Nutzer verwalten

Wichtig:

Citrix Hypervisor 8.2 Kumulatives Update 1 wird am 25. Juni 2025 End of Life. Planen Sie jetzt Ihr Upgrade auf XenServer 8, um einen reibungslosen Übergang und kontinuierlichen Support zu gewährleisten. Weitere Informationen finden Sie unter Upgrade.

Wenn Sie Ihre Citrix Virtual Apps and Desktops-Lizenzdateien verwenden, um Ihre Citrix Hypervisor 8.2 Cumulative Update 1-Hosts zu lizenzieren, sind diese Lizenzdateien nicht mit XenServer 8 kompatibel. Vor dem Upgrade müssen Sie XenServer Premium Edition-Socket-Lizenzdateien für die Verwendung mit XenServer 8 erwerben. Diese Socket-Lizenzdateien sind als Berechtigung für die Abonnements Citrix für Private Cloud, Citrix Universal Hybrid Multi-Cloud, Citrix Universal MSP und Citrix Platform License für die Ausführung Ihrer Citrix-Workloads verfügbar. Citrix-Kunden, die noch nicht auf diese neuen Abonnements umgestiegen sind, können die Teilnahme an einer kostenlosen Aktion für 10.000 XenServer Premium Edition-Socket-Lizenzen anfordern. Weitere Informationen finden Sie unter XenServer (Englisch).

Wenn Sie vor dem Upgrade keine kompatible Lizenz für XenServer 8 erhalten, werden Ihre Hosts beim Upgrade auf die 90-Tage-Testversion zurückgesetzt. Die Testversion bietet die gleichen Funktionen wie die Premium Edition, jedoch mit einigen Einschränkungen. Weitere Informationen finden Sie unter Übersicht über die XenServer 8-Lizenzierung.

Durch das Definieren von Benutzern, Gruppen, Rollen und Berechtigungen können Sie steuern, wer Zugriff auf Ihre Citrix Hypervisor-Server und -Pools hat und welche Aktionen sie ausführen können.

Wenn Sie Citrix Hypervisor zum ersten Mal installieren, wird Citrix Hypervisor automatisch ein Benutzerkonto hinzugefügt. Dieses Konto ist der lokale Superuser (LSU) oder Root, den Citrix Hypervisor lokal authentifiziert.

Die LSU oder root ist ein spezielles Benutzerkonto, das für die Systemadministration gedacht ist und über alle Berechtigungen verfügt. In Citrix Hypervisor ist die LSU das Standardkonto bei der Installation. Citrix Hypervisor authentifiziert das LSU-Konto. Für die LSU ist kein externer Authentifizierungsdienst erforderlich. Wenn ein externer Authentifizierungsdienst ausfällt, kann sich die LSU weiterhin anmelden und das System verwalten. Die LSU kann immer über SSH auf den physischen Citrix Hypervisor-Server zugreifen.

Sie können weitere Benutzer erstellen, indem Sie die Active Directory-Konten entweder über die Registerkarte Benutzer von XenCenter oder die xe CLI hinzufügen. Wenn Active Directory in Ihrer Umgebung nicht verwendet wird, sind Sie auf das LSU-Konto beschränkt.

Hinweis:

Wenn Sie Benutzer erstellen, weist Citrix Hypervisor neu erstellten Benutzerkonten nicht automatisch RBAC-Rollen zu. Daher haben diese Konten keinen Zugriff auf den Citrix Hypervisor-Pool, bis Sie ihnen eine Rolle zuweisen.

Eine Einschränkung in neueren SSH-Clients besteht darin, dass SSH nicht für Benutzernamen funktioniert, die eines der folgenden Zeichen enthalten: {}[]|&. Stellen Sie sicher, dass Ihre Benutzernamen und Active Directory-Servernamen keines dieser Zeichen enthalten.

Diese Berechtigungen werden über Rollen erteilt, wie in der Authentifizieren von Benutzern mit Active Directory (AD) Abschnitt.

Authentifizieren von Benutzern mit Active Directory (AD)

Wenn Sie mehrere Benutzerkonten auf einem Server oder Pool haben möchten, müssen Sie Active Directory-Benutzerkonten für die Authentifizierung verwenden. Mit AD-Konten können sich Citrix Hypervisor-Benutzer mit ihren Anmeldeinformationen für die Windows-Domäne bei einem Pool anmelden.

