Um Remote-Desktops und -anwendungen über Omnissa Workspace ONE Access zu starten oder um mit Remote-Desktops und -anwendungen über einen externen Lastausgleichsdienst oder ein externes Gateway eine Verbindung herzustellen, müssen Sie in Horizon Console einen SAML-Authentifikator erstellen. Ein SAML-Authentifikator enthält den Vertrauensstellungs- und Metadatenaustausch zwischen Horizon 8 und dem Gerät, mit dem Clients eine Verbindung herstellen.
Sie verknüpfen einen SAML-Authentifikator mit einer Verbindungsserver-Instanz. Wenn Ihre Bereitstellung mehr als eine Verbindungsserver-Instanz beinhaltet, müssen Sie einen separaten SAML-Authentifikator mit jeder Instanz verknüpfen.
Sie können festlegen, dass ein statischer Authentifikator und mehrere dynamische Authentifikatoren zur gleichen Zeit aktiv sein können. Sie haben die Möglichkeit, (dynamische) vIDM- und (statische) Unified Access Gateway-Authentifikatoren zu konfigurieren und sie im aktiven Zustand zu belassen. Verbindungen können über beide Arten von Authentifikatoren hergestellt werden.
Sie können mehrere SAML-Authentifikatoren für einen Verbindungsserver konfigurieren, und alle Authentifikatoren können gleichzeitig aktiv sein. Allerdings müssen die auf dem Verbindungsserver konfigurierten SAML-Authentifikatoren jeweils über eine eigene Entitäts-ID verfügen.
Im Dashboard wird der Status des SAML-Authentifikators immer grün angezeigt, da es sich um vordefinierte Metadaten handelt, die von Haus aus statisch sind. Der Wechsel von rot zu grün betrifft nur dynamische Authentifikatoren.
Informationen zum Konfigurieren eines SAML-Authentifikators für Omnissa Unified Access Gateway-Appliances finden Sie unter Authentifizierungsmethoden für die Integration von Unified Access Gateway und externen Identitätsanbietern.
Voraussetzungen
-
Stellen Sie sicher, dass Workspace ONE, Omnissa Workspace ONE Access oder ein externes Gateway bzw. ein externer Lastausgleichsdienst installiert und konfiguriert ist. Weitere Informationen finden Sie in der Installationsdokumentation des betreffenden Produkts.
-
Stellen Sie sicher, dass das Stammzertifikat der signierenden Zertifizierungsstelle für das SAML-Serverzertifikat auf dem Verbindungsserver-Host installiert ist. Omnissa rät davon ab, SAML-Authentifikatoren zur Verwendung selbstsignierter Zertifikate zu konfigurieren. Informationen zur Zertifikatauthentifizierung finden Sie im Dokument Horizon 8-Installation und -Upgrade.
-
Notieren Sie sich den FQDN oder die IP-Adresse des Workspace ONE-Servers, des Omnissa Workspace ONE Access-Servers oder des externen Lastausgleichsdiensts.
-
Wenn Sie Workspace ONE oder Omnissa Workspace ONE Access verwenden, notieren Sie sich die URL der Connector-Web-Schnittstelle.
-
Wenn Sie einen Authentifikator für eine Unified Access Gateway-Appliance oder eine Drittanbieter-Appliance erstellen, für die Sie SAML-Metadaten generieren und einen statischen Authentifikator erstellen müssen, führen Sie den Vorgang zur Generierung der SAML-Metadaten auf dem Gerät aus und kopieren Sie dann die Metadaten.
Vorgehensweise
-
Navigieren Sie in Horizon Console zu Einstellungen > Server.
-
Wählen Sie auf der Registerkarte Verbindungsserver eine Serverinstanz aus, die mit dem SAML-Authentifikator verknüpft werden soll, und klicken Sie auf Bearbeiten.
-
Wählen Sie auf der Registerkarte Authentifizierung eine Einstellung im Dropdown-Menü Delegierung von Authentifizierung an Omnissa Horizon (SAML 2.0-Authentifikator) aus, um den SAML-Authentifikator zu aktivieren oder zu deaktivieren.
Option Beschreibung Deaktiviert Die SAML-Authentifizierung ist deaktiviert. Sie können Remote-Desktops und -anwendungen nur über Horizon Client starten. Aktiviert Die SAML-Authentifizierung ist aktiviert. Sie können Remote-Desktops und -anwendungen sowohl über Horizon Client und Omnissa Workspace ONE Access als auch über das Gerät eines Drittanbieters starten. Erforderlich Die SAML-Authentifizierung ist aktiviert. Sie können Remote-Desktops und -anwendungen nur über Omnissa Workspace ONE Access oder über das Gerät eines Drittanbieters starten. Sie können Desktops oder Anwendungen nicht manuell über Horizon Client starten. Sie können die einzelnen Verbindungsserver-Instanzen in Ihrer Bereitstellung so konfigurieren, dass sie abhängig von Ihren Anforderungen über unterschiedliche SAML-Authentifizierungseinstellungen verfügen.
