Authentification par domaine ou par domaine et jeton de sécurité
XenMobile® prend en charge l’authentification basée sur le domaine par rapport à un ou plusieurs annuaires conformes au protocole LDAP (Lightweight Directory Access Protocol). Vous pouvez configurer une connexion dans XenMobile à un ou plusieurs annuaires, puis utiliser la configuration LDAP pour importer des groupes, des comptes d’utilisateur et des propriétés associées.
LDAP est un protocole d’application open source et indépendant du fournisseur pour l’accès et la maintenance de services d’informations d’annuaire distribués sur un réseau IP (Internet Protocol). Les services d’informations d’annuaire sont utilisés pour partager des informations sur les utilisateurs, les systèmes, les réseaux, les services et les applications disponibles sur l’ensemble du réseau.
Une utilisation courante de LDAP consiste à fournir une authentification unique (SSO) aux utilisateurs, où un seul mot de passe (par utilisateur) est partagé entre plusieurs services. L’authentification unique permet à un utilisateur de se connecter une seule fois à un site web d’entreprise pour un accès authentifié à l’intranet de l’entreprise.
Un client démarre une session LDAP en se connectant à un serveur LDAP, appelé agent de système d’annuaire (DSA). Le client envoie ensuite une demande d’opération au serveur, et le serveur répond avec l’authentification appropriée.
Important :
XenMobile ne prend pas en charge le changement du mode d’authentification de l’authentification par domaine à un mode d’authentification différent après l’inscription des appareils par les utilisateurs dans XenMobile.
Pour ajouter des connexions LDAP dans XenMobile
-
Dans la console XenMobile, cliquez sur l’icône d’engrenage dans le coin supérieur droit de la console. La page Paramètres s’affiche.
-
Sous Serveur, cliquez sur LDAP. La page LDAP s’affiche. Vous pouvez ajouter, modifier ou supprimer des annuaires conformes à LDAP, comme décrit dans cet article.
Pour ajouter un annuaire conforme à LDAP
-
Sur la page LDAP, cliquez sur Ajouter. La page Ajouter un LDAP s’affiche.
-
Configurez les paramètres suivants :
- Type d’annuaire : Dans la liste, cliquez sur le type d’annuaire approprié. La valeur par défaut est Microsoft Active Directory.
- Serveur principal : Saisissez le serveur principal utilisé pour LDAP ; vous pouvez entrer l’adresse IP ou le nom de domaine complet (FQDN).
- Serveur secondaire : Si un serveur secondaire a été configuré, saisissez l’adresse IP ou le FQDN du serveur secondaire (facultatif). Ce serveur est un serveur de basculement utilisé si le serveur principal est inaccessible.
- Port : Saisissez le numéro de port utilisé par le serveur LDAP. Par défaut, le numéro de port est défini sur 389 pour les connexions LDAP non sécurisées. Utilisez le numéro de port 636 pour les connexions LDAP sécurisées, 3268 pour les connexions LDAP non sécurisées de Microsoft, ou 3269 pour les connexions LDAP sécurisées de Microsoft.
- Nom de domaine : Saisissez le nom de domaine.
-
DN de base de l’utilisateur : Saisissez l’emplacement des utilisateurs dans Active Directory via un identifiant unique. Les exemples de syntaxe incluent :
ou=users,dc=exampleoudc=com. -
DN de base du groupe : Saisissez l’emplacement des groupes dans Active Directory. Par exemple,
cn=users, dc=domain, dc=netoùcn=usersreprésente le nom du conteneur des groupes etdcreprésente le composant de domaine d’Active Directory. - ID utilisateur : Saisissez l’ID utilisateur associé au compte Active Directory.
- Mot de passe : Saisissez le mot de passe associé à l’utilisateur.
- Alias de domaine : Saisissez un alias pour le nom de domaine. Si vous modifiez le paramètre Alias de domaine après l’inscription, les utilisateurs doivent se réinscrire.
- Limite de verrouillage XenMobile : Saisissez un nombre entre 0 et 999 pour le nombre de tentatives de connexion échouées. Une valeur de 0 signifie que XenMobile ne verrouille jamais l’utilisateur en fonction des tentatives de connexion échouées.
