Webportal mit SSO (Beta)

Wichtige Voraussetzungen und Einschränkungen

Webportal 2026 mit SSO ist für die Kreativ Thema und verwendet alle Anpassungen aus AdminTool > Web > Webportal-Anpassung. Wenn das ausgewählte Thema nicht Kreativ , das Webportal wird nicht angezeigt.

Wenn in einem Farm aktiviert, müssen alle Server die ausführen gleiche Remote Access-Version und aktiviert werden für Webportal 2026 mit SSO

Diese Funktion ist Beta und sollte nicht auf Produktionsservern bereitgestellt werden.

Warum ein neues Webportal?

Im Vergleich zum vorherigen Webportal bietet diese Implementierung höhere Zuverlässigkeit und bessere Leistung unter Last. Außerdem ermöglicht es:

• Erweiterte SSO-Funktionen

  • Windows-Integrationsauthentifizierung (Negotiate / Kerberos / NTLM)
  • Integration eines Identitätsanbieters von Drittanbietern (derzeit SAML)

• Stärkere Sicherheitskontrollen

  • Eingebaute Anti-Fälschungsschutzmaßnahmen
  • Endpoint-Ratenbegrenzung
  • Moderne Authentifizierung und Cookie-/Sitzungssteuerung

Seine Architektur wird es uns ermöglichen, etwaiges Feedback zu Sicherheitsprüfungen leicht zu berücksichtigen.

Es ist auch ein zugänglicheres Produkt durch Empfehlungen und verbesserten Kontrast.

Webserver-Flexibilität (Kestrel standardmäßig)

Die Anwendung ist nicht an einen Front-End-Webserver gebunden. Standardmäßig läuft sie auf Kestrel (HTTP-Port 81). Es kann von IIS oder Apache als Reverse-Proxy durch Ändern der Webserver-Konfiguration.

Beispiel: Apache-Reverse-Proxy für den Webportal-Dienst

# Apache VirtualHost example
ProxyPreserveHost On
ProxyPass        /  http://127.0.0.1:81/
ProxyPassReverse /  http://127.0.0.1:81/

RequestHeader set X-Forwarded-Proto "https"
RequestHeader set X-Forwarded-For "%{REMOTE_ADDR}s"

Dies hält die Logik des Webportals unverändert, während Apache die öffentliche HTTP/HTTPS-Exposition verwaltet.

Bitte kontaktieren Sie das Entwicklungsteam, wenn Sie interessiert sind, da dieses Szenario derzeit nicht über das AdminTool-Programm zugänglich ist und manuell konfiguriert werden muss.

Webportal 2026 mit SSO aktivieren

1. Öffnen Admin-Tool
2. Gehe zu: Web > Webserver
3. Aktivieren: Webportal 2026 mit SSO

Wichtig Diese Option ist Beta. Nur in Testumgebungen verwenden.

Unterstützte Anmeldemodi

Webportal 2026 mit SSO unterstützt:

• Traditionelles Anmeldeformular mit Windows-Anmeldeinformationen
• Webanmeldeinformationen. Siehe: https://docs.tsplus.net/tsplus/web-credentials/
• Windows-Integrationsauthentifizierung (automatisch in vertrauenswürdigen / lokalen Szenarien)
• Externer Identitätsanbieter über SAML wie Entra ID (ehemals Azure AD) oder Okta

Hinweis: Unterstützung für externe Authentifizierung über OIDC geplant später, auf Anfrage

2FA-Verhalten

2FA wird auf Standardkontoflüsse angewendet, einschließlich:

• Anmeldeformular mit Windows-Anmeldeinformationen
• Web-Anmeldeinformationen
• Windows-Integrationsauthentifizierung

Externe Authentifizierungsanbieter setzen häufig ihre eigene MFA / 2FA durch. Daher gilt die in dem Remote Access 2FA Add-on festgelegte 2FA-Konfiguration nicht für dieses Szenario.