Hinweis:

Sie können die LDAP-Kanalbindung und die LDAP-Signierung auf Ihren AD-Domänencontrollern aktivieren. Weitere Informationen finden Sie unter Microsoft-Sicherheitsempfehlung.

Sie können unterschiedliche Zugriffsebenen für bestimmte Benutzer konfigurieren, indem Sie die Active Directory-Authentifizierung aktivieren, Benutzerkonten hinzufügen und diesen Konten Rollen zuweisen.

Active Directory-Benutzer können die xe CLI verwenden (indem sie die entsprechenden Argumente -u und -pw übergeben) und sich auch über XenCenter mit dem Host verbinden. Die Authentifizierung erfolgt pro Ressourcenpool.

Lehrfächer Steuern Sie den Zugriff auf Benutzerkonten. Ein Betreff in Citrix Hypervisor wird einer Entität auf Ihrem Verzeichnisserver zugeordnet (entweder ein Benutzer oder eine Gruppe). Wenn Sie die externe Authentifizierung aktivieren, überprüft Citrix Hypervisor die Anmeldeinformationen, die zum Erstellen einer Sitzung verwendet werden, mit den lokalen Stammanmeldeinformationen und dann mit der Betreffliste. Um den Zugriff zuzulassen, erstellen Sie einen Betreffeintrag für die Person oder Gruppe, der Sie Zugriff gewähren möchten. Sie können XenCenter oder die xe CLI verwenden, um einen Betreffeintrag zu erstellen.

Wenn Sie mit XenCenter vertraut sind, beachten Sie, dass die Citrix Hypervisor CLI eine leicht unterschiedliche Terminologie verwendet, um sich auf Active Directory- und Benutzerkontofunktionen zu beziehen: XenCenter Begriff Citrix Hypervisor CLI Begriff Benutzer Themen hinzufügen Benutzer hinzufügen Themen

Obwohl Citrix Hypervisor Linux-basiert ist, können Sie mit Citrix Hypervisor Active Directory-Konten für Citrix Hypervisor-Benutzerkonten verwenden. Zu diesem Zweck werden Active Directory-Anmeldeinformationen an den Active Directory-Domänencontroller übergeben.

Wenn Sie Active Directory zu Citrix Hypervisor hinzufügen, werden Active Directory-Benutzer und -Gruppen zu Citrix Hypervisor-Subjekten. Die Subjekte werden in XenCenter als Benutzer bezeichnet. Benutzer/Gruppen werden bei der Anmeldung mithilfe von Active Directory authentifiziert, wenn Sie einen Betreff bei Citrix Hypervisor registrieren. Benutzer und Gruppen müssen ihren Benutzernamen nicht mithilfe eines Domänennamens qualifizieren.

Um sich bei einem Citrix Hypervisor-Server anzumelden, müssen Active Directory-Benutzer über die Berechtigung auf Domänenebene verfügen, sich an dem Computer anzumelden, auf dem das Computerkonto von Citrix Hypervisor gehostet wird. Standardmäßig ist es in einer Windows Server 2019-Domäne allen Benutzern gestattet, sich an jedem Computer in der Domäne anzumelden. Wenn Sie diese Einstellung jedoch geändert haben, stellen Sie sicher, dass die Benutzer, die Zugriff auf einen Citrix Hypervisor-Server haben sollen, sich auf Domänenebene anmelden dürfen.

Um einen Benutzernamen zu qualifizieren, müssen Sie den Benutzernamen im Down-Level-Log-On-Name-Format eingeben, zum Beispiel meineDomäne\meinBenutzer.

Hinweis:

Wenn Sie den Benutzernamen nicht qualifiziert haben, versucht XenCenter standardmäßig, Benutzer mit der Domäne, der es beigetreten ist, bei AD-Authentifizierungsservern anzumelden. Die Ausnahme bildet das LSU-Konto, das XenCenter immer zuerst lokal (d. h. auf dem Citrix Hypervisor) authentifiziert.

