SAML (Security Assertion Markup Language) ist eine XML-basierte Authentifizierung, die Single Sign-on (SSO) zwischen verschiedenen Organisationen ermöglicht, indem sie eine Benutzerauthentifizierung ohne gemeinsame Nutzung der lokalen Identitätsdatenbank vorsieht. Parallels RAS 17.1 und neuere Versionen unterstützen den SAML-Authentifizierungsmechanismus.

SAML (2.0) SSO wurde in Parallels RAS 17.1 eingeführt und unterstützt HTML5-initiierte Authentifizierung mit Web Client oder Parallels Client für Windows. Parallels RAS 18 erweitert die Client-Unterstützung für die Initiierung der SAML-Authentifizierung über den Standard-Browser des Betriebssystems oder den in Parallels Client integrierten Browser.

Als Teil des SAML SSO-Prozesses kommuniziert der neue RAS-Registrierungsserver (RAS) Registrierungsserver mit der Microsoft Certificate Authority (CA), um digitale Zertifikate im Namen des Benutzers anzufordern, zu registrieren und zu verwalten, um die Authentifizierung abzuschließen, ohne dass die Benutzer ihre Active Directory-Anmeldeinformationen eingeben müssen. Dienstanbieter und Unternehmen mit mehreren Tochtergesellschaften müssen somit keine eigenen internen Identitätsmanagementlösungen oder komplexe Vertrauenswürdigkeitsprüfungen für Domänen oder Forests pflegen. Die Integration mit Identitätsanbietern von Drittanbietern ermöglicht es Kunden und Partnern, den Endbenutzern ein echtes SSO-Erlebnis zu bieten.

Folgende Bereitstellungsoptionen werden unterstützt:

• Web Client

• Über das Web Client-Portal initiierte SAML für Windows

• Über das Web Client-Portal initiierte SAML für Windows

• Über Web Client initiierte SAML für Android, iOS und iPadOS

• Über Parallels Client für Windows initiierter SAML-Authentifizierung

• Über Parallels Client für Mac initiierte SAML-Authentifizierung

• Über Parallels Client für Linux initiierte SAML-Authentifizierung

• Über Parallels Client für iOS/iPadOS initiierte SAML-Authentifizierung

• Über Parallels Client für Android initiierte SAML-Authentifizierung

Das folgende logische Diagramm stellt den SAML-Authentifizierungs- und Anmeldeprozess in einer Parallels RAS-Umgebung dar:

Die SAML-Authentifizierungs- und Anmeldeschritte im obigen Diagramm sind:

1. RAS Secure Gateway leitet die Anmeldeanfrage des Parallels Clients an die IdP-Site weiter.

2. Der Benutzer authentifiziert sich beim IdP.

3. Der IdP leitet den Benutzer mit der SAML-Assertion an das RAS Secure Gateway weiter.

4. Der Benutzer wird über die SAML-Assertion authentifiziert und dann angemeldet.

5. Die Liste der verfügbaren veröffentlichten RAS-Ressourcen wird abgerufen.

6. Der Benutzer wählt eine veröffentlichte Ressource aus und startet sie von Parallels Client aus.

7. Die Startanforderung des Benutzers wird an die Serverseite gesendet und die Ressource wird auf dem verfügbaren Server gestartet.

8. Eine Parallels RAS-Sitzung wird aufgebaut.

9. Benutzerzertifikat wird verarbeitet:

   • Zertifikat wird angefordert.

   • Zertifikat wird erstellt.

   • Die Verschlüsselung wird mit dem Zertifikat durchgeführt.

10. Smartcard-Anmeldung.

In diesem Abschnitt:

Auf der Seite des Identitätsanbieters müssen Sie Folgendes tun:

1. Melden Sie sich bei Ihrer bevorzugten Identitätsanbieter-Plattform an und erstellen Sie eine generische oder RAS-spezifische SAML-basierte Anwendung, die mit der Parallels-RAS-Umgebung verwendet wird.

2. Konfigurieren Sie die Anwendung und beachten Sie die folgenden Konfigurationseigenschaften, die später in Parallels RAS hinzugefügt werden:

   • Unternehmens-ID

   • Anmelde-URL

   • Abmelde-URL

   • Zertifikat (base64)

3. Alternativ können Sie eine Metadaten-Datei für den Import in Parallels RAS exportieren. Weitere Hilfe finden Sie unter Identitätsanbieter-Beispiel und Tipps.

RAS-Registrierungsserver

• Windows Server 2012 R2 bis Windows Server 2022

RD-Sitzungshosts

• Windows Server 2012 R2 (x64-Bit-Versionen) bis zu Windows Server 2022

Desktop-Betriebssysteme (Gast-VMs und PCs)

• Windows 7 bis Windows 11

Beachten Sie, dass 32-Bit-Betriebssysteme nicht unterstützt werden.

Parallels Client

• Parallels Client Version 18 oder 19 ist erforderlich.

• Unterstützte Plattformen sind Windows, Mac, Linux, iOS, Android.

Parallels RAS 17.1 und neuere Versionen unterstützen den Authentifizierungsmechanismus Security Assertion Markup Language (SAML). SAML ist eine XML-basierte Authentifizierung, die Single Sign-on (SSO) zwischen verschiedenen Organisationen ermöglicht, indem sie eine Benutzerauthentifizierung ohne gemeinsame Nutzung der lokalen Identitätsdatenbank vorsieht.

Als Teil des SAML SSO-Prozesses kommuniziert der neue RAS-Registrierungsserver (RAS) Registrierungsserver mit der Microsoft Certificate Authority (CA), um digitale Zertifikate im Namen des Benutzers anzufordern, zu registrieren und zu verwalten, um die Authentifizierung abzuschließen, ohne dass die Benutzer ihre Active Directory-Anmeldeinformationen eingeben müssen. Dienstanbieter und Unternehmen mit mehreren Tochtergesellschaften müssen somit keine eigenen internen Identitätsmanagementlösungen oder komplexe Vertrauenswürdigkeitsprüfungen für Domänen oder Forests pflegen. Die Integration mit Identitätsanbietern von Drittanbietern ermöglicht es Kunden und Partnern, den Endbenutzern ein echtes SSO-Erlebnis zu bieten.

