Requisitos previos
-
El uso de la autenticación SAML con Citrix Cloud tiene los siguientes requisitos:
- Un proveedor SAML que admita SAML 2.0.
- Un dominio de AD local.
- Dos Cloud Connectors implementados en una ubicación de recursos y unidos a tu dominio de AD local. Los Cloud Connectors se utilizan para garantizar que Citrix Cloud pueda comunicarse con tu ubicación de recursos.
-
Integración de AD con tu proveedor SAML.
-
Cloud Connectors
-
Necesitas al menos dos (2) servidores en los que instalar el software Citrix Cloud Connector™. Citrix recomienda al menos dos servidores para la alta disponibilidad de Cloud Connector. Estos servidores deben cumplir los siguientes requisitos:
- Cumplir los requisitos del sistema descritos en Detalles técnicos de Cloud Connector.
- No tener ningún otro componente de Citrix® instalado, no ser un controlador de dominio de AD y no ser una máquina crítica para la infraestructura de tu ubicación de recursos.
-
Estar unido al dominio de AD donde residen tus usuarios y recursos de AD. Si los usuarios acceden a recursos en varios dominios, necesitas instalar al menos dos Cloud Connectors en cada dominio.
-
- Estar conectado a una red que pueda contactar con los recursos a los que los suscriptores acceden a través de Citrix Workspace.
-
Estar conectado a Internet. Para obtener más información, consulta Requisitos del sistema y de conectividad.
- Para obtener más información sobre la instalación de Cloud Connector, consulta Instalación de Cloud Connector.
Active Directory (flujo SAML de identidades de AD predeterminado)
-
Verifica que tus suscriptores de Workspace tengan cuentas de usuario en tu AD. Los suscriptores sin cuentas de AD no pueden iniciar sesión en sus espacios de trabajo correctamente cuando la autenticación SAML está configurada.
-
Conecta tu AD a tu cuenta de Citrix Cloud implementando Cloud Connectors en tu AD local.
-
Sincroniza tus usuarios de AD con el proveedor SAML. Citrix Cloud requiere los atributos de usuario de AD para tus suscriptores de Workspace para que puedan iniciar sesión correctamente.
-
Solo se deben usar grupos de AD universales.
-
DEBES definir cualquier sufijo UPN dentro de Active Directory que tus usuarios SAML estén configurados para usar. Los conectores de Citrix Cloud no pueden usar sufijos UPN indefinidos o ambiguos para determinar el contexto del dominio de Active Directory.
-
NO se requiere una conexión de IdP OIDC de EntraID para el flujo SAML predeterminado, ya que este utiliza identidades de AD.
Directorio de EntraID (flujo SAML de identidades de EntraID)
- El soporte para usuarios externos y B2B de EntraID requiere cuentas de sombra de AD con UPN que coincidan con los usuarios de FrontEnd dentro de EntraID.
-
Si utilizas el flujo SAML con identidades de Entra ID, tal como se documenta en SAML con identidades de Entra ID, también debes conectar el inquilino de EntraID correcto dentro de Administración de identidades y accesos > Autenticación.
Atributos de usuario de AD
Los siguientes atributos son obligatorios para todos los objetos de usuario de Active Directory y deben rellenarse:
- Nombre común
- Nombre de cuenta SAM
- Nombre principal de usuario (UPN)
- GUID de objeto
- SID
Citrix Cloud utiliza los atributos GUID de objeto y SID de tu AD para establecer el contexto de usuario cuando los suscriptores inician sesión en Citrix Workspace. Si alguna de estas propiedades no está rellenada, los suscriptores no pueden iniciar sesión.
Los siguientes atributos no son obligatorios para usar la autenticación SAML con Citrix Cloud, pero Citrix recomienda rellenarlos para garantizar la mejor experiencia de usuario:
- Dirección de correo electrónico
- Nombre para mostrar
Citrix Cloud utiliza el atributo Nombre para mostrar para mostrar los nombres de los suscriptores correctamente en Citrix Workspace. Si este atributo no está rellenado, los suscriptores aún pueden iniciar sesión, pero sus nombres podrían no mostrarse como se espera.
Integración de SAML con Active Directory
Antes de habilitar la autenticación SAML, debes integrar tu AD local con tu proveedor SAML. Esta integración permite al proveedor SAML pasar los siguientes atributos de usuario de AD obligatorios a Citrix Cloud en la aserción SAML:
- objectSID (SID)
- objectGUID (OID)
- userPrincipalName (UPN)
- Mail (correo electrónico)
- Display Name (nombre para mostrar)
Puedes configurar un subconjunto de estos atributos, siempre que los atributos SID o UPN estén incluidos en la aserción SAML. Citrix Cloud recupera los otros atributos de tu AD según sea necesario.
Nota:
Para garantizar el mejor rendimiento, Citrix recomienda configurar todos los atributos mencionados en esta sección.
Aunque los pasos de integración precisos varían entre los proveedores SAML, el proceso de integración suele incluir las siguientes tareas:
- Instala un agente de sincronización en tu dominio de AD para establecer una conexión entre tu dominio y tu proveedor SAML. Si usas ADFS como tu proveedor SAML, este paso no es obligatorio.
- Crea atributos personalizados y asígnalos a los atributos de usuario de AD obligatorios mencionados anteriormente en esta sección. Como referencia, los pasos generales para esta tarea se describen en Crear y asignar atributos SAML personalizados en este artículo.
- Sincroniza tus usuarios de AD con tu proveedor SAML.
Para obtener más información sobre la integración de tu AD con tu proveedor SAML, consulta la documentación del producto de tu proveedor SAML.