Tutorial: Integración del inicio de sesión único de Microsoft Entra con Citrix ADC SAML Connector for Microsoft Entra ID (autenticación basada en Kerberos)

  • Artículo

En este tutorial, aprenderá a integrar Citrix ADC SAML Connector for Microsoft Entra ID con Microsoft Entra ID. Al integrar Citrix ADC SAML Connector for Microsoft Entra ID con Microsoft Entra ID, puede hacer lo siguiente:

  • Controlar en Microsoft Entra ID quién tiene acceso a Citrix ADC SAML Connector for Microsoft Entra ID.
  • Permitir que los usuarios puedan iniciar sesión automáticamente en Citrix ADC SAML Connector for Microsoft Entra ID con sus cuentas de Microsoft Entra.
  • Administre sus cuentas en una ubicación central.

Requisitos previos

Para empezar, necesita los siguientes elementos:

  • Una suscripción a Microsoft Entra. Si no tiene una suscripción, puede obtener una cuenta gratuita.
  • Suscripción habilitada para el inicio de sesión único (SSO) en Citrix ADC SAML Connector for Microsoft Entra ID.

Descripción del escenario

En este tutorial va a configurar y probar el inicio de sesión único de Microsoft Entra en un entorno de prueba. El tutorial incluye estos escenarios:

Para integrar Citrix ADC SAML Connector for Microsoft Entra ID con Microsoft Entra ID, agregue primero esta aplicación desde la galería a la lista de aplicaciones SaaS administradas:

  1. Inicie sesión en el Centro de administración de Microsoft Entra como Administrador de aplicaciones en la nube.

  2. Vaya a Identidad>Aplicaciones>Aplicaciones empresariales>Nueva aplicación.

  3. En la sección Agregar desde la galería, escriba Citrix ADC SAML Connector for Microsoft Entra ID en el cuadro de búsqueda.

  4. En los resultados, seleccione Citrix ADC SAML Connector for Microsoft Entra ID y agregue la aplicación. Espere unos segundos mientras la aplicación se agrega al inquilino.

Si lo desea, puede usar también el asistente para la configuración de aplicaciones empresariales. En este asistente puede agregar una aplicación al inquilino, agregar usuarios o grupos a la aplicación y asignar roles, así como recorrer la configuración de SSO. Obtenga más información sobre los asistentes de Microsoft 365.

Configuración y prueba del inicio de sesión único de Microsoft Entra para Citrix ADC SAML Connector for Microsoft Entra ID

Configure y pruebe el inicio de sesión único de Microsoft Entra con Citrix ADC SAML Connector for Microsoft Entra ID mediante un usuario de prueba llamado B.Simon. Para que el inicio de sesión único funcione, es necesario establecer una relación de vínculo entre un usuario de Microsoft Entra y el usuario relacionado de Citrix ADC SAML Connector for Microsoft Entra ID.

Para probar y configurar el inicio de sesión único de Microsoft Entra con Citrix ADC SAML Connector for Microsoft Entra ID, siga estos pasos:

  1. Configure el inicio de sesión único de Microsoft Entra para que los usuarios puedan usar esta característica.

    1. Cree un usuario de prueba de Microsoft Entra, para probar el inicio de sesión único de Microsoft Entra con B.Simon.

    2. Asigne el usuario de prueba de Microsoft Entra , para permitir que B.Simon use el inicio de sesión único de Microsoft Entra.

  2. Configure el inicio de sesión único de Citrix ADC SAML Connector for Microsoft Entra, para configurar los valores de inicio de sesión único en la aplicación.

    1. Cree un usuario de prueba de Citrix ADC SAML Connector for Microsoft Entra ID, para tener un homólogo de B.Simon en Citrix ADC SAML Connector for Microsoft Entra ID vinculado a la representación del usuario en Microsoft Entra.

  3. Prueba del inicio de sesión único : para comprobar si la configuración funciona.

Configuración del inicio de sesión único de Microsoft Entra

Para habilitar el inicio de sesión único de Microsoft Entra en Azure Portal, siga estos pasos:

  1. Inicie sesión en el Centro de administración de Microsoft Entra como Administrador de aplicaciones en la nube.

  2. Vaya al panel de integración de aplicaciones en Identidad>Aplicaciones>Aplicaciones empresariales>Citrix ADC SAML Connector for Microsoft Entra ID y en Administrar, seleccione Inicio de sesión único.

