管理安全密钥
注意：
您必须将此功能与 StoreFront™ 1912 LTSR CU2 或更高版本结合使用。
安全 XML 功能仅在 Citrix 应用交付控制器和 Citrix 网关 12.1 及更高版本上受支持。
此功能允许您仅允许经批准的 StoreFront 和 Citrix Gateway 计算机与 Citrix Delivery Controllers 通信。启用此功能后，任何不包含密钥的请求都将被阻止。使用此功能可增加额外的安全层，以防范源自内部网络的攻击。
使用此功能的通用工作流程如下：
-
启用 Studio 以显示功能设置。
-
为您的站点配置设置。
-
在 StoreFront 中配置相关设置。
-
在 Citrix ADC 中配置设置。
启用 Studio 以显示功能设置
默认情况下，安全密钥的设置在 Studio 中是隐藏的。要启用 Studio 显示这些设置，请按如下方式使用 PowerShell SDK：
- 运行 思杰 虚拟应用和桌面™ PowerShell SDK。
- 在命令窗口中，运行以下命令：
-
Add-PSSnapIn Citrix*。此命令添加 Citrix 管理单元。 Set-ConfigSiteMetadata -Name "Citrix_DesktopStudio_SecurityKeyManagementEnabled" -Value "True"
-
有关 PowerShell 开发工具包的更多信息，请参阅 SDK 和 API。
配置站点的相关设置
您可以使用 Studio 或 PowerShell 为您的站点配置安全密钥设置。
使用 Studio 控制台
-
导航到 Studio > 设置 > 管理安全密钥，然后单击 编辑。将显示 管理安全密钥 窗口。
重要提示：
- 有两个密钥可供使用。您可以对通过 XML 和 STA 端口进行的通信使用相同密钥或不同密钥。我们建议您一次只使用一个密钥。未使用的密钥仅用于密钥轮换。
- 请勿单击刷新图标来更新已在使用中的密钥。如果这样做，将导致服务中断。
-
单击刷新图标以生成新密钥。
-
选择需要密钥的位置：
-
单击 保存 以应用更改并退出窗口。
使用 PowerShell 命令行工具
以下是与 Studio 操作等效的 PowerShell 步骤。
-
运行 Citrix 虚拟应用和桌面 远程 PowerShell 开发工具包。
- 在命令窗口中，运行以下命令：
Add-PSSnapIn Citrix*
- 运行以下命令以生成密钥并设置 Key1：
New-BrokerXmlServiceKeySet-BrokerSite -XmlServiceKey1 <the key you generated>
- 运行以下命令以生成密钥并设置 Key2：
New-BrokerXmlServiceKeySet-BrokerSite -XmlServiceKey2 <the key you generated>
- 运行以下一个或两个命令，以启用密钥用于对通信进行身份验证：
- 通过 XML 端口验证通信：
Set-BrokerSite -RequireXmlServiceKeyForNFuse $true
- 通过 STA 端口验证通信：
Set-BrokerSite -RequireXmlServiceKeyForSta $true
- 通过 XML 端口验证通信：
请参阅 PowerShell 命令帮助以获取指导和语法。
对 StoreFront 进行设置配置
完成站点的配置后，您需要使用 PowerShell 在 StoreFront 中配置相关设置。
在 StoreFront 服务器上，您需要运行以下 PowerShell 命令：
| 要配置通过 XML 端口进行通信的密钥，请使用命令 [Set-STFStoreFarm | https://developer-docs.citrix.com/zh-cn/storefront-powershell-sdk/current-release/Set-STFStoreFarm.html]。例如： |
$store = Get-STFStoreService -VirtualPath [Path to store]
$farm = Get-STFStoreFarm -StoreService $store -FarmName [Resource feed name]
Set-STFStoreFarm -Farm $farm -XMLValidationEnabled $true -XMLValidationSecret [secret]
<!--NeedCopy-->
请为以下参数输入所有适当的值。
Path to storeResource feed namesecret
要配置通过 STA 端口进行通信的密钥，请使用 New-STFSecureTicketAuthority 和 Set-STFRoamingGateway 命令。例如：
$gateway = Get-STFRoamingGateway -Name [Gateway name]
$sta1 = New-STFSecureTicketAuthority -StaUrl [STA1 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
$sta2 = New-STFSecureTicketAuthority -StaUrl [STA2 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
Set-STFRoamingGateway -Gateway $gateway -SecureTicketAuthorityObjs $sta1,$sta2
<!--NeedCopy-->
请针对以下参数输入适当的数值：
Gateway nameSTA URLSecret
有关指导和语法，请参阅 PowerShell 命令帮助。
在 Citrix ADC 中配置设置
注意：
除非您使用 Citrix ADC 作为网关，否则无需在 Citrix ADC 中配置此功能。如果您使用 Citrix ADC，请按照以下步骤操作。
-
请确保以下先决条件配置已经妥善设置并准备就绪：
- 已配置以下 Citrix ADC 相关 IP 地址。
- 用于访问 Citrix ADC 控制台的 Citrix ADC 管理 IP (NSIP) 地址。有关详细信息，请参阅 配置 NSIP 地址。
- 用于在 Citrix ADC 设备和后端服务器之间启用通信的子网 IP (SNIP) 地址。有关详细信息，请参阅 Configuring Subnet IP Addresses。
- Citrix Gateway 虚拟 IP 地址和负载平衡器虚拟 IP 地址，用于登录 ADC 设备以启动会话。有关详细信息，请参阅 Create a virtual server。
- Citrix ADC 设备中所需的模式和功能已启用。
- 要启用这些模式，请在 Citrix ADC GUI 中导航到 系统 > 设置 > 配置模式。
- 要启用这些功能，请在 Citrix ADC GUI 中导航到 系统 > 设置 > 配置基本功能。
- 与证书相关的配置均已完成。
- 证书签名请求 (CSR) 已创建。有关详细信息，请参阅 创建证书。
- 服务器和 CA 证书以及根证书已安装。有关详细信息，请参阅 安装、链接和更新。
- 已为 Citrix 虚拟桌面 创建了 Citrix 网关。通过单击“测试 STA 连接”按钮测试连接，以确认虚拟服务器在线。有关详细信息，请参阅 为 Citrix 虚拟应用和桌面 设置 Citrix ADC。
- 已配置以下 Citrix ADC 相关 IP 地址。
-
添加重写操作。有关详细信息，请参阅 配置重写操作。
- 导航到 AppExpert > 重写 > 操作。
- 单击“添加”以添加新的重写操作。您可以将操作命名为“set Type to INSERT_HTTP_HEADER”。
- In Type, select INSERT_HTTP_HEADER.
