Ein kleines Finding in the Wild aus einem aktuellen Citrix-FAS-Projekt.
Die Ausgangslage:
* Hybrid Entra Joined VDA
* FAS-Anmeldung funktioniert
* Zertifikat wird korrekt ausgestellt
* CRL intern erreichbar
* trotzdem kein Primary Refresh Token (PRT)
Interessant war vor allem: In älteren FAS-Umgebungen habe ich vergleichbare Konfigurationen bereits umgesetzt, ohne Certificate-Based Authentication (CBA) explizit in Entra aktivieren zu müssen.
Der entscheidende Unterschied kann im verwendeten PRT-Acquisition-Flow liegen.
Entra CBA verändert die Zertifikatsprüfung
Wird für die PRT-Ausstellung native Microsoft Entra Certificate-Based Authentication verwendet, muss CBA unter
Entra ID → Authentication methods → Certificate-based authentication
für die entsprechenden Benutzer aktiviert sein.
Und dann kommt ein zweiter wichtiger Punkt:
Eine ausschließlich intern erreichbare CRL reicht nicht aus.
Wenn Entra das Zertifikat validiert, muss Microsoft auch die Certificate Revocation List erreichen können.
Die interne CA muss deshalb nicht ins Internet. Es reicht, die signierte .crl über einen öffentlich erreichbaren HTTP-Endpunkt bereitzustellen.
Damit wird aus:
FAS → Windows Logon funktioniert → kein PRT
eine Fehlersuche entlang der kompletten Kette:
FAS → Zertifikat → Entra CBA → CA Trust → CRL → PRT
Mein Learning daraus: Bei älteren und neuen FAS-Umgebungen nicht automatisch davon ausgehen, dass der PRT über denselben Authentifizierungspfad beschafft wird.
Manchmal liegt das Problem nicht bei Citrix – sondern zwischen der eigenen PKI und Microsoft Entra ID.