This content has been machine translated dynamically.

Dieser Inhalt ist eine maschinelle Übersetzung, die dynamisch erstellt wurde. (Haftungsausschluss)

Cet article a été traduit automatiquement de manière dynamique. (Clause de non responsabilité)

Este artículo lo ha traducido una máquina de forma dinámica. (Aviso legal)

此内容已经过机器动态翻译。 放弃

このコンテンツは動的に機械翻訳されています。 免責事項

이 콘텐츠는 동적으로 기계 번역되었습니다. 책임 부인

Este texto foi traduzido automaticamente. (Aviso legal)

Questo contenuto è stato tradotto dinamicamente con traduzione automatica. (Esclusione di responsabilità))

This article has been machine translated.

Dieser Artikel wurde maschinell übersetzt. (Haftungsausschluss)

Ce article a été traduit automatiquement. (Clause de non responsabilité)

Este artículo ha sido traducido automáticamente. (Aviso legal)

この記事は機械翻訳されています. 免責事項

이 기사는 기계 번역되었습니다. 책임 부인

Este artigo foi traduzido automaticamente. (Aviso legal)

这篇文章已经过机器翻译. 放弃

Questo articolo è stato tradotto automaticamente. (Esclusione di responsabilità))

本文档介绍如何将 Citrix 环境与 Windows 10 Azure AD 功能相集成。

Windows 10 中引入了 Azure AD，这是一个新的域加入模块，可以在此模块中通过 Internet 将漫游便携式计算机加入企业域，以便进行管理和单点登录。

本文档中的示例部署描述了一个具有以下特点的系统：IT 人员向新用户提供其私人 Windows 10 便携式计算机的企业电子邮件地址和注册代码。用户通过 设置 面板中的 系统 > 关于 > 加入 Azure AD 选项访问此代码。

注册便携式计算机后，Microsoft Edge Web 浏览器将通过 Azure SaaS 应用程序 Web 页面自动登录到公司的 Web 站点和 Citrix 的已发布应用程序，以及其他 Azure 应用程序（例如 Office 365）。

此体系结构完全复制 Azure 中的传统公司网络，从而与最新的云技术（例如 Azure AD 和 Office 365）相集成。最终用户都被视为远程工作人员，没有位于办公室 Intranet 上的概念。

可以将该模型应用到使用现有本地系统的公司，因为 Azure AD Connect 同步服务可以通过 Internet 桥接到 Azure。

安全连接和单点登录（传统上已通过有防火墙的局域网和 Kerberos/NTLM 身份验证）在此体系结构中将替换为与 Azure 和 SAML 之间的 TLS 连接。新服务内置为加入到 Azure AD 的 Azure 应用程序。可以使用 Azure 云服务的 IAAS 部分中的标准 Active Directory 服务器 VM 运行需要 Active Directory 的现有应用程序（例如 SQL Server 数据库）。

用户启动传统应用程序时，将使用 XenApp 和 XenDesktop 的已发布应用程序进行访问。不同类型的应用程序使用 Microsoft Edge 的单点登录功能通过用户的 Azure 应用程序 页面进行整理。Microsoft 还提供能够枚举和启动 Azure 应用程序的 Android 和 iOS 应用程序。

创建 DNS 区域

Azure AD 要求管理员已注册公用 DNS 地址，并控制域名后缀的委派区域。为此，管理员可以使用 Azure DNS 的区域功能。

下例使用 DNS 区域名称“citrixsamldemo.net”。

控制台显示 Azure DNS 名称服务器的名称。这些名称应在区域对应的 DNS 注册器的 NS 条目中引用（例如 citrixsamldemo.net. NS n1-01.azure-dns.com）

添加对 Azure 中运行的 VM 的引用时，最简单的方法是对 VM 使用指向 Azure 托管的 DNS 记录的 CNAME 指针。 如果 VM 的 IP 地址发生变化，不需要手动更新 DNS 区域文件。

