Compartir vía

Tutorial: Integración del inicio de sesión único de Microsoft Entra con Citrix ADC SAML Connector for Microsoft Entra ID (autenticación basada en Kerberos)

  • Artículo

En este tutorial, descubrirá cómo integrar Citrix ADC SAML Connector for Microsoft Entra ID con Microsoft Entra ID. Al integrar Citrix ADC SAML Connector for Microsoft Entra ID con Microsoft Entra ID, puede hacer lo siguiente:

  • Controlar en Microsoft Entra ID quién tiene acceso a Citrix ADC SAML Connector for Microsoft Entra ID.
  • Permitir que los usuarios puedan iniciar sesión automáticamente en Citrix ADC SAML Connector for Microsoft Entra ID con sus cuentas de Microsoft Entra.
  • Administre sus cuentas en una ubicación central.

Requisitos previos

Para empezar, necesita lo siguiente:

  • Una suscripción a Microsoft Entra. Si no tiene una suscripción, puede obtener una cuenta gratuita.
  • Suscripción habilitada para el inicio de sesión único (SSO) en Citrix ADC SAML Connector for Microsoft Entra ID.

Descripción del escenario

En este tutorial va a configurar y probar el SSO de Microsoft Entra en un entorno de prueba. El tutorial incluye estos escenarios:

Para integrar Citrix ADC SAML Connector for Microsoft Entra ID con Microsoft Entra ID, agregue primero esta aplicación desde la galería a la lista de aplicaciones SaaS administradas:

  1. Inicie sesión en el Centro de administración Microsoft Entra como Administrador de aplicaciones en la nube.

  2. Vaya a Identidad>Aplicaciones>Aplicaciones empresariales>Nueva aplicación.

  3. En la sección Agregar desde la galería, escriba Citrix ADC SAML Connector for Microsoft Entra ID en el cuadro de búsqueda.

  4. En los resultados, seleccione Citrix ADC SAML Connector for Microsoft Entra ID y agregue la aplicación. Espere unos segundos mientras la aplicación se agrega al inquilino.

Si lo desea, puedes usar también el asistente para la configuración de aplicaciones empresariales. En este asistente, puede agregar una aplicación al inquilino, agregar usuarios o grupos a la aplicación y asignar roles, así como recorrer la configuración de SSO. Obtenga más información sobre los asistentes de Microsoft 365.

Configuración y prueba del inicio de sesión único de Microsoft Entra para Citrix ADC SAML Connector for Microsoft Entra ID

Configure y pruebe el inicio de sesión único de Microsoft Entra con Citrix ADC SAML Connector for Microsoft Entra ID mediante un usuario de prueba llamado B.Simon. Para que el inicio de sesión único funcione, es necesario establecer una relación de vínculo entre un usuario de Microsoft Entra y el usuario relacionado de Citrix ADC SAML Connector for Microsoft Entra ID.

Para probar y configurar el inicio de sesión único de Microsoft Entra con Citrix ADC SAML Connector for Microsoft Entra ID, siga estos pasos:

  1. Configurar el SSO de Microsoft Entra para que los usuarios puedan usar esta característica.

    1. Crear un usuario de prueba de Microsoft Entra para probar el SSO de Microsoft Entra con B.Simon.

    2. Asignar el usuario de prueba de Microsoft Entra para permitir que B.Simon use el inicio de sesión único de Microsoft Entra.

  2. Configurar el SSO de Citrix ADC SAML Connector for Microsoft Entra para configurar los valores de SSO en la aplicación.

    1. Crear un usuario de prueba de Citrix ADC SAML Connector for Microsoft Entra ID para tener un homólogo de B.Simon en Citrix ADC SAML Connector for Microsoft Entra ID vinculado a la representación del usuario en Microsoft Entra.

