Nutzer verwalten

Durch das Definieren von Benutzern, Gruppen, Rollen und Berechtigungen können Sie steuern, wer Zugriff auf Ihre Citrix Hypervisor-Server und -Pools hat und welche Aktionen sie ausführen können.

Wenn Sie Citrix Hypervisor zum ersten Mal installieren, wird Citrix Hypervisor automatisch ein Benutzerkonto hinzugefügt. Dieses Konto ist der lokale Superuser (LSU) oder Root, den Citrix Hypervisor lokal authentifiziert.

Die LSU oder root ist ein spezielles Benutzerkonto, das für die Systemadministration gedacht ist und über alle Berechtigungen verfügt. In Citrix Hypervisor ist die LSU das Standardkonto bei der Installation. Citrix Hypervisor authentifiziert das LSU-Konto. Für die LSU ist kein externer Authentifizierungsdienst erforderlich. Wenn ein externer Authentifizierungsdienst ausfällt, kann sich die LSU weiterhin anmelden und das System verwalten. Die LSU kann immer über SSH auf den physischen Citrix Hypervisor-Server zugreifen.

Sie können weitere Benutzer erstellen, indem Sie die Active Directory-Konten entweder über die Registerkarte Benutzer von XenCenter oder die xe CLI hinzufügen. Wenn Active Directory in Ihrer Umgebung nicht verwendet wird, sind Sie auf das LSU-Konto beschränkt.

Hinweis:

Wenn Sie Benutzer erstellen, weist Citrix Hypervisor neu erstellten Benutzerkonten nicht automatisch RBAC-Rollen zu. Daher haben diese Konten keinen Zugriff auf den Citrix Hypervisor-Pool, bis Sie ihnen eine Rolle zuweisen.

Eine Einschränkung in neueren SSH-Clients bedeutet, dass SSH nicht für Benutzernamen funktioniert, die eines der folgenden Zeichen enthalten: {}[]|&. Stellen Sie sicher, dass Ihre Benutzernamen und Active Directory-Servernamen keines dieser Zeichen enthalten.

Diese Berechtigungen werden über Rollen erteilt, wie in der Authentifizieren von Benutzern mit Active Directory (AD) Abschnitt.

Authentifizieren von Benutzern mit Active Directory (AD)

Wenn Sie mehrere Benutzerkonten auf einem Server oder Pool haben möchten, müssen Sie Active Directory-Benutzerkonten für die Authentifizierung verwenden. Mit AD-Konten können sich Citrix Hypervisor-Benutzer mit ihren Anmeldeinformationen für die Windows-Domäne bei einem Pool anmelden.

Hinweis:

Sie können die LDAP-Kanalbindung und die LDAP-Signierung auf Ihren AD-Domänencontrollern aktivieren. Weitere Informationen finden Sie unter Microsoft-Sicherheitsempfehlung.

Sie können unterschiedliche Zugriffsebenen für bestimmte Benutzer konfigurieren, indem Sie die Active Directory-Authentifizierung aktivieren, Benutzerkonten hinzufügen und diesen Konten Rollen zuweisen.

Active Directory-Benutzer können die xe CLI verwenden (unter Übergabe der entsprechenden -u und -Kriegsgefangener Argumente) und stellen Sie auch über XenCenter eine Verbindung zum Host her. Die Authentifizierung erfolgt pro Ressourcenpool.

Lehrfächer Steuern Sie den Zugriff auf Benutzerkonten. Ein Betreff in Citrix Hypervisor wird einer Entität auf Ihrem Verzeichnisserver zugeordnet (entweder ein Benutzer oder eine Gruppe). Wenn Sie die externe Authentifizierung aktivieren, überprüft Citrix Hypervisor die Anmeldeinformationen, die zum Erstellen einer Sitzung verwendet werden, mit den lokalen Stammanmeldeinformationen und dann mit der Betreffliste. Um den Zugriff zuzulassen, erstellen Sie einen Betreffeintrag für die Person oder Gruppe, der Sie Zugriff gewähren möchten. Sie können XenCenter oder die xe CLI verwenden, um einen Betreffeintrag zu erstellen.

