Inicio de sesión único de Entra ID en VDAs (vista previa)
Puede habilitar el inicio de sesión único en los VDAs unidos a Entra, de modo que, después de que los usuarios se hayan autenticado en la tienda usando Entra ID, no necesiten volver a introducir las credenciales cuando inicien una aplicación o un escritorio virtual.
IMPORTANTE:
El inicio de sesión único de Entra ID en VDAs se encuentra actualmente en vista previa. Esta función se proporciona sin soporte y aún no se recomienda para su uso en entornos de producción.
Requisitos previos
- Tiene recursos unidos a Entra ID alojados por Citrix DaaS™ o Citrix Virtual Apps and Desktops™ 2603 o superior.
- Los usuarios se autentican en su tienda usando un Citrix Gateway configurado para Entra ID a través de OIDC.
- La experiencia de usuario está configurada como Moderna.
- Ha completado toda la configuración descrita en Inicio de sesión único de Microsoft Entra - DaaS o Inicio de sesión único de Microsoft Entra - Citrix Virtual Apps and Desktops. De lo contrario, el inicio de sesión único fallará y los usuarios pueden experimentar retrasos o errores al iniciar.
- Si la tienda utiliza Citrix Gateway para la autenticación y publica recursos de cualquier sitio de Citrix DaaS, entonces configure su NetScaler ADC para permitir llamadas no autenticadas al punto final de canje de tickets. Esto no es necesario si todos los sitios son Citrix Virtual Apps and Desktops, o si se autentica directamente en StoreFront sin una puerta de enlace.
Configurar usando la consola de administración
Para configurar el inicio de sesión único de Entra ID:
-
Abra la ventana de Configuración de la tienda para la tienda que desea configurar.
-
En el panel Acción, seleccione Configurar ajustes de la tienda.
-
En la página Configurar ajustes de la tienda, seleccione la pestaña Entra SSO.
-
Habilitar o deshabilitar Entra SSO.
Captura de pantalla de la pestaña de configuración de Entra SSO de la tienda(/es-es/storefront/current-release/media/stores/configure-store-entra-sso.png)
-
Seleccione Aceptar para guardar los cambios.
Esta configuración solo afecta a las máquinas en grupos de entrega configurados para usar el tipo de inicio de sesión Entra o híbrido. Para grupos de entrega con tipo de inicio de sesión Active Directory, es posible que también desee habilitar Servicio de autenticación federada.
Configuración mediante PowerShell
Para configurar el inicio de sesión único mediante PowerShell, llame al cmdlet Set-STFStoreLaunchOptions con el parámetro -EntraIdSsoEnabled.
Configurar NetScaler ADC para permitir el acceso no autenticado al punto final de canje de tickets
Citrix DaaS utiliza un cliente de Azure administrado por Citrix para gestionar el SSO a través de una página web de Citrix Entra ID. Para mejorar la seguridad, StoreFront crea un ticket vinculado al cliente. La página web de Citrix Entra ID vuelve a llamar a StoreFront para validar ese ticket. Como la página web de Citrix Entra ID está alojada en un dominio diferente al de StoreFront, no tiene acceso al contexto de autenticación. Por lo tanto, si los usuarios se autentican en su tienda a través de un Citrix Gateway, debe configurar su NetScaler ADC para omitir el Citrix Gateway para las llamadas a /Citrix/<StoreWeb>/Tickets/RedeemStoreTicket.
Nota:
Citrix Virtual Apps and Desktops requiere que cree su propio cliente en Azure en lugar de utilizar el cliente administrado por Citrix. Por lo tanto, el ticket no es necesario y la siguiente configuración no es necesaria.
El siguiente diagrama muestra cómo puede usar un conmutador de contenido para omitir la autenticación para la URL de canje de tickets.
Diagrama que muestra el flujo de solicitudes mediante el conmutador de contenido(/es-es/storefront/current-release/media/integrate-with-citrix-gateway-and-citrix-adc/azure-chart.png)
Las llamadas a /Citrix/<StoreWeb>/Tickets/RedeemStoreTicket se dirigen a un equilibrador de carga que reenvía las solicitudes a StoreFront, omitiendo el gateway. Tenga en cuenta que el equilibrador de carga es necesario, ya que el conmutador de contenido no se puede configurar para dirigir el tráfico directamente a una URL y requiere un servidor virtual como destino. El equilibrador de carga no realiza ningún equilibrio de carga y simplemente reenvía el tráfico a StoreFront. Si ya tiene un equilibrador de carga de StoreFront adecuado en la misma máquina, puede usar este en su lugar.
