Um Remote-Desktops und -anwendungen über Omnissa Workspace ONE Access zu starten oder um mit Remote-Desktops und -anwendungen über einen externen Lastausgleichsdienst oder ein externes Gateway eine Verbindung herzustellen, müssen Sie in Horizon Console einen SAML-Authentifikator erstellen. Ein SAML-Authentifikator enthält den Vertrauensstellungs- und Metadatenaustausch zwischen Horizon 8 und dem Gerät, mit dem Clients eine Verbindung herstellen.
Sie verknüpfen einen SAML-Authentifikator mit einer Verbindungsserver-Instanz. Wenn Ihre Bereitstellung mehr als eine Verbindungsserver-Instanz beinhaltet, müssen Sie einen separaten SAML-Authentifikator mit jeder Instanz verknüpfen.
Sie können festlegen, dass ein statischer Authentifikator und mehrere dynamische Authentifikatoren zur gleichen Zeit aktiv sein können. Sie haben die Möglichkeit, (dynamische) vIDM- und (statische) Unified Access Gateway-Authentifikatoren zu konfigurieren und sie im aktiven Zustand zu belassen. Verbindungen können über beide Arten von Authentifikatoren hergestellt werden.
Sie können mehrere SAML-Authentifikatoren für einen Verbindungsserver konfigurieren, und alle Authentifikatoren können gleichzeitig aktiv sein. Allerdings müssen die auf dem Verbindungsserver konfigurierten SAML-Authentifikatoren jeweils über eine eigene Entitäts-ID verfügen.
Im Dashboard wird der Status des SAML-Authentifikators immer grün angezeigt, da es sich um vordefinierte Metadaten handelt, die von Haus aus statisch sind. Der Wechsel von rot zu grün betrifft nur dynamische Authentifikatoren.
Informationen zum Konfigurieren eines SAML-Authentifikators für Omnissa Unified Access Gateway-Appliances finden Sie unter Authentifizierungsmethoden für die Integration von Unified Access Gateway und externen Identitätsanbietern.
Voraussetzungen
-
Stellen Sie sicher, dass Workspace ONE, Omnissa Workspace ONE Access oder ein externes Gateway bzw. ein externer Lastausgleichsdienst installiert und konfiguriert ist. Weitere Informationen finden Sie in der Installationsdokumentation des betreffenden Produkts.
-
Stellen Sie sicher, dass das Stammzertifikat der signierenden Zertifizierungsstelle für das SAML-Serverzertifikat auf dem Verbindungsserver-Host installiert ist. Omnissa rät davon ab, SAML-Authentifikatoren zur Verwendung selbstsignierter Zertifikate zu konfigurieren. Informationen zur Zertifikatauthentifizierung finden Sie im Dokument Horizon 8-Installation und -Upgrade.
-
Notieren Sie sich den FQDN oder die IP-Adresse des Workspace ONE-Servers, des Omnissa Workspace ONE Access-Servers oder des externen Lastausgleichsdiensts.
-
Wenn Sie Workspace ONE oder Omnissa Workspace ONE Access verwenden, notieren Sie sich die URL der Connector-Web-Schnittstelle.
-
Wenn Sie einen Authentifikator für eine Unified Access Gateway-Appliance oder eine Drittanbieter-Appliance erstellen, für die Sie SAML-Metadaten generieren und einen statischen Authentifikator erstellen müssen, führen Sie den Vorgang zur Generierung der SAML-Metadaten auf dem Gerät aus und kopieren Sie dann die Metadaten.
Vorgehensweise
-
Navigieren Sie in Horizon Console zu Einstellungen > Globale Einstellungen.
-
Klicken Sie auf der Registerkarte Authentifikatoren auf Hinzufügen und wählen Sie im Dropdown-Menü SAML-Authentifikator hinzufügen aus.
-
Konfigurieren Sie den SAML-Authentifikator im Dialogfeld zum Hinzufügen von SAML-Authentifikatoren.
