Citrix Virtual Apps and Desktops

设置 Web Studio 的智能卡身份验证

May 31, 2026

投稿者:

本文概述了设置和启用 Web Studio 智能卡身份验证所需的步骤：

步骤 1：安装智能卡驱动程序

步骤 2：为智能卡用户颁发证书

步骤 3：为智能卡用户注册证书

步骤 4：配置 Web 工作室 IIS 服务器

步骤 5（可选）配置 Web Studio 的身份验证委派

步骤 6：启用 Web Studio 的智能卡身份验证

注意：

智能卡身份验证仅支持来自与 Web Studio 服务器相同的 Active Directory 域的用户。

步骤 1：安装智能卡驱动程序

在以下计算机上安装智能卡驱动程序：

那些安装了证书服务的域控制器。
网络工作室服务器
最终用户用于访问 Web Studio 的计算机
用于为智能卡用户注册证书的计算机

智能卡驱动程序因供应商而异。例如，如果使用 ITS 提供的智能卡硬件，请从 https://support.globalsign.com/ssl/ssl-certificates-installation/safenet-drivers 下载 SaftNet 驱动程序。

步骤 2：为智能卡用户颁发证书

注意：

以下步骤旨在作为示例，以指导您完成此过程。

在您的域控制器上，按照以下步骤完成任务：

访问您的域控制器并打开 证书颁发机构。
复制 注册代理 模板。详细步骤如下：
1. 右键单击 证书模板，然后选择管理。
2. 右键单击 注册代理，然后选择 复制模板。
3. 在 使用者名称 选项卡上，确保未选中 在使用者名称中包含电子邮件。
4. 在加密选项卡上，选择 Microsoft Base Smart Card Crypto Provider，然后单击确定。一个名为 注册代理副本 的模板将显示在 证书模板 列表中。
为智能卡进行证书颁发。详细步骤如下：
1. 右键单击 证书模板，然后选择 新建 > 要颁发的模板。
2. 选择 注册代理副本 和 智能卡用户。
3. 单击确定。

步骤 3：为智能卡用户注册证书

注意：

以下步骤作为示例提供，以指导您完成此过程。

在已加入域的物理 Windows 计算机上，按照以下步骤为每张智能卡注册证书：

准备一台已加入域的物理 Windows 计算机用于注册：
1. 确保智能卡驱动程序已安装。
2. 将智能卡插入计算机。
3. 使用您要分配给智能卡的用户帐户登录到计算机。
将证书管理单元添加到在步骤 1 中准备的计算机上。详细步骤如下：
1. 打开 mmc。
2. 单击文件，然后单击添加/删除管理单元。
3. 在出现的添加或删除管理单元窗口中，选择证书，然后单击添加 >。
4. 在出现的对话框中，选择我的用户帐户，然后单击完成。
5. 单击确定。
为证书管理单元请求新证书。详细步骤如下：
1. 转到证书 - 当前用户 > 个人，右键单击证书，然后选择所有任务 > 请求新证书。
2. 在出现的请求证书对话框中，选择注册代理副本和智能卡用户。
3. 在上述对话框中，针对智能卡用户单击详细信息，然后单击属性。出现证书属性对话框。
4. 在私钥选项卡上，展开加密服务提供程序，清除Microsoft 强加密服务提供程序（加密），仅选择Microsoft 基本智能卡加密服务提供程序（加密），然后单击确定。
5. 单击注册。
6. 在出现的Windows 安全中心对话框中，输入智能卡 PIN 码，然后单击确定。注册完成后，单击完成。