此部署的内部和外部 DNS 地址前缀都保持一致。域为 citrixsamldemo.net，使用拆分 DNS（在内部为 10.0.0.*）。

添加一个引用 Web 应用程序代理服务器的“fs.citrixsamldemo.net”条目。这是此区域的联合身份验证服务。

创建云服务

下例配置了一个 Citrix 环境，其中包括一个 ADFS 服务器在 Azure 中运行的 AD 环境。创建了一个云服务，名为“citrixsamldemo”。

Azure Connect ADFS 服务器 (adfs)

ADFS Web 访问代理（Web 应用程序代理，未加入域）

Citrix XenDesktop Delivery Controller (ddc)

Citrix XenDesktop Virtual Delivery Agent (vda)

添加 DNS 服务器 和 Active Directory 域服务 角色以创建一个标准 Active Directory 部署（在此示例中为 citrixsamldemo.net）。域提升完成后，请添加 Active Directory 证书服务 角色。

创建一个普通用户帐户用于测试（例如，George@citrixsamldemo.net）。

由于此服务器将运行内部 DNS，因此，所有服务器都应引用此服务器以便进行 DNS 解析。此操作可通过 Azure DNS 设置 页面完成。（有关详细信息，请参阅本文档中的“附录”。）

ADFS 控制器和 Web 应用程序代理服务器

将 ADFS 服务器加入到 citrixsamldemo domain 中。Web 应用程序代理服务器应始终保留在独立的工作组中，因此，请在 AD DNS 中手动注册 DNS 地址。

在这些服务器上运行 Enable-PSRemoting –Force cmdlet，以允许 PS 通过防火墙从 AzureAD Connect 工具远程连接。

XenDesktop Delivery Controller 和 VDA

请在加入到 citrixsamldemo 的其余两个 Windows 服务器上安装 XenApp 或 XenDesktop Delivery Controller 以及 VDA。

配置内部 DNS

安装域控制器后，请将 DNS 服务器配置为处理 citrixsamldemo.net 的内部查看，并用作指向外部 DNS 服务器（例如 8.8.8.8）的转发器。

添加以下各项的静态记录：

wap.citrixsamldemo.net [Web 应用程序代理 VM 将不加入域]

fs.citrixsamldemo.net [内部联合身份验证服务器地址]

enterpriseregistration.citrixsaml.net [与 fs.citrixsamldemo.net 相同]

应将 Azure 中运行的所有 VM 配置为仅使用此 DNS 服务器。可以通过网络接口 GUI 执行此操作。

默认情况下，内部 IP (10.0.0.9) 地址动态分配。可以使用 IP 地址设置永久分配 IP 地址。应对 Web 应用程序代理服务器和域控制器执行此操作。

配置外部 DNS 地址

VM 运行过程中，Azure 保留自己的指向当前已分配给 VM 的公用 IP 地址的 DNS 区域服务器。这是一项可启用的有用功能，因为 Azure 默认在每个 VM 启动时分配 IP 地址。

下例将 domaincontrol-citrixsamldemo.westeurope.cloudapp.azure.com 的 DNS 地址分配给域控制器。

请注意，远程配置完成后，只有 Web 应用程序代理和 NetScaler VM 应启用公用 IP 地址。（配置过程中，公用 IP 地址用于对环境进行 RDP 访问。）

配置安全组

Azure 云使用安全组从 Internet 管理对 VM 进行 TCP/UDP 访问时使用的防火墙规则。默认情况下，所有 VM 都允许进行 RDP 访问。NetScaler 和 Web 应用程序代理服务器还应允许在端口 443 上启用 TLS。

创建 ADFS 证书

请在 Microsoft 证书颁发机构 (CA) 上启用 Web 服务器 证书模板。这允许创建能够导出（包括私钥）为 pfx 文件且使用自定义 DNS 地址的证书。必须同时在 ADFS 和 Web 应用程序代理服务器上安装此证书，PFX 文件才能成为首选项。

颁发使用以下使用者名称的 Web 服务器证书：

adfs.citrixsamldemo.net [计算机名称]

