Benutzer verwalten

Durch das Definieren von Benutzern, Gruppen, Rollen und Berechtigungen können Sie steuern, wer Zugriff auf Ihre Citrix Hypervisor-Server und -Pools hat und welche Aktionen sie ausführen können.

Wenn Sie Citrix Hypervisor zum ersten Mal installieren, wird Citrix Hypervisor automatisch ein Benutzerkonto hinzugefügt. Dieses Konto ist der lokale Superuser (LSU) oder Root, den Citrix Hypervisor lokal authentifiziert.

Die LSU oder root ist ein spezielles Benutzerkonto, das für die Systemadministration bestimmt ist und über alle Berechtigungen verfügt. In Citrix Hypervisor ist die LSU das Standardkonto bei der Installation. Citrix Hypervisor authentifiziert das LSU-Konto. Die LSU benötigt keinen externen Authentifizierungsdienst. Wenn ein externer Authentifizierungsdienst ausfällt, kann sich die LSU trotzdem anmelden und das System verwalten. Die LSU kann immer über SSH auf den physischen Citrix Hypervisor-Server zugreifen.

Sie können mehr Benutzer erstellen, indem Sie die Active Directory-Konten entweder über die Registerkarte Benutzer von XenCenter oder die xe-CLI hinzufügen. Wenn Ihre Umgebung kein Active Directory verwendet, sind Sie auf das LSU-Konto beschränkt.

Hinweis:

Wenn Sie Benutzer erstellen, weist Citrix Hypervisor neu erstellte Benutzerkonten-RBAC-Rollen nicht automatisch zu. Daher haben diese Konten keinen Zugriff auf den Citrix Hypervisor-Pool, bis Sie ihnen eine Rolle zuweisen.

Eine Einschränkung in den neuesten SSH-Clients bedeutet, dass SSH nicht für Benutzernamen funktioniert, die eines der folgenden Zeichen enthalten: {}[]|&. Stellen Sie sicher, dass Ihre Benutzernamen und Active Directory-Servernamen keines dieser Zeichen enthalten.

Diese Berechtigungen werden über Rollen erteilt, wie im Abschnitt Authentifizierung von Benutzern mit Active Directory (AD) erläutert.

Authentifizieren von Benutzern mit Active Directory (AD)

Wenn Sie mehrere Benutzerkonten auf einem Server oder Pool haben möchten, müssen Sie Active Directory Benutzerkonten für die Authentifizierung verwenden. Mit AD-Konten können sich Citrix Hypervisor Benutzer mit ihren Windows-Domänenanmeldeinformationen an einem Pool anmelden.

Hinweis:

Sie können LDAP-Kanalbindung und LDAP-Signatur auf Ihren AD-Domänencontroller aktivieren Weitere Informationen finden Sie unter Microsoft Security Advisory.

Sie können unterschiedliche Zugriffsebenen für bestimmte Benutzer konfigurieren, indem Sie die Active Directory-Authentifizierung aktivieren, Benutzerkonten hinzufügen und diesen Konten Rollen zuweisen.

Active Directory-Benutzer können die xe-CLI verwenden (entsprechende Argumente -u und -pw übergeben) und mit XenCenter auch eine Verbindung zum Host herstellen. Die Authentifizierung erfolgt auf Poolbasis pro Ressource.

Die Probanden kontrollieren den Zugriff auf Benutzerkonten. Ein Betreff in Citrix Hypervisor wird einer Entität auf Ihrem Verzeichnisserver zugeordnet (entweder einem Benutzer oder einer Gruppe). Wenn Sie die externe Authentifizierung aktivieren, überprüft Citrix Hypervisor die zum Erstellen einer Sitzung verwendeten Anmeldeinformationen anhand der lokalen Root-Anmeldeinformationen und dann anhand der Betreffliste. Um den Zugriff zu ermöglichen, erstellen Sie einen Betreffeintrag für die Person oder Gruppe, für die Sie Zugriff gewähren möchten. Sie können XenCenter oder die xe CLI verwenden, um einen Betreffeintrag zu erstellen.

Wenn Sie mit XenCenter vertraut sind, beachten Sie, dass die Citrix Hypervisor CLI eine etwas andere Terminologie verwendet, um auf Active Directory- und Benutzerkontenfunktionen zu verweisen: XenCenter Term Citrix Hypervisor CLI Term Users Subjects Hinzufügen von Themen

Obwohl Citrix Hypervisor Linux-basiert ist, können Sie mit Citrix Hypervisor Active Directory-Konten für Citrix Hypervisor Benutzerkonten verwenden. Dazu werden Active Directory-Anmeldeinformationen an den Active Directory-Domänencontroller übergeben.

