Guía de PoC: Autenticación federada de Active Directory de Microsoft Azure para Citrix Virtual Apps and Desktops con NetScaler
Introducción
El uso de la nube para ofrecer servicios empresariales sigue creciendo. Los servicios en la nube heredan los beneficios incorporados en la infraestructura de nube, incluida la resiliencia, la escalabilidad y el ámbito global. Azure Active Directory (AAD) es el servicio de directorio hospedado de Microsoft Azure y proporciona los mismos beneficios en la nube a las empresas. AAD permite a las empresas alojar sus identidades de empleados en la nube y acceder de forma segura a los servicios también alojados en la nube o en las instalaciones.
Citrix Virtual Apps and Desktops ofrece aplicaciones y escritorios virtuales mediante recursos alojados en las instalaciones o en la nube. NetScaler proporciona acceso remoto seguro a esas aplicaciones virtuales y escritorios, y también se puede hospedar en las instalaciones o en la nube. Junto con Citrix Federated Authentication Service, pueden utilizar AAD para autenticar el acceso de los usuarios a Citrix Virtual Apps and Desktops desde cualquier lugar.
Introducción
La guía muestra cómo implementar un entorno de prueba de concepto para Microsoft AAD Federated Authentication for Citrix Virtual Apps and Desktops con NetScaler mediante SAML. AAD actúa como proveedor de identidades (IdP) mientras que NetScaler actúa como proveedor de servicios (SP).
Hace suposiciones sobre la instalación o configuración de ciertos componentes:
- Un servidor de Active Directory se instala en las instalaciones y puede iniciar sesión como Administrador de dominio.
- Un arrendatario de Azure está disponible con una licencia P2 y puede iniciar sesión como administrador global.
- Se ha instalado y licenciado un dispositivo NetScaler. También tiene un servidor virtual NetScaler Gateway configurado para proporcionar acceso a un entorno local de Citrix Virtual Apps and Desktops. Utilice la versión 13 compilación 60 o posterio.
- Se instalan Delivery Controller, StoreFront y VDA y se configuran para entregar aplicaciones virtuales o escritorios para usuarios de dominio. Utilice la versión 2006 o posterior.
- Hay una máquina virtual disponible o otro servidor tiene la capacidad suficiente para instalar FAS. Los DDC, FAS y StoreFront están instalados en el mismo servidor en este POC.
- El cliente remoto puede iniciar una aplicación virtual o un escritorio mediante la aplicación Workspace o el explorador. Utilice Windows versión 20.6.0.38 (2006) o posterior.
配置de AD y AAD
Para configurar Active Directory (AD) y Azure Active Directory (AAD), realice los siguientes pasos:
AD
Sufijo UserPrincipalName (UPN) alternativo
- Inicie sesión en el controlador de dominio de AD.
- AbrirAdministrador del servidor > Herramientas > Dominios y confianzas de Active Directory
- Haga clic con el botón secundario, seleccionePropiedadese introduzca el Sufijo UPN para los usuarios correspondientes a uno de sus dominios AAD.
Usuarios de AD
- En el controlador de dominio de AD abraAdministrador del servidor > Herramientas > Usuarios y equipos de Active Directory.
- Haga clic con el botón derecho y seleccioneNuevo > Usuario, o modifique uno existente
- En Propiedades > Cuenta, establezca el UPNen el nuevo Sufijo.
Conexión de Microsoft Azure Active Directory
Azure广告es una herramienta para conectar连接la infraestructura de identidad local a Microsoft Azure AD. Nos permite copiar usuarios de AD a AAD con un UserPrincipalName (UPN) asignado a nuestro dominio AAD.
- Inicie sesión en el controlador de dominio de AD u otro servidor virtual donde hospede el proceso de Microsoft Azure Active Directory Connect.
- Descargue el archivo ejecutable del sitio de descargas deMicrosoft Azure Active Directory Connecty ejecútelo.
- Se le pedira, acepte realizar: en la maquina virtual y acepte un contrato de licencia en la página de bienvenida.
- Se le pedirá que inicie sesión como administrador global de AAD y como administrador de Servicios de dominio.