Auf der Seite des Dienstanbieters (der Parallels RAS-Seite) müssen Sie die Web (SAML)-Authentifizierung aktivieren und den Identitätsanbieter zur RAS-Farm hinzufügen.

Aktivieren der Web (SAML)-Authentifizierung

1. Navigieren Sie in der RAS-Konsole zu Verbindung > Authentifizierung.

2. Wählen Sie im Abschnitt Erlaubte Authentifizierungstypen die Option Web (SAML).

Hinzufügen eines Identitätsanbieters zur RAS-Farm

So fügen Sie einen Identitätsanbieter hinzu:

1. Navigieren Sie in der RAS-Konsole zu Verbindung > SAML. Wenn die Registerkarte deaktiviert ist, stellen Sie sicher, dass Sie Web (SAML) aktiviert haben. Siehe oben.

2. Klicken Sie auf Aufgaben > Hinzufügen.

3. Geben Sie im Assistenten Identitätsanbieter hinzufügen einen Anbieternamen an.

4. Wählen Sie in der Dropdownliste Verwendung mit dem Design ein Design aus, dem der IdP zugeordnet werden soll. Wenn Sie noch kein bestimmtes Design haben, können Sie das Standarddesign verwenden oder <nicht verwendet> auswählen und später ein Design zuweisen. Beachten Sie, dass es mehrere Identitätsanbieter geben kann, die in derselben RAS-Farm konfiguriert sind. Zurzeit kann jedoch ein Identitätsanbieter einem Schema zugeordnet werden.

5. Wählen Sie eine der folgenden Methoden aus, die der Assistent verwendet, um die Identitätsanbieter-Informationen zu erhalten:

   • Veröffentlichte Identitätsanbieter-Metadaten importieren Importieren Sie aus einem im Internet veröffentlichten XML-Dokument. Geben Sie die Dokument-URL aus der Konfiguration der Identitätsanbieter-Seite an.

   • Identitätsanbieter-Metadaten aus einer Datei importieren Importieren Sie aus einer lokalen XML-Datei, die von der Identitätsanbieter-Anwendung heruntergeladen wurde. Geben Sie den Dateinamen und den Pfad in dem dafür vorgesehenen Feld an.

   • Geben Sie die Identitätsanbieter-Informationen manuell ein: Wählen Sie diese Option und geben Sie dann die Informationen auf der nächsten Seite des Assistenten manuell ein.

6. Klicken Sie auf Weiter.

7. Wenn die Konfiguration im vorherigen Schritt importiert wurde, wird die nächste Seite mit Daten aus der XML-Datei gefüllt. Wenn Sie sich für die manuelle Eingabe der Identitätsanbieterdaten entschieden haben, müssen Sie die Werte selbst eingeben:

   • IdP-Entitäts-ID: ID der Identitätsanbieter-Entität.

   • IdP-Zertifikat: Identitätsanbieter-Zertifikatsdaten. Um dieses Feld auszufüllen, müssen Sie das Zertifikat von der Identitätsanbieter-Seite herunterladen, dann die heruntergeladene Datei öffnen, ihren Inhalt kopieren und in dieses Feld einfügen.

   • Anmelde-URL: Anmelde-URL

   • Abmelde-URL: Abmelde-URL

   Wählen Sie die Option Unverschlüsselte Assertion zulassen, falls erforderlich.

8. Hinweis: Standardmäßig ist die Option Unverschlüsselte Assertion zulassen deaktiviert. Stellen Sie sicher, dass die Identitätsanbieterkonfiguration auf verschlüsselte Assertion eingestellt ist, oder ändern Sie die Standardeinstellung innerhalb der RAS-Konfiguration.

9. An dieser Stelle können Sie Einstellungen für den Dienstanbieter (Service-Provider, SP) konfigurieren, die auf der IdP-Seite (IdP-Portal) importiert werden sollen. Sie können es jetzt tun oder später. Um es jetzt zu tun, folgen Sie den nachstehenden Schritten. Um es später zu tun, klicken Sie auf Fertigstellen und öffnen dann ggf. die Eigenschaften des Identifizierungsanbieter-Objekts, wählen die Registerkarte SP und führen dieselben Schritte wie unten beschrieben aus.

10. Um die SP-Einstellungen zu konfigurieren, klicken Sie auf die Schaltfläche Informationen zum Dienstanbieter.

11. Geben Sie in dem sich öffnenden Dialogfeld die Hostadresse ein. Der Identitätsanbieter wird auf diese Adresse umleiten, die über den Browser des Endbenutzers zugänglich sein sollte.

12. Die anderen Felder einschließlich SP-Entitäts-ID, Antwort-URL, Anmelde-URL und Abmelde-URL sind auf der Grundlage der Hostadresse vorbelegt. Das SP-Zertifikat wird automatisch generiert.

13. Der nächste Schritt besteht darin, die IdP-Konfiguration anhand der oben genannten Werte zu vervollständigen. Diese Werte können manuell kopiert oder als Metadaten-Datei (XML) exportiert werden. Klicken Sie auf den Link SP-Metadaten exportieren zu Datei. Speichern Sie die Metadaten als XML-Datei. Importieren Sie die XML-Datei in Ihren Identitätsanbieter.

14. Schließen Sie das Dialogfeld und klicken Sie auf Fertigstellen.

Konfigurieren von Benutzerkontoattributen

Bei der Benutzerauthentifizierung durch den Identitätsanbieter werden die Benutzerkontoattribute in Active Directory mit den entsprechenden Attributen in der Identitätsanbieter-Benutzerdatenbank verglichen. Sie können wie unten beschrieben konfigurieren, welche Attribute für den Vergleich verwendet werden sollen.

In der folgenden Tabelle sind die verfügbaren Attribute aufgeführt:

* Die Attribute in der Spalte SAML-Name sind bearbeitbar und können auf der Grundlage des von Ihnen verwendeten Identitätsanbieters angepasst werden.

So konfigurieren Sie Attribute:

1. Klicken Sie in der RAS-Konsole mit der rechten Maustaste auf einen Identitätsanbieter, den Sie in den vorherigen Schritten hinzugefügt haben.