Der externe Authentifizierungsprozess funktioniert wie folgt:

1. Die Anmeldeinformationen, die beim Herstellen einer Verbindung mit einem Server angegeben werden, werden zur Authentifizierung an den Active Directory-Domänencontroller übergeben.

2. Der Domänencontroller überprüft die Anmeldeinformationen. Wenn sie ungültig sind, schlägt die Authentifizierung sofort fehl.

3. Wenn die Anmeldeinformationen gültig sind, wird der Active Directory-Controller abgefragt, um den Betreffbezeichner und die Gruppenmitgliedschaft abzurufen, die den Anmeldeinformationen zugeordnet sind.

4. Wenn die Betreffkennung mit der im Citrix Hypervisor gespeicherten übereinstimmt, ist die Authentifizierung erfolgreich.

Wenn Sie einer Domäne beitreten, aktivieren Sie die Active Directory-Authentifizierung für den Pool. Wenn ein Pool jedoch einer Domäne beitritt, können nur Benutzer in dieser Domäne (oder einer Domäne, mit der er Vertrauensstellungen hat) eine Verbindung mit dem Pool herstellen.

Hinweis:

Das manuelle Aktualisieren der DNS-Konfiguration eines DHCP-konfigurierten Netzwerk-PIF wird nicht unterstützt und kann dazu führen, dass die AD-Integration und damit die Benutzerauthentifizierung fehlschlägt oder nicht mehr funktioniert.

Konfigurieren der Active Directory-Authentifizierung

Citrix Hypervisor unterstützt die Verwendung von Active Directory-Servern unter Windows 2008 oder höher.

Um Active Directory für Citrix Hypervisor-Server zu authentifizieren, müssen Sie denselben DNS-Server sowohl für den Active Directory-Server (konfiguriert für Interoperabilität) als auch für den Citrix Hypervisor-Server verwenden. In einigen Konfigurationen kann der Active Directory-Server das DNS selbst bereitstellen. Dies kann entweder mithilfe von DHCP erreicht werden, um die IP-Adresse und eine Liste der DNS-Server für den Citrix Hypervisor-Server bereitzustellen. Alternativ können Sie die Werte in den PIF-Objekten festlegen oder das Installationsprogramm verwenden, wenn eine manuelle statische Konfiguration verwendet wird.

Es wird empfohlen, DHCP zu aktivieren, um Hostnamen zuzuweisen. Weisen Sie Hosts nicht die Hostnamen localhost oder linux zu.

Warnung:

Citrix Hypervisor-Servernamen müssen in der gesamten Citrix Hypervisor-Bereitstellung eindeutig sein.

Beachten Sie Folgendes:

• Citrix Hypervisor kennzeichnet seinen AD-Eintrag in der AD-Datenbank mit seinem Hostnamen. Wenn zwei Citrix Hypervisor-Server mit demselben Hostnamen derselben AD-Domäne beigetreten sind, überschreibt der zweite Citrix Hypervisor den AD-Eintrag des ersten Citrix Hypervisors. Das Überschreiben erfolgt unabhängig davon, ob die Hosts zum gleichen oder zu unterschiedlichen Pools gehören. Dies kann dazu führen, dass die AD-Authentifizierung auf dem ersten Citrix Hypervisor nicht mehr funktioniert.

  Sie können denselben Hostnamen auf zwei Citrix Hypervisor-Servern verwenden, solange sie unterschiedlichen AD-Domänen beitreten.

• Die Citrix Hypervisor-Server können sich in unterschiedlichen Zeitzonen befinden, da die UTC-Zeit verglichen wird. Um sicherzustellen, dass die Synchronisierung korrekt ist, können Sie dieselben NTP-Server für Ihren Citrix Hypervisor-Pool und den Active Directory-Server verwenden.

• Pools mit gemischter Authentifizierung werden nicht unterstützt. Sie können keinen Pool haben, in dem einige Server im Pool für die Verwendung von Active Directory konfiguriert sind und andere nicht).

• Die Citrix Hypervisor Active Directory-Integration verwendet das Kerberos-Protokoll für die Kommunikation mit den Active Directory-Servern. Daher unterstützt Citrix Hypervisor die Kommunikation mit Active Directory-Servern, die Kerberos nicht verwenden, nicht.

