First-Gen-Mandanten – Festlegen der Zwei-Faktor-Authentifizierungsfunktion für den Pod

Im Schritt des Pod-Bereitstellungsassistenten zur Angabe der Unified Access Gateway-Konfigurationen können Sie auch die Verwendung der Zwei-Faktor-Authentifizierung für den Zugriff Ihrer Endbenutzer auf ihre Desktops und Anwendungen über diese Gateway-Konfigurationen festlegen.

Wichtig: Diese Informationen gelten nur, wenn Sie auf eine First-Gen-Mandantenumgebung in der First-Gen-Steuerungsebene zugreifen können. Wie im KB-Artikel 92424 beschrieben, hat die First-Gen-Steuerungsebene das Ende der Verfügbarkeit (End of Availability, EOA) erreicht. Weitere Informationen finden Sie in diesem Artikel.

Wenn im Assistenten für eine Gateway-Konfiguration Details zur Zwei-Faktor-Authentifizierung angegeben werden, konfiguriert der Pod-Bereitsteller während des Pod-Bereitstellungsvorgangs die entsprechenden bereitgestellten Unified Access Gateway-Appliances der Gateway-Konfiguration mit den angegebenen Details für die Zwei-Faktor-Authentifizierung.

Wie in der Unified Access Gateway-Dokumentation beschrieben, authentifizieren die Unified Access Gateway-Appliances die eingehenden Benutzersitzungen gemäß den von Ihnen festgelegten Zwei-Faktor-Authentifizierungsrichtlinien, wenn die Unified Access Gateway-Appliances für die Zwei-Faktor-Authentifizierung konfiguriert sind. Nachdem Unified Access Gateway eine Benutzersitzung gemäß Ihrer angegebenen Authentifizierungsrichtlinie authentifiziert hat, leitet Unified Access Gateway die Anforderung des Endbenutzer-Clients zum Starten eines Desktops oder einer Anwendung an den bereitgestellten Pod-Manager weiter, um eine Verbindungssitzung zwischen dem Client und einem verfügbaren Desktop oder einer verfügbaren Anwendung herzustellen.

Wichtig: Wenn Sie nach der Bereitstellung des Pods die Universal Broker-Einstellungen Ihres Mandanten für die Verwendung der Zwei-Faktor-Authentifizierung konfigurieren möchten und Sie den Pod sowohl mit einer externen als auch mit einer internen Gateway-Konfiguration bereitgestellt haben, sind möglicherweise zusätzliche Schritte nach der Bereitstellung erforderlich, um sicherzustellen, dass Universal Broker zwischen einem externen Endbenutzer und einem internen Endbenutzer unterscheiden kann, damit die für Universal angegebenen Einstellungen für die Zwei-Faktor-Authentifizierung ordnungsgemäß angewendet werden können Makler. Weitere Informationen finden Sie unter Best Practices bei der Implementierung der Zwei-Faktor-Authentifizierung in einer Universal Broker-Umgebung.

Voraussetzungen

Stellen Sie für die externe oder interne Unified Access Gateway-Konfiguration, für die Sie die Details der Zwei-Faktor-Authentifizierung eingeben, sicher, dass Sie die Felder für die Unified Access Gateway-Konfiguration im Assistenten wie unter First-Gen-Mandanten – Angeben der Gateway-Konfiguration des Horizon Cloud-Pods beschrieben ausgefüllt haben. Bei der Konfiguration der Zwei-Faktor-Authentifizierung bei einem lokalen Authentifizierungsserver geben Sie auch Informationen in den folgenden Feldern an, damit die Unified Access Gateway-Instanzen Routen zu diesem lokalen Server auflösen können.

Stellen Sie sicher, dass Sie über die folgenden Informationen verfügen, die bei der Konfiguration Ihres Authentifizierungsservers verwendet werden, damit Sie sie in den entsprechenden Feldern im Pod-Bereitstellungsassistenten angeben können. Wenn Sie einen RADIUS-Authentifizierungsserver verwenden und sowohl über einen primären als auch über einen sekundären Server verfügen, rufen Sie die Informationen für jeden von ihnen ab.

• RADIUS

  Wenn Sie Einstellungen sowohl für einen primären als auch für einen zusätzlichen RADIUS-Server konfigurieren, rufen Sie die Informationen für jeden von ihnen ab.