Wenn Sie mit XenCenter vertraut sind, beachten Sie, dass die Citrix Hypervisor CLI eine leicht unterschiedliche Terminologie verwendet, um sich auf Active Directory- und Benutzerkontofunktionen zu beziehen: XenCenter Begriff Citrix Hypervisor CLI Begriff Benutzer Themen hinzufügen Benutzer hinzufügen Themen

Obwohl Citrix Hypervisor Linux-basiert ist, können Sie mit Citrix Hypervisor Active Directory-Konten für Citrix Hypervisor-Benutzerkonten verwenden. Zu diesem Zweck werden Active Directory-Anmeldeinformationen an den Active Directory-Domänencontroller übergeben.

Wenn Sie Active Directory zu Citrix Hypervisor hinzufügen, werden Active Directory-Benutzer und -Gruppen zu Citrix Hypervisor-Subjekten. Die Subjekte werden in XenCenter als Benutzer bezeichnet. Benutzer/Gruppen werden bei der Anmeldung mithilfe von Active Directory authentifiziert, wenn Sie einen Betreff bei Citrix Hypervisor registrieren. Benutzer und Gruppen müssen ihren Benutzernamen nicht mithilfe eines Domänennamens qualifizieren.

Um sich bei einem Citrix Hypervisor-Server anzumelden, müssen Active Directory-Benutzer über die Berechtigung auf Domänenebene verfügen, sich an dem Computer anzumelden, auf dem das Computerkonto von Citrix Hypervisor gehostet wird. Standardmäßig ist es in einer Windows Server 2019-Domäne allen Benutzern gestattet, sich an jedem Computer in der Domäne anzumelden. Wenn Sie diese Einstellung jedoch geändert haben, stellen Sie sicher, dass die Benutzer, die Zugriff auf einen Citrix Hypervisor-Server haben sollen, sich auf Domänenebene anmelden dürfen.

Um einen Benutzernamen zu qualifizieren, müssen Sie den Benutzernamen im Format Name der Downlevel-Anmeldung eingeben, z. B. MeinDomäne\MeinBenutzer.

Hinweis:

Wenn Sie den Benutzernamen nicht qualifiziert haben, versucht XenCenter standardmäßig, Benutzer mit der Domäne, der es beigetreten ist, bei AD-Authentifizierungsservern anzumelden. Die Ausnahme bildet das LSU-Konto, das XenCenter immer zuerst lokal (d. h. auf dem Citrix Hypervisor) authentifiziert.

Der externe Authentifizierungsprozess funktioniert wie folgt:

1. Die Anmeldeinformationen, die beim Herstellen einer Verbindung mit einem Server angegeben werden, werden zur Authentifizierung an den Active Directory-Domänencontroller übergeben.

2. Der Domänencontroller überprüft die Anmeldeinformationen. Wenn sie ungültig sind, schlägt die Authentifizierung sofort fehl.

3. Wenn die Anmeldeinformationen gültig sind, wird der Active Directory-Controller abgefragt, um den Betreffbezeichner und die Gruppenmitgliedschaft abzurufen, die den Anmeldeinformationen zugeordnet sind.

4. Wenn die Betreffkennung mit der im Citrix Hypervisor gespeicherten übereinstimmt, ist die Authentifizierung erfolgreich.

Wenn Sie einer Domäne beitreten, aktivieren Sie die Active Directory-Authentifizierung für den Pool. Wenn ein Pool jedoch einer Domäne beitritt, können nur Benutzer in dieser Domäne (oder einer Domäne, mit der er Vertrauensstellungen hat) eine Verbindung mit dem Pool herstellen.