- In Header Name, enter X-Citrix-XmlServiceKey.
- 在“表达式”中，添加
<XmlServiceKey1 value>（带引号）。您可以从您的桌面交付控制器™ 配置中复制 XmlServiceKey1 值。
- 添加重写策略。有关详细信息，请参阅配置重写策略。
-
导航到 AppExpert > 重写 > 策略。
-
单击“添加”以添加新策略。
- 在“操作”中，选择上一步中创建的操作。
- In Expression, add HTTP.REQ.IS_VALID.
- 单击“确定”。
-
-
设置负载平衡。您必须为每个 STA 服务器配置一个负载平衡虚拟服务器。否则会话将无法启动。
有关详细信息，请参阅设置基本负载平衡。
- 创建负载平衡虚拟服务器。
- 导航到 流量管理 > 负载均衡 > 服务器。
- 在“虚拟服务器”页面上，单击“添加”。
- 在“协议”中，选择“HTTP”。
- 添加负载平衡虚拟 IP 地址，并在“端口”中选择“80”。
- 单击确定。
- 创建负载平衡服务。
- 导航到流量管理 > 负载平衡 > 服务。
添加负载平衡服务(/zh-cn/citrix-virtual-apps-desktops/2203-ltsr/media/adc-create-lb-service.png)
- 在现有服务器中，选择在上一步中创建的虚拟服务器。
- 在协议中，选择HTTP，并在端口中选择80。
- 单击确定，然后单击完成。
- 将服务绑定到虚拟服务器。
- 选择之前创建的虚拟服务器，然后单击编辑。
- 在服务和服务器组中，单击无负载平衡虚拟服务器服务绑定。
将服务绑定到虚拟服务器(/zh-cn/citrix-virtual-apps-desktops/2203-ltsr/media/adc-bind-service-to-lbvserver.png)
- 在服务绑定中，选择之前创建的服务。
- 单击绑定。
- 将之前创建的重写策略绑定到虚拟服务器。
- 选择之前创建的虚拟服务器，然后单击编辑。
- 在“高级设置”中，单击“策略”，然后在“策略”部分单击“+”。
- 在“选择策略”中，选择“重写”，并在“选择类型”中，选择“请求”。
- 单击“继续”。
- 在“选择策略”中，选择之前创建的重写策略。
- 单击“绑定”。
- 单击“完成”。
- 如有必要，为虚拟服务器设置持久性。
- 选择之前创建的虚拟服务器，然后单击“编辑”。
- 在“高级设置”中，单击“持久性”。
- 将持久性类型选择为“其他”。
- 选择“DESTIP”以根据虚拟服务器选择的服务 IP 地址（目标 IP 地址）创建持久性会话。
- 在“IPv4 子网掩码”中，添加与 DDC 相同的网络掩码。
- 单击“确定”。
- 对其他虚拟服务器也重复这些步骤。
- 创建负载平衡虚拟服务器。
如果 Citrix ADC 设备已配置 Citrix 虚拟桌面™，则进行配置更改
如果您已将 Citrix ADC 设备配置为使用 Citrix Virtual Desktops，则要使用安全 XML 功能，必须进行以下配置更改。
- 在会话启动之前，更改网关的 Security Ticket Authority URL 以使用负载平衡虚拟服务器的 FQDN。
- 确保
TrustRequestsSentToTheXmlServicePort参数设置为 False。默认情况下，TrustRequestsSentToTheXmlServicePort参数设置为 False。但是，如果客户已为 Citrix Virtual Desktops 配置了 Citrix ADC，则TrustRequestsSentToTheXmlServicePort设置为 True。
- In the Citrix ADC GUI, navigate to Configuration > Integrate with Citrix Products and click XenApp and XenDesktop®.
-
选择网关实例并单击编辑图标。
-
在 StoreFront 窗格中，单击编辑图标。
- 添加 安全票证颁发机构 URL。
- 如果启用了安全 XML 功能，则 STA URL 必须是负载平衡服务的 URL。
- 如果安全 XML 功能处于禁用状态，那么 STA 的 URL 必须是 STA 的地址（即 DDC 的地址），并且 DDC 上的 TrustRequestsSentToTheXmlServicePort 参数必须设置为 真。