  • Geben Sie den DNS-Namen oder die IP-Adresse des Authentifizierungsservers ein.

  • Der gemeinsame geheime Schlüssel, der für die Ver- und Entschlüsselung in den Protokollmeldungen des Authentifizierungsservers verwendet wird

  • Portnummern für die Authentifizierung, in der Regel 1812/UDP für RADIUS.

  • Authentifizierungstyp Zu den Authentifizierungstypen gehören PAP (Password Authentication Protocol), CHAP (Challenge Handshake Authentication Protocol), MSCHAP1, MSCHAP2 (Microsoft Challenge Handshake Authentication Protocol, Version 1 und 2).

    Hinweis: Überprüfen Sie in der Dokumentation Ihres RADIUS-Anbieters auf das Authentifizierungsprotokoll, das Ihr RADIUS-Anbieter empfiehlt, und verwenden Sie den angegebenen Protokolltyp. Die Pod-Funktionalität zur Unterstützung der Zwei-Faktor-Authentifizierung mit RADIUS wird von den Unified Access Gateway-Instanzen bereitgestellt, und Unified Access Gateway unterstützt PAP, CHAP, MSCHAP1 und MSCHAP2. PAP ist in der Regel weniger sicher als MSCHAP2. PAP ist auch ein einfacheres Protokoll als MSCHAP2. Obwohl die meisten RADIUS Anbieter mit dem einfacheren PAP-Protokoll kompatibel sind, sind einige RADIUS Anbieter nicht so kompatibel mit dem sichereren MSCHAP2.

• RSA SecurID

  Hinweis: Der RSA SecurID-Typ wird für Horizon Cloud on Microsoft Azure-Bereitstellungen unterstützt, auf denen Manifest 3139.x oder höher ausgeführt wird. Die Benutzeroberflächenoption zur Angabe des RSA SecurID-Typs in den Assistenten "Pod hinzufügen" und "Pod bearbeiten" wird ab Mitte März 2022 in den Assistenten zur Auswahl angezeigt.

  • SSL-Zertifikat des RSA SecurID Authentication Manager-Servers.
  • Nummer des RSA SecurID-Kommunikationsports. In der Regel 5555, wie in den RSA Authentication Manager-Systemeinstellungen für die RSA SecurID-Authentifizierungs-API festgelegt.
  • Hostname des RSA SecurID Authentication Manager-Servers.
  • Die IP-Adresse des RSA SecurID Authentication Manager-Server.
  • Wenn der RSA SecurID Authentication Manager-Server oder sein Lastausgleichsserver über ein selbstsigniertes Zertifikat verfügt, benötigen Sie das CA-Zertifikat, das im Assistenten "Pod hinzufügen" bereitgestellt werden muss. Das Zertifikat muss im PEM-Format vorliegen (Dateitypen .cer oder.cert oder .pem)

Vorgehensweise

1. Aktivieren Sie die Umschaltoption Zwei-Faktor-Authentifizierung aktivieren .

   Wenn der Schalter aktiviert ist, zeigt der Assistent die zusätzlichen Konfigurationsfelder an. Verwenden Sie die Bildlaufleiste, um auf alle Felder zuzugreifen.

   Der folgende Screenshot zeigt beispielhaft, wie die Anzeige aussieht, nachdem Sie die Umschaltoption im Abschnitt Externes UAG aktiviert haben.

   

2. Wählen Sie den Zwei-Faktor-Authentifizierungstyp RADIUS oder RSA SecurID aus.

   Derzeit sind die verfügbaren unterstützten Typen RADIUS und RSA SecurID.

   Nach der Auswahl des Typs wird im Menü Konfiguration der Zwei-Faktor-Authentifizierung automatisch angezeigt, dass Sie eine Konfiguration dieses ausgewählten Typs hinzufügen. Wenn beispielsweise der Typ RSA SecurID ausgewählt ist, wird im Menü Konfiguration der Zwei-Faktor-Authentifizierung****die Option Neue RSA SecurID angezeigt.

3. Geben Sie im Feld Konfigurationsname einen eindeutigen Namen für diese Konfiguration ein.

4. Legen Sie im Abschnitt Eigenschaften Details zur Interaktion der Endbenutzer mit dem Anmeldebildschirm fest, über den sie sich für den Zugriff authentifizieren.

