Authentification Kerberos
Pris en charge sur : Toutes les plates-formes Citrix Workspace prises en charge
Description
Utilisez cette stratégie pour contrôler la façon dont le client utilise Kerberos pour authentifier l'utilisateur auprès de l'application ou du bureau distant. Lorsqu'elle est activée, cette stratégie permet au client d'authentifier l'utilisateur qui utilise le procotole Kerberos. Kerberos est une transaction d'authentification autorisée par le contrôleur de domaine qui évite le besoin de transmettre les informations d'identification de l'utilisateur au serveur. Lorsqu'elle est désactivée, le client ne réalisera pas d'authentification Kerberos. Dépannage : La machine exécutant le client et le serveur exécutant l'application distante doivent résider dans des domaines disposant d'une relation d'approbation. Le contrôleur de domaine doit savoir que le serveur Citrix XenApp va réaliser une ouverture de session à l'aide du nom d'utilisateur complet (ouverture de session interactive) à l'aide de Kerberos. Vous pouvez configurer ceci à l'aide des paramètres « Faire confiance à l'authentification déléguée » sur le contrôleur de domaine. Lors de la connexion à l'aide de l'Interface Web, le serveur Interface Web doit savoir que le client va se connecter à l'aide de l'authentification Kerberos. Cela est nécessaire car le serveur Interface Web utilise par défaut une adresse IP pour le serveur de destination alors que l'authentification Kerberos requiert un nom de domaine complet. Les machines client et serveur doivent avoir enregistré correctement les entrées DNS. Cela est nécessaire car les points de terminaison s'authentifieront l'un l'autre durant la connexion.
Registre
Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Logon\Kerberos Nom de valeur : SSPIEnabled
Activé : SSPIEnabled = true,false
Désactivé : SSPIEnabled = false
Cette stratégie définit plusieurs valeurs de registre :
SSOnUserSetting Local Credentials SSOnUserSetting = true,false EnableSSOnThruICAFile Local Credentials EnableSSOnThruICAFile = true SSPIEnabled ICA Client SSPIEnabled = 1 REG Builder
BETAConfigurez l'état et les éléments pour générer les sorties .reg, PowerShell, Intune et SCCM.
Ces exports reproduisent l'effet registre de la stratégie. Modifier le registre directement n'équivaut pas à appliquer la GPO via la console (pas de gpupdate, pas de suivi centralisé). Testez avant la production ; HKLM nécessite des droits administrateur.
Fichier .reg
Windows Registry Editor Version 5.00
; Exported from gporais.com
; Policy: Authentification Kerberos
; State: Enabled
; Supported on: Toutes les plates-formes Citrix Workspace prises en charge
[HKEY_LOCAL_MACHINE\Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Logon\Kerberos]
"SSPIEnabled"="true,false"
[HKEY_LOCAL_MACHINE\Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Logon\Local Credentials]
"SSOnUserSetting"="true,false"
"EnableSSOnThruICAFile"="true"
[HKEY_LOCAL_MACHINE\Software\Citrix\ICA Client]
"SSPIEnabled"=dword:00000001PowerShell
# Exported from gporais.com
# Policy: Authentification Kerberos
# State: Enabled
# Supported on: Toutes les plates-formes Citrix Workspace prises en charge
$path = 'HKLM:\Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Logon\Kerberos'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'SSPIEnabled' -Value 'true,false' -Type String
$path = 'HKLM:\Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Logon\Local Credentials'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'SSOnUserSetting' -Value 'true,false' -Type String
Set-ItemProperty -Path $path -Name 'EnableSSOnThruICAFile' -Value 'true' -Type String
$path = 'HKLM:\Software\Citrix\ICA Client'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'SSPIEnabled' -Value 1 -Type DWordIntune XML
Aucune correspondance directe Policy CSP / OMA-URI pour cette stratégie. Utilisez l'onglet Intune Remediation, ou importez l'ADMX dans Intune.Intune Remediation
# === Detection script ===
# Exported from gporais.com
# Policy: Authentification Kerberos
# State: Enabled
# Supported on: Toutes les plates-formes Citrix Workspace prises en charge
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Logon\Kerberos' -Name 'SSPIEnabled' -Expected 'true,false' -Kind String)
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Logon\Local Credentials' -Name 'SSOnUserSetting' -Expected 'true,false' -Kind String)
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Logon\Local Credentials' -Name 'EnableSSOnThruICAFile' -Expected 'true' -Kind String)
(Test-RegistryValue -Path 'HKLM:\Software\Citrix\ICA Client' -Name 'SSPIEnabled' -Expected 1 -Kind DWord)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Authentification Kerberos
# State: Enabled
# Supported on: Toutes les plates-formes Citrix Workspace prises en charge
$path = 'HKLM:\Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Logon\Kerberos'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'SSPIEnabled' -Value 'true,false' -Type String
$path = 'HKLM:\Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Logon\Local Credentials'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'SSOnUserSetting' -Value 'true,false' -Type String
Set-ItemProperty -Path $path -Name 'EnableSSOnThruICAFile' -Value 'true' -Type String
$path = 'HKLM:\Software\Citrix\ICA Client'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'SSPIEnabled' -Value 1 -Type DWordSCCM CI
# Exported from gporais.com
# Policy: Authentification Kerberos
# State: Enabled
# Supported on: Toutes les plates-formes Citrix Workspace prises en charge
# SCCM Configuration Item guidance:
# Create a Configuration Item of type "Setting: Script".
# Discovery script: use the Detection script below.
# Remediation script: use the Remediation script below.
# Compliance rule: the Discovery script output equals 'Compliant'.
# === Detection script ===
# Exported from gporais.com
# Policy: Authentification Kerberos
# State: Enabled
# Supported on: Toutes les plates-formes Citrix Workspace prises en charge
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Logon\Kerberos' -Name 'SSPIEnabled' -Expected 'true,false' -Kind String)
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Logon\Local Credentials' -Name 'SSOnUserSetting' -Expected 'true,false' -Kind String)
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Logon\Local Credentials' -Name 'EnableSSOnThruICAFile' -Expected 'true' -Kind String)
(Test-RegistryValue -Path 'HKLM:\Software\Citrix\ICA Client' -Name 'SSPIEnabled' -Expected 1 -Kind DWord)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Authentification Kerberos
# State: Enabled
# Supported on: Toutes les plates-formes Citrix Workspace prises en charge
$path = 'HKLM:\Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Logon\Kerberos'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'SSPIEnabled' -Value 'true,false' -Type String
$path = 'HKLM:\Software\Policies\Citrix\ICA Client\Engine\Lockdown Profiles\All Regions\Lockdown\Logon\Local Credentials'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'SSOnUserSetting' -Value 'true,false' -Type String
Set-ItemProperty -Path $path -Name 'EnableSSOnThruICAFile' -Value 'true' -Type String
$path = 'HKLM:\Software\Citrix\ICA Client'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'SSPIEnabled' -Value 1 -Type DWord