配置 Citrix Workspace 应用程序的单点登录

使用 Azure Active Directory 进行单点登录

本节介绍如何使用 Azure Active Directory (AAD) 作为身份提供程序，通过混合或 AAD 注册的端点中的域加入工作负载来实现单点登录 (SSO)。通过此配置，您可以使用 Windows Hello 或 FIDO2 在注册到 AAD 的端点上登录到 Workspace。

注意：

• 如果您使用 Windows Hello 作为独立身份验证，则可以实现对 Citrix Workspace 应用程序的单点登录。但是，在访问已发布的虚拟应用程序或桌面时，系统会提示您输入用户名和密码。作为一种变通方法，请考虑实施联合身份验证服务 (FAS)。

• 先决条件

1. 与 Citrix Cloud 的活动 Azure Active Directory 连接。有关详细信息，请参阅将 Azure Active Directory 连接到 Citrix Cloud。

2. Azure Active Directory Workspace 身份验证。有关详细信息，请参阅为 Workspace 启用 Azure AD 身份验证。

3. 验证您是否已配置 Azure AD Connect。有关详细信息，请参阅使用快速设置开始使用 Azure AD Connect。

4. 在 Azure AD Connect 上激活直通身份验证。此外，验证单点登录和直通选项是否在 Azure 门户上正常工作。有关详细信息，请参阅Azure Active Directory 直通身份验证：快速入门。

配置

-  请执行以下步骤在您的设备上配置 SSO：

    -  1.  使用 `includeSSON` 选项通过 Windows 命令行安装 Citrix Workspace 应用程序：

[[CODE_BLOCK_0]]

1. 重新启动您的设备。

2. 通过运行 gpedit.msc 打开 Citrix Workspace 应用程序组策略对象管理模板。

   • 1. 转到管理模板 > Citrix 组件 > Citrix Workspace > 用户身份验证 > 本地用户名和密码。
     • 1. 选择启用直通身份验证。根据配置和安全设置，选择允许所有 ICA® 的直通身份验证选项以使直通身份验证正常工作。

3. 修改 Internet Explorer 中的用户身份验证设置。要修改这些设置：

   -  从“控制面板”打开**Internet 属性**。
   -  导航到**常规属性** > **本地 Intranet**，然后单击**站点**。
   

   • 在本地 Intranet 窗口中，单击高级，添加受信任站点，添加以下受信任站点，然后单击关闭：

     • https://aadg.windows.net.nsatc.net
     • https://autologon.microsoftazuread-sso.com
     • 您的租户名称，例如：https://xxxtenantxxx.cloud.com

4. 通过禁用租户中的 prompt=login 属性来禁用额外的身份验证提示。有关详细信息，请参阅使用联合身份验证提供程序时，Workspace URL 提示用户输入其他凭据。您可以联系 Citrix 技术支持以禁用租户中的 prompt=login 属性，从而成功配置单点登录。

5. 在 Citrix Workspace 应用程序客户端上启用域直通身份验证。有关详细信息，请参阅域直通身份验证。

6. 重新启动 Citrix Workspace 应用程序以使更改生效。

使用 Okta 和联合身份验证服务进行单点登录

本节介绍如何使用 Okta 作为身份提供程序，通过域加入的设备和联合身份验证服务 (FAS) 来实现单点登录 (SSO)。通过此配置，您可以使用 Okta 登录到 Workspace 以启用单点登录并防止出现第二次登录提示。要使此身份验证机制正常工作，您需要将 Citrix 联合身份验证服务与 Citrix Cloud 结合使用。有关详细信息，请参阅将 Citrix 联合身份验证服务连接到 Citrix Cloud。

先决条件

1. Cloud Connector。有关安装 Cloud Connector 的详细信息，请参阅Cloud Connector 安装。

2. Okta 代理。有关安装 Okta 代理的详细信息，请参阅安装 Okta Active Directory 代理。此外，您可以配置 Okta IWA Web 代理以从 Windows 域加入的设备登录。有关详细信息，请参阅安装和配置用于桌面单点登录的 Okta IWA Web 代理

3. 与 Citrix Cloud 的活动 Azure Active Directory 连接。有关详细信息，请参阅将 Azure Active Directory 连接到 Citrix Cloud。

4. 联合身份验证服务。有关详细信息，请参阅安装联合身份验证服务。

配置

请执行以下步骤在您的设备上配置 SSO：

将 Citrix Cloud™ 连接到您的 Okta 组织：

1. 下载并安装 Okta Active Directory 代理。有关详细信息，请参阅安装 Okta Active Directory 代理。

2. 登录到 Citrix Cloud，网址为 https://citrix.cloud.com。

3. 从 Citrix Cloud 菜单中，选择身份和访问管理。

4. 找到 Okta，然后从省略号菜单中选择连接。

5. 在Okta URL中，输入您的 Okta 域。

6. 在Okta API 令牌中，输入您的 Okta 组织的 API 令牌。

7. 在客户端 ID 和客户端密钥中，输入您之前创建的 OIDC Web 应用程序集成中的客户端 ID 和密钥。要从 Okta 控制台复制这些值，请选择应用程序并找到您的 Okta 应用程序。在客户端凭据下，对每个值使用复制到剪贴板按钮。

8. 单击测试并完成。Citrix Cloud 将验证您的 Okta 详细信息并测试连接。

为 Workspace 启用 Okta 身份验证：

1. 从 Citrix Cloud 菜单中，选择Workspace 配置 > 身份验证。

2. 选择Okta。出现提示时，选择我了解这对订阅者体验的影响。

3. 单击接受以接受权限请求。

启用联合身份验证服务：

1. 从 Citrix Cloud 菜单中，选择Workspace 配置，然后选择身份验证。

2. 单击启用 FAS。此更改可能需要长达五分钟才能应用于订阅者会话。

此后，联合身份验证服务将对从 Citrix Workspace 启动的所有虚拟应用程序和桌面生效。

当订阅者登录到其 Workspace 并在与 FAS 服务器相同的资源位置启动虚拟应用程序或桌面时，该应用程序或桌面将无需凭据提示即可启动。

注意：

如果资源位置中的所有 FAS 服务器都已关闭或处于维护模式，应用程序启动会成功，但单点登录不处于活动状态。订阅者会被提示输入其 AD 凭据，以访问每个应用程序或桌面。