使用者备用名称：

*.citrixsamldemo.net [区域名称]

fs.citrixsamldemo. net [DNS 中的条目]

enterpriseregistration.citrixsamldemo.net

默认情况下，用户通过格式为 < user.name >@< company >. onmicrosoft.com 的电子邮件地址进行标识。

虽然这在未进一步配置的情况下起作用，但最好使用标准格式的电子邮件地址，首选地址为与最终用户的电子邮件帐户匹配的地址：<user.name>@<company>.com

添加域 操作配置从您的真实公司域的重定向。下例使用 citrixsamldemo.net。

如果要设置 ADFS 以便进行单点登录，请启用该复选框。

安装 Azure AD Connect

Azure AD 配置 GUI 的步骤 2 重定向到 Azure AD Connect 的 Microsoft 下载页面。 在 ADFS VM 上安装此工具。请使用 自定义安装 （而非 快速设置 ），以使 ADFS 选项可用。

选择 使用 AD FS 进行联合身份验证 单点登录选项。

使用之前创建的管理员帐户连接到 Azure。

选择内部 AD 林。

将所有旧 Active Directory 对象与 Azure AD 同步。

如果目录结构非常简单，可以依靠足够独特的用户名来识别登录的用户。

接受默认过滤选项，或者将用户和设备限制为一组特定的用户和设备。

如果需要，可以将 Azure AD 密码与 Active Directory 同步。基于 ADFS 的身份验证通常不需要同步。

选择要在 AD FS 中使用的证书 PFX 文件，指定 fs.citrixsamldemo.net 作为 DNS 名称。

提示选择代理服务器时，输入 wap.citrixsamldemo.net 服务器的地址。您可能需要在 Web 应用程序代理服务器上以管理员身份运行 Enable-PSRemoting -Force cmdlet，以便 Azure AD Connect 能够对其进行配置。

注意： 如果此步骤由于远程 PowerShell 信任问题失败，请尝试将 Web 应用程序代理服务器加入域中。

对于向导的其余步骤，请使用标准的管理员密码，并为 ADFS 创建一个服务帐户。Azure AD Connect 之后将提示您验证 DNS 区域的所有权。

将 TXT 和 MX 记录添加到 Azure 中的 DNS 地址记录。

在 Azure 管理控制台中单击 验证 。

注意： 如果此步骤失败，可以在运行 Azure AD Connect 之前验证域。

完成后，外部地址 fs.citrixsamldemo.net 将通过端口 443 进行访问。

启用 Azure AD 联接

用户输入电子邮件地址以便 Windows 10 能够执行 Azure AD 联接操作时，将使用 DNS 后缀构建应指向 ADFS 的 CNAME DNS 记录：enterpriseregistration.<upnsuffix>。

在此示例中为 fs.citrixsamldemo.net。

如果未使用公用 CA，请务必在 Windows 10 计算机上安装 ADFS 根证书，这样 Windows 将信任 ADFS 服务器。 使用之前生成的标准用户帐户执行 Azure AD 域联接操作。

请注意：UPN 必须与 ADFS 域控制器能够识别的 UPN 匹配。

使用用户的电子邮件地址通过重新启动计算机并登录来验证 Azure AD 联接操作是否成功。登录后，请启动 Microsoft Edge 并连接到 https://myapps.microsoft.com 。该 Web 站点应自动使用单点登录功能。

安装 XenApp 或 XenDesktop

可以按常规方式在 Azure 中直接从 XenApp 或 XenDesktop ISO 安装 Delivery Controller 和 VDA 虚拟机。

在此示例中，StoreFront 与 Delivery Controller 安装在相同的服务器上。VDA 作为独立的 Windows 2012 R2 RDS 工作进程安装，不与 Machine Creation Services 集成（尽管能够选择性配置）。继续操作之前，请检查用户 George@citrixsamldemo.net 是否能够使用密码进行身份验证。

在 Controller 上运行 Set-BrokerSite –TrustRequestsSentToTheXmlServicePort $true PowerShell cmdlet 以允许 StoreFront 不使用用户的凭据进行身份验证。