2. Wählen Sie im Dialogfeld Eigenschaften des Identitätsanbieters die Registerkarte Attribute aus. Auf dieser Registerkarte können Sie die Attribute, die für den Vergleich verwendet werden sollen, auswählen oder löschen oder benutzerdefinierte Attribute erstellen:

   • Die ausgewählten Attribute werden für eine Übereinstimmung verglichen.

   • Die Namen aller vorkonfigurierten SAML-Attribute (die Identitätsanbieter-Seite) können bei Bedarf an die AD-Attribute angepasst werden.

   • Das benutzerdefinierte Attribut kann verwendet werden, damit jeder SAML-Attributname mit jedem AD-Attributwert übereinstimmen kann. Standardmäßig ist es die E-Mail-Adresse.

3. Konfigurieren und aktivieren Sie die gewünschten Attribute je nach Bedarf auf der Grundlage der auf der Identitätsanbieter-Seite konfigurierten Attribute.

4. Klicken Sie auf OK, um das Dialogfeld zu schließen.

Hinweis 1: Mehrere Attribute werden in der dargestellten Reihenfolge verwendet. Fällt ein Attribut aus, wird das nächste konfigurierte Attribut verwendet. Es wird jeweils nur ein Attribut verwendet (in entweder/oder Weise). Hinweis 2: Wenn mehrere AD-Benutzer mit dem gleichen AD-Attributwert konfiguriert sind, schlägt der Benutzerabgleich fehl. Wenn beispielsweise das E-Mail-Attribut gewählt wird und verschiedene AD-Benutzer die gleiche E-Mail-Adresse haben, ist der Attributabgleich zwischen Identitätsanbieter-Konto und AD-Benutzerkonto nicht erfolgreich.

Tipps zur Konfiguration von Attributen

• Wenn möglich, verwenden Sie eine Automatisierung für die Benutzersynchronisierung (z. B. Microsoft Azure AD Connect für die Azure Identitätsanbieterkonfiguration) zwischen Ihrem Active Directory und dem Identitätsanbieter, um den Aufwand für das Benutzeridentitätsmanagement zu minimieren.

• Wählen Sie ein Benutzeridentifikationsattribut, das für Ihre Umgebung eindeutig ist, wie z. B. den User Principal Name (UPN) oder die Immutable ID (ObjectGuid), wenn möglich. Alternativ können Sie auch andere eindeutige Identifikatoren wie die E-Mail-Adresse verwenden. Stellen Sie in diesem Fall sicher, dass das Feld E-Mail-Adresse im Benutzerobjekt im AD konfiguriert ist. Wenn Sie Microsoft Exchange Server verwenden, verwenden Sie die Registerkarte Exchange-Adressen und die Exchange-Richtlinien.

• Wenn Sie UPN als Attribut verwenden, können Sie auch alternative UPN-Suffixe konfigurieren. Dies kann von Active Directory-Domänen und -Trusts aus erfolgen (wählen Sie Root > Rechtsklick, um das Dialogfeld Eigenschaften zu öffnen). Sobald ein neues alternatives UPN-Suffix erstellt wurde, können Sie den UPN in den Benutzerobjekteigenschaften von Active Directory-Benutzern und -Computern ändern.

Kontobild hinzufügen

Um das Ganze noch weiter zu personalisieren, können Sie ein benutzerdefiniertes Kontobild hinzufügen, das während der Benutzeranmeldung bei der Verwendung von Single Sign-On auf dem Windows-Anmeldebildschirm angezeigt wird. Dies wird in https://kb.parallels.com/en/129028 näher beschrieben.

In diesem Abschnitt:

So erstellen Sie die Vorlage für den Enrollment Agent:

1. Starten Sie vom Zertifizierungsstellen-Server aus die Verwaltungskonsole der Zertifizierungsstelle (MMC) über die Verwaltungswerkzeuge.

2. Erweitern Sie die CA, klicken Sie mit der rechten Maustaste auf den Ordner „Zertifikatvorlagen“ und wählen Sie Verwalten.

3. Klicken Sie mit der rechten Maustaste auf die Enrollment-Agent-Vorlage und wählen Sie Vorlage duplizieren. Das Fenster für neue Vorlageneigenschaften wird geöffnet. Konfigurieren Sie auf der Registerkarte Allgemein die folgenden Eigenschaften:

   • Anzeigename der Vorlage: PrlsEnrollmentAgent

   • Vorlagenname: PrlsEnrollmentAgent

   • Gültigkeitsdauer: 2 Jahre

   • Erneuerungszeitraum: 6 Wochen

   • Zertifikat in Active Directory veröffentlichen: EIN

   • Nicht automatisch neu registrieren, wenn ein identisches Zertifikat bereits in Active Directory vorhanden ist: AUS

1. Wählen Sie die Registerkarte Kryptografie und stellen Sie die folgenden Werte ein:

   • Anbieter-Kategorie: Legacy-Kryptografiedienstanbieter (schreibgeschützt).

   • Name des Algorithmus: Bestimmt durch CSP

   • Minimale Schlüsselgröße: Die gewünschte minimale Schlüsselgröße bis zu 4096 Bit

Wählen Sie im Abschnitt Auswählen der für Anforderungen verwendbaren Kryptografieanbieter die Option Für Anforderungen muss einer der folgenden Anbieter verwendet werden. Wählen Sie in der folgenden Liste der Anbieter den gewünschten Anbieter aus.

1. Wählen Sie die Registerkarte Sicherheit und gehen Sie wie folgt vor:

• Klicken Sie auf Hinzufügen.

• Fügen Sie das Benutzerkonto des Enrollment Agents hinzu.

• Erlauben (auswählen) Sie die Berechtigung „Lesen“ und „Anmelden“. Klicken Sie auf Übernehmen und OK.

Ausstellen der Zertifikatvorlage

So stellen Sie die von Ihnen erstellte Zertifikatvorlage aus:

1. Führen Sie die Zertifizierungsstelle erneut aus und klicken Sie mit der rechten Maustaste auf Zertifizierungsvorlagen, wählen Sie „neu“ und klicken Sie auf Auszustellende Zertifikatvorlage.