Hinweis:

Das manuelle Aktualisieren der DNS-Konfiguration eines DHCP-konfigurierten Netzwerk-PIF wird nicht unterstützt und kann dazu führen, dass die AD-Integration und damit die Benutzerauthentifizierung fehlschlägt oder nicht mehr funktioniert.

Konfigurieren der Active Directory-Authentifizierung

Citrix Hypervisor unterstützt die Verwendung von Active Directory-Servern unter Windows 2008 oder höher.

Um Active Directory für Citrix Hypervisor-Server zu authentifizieren, müssen Sie denselben DNS-Server sowohl für den Active Directory-Server (konfiguriert für Interoperabilität) als auch für den Citrix Hypervisor-Server verwenden. In einigen Konfigurationen kann der Active Directory-Server das DNS selbst bereitstellen. Dies kann entweder mithilfe von DHCP erreicht werden, um die IP-Adresse und eine Liste der DNS-Server für den Citrix Hypervisor-Server bereitzustellen. Alternativ können Sie die Werte in den PIF-Objekten festlegen oder das Installationsprogramm verwenden, wenn eine manuelle statische Konfiguration verwendet wird.

Es wird empfohlen, DHCP zu aktivieren, um Hostnamen zuzuweisen. Weisen Sie die Hostnamen nicht zu Localhost oder Linux (Englisch) an Gastgeber.

Warnung:

Citrix Hypervisor-Servernamen müssen in der gesamten Citrix Hypervisor-Bereitstellung eindeutig sein.

Beachten Sie Folgendes:

• Citrix Hypervisor kennzeichnet seinen AD-Eintrag in der AD-Datenbank mit seinem Hostnamen. Wenn zwei Citrix Hypervisor-Server mit demselben Hostnamen derselben AD-Domäne beigetreten sind, überschreibt der zweite Citrix Hypervisor den AD-Eintrag des ersten Citrix Hypervisors. Das Überschreiben erfolgt unabhängig davon, ob die Hosts zum gleichen oder zu unterschiedlichen Pools gehören. Dies kann dazu führen, dass die AD-Authentifizierung auf dem ersten Citrix Hypervisor nicht mehr funktioniert.

  Sie können denselben Hostnamen auf zwei Citrix Hypervisor-Servern verwenden, solange sie unterschiedlichen AD-Domänen beitreten.

• Die Citrix Hypervisor-Server können sich in unterschiedlichen Zeitzonen befinden, da die UTC-Zeit verglichen wird. Um sicherzustellen, dass die Synchronisierung korrekt ist, können Sie dieselben NTP-Server für Ihren Citrix Hypervisor-Pool und den Active Directory-Server verwenden.

• Pools mit gemischter Authentifizierung werden nicht unterstützt. Sie können keinen Pool haben, in dem einige Server im Pool für die Verwendung von Active Directory konfiguriert sind und andere nicht).

• Die Citrix Hypervisor Active Directory-Integration verwendet das Kerberos-Protokoll für die Kommunikation mit den Active Directory-Servern. Daher unterstützt Citrix Hypervisor die Kommunikation mit Active Directory-Servern, die Kerberos nicht verwenden, nicht.

• Damit die externe Authentifizierung mit Active Directory erfolgreich ist, müssen die Uhren auf Ihren Citrix Hypervisor-Servern mit den Uhren auf Ihrem Active Directory-Server synchronisiert werden. Wenn Citrix Hypervisor der Active Directory-Domäne beitritt, wird die Synchronisierung überprüft und die Authentifizierung schlägt fehl, wenn zwischen den Servern zu viel Abweichung besteht.

Warnung:

Hostnamen dürfen nur aus nicht mehr als 63 alphanumerischen Zeichen bestehen und dürfen nicht rein numerisch sein.

