Implementación de ADFS
Introducción
Este documento describe cómo integrar un entorno Citrix con Microsoft ADFS.
Muchas organizaciones usan ADFS para gestionar el acceso seguro de los usuarios a sitios web que requieren un único punto de autenticación. Por ejemplo, una empresa puede tener contenido adicional y descargas disponibles para los empleados; esas ubicaciones deben protegerse con credenciales de inicio de sesión estándar de Windows.
El Servicio de autenticación federada (FAS) también permite integrar Citrix Gateway y Citrix StoreFront™ con el sistema de inicio de sesión de ADFS, lo que reduce la posible confusión para los empleados.
Esta implementación integra Citrix Gateway como parte de confianza en Microsoft ADFS.
Nota:
No hay diferencias si el recurso de back-end es un VDA de Windows o un VDA de Linux.
Descripción general de SAML
Security Assertion Markup Language (SAML) es un sistema de inicio de sesión de navegador web simple que “redirige a una página de inicio de sesión”. La configuración incluye los siguientes elementos:
URL de redirección [URL del servicio de inicio de sesión único]
Cuando Citrix Gateway detecta que un usuario necesita autenticarse, indica al navegador web del usuario que realice una solicitud HTTP POST a una página web de inicio de sesión SAML en el servidor ADFS. Normalmente, esta es una dirección https:// con el formato: https://adfs.mycompany.com/adfs/ls.
Esta solicitud POST de la página web incluye otra información, incluida la “dirección de retorno” a la que ADFS devolverá al usuario cuando se complete el inicio de sesión.
Identificador [Nombre del emisor/EntityID]
El EntityId es un identificador único que Citrix Gateway incluye en sus datos POST a ADFS. Esto informa a ADFS qué servicio está intentando iniciar sesión el usuario y para aplicar diferentes políticas de autenticación según corresponda. Si se emite, el XML de autenticación SAML solo será adecuado para iniciar sesión en el servicio identificado por el EntityId.
Normalmente, el EntityID es la URL de la página de inicio de sesión del servidor Citrix Gateway, pero generalmente puede ser cualquier cosa, siempre que Citrix Gateway y ADFS estén de acuerdo: https://ns.mycompany.com/application/logonpage.
Si la autenticación es correcta, ADFS indica al navegador web del usuario que envíe un XML de autenticación SAML a una de las URL de respuesta configuradas para el EntityId. Normalmente, esta es una dirección https:// en el servidor Citrix Gateway original con el formato: https://ns.mycompany.com/cgi/samlauth.
Si hay más de una dirección URL de respuesta configurada, Citrix Gateway puede elegir una en su solicitud POST original a ADFS.
Certificado de firma [Certificado IDP]
ADFS firma criptográficamente los blobs XML de autenticación SAML usando su clave privada. Para validar esta firma, Citrix Gateway debe configurarse para verificar estas firmas usando la clave pública incluida en un archivo de certificado. El archivo de certificado suele ser un archivo de texto obtenido del servidor ADFS.
URL de cierre de sesión único [URL de cierre de sesión único]
ADFS y Citrix Gateway admiten un sistema de “cierre de sesión central”. Esta es una URL que Citrix Gateway consulta ocasionalmente para verificar que el blob XML de autenticación SAML todavía representa una sesión iniciada actualmente.
Esta es una característica opcional que no necesita configurarse. Normalmente, es una dirección https:// con el formato https://adfs.mycompany.com/adfs/logout. (Ten en cuenta que puede ser la misma que la URL de inicio de sesión único).
Configuración
La sección Implementación de Citrix Gateway describe cómo configurar Citrix Gateway para gestionar las opciones de autenticación LDAP estándar. Una vez que esto se complete correctamente, puedes crear una nueva política de autenticación en Citrix Gateway que permita la autenticación SAML. Esto puede reemplazar la política LDAP predeterminada utilizada por el asistente de Citrix Gateway.
Rellenar la política SAML
Configura el nuevo servidor IdP SAML usando la información obtenida previamente de la consola de administración de ADFS. Cuando se aplica esta política, Citrix Gateway redirige al usuario a ADFS para iniciar sesión y, a cambio, acepta un token de autenticación SAML firmado por ADFS.
Información relacionada
- Instalar y configurar es la referencia principal para la instalación y configuración de FAS.
- Las implementaciones comunes de FAS se resumen en el artículo Arquitecturas de implementación.
- Los artículos “Cómo hacer” se presentan en el artículo Configuración avanzada.