2. Wählen Sie die Zertifikatvorlage, die Sie in den vorherigen Schritten erstellt haben (d. h. Prls Enrollment Agent), und klicken Sie auf OK.

3. Die Zertifikatvorlage sollte in der Liste Zertifikatvorlagen erscheinen.

Um SAML in Parallels RAS zu konfigurieren, benötigen Sie Folgendes:

1. Microsoft Active Directory mit den folgenden zwei vorhandenen Benutzerkonten:

   • Benutzer des Enrollment Agents: wird verwendet, um Zertifikate über den RAS Registrierungsserver (ES) im Namen des authentifizierten Benutzers zu registrieren.

   • NLA-Benutzer: wird verwendet, um die NLA-Verbindung mit RD-Sitzungshosts und/oder VDI-Gästen zu initiieren.

   Weitere Informationen über erforderliche Berechtigungen und Delegierungen finden Sie unter Konfiguration des Active Directory-Benutzerkontos. Beachten Sie, dass die Verwendung von Azure Active Directory Domain Services (AADDS) nicht in Verbindung mit SAML SSO unterstützt wird.

2. Microsoft Enterprise Certification Authority (CA) einschließlich der folgenden Vorlagen:

   • Vorlage für das Zertifikat des Enrollment Agent

   • Vorlage für Smartcard-Anmeldezertifikate

3. Externer Identitätsanbieter wie Azure, Okta, Ping Identity, Gemalto SafeNet und andere. Hier werden die Benutzerkonten untergebracht. Benutzerkonten im Identitätsanbieter müssen mit der Microsoft Active Directory-Umgebung synchronisiert werden. Bitte wenden Sie sich an den Anbieter, um zu erfahren, wie Sie die Benutzer ordnungsgemäß synchronisieren können.

4. Domänencontroller müssen über Domänencontroller-Zertifikate verfügen. Die Zertifikate auf den Domänencontrollern müssen die Smartcard-Authentifizierung unterstützen. Zertifikate werden mit der Microsoft CA-Zertifikatvorlage „Domänencontrollerauthentifizierung“ erstellt. Manuell erstellte Domänencontroller-Zertifikate funktionieren möglicherweise nicht. Wenn Sie die Fehlermeldung „Request Not Supported“ (Anforderung nicht unterstützt) erhalten, müssen Sie möglicherweise Domänencontroller-Zertifikate neu erstellen. Stellen Sie sicher, dass RD-Sitzungshosts und VDIs über das von der CA ausgestellte Stammzertifikat im Speicher der Trusted Root Certification Authorities verfügen.

5. Eine Parallels RAS-Farm mit RD-Sitzungshost und/oder VDI-Workloads (ausgeführt auf einem 64-Bit-Betriebssystem).

6. Aus Sicherheitsgründen wird empfohlen, den RAS Registrierungsserver auf einem dedizierten Host zu installieren. Der Host sollte ein eigenständiger Server sein, auf dem keine anderen Komponenten und Rollen installiert sind.

7. Sowohl SAML- als auch RAS-Registrierungsserver-Konfigurationen sind standortspezifische Einstellungen innerhalb der RAS-Umgebung. RAS-Administratoren müssen die Berechtigungen „Zugriff auf Site-Informationen zulassen“ und „Änderungen an Farm zulassen“ delegiert haben.

Hinweis: Für einige der oben genannten Aufgaben sind Kenntnisse über die Konfiguration von Microsoft Active Directory und Gruppenrichtlinien erforderlich. Azure Active Directory Domain Services (AADDS) und Azure Virtual Desktop-Zugang werden derzeit nicht mit Parallels RAS SAML SSO unterstützt.

Für eine hohe Verfügbarkeit können jeder Website mehrere Registrierungsserver (Enrollment Server, ES) hinzugefügt werden. Alle aktivierten und verifizierten ES werden aktiv/aktiv genutzt. Bei der Benutzeranmeldung werden Anfragen von Workload-VMs wie RD-Sitzungshosts oder VDIs gleichmäßig auf die verfügbaren ES verteilt. Im Falle von Fehlern bei einem bestimmten ES wird der nächste verfügbare ES ausgewählt und der SAML SSO-Authentifizierungsprozess wird fortgesetzt. Insbesondere für die manuelle Bereitstellung mehrerer ES ist es wichtig zu beachten, dass alle ES am selben Standort denselben Registrierungsschlüssel verwenden, der in dem angegebenen Pfad bereitgestellt werden muss, wie im Abschnitt RAS-Registrierungsserverkonfiguration erwähnt.

Hinweis: Mehrere ES teilen sich keinen gemeinsamen Zertifikatsspeicher, und alle Zertifikate sind auf jedem ES getrennt. Dies bedeutet, dass im Falle mehrerer ES derselbe Benutzer möglicherweise unterschiedliche Zertifikate auf verschiedenen ES zur Verfügung hat.

Security Assertion Markup Language (SAML) ist ein Standard für den Austausch von Authentifizierungsinformationen zwischen Identitäts- und Dienstanbietern. Bei der SAML-Authentifizierung handelt es sich um einen Single Sign-on-Mechanismus, bei dem ein zentraler Identitätsanbieter (IdP) die Benutzerauthentifizierung durchführt, während der Dienstanbieter (SP) die Entscheidungen über die Zugriffskontrolle nur auf der Grundlage der Ergebnisse der Authentifizierung trifft.

Die Hauptvorteile der SAML-Authentifizierung sind wie folgt:

• Dienstanbieter müssen keine eigenen Benutzerdatenbanken pflegen. Benutzerinformationen werden auf der Seite des Identitätsanbieters in einer zentralen Datenbank gespeichert. Wenn ein Benutzer hinzugefügt oder entfernt werden muss, erfolgt dies nur in einer einzigen Datenbank.

• Dienstanbieter müssen die Benutzer nicht selbst validieren, sodass es keine Notwendigkeit für eine sichere Authentifizierungs- und Autorisierungsimplementierung auf der Seite des Anbieters gibt.

• Single Sign-On bedeutet, dass sich ein Benutzer nur einmal anmelden muss. Alle nachfolgenden Anmeldungen (wenn ein Benutzer eine andere Anwendung startet) erfolgen automatisch.

