Administrar claves de seguridad
Nota:
Debe usar esta función en combinación con StoreFront™ 1912 LTSR CU2 o posterior.
La función Secure XML solo es compatible con Citrix ADC y Citrix Gateway versión 12.1 y posteriores.
Esta función le permite que solo las máquinas StoreFront y Citrix Gateway aprobadas se comuniquen con los Citrix Delivery Controllers. Una vez que habilite esta función, se bloqueará cualquier solicitud que no contenga la clave. Utilice esta función para añadir una capa adicional de seguridad para protegerse contra ataques originados en la red interna.
Un flujo de trabajo general para usar esta función es el siguiente:
-
Habilitar Studio para mostrar la configuración de la función.
-
Configurar los ajustes para su sitio.
-
Configurar los ajustes en StoreFront.
-
Configurar los ajustes en Citrix ADC.
Habilitar Studio para mostrar la configuración de la función
De forma predeterminada, la configuración de las claves de seguridad está oculta en Studio. Para habilitar Studio para que las muestre, utilice el SDK de PowerShell de la siguiente manera:
- Ejecute el SDK de PowerShell de Citrix Virtual Apps and Desktops™.
- En una ventana de comandos, ejecute los siguientes comandos:
-
Add-PSSnapIn Citrix*. Este comando añade los complementos de Citrix. Set-ConfigSiteMetadata -Name "Citrix_DesktopStudio_SecurityKeyManagementEnabled" -Value "True"
-
Para obtener más información sobre el SDK de PowerShell, consulte SDK y API.
Configurar los ajustes del sitio
Puede usar Studio o PowerShell para configurar los ajustes de la clave de seguridad de su sitio.
Usar la consola de Studio
-
Vaya a Studio > Configuración > Administrar clave de seguridad y haga clic en Modificar. Aparecerá la ventana Administrar clave de seguridad.
Importante:
- Hay dos claves disponibles para usar. Puede usar la misma clave o claves diferentes para las comunicaciones a través de los puertos XML y STA. Le recomendamos que use solo una clave a la vez. La clave no utilizada se usa solo para la rotación de claves.
- No haga clic en el icono de actualización para actualizar la clave que ya está en uso. Si lo hace, se producirá una interrupción del servicio.
-
Haga clic en el icono de actualización para generar nuevas claves.
-
Seleccione dónde se requiere una clave:
-
Requerir clave para las comunicaciones a través del puerto XML (solo StoreFront). Si se selecciona, se requiere una clave para autenticar las comunicaciones a través del puerto XML. StoreFront se comunica con Citrix Cloud a través de este puerto. Para obtener información sobre cómo cambiar el puerto XML, consulte el artículo de Knowledge Center CTX127945.
-
Requerir clave para las comunicaciones a través del puerto STA. Si se selecciona, se requiere una clave para autenticar las comunicaciones a través del puerto STA. Citrix Gateway y StoreFront se comunican con Citrix Cloud a través de este puerto. Para obtener información sobre cómo cambiar el puerto STA, consulte el artículo de Knowledge Center CTX101988.
-
-
Haga clic en Guardar para aplicar los cambios y salir de la ventana.
Usar PowerShell
Los siguientes son pasos de PowerShell equivalentes a las operaciones de Studio.
-
Ejecute el SDK remoto de PowerShell de Citrix Virtual Apps and Desktops.
- En una ventana de comandos, ejecute el siguiente comando:
Add-PSSnapIn Citrix*
- Ejecute los siguientes comandos para generar una clave y configurar Key1:
New-BrokerXmlServiceKeySet-BrokerSite -XmlServiceKey1 <the key you generated>
- Ejecute los siguientes comandos para generar una clave y configurar Key2:
New-BrokerXmlServiceKeySet-BrokerSite -XmlServiceKey2 <the key you generated>
- Ejecute uno o ambos de los siguientes comandos para habilitar el uso de una clave en la autenticación de comunicaciones:
- Para autenticar las comunicaciones a través del puerto XML:
Set-BrokerSite -RequireXmlServiceKeyForNFuse $true
- Para autenticar las comunicaciones a través del puerto STA:
Set-BrokerSite -RequireXmlServiceKeyForSta $true
- Para autenticar las comunicaciones a través del puerto XML:
Consulte la ayuda del comando de PowerShell para obtener orientación y sintaxis.