- Para la instalación en una única máquina virtual de AD, puede seguir la configuración expresa. Después de verificar los sufijos UPN, realiza una sincronización completa de todos los usuarios, grupos y contactos.
ConsulteUso de la configuración rápida de Azure AD Connectpara obtener más información.
Entidad de certificación
Para este POC suponemos que tiene una entidad emisora de certificados, incluida la inscripción web, instalada en un DC de AD. Si no, vaya alAdministrador del servidor > Agregar rolesy funciones y siga las instrucciones para instalar Servicios de Certificate Server de Active Directory. ConsulteInstalación de entidades de certificación de Microsoftpara obtener más información.
- Próximo lanzamiento de MMC
- SeleccioneAgregar o quitar complemento > Certificados > Cuenta de equipo > Aceptar
- Haga clic con el botón derechoPersonal > Todas las tareas > Solicitar nuevo certificado
- Haga clic en Siguiente y seleccione Directiva de inscripción de Active Directory
- Seleccione Autenticación de controlador de dominio y haga clic en
Azure Active Directory
- Inicie sesión enAzure Portalcomo administrador global
- Navegue aAzure Active Directory > Aplicaciones empresariales
- Seleccione Nueva aplicación
- Seleccionar aplicación no perteneciente a la Galería
- Introduzca un nombre único y seleccione Agregar
- Seleccione elinicio de sesión único > SAMLy seleccione el icono de lápiz para modificar la configuración básica de SAML
- Introduzca el FQDN del servidor virtual NetScaler gateway en el campo Identificador.
- Introduzca el FQDN con el URI /cgi/samlauth agregado en el campo URL de respuesta
- Hacer clic en Save
- Capture lo siguiente para introducirlo en la configuración SAML de NetScaler:
- Bajo certificado de firma SAML - descargar Certificado (base64)
- En Configuración de Citrix FAS: URL de inicio de sesión y cierre de sesión
- Seleccione Usuarios y grupos > Agregar usuario y seleccione los usuarios existentes o los grupos que tienen acceso a Citrix Virtual Apps and Desktops mediante su
de UPN de AAD.
配置uración de NetScaler
Para configurar NetScaler, realice los siguientes pasos:
- Inicie sesión en la interfaz de usuario de NetScaler
- Vaya aAdministración de Tráfico > SSL> Certificados > Todos los certificadospara comprobar que tiene instalado el certificado de dominio. En este ejemplo POC utilizamos un certificado comodín correspondiente a nuestro dominio de Active Directory. Consulte loscertificados SSL de NetScalerpara obtener más información.
- Vaya aSeguridad > AAA - Tráfico de aplicaciones > Servidores virtualesy seleccione Agregar
- Introduzca los siguientes campos y haga clic en Aceptar:
- Nombre: Un valor único
- Tipo de dirección IP: No direccionable
- Seleccione Sin certificado de servidor, seleccione el certificado de dominio, haga clic en Seleccionar, Enlazar y Continuar
- Seleccione Sin directiva de autenticación y seleccione Agregar
- Escriba un nombre, establezca Tipo de acción en SAML y seleccione Agregar acción
- Introduzca los siguientes campos y haga clic en Aceptar:
- Nombre: Un valor único
- Anula selección de importación de metadatos
- Redirigir URL: Pegue la URL de inicio de sesión copiada desde la configuración de AAD
- URL de cierre de sesión único: Pegue la URL de cierre de sesión copiada desde la configuración de AAD
- Enlace de cierre de sesión - Redirigir
- Nombre del certificado de IdP: Seleccione Agregar, escriba un nombre, seleccione Nombre de archivo de certificado > local y seleccione el certificado de firma SAML (base64) descargado de AAD
- Nombre de certificado de firma: Seleccione el certificado de dominio que utiliza ADC para firmar solicitudes en AAD.
- Nombre del problema: Introduzca el FQDN de NetScaler Gateway
- Seleccione crear para crear la acción
- Escriba true para la expresión
- Seleccione crear de nuevo para crear la directiva Directiva
- Seleccione bind para vincular la directiva al servidor virtual de
- Haga clic en continuar para completar la configuración del servidor virtual de autenticación.