  3. Probar el SSO para comprobar si la configuración funciona.

Configuración del SSO de Microsoft Entra

Para habilitar el SSO de Microsoft Entra en Azure Portal, siga estos pasos:

  1. Inicie sesión en el Centro de administración Microsoft Entra como Administrador de aplicaciones en la nube.

  2. Vaya al panel de integración de aplicaciones en Identidad>Aplicaciones>Aplicaciones empresariales>Citrix ADC SAML Connector for Microsoft Entra ID y en Administrar, seleccione Inicio de sesión único.

  3. En el panel Seleccione un método de inicio de sesión único, seleccione SAML.

  4. En el panel Configurar el inicio de sesión único con SAML, seleccione el icono con forma de lápiz para abrir el cuadro de diálogo Configuración básica de SAML y modificar la configuración.

    Captura de pantalla que muestra cómo editar la Configuración básica de SAML.

  5. En la sección Configuración básica de SAML, para configurar la aplicación en modo iniciado por IDP, siga estos pasos:

    1. En el cuadro de texto Identificador, escriba una dirección URL con el siguiente formato: https://<YOUR_FQDN>.

    2. En el cuadro de texto URL de respuesta, escriba una dirección URL con el siguiente formato: http(s)://<YOUR_FQDN>.of.vserver/cgi/samlauth.

  6. Para configurar la aplicación en modo iniciado por SP, seleccione Establecer direcciones URL adicionales y siga este paso:

    • En el cuadro de texto URL de inicio de sesión, escriba una dirección URL con el siguiente formato: https://<YOUR_FQDN>/CitrixAuthService/AuthService.asmx.

    Nota:

    • Las direcciones URL que se usan en esta sección no son valores reales. Actualice estos valores con los reales de Identificador, URL de respuesta y URL de inicio de sesión. Para obtener estos valores, póngase en contacto con el equipo de soporte técnico al cliente de Citrix ADC SAML Connector for Microsoft Entra ID. También puede consultar los patrones que se muestran en la sección Configuración básica de SAML.
    • Para configurar el inicio de sesión único, las direcciones URL deben ser accesibles desde sitios web públicos. Deberá habilitar el firewall u otras opciones de seguridad en Citrix ADC SAML Connector for Microsoft Entra ID para que Microsoft Entra ID pueda publicar el token en la dirección URL configurada.

  7. En la página Configurar el inicio de sesión único con SAML, en la sección Certificado de firma de SAML, en Dirección URL de metadatos de federación de aplicación, copie la dirección URL y guárdela en el Bloc de notas.

    Captura de pantalla que muestra el vínculo de descarga del certificado.

  8. En la sección Configurar Citrix ADC SAML Connector for Microsoft Entra ID, copie las direcciones URL correspondientes según las necesidades.

    Captura de pantalla que muestra la copia de las URL de configuración.

Creación de un usuario de prueba de Microsoft Entra

En esta sección, creará un usuario llamado B.Simon.

  1. Inicie sesión en el Centro de administración Microsoft Entra al menos como Administrador de usuario.
  2. Ve a Identidad>Usuarios>Todos los usuarios.
  3. Seleccione Nuevo usuario>Crear nuevo usuario, en la parte superior de la pantalla.
  4. En las propiedades del usuario, siga estos pasos:
    1. En el campo Nombre para mostrar, escriba B.Simon.
    2. En el campo Nombre principal de usuario, escriba username@companydomain.extension. Por ejemplo, B.Simon@contoso.com.
    3. Seleccione la casilla Mostrar contraseña y, después, anote el valor que se muestra en el cuadro Contraseña.
    4. Seleccione Revisar + crear.
  5. Seleccione Crear.

Asignación del usuario de prueba de Microsoft Entra

En esta sección, va a permitir que el usuario B.Simon acceda a Citrix ADC SAML Connector for Microsoft Entra ID mediante el SSO de Azure.