• Damit die externe Authentifizierung mit Active Directory erfolgreich ist, müssen die Uhren auf Ihren Citrix Hypervisor-Servern mit den Uhren auf Ihrem Active Directory-Server synchronisiert werden. Wenn Citrix Hypervisor der Active Directory-Domäne beitritt, wird die Synchronisierung überprüft und die Authentifizierung schlägt fehl, wenn zwischen den Servern zu viel Abweichung besteht.

Warnung:

Hostnamen dürfen nur aus nicht mehr als 63 alphanumerischen Zeichen bestehen und dürfen nicht rein numerisch sein.

Wenn Sie nach dem Aktivieren der Active Directory-Authentifizierung einen Server zu einem Pool hinzufügen, werden Sie aufgefordert, Active Directory auf dem Server zu konfigurieren, der dem Pool beitritt. Wenn Sie auf dem beitretenden Server zur Eingabe von Anmeldeinformationen aufgefordert werden, geben Sie Active Directory-Anmeldeinformationen mit ausreichenden Berechtigungen ein, um dieser Domäne Server hinzuzufügen.

Active Directory-Integration

Stellen Sie sicher, dass die folgenden Firewall-Ports für ausgehenden Datenverkehr geöffnet sind, damit Citrix Hypervisor auf die Domänencontroller zugreifen kann.

Weitere Informationen finden Sie unter Von Citrix Hypervisor verwendete Kommunikationsports.

Hinweise:

• Um die Firewall-Regeln auf einem Linux-Computer mit iptablesanzuzeigen, führen Sie den folgenden Befehl aus: iptables -nL.
• Citrix Hypervisor verwendet PowerBroker Identity Services (PBIS), um den AD-Benutzer auf dem AD-Server zu authentifizieren und die Kommunikation mit dem AD-Server zu verschlüsseln.

Wie verwaltet Citrix Hypervisor das Maschinenkontokennwort für die AD-Integration?

Ähnlich wie bei Windows-Clientcomputern aktualisiert PBIS automatisch das Kennwort für das Computerkonto. PBIS erneuert das Kennwort alle 30 Tage oder wie in der Richtlinie zur Kennworterneuerung des Maschinenkontos auf dem AD-Server angegeben.

Aktivieren der externen Authentifizierung in einem Pool

Die externe Authentifizierung mit Active Directory kann entweder mit XenCenter oder der CLI mit dem folgenden Befehl konfiguriert werden.

  xe pool-enable-external-auth auth-type=AD \
    service-name=full-qualified-domain \
    config:user=username \
    config:pass=password
<!--NeedCopy-->

Der angegebene Benutzer muss über die Berechtigung zum Hinzufügen/Entfernen von Computerobjekten oder Arbeitsstationen verfügen. Dies ist die Standardberechtigung für Domänenadministratoren.

Wenn Sie DHCP nicht in dem Netzwerk verwenden, das von Active Directory und Ihren Citrix Hypervisor-Servern verwendet wird, verwenden Sie die folgenden Ansätze, um Ihr DNS einzurichten:

1. Richten Sie die Suchreihenfolge für Domänen-DNS-Suffixe zum Auflösen von Nicht-FQDN-Einträgen ein:

     xe pif-param-set uuid=pif_uuid_in_the_dns_subnetwork \
        "other-config:domain=suffix1.com suffix2.com suffix3.com"
   <!--NeedCopy-->
   

2. Konfigurieren Sie den DNS-Server für die Verwendung auf Ihren Citrix Hypervisor-Servern:

     xe pif-reconfigure-ip mode=static dns=dnshost ip=ip \
       gateway=gateway netmask=netmask uuid=uuid
   <!--NeedCopy-->
   

3. Legen Sie die Verwaltungsschnittstelle manuell so fest, dass ein PIF verwendet wird, der sich im selben Netzwerk wie Ihr DNS-Server befindet:

     xe host-management-reconfigure pif-uuid=pif_in_the_dns_subnetwork
   <!--NeedCopy-->
   

Hinweis:

