Eine Citrix-Umgebung mit Microsoft Entra ID, korrekt konfiguriertem SSO und registrierten VDAs.
Die Benutzer authentifizieren sich erfolgreich an Citrix Workspace. Beim Start des Desktops erscheint jedoch erneut eine Windows-Anmeldeaufforderung oder die SSO-Anmeldung schlägt fehl.
Das Fehlerbild:
✅ Entra-ID-Authentifizierung erfolgreich
✅ VDA registriert und erreichbar
✅ Citrix-Ressourcen werden angezeigt
❌ Single Sign-on innerhalb der Sitzung funktioniert nicht
Der erste Verdacht fällt auf Entra ID, Conditional Access, Kerberos oder die Citrix-Konfiguration.
Die eigentliche Ursache kann aber in einer Microsoft Security Baseline liegen.
🔍 Root Cause
Citrix Entra SSO benötigt folgende Windows-Sicherheitseinstellung:
Allow Custom SSPs and APs to be loaded into LSASS
Die Microsoft Intune Security Baseline für Windows setzt diese Einstellung standardmäßig auf Disabled.
Damit verhindert Windows das Laden zusätzlicher Security Support Providers und Authentication Packages in LSASS.
Die für Citrix SSO benötigte Authentifizierungsintegration kann dadurch blockiert werden.
🛠️ Mein Troubleshooting-Ansatz
Ich prüfe auf dem betroffenen VDA zuerst die effektive Richtlinie:
Computer Configuration → System → Local Security Authority
Entscheidend ist:
Allow Custom SSPs and APs to be loaded into LSASS
Anschließend kontrolliere ich, ob die Einstellung über Intune, eine Security Baseline oder eine klassische GPO vorgegeben wird.
Die Lösung:
Die Einstellung auf den betroffenen Citrix-Session-Hosts gezielt auf Enabled setzen.
Wichtig: Nicht die komplette Security Baseline deaktivieren!
Ich würde dafür eine dedizierte Richtlinie beziehungsweise eine abgestimmte Ausnahme für die Citrix-VDAs verwenden.
Danach die Richtlinienübernahme kontrollieren, den VDA neu starten und SSO erneut testen.
⚠️ Security-Hinweis
Diese Änderung erlaubt das Laden zusätzlicher SSP-/AP-Komponenten in LSASS und erweitert damit bewusst die zulässige Authentifizierungsintegration.
Deshalb gehört die Ausnahme ausschließlich auf die Systeme, die diese Funktion tatsächlich benötigen.
💡 Mein Fazit
Nicht jedes Citrix-SSO-Problem ist ein Citrix-Problem.
Manchmal verhindert eine korrekt ausgerollte Security Baseline genau die Funktion, die für die gewünschte Authentifizierungsarchitektur erforderlich ist.
Security Hardening und Funktionalität müssen gemeinsam betrachtet werden – gerade bei Citrix, Entra ID und Windows.
