SAML para Single Sign-On en Citrix Files
Puede configurar Citrix Endpoint Management y ShareFile para que utilicen el lenguaje Security Assertion Markup Language (SAML) si quiere proporcionar el acceso de inicio de sesión único (Single Sign-On) a las aplicaciones móviles de Citrix Files. Esta funcionalidad incluye:
- Aplicaciones de Citrix Files que están habilitadas para el SDK de MAM o empaquetadas con MDX Toolkit
-
Clientes de Citrix Files no empaquetados, como el sitio web, Outlook Plug-in o clientes de sincronización
- En caso de aplicaciones empaquetadas de Citrix Files: A los usuarios que inician sesión en Citrix Files se les redirige a Citrix Secure Hub para la autenticación de usuario y para obtener un token SAML. Después de una autenticación correcta, la aplicación de Citrix Files para móvil envía el token de SAML a ShareFile. Después del inicio de sesión inicial, los usuarios pueden acceder a la aplicación móvil de Citrix Files a través de SSO. También pueden adjuntar documentos desde ShareFile a correos de Citrix Secure Mail sin iniciar sesión cada vez.
- En caso de clientes no empaquetados de Citrix Files: A los usuarios que inician sesión en Citrix Files desde un explorador web u otro cliente de Citrix Files se les redirige a Citrix Endpoint Management. Citrix Endpoint Management autentica a esos usuarios, quienes adquieren un token SAML que se envía a ShareFile. Después del primer inicio de sesión, los usuarios pueden acceder a los clientes de Citrix Files mediante Single Sign-On, sin iniciar sesión cada vez.
Si quiere usar Citrix Endpoint Management como un proveedor de identidades (IdP) SAML para ShareFile, debe configurar Citrix Endpoint Management para que use con cuentas Enterprise, como se describe en este artículo. También puede configurar Citrix Endpoint Management para que funcione solamente con conectores de zonas de almacenamiento. Para obtener más información, consulte Uso de ShareFile con Citrix Endpoint Management.
Para obtener un diagrama detallado con una arquitectura como referencia, consulte Arquitectura.
Requisitos previos
Debe cumplir los siguientes requisitos previos antes de configurar SSO en Citrix Endpoint Management y las aplicaciones de Citrix Files:
-
El SDK de MAM o una versión compatible de MDX Toolkit (para aplicaciones móviles de Citrix Files).
Para obtener más información, consulte Compatibilidad de Citrix Endpoint Management.
- Una versión compatible de aplicaciones móviles de Citrix Files y Citrix Secure Hub
- Cuenta de administrador de ShareFile.
- Conectividad verificada entre Citrix Endpoint Management y ShareFile.
Configurar el acceso de ShareFile
Antes de configurar SAML para ShareFile, debe indicar la información de acceso de ShareFile de la siguiente manera:
-
En la consola web de Citrix Endpoint Management, haga clic en Configurar > ShareFile. Aparecerá la página de configuración ShareFile.
-
Configure estos parámetros:
-
Dominio: Escriba el nombre del subdominio de ShareFile. Por ejemplo:
example.sharefile.com. - Asignar a grupos de entrega: Seleccione o busque los grupos de entrega que podrán usar SSO en ShareFile.
- Inicio de sesión de cuenta de administrador de ShareFile
- Nombre de usuario: Escriba el nombre de usuario del administrador de ShareFile. Este usuario debe tener privilegios de administrador.
- Contraseña: Escriba la contraseña del administrador de ShareFile.
- Aprovisionamiento de cuentas de usuario: Deje este parámetro inhabilitado. Usar la herramienta ShareFile User Management Tool para el aprovisionamiento de usuarios. Consulte Aprovisionar cuentas de usuario y grupos de distribución.
-
Dominio: Escriba el nombre del subdominio de ShareFile. Por ejemplo:
-
Haga clic en Probar conexión para verificar que el nombre de usuario y la contraseña de la cuenta de administrador de ShareFile realizan la autenticación en la cuenta de ShareFile especificada.
-
Haga clic en Guardar.
-
Citrix Endpoint Management se sincroniza con ShareFile y actualiza la configuración de ShareFile: ID de entidad o emisor de ShareFile y URL de inicio de sesión.
-
La página Configurar > ShareFile muestra el nombre interno de la aplicación. Necesita ese nombre para completar los pasos descritos más adelante en Modificar los parámetros de Single Sign-On para Citrix Files.com.
-
Configurar SAML para aplicaciones MDX empaquetadas de Citrix Files
No es necesario usar la configuración de NetScaler Gateway para Single Sign-On con aplicaciones de Citrix Files preparadas con el SDK de MAM. Para configurar el acceso de clientes de Citrix Files no empaquetados, como el sitio web, Outlook Plug-in o los clientes de sincronización, consulte Configurar NetScaler Gateway para otros clientes de Citrix Files.