Wenn Sie Active Directory zu Citrix Hypervisor hinzufügen, werden Active Directory-Benutzer und -Gruppen zu Citrix Hypervisor Themen. Die Themen werden in XenCenter als Benutzer bezeichnet. Benutzer/Gruppen werden bei der Anmeldung mithilfe von Active Directory authentifiziert, wenn Sie einen Betreff bei Citrix Hypervisor registrieren. Benutzer und Gruppen müssen ihren Benutzernamen nicht mithilfe eines Domainnamens qualifizieren.

Um einen Benutzernamen zu qualifizieren, müssen Sie den Benutzernamen im Format Anmeldename der unteren Ebene eingeben, mydomain\myuserz. B.

Hinweis:

Wenn Sie den Benutzernamen nicht qualifiziert haben, versucht XenCenter standardmäßig, Benutzer mit der Domäne, mit der es verbunden ist, bei AD-Authentifizierungsservern anzumelden. Die Ausnahme ist das LSU-Konto, das XenCenter immer zuerst lokal (dh auf dem Citrix Hypervisor) authentifiziert.

Der externe Authentifizierungsprozess funktioniert wie folgt:

1. Die beim Herstellen einer Verbindung mit einem Server angegebenen Anmeldeinformationen werden zur Authentifizierung an den Active Directory-Domänencontroller übergeben.

2. Der Domänencontroller prüft die Anmeldeinformationen. Wenn sie ungültig sind, schlägt die Authentifizierung sofort fehl.

3. Wenn die Anmeldeinformationen gültig sind, wird der Active Directory-Controller abgefragt, um die mit den Anmeldeinformationen verknüpfte Betreff-ID und die Gruppenmitgliedschaft abzurufen.

4. Wenn die Betreffkennung mit der im Citrix Hypervisor gespeicherten übereinstimmt, ist die Authentifizierung erfolgreich.

Wenn Sie einer Domäne beitreten, aktivieren Sie die Active Directory-Authentifizierung für den Pool. Wenn ein Pool jedoch einer Domäne beitritt, können nur Benutzer in dieser Domäne (oder einer Domäne, zu der er Vertrauensbeziehungen hat) eine Verbindung zum Pool herstellen.

Hinweis:

Das manuelle Aktualisieren der DNS-Konfiguration eines DHCP-konfigurierten Netzwerk-PIF wird nicht unterstützt und kann dazu führen, dass die AD-Integration und damit die Benutzerauthentifizierung fehlschlägt oder nicht mehr funktioniert.

Active Directory-Authentifizierung konfigurieren

Citrix Hypervisor unterstützt die Verwendung von Active Directory-Servern mit Windows 2008 oder höher.

Um Active Directory für Citrix Hypervisor-Server zu authentifizieren, müssen Sie denselben DNS-Server sowohl für den Active Directory-Server (konfiguriert, um Interoperabilität zu ermöglichen) als auch für den Citrix Hypervisor-Server verwenden. In einigen Konfigurationen kann der Active Directory-Server das DNS selbst bereitstellen. Dies kann entweder mithilfe von DHCP erreicht werden, um die IP-Adresse und eine Liste von DNS-Servern für den Citrix Hypervisor-Server bereitzustellen. Alternativ können Sie die Werte in den PIF-Objekten festlegen oder das Installationsprogramm verwenden, wenn eine manuelle statische Konfiguration verwendet wird.

Wir empfehlen, DHCP zu aktivieren, um Hostnamen zuzuweisen. Weisen Sie die Hostnamen localhost oder linux nicht Hosts zu.

Warnung:

Citrix Hypervisor-Servernamen müssen in der gesamten Citrix Hypervisor-Bereitstellung eindeutig sein.

Beachten Sie Folgendes:

• Citrix Hypervisor bezeichnet seinen AD-Eintrag in der AD-Datenbank mit seinem Hostnamen. Wenn zwei Citrix Hypervisor-Server mit demselben Hostnamen mit derselben AD-Domäne verbunden sind, überschreibt der zweite Citrix Hypervisor den AD-Eintrag des ersten Citrix Hypervisor. Das Überschreiben erfolgt unabhängig davon, ob die Hosts zu denselben oder verschiedenen Pools gehören. Dies kann dazu führen, dass die AD-Authentifizierung auf dem ersten Citrix Hypervisor nicht mehr funktioniert.