• Benutzer müssen bei der Anmeldung keine Anmeldedaten eingeben.

• Die Benutzer müssen sich keine Passwörter merken und ändern.

• Keine schwachen Passwörter.

Das Single Sign-on-Verfahren

Das SAML Single Sign-on kann auf der Seite des Dienstanbieters oder auf der Seite des Identitätsanbieters initiiert werden. Die beiden Szenarien werden im Folgenden skizziert.

Der SAML-Single Sign-On-Prozess, der auf der Seite des Dienstanbieters initiiert wird, besteht aus den folgenden Schritten:

1. Ein Benutzer öffnet Parallels Client (eine der unterstützten Versionen) und stellt eine Verbindung zum Dienstanbieter her.

2. Der Dienstanbieter sendet eine Nachricht an den Identitätsanbieter mit der Bitte, den Benutzer zu authentifizieren.

3. Der Identitätsanbieter fragt den Benutzer nach einem Benutzernamen und einem Passwort.

4. Wenn die Benutzeranmeldeinformationen korrekt sind, wird eine Authentifizierungsantwort (Assertion) an den Client gesendet und dann an den Dienstanbieter weitergeleitet. Die Antwort enthält eine Nachricht, dass der Benutzer sich erfolgreich angemeldet hat. Der Identitätsanbieter unterschreibt die Behauptung.

5. Dem Benutzer wird die Liste der veröffentlichten Anwendungen angezeigt. Wenn der Benutzer eine Anwendung startet, gibt es keine Aufforderung zur Eingabe von Anmeldeinformationen.

Single Sign-on kann auch auf der Seite des Identitätsanbieters initiiert werden. In diesem Fall sind die grundlegenden Schritte die Folgenden:

1. Ein Benutzer meldet sich über einen Webbrowser beim Identitätsanbieter an und bekommt eine Liste von Unternehmensanwendungen angezeigt, darunter auch Parallels RAS.

2. Sobald Parallels RAS ausgewählt ist, wird die Assertion an den Client gesendet und dann an den für Parallels RAS konfigurierten Dienstanbieter weitergeleitet.

3. Den Benutzern wird die Liste der vom RAS veröffentlichten Anwendungen gezeigt.

4. Wenn der Benutzer eine Anwendung startet, gibt es keine Aufforderung zur Eingabe von Anmeldedaten.

Der RAS Registrierungsserver kommuniziert mit der Microsoft Certificate Authority (CA), um digitale Zertifikate im Namen eines Benutzers für die SSO-Authentifizierung in der Parallels-RAS-Umgebung anzufordern, zu registrieren und zu verwalten.

Hinweis: Aus Sicherheitsgründen sollte der RAS-Registrierungsserver auf einem sicheren, dedizierten Server installiert werden, ähnlich wie ein Active Directory Domain Controller oder eine Zertifizierungsstelle, auf dem keine anderen RAS-Komponenten von Parallels installiert sind.

Einrichten und konfigurieren von RAS-Registrierungs- Server

Sie können den RAS-Registrierungsserver-Agent von der RAS-Konsole aus per Fernzugriff auf einem bestimmten Server installieren. Sie können den Agent auch installieren, indem Sie das Standard-RAS-Installationsprogramm auf dem gewünschten Server ausführen.

So installieren Sie den RAS-Registrierungsserver per Fernzugriff:

1. Navigieren Sie in der RAS-Konsole zu Serverfarm > Site > Registrierungsserver.

2. Klicken Sie auf Aufgaben > Hinzufügen.

3. Geben Sie den FQDN oder die IP-Adresse des Servers an, auf dem der RAS-Registrierungsserver installiert werden soll.

4. Klicken Sie auf Weiter.

5. Klicken Sie im Dialogfeld Informationen zum Registrierungsserver-Agent auf Installieren und folgen Sie den Anweisungen auf dem Bildschirm.

So installieren Sie den RAS-Registrierungsserver mit dem Parallels-RAS-Installationsprogramm:

1. Führen Sie das Parallels-RAS-Installationsprogramm auf dem Server aus, auf dem der RAS-Registrierungsserver-Agent installiert werden soll.

2. Wählen Sieauf der Seite Installationstyp wählen Benutzerdefiniert und klicken Sie auf Weiter.

3. Löschen Sie alle anderen Komponenten und wählen Sie die Komponente Parallels RAS Registrierungsserver.

4. Klicken Sie auf Weiter und folgen Sie den Anweisungen auf dem Bildschirm.

5. Sobald der RAS-Registrierungsserver installiert ist, öffnen Sie die RAS-Konsole und navigieren Sie zu Serverfarm > Site > Registrierungsserver.

6. Klicken Sie auf Aufgaben > Hinzufügen.

7. Geben Sie den FQDN oder die IP-Adresse des Registrierungsservers ein und klicken Sie auf Weiter.

8. Folgen Sie den Anweisungen auf dem Bildschirm, um den Server zur Farm hinzuzufügen.

Abrufen und Kopieren des Registrierungsschlüssels

Wenn Sie eine manuelle Installation mit dem RAS-Installationsprogramm durchführen, ist es erforderlich, eine Registrierungsschlüsseldatei auf dem Host des Registrierungsservers zu platzieren. Dieser Schritt ist nicht erforderlich, wenn der RAS-Registrierungsserver-Agent per Fernzugriff über die RAS-Konsole bereitgestellt wurde.

Zunächst müssen Sie die Registrierungsschlüsseldatei wie folgt erhalten:

1. Öffnen Sie die RAS-Konsole und navigieren Sie zu Serverfarm > Site > Registrierungsserver.

2. Klicken Sie auf Aufgaben > Registrierungsschlüssel exportieren.

3. Speichern Sie den Schlüssel in einer Datei namens registration.crt.

Sobald Sie die Datei registration.crt haben, kopieren Sie sie in den folgenden Ordner auf dem Server, auf dem der RAS-Registrierungsserver installiert ist, standardmäßig in den folgenden Pfad:

C:\Programmdateien (x86)\Parallels\ApplicationServer\x64

Hinweis: Die Registrierungsschlüsseldatei muss zwingend den Namen „registration.crt“ tragen.

