Configurar FIPS con XenMobile
El modo FIPS (Federal Information Processing Standards) en XenMobile admite clientes pertenecientes a organismos del gobierno federal de los Estados Unidos, ya que solo utiliza bibliotecas certificadas por FIPS 140-2 para todas las operaciones de cifrado. Si instala XenMobile Server con el modo FIPS, se asegura de que todos los datos para el cliente y para el servidor de XenMobile cumplen los estándares de FIPS 140-2. Ese cumplimiento se aplica a los datos en reposo y los datos en tránsito.
Antes de instalar un servidor de XenMobile Server en modo FIPS, complete los siguientes requisitos previos.
Use un servidor SQL Server 2014 externo para la base de datos de XenMobile. El servidor SQL Server también debe configurarse para la comunicación SSL segura. Para obtener instrucciones sobre cómo configurar la comunicación SSL segura con SQL Server, consulteHabilitación de conexiones cifradas en el Motor de base de datos (Administrador de configuración de SQL Server).
Para la comunicación SSL segura, se necesita instalar un certificado SSL de confianza de una entidad de certificación (CA) conocida en SQL Server. SQL Server 2014 no puede aceptar un certificado comodín. Por tanto, Citrix recomienda solicitar un certificado SSL con el nombre de dominio completo (FQDN) del servidor SQL Server.
Configurar el modo FIPS
El modo FIPS solo puede habilitarse durante la instalación inicial de XenMobile Server. No se puede habilitar FIPS una vez completada la instalación. Por lo tanto, si va a usar el modo FIPS, debe instalar XenMobile Server con el modo FIPS desde el principio. Además, para los clústeres de XenMobile, todos los nodos del clúster deben tener habilitado FIPS. No puede tener una mezcla de servidores de XenMobile Server con FIPS y sin FIPS en el mismo clúster.
Dispone de la opciónToggle FIPS modeen la interfaz de línea de comandos de XenMobile: no es para usar en un entorno de producción. Esta opción está pensada para usarse en entornos que no son de producción, con fines de diagnóstico, y no se admite en entornos XenMobile Server de producción.
Durante la instalación inicial, habiliteFIPS mode.
Cargue el certificado raíz de la CA del servidor SQL.
Especifique el nombre del servidor y el puerto del servidor SQL Server, las credenciales para iniciar sesión en SQL Server y el nombre de la base de datos que se debe crear para XenMobile.
Nota:
Para acceder a SQL Server, puede usar un inicio de sesión de SQL o una cuenta de Active Directory, pero el inicio de sesión que use debe tener el rol de creador de bases de datos (DBcreator).
Para usar una cuenta de Active Directory, introduzca las credenciales con el formato dominio\nombre-de-usuario.
Una vez completados estos pasos, continúe con la instalación inicial de XenMobile.
Para confirmar que la configuración de FIPS es correcta, inicie una sesión en la interfaz de línea de comandos de XenMobile. Aparece la fraseIn FIPS Compliant Modeen la pancarta de inicio de sesión.
Importar certificados
El siguiente procedimiento describe cómo configurar FIPS en XenMobile importando el certificado, lo cual es necesario cuando se usa un hipervisor VMware.
Requisitos previos de SQL
La conexión con la instancia SQL desde XenMobile debe ser segura y la versión debe ser SQL Server 2012 o SQL Server 2014. Para proteger la conexión, consulteCómo habilitar el cifrado de SSL para una instancia de SQL Server con Microsoft Management Console.
Si el servicio no se reinicia correctamente, compruebe lo siguiente: AbraServices.msc.
Copiela información de cuenta de inicio de sesión utilizada para el servicio SQL Server.
Abra MMC.exe en SQL Server.
Vaya aArchivo > Agregar o quitar complementoy haga doble clic en el elemento Certificados para agregar el complemento Certificados. Seleccione Cuenta de equipo y Equipo local en las dos páginas siguientes del asistente.
Haga clic enOK.
ExpandaCertificados (Equipo local) > Personal > Certificadosy busque el certificado SSL importado.
Haga clic con el botón secundario en el certificado importado (seleccionado en el Administrador de configuración de SQL Server) y haga clic enTodas las tareas > Administrar claves privadas.
EnNombres de grupo o usuario, haga clic enAgregar.
Introduzca el nombre de la cuenta del servicio SQL que copió en uno de los pasos anteriores.
Deje sin marcar la casillaPermitir control total. De manera predeterminada, la cuenta del servicio recibe permisos de Control total y Leer, pero en realidad solo necesita leer la clave privada.
CierreMMCe inicie el servicio de SQL.
Compruebe que el servicio SQL se inicia correctamente.
Requisitos previos de Internet Information Services (IIS)
Descargue el certificado raíz (base 64).
Copieel certificado raíz al sitio web predeterminado del servidor IIS, C:\inetpub\wwwroot.
Marque la casillaAutenticaciónpara el sitio predeterminado.
Establezca el parámetroAnónimoenhabilitado.
Marque la casilla de reglas deSeguimiento de solicitudes con error.
Compruebe, CER没有埃斯特bloqueado。
Busque la ubicación del archivo CER en un explorador web desde el servidor local,
https://localhost/certname.cer
. El texto de certificado raíz aparecerá en el explorador web.Si el certificado raíz no aparece en el explorador web, compruebe que ASP está habilitado en el servidor IIS de esta manera.
Abra el Administrador del servidor.
Vaya al asistente enAdministrar > Agregar roles y características.
En los roles del servidor, expandaServidor web (IIS), expandaServidor web, expandaDesarrollo de aplicacionesy después seleccioneASP.
Haga clic enSiguientehasta que se complete la instalación.
Vaya a
https://localhost/cert.cer
.Para obtener más información, consulteServidor Web (IIS).
Nota:
Puede usar la instancia de IIS de la CA para este procedimiento.
Importar el certificado raíz durante la configuración inicial de FIPS
Cuando complete los pasos para configurar XenMobile por primera vez en la consola de línea de comandos, debe completar estos parámetros para importar el certificado raíz. Para conocer los pasos de instalación, consulteInstalar XenMobile.
- Enable FIPS: Sí
- Upload Root Certificate: Sí
- Copy(c) or Import(i): i
- Enter HTTP URL to import:
https://
/cert.cer - Server:FQDN de SQL Server
- Port: 1433
- User name: Cuenta del servicio con capacidad para crear la base de datos (
domain\username
). - Password: La contraseña de la cuenta del servicio.
- Database Name: El nombre que decida.
Habilitar el modo FIPS en los dispositivos móviles
De forma predeterminada, el modo FIPS está inhabilitado en los dispositivos móviles. Para habilitar el modo FIPS, vaya aParámetros > Propiedades de cliente, modifique la propiedadEnable FIPS Modey establezca el valor enverdadero. Para obtener más información, consultePropiedades de cliente.