Para configurar SAML en aplicaciones MDX de Citrix Files empaquetadas:
-
Descargue ShareFile para los clientes de Citrix Endpoint Management. Consulte Descargas de Citrix.com.
-
Prepare la aplicación móvil de Citrix Files con el SDK de MAM. Para obtener información detallada, consulte Introducción al SDK de MAM.
-
En la consola de Citrix Endpoint Management, cargue la aplicación para móvil preparada de Citrix Files. Para obtener información sobre cómo cargar aplicaciones MDX, consulte Para agregar una aplicación MDX a Citrix Endpoint Management.
-
Para comprobar los parámetros de SAML, inicie sesión en ShareFile con el nombre de usuario y contraseña de administrador que ha configurado anteriormente.
-
Compruebe que ShareFile y Citrix Endpoint Management están configurados en la misma zona horaria. Compruebe que Citrix Endpoint Management muestra la hora correcta con respecto a la zona horaria configurada. Si no, Single Sign-On podría fallar.
Validar la aplicación móvil de Citrix Files
-
En el dispositivo de usuario, instale y configure Citrix Secure Hub.
-
Desde el almacén de aplicaciones, descargue e instale la aplicación para móvil de Citrix Files.
-
Inicie la aplicación móvil de Citrix Files. Citrix Files se inicia sin solicitar el nombre de usuario ni la contraseña.
Validar con Citrix Secure Mail
-
En el dispositivo de usuario (si no se ha hecho aún), instale y configure Citrix Secure Hub.
-
Desde el almacén de aplicaciones, descargue, instale y configure Citrix Secure Mail.
-
Abra un nuevo correo electrónico y toque en Adjuntar desde ShareFile. Los archivos disponibles para adjuntar al mensaje de correo electrónico se muestran sin solicitar el nombre de usuario ni la contraseña.
Configurar NetScaler Gateway para otros clientes de Citrix Files
Si quiere configurar el acceso para clientes no empaquetados de Citrix Files (como el sitio web, el plugin para Outlook o los clientes de sincronización), debe configurar NetScaler Gateway para que admita Citrix Endpoint Management como proveedor de identidades SAML de la siguiente manera.
- Inhabilite la redirección de la página principal.
- Cree un perfil y una directiva de sesión de Citrix Files.
- Configure directivas en el servidor virtual de NetScaler Gateway.
Inhabilitar la redirección de la página principal
Inhabilite el comportamiento predeterminado para las solicitudes que provienen de la ruta /cginfra. Esa acción permite a los usuarios ver la URL interna solicitada original, en lugar de la página de inicio configurada.
-
Modifique la configuración del servidor virtual de NetScaler Gateway que se usa para los inicios de sesión de Citrix Endpoint Management. En NetScaler Gateway, vaya a Other Settings y, a continuación, desmarque la casilla Redirect to Home Page.
-
En ShareFile (ahora denominado ShareFile), escriba el nombre del servidor interno y el número de puerto de Citrix Endpoint Management.
-
En Citrix Endpoint Management, escriba la dirección URL de Citrix Endpoint Management.
Esta configuración autoriza solicitudes a la URL que ha especificado mediante la ruta /cginfra.
Crear un perfil de solicitudes y una directiva de sesión de Citrix Files
Configure los siguientes parámetros para crear un perfil de solicitudes y una directiva de sesión de Citrix Files:
-
En la herramienta de configuración de NetScaler Gateway, en el panel de navegación de la izquierda, haga clic en NetScaler Gateway > Policies > Session.
-
Cree una directiva de sesión. En la ficha Policies, haga clic en Add.
-
En el campo Name, escriba ShareFile_Policy.
-
Para crear una acción nueva, haga clic en el botón +. Aparecerá la página Create NetScaler Gateway Session Profile.
Configure estos parámetros:
- Name: Escriba ShareFile_Profile.
- Haga clic en la ficha Client Experience y, a continuación, configure los siguientes parámetros:
- Home Page: Escriba none.
- Tiempo de espera de la sesión (min): Escriba 1.
- Single Sign-On to Web Applications: Marque este parámetro.
- Credential Index: En la lista, haga clic en PRIMARY.
- Haga clic en la ficha Published Applications.
Configure estos parámetros:
- ICA Proxy: En la lista, haga clic en ON.
- Web Interface Address: Escriba la URL del servidor Citrix Endpoint Management.
-
Single Sign-On Domain: Escriba el nombre del dominio de Active Directory.