Konfigurieren für die AD- Integration

Nachdem Sie den RAS-Registrierungsserver in der RAS-Konsole hinzugefügt haben, müssen Sie die AD-Integration für ihn wie folgt konfigurieren:

1. Navigieren Sie in der RAS-Konsole zu Serverfarm / Site > Registrierung Server.

2. Wählen Sie die Registerkarte AD Integration.

3. Geben Sie im Abschnitt Zertifizierungsstelle (CA) die Konfigurationszeichenfolge Ihrer Unternehmens-CA an, in der die neuen Zertifikatvorlagen (Prls Enrollment Agent und Prls Smartcard Logon) erstellt wurden. Dies sollte in folgendem Format geschehen:

   CAhostname.domain\issuing CA Name

   Alternativ können Sie auf die Schaltfläche [...] klicken, um eine CA auszuwählen. Einzelheiten zur Konfiguration finden Sie unter Vorlagen für Zertifizierungsstellen konfigurieren.

4. Geben Sie im Abschnitt Enrollment Agent den Benutzernamen und das Passwort des Enrollment Agents an. Einzelheiten zur Konfiguration finden Sie unter Konfiguration des Active Directory-Benutzerkontos.

5. Geben Sie im Abschnitt NLA-Benutzer die NLA- des Enrollment Agents an. Einzelheiten zur Konfiguration finden Sie unter Konfiguration des Active Directory-Benutzerkontos.

6. Klicken Sie auf die Schaltfläche Einstellungen für die AD- Integration überprüfen, um sicherzustellen, dass die von Ihnen eingegebenen Informationen gültig sind.

Verwenden der Tools zur Computerverwaltung

Sie können Standardaufgaben der Computerverwaltung auf einem RAS-Registrierungsserver-Host direkt von der RAS-Konsole aus ausführen. Dazu gehören Remotedesktopverbindung, PowerShell, Computerverwaltung, Dienstverwaltung, Ereignisanzeige, IPconfig, Neustarten und andere. Um auf das Menü Tools zuzugreifen, klicken Sie auf Aufgaben > Tools und wählen Sie das gewünschte Tool. Informationen zu Anforderungen und Verwendung finden Sie unter Tools zur Computerverwaltung.

Der Benutzer des Enrollment Agents und der NLA-Benutzer müssen in Microsoft Active Directory erstellt werden. Im Folgenden wird beschrieben, wie Sie diese Benutzer anlegen.

Benutzerkonto des Enrollment Agents

Das Benutzerkonto des Enrollment Agents ist erforderlich, um Zertifikate über den RAS-Registrierungsserver im Namen des authentifizierten Benutzers zu registrieren. Beachten Sie, dass der Enrollment Agent-Benutzer Anmelderechte auf dem Rechner benötigt, auf dem der RAS Enrollment Server Agent installiert ist.

NLA-Benutzerkonto

Der NLA-Benutzer wird benötigt, um die NLA-Verbindung mit RD-Sitzungshosts und/oder VDI-Gästen zu initiieren. Beachten Sie, dass der NLA-Benutzer Anmelderechte für den Sitzungshost benötigt.

Der NLA-Benutzer muss Mitglied der Gruppe der Remotedesktopbenutzer sein und die Berechtigung Anmelden über Remotedesktopdienste zulassen erhalten. Gleichzeitig muss es dem NLA-Benutzer untersagt werden, sich über Remotedesktopdienste anzumelden.

Um das NLA-Benutzerkonto auszuschließen, muss ihm das Recht Anmelden über Remotedesktopdienste verweigern zugewiesen werden.

Um beide Ziele zu erreichen, können Sie lokale oder Domänen-GPOs (mit OU oder domänenweit verknüpft) verwenden.

Ein Neustart des Geräts ist nicht erforderlich, damit diese Richtlinieneinstellung wirksam ist. Jede Änderung der Zuweisung von Benutzerrechten für ein Konto wird wirksam, wenn sich der Eigentümer des Kontos das nächste Mal anmeldet.

Die Gruppenrichtlinieneinstellungen werden über GPOs in der folgenden Reihenfolge angewendet, wodurch die Einstellungen auf dem lokalen Computer bei der nächsten Aktualisierung der Gruppenrichtlinie überschrieben werden:

1. Lokale Richtlinieneinstellungen

2. Einstellungen der Website-Richtlinien

3. Einstellungen der Domänenrichtlinie

4. OU-Richtlinien-Einstellungen

Erstellen Sie ein neues GPO oder verwenden Sie das Standard-Domänenrichtlinien-GPO wie folgt:

1. Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole (GPMC).

2. Öffnen oder erstellen Sie ein GPO, das mit der OU verknüpft ist, in der sich die RDSH- oder VDI-Objekte befinden.

3. Navigieren Sie zu Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Zuweisung von Benutzerrechten und öffnen Sie die Option „Anmeldung über Remotedesktopdienste zulassen“.

4. Wählen Sie „Benutzer oder Gruppe hinzufügen...“, fügen Sie den NLA-Benutzer hinzu und klicken Sie auf OK.

• Hinweis: Diese Option setzt die Standardeinstellungen (auf der Workstation und den Servern: Administratoren, Remotedesktopbenutzer; auf Domänencontrollern: Administratoren) außer Kraft. Vergessen Sie daher nicht, die Gruppen wie lokale Administratorengruppe oder Domänen-Administratorengruppe hinzuzufügen.

• Navigieren Sie zu Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Zuweisung von Benutzerrechten und öffnen Sie die Option Anmelden über Remotedesktopdienste verweigern.

• Wählen Sie „Benutzer oder Gruppe hinzufügen...“, fügen Sie den NLA-Benutzer hinzu und klicken Sie auf OK.

Bei der Benutzerauthentifizierung durch den Identitätsanbieter erfolgt werden die Benutzerkontoattribute in Active Directory mit den entsprechenden Attributen in der Identitätsanbieter-Benutzerdatenbank verglichen. Die zu vergleichenden Attribute werden auf dem Identitätsanbieter und in der RAS-Konsole konfiguriert. Einzelheiten finden Sie unter Konfiguration der SP-Seite (RAS-Seite).