- A continuación, vaya aNetScalerGateway > Servidores virtualesy modifique el servidor virtual pertinente
- Si tiene una directiva básica existente enlazada en Autenticación básica, selecciónela, compruebe la directiva y seleccione Desenlazar, confirmar y cerrar.
- En el menú de la derecha, seleccione Perfil de autenticación y seleccione Agregar. Escriba un nombre y haga clic en la flecha derecha en Servidor virtual de autenticación. Compruebe la directiva Servidor virtual Autenticación y haga clic en crear.
- Haga clic en Aceptar para completar el enlace del servidor virtual NetScaler AAA al servidor virtual Gateway.
- Vaya aNetScalerGateway > Directivas > Sesióny seleccione la directiva de la aplicación Workspace con la expresión “Citrix Receiver” y realice los siguientes cambios:
- En Aplicaciones publicadas, desactive el campo Dominio de inicio de sesión único y desactive la Anulación global
- En Experiencia del cliente en la lista desplegable Índice de credenciales, seleccione Secundaria
- Repita esos pasos para la directiva Workspace for web con las
de la expresión “Citrix Receiver”).NOT.
ConsulteNetScalerpara obtener más información.
配置uración de Citrix Virtual Apps and Desktops
Para integrar componentes de Citrix Virtual Apps and Desktops con FAS, realice los siguientes pasos:
StoreFront
Habilitar FAS在店面
- Abra PowerShell como administrador y ejecute:
Get-Module "Citrix.StoreFront.*" -ListAvailable | Import-Module
$StoreVirtualPath = "/Citrix/Store"
$store = Get-STFStoreService -VirtualPath $StoreVirtualPath $auth = Get-STFAuthenticationService -StoreService $store
Set-STFClaimsFactoryNames -AuthenticationService $auth -ClaimsFactoryName "FASClaimsFactory"
Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider "FASLogonDataProvider"
ConsulteHabilitar el complemento FAS en los almacenes de StoreFrontpara obtener más información.
配置urar StoreFront para NetScaler Gateway
- Inicie sesión en la máquina virtual StoreFront (que también aloja FAS y el DDC en nuestro POC) e inicie la GUI de StoreFront
- Seleccione Administrar métodos de autenticación en el menú de la derecha
- Seleccione PassThrough en NetScaler Gateway
- Seleccione la flecha hacia abajo situada junto al engranaje y seleccione Configurar autenticación delegada.
- Marque Delegar completamente la validación de credenciales a NetScaler Gateway y haga clic en Aceptar dos veces
- Seleccione Administrar Citrix Gateways en el menú de la derecha
- Modificar la entrada pertinente de NetScaler Gateway
- En Configuración de autenticación, la URL de devolución de llamada debe estar configurada si aún no se ha hecho. Por lo general, puede actualizar el DNS interno o, para una sola instancia de StoreFront, actualizar el archivo de host local para asignar la IP privada del servidor virtual Gateway al FQDN
.
Delivery Controller
A continuación, configure Desktops Delivery Controller para que confíe en los servidores StoreFront que pueden conectarse a él.
- Abra PowerShell como administrador y ejecute
Add-PSSnapin Citrix*
(siempre que no tenga todos los complementos de Citrix cargados) ConsulteInstalar y configurar FASpara obtener más informaciónSet-BrokerSite -TrustRequestsSentToTheXmlServicePort $true
Consulte配置urar el Delivery Controllerpara obtener más información.
配置uración del servicio de autenticación federada de Citrix
Para configurar FAS, realice los siguientes pasos:
- Cargue la imagen ISO de Citrix Virtual Apps and Desktops en la máquina virtual FAS
- Seleccione FAS para iniciar la instalación Instalación
- Lea el Contrato de licencia de Citrix y haga clic en Siguiente
- Seleccione el directorio de instalación y haga clic en Siguiente
- Actualice el firewall del host para permitir el puerto 80 y haga clic en Next
- Pulse Finalizar.