成功注册后，两个证书将显示在 证书 - 当前用户 -> 个人 -> 证书 下，如以下屏幕截图所示。管理证书模板

步骤 4：配置网络工作室 IIS 服务器

在每个 Web Studio 服务器上，按照以下步骤配置 IIS 以进行智能卡身份验证：

为 Web Studio 计算机启用 客户端证书映射身份验证。

<clientCertificateMappingAuthentication> 元素在 IIS 7 及更高版本的默认安装中不可用。有关安装和启用的更多信息，请参阅这篇 Microsoft 文章。
在 Web Studio 计算机上启动 IIS 管理器。
为计算机启用 Active Directory 客户端证书身份验证。详细步骤如下：
1. 在左侧窗格中选择计算机，然后双击 身份验证。
2. 启用 Active Directory 客户端证书身份验证。
为 Web Studio 后端模块配置更安全的 HTTPS 协议和客户端证书身份验证：
1. 转到 站点 > 默认网站 > Studio > 后端 > 智能卡，然后在 IIS 部分双击 SSL 设置。
2. 对于 客户端证书，选择要求。
3. 返回到 站点 > 默认网站 > Studio > 后端 > 智能卡，然后双击 IIS 部分中的 配置编辑器。
4. Make sure /clientCertificateMappingAuthentication is enabled.
(仅限 Windows 2022) 禁用通过 TCP 的 TLS 3.1。详细步骤如下：
1. 转到 站点 > 默认网站。
2. 单击 编辑站点 > 绑定。
3. 在出现的 站点绑定 对话框中，选择 https 记录，然后单击编辑。
4. 在出现的 编辑站点绑定 对话框中，选择 禁用通过 TCP 的 TLS 1.3，然后单击确定。

须知：

Web Studio 后端是 Web Studio 中的一个模块，提供以下功能：

智能卡身份验证。
使用集成 Windows 身份验证从 Orchestration 服务检索 FMA 持有者令牌。

步骤 5（可选）为 Web Studio 配置身份验证委派

当 Web Studio 和 Delivery Controllers 分别安装在不同的服务器上时，您必须为每个 Web Studio 服务器配置到 Delivery Controllers 的主机和 HTTPS 服务所必需的委派设置。

请按照以下步骤为每个 Web Studio 服务器完成此任务：

导入交付控制器™ 编排 HTTPS 证书
为 Web Studio 服务器配置委派
（可选）为 Web Studio IIS 服务器的服务帐户配置委派

导入交付控制器编排 HTTPS 证书

在 Web Studio 服务器上，将 交付控制器编排 HTTPS 证书导入到 受信任的根证书颁发机构。详细步骤如下：

启动 设置 > 管理计算机证书。
右键单击 受信任的根证书颁发机构 > 证书，然后选择 所有任务 > 导入。
按照屏幕上的说明导入 交付控制器编排 HTTPS 证书。

为 Web Studio 服务器配置委派

在域控制器上，为 Web Studio 服务器配置到 Delivery Controller 的委派，用于 HOST 和 HTTP 服务。请按照以下步骤完成此任务：

在域控制器上，启动 Active Directory 管理中心。
找到您要为其配置委派的 Web Studio 服务器的 计算机 帐户（例如，Dan002）。
右键单击该帐户，选择属性，然后完成以下步骤：
1. 转到委派选项卡。
2. 选择仅信任此用户用于委派给指定服务 > 使用任何身份验证协议。
3. 单击添加以指定此计算机帐户可以委派给哪些服务。
4. 在出现的添加服务对话框中，单击添加用户或计算机以找到 Delivery Controller 的计算机名称（例如，Dan001）。
5. 选择 HOST 和 HTTP 服务，然后单击确定。

配置结果显示在以下屏幕截图中。管理证书模板

（可选）为 Web Studio IIS 服务器的服务帐户配置委派

如果您已为 Web Studio IIS 服务器配置了服务帐户，您还需要为该服务帐户配置到 Delivery Controller 的委派，用于 HOST 和 HTTP 服务。建立此委派后，Web Studio 服务器可以使用其服务帐户模拟当前智能卡用户，以访问 Delivery Controller 的 HOST 和 HTTP 服务。请按照以下步骤完成配置：

在域控制器上，启动 Active Directory 管理中心。
找到要配置委派的 Web Studio IIS 服务器（服务帐户）的用户帐户（例如，svr-stud-002）。
右键单击该帐户，然后选择属性。
按照为 Web Studio 服务器配置委派的步骤 3 中所述的步骤，将 Web Studio IIS 服务器的服务帐户委派给 Delivery Controller 以用于 HOST 和 HTTP 服务。

配置结果已在以下屏幕截图中呈现出来。

管理证书模板