Todas las demás llamadas se dirigen al servidor virtual VPN del gateway.
Crear equilibrador de carga para pasar del conmutador de contenido a StoreFront
Si ya tiene un servidor virtual de equilibrio de carga delante de su grupo de servidores StoreFront y ejecutándose en la misma máquina que la puerta de enlace, puede omitir este paso y configurar el conmutador de contenido para enviar el tráfico directamente a ese servidor virtual. De lo contrario, debe crear un equilibrador de carga para pasar el tráfico a los servidores de StoreFront. Esto se debe a que las acciones del conmutador de contenido deben hacer referencia a un servidor virtual.
Los pasos son ligeramente diferentes según si StoreFront está configurado para HTTPS (recomendado) o HTTP.
StoreFront está configurado para HTTPS
Cree un servicio stf_srv que represente a StoreFront utilizando su dirección IP y vincúlelo a un equilibrador de carga SSL sin persistencia.
add service stf_srv <StoreFront Ip Address> SSL 443
add lb vserver lb_vs SSL <lb_vs Ip Address> 443 -persistenceType NONE -cltTimeout 180
bind lb vserver lb_vs stf_srv
<!--NeedCopy-->
StoreFront está configurado para HTTP
Cree un servicio stf_srv que represente a StoreFront utilizando su FQDN y vincúlelo a un equilibrador de carga HTTP sin persistencia.
add server storefront1 <storefront fqdn>
add service stf_srv storefront1 HTTP 80
add lb vserver lb_vs HTTP 0.0.0.0 0 -persistenceType NONE -cltTimeout 180
bind lb vserver lb_vs stf_srv
<!--NeedCopy-->
Crear servidor virtual de conmutación de contenido SSL
Cree un servidor virtual de conmutación de contenido SSL para gestionar las solicitudes de los clientes. Este servidor virtual de conmutación de contenido escucha el tráfico HTTPS en el puerto 443 y enruta las solicitudes al servidor virtual VPN de la puerta de enlace o las pasa a StoreFront a través del equilibrador de carga.
De forma predeterminada, la conmutación de contenido está deshabilitada, por lo que debe habilitarla si no lo ha hecho anteriormente.
enable feature CS
add cs vserver cs_vs SSL <cs_vs Ip Address> 443 -cltTimeout 180 -persistenceType NONE
bind ssl vserver cs_vs -certkeyName <Certificate Name>
<!--NeedCopy-->
Crear política de conmutación de contenido para el canje de tickets
Cree una política de conmutación de contenido para el equilibrio de carga basada en una URL que contenga una ruta de canje de tickets de StoreFront.
Esta política coincide con las solicitudes cuando la URL contiene /Citrix/<StoreWeb>/Tickets/RedeemStoreTicket y las enruta al equilibrador de carga sin pasar por el servidor virtual VPN.
Reemplace <StoreWeb> por el nombre del sitio web de StoreFront de la política web del servidor virtual de StoreFront. Puede utilizar el equilibrador de carga lb_vs creado en el paso anterior, o un servidor virtual de equilibrador de carga existente delante de sus servidores StoreFront.
add cs action cs_lb_vs -targetLBVserver lb_vs
add cs policy cs_lb_vs_pol -rule "HTTP.REQ.URL.CONTAINS(\"/Citrix/<StoreWeb>/Tickets/RedeemStoreTicket\")" -action cs_lb_vs
bind cs vserver cs_vs -policyName cs_lb_vs_pol -priority 100
<!--NeedCopy-->
Crear política de conmutación de contenido para todo el demás tráfico
Cree una política de conmutación de contenido general para enviar todo el demás tráfico de StoreFront a través del servidor virtual VPN para la autenticación.
add cs action cs_vpn_vs -targetVserver <VPN vServer>
add cs policy cs_vpn_pol -rule TRUE -action cs_vpn_vs
bind cs vserver cs_vs -policyName cs_vpn_pol -priority 110
<!--NeedCopy-->