- Durée de verrouillage XenMobile : Saisissez un nombre entre 0 et 99999 représentant le nombre de minutes pendant lesquelles un utilisateur doit attendre après avoir dépassé la limite de verrouillage. Une valeur de 0 signifie que l’utilisateur n’est pas obligé d’attendre après un verrouillage.
- Port TCP du catalogue global : Saisissez le numéro de port TCP pour le serveur de catalogue global. Par défaut, le numéro de port TCP est défini sur 3268 ; pour les connexions SSL, utilisez le numéro de port 3269.
- Contexte racine du catalogue global : Saisissez la valeur du contexte racine global utilisée pour activer une recherche de catalogue global dans Active Directory (facultatif). Cette recherche s’ajoute à la recherche LDAP standard, dans n’importe quel domaine sans avoir besoin de spécifier le nom de domaine réel.
- Recherche d’utilisateur par : Dans la liste, cliquez sur userPrincipalName ou sAMAccountName. La valeur par défaut est userPrincipalName. Si vous modifiez le paramètre Recherche d’utilisateur par après l’inscription, les utilisateurs doivent se réinscrire.
- Utiliser une connexion sécurisée : Sélectionnez si vous souhaitez utiliser des connexions sécurisées. La valeur par défaut est NON.
-
Cliquez sur Enregistrer.
Pour modifier un annuaire conforme à LDAP
-
Dans le tableau LDAP, sélectionnez l’annuaire à modifier.
Lorsque vous cochez la case en regard d’un annuaire, le menu d’options apparaît au-dessus de la liste LDAP. Cliquez n’importe où ailleurs dans la liste et le menu d’options apparaît sur le côté droit de l’entrée.
-
Cliquez sur Modifier. La page Modifier le LDAP s’affiche.
-
Modifiez les informations suivantes si nécessaire :
- Type d’annuaire : Dans la liste, cliquez sur le type d’annuaire approprié.
- Serveur principal : Saisissez le serveur principal utilisé pour LDAP ; vous pouvez entrer l’adresse IP ou le nom de domaine complet (FQDN).
- Serveur secondaire : Saisissez l’adresse IP ou le FQDN du serveur secondaire (si un a été configuré) (facultatif).
- Port : Saisissez le numéro de port utilisé par le serveur LDAP. Par défaut, le numéro de port est défini sur 389 pour les connexions LDAP non sécurisées. Utilisez le numéro de port 636 pour les connexions LDAP sécurisées, 3268 pour les connexions LDAP non sécurisées de Microsoft, ou 3269 pour les connexions LDAP sécurisées de Microsoft.
- Nom de domaine : Vous ne pouvez pas modifier ce champ.
-
DN de base de l’utilisateur : Saisissez l’emplacement des utilisateurs dans Active Directory via un identifiant unique. Les exemples de syntaxe incluent :
ou=users,dc=exampleoudc=com. -
DN de base du groupe : Saisissez le nom du groupe DN de base du groupe spécifié comme
cn=groupname. Par exemple,cn=users, dc=servername, dc=netoùcn=usersest le nom du groupe.DNetservernamereprésentent le nom du serveur exécutant Active Directory. - ID utilisateur : Saisissez l’ID utilisateur associé au compte Active Directory.
- Mot de passe : Saisissez le mot de passe associé à l’utilisateur.
- Alias de domaine : Saisissez un alias pour le nom de domaine. Si vous modifiez le paramètre Alias de domaine après l’inscription, les utilisateurs doivent se réinscrire.
- Limite de verrouillage XenMobile : Saisissez un nombre entre 0 et 999 pour le nombre de tentatives de connexion échouées. Une valeur de 0 signifie que XenMobile ne verrouille jamais l’utilisateur en fonction des tentatives de connexion échouées.
- Durée de verrouillage XenMobile : Saisissez un nombre entre 0 et 99999 représentant le nombre de minutes pendant lesquelles un utilisateur doit attendre après avoir dépassé la limite de verrouillage. Une valeur de 0 signifie que l’utilisateur n’est pas obligé d’attendre après un verrouillage.
