PassThrough de dominio mejorado para Single Sign-On
PassThrough de dominio mejorado para Single Sign-On usa Kerberos para permitir el inicio de sesión único en la aplicación Citrix Workspace y en las sesiones de escritorio y aplicación virtuales cuando se usan dispositivos cliente unidos a Active Directory (AD) y Citrix StoreFront.
Nota
Esta función no es compatible con los sistemas operativos de 32 bits.
Esta función sustituye a la antigua función de autenticación PassThrough basada en el servicio Citrix Single Sign-on Service (ssonsvr.exe).
La autenticación de PassThrough de dominio (SSON) antigua requiere habilitar la directiva Habilitar notificaciones de MPR para el sistema en la plantilla de objetos de directiva de grupo. Sin embargo, el paso a través de dominio mejorado permite la autenticación de paso a través sin necesidad de habilitar esta directiva.
No se puede utilizar la autenticación de paso a través de dominio heredado (SSON) y la autenticación de paso a través de dominio mejorado juntas para la autenticación.
Si usa las siguientes versiones de la aplicación Citrix Workspace y el VDA, esta función no se admitirá en Windows 11:
- VDA: 2308, 2311, 2402
- Aplicación Citrix Workspace: 2309, 2309.1, 2311, 2402, 2405
Requisitos del sistema
- Plano de control
- Citrix DaaS
- Citrix Virtual Apps and Desktops 2311 o versiones posteriores
- Virtual Delivery Agent
- Windows: versión 2308 o posterior
Nota
Si utiliza las versiones 2308 a 2402 de Virtual Delivery Agent, esta función no es compatible con Windows 11. La versión 2407 o posterior admite esta función en Windows 11.
- Aplicación Citrix Workspace
- Aplicación Citrix Workspace para Windows 2309 o posterior
Nota
Si utiliza las versiones 2309 a 2405 de la aplicación Citrix Workspace, esta función no es compatible con Windows 11. La versión 2405.10 o posterior admite esta función en Windows 11.
- Dispositivo cliente
- Unido al dominio de Active Directory
- Windows 10 de 64 bits
- Windows 11 de 64 bits
- Hosts multisesión:
- Windows Server 2016
Nota
Windows Server 2016 está obsoleto a partir de la versión 2402 de VDA.
- Windows Server 2019
- Windows Server 2022
- Windows 10 Enterprise multisesión 22H2
- Windows 11 Enterprise multisesión 22H2 o posterior
- Hosts de sesión única:
- Windows 10, versión 22H2
- Windows 11 versión 22H2 o posterior
Nota
- El dispositivo cliente debe tener conectividad directa con los controladores de dominio. Si el dispositivo está fuera de la red, no se admite el inicio de sesión único.
Configurar StoreFront
Debe habilitar la autenticación PassThrough de dominio para el almacén y su sitio web correspondiente.
Siga estos pasos para habilitar la autenticación PassThrough de dominio para el almacén:
- Abra la consola de administración de StoreFront.
-
Vaya a Store > Administrar métodos de autenticación. Se muestra la ventana Administrar métodos de autenticación - Web.
-
Seleccione la casilla de verificación PassThrough de dominio.
- Haga clic en Aceptar.
Siga estos pasos para habilitar la autenticación PassThrough de dominio para el sitio web:
- Abra la consola de administración de StoreFront.
- Abra la ficha Almacenes > Sitios de Receiver para Web tab > Administrar sitios de Receiver para Web > Configurar > Métodos de autenticación. Se muestra la ventana Modificar sitio de Receiver para Web - /Citrix/Web.
-
Seleccione la casilla de verificación PassThrough de dominio.
- Haga clic en Aceptar.
Configuración de directivas de Citrix
Debe habilitar el parámetro mediante la directiva de Citrix:
- Vaya a Citrix Studio o a la consola web.
- Haga clic en Directivas > Crear directiva. Se muestra el cuadro de diálogo Crear directiva.
- Busque la directiva PassThrough de dominio mejorado para Single Sign-On. Se muestra el cuadro de diálogo Modificar parámetros.
-
Seleccione la opción Permitido para habilitar la directiva PassThrough de dominio mejorado para Single Sign-On.
- Haga clic en Aceptar.
Configuración del host de sesión
Después de habilitar la función PassThrough de dominio mejorado para Single Sign-On mediante la directiva de Citrix, también debe habilitar un parámetro de Windows en los hosts de sesión. Puede habilitar el parámetro de Windows mediante una directiva local o un GPO:
- Vaya a
Configuración del equipo\Directivas\Plantillas administrativas\Sistema\CredentialsDelegation. -
Habilite el parámetro El host remoto permite la delegación de credenciales no exportables.
- Reinicie el host de la sesión para que la configuración surta efecto.
Nota
El parámetro El host remoto permite la delegación de credenciales no exportables no está disponible en la directiva local de Windows Server 2016. Si necesita configurar este parámetro localmente en el host de la sesión en lugar de usar GPO, debe agregar el siguiente valor de registro:
Clave: HKLM\SYSTEM\CurrentControlSet\Control\Lsa
- Tipo de valor: DWORD
- Nombre del valor: DisableRestrictedAdmin
- Información del valor: 0
Configuración del dispositivo cliente
Debe hacer lo siguiente en el dispositivo cliente:
- Habilitar PassThrough de dominio mejorado para Single Sign-On
- Confiar en el sitio de StoreFront
Habilitar PassThrough de dominio mejorado para Single Sign-On
Debe habilitar la función PassThrough de dominio mejorado para Single Sign-On en el dispositivo cliente. Puede hacer esto mediante la directiva local o el GPO.
- Vaya a
Configuración del equipo\Directivas\Plantillas administrativas\Componentes de Citrix\Citrix Workspace\User Authentication. -
Habilite el parámetro PassThrough de dominio mejorado para Single Sign-On.
- Reinicie la aplicación Citrix Workspace para que los parámetros surtan efecto.
Confiar en el sitio de StoreFront
Debe asegurarse de que los dispositivos cliente confíen en su URL de StoreFront. Si la URL no forma parte de un dominio que ya sea de confianza, debe agregarla como sitio de intranet local o como sitio de confianza. Puede hacer esto mediante la directiva local o el GPO.
- Vaya a la página
Configuración del equipo\Directivas\Plantillas administrativas\Componentes de Windows\Internet Explorer\Panel de control de Internet\Seguridad. -
Habilite la configuración de la Lista de asignación de sitios a zona y agregue las URL apropiadas y la asignación de zona correspondiente.
-
Habilite el parámetro Opciones de inicio de sesión y configúrelo en Inicio de sesión automático con el nombre de usuario y la contraseña actuales.