  3. En el panel Seleccione un método de inicio de sesión único, seleccione SAML.

  4. En el panel Configurar el inicio de sesión único con SAML, seleccione el icono con forma de lápiz para abrir el cuadro de diálogo Configuración básica de SAML y modificar la configuración.

    Screenshot shows to edit Basic SAML Configuration.

  5. En la sección Configuración básica de SAML, para configurar la aplicación en modo iniciado por IDP, siga estos pasos:

    1. En el cuadro de texto Identificador, escriba una dirección URL con el siguiente formato: https://<YOUR_FQDN>.

    2. En el cuadro de texto URL de respuesta, escriba una dirección URL con el siguiente formato: http(s)://<YOUR_FQDN>.of.vserver/cgi/samlauth.

  6. Para configurar la aplicación en modo iniciado por SP, seleccione Establecer direcciones URL adicionales y siga este paso:

    • En el cuadro de texto URL de inicio de sesión, escriba una dirección URL con el siguiente formato: https://<YOUR_FQDN>/CitrixAuthService/AuthService.asmx.

    Nota:

    • Las direcciones URL que se usan en esta sección no son valores reales. Actualice estos valores con los reales de Identificador, URL de respuesta y URL de inicio de sesión. Para obtener estos valores, póngase en contacto con el equipo de soporte técnico al cliente de Citrix ADC SAML Connector for Microsoft Entra ID. También puede consultar los patrones que se muestran en la sección Configuración básica de SAML.
    • Para configurar el inicio de sesión único, las direcciones URL deben ser accesibles desde sitios web públicos. Deberá habilitar el firewall u otras opciones de seguridad en Citrix ADC SAML Connector for Microsoft Entra ID para que Microsoft Entra ID pueda publicar el token en la dirección URL configurada.

  7. En la página Configurar el inicio de sesión único con SAML, en la sección Certificado de firma de SAML, en Dirección URL de metadatos de federación de aplicación, copie la dirección URL y guárdela en el Bloc de notas.

    Screenshot shows the Certificate download link.

  8. En la sección Configurar Citrix ADC SAML Connector for Microsoft Entra ID, copie las direcciones URL correspondientes según las necesidades.

    Screenshot shows to copy configuration URLs.

Cree un usuario de prueba de Microsoft Entra

En esta sección, se crea un usuario llamado B.Simon.

  1. Inicie sesión en el Centro de administración de Microsoft Entra al menos como Administrador de usuario.
  2. Vaya aIdentidad>Usuarios>Todos los usuarios.
  3. Seleccione Nuevo usuario>Crear nuevo usuario, en la parte superior de la pantalla.
  4. En las propiedades del usuario, siga estos pasos:
    1. En el campo Nombre para mostrar, escriba B.Simon.
    2. En el campo Nombre principal de usuario, escriba username@companydomain.extension. Por ejemplo, B.Simon@contoso.com.
    3. Active la casilla Show password (Mostrar contraseña) y, después, anote el valor que se muestra en el cuadro Contraseña.
    4. Seleccione Revisar + crear.
  5. Seleccione Crear.

Asignación del usuario de prueba de Microsoft Entra

En esta sección, va a permitir que el usuario B.Simon acceda a Citrix ADC SAML Connector for Microsoft Entra ID mediante el inicio de sesión único de Azure.

  1. Vaya a Aplicaciones de identidad>Aplicaciones>Empresariales.

  2. En la lista de aplicaciones, seleccione Citrix ADC SAML Connector for Microsoft Entra ID.

  3. En la información general de la aplicación, en Administrar, seleccione Usuarios y grupos.

  4. Seleccione Agregar usuario. Después, en el cuadro de diálogo Agregar asignación, seleccione Usuarios y grupos.

  5. En el cuadro de diálogo Usuarios y grupos, en la lista Usuarios seleccione B.Simon. Elija Seleccionar.

  6. Si espera que se asigne un rol a los usuarios, puede seleccionarlo en la lista desplegable Seleccionar un rol. Si no se ha configurado ningún rol para esta aplicación, verá seleccionado el rol "Acceso predeterminado".