- Port TCP du catalogue global : Saisissez le numéro de port TCP pour le serveur de catalogue global. Par défaut, le numéro de port TCP est défini sur 3268 ; pour les connexions SSL, utilisez le numéro de port 3269.
- Contexte racine du catalogue global : Saisissez la valeur du contexte racine global utilisée pour activer une recherche de catalogue global dans Active Directory (facultatif). Cette recherche s’ajoute à la recherche LDAP standard, dans n’importe quel domaine sans avoir besoin de spécifier le nom de domaine réel.
- Recherche d’utilisateur par : Dans la liste, cliquez sur userPrincipalName ou sAMAccountName. Si vous modifiez le paramètre Recherche d’utilisateur par après l’inscription, les utilisateurs doivent se réinscrire.
- Utiliser une connexion sécurisée : Sélectionnez si vous souhaitez utiliser des connexions sécurisées.
-
Cliquez sur Enregistrer pour enregistrer vos modifications ou sur Annuler pour laisser la propriété inchangée.
Pour supprimer un annuaire conforme à LDAP
-
Dans le tableau LDAP, sélectionnez l’annuaire que vous souhaitez supprimer.
Vous pouvez sélectionner plusieurs propriétés à supprimer en cochant la case en regard de chaque propriété.
-
Cliquez sur Supprimer. Une boîte de dialogue de confirmation s’affiche. Cliquez à nouveau sur Supprimer.
Configurer l’authentification pour plusieurs domaines
Pour configurer XenMobile Server afin d’utiliser plusieurs suffixes de domaine dans une configuration LDAP, consultez la procédure dans la documentation Citrix Endpoint Management, Configurer l’authentification pour plusieurs domaines. Les étapes sont les mêmes dans la version locale de XenMobile Server et la version cloud d’Endpoint Management.
Configurer l’authentification par domaine et jeton de sécurité
Vous pouvez configurer XenMobile pour exiger que les utilisateurs s’authentifient avec leurs informations d’identification LDAP et un mot de passe à usage unique, à l’aide du protocole RADIUS.
Pour une convivialité optimale, vous pouvez combiner cette configuration avec le code PIN Citrix et la mise en cache du mot de passe Active Directory. Avec cette configuration, les utilisateurs n’ont pas à saisir leurs noms d’utilisateur et mots de passe LDAP à plusieurs reprises. Les utilisateurs saisissent leurs noms d’utilisateur et mots de passe pour l’inscription, l’expiration du mot de passe et le verrouillage du compte.
Configurer les paramètres LDAP
L’utilisation de LDAP pour l’authentification nécessite l’installation d’un certificat SSL d’une autorité de certification sur XenMobile. Pour plus d’informations, consultez Chargement des certificats dans XenMobile.
-
Dans Paramètres, cliquez sur LDAP.
-
Sélectionnez Microsoft Active Directory, puis cliquez sur Modifier.
-
Vérifiez que le port est 636, qui est destiné aux connexions LDAP sécurisées, ou 3269 pour les connexions LDAP sécurisées de Microsoft.
-
Changez Utiliser une connexion sécurisée en Oui.
Configurer les paramètres de Citrix Gateway
Les étapes suivantes supposent que vous avez déjà ajouté une instance Citrix Gateway à XenMobile. Pour ajouter une instance Citrix Gateway, consultez Ajouter une instance Citrix Gateway.
-
Dans Paramètres, cliquez sur Citrix Gateway.
-
Sélectionnez le Citrix Gateway, puis cliquez sur Modifier.
-
Dans Type de connexion, sélectionnez Domaine et jeton de sécurité.
Activer le code PIN Citrix et la mise en cache du mot de passe utilisateur
Pour activer le code PIN Citrix et la mise en cache du mot de passe utilisateur, accédez à Paramètres > Propriétés du client et cochez les cases suivantes : Activer l’authentification par code PIN Citrix et Activer la mise en cache du mot de passe utilisateur. Pour plus d’informations, consultez Propriétés du client.
Configurer Citrix Gateway pour l’authentification par domaine et jeton de sécurité
Configurez les profils de session et les stratégies Citrix Gateway pour vos serveurs virtuels utilisés avec XenMobile. Pour plus d’informations, consultez la documentation Citrix Gateway.