使用 HTTPS 保护 StoreFront 的安全
Citrix 强烈建议使用 HTTPS 来确保 StoreFront 与用户设备之间的通信安全。这样可以确保在客户端与 StoreFront 之间发送的密码和其他数据经过加密。此外，普通的 HTTP 连接可能会受到各种攻击（例如中间人攻击）的破坏，尤其是在从公共 Wi-Fi 热点等不安全的位置建立连接时。如果没有合适的 IIS 配置，StoreFront 将使用 HTTP 进行通信。
根据您的配置，用户可以通过网关或负载平衡器访问 StoreFront。您可以在网关或负载平衡器上终止 HTTPS 连接。但是，在这种情况下，Citrix 仍然建议您使用 HTTPS 保护网关与 StoreFront 之间的连接安全。
如果没有为 HTTPS 配置 StoreFront，则会显示以下警告：
（状态警告“服务使用 HTTP 而非 HTTPS”）
创建证书
-
请确保用于访问 StoreFront 的 FQDN 作为使用者备用名称 (SAN) 包含在 DNS 字段中。如果您使用的是负载平衡器，则同时包括单个服务器的 FQDN 和负载平衡器 FQDN
-
使用第三方 CA（例如 Verisign）或组织的企业根 CA 对证书进行签名。
-
以 PFX 格式导出证书（包括私钥）。
为 HTTPS 配置 IIS
要在 StoreFront 服务器上为 HTTPS 配置 Microsoft Internet Information Services (IIS)，请执行以下操作：
-
打开 Internet Information Services (IIS) 管理器模块
-
在左侧的树形视图中，选择服务器。
-
在右侧窗格中，双击服务器证书
-
在“服务器证书”屏幕中，您可以导入现有证书或者创建新证书。
-
在左侧的树形视图中，选择默认 Web 站点（或相应的 Web 站点）
-
在“操作”窗格中，单击绑定…
-
在绑定窗口中，单击添加…
-
在类型下拉列表中，选择 https
-
在 Windows Server 2022 或更高版本中，单击禁用旧版 TLS 以禁用版本低于 1.2 的 TLS。
在较旧的 Windows Server 版本中，可以使用 Windows 注册表设置禁用旧版 TLS 版本，请参阅 Windows Server 文档。
-
选择之前导入的证书。按确定
-
要删除 HTTP 访问权限，请选择“HTTP”，然后单击删除。
将 StoreFront 服务器基本 URL 从 HTTP 更改为 HTTPS
如果在未首先安装和配置 SSL 证书的情况下安装和配置 Citrix StoreFront，StoreFront 将使用 HTTP 进行通信。
如果稍后安装和配置 SSL 证书，请使用以下过程来确保 StoreFront 及其服务使用 HTTPS 连接。
- 在 Citrix StoreFront 管理控制台中，在左侧窗格中选择服务器组。
- 在“操作”窗格中，选择更改基本 URL。
-
更新基本 URL 以启动
https:，然后单击确定。
HSTS
即使您在服务器端启用了 HTTPS，用户的客户端设备也容易受到攻击。例如，中间人攻击者可以欺骗 StoreFront 服务器并诱使用户通过普通 HTTP 连接到欺骗服务器。然后，他们可以访问敏感信息，例如用户的证书。解决方案是确保用户的浏览器不会尝试通过 HTTP 访问 RfWeb 服务器。您可以通过 HTTP 严格传输安全性 (HSTS) 来实现这一点。
启用 HSTS 后，服务器会向 Web 浏览器指示只应通过 HTTPS 向 Web 站点发出请求。如果用户尝试使用 HTTP 访问 URL，浏览器将自动切换到使用 HTTPS。这样可以确保安全连接的客户端验证以及在 IIS 中进行服务器端验证。Web 浏览器将在配置的时间段内保持此验证。
在 Windows Server 2019 及更高版本上：
- 打开 Internet Information Services (IIS) 管理器
- 选择默认 Web 站点（或相应的 Web 站点）。
- 在右侧的操作窗格中，单击 HSTS…
- 勾选启用，输入最长保留时间，例如 31536000（表示一年），然后勾选 Redirect HTTP to HTTPS（将 HTTP 重定向到 HTTPS）。
- 按确定
注意：
启用 HSTS 会影响同一域中的所有 Web 站点。例如，如果可以通过 https://www.company.com/Citrix/StoreWeb 访问 Web 站点，则 HSTS 策略将应用到 https://www.company.com 下的所有 Web 站点，这可能并不需要。