  7. En el cuadro de diálogo Agregar asignación, seleccione Asignar.

Configuración del inicio de sesión único de Citrix ADC SAML Connector for Microsoft Entra

Seleccione un vínculo para ver los pasos para el tipo de autenticación que desea configurar:

Publicación del servidor web

Para crear un servidor virtual:

  1. Seleccione Traffic Management>Load Balancing>Services (Administración del tráfico > Equilibrio de carga > Servicios).

  2. Seleccione Agregar.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Services pane.

  3. Establezca los siguientes valores para el servidor web que ejecuta las aplicaciones:

    • Nombre del servicio
    • IP de servidor/ Servidor existente
    • Protocolo
    • Puerto

Configuración del equilibrador de carga

Para configurar el equilibrador de carga:

  1. Vaya a Traffic Management>Load Balancing>Services (Administración del tráfico > Equilibrio de carga > Servicios).

  2. Seleccione Agregar.

  3. Establezca los valores siguientes tal y como se describe en la captura de pantalla:

    • Nombre
    • Protocolo
    • Dirección IP
    • Puerto

  4. Seleccione Aceptar.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Basic Settings pane.

Enlace del servidor virtual

Para enlazar el equilibrador de carga con el servidor virtual:

  1. En el panel Services and Service Groups (Servicios y grupos de servicios), seleccione No Load Balancing Virtual Server Service Binding (No hay enlace de servicio del servidor virtual de equilibrio de carga).

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Load Balancing Virtual Server Service Binding pane.

  2. Compruebe la configuración como se muestra en la siguiente captura de pantalla y, a continuación, seleccione Close (Cerrar).

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Verify the virtual server services binding.

Enlace del certificado

Para publicar este servicio como TLS, enlace el certificado de servidor y, a continuación, pruebe la aplicación:

  1. En Certificate (Certificado), seleccione No Server Certificate (Ningún certificado de servidor).

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Server Certificate pane.

  2. Compruebe la configuración como se muestra en la siguiente captura de pantalla y, a continuación, seleccione Close (Cerrar).

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Verify the certificate.

Perfil de SAML de Citrix ADC SAML Connector for Microsoft Entra

Para configurar el perfil de SAML de Citrix ADC SAML Connector for Microsoft Entra, complete las secciones siguientes.

Creación de una directiva de autenticación

Para crear una directiva de autenticación:

  1. Vaya a Security>AAA – Application Traffic>Policies>Authentication>Authentication Policies (Seguridad > AAA – Tráfico de aplicación > Directivas > Autenticación > Directivas de autenticación).

  2. Seleccione Agregar.

  3. En el panel Create Authentication Policy (Crear directiva de autenticación), escriba o seleccione los valores siguientes:

    • Name: escriba un nombre para la directiva de autenticación.
    • Acción: Escriba SAML y seleccione Add (Agregar).
    • Expression (Expresión): Escriba true.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Create Authentication Policy pane.

  4. Seleccione Crear.

Creación de un servidor SAML de autenticación

Para crear un servidor SAML de autenticación, vaya al panel Create Authentication SAML Server (Crear servidor SAML de autenticación) y, a continuación, complete los pasos siguientes:

  1. En Name (Nombre), escriba un nombre para el servidor SAML de autenticación.

  2. En Export SAML Metadata (Exportar metadatos de SAML):

    1. Active la casilla Import Metadata (Importar metadatos).

    2. Escriba la dirección URL de metadatos de federación para la interfaz de usuario de SAML de Azure que haya copiado de Azure Portal.

  3. En Issuer Name (Nombre del emisor), escriba la dirección URL correspondiente.

  4. Seleccione Crear.

Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Create Authentication SAML Server pane.

Creación de un servidor virtual de autenticación

Para crear un servidor virtual de autenticación:

  1. Vaya a Security>AAA – Application Traffic>Policies>Authentication>Authentication Virtual Servers (Seguridad > AAA - Tráfico de aplicación > Directivas > Autenticación > Servidores virtuales de autenticación).

