Ändern oder Deaktivieren der Einstellungen für die Zwei-Faktor-Authentifizierung auf den Gateways eines Horizon Cloud-Pods

Sie können den Workflow "Pod bearbeiten" verwenden, um die Einstellungen für die Zwei-Faktor-Authentifizierung auf den Gateways des Pods zu ändern oder die Zwei-Faktor-Authentifizierung vollständig zu deaktivieren. Wenn Sie die Einstellungen ändern, geben Sie im Grunde einen neuen Namen für die Einstellungen für die Zwei-Faktor-Authentifizierung ein, geben Sie die gewünschten neuen Einstellungen ein, stellen Sie sicher, dass der neue Name für das jeweilige Gateway ausgewählt ist, und speichern Sie. Sie verwenden den Workflow "Pod bearbeiten", um die Einstellungen für die Zwei-Faktor-Authentifizierung zu ändern.

Hinweis: Wenn der Mandant für die Verwendung von Universal Broker konfiguriert ist und in den Broker-Einstellungen die Zwei-Faktor-Authentifizierung aktiviert ist, muss derselbe Zwei-Faktor-Authentifizierungstyp auf den externen Gateways aller Pods in der Flotte festgelegt werden. Wenn Sie in diesem Szenario diese Schritte ausführen, um die Zwei-Faktor-Authentifizierung zu einem externen Gateway hinzuzufügen, erzwingt die Benutzeroberfläche die Auswahl des Zwei-Faktor-Authentifizierungstyps, der mit dem in den Broker-Einstellungen festgelegten übereinstimmt.

Voraussetzungen

Wenn Sie die Zwei-Faktor-Authentifizierung für eines der Gateways aktiviert lassen, aber die spezifischen Einstellungen ändern, stellen Sie sicher, dass Sie über die folgenden Informationen verfügen:

• Wenn der Zwei-Faktor-Authentifizierungsserver lokal ist, stellen Sie sicher, dass Sie über die relevanten Informationen für die folgenden Felder verfügen, damit die Unified Access Gateway-Instanzen für dieses Gateway das Routing zu diesem Server auflösen können.

  Option	Beschreibung
  DNS-Adressen	Geben Sie eine oder mehrere DNS-Serveradressen an, die den Namen Ihres lokalen Authentifizierungsservers auflösen können.
  Routen	Geben Sie eine oder mehrere benutzerdefinierte Routen an, die es den Unified Access Gateway-Instanzen des Pods ermöglichen, Netzwerkrouten zu Ihrem lokalen Authentifizierungsserver aufzulösen. Wenn Sie beispielsweise über einen lokalen RADIUS-Server verfügen, der 10.10.60.20 als IP-Adresse verwendet, würden Sie 10.10.60.0/24 und Ihre standardmäßige Route-Gateway-Adresse als benutzerdefinierte Route verwenden. Sie erhalten Ihre standardmäßige Route-Gateway-Adresse über die Express-Route oder VPN-Konfiguration, die Sie für diese Umgebung verwenden. Geben Sie die benutzerdefinierten Routen als kommagetrennte Liste im Format ipv4-network-address/bits ipv4-gateway-address an, z. B. 192.168.1.0/24 192.168.0.1, 192.168.2.0/24 192.168.0.2.

• Stellen Sie sicher, dass Sie über die folgenden Informationen verfügen, die bei der Konfiguration Ihres Authentifizierungsservers verwendet werden, damit Sie sie in den entsprechenden Feldern im Pod-Bereitstellungsassistenten angeben können. Wenn Sie einen RADIUS-Authentifizierungsserver verwenden und sowohl über einen primären als auch über einen sekundären Server verfügen, rufen Sie die Informationen für jeden von ihnen ab.

  • RADIUS

    Wenn Sie Einstellungen sowohl für einen primären als auch für einen zusätzlichen RADIUS-Server konfigurieren, rufen Sie die Informationen für jeden von ihnen ab.

    • Geben Sie den DNS-Namen oder die IP-Adresse des Authentifizierungsservers ein.

    • Der gemeinsame geheime Schlüssel, der für die Ver- und Entschlüsselung in den Protokollmeldungen des Authentifizierungsservers verwendet wird

    • Portnummern für die Authentifizierung, in der Regel 1812/UDP für RADIUS.

    • Authentifizierungstyp Zu den Authentifizierungstypen gehören PAP (Password Authentication Protocol), CHAP (Challenge Handshake Authentication Protocol), MSCHAP1, MSCHAP2 (Microsoft Challenge Handshake Authentication Protocol, Version 1 und 2).