   Der Assistent zeigt Felder basierend auf der Konfiguration an, die eine Horizon Cloud on Microsoft Azure-Bereitstellung mit ihren Gateway-Konfigurationen unterstützt. Die Felder variieren je nach ausgewähltem Zwei-Faktor-Authentifizierungstyp. Weitere Informationen finden Sie in der folgenden Tabelle, die Ihrem ausgewählten Typ RADIUS oder RSA SecurID entspricht.

   • RADIUS

     Beim Ausfüllen der Felder müssen Details zum primären Authentifizierungsserver angegeben werden. Wenn Sie über einen sekundären Authentifizierungsserver verfügen, aktivieren Sie die Umschaltoption Hilfsserver und geben Sie auch die Details für diesen Server an.

     Option	Beschreibung
     Anzeigename	Sie können dieses Feld leer lassen. Obwohl dieses Feld im Assistenten sichtbar ist, legt es nur einen internen Namen in der Unified Access Gateway-Konfiguration fest. Dieser Name wird von Horizon Clients nicht verwendet.
     Anzeigehinweis	Geben Sie optional eine Textzeichenfolge ein, die den Endbenutzern in der Meldung auf dem Anmeldebildschirm des Endbenutzerclients angezeigt wird, wenn der Benutzer zur Eingabe seines RADIUS-Benutzernamens und der Kennung aufgefordert wird. Der angegebene Hinweis wird dem Endbenutzer wie folgt angezeigt: Geben Sie Ihren DisplayHint-Benutzernamen und -Passcode ein, wobei DisplayHint der Text ist, den Sie in diesem Feld angeben. Dieser Hinweis kann Benutzern dabei helfen, die richtige RADIUS-Kennung einzugeben. Beispiel: Wenn Sie Benutzername und Domänenkennwort für Beispiel angeben, wird der Endbenutzer aufgefordert, den Benutzernamen und das Kennwort für die Beispielfirma sowie das Domänenkennwort unten als Benutzernamen und Kennwort für die Domäne einzugeben
     Suffix für Namens-ID	Diese Einstellung wird in SAML-Szenarien verwendet, in denen Ihr Pod für die Verwendung von TrueSSO für Single Sign-On konfiguriert ist. Geben Sie optional eine Zeichenfolge an, die an den Benutzernamen der SAML-Assertion angehängt wird, der in der Anforderung an den Pod-Manager gesendet wird. Wenn der Benutzername beispielsweise im Anmeldebildschirm als user1 eingegeben wird und hier ein Suffix für die Namens-ID von @example.com angegeben wurde, wird der Benutzername der SAML-Assertion user1@example.com in der Anforderung gesendet.
     Anzahl an Wiederholungen	Geben Sie die maximale Anzahl fehlgeschlagener Authentifizierungsversuche ein, die einem Benutzer erlaubt sind, wenn er versucht, sich mit diesem RADIUS-System anzumelden.
     Benutzernamen beibehalten	Aktivieren Sie diesen Schalter, um den Active Directory-Benutzernamen des Benutzers während der Authentifizierung beizubehalten, der zwischen dem Client, der Unified Access Gateway-Instanz und dem RADIUS-Dienst übertragen wird. Wenn aktiviert: Der Benutzer muss über dieselben Anmeldedaten für RADIUS wie für die Active Directory-Authentifizierung verfügen. Der Benutzer kann den Benutzernamen auf dem Anmeldebildschirm nicht ändern. Wenn diese Umschaltoption ausgeschaltet wird, kann der Benutzer auf dem Anmeldebildschirm einen anderen Benutzernamen eingeben. Hinweis: Informationen zur Beziehung zwischen der Aktivierung von Benutzername beibehalten und den Domänensicherheitseinstellungen in Horizon Cloud finden Sie unter dem Thema Domänensicherheitseinstellungen auf der Seite "Allgemeine Einstellungen".
     Hostname/IP-Adresse	Geben Sie den DNS-Namen oder die IP-Adresse des Authentifizierungsservers ein.
     Gemeinsamer geheimer Schlüssel	Geben Sie den geheimen Schlüssel für die Kommunikation mit dem Authentifizierungsserver ein. Der Wert muss mit dem vom Server konfigurierten Wert identisch sein.
     Authentifizierungsport	Geben Sie den auf dem Authentifizierungsserver konfigurierten UDP-Port zum Senden oder Empfangen von Authentifizierungsdatenverkehr an. Die Standardeinstellung ist 1812.
     Kontoführungsport	Geben Sie optional den auf dem Authentifizierungsserver konfigurierten UDP-Port zum Senden oder Empfangen von Kontoführungsdatenverkehr an. Die Standardeinstellung ist 1813.
     Mechanismus	Wählen Sie das Authentifizierungsprotokoll aus, das vom angegebenen Authentifizierungsserver unterstützt wird und das der bereitgestellte Pod verwenden soll.
     Zeitüberschreitung des Servers	Geben Sie die Anzahl der Sekunden an, die der Pod auf eine Antwort vom Authentifizierungsserver warten soll. Nach dieser Anzahl von Sekunden wird ein erneuter Versuch gesendet, wenn der Server nicht antwortet.
     Maximale Anzahl an erneuten Versuchen:	Geben Sie an, wie oft der Pod fehlgeschlagene Anforderungen an den Authentifizierungsserver maximal wiederholen soll.
     Bereichspräfix	Geben Sie optional eine Zeichenfolge ein, die das System am Anfang des Benutzernamens einfügt, wenn der Name an den Authentifizierungsserver gesendet wird. Der Speicherort des Benutzerkontos wird "Realm" genannt. Wenn beispielsweise der Benutzername im Anmeldebildschirm als Benutzer1 eingegeben wird und hier das Bereichspräfix DOMÄNE-A\ angegeben wurde, sendet das System DOMÄNE-A\Benutzer1 an den Authentifizierungsserver. Wenn Sie kein Bereichspräfix angeben, wird nur der eingegebene Benutzername gesendet.
     Bereichssuffix	Geben Sie optional eine Zeichenfolge an, die das System an den Benutzernamen anhängt, wenn der Name an den Authentifizierungsserver gesendet wird. Wenn der Benutzername beispielsweise auf dem Anmeldebildschirm als user1 eingegeben wird und hier das Bereichssuffix @ example.com angegeben wurde, sendet das System user1@example.com an den Authentifizierungsserver.