安装联合身份验证服务

在 ADFS 服务器上安装联合身份验证服务 (FAS) 组件，并为要用作可信 StoreFront 的 Controller 配置一条规则。

与 Azure AD 联接后，Windows 10 将支持登录用户单点登录到 Azure 应用程序。单击图标会将浏览器定向到之前配置的 SAML cgi/samlauth Web 页面。

单点登录 URL

返回到 Azure AD 控制板中的应用程序。现在有对应用程序可用的单点登录 URL。此 URL 用于提供 Web 浏览器链接或创建直接将用户定向到 StoreFront 的“开始”菜单快捷方式。

将此 URL 粘贴到 Web 浏览器中以确保 Azure AD 能够将您重定向到之前配置的 NetScaler cgi/samlauth Web 页面。这仅适用于已分配的用户，并且仅对联接了 Windows 10 Azure AD 的登录会话提供单点登录。（系统将提示其他用户输入 Azure AD 凭据。）

安装并配置 NetScaler Gateway

为远程访问部署，此示例使用运行 NetScaler 的独立 VM。可以从 Azure 应用商店购买。下列使用 NetScaler 11.0 的“自带许可”版本。

使用对用户进行身份验证时指定的凭据登录 NetScaler VM，从而将 Web 浏览器指向内部 IP 地址。 请注意，必须在 Azure AD VM 中更改用户 nsroot 的密码。

添加许可证，在添加每个许可证文件后选择 重新启动 ，然后将 DNS 解析器指向 Microsoft 域控制器。

运行 XenApp 和 XenDesktop 设置向导

下例首先配置一个不带 SAML 的简单 StoreFront 集成。该部署运行后，将添加 SAML 登录策略。

选择标准 NetScaler StoreFront 设置。此示例将配置端口 4433（而非端口 443），以在 Microsoft Azure 中使用。或者，您可以对 NetScaler 管理 Web 站点进行端口转发或重新映射。

为简单起见，此示例将上载现有服务器证书以及存储在文件中的私钥。

配置域控制器以便管理 AD 帐户

域控制器将用于帐户解析，因此，请将其 IP 地址添加到主身份验证方法中。记录对话框中每个字段要求的格式。

验证端到端系统

使用在 Azure AD 中注册的帐户登录到加入了 Azure AD 的 Windows 10 桌面。启动 Microsoft Edge 并连接到 https://myapps.microsoft.com 。

Web 浏览器应为用户显示 Azure AD 应用程序。

验证单击图标是否会将您重定向到通过身份验证的 StoreFront 服务器。

同样，请验证使用单点登录 URL 的直接连接以及与 NetScaler 站点的直接连接是否会将您重定向到 Microsoft Azure 并返回。

最后，验证未加入 Azure AD 的计算机是否也能通过相同的 URL 运行（尽管会有一次显式登录到 Azure AD 以建立初始连接）。

在 Azure 中设置 VM 时应配置多个标准选项。

提供公用 IP 地址和 DNS 地址

Azure 在内部子网中向所有 VM 提供 IP 地址（在此示例中为 10.*.*.*）。默认情况下，还会提供公用 IP 地址，该地址可以被动态更新的 DNS 标签引用。

选择 公用 IP 地址/DNS 名称标签 的 配置 。为 VM 选择一个公用 DNS 地址。此地址可用于其他 DNS 区域文件中的 CNAME 引用，以确保即使重新分配了 IP 地址，所有 DNS 记录仍始终正确地指向该 VM。

设置防火墙规则（安全组）

云中的每个 VM 都将自动应用一组防火墙规则，称为安全组。安全组控制从公用 IP 地址转发到专用 IP 地址的流量。默认情况下，Azure 允许将 RDP 转发到所有 VM。NetScaler 和 ADFS 服务器还需要转发 TLS 流量 (443)。