Die externe Authentifizierung ist eine Eigenschaft pro Host. Es wird jedoch empfohlen, die externe Authentifizierung pro Pool zu aktivieren und zu deaktivieren. Eine Pro-Pool-Einstellung ermöglicht es Citrix Hypervisor, mit Fehlern umzugehen, die beim Aktivieren der Authentifizierung auf einem bestimmten Host auftreten. Citrix Hypervisor macht auch alle möglicherweise erforderlichen Änderungen rückgängig, um eine konsistente Konfiguration im gesamten Pool zu gewährleisten. Verwenden Sie den Befehl host-param-list , um die Eigenschaften eines Hosts zu prüfen und den Status der externen Authentifizierung zu bestimmen, indem Sie die Werte der relevanten Felder überprüfen.

Verwenden Sie XenCenter, um die Active Directory-Authentifizierung zu deaktivieren, oder den folgenden xe-Befehl:

  xe pool-disable-external-auth
<!--NeedCopy-->

Benutzerauthentifizierung

Um einem Benutzer Zugriff auf Ihren Citrix Hypervisor-Server zu gewähren, müssen Sie einen Betreff für diesen Benutzer oder eine Gruppe hinzufügen, in der er sich befindet. (Transitive Gruppenmitgliedschaften werden ebenfalls auf die übliche Weise überprüft. Wenn Sie beispielsweise ein Thema für die Gruppe Ahinzufügen, wobei die Gruppe A die Gruppe B enthält und Benutzer 1 Mitglied der Gruppe B ist, würde dies Benutzer 1Zugriff gewähren.) Wenn Sie Benutzerberechtigungen in Active Directory verwalten möchten, können Sie eine einzelne Gruppe erstellen, zu der Sie dann Benutzer hinzufügen und aus der Sie Benutzer löschen. Alternativ können Sie einzelne Benutzer von Citrix Hypervisor hinzufügen und löschen oder eine Kombination von Benutzern und Gruppen, die Ihren Authentifizierungsanforderungen entsprechen. Sie können die Betreffliste über XenCenter oder über die CLI verwalten, wie im folgenden Abschnitt beschrieben.

Bei der Authentifizierung eines Benutzers werden die Anmeldeinformationen zunächst mit dem lokalen Root-Konto abgeglichen, sodass Sie ein System wiederherstellen können, dessen AD-Server ausgefallen ist. Wenn die Anmeldeinformationen (Benutzername und Kennwort) nicht übereinstimmen, wird eine Authentifizierungsanforderung an den AD-Server gesendet. Wenn die Authentifizierung erfolgreich ist, werden die Informationen des Benutzers abgerufen und anhand der lokalen Betreffliste überprüft. Der Zugriff wird verweigert, wenn die Authentifizierung fehlschlägt. Die Überprüfung anhand der Betreffliste ist erfolgreich, wenn der Benutzer oder eine Gruppe in der transitiven Gruppenmitgliedschaft des Benutzers in der Betreffliste enthalten ist.

Hinweis:

Wenn Sie Active Directory-Gruppen verwenden, um Pooladministratorbenutzern Zugriff zu gewähren, die SSH-Zugriff auf den Host benötigen, darf die Größe der AD-Gruppe 500 Benutzer nicht überschreiten.

So fügen Sie Citrix Hypervisor einen AD-Betreff hinzu:

  xe subject-add subject-name=entity_name
<!--NeedCopy-->

Die entity_name ist der Name des Benutzers oder der Gruppe, der bzw. der Sie Zugriff gewähren möchten. Sie können die Domäne der Entität einschließen (z. B. ‘xendt\user1’ im Gegensatz zu ‘user1’), obwohl das Verhalten gleich ist, es sei denn, eine Mehrdeutigkeit ist erforderlich.

Suchen Sie die Betreff-ID des Benutzers. Der Bezeichner ist der Benutzer oder die Gruppe, die den Benutzer enthält. Durch das Entfernen einer Gruppe wird der Zugriff auf alle Benutzer in dieser Gruppe entfernt, sofern sie nicht auch in der Betreffliste angegeben sind. Verwenden Sie den Befehl Betreffliste , um die Betreffkennung des Benutzers zu finden. :

  xe subject-list
<!--NeedCopy-->

Dieser Befehl gibt eine Liste aller Benutzer zurück.