   • RSA SecurID

     Option	Beschreibung
     Zugriffsschlüssel	Geben Sie den Zugriffsschlüssel für Ihr RSA SecurID-System ein, der in den RSA SecurID-Authentifizierungs-API-Einstellungen des Systems abgerufen wurde.
     Serverport	Geben Sie den Wert an, der in den Einstellungen der RSA SecurID-Authentifizierungs-API Ihres Systems für den Kommunikationsport konfiguriert ist, standardmäßig 5555.
     Server-Hostname	Geben Sie den DNS-Namen oder die IP-Adresse des Authentifizierungsservers ein.
     Server-IP-Adresse	Geben Sie den DNS-Namen oder die IP-Adresse des Authentifizierungsservers ein.
     Anzahl an Wiederholungen	Die maximal zulässige Anzahl an fehlgeschlagenen Authentifizierungsversuchen, bevor Endbenutzer für eine Stunde gesperrt werden. Der Standardwert beträgt 5. Die Standardeinstellung beträgt fünf (5) Versuche.
     CA-Zertifikat	Dieses Element ist erforderlich, wenn Ihr RSA SecurID Authentication Manager-Server oder dessen Lastausgleichsdienst ein selbstsigniertes Zertifikat verwendet. Kopieren Sie in diesem Fall das CA-Zertifikat und fügen Sie es in dieses Feld ein. Wie oben auf dieser Seite beschrieben, müssen die Zertifikatsinformationen im PEM-Format bereitgestellt werden. Wenn der Server über ein von einer öffentlichen Zertifizierungsstelle signiertes Zertifikat verfügt, ist dieses Feld optional.
     Zeitüberschreitung für die Authentifizierung:	Geben Sie an, wie viele Sekunden der Authentifizierungsversuch zwischen den Unified Access Gateway-Instanzen und dem RSA SecurID-Authentifizierungsserver verfügbar sein soll, bevor eine Zeitüberschreitung eintritt. Der Standardwert beträgt 180 Sekunden.