  2. Seleccione Add (Agregar) y, después, complete los pasos siguientes:

    1. En Name (Nombre), escriba un nombre para el servidor virtual de autenticación.

    2. Active la casilla Non-Addressable (No direccionable).

    3. En Protocol (Protocolo), seleccione SSL.

    4. Seleccione Aceptar.

  3. Seleccione Continuar.

Configuración del servidor virtual de autenticación para usar Microsoft Entra ID

Modifique dos secciones para el servidor virtual de autenticación:

  1. En el panel Advanced Authentication Policies (Directivas de autenticación avanzadas), seleccione No Authentication Policy (Sin directiva de autenticación).

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Advanced Authentication Policies pane.

  2. En el panel Policy Binding (Enlace de directiva), seleccione la directiva de autenticación y, a continuación, seleccione Bind (Enlazar).

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Policy Binding pane

  3. En el panel Form Based Virtual Servers (Servidores virtuales basados en formularios), seleccione No Load Balancing Virtual Server (Ningún servidor virtual de equilibrio de carga).

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Form Based Virtual Servers pane.

  4. En Authentication FQDN (FQDN de autenticación), escriba un nombre de dominio completo (obligatorio).

  5. Seleccione el servidor virtual de equilibrio de carga que quiere proteger con la autenticación de Microsoft Entra.

  6. Seleccione Enlazar.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Load Balancing Virtual Server Binding pane.

    Nota:

    Asegúrese también de seleccionar Done (Listo) en el panel Authentication Virtual Server Configuration (Configuración del servidor virtual de autenticación).

  7. Para comprobar los cambios, en un explorador, vaya a la dirección URL de la aplicación. Debería ver la página de inicio de sesión de inquilino en lugar del acceso no autenticado que habría visto anteriormente.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - A sign-in page in a web browser.

Configuración del inicio de sesión único de Citrix ADC SAML Connector for Microsoft Entra ID para la autenticación basada en Kerberos

Creación de una cuenta de delegación de Kerberos para Citrix ADC SAML Connector for Microsoft Entra ID

  1. Cree una cuenta de usuario (en este ejemplo, usamos AppDelegation).

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Properties pane.

  2. Configure un SPN de HOST para esta cuenta.

    Ejemplo: setspn -S HOST/AppDelegation.IDENTT.WORK identt\appdelegation

    En este ejemplo:

    • IDENTT.WORK es el FQDN del dominio.
    • identt es el nombre NetBIOS del dominio.
    • appdelegation es el nombre de la cuenta de usuario de delegación.

  3. Configure la delegación para el servidor web, tal como se muestra en la siguiente captura de pantalla:

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Delegation under Properties pane.

    Nota:

    En el ejemplo de captura de pantalla, el nombre del servidor web interno que ejecuta el sitio de autenticación integrada de Windows (WIA) es CWEB2.

Citrix ADC SAML Connector for Microsoft Entra AAA KCD (cuentas de delegación de Kerberos)

Para configurar la cuenta de AAA KCD Citrix ADC SAML Connector for Microsoft Entra:

  1. Vaya a Citrix Gateway>AAA KCD (Kerberos Constrained Delegation) Accounts (Puerta de enlace de Citrix > Cuentas de AA KCD [delegación restringida de Kerberos]).

  2. Seleccione Add (Agregar) y escriba o seleccione los siguientes valores:

    • Name: escriba un nombre para la cuenta de KCD.

    • Realm (Territorio): escriba el dominio y la extensión en mayúsculas.

    • Service SPN: (SPN de servicio) http/<host/fqdn>@<DOMAIN.COM>.

      Nota:

      @DOMAIN.COM es obligatorio y debe estar en mayúsculas. Ejemplo: http/cweb2@IDENTT.WORK.

    • Delegated User: escriba el nombre del usuario delegado.

    • Active la casilla Password for Delegated User (Contraseña para el usuario delegado), escriba una contraseña y confírmela.

  3. Seleccione Aceptar.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Configure KCD Account pane

Directiva de tráfico y perfil de tráfico de Citrix

Para configurar la directiva y el perfil de tráfico de Citrix:

  1. Vaya a Security>AAA - Application Traffic>Policies>Traffic Policies, Profiles and Form SSO ProfilesTraffic Policies (Seguridad > AAA - Tráfico de aplicación > Directivas > Directivas de tráfico, perfiles y Perfiles de SSO de formulario Perfiles de tráfico).