  Sie können denselben Hostnamen in zwei Citrix Hypervisor-Servern verwenden, sofern sie verschiedenen AD-Domänen beitreten.

• Die Citrix Hypervisor-Server können sich in verschiedenen Zeitzonen befinden, da die UTC-Zeit verglichen wird. Um sicherzustellen, dass die Synchronisierung korrekt ist, können Sie dieselben NTP-Server für Ihren Citrix Hypervisor-Pool und den Active Directory-Server verwenden.

• Pools mit gemischter Authentifizierung werden nicht unterstützt. Sie können keinen Pool haben, in dem einige Server im Pool für die Verwendung von Active Directory konfiguriert sind und andere nicht).

• Die Citrix Hypervisor Active Directory-Integration verwendet das Kerberos-Protokoll für die Kommunikation mit den Active Directory-Servern. Daher unterstützt Citrix Hypervisor keine Kommunikation mit Active Directory-Servern, die Kerberos nicht verwenden.

• Damit die externe Authentifizierung mit Active Directory erfolgreich ist, müssen die Uhren auf Ihren Citrix Hypervisor-Servern mit den Uhren auf Ihrem Active Directory-Server synchronisiert werden. Wenn Citrix Hypervisor der Active Directory-Domäne beitritt, wird die Synchronisierung überprüft und die Authentifizierung schlägt fehl, wenn die Server zu stark verzerrt sind.

Warnung:

Hostnamen dürfen ausschließlich aus nicht mehr als 63 alphanumerischen Zeichen bestehen und dürfen nicht rein numerisch sein.

Wenn Sie einen Server zu einem Pool hinzufügen, nachdem Sie die Active Directory-Authentifizierung aktiviert haben, werden Sie aufgefordert, Active Directory auf dem Server zu konfigurieren, der dem Pool beitritt. Wenn Sie auf dem Beitrittsserver nach Anmeldeinformationen gefragt werden, geben Sie Active Directory-Anmeldeinformationen mit ausreichenden Berechtigungen ein, um Server zu dieser Domäne hinzuzufügen.

Active Directory-Integration

Stellen Sie sicher, dass die folgenden Firewall-Ports für ausgehenden Datenverkehr geöffnet sind, damit Citrix Hypervisor auf die Domänencontroller zugreifen kann.

Weitere Informationen finden Sie unter Von Citrix Hypervisor verwendete Kommunikationsports.

Hinweise:

• Führen Sie den folgenden Befehl aus, um die Firewall-Regeln auf einem Linux-Computer mit iptablesanzuzeigen: iptables -nL.
• Citrix Hypervisor verwendet PowerBroker Identity Services (PBIS), um den AD-Benutzer im AD-Server zu authentifizieren und die Kommunikation mit dem AD-Server zu verschlüsseln.

Wie verwaltet Citrix Hypervisor das Computerkontokennwort für die AD-Integration?

Ähnlich wie bei Windows-Clientcomputern aktualisiert PBIS automatisch das Kennwort für das Computerkonto. PBIS erneuert das Kennwort alle 30 Tage oder wie in der Richtlinie zur Kennworterneuerung des Computerkontos auf dem AD-Server angegeben.

Externe Authentifizierung in einem Pool aktivieren

Die externe Authentifizierung mit Active Directory kann entweder mit XenCenter oder der CLI mit dem folgenden Befehl konfiguriert werden.

xe pool-enable-external-auth auth-type=AD \
  service-name=full-qualified-domain \
  config:user=username \
  config:pass=password
<!--NeedCopy-->

Der angegebene Benutzer muss die Berechtigung Add/remove computer objects or workstations haben, was die Standardeinstellung für Domänenadministratoren ist.

Wenn Sie DHCP nicht in dem Netzwerk verwenden, das von Active Directory und Ihren Citrix Hypervisor-Servern verwendet wird, richten Sie Ihr DNS mit den folgenden Methoden ein:

1. Richten Sie Ihre Domain-DNS-Suffix-Suchreihenfolge zum Auflösen von Nicht-FQDN-Einträgen

   xe pif-param-set uuid=pif_uuid_in_the_dns_subnetwork \
      "other-config:domain=suffix1.com suffix2.com suffix3.com"
   <!--NeedCopy-->
   

2. Konfigurieren Sie den DNS-Server für die Verwendung auf Ihren Citrix Hypervisor-Servern:

   xe pif-reconfigure-ip mode=static dns=dnshost ip=ip \
     gateway=gateway netmask=netmask uuid=uuid
   <!--NeedCopy-->
   

3. Stellen Sie die Verwaltungsschnittstelle manuell so ein, dass sie eine PIF verwendet, die sich im selben Netzwerk wie Ihr DNS-Server befindet:

   xe host-management-reconfigure pif-uuid=pif_in_the_dns_subnetwork
   <!--NeedCopy-->
   

Hinweis:

Die externe Authentifizierung ist eine Pro-Host-Eigenschaft. Wir empfehlen jedoch, dass Sie die externe Authentifizierung pro Pool aktivieren und deaktivieren. Eine Pro-Pool-Einstellung ermöglicht es Citrix Hypervisor, mit Fehlern umzugehen, die beim Aktivieren der Authentifizierung auf einem bestimmten Host auftreten. Citrix Hypervisor setzt auch alle erforderlichen Änderungen zurück und gewährleistet so eine konsistente Konfiguration im gesamten Pool. Verwenden Sie den host-param-list Befehl, um die Eigenschaften eines Hosts zu überprüfen und den Status der externen Authentifizierung zu ermitteln, indem Sie die Werte der entsprechenden Felder überprüfen.

Deaktivieren Sie mit XenCenter die Active Directory-Authentifizierung oder den folgenden xe-Befehl:

xe pool-disable-external-auth
<!--NeedCopy-->

Benutzerauthentifizierung

Um einem Benutzer den Zugriff auf Ihren Citrix Hypervisor-Server zu ermöglichen, müssen Sie einen Betreff für diesen Benutzer oder eine Gruppe hinzufügen, zu der er gehört. (Transitive Gruppenmitgliedschaften werden ebenfalls wie gewohnt geprüft. Beispiel: Hinzufügen eines Betreffs für Gruppe A, wobei Gruppe A Gruppe B enthält und user 1 Mitglied der Gruppe B ist, würde den Zugriff auf user 1 erlauben.) Wenn Sie Benutzerberechtigungen in Active Directory verwalten möchten, können Sie eine einzelne Gruppe erstellen, die Sie dann Benutzer hinzufügen und aus löschen. Alternativ können Sie einzelne Benutzer in Citrix Hypervisor oder eine Kombination von Benutzern und Gruppen hinzufügen und löschen, je nach Ihren Authentifizierungsanforderungen. Sie können die Betreffliste über XenCenter oder über die CLI verwalten, wie im folgenden Abschnitt beschrieben.

Bei der Authentifizierung eines Benutzers werden die Anmeldeinformationen zunächst mit dem lokalen Root-Konto abgeglichen, sodass Sie ein System wiederherstellen können, dessen AD-Server ausgefallen ist. Wenn die Anmeldeinformationen (Benutzername und Kennwort) nicht übereinstimmen, wird eine Authentifizierungsanfrage an den AD-Server gestellt. Wenn die Authentifizierung erfolgreich ist, werden die Benutzerinformationen abgerufen und mit der lokalen Betreffliste abgeglichen. Der Zugriff wird verweigert, wenn die Authentifizierung fehlschlägt. Die Validierung anhand der Betreffliste ist erfolgreich, wenn sich der Benutzer oder eine Gruppe in der transitiven Gruppenzugehörigkeit des Benutzers in der Betreffliste befindet.

Hinweis:

Wenn Sie Active Directory-Gruppen verwenden, um Benutzern des Pool-Administrators Zugriff zu gewähren, die Host-SSH-Zugriff benötigen, darf die Größe der AD-Gruppe 500 Benutzer nicht überschreiten.

So fügen Sie Citrix Hypervisor einen AD-Betreff hinzu:

xe subject-add subject-name=entity_name
<!--NeedCopy-->

Der entity_name ist der Name des Benutzers oder der Gruppe, für die Sie Zugriff gewähren möchten. Sie können die Domäne der Entität einbeziehen (z. B. “xendt\ user1” im Gegensatz zu “Benutzer1”), obwohl das Verhalten dasselbe ist, sofern keine Begriffsklärung erforderlich ist.

Suchen Sie die Betreff-ID des Benutzers. Die Kennung ist der Benutzer oder die Gruppe, die den Benutzer enthält. Durch das Entfernen einer Gruppe wird der Zugriff für alle Benutzer in dieser Gruppe aufgehoben, sofern sie nicht auch in der Betreffliste angegeben sind. Verwenden Sie den subject list Befehl, um die Betreff-ID des Benutzers zu finden. :

xe subject-list
<!--NeedCopy-->

Dieser Befehl gibt eine Liste aller Benutzer zurück.

Um einen Filter auf die Liste anzuwenden, z. B. um die Betreff-ID für einen Benutzer user1 in der testad Domäne zu finden, verwenden Sie den folgenden Befehl:

xe subject-list other-config:subject-name='testad\user1'
<!--NeedCopy-->

Entfernen Sie den Benutzer mithilfe des subject-remove Befehls und geben Sie die im vorherigen Schritt erlernte Fachkennung ein:

xe subject-remove subject-uuid=subject_uuid
<!--NeedCopy-->

Sie können jede aktuelle Sitzung beenden, die dieser Benutzer bereits authentifiziert hat. Weitere Informationen finden Sie unter Beenden aller authentifizierten Sitzungen mit xe und Beenden einzelner Benutzersitzungen mit xe im folgenden Abschnitt. Wenn Sie die Sitzungen nicht beenden, können Benutzer mit entzogenen Berechtigungen weiterhin auf das System zugreifen, bis sie sich abmelden.

Führen Sie den folgenden Befehl aus, um die Liste der Benutzer und Gruppen mit Zugriffsberechtigung für Ihren Citrix Hypervisor-Server oder -Pool zu ermitteln:

xe subject-list
<!--NeedCopy-->

Zugriff für einen Benutzer aufheben

Wenn ein Benutzer authentifiziert ist, kann er auf den Server zugreifen, bis er seine Sitzung beendet oder ein anderer Benutzer seine Sitzung beendet. Wenn Sie einen Benutzer aus der Betreffliste entfernen oder ihn aus einer Gruppe in der Betreffliste entfernen, werden nicht automatisch alle bereits authentifizierten Sitzungen des Benutzers widerrufen. Benutzer können weiterhin mit XenCenter oder anderen API-Sitzungen, die sie bereits erstellt haben, auf den Pool zugreifen. XenCenter und die CLI bieten Möglichkeiten, einzelne Sitzungen oder alle aktiven Sitzungen mit Nachdruck zu beenden. In der XenCenter-Dokumentation finden Sie Informationen zu Verfahren mit XenCenter oder im folgenden Abschnitt finden Sie Verfahren zur Verwendung der CLI.

Beenden Sie alle authentifizierten Sitzungen mit xe

Führen Sie den folgenden CLI-Befehl aus, um alle authentifizierten Sitzungen mit xe zu beenden:

xe session-subject-identifier-logout-all
<!--NeedCopy-->

Beenden einzelner Benutzersitzungen mit xe

1. Bestimmen Sie den Betreff, dessen Sitzung Sie abmelden möchten. Verwenden Sie entweder die Befehle session-subject-identifier-list oder subject-list xe, um die Betreff-ID zu finden. Der erste Befehl zeigt Benutzer mit Sitzungen an. Der zweite Befehl zeigt alle Benutzer an, kann aber gefiltert werden. Zum Beispiel, indem Sie einen Befehl wie xe subject-list other-config:subject-name=xendt\\user1 verwenden. Möglicherweise benötigen Sie einen doppelten Backslash (wie gezeigt, abhängig von Ihrer Shell).

2. Verwenden Sie den Befehl session-subject-logout, um die im vorherigen Schritt ermittelte Betreff-ID als Parameter zu übergeben, z. B.:

   xe session-subject-identifier-logout subject-identifier=subject_id
   <!--NeedCopy-->
   

Eine AD-Domäne verlassen

Warnung:

Wenn Sie die Domäne verlassen, werden alle Benutzer, die sich mit Active Directory-Anmeldeinformationen beim Pool oder Server authentifiziert haben, getrennt.

Verwenden Sie XenCenter, um eine AD-Domäne zu verlassen. Weitere Informationen finden Sie in der XenCenter-Dokumentation. Führen Sie den alternativ Befehl pool-disable-external-auth aus und geben Sie bei Bedarf die Pool-UUID an.

Hinweis:

Beim Verlassen der Domäne werden die Host-Objekte nicht aus der AD-Datenbank gelöscht. In der Active Directory-Dokumentation finden Sie Informationen darüber, wie Sie Ihre deaktivierten Host-Einträge erkennen und entfernen können.