Bei Citrix-Upgrades schaue ich mir nicht nur die VDA-Registrierung und den Sitzungsstart an, sondern auch die komplette Authentifizierungskette.
Gerade bei Citrix Federated Authentication Service (FAS) gibt es seit Version 2511 eine interessante Änderung, die in gemischten Umgebungen schnell übersehen werden kann.
Das Fehlerbild:
❌ Benutzer können sich am StoreFront anmelden
❌ Der veröffentlichte Desktop startet, aber Windows-SSO schlägt fehl
❌ Zertifikatsvorlagen und CA-Konfiguration sehen korrekt aus
❌ Nicht alle VDAs zeigen dasselbe Verhalten
🔍 Was steckt dahinter?
Mit FAS 2511 hat Citrix das neue V2-Ticketformat eingeführt.
Der entscheidende Unterschied:
Bisher (V1):
Der VDA benötigt die FAS-Serveradressen über die bekannte Registry-/GPO-Konfiguration.
Neu (V2):
Die FAS-Adresse wird direkt im Ticket übermittelt.
Damit entfällt für VDAs ab Version 2511 die separate FAS-Adressliste.
⚠️ Der entscheidende Punkt:
In einer gemischten Citrix-Umgebung mit älteren und neueren VDAs darf die bisherige FAS-Konfiguration nicht einfach entfernt werden.
Ältere VDAs benötigen weiterhin die FAS-Serveradressen.
🛠️ So gehe ich bei der Analyse vor:
1. FAS- und VDA-Versionen vergleichen.
2. Prüfen, ob die FAS-Serveradressen auf älteren VDAs weiterhin konfiguriert sind.
3. Auf dem FAS-Server das Application Event 204 auswerten. Dort lässt sich erkennen, ob V1- oder V2-Tickets verwendet werden.
4. Erst danach Zertifikate, CA-Templates und Berechtigungen untersuchen.
💡 Mein Fazit:
Nicht jedes FAS-SSO-Problem liegt an der Zertifizierungsstelle.
Mit FAS V2 wird die Architektur einfacher – allerdings nur, wenn alle beteiligten VDAs das neue Ticketformat unterstützen.
Gerade bei LTSR-Migrationen und gemischten VDA-Versionen gehört die FAS-Ticketversion deshalb für mich auf die Troubleshooting-Checkliste.