Wenn Sie nach dem Aktivieren der Active Directory-Authentifizierung einen Server zu einem Pool hinzufügen, werden Sie aufgefordert, Active Directory auf dem Server zu konfigurieren, der dem Pool beitritt. Wenn Sie auf dem beitretenden Server zur Eingabe von Anmeldeinformationen aufgefordert werden, geben Sie Active Directory-Anmeldeinformationen mit ausreichenden Berechtigungen ein, um dieser Domäne Server hinzuzufügen.

Active Directory-Integration

Stellen Sie sicher, dass die folgenden Firewall-Ports für ausgehenden Datenverkehr geöffnet sind, damit Citrix Hypervisor auf die Domänencontroller zugreifen kann.

Weitere Informationen finden Sie unter Von Citrix Hypervisor verwendete Kommunikationsports.

Hinweise:

• So zeigen Sie die Firewallregeln auf einem Linux-Computer mit iptablesden folgenden Befehl aus: iptables -nL.
• Citrix Hypervisor verwendet PowerBroker Identity Services (PBIS), um den AD-Benutzer auf dem AD-Server zu authentifizieren und die Kommunikation mit dem AD-Server zu verschlüsseln.

Wie verwaltet Citrix Hypervisor das Maschinenkontokennwort für die AD-Integration?

Ähnlich wie bei Windows-Clientcomputern aktualisiert PBIS automatisch das Kennwort für das Computerkonto. PBIS erneuert das Kennwort alle 30 Tage oder wie in der Richtlinie zur Kennworterneuerung des Maschinenkontos auf dem AD-Server angegeben.

Aktivieren der externen Authentifizierung in einem Pool

Die externe Authentifizierung mit Active Directory kann entweder mit XenCenter oder der CLI mit dem folgenden Befehl konfiguriert werden.

  xe pool-enable-external-auth auth-type=AD \
    service-name=full-qualified-domain \
    config:user=username \
    config:pass=password
<!--NeedCopy-->

Der angegebene Benutzer muss über Hinzufügen/Entfernen von Computerobjekten oder Arbeitsstationen Berechtigung, die die Standardeinstellung für Domänenadministratoren ist.

Wenn Sie DHCP nicht in dem Netzwerk verwenden, das von Active Directory und Ihren Citrix Hypervisor-Servern verwendet wird, verwenden Sie die folgenden Ansätze, um Ihr DNS einzurichten:

1. Richten Sie die Suchreihenfolge für Domänen-DNS-Suffixe zum Auflösen von Nicht-FQDN-Einträgen ein:

     xe pif-param-set uuid=pif_uuid_in_the_dns_subnetwork \
        "other-config:domain=suffix1.com suffix2.com suffix3.com"
   <!--NeedCopy-->
   

2. Konfigurieren Sie den DNS-Server für die Verwendung auf Ihren Citrix Hypervisor-Servern:

     xe pif-reconfigure-ip mode=static dns=dnshost ip=ip \
       gateway=gateway netmask=netmask uuid=uuid
   <!--NeedCopy-->
   

3. Legen Sie die Verwaltungsschnittstelle manuell so fest, dass ein PIF verwendet wird, der sich im selben Netzwerk wie Ihr DNS-Server befindet:

     xe host-management-reconfigure pif-uuid=pif_in_the_dns_subnetwork
   <!--NeedCopy-->
   

Hinweis:

Die externe Authentifizierung ist eine Eigenschaft pro Host. Es wird jedoch empfohlen, die externe Authentifizierung pro Pool zu aktivieren und zu deaktivieren. Eine Pro-Pool-Einstellung ermöglicht es Citrix Hypervisor, mit Fehlern umzugehen, die beim Aktivieren der Authentifizierung auf einem bestimmten Host auftreten. Citrix Hypervisor macht auch alle möglicherweise erforderlichen Änderungen rückgängig, um eine konsistente Konfiguration im gesamten Pool zu gewährleisten. Verwenden Sie die Schaltfläche host-param-liste Befehl, um die Eigenschaften eines Hosts zu überprüfen und den Status der externen Authentifizierung zu bestimmen, indem die Werte der relevanten Felder überprüft werden.