Configurar ajustes en StoreFront
Después de completar la configuración de su sitio, debe configurar los ajustes relevantes en StoreFront mediante PowerShell.
En el servidor de StoreFront, ejecute los siguientes comandos de PowerShell:
| Para configurar la clave para las comunicaciones a través del puerto XML, utilice el comando [Set-STFStoreFarm | https://developer-docs.citrix.com/es-es/storefront-powershell-sdk/current-release/Set-STFStoreFarm.html]. Por ejemplo |
$store = Get-STFStoreService -VirtualPath [Path to store]
$farm = Get-STFStoreFarm -StoreService $store -FarmName [Resource feed name]
Set-STFStoreFarm -Farm $farm -XMLValidationEnabled $true -XMLValidationSecret [secret]
<!--NeedCopy-->
Introduzca los valores adecuados para los siguientes parámetros:
Path to storeResource feed namesecret
Para configurar la clave para las comunicaciones a través del puerto STA, utilice los comandos New-STFSecureTicketAuthority y Set-STFRoamingGateway. Por ejemplo:
$gateway = Get-STFRoamingGateway -Name [Gateway name]
$sta1 = New-STFSecureTicketAuthority -StaUrl [STA1 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
$sta2 = New-STFSecureTicketAuthority -StaUrl [STA2 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
Set-STFRoamingGateway -Gateway $gateway -SecureTicketAuthorityObjs $sta1,$sta2
<!--NeedCopy-->
Introduzca los valores adecuados para los siguientes parámetros:
Gateway nameSTA URLSecret
Consulte la ayuda del comando de PowerShell para obtener orientación y sintaxis.
Configurar los ajustes en Citrix ADC
Nota:
La configuración de esta función en Citrix ADC no es necesaria a menos que utilice Citrix ADC como puerta de enlace. Si utiliza Citrix ADC, siga los pasos que se indican a continuación.
-
Asegúrese de que la siguiente configuración de requisitos previos ya esté implementada:
- Las siguientes direcciones IP relacionadas con Citrix ADC están configuradas.
- Dirección IP de administración de Citrix ADC (NSIP) para acceder a la consola de Citrix ADC. Para obtener más información, consulte Configuración de la dirección NSIP.
- Dirección IP de subred (SNIP) para habilitar la comunicación entre el dispositivo Citrix ADC y los servidores back-end. Para obtener más información, consulte Configuración de direcciones IP de subred.
- Dirección IP virtual de Citrix Gateway y dirección IP virtual del equilibrador de carga para iniciar sesión en el dispositivo ADC para el inicio de la sesión. Para obtener más información, consulte Crear un servidor virtual.
- Los modos y funciones necesarios en el dispositivo Citrix ADC están habilitados.
- Para habilitar los modos, en la GUI de Citrix ADC, vaya a System > Settings > Configure Mode.
- Para habilitar las funciones, en la GUI de Citrix ADC, vaya a System > Settings > Configure Basic Features.
- Las configuraciones relacionadas con los certificados están completas.
- La solicitud de firma de certificado (CSR) se crea. Para obtener más información, consulte Crear un certificado.
- Los certificados de servidor y CA y los certificados raíz están instalados. Para obtener más información, consulte Instalar, vincular y actualizar.
- Se ha creado un Citrix Gateway para Citrix Virtual Desktops. Pruebe la conectividad haciendo clic en el botón Probar conectividad STA para confirmar que los servidores virtuales están en línea. Para obtener más información, consulte Configurar Citrix ADC para Citrix Virtual Apps and Desktops.
- Las siguientes direcciones IP relacionadas con Citrix ADC están configuradas.
-
Agregue una acción de reescritura. Para obtener más información, consulte Configurar una acción de reescritura.
- Vaya a AppExpert > Rewrite > Actions.
- Haga clic en Agregar para añadir una nueva acción de reescritura. Puede nombrar la acción como “establecer Tipo en INSERT_HTTP_HEADER”.
- En Tipo, seleccione INSERT_HTTP_HEADER.
- En Nombre de encabezado, introduzca X-Citrix-XmlServiceKey.
- En Expresión, añada
<XmlServiceKey1 value>con las comillas. Puede copiar el valor de XmlServiceKey1 de la configuración de su Desktop Delivery Controller™.