Option Beschreibung Typ Wählen Sie für eine Unified Access Gateway-Appliance oder ein Drittanbietergerät die Option Statisch aus. Wählen Sie für Omnissa Workspace ONE Access die Option Dynamisch aus. Für dynamische Authentifikatoren können Sie eine Metadaten-URL und eine Verwaltungs-URL angeben. Bei statischen Authentifikatoren müssen Sie zunächst die Metadaten auf der Unified Access Gateway-Appliance oder dem Drittanbietergerät generieren, die Metadaten kopieren und diese dann im Textfeld SAML-Metadaten einfügen. Bezeichnung Eindeutiger Name, der den SAML-Authentifikator identifiziert. Beschreibung Kurzbeschreibung des SAML-Authentifikators. Dieser Wert ist optional. Metadaten-URL (Für dynamische Authentifikatoren) URL zum Abrufen aller Informationen, die für den Austausch von SAML-Informationen zwischen dem SAML-Identitätsanbieter und der Verbindungsserver-Instanz erforderlich sind. Klicken Sie in der URL https://<YOUR HORIZON SERVER NAME>/SAAS/API/1.0/GET/metadata/idp.xmlauf <YOUR HORIZON SERVER NAME> und ersetzen Sie sie durch den FQDN oder die IP-Adresse des Omnissa Workspace ONE Access-Servers oder des externen Lastausgleichsdiensts (Drittanbietergerät).True SSO-Auslösermodus (Für dynamische Authentifikatoren) Aktivieren oder deaktivieren Sie TrueSSO für SAML-Authentifikatoren. SAML-Metadaten (Für statische Authentifikatoren) Metadatentext, den Sie generiert und von der Unified Access Gateway-Appliance oder einem Drittanbietergerät kopiert haben. Verschlüsselte Assertion anfordern (Horizon 2412 und höher) Aktivieren Sie dieses Kontrollkästchen, wenn Sie Unterstützung für verschlüsselte Assertionen benötigen. Wenn der IDP die verschlüsselte Assertion nicht senden kann, lassen Sie dieses Flag deaktiviert (Standard). Der Standardverbindungsserver lässt dann eine unverschlüsselte SAML-Assertion vom IDP zu. Wenn der Identitätsanbieter die verschlüsselte Assertion sendet, lässt der Verbindungsserver die verschlüsselte Assertion auch dann zu, wenn die Option Verschlüsselte Assertion anfordern deaktiviert ist. Hinweis: Bei den Funktionen zum Hinzufügen/Bearbeiten von SAML-Authentifikatoren ist diese Option standardmäßig ausgewählt.
Workspace ONE-Modus Wenn diese Option aktiviert ist, markiert sie diesen SAML-Authentifikator als Workspace ONE-Authentifikator. Standardmäßig betrachtet der Verbindungsserver einen Authentifikator nicht als Workspace ONE-Authentifikator. IDP sollte den Benutzer jedes Mal authentifizieren Wenn diese Option aktiviert ist, sollte sich der IDP (Identitätsanbieter) erneut authentifizieren, selbst wenn aktuell eine SAML-Sitzung für einen bestimmten Benutzer aktiv ist. Standardmäßig erfordert der IDP von Benutzern keine erneute Authentifizierung, wenn bereits eine Benutzersitzung aktiv ist. -
Klicken Sie auf OK, um die SAML-Authentifikatorkonfiguration zu speichern.
-
Wählen Sie den Authentifikator aus, um die Einstellung Delegierung der Authentifizierung für alle ausgewählten Verbindungsserver zu Aktivieren.
Option Beschreibung Zugelassen Die SAML-Authentifizierung ist aktiviert. Sie können Remote-Desktops und -anwendungen sowohl über Horizon Client und Omnissa Workspace ONE Access als auch über das Gerät eines Drittanbieters starten. Erforderlich Die SAML-Authentifizierung ist aktiviert. Sie können Remote-Desktops und -anwendungen nur über Omnissa Workspace ONE Access oder über das Gerät eines Drittanbieters starten. Sie können Desktops oder Anwendungen nicht manuell über Horizon Client starten. -
Konfigurieren Sie die Metadateneinstellungen:
-
Mit den Metadateneinstellungen können Sie steuern, wie SAML-Metadaten freigegeben und in Ihrer CPA-Umgebung eingerichtet werden. Diese Konfiguration muss für jeden Pod einzeln durchgeführt werden, um gemeinsame SAML-Metadaten auf CPA-Ebene zu aktivieren.
-
Die Metadateneinstellungen enthalten die folgenden Konfigurationsfelder:
Bereich Beschreibung Cluster-GUID Eindeutiger Bezeichner für den Pod-Cluster, identifiziert die spezifische Pod-Instanz in der CPA-Umgebung. Schlüsselfreigabe aktivieren Steuert, ob SAML-Signatur- und Verschlüsselungsschlüssel von mehreren Pods gemeinsam genutzt werden. Entitätsfreigabe aktivieren. Steuert, ob SAML-Entitäts-IDs von mehreren Pods gemeinsam genutzt werden und ob Pods Identitätsanbietern eine gemeinsame Identität aufweisen Freigegebene Entitäts-ID Die gemeinsame SAML-Entitäts-ID, die verwendet wird, wenn die gemeinsame Nutzung der Entitäts-ID aktiviert ist, standardmäßig mit Cluster-GUID aufgefüllt
Nächste Schritte
Erweitern Sie den Ablaufzeitraum der Metadaten des Verbindungsservers, sodass Remotesitzungen nicht nach nur 24 Stunden beendet werden. Weitere Informationen finden Sie unter Ändern des Ablaufzeitraums der Metadaten von Dienstanbietern auf dem Verbindungsserver.
-
War diese Seite hilfreich?