Beispiele für die Integration verschiedener Identitätsanbieter mit Parallels RAS finden Sie in der Anleitung SAML SSO-Authentifizierung Examples, die auf der Parallels-Website unter https://www.parallels.com/de/products/ras/resources/ verfügbar ist.

Aus Sicherheitsgründen ist es ratsam, Einschränkungen für den Enrollment Agent einer CA so zu konfigurieren, dass nur die neu erstellten Benutzerrechte des Enrollment Agents die Registrierung von Zertifikaten im Namen der Benutzer zulassen. Befolgen Sie dazu die folgenden Schritte.

1. Öffnen Sie das Snap-in der Zertifizierungsstelle, klicken Sie mit der rechten Maustaste auf den Namen der CA und dann auf Eigenschaften.

2. Klicken Sie auf die Registerkarte Enrollment Agent, klicken Sie auf Enrollment Agents einschränken und klicken Sie in der angezeigten Meldung auf OK.

3. Klicken Sie unter Enrollment Agents auf Hinzufügen, geben Sie den Namen des in den vorherigen Schritten erstellten Benutzers für den Enrollment Agent ein und klicken Sie dann auf OK. Klicken Sie auf Alle und dann auf Entfernen.

4. Klicken Sie unter Zertifikatvorlagen auf Hinzufügen, wählen Sie die erstellten Vorlagen aus (Prls Enrollment Agent und Prls Smartcard Logon) und klicken Sie dann auf OK. Wenn Sie mit dem Hinzufügen der Namen von Zertifikatvorlagen fertig sind, klicken Sie auf <All> und dann auf Entfernen.

5. Klicken Sie unter Berechtigungen auf Hinzufügen, geben Sie die Namen oder Gruppen ein, die die Benutzer oder Gruppen sind, von denen erwartet wird, dass sie sich mit SAML bei der RAS-Umgebung anmelden, und klicken Sie dann auf OK. Klicken Sie auf Alle und dann auf Entfernen.

6. Wenn Sie den Enrollment Agent an der Verwaltung von Zertifikaten für andere Benutzer, Computer oder Gruppen hindern möchten, wählen Sie unter Berechtigungen diesen Benutzer, Computer oder diese Gruppe aus und klicken Sie dann auf Verweigern.

7. Wenn Sie die Konfiguration der Einschränkungen für den Enrollment Agent abgeschlossen haben, klicken Sie auf OK oder Übernehmen.

Hinweis: Der Benutzer oder die Gruppe, auf den bzw. die Sie Einschränkungen für den Enrollment Agent angewendet haben, muss über ein gültiges Enrollment-Agent-Zertifikat für die CA verfügen, bevor er bzw. sie als Enrollment Agent agieren kann, unabhängig davon, ob eingeschränkte Enrollment Agenten-Berechtigungen konfiguriert wurden oder nicht.

Parallels Web Client

Es ist keine zusätzliche Konfiguration erforderlich.

Parallels Client für Windows

Siehe Benutzerhandbuch für Parallels Client für Windows

Parallels Client für Mac

So konfigurieren Sie Parallels Client für Mac für die SAML SSO-Authentifizierung:

1. Wählen Sie eine Verbindung aus (oder erstellen Sie eine neue) und öffnen Sie deren Eigenschaften.

2. Wählen Sie auf der Registerkarte Verbindung im Abschnitt Anmeldung die Option Web als Authentifizierungstyp.

3. Wählen Sie die Registerkarte Erweitert und aktivieren oder deaktivieren Sie die Option Standard-Browser des Betriebssystems verwenden (Abschnitt Web-Authentifizierung). Wenn die Option ausgewählt ist, wird das SAML SSO-Anmeldedialogfeld im Standardbrowser geöffnet. Wenn die Option deaktiviert ist, wird der in den Parallels Client integrierte Browser verwendet.

4. Schließen Sie das Dialogfeld, um die Verbindungseigenschaften zu speichern.

Bei der Verbindung mit Parallels RAS wird ein Dialogfeld in einem Webbrowser geöffnet, in dem der Benutzer aufgefordert wird, Anmeldeinformationen einzugeben, die vom Identitätsanbieter überprüft werden sollen. Wenn die Anmeldeinformationen gültig sind, wird die Liste der veröffentlichten Anwendungen in Parallels Client angezeigt.

Parallels Client für Linux:

So konfigurieren Sie Parallels Client für Linux für die SAML SSO-Authentifizierung:

1. Wählen Sie eine Verbindung aus (oder erstellen Sie eine neue) und öffnen Sie deren Eigenschaften.

2. Wählen Sie auf der Registerkarte Verbindung im Abschnitt Anmeldung die Option Web als Authentifizierungstyp.

3. Wenn Sie weitere Einstellungen vornehmen möchten, gehen Sie wie folgt vor:

   1. Installieren Sie die QtWebEngine-Bibliothek.

   2. Wählen Sie die Registerkarte Erweiterte Einstellungen und klicken Sie auf die Schaltfläche Erweiterte Verbindungseinstellungen.

   3. Aktivieren oder deaktivieren Sie im Abschnitt Web-Authentifizierung die Option Standard-Browser des Betriebssystems verwenden. Wenn die Option ausgewählt ist, wird das SAML SSO-Anmeldedialogfeld im Standardbrowser geöffnet. Wenn die Option deaktiviert ist, wird der in den Parallels Client integrierte Browser verwendet.

   4. Wenn Sie den integrierten Browser verwenden, wählen Sie die Option Browserfenster öffnen, um die Abmeldung abzuschließen im Abschnitt Web-Authentifizierung aus oder deaktivieren diese. Wenn diese Option ausgewählt wird, wird eine URL geöffnet, um die Abmeldung von SAML durchzuführen. Standardmäßig wird diese Webseite nicht angezeigt, aber wenn Sie mit dem Browser interagieren müssen, können Sie diese Option aktivieren.

4. Schließen Sie das Dialogfeld, um die Verbindungseigenschaften zu speichern.

Wenn Sie die SAML SSO-Authentifizierung konfiguriert haben, können Sie sie wie unten beschrieben testen.