- Agregue una política de reescritura. Para obtener más información, consulte Configuración de una política de reescritura.
-
Vaya a AppExpert > Rewrite > Policies.
-
Haga clic en Add para agregar una nueva directiva.
- En Action, seleccione la acción creada en el paso anterior.
- En Expression, agregue HTTP.REQ.IS_VALID.
- Haga clic en OK.
-
-
Configure el equilibrio de carga. Debe configurar un servidor virtual de equilibrio de carga por servidor STA. De lo contrario, las sesiones no se iniciarán.
Para obtener más información, consulte Configurar el equilibrio de carga básico.
- Cree un servidor virtual de equilibrio de carga.
- Vaya a Traffic Management > Load Balancing > Servers.
- En la página Virtual Servers, haga clic en Add.
- En Protocol, seleccione HTTP.
- Agregue la dirección IP virtual de equilibrio de carga y en Port seleccione 80.
- Haga clic en Aceptar.
- Cree un servicio de equilibrio de carga.
- Vaya a Administración del tráfico > Equilibrio de carga > Servicios.
- En Servidor existente, seleccione el servidor virtual creado en el paso anterior.
- En Protocolo, seleccione HTTP y en Puerto, seleccione 80.
- Haga clic en Aceptar y, a continuación, en Listo.
- Enlace el servicio al servidor virtual.
- Seleccione el servidor virtual creado anteriormente y haga clic en Modificar.
- En Servicios y grupos de servicios, haga clic en Sin enlace de servicio de servidor virtual de equilibrio de carga.
- En Enlace de servicio, seleccione el servicio creado anteriormente.
- Haga clic en Enlazar.
- Enlace la directiva de reescritura creada anteriormente al servidor virtual.
- Seleccione el servidor virtual creado anteriormente y haga clic en Modificar.
- En Configuración avanzada, haga clic en Directivas y, a continuación, en la sección Directivas, haga clic en +.
- En Elegir directiva, seleccione Reescribir y en Elegir tipo, seleccione Solicitud.
- Haga clic en Continuar.
- En Seleccionar directiva, seleccione la directiva de reescritura creada anteriormente.
- Haga clic en Enlazar.
- Haga clic en Listo.
- Configure la persistencia para el servidor virtual, si es necesario.
- Seleccione el servidor virtual creado anteriormente y haga clic en Editar.
- En Configuración avanzada, haga clic en Persistencia.
- Seleccione el tipo de persistencia como Otros.
- Seleccione DESTIP para crear sesiones de persistencia basadas en la dirección IP del servicio seleccionado por el servidor virtual (la dirección IP de destino).
- En Máscara de red IPv4, agregue una máscara de red igual a la del DDC.
- Haga clic en Aceptar.
- Repita estos pasos también para el otro servidor virtual.
- Cree un servidor virtual de equilibrio de carga.
Cambios de configuración si el dispositivo Citrix ADC ya está configurado con Citrix Virtual Desktops™
Si ya ha configurado el dispositivo Citrix ADC con Citrix Virtual Desktops, para usar la función Secure XML, debe realizar los siguientes cambios de configuración.
- Antes del inicio de la sesión, cambie la URL de la autoridad de tickets de seguridad de la puerta de enlace para usar los FQDN de los servidores virtuales de equilibrio de carga.
- Asegúrese de que el parámetro
TrustRequestsSentToTheXmlServicePortesté establecido en False. De forma predeterminada, el parámetroTrustRequestsSentToTheXmlServicePortestá establecido en False. Sin embargo, si el cliente ya ha configurado Citrix ADC para Citrix Virtual Desktops, entoncesTrustRequestsSentToTheXmlServicePortse establece en True.
- En la GUI de Citrix ADC, vaya a Configuration > Integrate with Citrix Products y haga clic en XenApp and XenDesktop®.
-
Seleccione la instancia de puerta de enlace y haga clic en el icono de edición.
-
En el panel de StoreFront, haga clic en el icono de edición.
- Agregue la URL de la autoridad de tickets de seguridad.
- Si la función Secure XML está habilitada, la URL de STA debe ser la URL del servicio de equilibrio de carga.
- Si la función Secure XML está deshabilitada, la URL de STA debe ser la URL de STA (dirección del DDC) y el parámetro TrustRequestsSentToTheXmlServicePort en el DDC debe establecerse en True.