      Hinweis: Überprüfen Sie in der Dokumentation Ihres RADIUS-Anbieters auf das Authentifizierungsprotokoll, das Ihr RADIUS-Anbieter empfiehlt, und verwenden Sie den angegebenen Protokolltyp. Die Pod-Funktionalität zur Unterstützung der Zwei-Faktor-Authentifizierung mit RADIUS wird von den Unified Access Gateway-Instanzen bereitgestellt, und Unified Access Gateway unterstützt PAP, CHAP, MSCHAP1 und MSCHAP2. PAP ist in der Regel weniger sicher als MSCHAP2. PAP ist auch ein einfacheres Protokoll als MSCHAP2. Obwohl die meisten RADIUS Anbieter mit dem einfacheren PAP-Protokoll kompatibel sind, sind einige RADIUS Anbieter nicht so kompatibel mit dem sichereren MSCHAP2.

  • RSA SecurID

    Hinweis: Der RSA SecurID-Typ wird für Horizon Cloud on Microsoft Azure-Bereitstellungen unterstützt, auf denen Manifest 3139.x oder höher ausgeführt wird. Die Benutzeroberflächenoption zur Angabe des RSA SecurID-Typs in den Assistenten "Pod hinzufügen" und "Pod bearbeiten" wird ab Mitte März 2022 in den Assistenten zur Auswahl angezeigt.

    • SSL-Zertifikat des RSA SecurID Authentication Manager-Servers.
    • Nummer des RSA SecurID-Kommunikationsports. In der Regel 5555, wie in den RSA Authentication Manager-Systemeinstellungen für die RSA SecurID-Authentifizierungs-API festgelegt.
    • Hostname des RSA SecurID Authentication Manager-Servers.
    • Die IP-Adresse des RSA SecurID Authentication Manager-Server.
    • Wenn der RSA SecurID Authentication Manager-Server oder sein Lastausgleichsserver über ein selbstsigniertes Zertifikat verfügt, benötigen Sie das CA-Zertifikat, das im Assistenten "Pod hinzufügen" bereitgestellt werden muss. Das Zertifikat muss im PEM-Format vorliegen (Dateitypen .cer oder.cert oder .pem)

Vorgehensweise

1. Öffnen Sie das Fenster "Pod bearbeiten" auf der Detailseite des Pods, indem Sie auf Bearbeiten klicken.

2. Klicken Sie im Fenster "Pod bearbeiten" auf Weiter , um mit dem Schritt Gateway-Einstellungen fortzufahren.

   Dieser Schritt enthält einen Abschnitt für die Konfiguration des externen Gateways und einen Abschnitt für die Konfiguration des internen Gateways. Die Benutzeroberfläche spiegelt die aktuelle Konfiguration des Pods und die Gateway-Einstellungen wider, über die er bereits verfügt.

3. Positionieren Sie das Fenster bei dem Gateway-Typ, für den Sie die Zwei-Faktor-Authentifizierung (extern oder intern) ändern möchten.

4. Um die Zwei-Faktor-Authentifizierung auf dem Gateway zu deaktivieren, deaktivieren Sie die Umschaltoption Zwei-Faktor-Authentifizierung aktivieren und wechseln Sie dann zu Schritt 9 , um die Änderungen zu speichern.

   Wenn für das andere Gateway ebenfalls die Zwei-Faktor-Authentifizierung aktiviert ist und Sie sie deaktivieren möchten, deaktivieren Sie die Umschaltoption im Abschnitt für dieses andere Gateway.

5. Um die spezifischen Einstellungen für die Zwei-Faktor-Authentifizierung zu ändern, die auf dem Gateway festgelegt sind, fahren Sie mit den folgenden Schritten fort.

   Sie erstellen einen neuen Namen für den neuen Satz von Zwei-Faktor-Authentifizierungswerten und speichern die Konfiguration mit diesem neuen Namen, der für den entsprechenden Gateway-Abschnitt im Fenster ausgewählt wurde.

6. Geben Sie im Feld Konfigurationsname einen eindeutigen Namen für diese Konfiguration ein.

7. Legen Sie im Abschnitt Eigenschaften Details zur Interaktion der Endbenutzer mit dem Anmeldebildschirm fest, über den sie sich für den Zugriff authentifizieren.