Verwenden Sie XenCenter, um die Active Directory-Authentifizierung zu deaktivieren, oder den folgenden xe-Befehl:

  xe pool-disable-external-auth
<!--NeedCopy-->

Benutzerauthentifizierung

Um einem Benutzer Zugriff auf Ihren Citrix Hypervisor-Server zu gewähren, müssen Sie einen Betreff für diesen Benutzer oder eine Gruppe hinzufügen, in der er sich befindet. (Transitive Gruppenmitgliedschaften werden ebenfalls auf die übliche Weise überprüft. Wenn Sie z. B. einen Betreff für eine Gruppe hinzufügen Ein, wobei Gruppe Ein Gruppe “enthält” B und Benutzer 1 ist Mitglied der Gruppe B würde den Zugang zu Benutzer 1.) Wenn Sie Benutzerberechtigungen in Active Directory verwalten möchten, können Sie eine einzelne Gruppe erstellen, der Sie dann Benutzer hinzufügen und aus der Sie sie löschen können. Alternativ können Sie einzelne Benutzer von Citrix Hypervisor hinzufügen und löschen oder eine Kombination von Benutzern und Gruppen, die Ihren Authentifizierungsanforderungen entsprechen. Sie können die Betreffliste über XenCenter oder über die CLI verwalten, wie im folgenden Abschnitt beschrieben.

Bei der Authentifizierung eines Benutzers werden die Anmeldeinformationen zunächst mit dem lokalen Root-Konto abgeglichen, sodass Sie ein System wiederherstellen können, dessen AD-Server ausgefallen ist. Wenn die Anmeldeinformationen (Benutzername und Kennwort) nicht übereinstimmen, wird eine Authentifizierungsanforderung an den AD-Server gesendet. Wenn die Authentifizierung erfolgreich ist, werden die Informationen des Benutzers abgerufen und anhand der lokalen Betreffliste überprüft. Der Zugriff wird verweigert, wenn die Authentifizierung fehlschlägt. Die Überprüfung anhand der Betreffliste ist erfolgreich, wenn der Benutzer oder eine Gruppe in der transitiven Gruppenmitgliedschaft des Benutzers in der Betreffliste enthalten ist.

Hinweis:

Wenn Sie Active Directory-Gruppen verwenden, um Pooladministratorbenutzern Zugriff zu gewähren, die SSH-Zugriff auf den Host benötigen, darf die Größe der AD-Gruppe 500 Benutzer nicht überschreiten.

So fügen Sie Citrix Hypervisor einen AD-Betreff hinzu:

  xe subject-add subject-name=entity_name
<!--NeedCopy-->

Die entity_name ist der Name des Benutzers oder der Gruppe, der bzw. der Sie Zugriff gewähren möchten. Sie können die Domäne der Entität einschließen (z. B. ‘xendt\user1’ im Gegensatz zu ‘user1’), obwohl das Verhalten gleich ist, es sei denn, eine Mehrdeutigkeit ist erforderlich.

Suchen Sie die Betreff-ID des Benutzers. Der Bezeichner ist der Benutzer oder die Gruppe, die den Benutzer enthält. Durch das Entfernen einer Gruppe wird der Zugriff auf alle Benutzer in dieser Gruppe entfernt, sofern sie nicht auch in der Betreffliste angegeben sind. Verwenden Sie die Schaltfläche Themenliste , um die Betreff-ID des Benutzers zu finden. :

  xe subject-list
<!--NeedCopy-->

Dieser Befehl gibt eine Liste aller Benutzer zurück.

