Schlagwort: SP

SAML Authentifizierung mit Azure-AD als IdP und Citrix als SP (Citrix FAS)

Seit Citrix XenApp / XenDesktop 7.9 ist der Federated Authentication Service (FAS) verfügbar. Über Citrix FAS ist es möglich einen Benutzer über SAML zu authentifizieren und somit Citrix als Service Provider, an bestehende Identity Provider, wie zum Beispiel Azure-AD, anzubinden.

Ablauf der SAML Authentifizierung

  1. Der Benutzer ruft die FQDN (z.B. citrix.deyda.net) des Citrix Gateway vServer (Service Provider) auf, um seine VA/VD Ressourcen starten zu können
  2. Der Citrix Gateway vServer leitet den nicht authentifizierten Benutzer direkt weiter an den Identity Provider (Azure AD) um sich dort zu authentifizieren (saml:authnRequest)
  3. Der Identity Provider verweist auf seine SingleSignOnService URL (z.B. login.microsoftonline.com) und der User muss sich authentifizieren.
  4. Der Benutzer gibt seine AD Zugangsdaten ein und diese werden vom Identity Provider gegenĂĽber der User Database geprĂĽft
  5. Bei erfolgreicher ĂśberprĂĽfung in der User Database wird der IdP informiert
  6. Der IdP stellt einen Token (SAML Assertion) aus und ĂĽbermittelt diesen an das Citrix Gateway (saml:response)
  7. Citrix Gateway prĂĽft den Token (Assertion Signature) und extrahiert den UPN aus dem Assertion Token. Dies erlaubt den Zugriff per SSO auf die VA/VD Farm ĂĽber FAS (Der SP hat keinen Zugriff auf die Zugangsdaten des Benutzers)
SAML Auth Azure AD & Citrix Gateway with FAS
„SAML Authentifizierung mit Azure-AD als IdP und Citrix als SP (Citrix FAS)“ weiterlesen

Citrix ADC als initial IdP fĂĽr Office365

In diesem Beitrag geht es darum eine SAML Authentifizierung fĂĽr Office365, ĂĽber den Citrix ADC (Version 12) einzurichten. Hierbei dient der Citrix ADC als IdP und Office365 als SP. Damit man nicht hundert Mal seinen Benutzernamen eingeben muss, wird dies durch ein initial IdP unterbunden (SSO).

Begriffserklärung

Kurz die wichtigen kommenden Begriffe erläutert.

SAML

SAML (Security Assertion Markup Language) bietet eine gemeinsame Plattform, zum webbasierten Zugriff auf mehrere, autonome Services, ohne zu einer mehrmaligen Eingabe der Zugangsdaten gezwungen zu sein. Die Authentifizierung erfolgt, ĂĽber ein verschlĂĽsseltes Session-Cookie, transparent im Hintergrund. Dieses Session-Cookie, das mit einem Ablaufdatum versehen ist, erhält der Anwender im Browser von einem Authentifizierungsdienst (Identity Provider – IdP) und kann damit dann anschlieĂźend im Browser alle angebundenen Services (Service Provider – SP) nutzen.

„Citrix ADC als initial IdP für Office365“ weiterlesen