   Der Assistent zeigt Felder basierend auf der Konfiguration an, die eine Horizon Cloud on Microsoft Azure-Bereitstellung mit ihren Gateway-Konfigurationen unterstützt. Die Felder variieren je nach ausgewähltem Zwei-Faktor-Authentifizierungstyp. Weitere Informationen finden Sie in der folgenden Tabelle, die Ihrem ausgewählten Typ RADIUS oder RSA SecurID entspricht.

   • RADIUS

     Beim Ausfüllen der Felder müssen Details zum primären Authentifizierungsserver angegeben werden. Wenn Sie über einen sekundären Authentifizierungsserver verfügen, aktivieren Sie die Umschaltoption Hilfsserver und geben Sie auch die Details für diesen Server an.

     Option	Beschreibung
     Anzeigename	Sie können dieses Feld leer lassen. Obwohl dieses Feld im Assistenten sichtbar ist, legt es nur einen internen Namen in der Unified Access Gateway-Konfiguration fest. Dieser Name wird von Horizon Clients nicht verwendet.
     Anzeigehinweis	Geben Sie optional eine Textzeichenfolge ein, die den Endbenutzern in der Meldung auf dem Anmeldebildschirm des Endbenutzerclients angezeigt wird, wenn der Benutzer zur Eingabe seines RADIUS-Benutzernamens und der Kennung aufgefordert wird. Der angegebene Hinweis wird dem Endbenutzer wie folgt angezeigt: Geben Sie Ihren DisplayHint-Benutzernamen und -Passcode ein, wobei DisplayHint der Text ist, den Sie in diesem Feld angeben. Dieser Hinweis kann Benutzern dabei helfen, die richtige RADIUS-Kennung einzugeben. Beispiel: Wenn Sie Benutzername und Domänenkennwort für Beispiel angeben, wird der Endbenutzer aufgefordert, den Benutzernamen und das Kennwort für die Beispielfirma sowie das Domänenkennwort unten als Benutzernamen und Kennwort für die Domäne einzugeben
     Suffix für Namens-ID	Diese Einstellung wird in SAML-Szenarien verwendet, in denen Ihr Pod für die Verwendung von TrueSSO für Single Sign-On konfiguriert ist. Geben Sie optional eine Zeichenfolge an, die an den Benutzernamen der SAML-Assertion angehängt wird, der in der Anforderung an den Pod-Manager gesendet wird. Wenn der Benutzername beispielsweise im Anmeldebildschirm als user1 eingegeben wird und hier ein Suffix für die Namens-ID von @example.com angegeben wurde, wird der Benutzername der SAML-Assertion user1@example.com in der Anforderung gesendet.
     Anzahl an Wiederholungen	Geben Sie die maximale Anzahl fehlgeschlagener Authentifizierungsversuche ein, die einem Benutzer erlaubt sind, wenn er versucht, sich mit diesem RADIUS-System anzumelden.
     Benutzernamen beibehalten	Aktivieren Sie diesen Schalter, um den Active Directory-Benutzernamen des Benutzers während der Authentifizierung beizubehalten, der zwischen dem Client, der Unified Access Gateway-Instanz und dem RADIUS-Dienst übertragen wird. Wenn aktiviert: Der Benutzer muss über dieselben Anmeldedaten für RADIUS wie für die Active Directory-Authentifizierung verfügen. Der Benutzer kann den Benutzernamen auf dem Anmeldebildschirm nicht ändern. Wenn diese Umschaltoption ausgeschaltet wird, kann der Benutzer auf dem Anmeldebildschirm einen anderen Benutzernamen eingeben. Hinweis: Informationen zur Beziehung zwischen der Aktivierung von Benutzername beibehalten und den Domänensicherheitseinstellungen in Horizon Cloud finden Sie unter dem Thema Domänensicherheitseinstellungen auf der Seite "Allgemeine Einstellungen".
     Hostname/IP-Adresse	Geben Sie den DNS-Namen oder die IP-Adresse des Authentifizierungsservers ein.
     Gemeinsamer geheimer Schlüssel	Geben Sie den geheimen Schlüssel für die Kommunikation mit dem Authentifizierungsserver ein. Der Wert muss mit dem vom Server konfigurierten Wert identisch sein.
     Authentifizierungsport	Geben Sie den auf dem Authentifizierungsserver konfigurierten UDP-Port zum Senden oder Empfangen von Authentifizierungsdatenverkehr an. Die Standardeinstellung ist 1812.
     Kontoführungsport	Geben Sie optional den auf dem Authentifizierungsserver konfigurierten UDP-Port zum Senden oder Empfangen von Kontoführungsdatenverkehr an. Die Standardeinstellung ist 1813.
     Mechanismus	Wählen Sie das Authentifizierungsprotokoll aus, das vom angegebenen Authentifizierungsserver unterstützt wird und das der bereitgestellte Pod verwenden soll.
     Zeitüberschreitung des Servers	Geben Sie die Anzahl der Sekunden an, die der Pod auf eine Antwort vom Authentifizierungsserver warten soll. Nach dieser Anzahl von Sekunden wird ein erneuter Versuch gesendet, wenn der Server nicht antwortet.
     Maximale Anzahl an erneuten Versuchen:	Geben Sie an, wie oft der Pod fehlgeschlagene Anforderungen an den Authentifizierungsserver maximal wiederholen soll.
     Bereichspräfix	Geben Sie optional eine Zeichenfolge ein, die das System am Anfang des Benutzernamens einfügt, wenn der Name an den Authentifizierungsserver gesendet wird. Der Speicherort des Benutzerkontos wird "Realm" genannt. Wenn beispielsweise der Benutzername im Anmeldebildschirm als Benutzer1 eingegeben wird und hier das Bereichspräfix DOMÄNE-A\ angegeben wurde, sendet das System DOMÄNE-A\Benutzer1 an den Authentifizierungsserver. Wenn Sie kein Bereichspräfix angeben, wird nur der eingegebene Benutzername gesendet.
     Bereichssuffix	Geben Sie optional eine Zeichenfolge an, die das System an den Benutzernamen anhängt, wenn der Name an den Authentifizierungsserver gesendet wird. Wenn der Benutzername beispielsweise auf dem Anmeldebildschirm als user1 eingegeben wird und hier das Bereichssuffix @ example.com angegeben wurde, sendet das System user1@example.com an den Authentifizierungsserver.