Um einen Filter auf die Liste anzuwenden, beispielsweise um die Betreffkennung für einen Benutzer user1 in der Domäne testad zu finden, verwenden Sie den folgenden Befehl:

  xe subject-list other-config:subject-name='testad\user1'
<!--NeedCopy-->

Entfernen Sie den Benutzer mit dem Befehl subject-remove und übergeben Sie dabei die Betreffkennung, die Sie im vorherigen Schritt erfahren haben:

  xe subject-remove subject-uuid=subject_uuid
<!--NeedCopy-->

Sie können jede aktuelle Sitzung beenden, die dieser Benutzer bereits authentifiziert hat. Weitere Informationen finden Sie unter Beenden aller authentifizierten Sitzungen mit xe und Beenden einzelner Benutzersitzungen mit xe im folgenden Abschnitt. Wenn Sie Sitzungen nicht beenden, können Benutzer mit widerrufenen Berechtigungen weiterhin auf das System zugreifen, bis sie sich abmelden.

Führen Sie den folgenden Befehl aus, um die Liste der Benutzer und Gruppen mit der Berechtigung zum Zugriff auf Ihren Citrix Hypervisor-Server oder -Pool zu identifizieren:

  xe subject-list
<!--NeedCopy-->

Entfernen des Zugriffs für einen Benutzer

Wenn ein Benutzer authentifiziert ist, kann er auf den Server zugreifen, bis er seine Sitzung beendet oder ein anderer Benutzer seine Sitzung beendet. Wenn Sie einen Benutzer aus der Betreffliste entfernen oder ihn aus einer Gruppe in der Betreffliste entfernen, werden bereits authentifizierte Sitzungen des Benutzers nicht automatisch widerrufen. Benutzer können weiterhin über XenCenter oder andere API-Sitzungen, die sie bereits erstellt haben, auf den Pool zugreifen. XenCenter und die CLI bieten die Möglichkeit, einzelne Sitzungen oder alle aktiven Sitzungen zwangsweise zu beenden. Siehe die XenCenter-Dokumentation für Informationen zu Prozeduren mit XenCenter oder im folgenden Abschnitt für Prozeduren, die die CLI verwenden.

Beenden Sie alle authentifizierten Sitzungen mit xe

Führen Sie den folgenden CLI-Befehl aus, um alle authentifizierten Sitzungen mit xe zu beenden:

  xe session-subject-identifier-logout-all
<!--NeedCopy-->

Beenden einzelner Benutzersitzungen mit xe

1. Bestimmen Sie die Betreff-ID, von deren Sitzung Sie sich abmelden möchten. Verwenden Sie entweder die xe-Befehle session-subject-identifier-list oder subject-list , um die Betreffkennung zu finden. Der erste Befehl zeigt Benutzer an, die Sitzungen haben. Der zweite Befehl zeigt alle Benutzer an, kann aber gefiltert werden. Beispielsweise durch Verwendung eines Befehls wie xe subject-list other-config:subject-name=xendt\\user1. Abhängig von Ihrer Shell benötigen Sie möglicherweise einen doppelten Backslash, wie gezeigt).

2. Verwenden Sie den Befehl session-subject-logout und übergeben Sie die Betreffkennung, die Sie im vorherigen Schritt ermittelt haben, als Parameter, zum Beispiel:

     xe session-subject-identifier-logout subject-identifier=subject_id
   <!--NeedCopy-->
   

Verlassen einer AD-Domäne

Warnung:

Wenn Sie die Domäne verlassen, werden alle Benutzer, die sich mit Active Directory-Anmeldeinformationen beim Pool oder Server authentifiziert haben, getrennt.

Verwenden Sie XenCenter, um eine AD-Domäne zu verlassen. Weitere Informationen finden Sie in der XenCenter-Dokumentation. Führen Sie alternativ den Befehl pool-disable-external-auth aus und geben Sie bei Bedarf die Pool-UUID an.

Hinweis:

Durch das Verlassen der Domäne werden die Hostobjekte nicht aus der AD-Datenbank gelöscht. In der Active Directory-Dokumentation finden Sie Informationen zum Erkennen und Entfernen von deaktivierten Hosteinträgen.