语版本。任何非英语版本仅为方便您而提供，可能包括机器翻译的内容。有关详细信息，请参阅 Cloud Software Group home 上的“机器翻译免责声明”。

这是否有帮助？

管理安全密钥

May 31, 2026

投稿者:

C C

May 31, 2026

投稿者:

C C

这是否有帮助？