   • RSA SecurID

     Option	Beschreibung
     Zugriffsschlüssel	Geben Sie den Zugriffsschlüssel für Ihr RSA SecurID-System ein, der in den RSA SecurID-Authentifizierungs-API-Einstellungen des Systems abgerufen wurde.
     Serverport	Geben Sie den Wert an, der in den Einstellungen der RSA SecurID-Authentifizierungs-API Ihres Systems für den Kommunikationsport konfiguriert ist, standardmäßig 5555.
     Server-Hostname	Geben Sie den DNS-Namen oder die IP-Adresse des Authentifizierungsservers ein.
     Server-IP-Adresse	Geben Sie den DNS-Namen oder die IP-Adresse des Authentifizierungsservers ein.
     Anzahl an Wiederholungen	Die maximal zulässige Anzahl an fehlgeschlagenen Authentifizierungsversuchen, bevor Endbenutzer für eine Stunde gesperrt werden. Der Standardwert beträgt 5. Die Standardeinstellung beträgt fünf (5) Versuche.
     CA-Zertifikat	Dieses Element ist erforderlich, wenn Ihr RSA SecurID Authentication Manager-Server oder dessen Lastausgleichsdienst ein selbstsigniertes Zertifikat verwendet. Kopieren Sie in diesem Fall das CA-Zertifikat und fügen Sie es in dieses Feld ein. Wie oben auf dieser Seite beschrieben, müssen die Zertifikatsinformationen im PEM-Format bereitgestellt werden. Wenn der Server über ein von einer öffentlichen Zertifizierungsstelle signiertes Zertifikat verfügt, ist dieses Feld optional.
     Zeitüberschreitung für die Authentifizierung:	Geben Sie an, wie viele Sekunden der Authentifizierungsversuch zwischen den Unified Access Gateway-Instanzen und dem RSA SecurID-Authentifizierungsserver verfügbar sein soll, bevor eine Zeitüberschreitung eintritt. Der Standardwert beträgt 180 Sekunden.

8. Wenn Sie alle gewünschten Einstellungen vorgenommen haben, klicken Sie auf Speichern und Beenden.

   Es wird eine Bestätigungsmeldung angezeigt, in der Sie aufgefordert werden, den Start des Workflows zu bestätigen.

9. Klicken Sie auf Ja , um den Workflow zu starten.

Ergebnisse

Bis das System die Bereitstellung der neuen Konfiguration für den Pod abgeschlossen hat, wird auf der Zusammenfassungsseite des Pods im Abschnitt für das Gateway, auf dem Sie die Zwei-Faktor-Authentifizierung hinzugefügt haben, der Status Ausstehend angezeigt.

