Manuel Winkel, Autor bei Deyda.net

SAML Authentifizierung zwischen Citrix & Microsoft mit Azure MFA

Aktualisierung auf die neuste Cloud Navigation.

Als Folge der zunehmenden Projekte gibt es hier ein kleines How To mit den folgenden Punkten:

Azure AD Seamless Single Sign-On (PTA / PHS)
SAML Authentifizierung (Azure AD als IdP & NetScaler Gateway als SP)
Citrix Federated Authentication Service (FAS)
Microsoft Azure Multi-Factor-Authentication mit Conditional Access

Voraussetzungen

Voll funktionsfähige Citrix Virtual Apps and Desktop Umgebung (Mindestens StoreFront & DDC Version 7.9)
NetScaler (Citrix ADC) mit funktionsfähiger Basiskonfiguration & aktivierter Enterprise oder Platinum Lizenz (Minimum Version 12.1 Build 50+ für native Workspace App & für Browser Zugriff Minimum Version 11.1)
Konfigurierter Unified Gateway vServer
Interne und externe DNS Einträge für Unified Gateway vServer (z.B. citrix.deyda.net)
Zertifikate für DNS Einträge (am einfachsten sind Wildcard-Zertifikate)
Bestehender Azure Tenant mit Azure-AD Basiskonfiguration (Domain, AAD Sync) & aktivierter Azure AD Premium-Lizenz
Installierte & Konfigurierte AD Connect Version (Minimum Version 1.1.644.0)
Firewall Freigabe für *.msappproxy.net auf Port 443
Domänen Administrator Zugangsdaten für die Domänen, die sich über Azure Connect mit Azure AD verbinden
Installierte Authenticator App auf dem Test User Mobilgerät

Checkliste für NetScaler (Citrix ADC) CVE-2023-3519

Citrix hat gestern (18.07.2023) eine Warnung über eine kritische Sicherheitslücke (CVE-2023-3519) in allen NetScaler (Citrix ADC) & Gateway Systemen veröffentlicht. Bis heute sind keine funktionierenden Exploits veröffentlicht.

Wichtig ! Es gibt keine Patches für NetScaler (Citrix ADC) Version 12.1 oder älter. Diese Systeme haben ihr EOL erreicht und werden daher nicht mehr mit dem nötigen Fix bestückt. In diesem Fall bitte ein Update auf die neuste 13.0 oder 13.1 Version durchführen.

Die Sicherheitslücke ermöglichen eine anonyme Ausführung von Remotecode und dadurch nicht authentifizierten Angreifern verschiedene Maschinen mit Root Rechten zu übernehmen.

Wie man aus der Citrix Community hört, werden immer mehr attackierte Systeme aufgefunden. Die ersten Exploits sind auch schon seit einiger Zeit im Dark Web zu kaufen.

WEM Administration Console – Teil 2 (System Optimization, Policies & Profiles und Security)

Aktuelle Version ist Workspace Environment Management 2206.

Folgend gebe ich einen Einblick in die Menüpunkte System Optimization, Policies & Profiles und Security.

System Optimization

Diese Einstellungen dienen dazu, die Ressourcen Nutzung auf dem Host zu verringern. Sie dienen dazu, dass Ressourcen freigegeben werden und für andere Anwendungen verfügbar sind, hierdurch kann die Benutzerdichte pro Host erhöht werden.

Während die System Optimization Einstellungen maschinenbasiert sind und für alle Benutzersitzungen einer Maschine gelten, ist z.B. die Prozessoptimierung unter CPU Management benutzerbasiert.

Das heißt, wenn ein Prozess die CPU Spike Protection in der Sitzung von Benutzer A auslöst, wird das Ereignis nur für Benutzer A aufgezeichnet und limitiert. Wenn Benutzer B denselben Prozess startet, wird das Verhalten der Prozessoptimierung nur durch Prozessauslöser in der Sitzung von Benutzer B bestimmt.

WEM Administration Console – Teil 1 (Actions, Filters & Assignments)

Aktuelle Version ist Workspace Environment Management 2206.

Bekannte Probleme

Wenn VUEMRSAV.exe verwendet wird, um Ergebnisse zu Aktionen anzuzeigen, die über eine Aktionsgruppe für den aktuellen Benutzer angewendet wurden, zeigt die Registerkarte Applied Actions möglicherweise die falsche Quelle der Aktionen an. [WEM – 20002]

Installation von Workspace Environment Management

Workspace Environment Management optimiert die Citrix Worker für die bestmögliche Leistung (Benutzerdichte, Anmeldezeit und Anwendungsreaktionszeit).

WEM unterliegt dem Current Release Lifecycle (Additional Component) und daher gibt es von WEM keine LTSR Version.

Um WEM nutzen zu können muss eine aktive Customer Success Services (CSS) für eine der folgenden Lizenzen vorliegen:

Citrix Virtual Apps Advanced
Citrix Virtual Apps Premium
Citrix Virtual Apps and Desktops Advanced
Citrix Virtual Apps and Desktops Premium
Citrix Workspace Premium
Citrix Workspace Premium Plus

Technische Übersicht

Workspace Environment Management (WEM) beruht auf der folgenden Architektur: