사용자 관리
사용자, 그룹, 역할 및 권한을 정의하면 Citrix Hypervisor 서버 및 풀에 액세스할 수 있는 사용자와 수행할 수 있는 작업을 제어할 수 있습니다.
Citrix Hypervisor를 처음 설치하면 사용자 계정이 Citrix Hypervisor에 자동으로 추가됩니다. 이 계정은 Citrix Hypervisor가 로컬로 인증하는 LSU (로컬 수퍼 유저) 또는 루트입니다.
LSU(루트)는 시스템 관리를 위한 특수 사용자 계정이며 모든 권한을 가집니다. Citrix Hypervisor에서 LSU는 설치 시 기본 계정입니다. Citrix Hypervisor LSU 계정을 인증합니다. LSU는 외부 인증 서비스를 필요로 하지 않습니다. 외부 인증 서비스에서 장애가 발생하는 경우 LSU는 계속해서 시스템에 로그인하여 관리할 수 있습니다. LSU는 항상 SSH를 통해 Citrix Hypervisor 물리적 서버에 액세스할 수 있습니다.
Citrix Hypervisor 센터의 사용자 탭 또는 xe CLI를 통해 Active Directory 계정을 추가하여 더 많은 사용자를 만들 수 있습니다. 사용 중인 환경에서 Active Directory를 사용하지 않는 경우에는 LSU 계정으로 제한됩니다.
참고:
사용자를 만들 때 Citrix Hypervisor는 새로 만든 사용자 계정 RBAC 역할을 자동으로 할당하지 않습니다. 따라서 이러한 계정은 역할을 할당할 때까지 Citrix Hypervisor 풀에 액세스할 수 없습니다.
최근 SSH 클라이언트의 제한으로 인해 다음 문자를 포함하는 사용자 이름에는 SSH가 작동하지 않습니다.
{}[]|&사용자 이름과 Active Directory 서버 이름에 이러한 문자가 포함되어 있지 않은지 확인하십시오.
이러한 사용 권한은 AD(Active Directory)로 사용자 인증 섹션에 설명된 대로 역할을 통해 부여됩니다.
AD(Active Directory)를 사용하여 사용자 인증
하나의 서버 또는 풀에서 여러 사용자 계정을 가지려는 경우 인증에 Active Directory 사용자 계정을 사용해야 합니다. AD 계정을 사용하면 Citrix Hypervisor 사용자가 Windows 도메인 자격 증명을 사용하여 풀에 로그온할 수 있습니다.
참고:
AD 도메인 컨트롤러에서 LDAP 채널 바인딩 및 LDAP 서명을 사용하도록 설정할 수 있습니다. 자세한 내용은 Microsoft 보안 공지를 참조하십시오.
Active Directory 인증을 사용하도록 설정하고, 사용자 계정을 추가하고, 이러한 계정에 역할을 할당하여 특정 사용자에 대해 다양한 수준의 액세스를 구성할 수 있습니다.
Active Directory 사용자는 xe CLI (적절한 -u 및 -pw 인수 전달) 를 사용할 수 있으며 Citrix Hypervisor 센터를 사용하여 호스트에 연결할 수도 있습니다. 인증은 리소스 풀 단위를 기본으로 이루어집니다.
주체는 사용자 계정에 대한 액세스를 제어합니다. Citrix Hypervisor 주체는 디렉터리 서버의 엔터티 (사용자 또는 그룹) 에 매핑됩니다. 외부 인증을 사용하도록 설정하면 Citrix Hypervisor는 세션을 만드는 데 사용된 자격 증명을 로컬 루트 자격 증명에 대해 확인한 다음 주체 목록에 대해 확인합니다. 액세스를 허용하려면 액세스 권한을 부여할 개인 또는 그룹에 대한 주제 항목을 생성합니다. Citrix Hypervisor 센터 또는 xe CLI를 사용하여 주체 항목을 만들 수 있습니다.
Citrix Hypervisor 센터에 익숙하다면 Citrix Hypervisor CLI는 약간 다른 용어를 사용하여 Active Directory 및 사용자 계정 기능을 참조합니다. Citrix Hypervisor 센터 용어 Citrix Hypervisor CLI 용어 사용자 주제 사용자 추가 주제 추가
Citrix Hypervisor Linux 기반이지만 Citrix Hypervisor를 사용하면 Citrix Hypervisor 사용자 계정에 Active Directory 계정을 사용할 수 있습니다. 이를 위해 XenServer에서 Active Directory 자격 증명을 Active Directory 도메인 컨트롤러에 전달합니다.
Active Directory를 Citrix Hypervisor에 추가하면 Active Directory 사용자와 그룹이 Citrix Hypervisor 주체가 됩니다 Citrix Hypervisor 센터에서는 이러한 주제를 사용자라고 합니다. 사용자/그룹은 Citrix Hypervisor에 제목을 등록할 때 로그온 시 Active Directory를 사용하여 인증됩니다. 사용자 및 그룹은 도메인 이름을 사용하여 사용자 이름을 검증할 필요가 없습니다.
사용자 이름을 한정하려면 하위 수준 로그온 이름 형식으로 사용자 이름을 입력해야 합니다(예: mydomain\myuser).
참고:
기본적으로 사용자 이름을 지정하지 않은 경우 Citrix Hypervisor 센터는 가입된 도메인을 사용하여 AD 인증 서버에 사용자를 로그인하려고 시도합니다. 단, Citrix Hypervisor 센터가 항상 로컬(즉, Citrix Hypervisor)에서 먼저 인증하는 LSU 계정은 예외입니다.
외부 인증 프로세스는 다음과 같습니다.
-
서버에 연결할 때 제공한 자격 증명이 인증을 위해 Active Directory 도메인 컨트롤러에 전달됩니다.
-
도메인 컨트롤러에서 자격 증명을 확인합니다. 유효하지 않은 자격 증명일 경우 즉시 인증에 실패합니다.
-
자격 증명이 유효한 경우 자격 증명에 연결된 그룹 구성원 자격 및 주체 식별자를 가져오도록 Active Directory 컨트롤러가 쿼리됩니다.
-
주체 식별자가 Citrix Hypervisor에 저장된 식별자와 일치하면 인증이 성공합니다.
도메인에 참가할 때 풀에 대해 Active Directory 인증을 사용할 수 있도록 설정해야 합니다. 그러나 풀이 도메인에 가입하면 해당 도메인 (또는 트러스트 관계가 있는 도메인) 의 사용자만 풀에 연결할 수 있습니다.
참고:
DHCP 구성 네트워크 PIF의 DNS 구성을 수동으로 업데이트하는 작업은 지원되지 않으므로 AD 통합 및 사용자 인증이 실패하거나 작동이 중지될 수 있습니다.
Active Directory 인증 구성
Citrix Hypervisor는 Windows 2008 이상을 사용하는 Active Directory 서버의 사용을 지원합니다.
Citrix Hypervisor 서버에 대해 Active Directory를 인증하려면 상호 운용성을 허용하도록 구성된 Active Directory 서버와 Citrix Hypervisor 서버 모두에 대해 동일한 DNS 서버를 사용해야 합니다. 일부 구성에서는 액티브 디렉터리 서버가 DNS 자체를 제공할 수 있습니다. DHCP를 사용하여 IP 주소와 DNS 서버 목록을 Citrix Hypervisor 서버에 제공할 수 있습니다. 또는 수동 정적 구성을 사용할 때 PIF 객체에서 값을 설정하거나 설치 관리자를 사용할 수 있습니다.
DHCP에서 호스트 이름을 할당하도록 설정하는 것이 좋습니다. 호스트이름 localhost 또는 linux를 호스트에 할당하지 마십시오.
경고:
Citrix Hypervisor 서버 이름은 Citrix Hypervisor 배포 전체에서 고유해야 합니다.
다음 사항에 유의하십시오.
-
Citrix Hypervisor는 호스트 이름을 사용하여 AD 데이터베이스의 AD 항목에 레이블을 지정합니다. 호스트 이름이 동일한 두 개의 Citrix Hypervisor 서버가 동일한 AD 도메인에 가입된 경우 두 번째 Citrix Hypervisor가 두 번째 Citrix Hypervisor AD 항목을 덮어씁니다. 덮어쓰기는 호스트가 동일한 풀에 속하는지 다른 풀에 속하는지 여부에 관계없이 발생합니다. 이로 인해 첫 번째 Citrix Hypervisor AD 인증이 작동하지 않을 수 있습니다.
서로 다른 AD 도메인에 가입하는 한 두 개의 Citrix Hypervisor 서버에서 동일한 호스트 이름을 사용할 수 있습니다.
-
Citrix Hypervisor 서버는 비교되는 UTC 시간이기 때문에 서로 다른 시간대에 있을 수 있습니다. 동기화가 올바른지 확인하려면 Citrix Hypervisor 풀과 Active Directory 서버에 동일한 NTP 서버를 사용할 수 있습니다.
-
혼합 인증 풀은 지원되지 않습니다. 풀의 일부 서버는 Active Directory를 사용하도록 구성되어 있고 일부는 그렇지 않은 풀이 있을 수 없습니다.
-
Citrix Hypervisor Active Directory 통합은 Kerberos 프로토콜을 사용하여 Active Directory 서버와 통신합니다. 따라서 Citrix Hypervisor는 Kerberos를 사용하지 않는 Active Directory 서버와의 통신을 지원하지 않습니다.
-
Active Directory를 사용한 외부 인증이 성공하려면 Citrix Hypervisor 서버의 클럭을 Active Directory 서버의 시계와 동기화해야 합니다. Citrix Hypervisor가 Active Directory 도메인에 가입하면 동기화가 확인되고 서버 간에 너무 많은 왜곡이 있으면 인증이 실패합니다.
경고:
호스트 이름은 63자 이하의 영숫자로만 구성해야 하며 숫자로만 구성해서는 안 됩니다.
Active Directory 인증을 사용하도록 설정한 후 서버를 풀에 추가하면 풀에 가입하는 서버에서 Active Directory를 구성하라는 메시지가 표시됩니다. 가입 서버에 대한 자격 증명을 묻는 메시지가 표시되면 해당 도메인에 서버를 추가할 수 있는 충분한 권한이 있는 Active Directory 자격 증명을 입력합니다.
Active Directory 통합
Citrix Hypervisor가 도메인 컨트롤러에 액세스할 수 있도록 다음 방화벽 포트가 아웃바운드 트래픽에 대해 열려 있는지 확인합니다.
| 포트 | 프로토콜 | chmod |
|---|---|---|
| 53 | UDP/TCP | DNS |
| 88 | UDP/TCP | Kerberos 5 |
| 123 | UDP | NTP |
| 137 | UDP | NetBIOS 이름 서비스 |
| 139 | TCP | NetBIOS 세션(SMB) |
| 389 | UDP/TCP | LDAP |
| 445 | TCP | TCP를 통한 SMB |
| 464 | UDP/TCP | 컴퓨터 암호 변경 |
| 636 | UDP/TCP | LDAP over SSL |
| 3268 | TCP | 글로벌 카탈로그 검색 |
자세한 내용은 Citrix Hypervisor에서 사용하는 통신 포트를 참조하십시오.
참고:
- iptables를 사용하여 Linux 컴퓨터에서 방화벽 규칙을 보려면 다음 명령을 실행합니다
iptables -nL.- Citrix Hypervisor에서는 PBIS(PowerBroker Identity Services)를 사용하여 AD 서버에서 AD 사용자를 인증하고 AD 서버와의 통신을 암호화합니다.
Citrix Hypervisor는 AD 통합을 위해 컴퓨터 계정 암호를 어떻게 관리합니까?
Windows 클라이언트 컴퓨터와 마찬가지로 PBIS는 컴퓨터 계정 암호를 자동으로 업데이트합니다. PBIS는 30일마다 또는 AD 서버의 컴퓨터 계정 암호 갱신 정책에 지정된 대로 암호를 갱신합니다.
풀에서 외부 인증 사용
다음 명령을 사용하여 Citrix Hypervisor 센터 또는 CLI를 사용하여 Active Directory를 사용한 외부 인증을 구성할 수 있습니다.
xe pool-enable-external-auth auth-type=AD \
service-name=full-qualified-domain \
config:user=username \
config:pass=password
<!--NeedCopy-->
지정된 사용자에게는 도메인 관리자의 기본값인 Add/remove computer objects or workstations 권한이 있어야 합니다.
Active Directory 및 Citrix Hypervisor 서버에서 사용하는 네트워크에서 DHCP를 사용하지 않는 경우 다음 접근 방식을 사용하여 DNS를 설정하십시오.
-
FQDN 이외의 항목을 확인하기 위해 도메인 DNS 접미사 검색 순서를 설정합니다.
xe pif-param-set uuid=pif_uuid_in_the_dns_subnetwork \ "other-config:domain=suffix1.com suffix2.com suffix3.com" <!--NeedCopy--> -
Citrix Hypervisor 서버에서 사용할 DNS 서버를 구성합니다.
xe pif-reconfigure-ip mode=static dns=dnshost ip=ip \ gateway=gateway netmask=netmask uuid=uuid <!--NeedCopy--> -
DNS 서버와 동일한 네트워크에 있는 PIF를 사용하도록 관리 인터페이스를 수동으로 설정합니다.
xe host-management-reconfigure pif-uuid=pif_in_the_dns_subnetwork <!--NeedCopy-->
참고:
외부 인증은 호스트 단위 속성입니다. 그러나 풀별로 외부 인증을 사용하거나 사용하지 않도록 설정하는 것이 좋습니다. 풀별 설정을 사용하면 Citrix Hypervisor가 특정 호스트에서 인증을 사용하도록 설정할 때 발생하는 오류를 처리할 수 있습니다. 또한 Citrix Hypervisor는 필요한 모든 변경 사항을 롤백하여 풀 전체에서 일관된 구성을 보장합니다.
host-param-list명령을 사용하여 호스트의 속성을 검사하고 관련 필드의 값을 확인하여 외부 인증 상태를 확인합니다.
Citrix Hypervisor 센터를 사용하여 Active Directory 인증 또는 다음 xe 명령을 사용하지 않도록 설정합니다.
xe pool-disable-external-auth
<!--NeedCopy-->
사용자 인증
사용자가 Citrix Hypervisor 서버에 액세스할 수 있도록 하려면 해당 사용자 또는 사용자가 속한 그룹의 제목을 추가해야 합니다. (전이적 그룹 구성원 자격도 일반적인 방법으로 확인됩니다. 예를 들어, A 그룹에 B 및 user 1 그룹을 포함하고 B 그룹의 구성원인 A 그룹에 대한 제목을 추가하면 user 1에 대한 액세스가 허용됩니다. Active Directory에서 사용자 권한을 관리하려는 경우 단일 그룹을 만든 다음 사용자를 추가하거나 삭제할 수 있습니다. 또는 Citrix Hypervisor에서 개별 사용자를 추가하거나 인증 요구 사항에 따라 사용자와 그룹의 조합을 추가하거나 삭제할 수 있습니다. Citrix Hypervisor 센터에서 주체 목록을 관리하거나 다음 섹션에 설명된 대로 CLI를 사용하여 관리할 수 있습니다.
사용자를 인증할 때 먼저 로컬 루트 계정에 대해 자격 증명이 검사되므로 AD 서버가 실패한 시스템을 복구할 수 있습니다. 자격 증명 (사용자 이름 및 암호) 이 일치하지 않으면 AD 서버에 대한 인증 요청이 수행됩니다. 인증에 성공하면 사용자의 정보가 검색되고 로컬 주체 목록에 대해 유효성이 검사됩니다. 인증에 실패하면 액세스가 거부됩니다. 사용자의 전이적 그룹 구성원에 있는 사용자 또는 그룹이 주체 목록에 있는 경우 주체 목록에 대한 유효성 검사가 성공합니다.
참고:
Active Directory 그룹을 사용하여 호스트 ssh 액세스가 필요한 풀 관리자 사용자에게 액세스 권한을 부여하는 경우 AD 그룹의 크기는 500명을 초과하지 않아야 합니다.
Citrix Hypervisor에 AD 주제를 추가하려면 다음과 같이 하십시오.
xe subject-add subject-name=entity_name
<!--NeedCopy-->
entity_name은 액세스 권한을 부여할 사용자 또는 그룹의 이름입니다. 동호성이 필요하지 않은 한 동작은 동일하지만 엔티티의 도메인 (예: ‘user1’이 아닌 ‘xendt\ user1’) 을 포함 할 수 있습니다.
사용자의 주체 식별자를 찾습니다. 식별자는 사용자 또는 사용자가 포함된 그룹입니다. 그룹을 제거하면 해당 그룹의 모든 사용자에 대한 액세스 권한이 제거됩니다 (주체 목록에도 지정되어 있지 않은 경우). subject list 명령을 사용하여 사용자의 주체 식별자를 찾습니다.:
xe subject-list
<!--NeedCopy-->
이 명령은 모든 사용자 목록을 반환합니다.
목록에 필터를 적용하려면 (예: testad 도메인의 user1 사용자에 대한 주체 식별자 찾기) 다음 명령을 사용합니다.
xe subject-list other-config:subject-name='testad\user1'
<!--NeedCopy-->
subject-remove 명령을 사용하여 사용자를 제거하고 이전 단계에서 학습한 주체 식별자를 전달합니다.
xe subject-remove subject-uuid=subject_uuid
<!--NeedCopy-->
이 사용자가 이미 인증한 현재 세션을 종료할 수 있습니다. 자세한 내용은 다음 섹션의 xe를 사용하여 인증된 모든 세션 종료 및 xe를 사용하여 개별 사용자 세션 종료를 참조하십시오. 세션을 종료하지 않으면 권한이 취소된 사용자는 로그아웃할 때까지 시스템에 계속 액세스할 수 있습니다.
다음 명령을 실행하여 Citrix Hypervisor 서버 또는 풀에 액세스할 수 있는 권한이 있는 사용자 및 그룹 목록을 식별합니다.
xe subject-list
<!--NeedCopy-->
사용자에 대한 액세스 권한 제거
사용자가 인증되면 세션을 종료하거나 다른 사용자가 세션을 종료할 때까지 서버에 액세스할 수 있습니다. 주체 목록에서 사용자를 제거하거나 주체 목록의 그룹에서 사용자를 제거해도 사용자가 가지고 있는 이미 인증된 세션은 자동으로 해지되지 않습니다. 사용자는 Citrix Hypervisor 센터 또는 이미 만든 다른 API 세션을 사용하여 풀에 계속 액세스할 수 있습니다. Citrix Hypervisor 센터 및 CLI는 개별 세션 또는 모든 활성 세션을 강제로 종료할 수 있는 기능을 제공합니다. Citrix Hypervisor 센터 사용 절차에 대한 자세한 내용은 Citrix Hypervisor 센터 설명서를 참조하거나 CLI를 사용하는 절차는 다음 섹션을 참조하십시오.
xe를 사용하여 인증된 모든 세션 종료
다음 CLI 명령을 실행하여 xe를 사용하여 인증된 모든 세션을 종료합니다.
xe session-subject-identifier-logout-all
<!--NeedCopy-->
xe를 사용하여 개별 사용자 세션 종료
-
세션을 로그아웃할 주체 식별자를 결정합니다.
session-subject-identifier-list또는subject-listxe 명령을 사용하여 주체 식별자를 찾습니다. 첫 번째 명령은 세션이 있는 사용자를 표시합니다. 두 번째 명령은 모든 사용자를 표시하지만 필터링할 수 있습니다. 예를 들어,xe subject-list other-config:subject-name=xendt\\user1와 같은 명령을 사용합니다. 셸에 따라 표시된 것처럼 이중 백 슬래시가 필요할 수 있습니다. -
session-subject-logout명령을 사용하여 이전 단계에서 결정한 주체 식별자를 매개 변수로 전달합니다. 예를 들면 다음과 같습니다.xe session-subject-identifier-logout subject-identifier=subject_id <!--NeedCopy-->
AD 도메인 탈퇴
경고:
도메인에서 나가면 Active Directory 자격 증명으로 풀 또는 서버에 대해 인증된 모든 사용자의 연결이 끊어집니다.
Citrix Hypervisor 센터를 사용하여 AD 도메인을 종료합니다. 자세한 내용은 Citrix Hypervisor 센터 설명서를 참조하십시오. 또는 필요한 경우 풀 UUID를 지정하여 pool-disable-external-auth 명령을 실행합니다.
참고:
도메인을 종료해도 AD 데이터베이스에서 호스트 개체가 삭제되지는 않습니다. 비활성화된 호스트 항목을 검색하고 제거하는 방법에 대한 자세한 내용은 Active Directory 설명서를 참조하십시오.