So wenden Sie einen Filter auf die Liste an, z. B. um die Betreff-ID für einen Benutzer zu suchen Benutzer1 im Testad domain, verwenden Sie den folgenden Befehl:

  xe subject-list other-config:subject-name='testad\user1'
<!--NeedCopy-->

Entfernen Sie den Benutzer mit dem Befehl Betreff-Entfernen und übergeben Sie dabei die Betreff-ID, die Sie im vorherigen Schritt gelernt haben:

  xe subject-remove subject-uuid=subject_uuid
<!--NeedCopy-->

Sie können jede aktuelle Sitzung beenden, die dieser Benutzer bereits authentifiziert hat. Weitere Informationen finden Sie unter Beenden aller authentifizierten Sitzungen mit xe und Beenden einzelner Benutzersitzungen mit xe im folgenden Abschnitt. Wenn Sie Sitzungen nicht beenden, können Benutzer mit widerrufenen Berechtigungen weiterhin auf das System zugreifen, bis sie sich abmelden.

Führen Sie den folgenden Befehl aus, um die Liste der Benutzer und Gruppen mit der Berechtigung zum Zugriff auf Ihren Citrix Hypervisor-Server oder -Pool zu identifizieren:

  xe subject-list
<!--NeedCopy-->

Entfernen des Zugriffs für einen Benutzer

Wenn ein Benutzer authentifiziert ist, kann er auf den Server zugreifen, bis er seine Sitzung beendet oder ein anderer Benutzer seine Sitzung beendet. Wenn Sie einen Benutzer aus der Betreffliste entfernen oder ihn aus einer Gruppe in der Betreffliste entfernen, werden bereits authentifizierte Sitzungen des Benutzers nicht automatisch widerrufen. Benutzer können weiterhin über XenCenter oder andere API-Sitzungen, die sie bereits erstellt haben, auf den Pool zugreifen. XenCenter und die CLI bieten die Möglichkeit, einzelne Sitzungen oder alle aktiven Sitzungen zwangsweise zu beenden. Siehe die XenCenter-Dokumentation für Informationen zu Prozeduren mit XenCenter oder im folgenden Abschnitt für Prozeduren, die die CLI verwenden.

Beenden Sie alle authentifizierten Sitzungen mit xe

Führen Sie den folgenden CLI-Befehl aus, um alle authentifizierten Sitzungen mit xe zu beenden:

  xe session-subject-identifier-logout-all
<!--NeedCopy-->

Beenden einzelner Benutzersitzungen mit xe

1. Bestimmen Sie die Betreff-ID, von deren Sitzung Sie sich abmelden möchten. Verwenden Sie entweder die Schaltfläche Liste der Sitzungsbetreff-Kennung oder Betreffliste xe-Befehle, um die Betreff-ID zu finden. Der erste Befehl zeigt Benutzer an, die Sitzungen haben. Der zweite Befehl zeigt alle Benutzer an, kann aber gefiltert werden. Mit einem Befehl wie xe Betreffliste andere-konfiguration:Betreffname=xendt\\user1. Abhängig von Ihrer Shell benötigen Sie möglicherweise einen doppelten Backslash, wie gezeigt).

2. Verwenden Sie die Schaltfläche session-subject-logout und übergeben Sie den Betreffbezeichner, den Sie im vorherigen Schritt als Parameter festgelegt haben, z. B.:

     xe session-subject-identifier-logout subject-identifier=subject_id
   <!--NeedCopy-->
   

Verlassen einer AD-Domäne

Warnung:

Wenn Sie die Domäne verlassen, werden alle Benutzer, die sich mit Active Directory-Anmeldeinformationen beim Pool oder Server authentifiziert haben, getrennt.

Verwenden Sie XenCenter, um eine AD-Domäne zu verlassen. Weitere Informationen finden Sie in der XenCenter-Dokumentation. Führen Sie alternativ die pool-deaktivierung-externe-authentifizierung und geben Sie bei Bedarf die Pool-UUID an.

Hinweis:

Durch das Verlassen der Domäne werden die Hostobjekte nicht aus der AD-Datenbank gelöscht. In der Active Directory-Dokumentation finden Sie Informationen zum Erkennen und Entfernen von deaktivierten Hosteinträgen.