Über den Dienstanbieter initiierte Authentifizierung

1. Verwenden Sie einen Webbrowser, um den RAS Web Client zu öffnen (oder verwenden Sie einen plattformspezifischen Parallels Client) und geben Sie das Schema an, dem Sie den Identitätsanbieter zugewiesen haben.

2. Starten Sie eine veröffentlichte Anwendung. Überprüfen Sie, ob die Anwendungssitzung erfolgreich gestartet wurde.

3. Erstellen Sie einen weiteren Design, fügen Sie einen weiteren IdP- Anbieter hinzu und stellen Sie dann Verbinden unter Angabe des neuen Design. Start eine andere Anwendung.

Über den Identitätsanbieter initiierte Authentifizierung

1. Verwenden Sie den Webbrowser für Verbinden mit dem Identitätsanbieter- Portal.

2. Starten eine veröffentlichte Anwendung. Überprüfen ob die Anwendungs- sitzung erfolgreich gestartet wurde.

So erstellen Sie eine Smartcard-Anmeldezertifikat-Vorlage:

1. Starten Sie vom Zertifizierungsstellen-Server aus die Verwaltungskonsole der Zertifizierungsstelle (MMC) über die Verwaltungswerkzeuge.

2. Erweitern Sie die CA, klicken Sie mit der rechten Maustaste auf den Ordner „Zertifikatvorlagen“ und wählen Sie Verwalten.

3. Klicken Sie mit der rechten Maustaste auf die Zertifikatvorlage „Smartcard-Anmeldung“ und wählen Sie dann Duplizieren.

4. Die neuen Vorlageneigenschaften werden auf der Registerkarte Allgemein geöffnet. Geben Sie einen Vorlagennamen in das Textfeld ein. Beachten Sie, dass der wirkliche Name automatisch ohne Leerzeichen im zweiten Textfeld erscheint. Merken Sie sich diesen Namen. Sie benötigen ihn später zur Konfiguration der SAML-Funktion. Die Optionen auf dieser Registerkarte sollten wie folgt konfiguriert werden:

   • Anzeigename der Vorlage: PrlsSmartcardLogon

   • Vorlagenname: PrlsSmartcardLogon

   • Gültigkeitsdauer: 1 Jahre

   • Erneuerungszeitraum: 6 Wochen

   • Zertifikat in Active Directory veröffentlichen: AUS

   • Nicht automatisch neu registrieren, wenn ein identisches Zertifikat bereits in Active Directory vorhanden ist: AUS

1. Wählen Sie die Registerkarte Kryptografie und stellen Sie die folgenden Werte ein:

• Anbieter-Kategorie: Legacy-Kryptografiedienstanbieter (schreibgeschützt).

• Name des Algorithmus: Bestimmt durch CSP

• Minimale Schlüsselgröße: Die gewünschte minimale Schlüsselgröße bis zu 4096 Bit

Wählen Sie im Abschnitt Auswählen der für Anforderungen verwendbaren Kryptografieanbieter die Option Für Anforderungen muss einer der folgenden Anbieter verwendet werden. Wählen Sie in der folgenden Liste der Anbieter den gewünschten Anbieter aus.

1. Wählen Sie die Registerkarte Ausstellungsvoraussetzungen und stellen Sie die folgenden Werte ein:

• Genehmigung von Zertifikatverwaltung der Zertifizierungsstelle: AUS

• Diese Anzahl an autorisierten Signaturen: 1

• Erforderlicher Richtlinientyp für Signatur: Anwendungsrichtlinie

• Anwendungsrichtlinie: Agent für Zertifikatsanforderungen

• Gleiche Kriterien wie für Registrierung: EIN

1. Wählen Sie die Registerkarte Sicherheit und gehen Sie wie folgt vor:

• Klicken Sie auf Hinzufügen.

• Fügen Sie das Benutzerkonto des Enrollment Agents hinzu.

• Erlauben (auswählen) Sie die Berechtigung „Lesen“ und „Anmelden“. Klicken Sie auf Übernehmen und OK.

Ausstellen der Zertifikatvorlage

So stellen Sie die von Ihnen erstellte Zertifikatvorlage aus:

1. Führen Sie die Zertifizierungsstelle erneut aus und klicken Sie mit der rechten Maustaste auf Zertifizierungsvorlagen, wählen Sie „neu“ und klicken Sie auf Auszustellende Zertifikatvorlage.

2. Wählen Sie die Zertifikatvorlage, die Sie in den vorherigen Schritten erstellt haben (d. h. Prls Smarcard-Anmeldung), und klicken Sie auf OK.

3. Die Zertifikatvorlage sollte in der Liste Zertifikatvorlagen erscheinen.

Wenn bei der SAML-SSO-Authentifizierung ein Fehler auftritt, erscheinen Fehlermeldungen im Webbrowser.

Vor dem Laden von HTML5

Nach dem Laden von HTML5

Sobald eine Anwendung oder ein Desktop gestartet wird

Zusätzlich zur Angabe von SAML SSO-Optionen direkt auf der Client-Seite können Sie diese auch über die Parallels Client-Richtlinie in der RAS-Konsole festlegen. Gehen Sie dazu folgendermaßen vor:

1. Wählen Sie in der RAS-Konsole die Kategorie Richtlinien.

2. Öffnen Sie die Richtlinieneigenschaften und navigieren Sie zu Sitzung > Verbindung > Primäre Verbindung.

3. Wählen Sie in der Dropdownliste Authentifizierungstyp die Option Web.

4. Navigieren Sie zu Sitzung > Verbindung > Web-Authentifizierung.

5. Aktivieren oder deaktivieren Sie die Option Standard-Browser des Betriebssystems verwenden. Wenn die Option ausgewählt ist, wird das SAML SSO-Anmeldedialogfeld auf der Client-Seite im Standardbrowser geöffnet. Wenn die Option deaktiviert ist, wird der in den Parallels Client integrierte Browser verwendet.

6. Hinweis: Um den SAML SSO-Anmeldedialog mit dem integrierten Browser zu starten, während Sie Parallels RAS Console 19.3 oder höher verwenden, benutzen Sie Parallels RAS Client für Windows 19.3 oder höher

Siehe auch .