Al configurar el perfil de sesión de NetScaler Gateway, el sufijo de dominio de Single Sign-On Domain debe coincidir con el alias de dominio de Citrix Endpoint Management definido en el protocolo LDAP.
-
Haga clic en Create para definir el perfil de sesión.
-
Haga clic en Expression Editor.
Configure estos parámetros:
- Value: Escriba NSC_FSRD.
- Header Name: Escriba COOKIE.
-
Haga clic en Create y, luego, en Close.
Configurar directivas en el servidor virtual de NetScaler Gateway
Configure los siguientes parámetros en el servidor virtual de NetScaler Gateway.
-
En la herramienta de configuración de NetScaler Gateway, en el panel de navegación de la izquierda, haga clic en NetScaler Gateway > Virtual Servers.
-
En el panel Details, haga clic en el servidor virtual de NetScaler Gateway.
-
Haga clic en Edit.
-
Haga clic en Configured policies > Session policies y, a continuación, haga clic en Add binding.
-
Seleccione ShareFile_Policy.
-
Modifique el número de Priority generado automáticamente de la directiva seleccionada, de modo que esta tenga la prioridad más alta (el número más bajo) en relación con las demás directivas de la lista, tal y como se muestra en la siguiente imagen. Por ejemplo:
-
Haga clic en Done y, a continuación, guarde la configuración activa de NetScaler Gateway.
Modificar los parámetros de Single Sign-On para Citrix Files.com
Realice los siguientes cambios para aplicaciones Citrix Files que se hayan empaquetado con MDX o no.
Importante:
Se anexa un nuevo número al nombre interno de la aplicación:
- Cada vez que modifique o vuelva a crear la aplicación Citrix Files
- Cada vez que cambie la configuración de ShareFile en Citrix Endpoint Management
Por eso, también debe actualizar la URL de inicio de sesión en el sitio web de Citrix Files, para reflejar el nombre actualizado de la aplicación.
-
Inicie sesión en su cuenta de ShareFile (
https://<subdomain>.sharefile.com) como administrador de ShareFile. -
En la interfaz Web de ShareFile, haga clic en Administración y, a continuación, seleccione Configurar Single Sign-On.
-
Modifique el campo URL de inicio de sesión de la siguiente manera:
Esta es una URL de inicio de sesión de ejemplo antes de las modificaciones:
https://xms.citrix.lab/samlsp/websso.do?action=authenticateUser&app=ShareFile_SAML_SP&reqtype=1.
-
Introduzca el nombre de dominio completo (FQDN) del servidor virtual externo de NetScaler Gateway y /cginfra/https delante del FQDN del servidor Citrix Endpoint Management. A continuación, agregue 8443 después del FQDN de Citrix Endpoint Management.
Esta es una URL modificada de ejemplo:
https://nsgateway.acme.com/cginfra/https/xms.citrix.lab:8443/samlsp/websso.do?action=authenticateUser&app=ShareFile_SAML_SP&reqtype=1 -
Cambie el parámetro
&app=ShareFile_SAML_SPal nombre interno de la aplicación Citrix Files. De forma predeterminada, el nombre interno esShareFile_SAML. Sin embargo, cada vez que cambie la configuración, se agregará un número al nombre interno (ShareFile_SAML_2,ShareFile_SAML_3, etc.). Puede buscar el nombre interno de la aplicación en la página Configurar > ShareFile.Esta es una URL modificada de ejemplo:
https://nsgateway.acme.com/cginfra/https/xms.citrix.lab:8443/samlsp/websso.do?action=authenticateUser&app=ShareFile_SAML&reqtype=1 -
Agregue
&nssso=trueal final de la URL.Este es un ejemplo de la URL final:
https://nsgateway.acme.com/cginfra/https/xms.citrix.lab:8443/samlsp/websso.do?action=authenticateUser&app=ShareFile_SAML&reqtype=1&nssso=true.
-
-
En Parámetros optativos, marque la casilla Habilitar autenticación web.
Validar la configuración
Lleve a cabo lo siguiente para validar la configuración.
-
Apunte el explorador web a
https://<subdomain>sharefile.com/saml/login.Se le redirigirá al formulario de inicio de sesión de NetScaler Gateway. Si no se le redirige, compruebe los parámetros de configuración anteriores.
-
Escriba el nombre de usuario y la contraseña del entorno de Citrix Endpoint Management y NetScaler Gateway que haya configurado.
Aparecerán sus carpetas de Citrix Files en
<subdomain>.sharefile.com. Si no ve las carpetas de Citrix Files, compruebe que ha indicado correctamente las credenciales de inicio de sesión.