Der lokale Netzwerkumgehung ist verfügbar über CustomSettings:TwoFaBypassForLocalNetwork Parameter, der in der Datei enthalten ist: C:\Program Files (x86)\TSplus\Clients\webportal\appsettings.json , wo C:\Program Files (x86)\TSplus ist der TSplus Remote Access-Setup-Ordner. Wenn aktiviert, erfolgt die Umgehung nur, wenn Client und Gateway im selben privaten Subnetz sind.

Windows-Authentifizierungsfluss konfigurieren

Für Benutzer, die sich mit Windows-Authentifizierung anmelden, ist eines der Folgenden erforderlich:

1. Vorregistrieren Sie Anmeldeinformationen mit dem TSplus-Befehl: AdminTool.exe /windowscredential-addorupdate Siehe Dokumentation unter https://docs.tsplus.net/tsplus/commands-list/#add-or-update-credentials-to-the-windows-credentials-manager-windowscredential-addorupdate
2. Oder lassen Sie den Benutzer sich einmal über das Anmeldeformular des Webportals mit Windows-Anmeldeinformationen anmelden.

Für die Konfiguration der Windows-Integrationsauthentifizierung siehe bitte: Windows-Integrationsauthentifizierung in einer Active Directory-Domäne aktivieren. Da dieser Authentifizierungsmodus mühsam zu konfigurieren ist, ziehen es die Kunden oft vor, einen externen Identitätsanbieter einzurichten.

Externe Authentifizierung (SAML) konfigurieren

Erforderliche Einstellungen in appsettings.json

Die Datei appsettings.json befindet sich in C:\Program Files (x86)\TSplus\Clients\webportal , wo C:\Program Files (x86)\TSplus ist der TSplus Remote Access-Setup-Ordner.

Bearbeiten Sie die Saml2 Abschnitt:

• IdP-Metadaten
• Herausgeber
• SingleSignOnZiel (optional if metadata provides it)
• SingleLogoutDestination (optional if metadata provides it)
• Zertifikatbezogene Felder

Verfügbarkeit des Windows-Passworts für den Sitzungsstart

Für die externe SAML-Authentifizierung erfordert das Starten von Sitzungen weiterhin verwendbare Windows-Anmeldeinformationen. Verwenden Sie eine der:

1. Windows-Anmeldeinformationen mit Befehl registrieren: AdminTool.exe /windowscredential-addorupdate Siehe Dokumentation unter https://docs.tsplus.net/tsplus/commands-list/#add-or-update-credentials-to-the-windows-credentials-manager-windowscredential-addorupdate
2. Oder Passwort von IdP-Anspruch weiterleiten, indem Sie einstellen CustomSettings:UseSamlPasswordClaim zum Anspruchstyp, der das Windows-Passwort enthält.

Wenn kein Passwort aus dem Anspruchs- oder Berechtigungsstore verfügbar ist, schlägt die Benutzervalidierung fehl.

Vollständige Referenz der appsettings.json-Konfigurationsdatei

Die Datei appsettings.json befindet sich in C:\Program Files (x86)\TSplus\Clients\webportal , wo C:\Program Files (x86)\TSplus ist der TSplus Remote Access-Setup-Ordner.

Protokollierung

Globale Host-Einstellung

IpRateLimiting

IpRateLimiting:AllgemeineRegeln

Jedes Regelobjekt hat:

Standardmäßig geschützte Endpunkte:

• POST:/Account/Login
• POST:/Account/PasswortZurücksetzen
• POST:/Launch
• POST:/RemoteApp
• POST:/2FA/Validate
• POST:/2FA/CodeErneutSenden
• POST:/2FA/Status

Saml2

Benutzerdefinierte Einstellungen

In appsettings.json diese Werte werden als Zeichenfolgen gespeichert true / false ) und durch .NET-Konfigurationsbindung auf Booleans abgebildet.