-
Klicken Sie auf SAML-Authentifikatoren verwalten und dann auf Hinzufügen.
-
Konfigurieren Sie den SAML-Authentifikator im Dialogfeld zum Hinzufügen von SAML 2.0-Authentifikatoren.
Option Beschreibung Typ Wählen Sie für eine Unified Access Gateway-Appliance oder ein Drittanbietergerät die Option Statisch aus. Wählen Sie für Omnissa Workspace ONE Access die Option Dynamisch aus. Für dynamische Authentifikatoren können Sie eine Metadaten-URL und eine Verwaltungs-URL angeben. Bei statischen Authentifikatoren müssen Sie zunächst die Metadaten auf der Unified Access Gateway-Appliance oder dem Drittanbietergerät generieren, die Metadaten kopieren und diese dann im Textfeld SAML-Metadaten einfügen. Bezeichnung Eindeutiger Name, der den SAML-Authentifikator identifiziert. Beschreibung Kurzbeschreibung des SAML-Authentifikators. Dieser Wert ist optional. Metadaten-URL (Für dynamische Authentifikatoren) URL zum Abrufen aller Informationen, die für den Austausch von SAML-Informationen zwischen dem SAML-Identitätsanbieter und der Verbindungsserver-Instanz erforderlich sind. Klicken Sie in der URL https://<YOUR HORIZON SERVER NAME>/SAAS/API/1.0/GET/metadata/idp.xmlauf <YOUR HORIZON SERVER NAME> und ersetzen Sie sie durch den FQDN oder die IP-Adresse des Omnissa Workspace ONE Access-Servers oder des externen Lastausgleichsdiensts (Drittanbietergerät).Verwaltungs-URL (Für dynamische Authentifikatoren) URL für den Zugriff auf die Verwaltungskonsole des SAML-Identitätsanbieters. Für Omnissa Workspace ONE Access sollte diese URL auf die Omnissa Workspace ONE Access Connector-Webschnittstelle verweisen. Dieser Wert ist optional. True SSO-Auslösermodus (Für dynamische Authentifikatoren) Aktivieren oder deaktivieren Sie TrueSSO für SAML-Authentifikatoren. SAML-Metadaten (Für statische Authentifikatoren) Metadatentext, den Sie generiert und von der Unified Access Gateway-Appliance oder einem Drittanbietergerät kopiert haben. Aktiviert für den Verbindungsserver Aktivieren Sie dieses Kontrollkästchen, um den Authentifikator zu aktivieren. Sie können mehrere Authentifikatoren aktivieren. Nur aktivierte Authentifikatoren werden in der Liste angezeigt. Verschlüsselte Assertion anfordern (Horizon 2412 und höher) Aktivieren Sie dieses Kontrollkästchen, wenn Sie Unterstützung für verschlüsselte Assertionen benötigen. Wenn der IDP die verschlüsselte Assertion nicht senden kann, lassen Sie dieses Flag deaktiviert (Standard). Der Standardverbindungsserver lässt dann eine unverschlüsselte SAML-Assertion vom IDP zu. Wenn der Identitätsanbieter die verschlüsselte Assertion sendet, lässt der Verbindungsserver die verschlüsselte Assertion auch dann zu, wenn die Option Verschlüsselte Assertion anfordern deaktiviert ist. Hinweis: Bei den Funktionen zum Hinzufügen/Bearbeiten von SAML-Authentifikatoren ist diese Option standardmäßig ausgewählt.
Workspace ONE-Modus Wenn diese Option aktiviert ist, markiert sie diesen SAML-Authentifikator als Workspace ONE-Authentifikator. Standardmäßig betrachtet der Verbindungsserver einen Authentifikator nicht als Workspace ONE-Authentifikator. IDP sollte den Benutzer jedes Mal authentifizieren Wenn diese Option aktiviert ist, sollte sich der IDP (Identitätsanbieter) erneut authentifizieren, selbst wenn aktuell eine SAML-Sitzung für einen bestimmten Benutzer aktiv ist. Standardmäßig erfordert der IDP von Benutzern keine erneute Authentifizierung, wenn bereits eine Benutzersitzung aktiv ist.
6. Klicken Sie auf **OK**, um die SAML-Authentifikatorkonfiguration zu speichern.Sofern Sie gültige Informationen angegeben haben, müssen Sie entweder das selbstsignierte Zertifikat akzeptieren (nicht empfohlen) oder ein vertrauenswürdiges Zertifikat für Horizon 8 und Omnissa Workspace ONE Access oder ein Drittanbietergerät verwenden. Der neu erstellte Authentifikator wird im Dialogfeld „SAML-Authentifikatoren verwalten“ angezeigt.
Nächste Schritte
Erweitern Sie den Ablaufzeitraum der Metadaten des Verbindungsservers, sodass Remotesitzungen nicht nach nur 24 Stunden beendet werden. Weitere Informationen finden Sie unter Ändern des Ablaufzeitraums der Metadaten von Dienstanbietern auf dem Verbindungsserver.
War diese Seite hilfreich?