打开 VM 的 网络接口 ，然后单击 网络安全组 标签。配置 入站安全规则 以允许传输相应的网络流量。

本内容的正式版本为英文版。部分 Citrix 文档内容采用了机器翻译，仅供您参考。Citrix 无法控制机器翻译的内容，这些内容可能包含错误、不准确或不合适的语言。对于从英文原文翻译成任何其他语言的内容的准确性、可靠性、适用性或正确性，或者您的 Citrix 产品或服务沿用了任何机器翻译的内容，我们均不作任何明示或暗示的保证，并且适用的最终用户许可协议或服务条款或者与 Citrix 签订的任何其他协议（产品或服务与已进行机器翻译的任何文档保持一致）下的任何保证均不适用。对于因使用机器翻译的内容而引起的任何损害或问题，Citrix 不承担任何责任。 DIESER DIENST KANN ÜBERSETZUNGEN ENTHALTEN, DIE VON GOOGLE BEREITGESTELLT WERDEN. GOOGLE LEHNT JEDE AUSDRÜCKLICHE ODER STILLSCHWEIGENDE GEWÄHRLEISTUNG IN BEZUG AUF DIE ÜBERSETZUNGEN AB, EINSCHLIESSLICH JEGLICHER GEWÄHRLEISTUNG DER GENAUIGKEIT, ZUVERLÄSSIGKEIT UND JEGLICHER STILLSCHWEIGENDEN GEWÄHRLEISTUNG DER MARKTGÄNGIGKEIT, DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK UND DER NICHTVERLETZUNG VON RECHTEN DRITTER. CE SERVICE PEUT CONTENIR DES TRADUCTIONS FOURNIES PAR GOOGLE. GOOGLE EXCLUT TOUTE GARANTIE RELATIVE AUX TRADUCTIONS, EXPRESSE OU IMPLICITE, Y COMPRIS TOUTE GARANTIE D'EXACTITUDE, DE FIABILITÉ ET TOUTE GARANTIE IMPLICITE DE QUALITÉ MARCHANDE, D'ADÉQUATION À UN USAGE PARTICULIER ET D'ABSENCE DE CONTREFAÇON. ESTE SERVICIO PUEDE CONTENER TRADUCCIONES CON TECNOLOGÍA DE GOOGLE. GOOGLE RENUNCIA A TODAS LAS GARANTÍAS RELACIONADAS CON LAS TRADUCCIONES, TANTO IMPLÍCITAS COMO EXPLÍCITAS, INCLUIDAS LAS GARANTÍAS DE EXACTITUD, FIABILIDAD Y OTRAS GARANTÍAS IMPLÍCITAS DE COMERCIABILIDAD, IDONEIDAD PARA UN FIN EN PARTICULAR Y AUSENCIA DE INFRACCIÓN DE DERECHOS. 本服务可能包含由 Google 提供技术支持的翻译。Google 对这些翻译内容不做任何明示或暗示的保证，包括对准确性、可靠性的任何保证以及对适销性、特定用途的适用性和非侵权性的任何暗示保证。 このサービスには、Google が提供する翻訳が含まれている可能性があります。Google は翻訳について、明示的か黙示的かを問わず、精度と信頼性に関するあらゆる保証、および商品性、特定目的への適合性、第三者の権利を侵害しないことに関するあらゆる黙示的保証を含め、一切保証しません。 ESTE SERVIÇO PODE CONTER TRADUÇÕES FORNECIDAS PELO GOOGLE. O GOOGLE SE EXIME DE TODAS AS GARANTIAS RELACIONADAS COM AS TRADUÇÕES, EXPRESSAS OU IMPLÍCITAS, INCLUINDO QUALQUER GARANTIA DE PRECISÃO, CONFIABILIDADE E QUALQUER GARANTIA IMPLÍCITA DE COMERCIALIZAÇÃO, ADEQUAÇÃO A UM PROPÓSITO ESPECÍFICO E NÃO INFRAÇÃO.

This Preview product documentation is Citrix Confidential.

You agree to hold this documentation confidential pursuant to the terms of your Citrix Beta/Tech Preview Agreement.

The development, release and timing of any features or functionality described in the Preview documentation remains at our sole discretion and are subject to change without notice or consultation.

The documentation is for informational purposes only and is not a commitment, promise or legal obligation to deliver any material, code or functionality and should not be relied upon in making Citrix product purchase decisions.

If you do not agree, select Do Not Agree to exit.

I AGREE I DO NOT AGREE