Wenn der Workflow abgeschlossen ist, werden der Status als Bereit und die Einstellungen für die doppelte Authentifizierung des Gateways auf der Seite angezeigt.

Hinweis: Wenn dieser Workflow für einen Pod in Microsoft Azure China ausgeführt wird, kann der Vorgang länger als eine Stunde dauern. Der Prozess unterliegt geografischen Netzwerkproblemen, die langsame Download-Geschwindigkeiten verursachen können, wenn die Binärdateien aus der Cloud-Steuerungsebene heruntergeladen werden.

Nächster Schritt

Wichtig: Wenn Sie die Werte der Einstellungen für die Zwei-Faktor-Authentifizierung eines Gateways durch neue Werte ersetzen, müssen Sie die folgenden Aufgaben ausführen, bevor Ihre Endbenutzer das Gateway mit den neuen Werten für die Zwei-Faktor-Authentifizierung fortsetzen.

• Wenn für das externe Gateway des Pods die Zwei-Faktor-Authentifizierung konfiguriert ist und der Zwei-Faktor-Authentifizierungsserver nicht innerhalb derselben VNet-Topologie erreichbar ist, in der die Unified Access Gateway-Instanzen des Gateways bereitgestellt werden, stellen Sie sicher, dass der Zwei-Faktor-Authentifizierungsserver, den Sie in der Gateway-Konfiguration angegeben haben, die Kommunikation von der IP-Adresse des Lastausgleichsdiensts des externen Gateways zulässt.

  In diesem Szenario, in dem der Zwei-Faktor-Authentifizierungsserver innerhalb derselben VNet-Topologie wie die Gateway-Bereitstellung nicht erreichbar ist, versuchen die Unified Access Gateway-Instanzen, über diese Lastausgleichsadresse Kontakt mit diesem Server herzustellen. Um diesen Kommunikationsdatenverkehr zuzulassen, stellen Sie sicher, dass die IP-Adresse der Lastausgleichsdienstressource, die sich in der Ressourcengruppe dieses externen Gateways befindet, in der Konfiguration Ihres Zwei-Faktor-Authentifizierungsservers als zulässiger Client oder als registrierter Agent angegeben ist. In der Dokumentation Ihres Zwei-Faktor-Authentifizierungsservers finden Sie Einzelheiten dazu, wie Sie diese Kommunikation zulassen.

• Wenn Ihr Zwei-Faktor-Authentifizierungsserver innerhalb derselben VNet-Topologie erreichbar ist, stellen Sie sicher, dass der Zwei-Faktor-Authentifizierungsserver so konfiguriert ist, dass er die Kommunikation von den entsprechenden Netzwerkkarten zulässt, die für die Unified Access Gateway-Instanzen der Bereitstellung in Microsoft Azure erstellt wurden.

  Ihr Netzwerkadministrator bestimmt die Netzwerksichtbarkeit des Zwei-Faktor-Authentifizierungsservers für die Azure-VNet-Topologie und die für die Bereitstellung verwendeten Subnetze. Der Zwei-Faktor-Authentifizierungsserver muss die Kommunikation von den IP-Adressen der Netzwerkkarten der Unified Access Gateway-Instanzen zulassen, die dem Subnetz entsprechen, für das Ihr Netzwerkadministrator dem Zwei-Faktor-Authentifizierungsserver Netzwerksichtbarkeit gewährt hat.

  Die Ressourcengruppe des Gateways in Microsoft Azure verfügt über vier Netzwerkkarten, die diesem Subnetz entsprechen: zwei, die derzeit für die beiden Unified Access Gateway-Instanzen aktiv sind, und zwei, die sich im Leerlauf befinden und aktiv werden, nachdem der Pod und seine Gateways eine Aktualisierung durchlaufen haben.

  Um den Kommunikationsdatenverkehr zwischen dem Gateway und dem Zwei-Faktor-Authentifizierungsserver sowohl für laufende Pod-Vorgänge als auch nach jeder Pod-Aktualisierung zu unterstützen, stellen Sie sicher, dass die IP-Adressen dieser vier Netzwerkkarten in der Konfiguration dieses Servers als zulässige Clients oder als registrierte Agenten angegeben sind. In der Dokumentation Ihres Zwei-Faktor-Authentifizierungsservers finden Sie Einzelheiten dazu, wie Sie diese Kommunikation zulassen.

Informationen zum Abrufen dieser IP-Adressen finden Sie unter Aktualisieren des Zwei-Faktor-Authentifizierungssystems mit den erforderlichen Informationen zum Horizon Cloud-Pod-Gateway.