  2. Seleccione Traffic Profiles (Perfiles de tráfico).

  3. Seleccione Agregar.

  4. Para configurar un perfil de tráfico, escriba o seleccione los valores siguientes.

    • Name: escriba un nombre para el perfil de tráfico.

    • Single Sign-on (inicio de sesión único): seleccione ON (Activado).

    • KCD Account: seleccione la cuenta de KCD que ha creado en la sección anterior.

  5. Seleccione Aceptar.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Configure Traffic Profile pane.

  6. Seleccione Traffic Policy (Directiva de tráfico).

  7. Seleccione Agregar.

  8. Para configurar una directiva de tráfico, escriba o seleccione los valores siguientes:

    • Name: escriba un nombre para la directiva de tráfico.

    • Perfil: seleccione el perfil de tráfico que ha creado en la sección anterior.

    • Expression (Expresión): Escriba true.

  9. Seleccione Aceptar.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Configure Traffic Policy pane

Enlace de una directiva de tráfico a un servidor virtual en Citrix

Para enlazar una directiva de tráfico a un servidor virtual mediante la GUI:

  1. Vaya a Traffic Management (Administración del tráfico) >Load Balancing (Equilibrio de carga) >Virtual Servers (Servidores virtuales).

  2. En la lista de servidores virtuales, seleccione el servidor virtual al que desee enlazar la directiva de reescritura y, después, seleccione Open (Abrir).

  3. En el panel Load Balancing Virtual Server (Servidor virtual de equilibrio de carga), en Advanced Settings (Configuración avanzada), seleccione Policies (Directivas). Todas las directivas configuradas para la instancia de NetScaler aparecen en la lista.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Load Balancing Virtual Server pane.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Policies dialog box.

  4. Active la casilla situada junto al nombre de la directiva que desea enlazar a este servidor virtual.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Load Balancing Virtual Server Traffic Policy Binding pane.

  5. En el cuadro de diálogo Choose Type (Elegir tipo):

    1. En Choose Policy (Elegir directiva), seleccione Traffic (Tráfico).

    2. En Choose Type (Elegir tipo), seleccione Request (Solicitud).

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Choose Type pane.

  6. Cuando la directiva esté enlazada, seleccione Done (Listo).

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Policies pane.

  7. Pruebe el enlace mediante el sitio web de WIA.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - A test page in a web browser

Creación del usuario de prueba de Citrix ADC SAML Connector for Microsoft Entra

En esta sección, se creará un usuario llamado B.Simon en Citrix ADC SAML Connector for Microsoft Entra ID. Citrix ADC SAML Connector for Microsoft Entra ID admite el aprovisionamiento de usuarios Just-In-Time, que está habilitado de forma predeterminada. El usuario no tiene que hacer nada en esta sección. Si no existe un usuario en Citrix ADC SAML Connector for Microsoft Entra ID, se crea uno después de la autenticación.

Nota:

Si tiene que crear un usuario de forma manual, póngase en contacto con el equipo de soporte técnico de Citrix ADC SAML Connector for Microsoft Entra.

Prueba de SSO

En esta sección va a probar la configuración de inicio de sesión único de Microsoft Entra con las siguientes opciones.

  • Haga clic en Probar esta aplicación; esta acción le redirigirá a la dirección URL de inicio de sesión de Citrix ADC SAML Connector for Microsoft Entra, donde puede poner en marcha el flujo de inicio de sesión.

  • Vaya directamente a la dirección URL de inicio de sesión de Citrix ADC SAML Connector for Microsoft Entra e inicie el flujo de inicio de sesión desde allí.

  • Puede usar Mis aplicaciones de Microsoft. Al hacer clic en el icono de Citrix ADC SAML Connector for Microsoft Entra ID en Mis aplicaciones, se le redirigirá a la URL de inicio de sesión de la aplicación. Para más información acerca de Aplicaciones, consulte Inicio de sesión e inicio de aplicaciones desde el portal Aplicaciones.

Pasos siguientes

Una vez que haya configurado Citrix ADC SAML Connector for Microsoft Entra ID, podrá aplicar el control de sesión, que protege a la organización en tiempo real frente a la filtración e infiltración de información confidencial. El control de sesión procede del acceso condicional. Aprenda a aplicar el control de sesión con Microsoft Defender para aplicaciones en la nube.