- Revise la configuración que ha realizado y haga clic en Instalar
- Después de la instalación correcta haga clic en Finalizar de nuevo ![FASFinalizado]
- En “C:\Program Files\ Citrix\ Federated Authentication Service”, comparta el contenido del directorio PolicyDefinions y el subdirectorio “en-us”
- En “C:\Program Files\ Citrix\ Federated Authentication Service” péguelos en el controlador de dominio en C:\Windows\PolicyDefinions y ..\ es-US, respectivamente. Los archivos incluyen:
- Definiciones de directivas\ CitrixBase.admx
- PolicyDefinitions\ CitrixFederatedAuthenticationService.admx
- PolicyDefinitions\es-ES\CitrixBase.adml
- PolicyDefinitions\ CitrixFederatedAuthenticationService.adml
- AbrirAdministrador del servidor > Herramientas > Administración de directivas de grupo
- a. Haga clic con el botón secundario para crear nuevo o modificar un objeto de directiva de grupo existente que se aplique a todos los VDA pertinentes y Delivery Controllers. (Utilizamos la directiva Controladores de dominio predeterminados para el POC. Para la producción suele crear una nueva directiva o modificar otra directiva pertinente.)
* b. Vaya a配置uración del equipo > Directivas > Plantillas administrativas > Componentes de Citrix > Autenticación* c. Haga clic con el botón secundario en Servicio de autenticación federadad. Seleccione modificar * e. Seleccione Mostrar DNS * f. Introduzca el FQDN del servidor FAS, haga clic en Aceptar dos veces y cierre el editor de administración de directivas de grupo
* g. Vaya a cada Delivery Controller y VDA), abra un indicador de MS-DOS como administrador y ejecute la
gpupdate /force
* h. Para comprobar que se ha aplicado, abra regedit.exe y vaya a: /Computer\ HKLM\ SOFTWARE\ Policies\ Citrix\ Authentication\ UserCredentialService\ Address1 entrada establecida en el FQDN aplicado a través del GPO. Si no aparece, es posible que tenga que reiniciar la máquina virtual respectiva.
* i. A continuación, regrese a la máquina virtual FAS para comenzar la instalación del servicio. (Hospedamos FAS, StoreFront y DDC en la misma máquina virtual para el POC. Para la producción, normalmente los hospedaría en diferentes máquinas virtuales para mejorar la escalabilidad y la compatibilidad.) * j. Ejecute el programa Citrix Federated Authentication Service. Seleccione cada uno de los cinco pasos en secuencia y siga las instrucciones: * i. Implementar plantillas de certificadosii. Establecer una entidad de certificación * iii. Autorizar este servicio: Para este paso regrese a la CA para emitir una solicitud pendiente. La CA está alojada en el controlador de dominio en este ejemplo de POC. * iv. Crear regla: Aquí especifique la CA y el certificado ya configurado. También filtre los agentes VDA y los usuarios a los que se les permite utilizar el servicio FAS. * v. (Conectarse a Citrix Cloud: En esta guía utilizamos aplicaciones virtuales y escritorios de Citrix Virtual Apps and Desktops locales)
- a. Haga clic con el botón secundario para crear nuevo o modificar un objeto de directiva de grupo existente que se aplique a todos los VDA pertinentes y Delivery Controllers. (Utilizamos la directiva Controladores de dominio predeterminados para el POC. Para la producción suele crear una nueva directiva o modificar otra directiva pertinente.)
Consultela documentación de FASpara obtener más información.
Validación de cliente de Citrix Workspace
Para validar el POC, realice los siguientes pasos:
Workspace para Web
- Abra un explorador y navegue hasta el FQDN de dominio administrado por NetScaler. Observe que NetScaler Gateway redirige a AAD.
- Iniciar sesión con el UPN de un usuario configurado para formar parte del entorno FAS
- Verifique que los usuarios, las aplicaciones virtuales y los escritorios estén enumerados e inicie una vez que haya iniciado sesión con el UPN mediante el objeto de usuario de AAD
Resumen
Citrix Virtual Apps and Desktops ha sido una tecnología resistente durante décadas. La identidad alojada en la nube ofrece a las empresas un servicio aún más fiable. La implementación del POC descrito en esta guía demuestra cómo lograrlo mediante la integración de AAD como IdP y NetScaler como proveedor de servicios. Para obtener más información sobre los precios y el embalaje de Citrix, visite el sitio web de CitrixCitrix.comy para obtener más información sobre las capacidades técnicas de Citrix, visiteCitrix TechZone.