  1. Vaya a Identidad>Aplicaciones>Aplicaciones empresariales.

  2. En la lista de aplicaciones, seleccione Citrix ADC SAML Connector for Microsoft Entra ID.

  3. En la información general de la aplicación, en Administrar, seleccione Usuarios y grupos.

  4. Seleccione Agregar usuario. Después, en el cuadro de diálogo Agregar asignación, seleccione Usuarios y grupos.

  5. En el cuadro de diálogo Usuarios y grupos, en la lista Usuarios seleccione B.Simon. Elija Seleccionar.

  6. Si esperas que se asigne un rol a los usuarios, puedes seleccionarlo en la lista desplegable Seleccionar un rol. Si no se ha configurado ningún rol para esta aplicación, verás seleccionado el rol "Acceso predeterminado".

  7. En el cuadro de diálogo Agregar asignación, seleccione Asignar.

Configuración del inicio de sesión único de Citrix ADC SAML Connector for Microsoft Entra

Seleccione un vínculo para ver los pasos para el tipo de autenticación que quiere configurar:

Publicación del servidor web

Para crear un servidor virtual, haga lo siguiente:

  1. Seleccione Traffic Management>Load Balancing>Services (Administración del tráfico > Equilibrio de carga > Servicios).

  2. Seleccione Agregar.

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: panel de servicios.

  3. Establezca los siguientes valores para el servidor web que ejecuta las aplicaciones:

    • Nombre del servicio
    • IP de servidor/Servidor existente
    • Protocolo
    • Puerto

Configuración del equilibrador de carga

Para configurar el equilibrador de carga, haga lo siguiente:

  1. Vaya a Traffic Management>Load Balancing>Services (Administración del tráfico > Equilibrio de carga > Servicios).

  2. Seleccione Agregar.

  3. Establezca los valores siguientes tal y como se describe en la captura de pantalla:

    • Nombre
    • Protocolo
    • Dirección IP
    • Puerto

  4. Seleccione Aceptar.

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: panel de configuración básica.

Enlace del servidor virtual

Para enlazar el equilibrador de carga con el servidor virtual, haga lo siguiente:

  1. En el panel Services and Service Groups (Servicios y grupos de servicios), seleccione No Load Balancing Virtual Server Service Binding (No hay enlace de servicio del servidor virtual de equilibrio de carga).

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: panel de enlace del servicio de servidor virtual de equilibrio de carga.

  2. Compruebe la configuración como se muestra en la siguiente captura de pantalla y, después, seleccione Close (Cerrar).

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: comprobación del enlace de servicios de servidor virtual.

Enlace del certificado

Para publicar este servicio como TLS, enlace el certificado de servidor y, después, pruebe la aplicación:

  1. En Certificate (Certificado), seleccione No Server Certificate (Ningún certificado de servidor).

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: panel de certificados de servidor.

  2. Compruebe la configuración como se muestra en la siguiente captura de pantalla y, después, seleccione Close (Cerrar).

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: comprobación del certificado.

Perfil de SAML de Citrix ADC SAML Connector for Microsoft Entra

Para configurar el perfil de SAML de Citrix ADC SAML Connector for Microsoft Entra, complete las secciones siguientes.

Creación de una directiva de autenticación

Para crear una directiva de autenticación, haga lo siguiente:

  1. Vaya a Security>AAA – Application Traffic>Policies>Authentication>Authentication Policies (Seguridad > AAA – Tráfico de aplicación > Directivas > Autenticación > Directivas de autenticación).

  2. Seleccione Agregar.

  3. En el panel Create Authentication Policy (Crear directiva de autenticación), escriba o seleccione los valores siguientes:

    • Name (Nombre): escriba un nombre para la directiva de autenticación.
    • Action (Acción): escriba SAML y seleccione Add (Agregar).
    • Expression (Expresión): escriba true.

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: panel de creación de directivas de autenticación.

  4. Seleccione Crear.

Creación de un servidor SAML de autenticación

Para crear un servidor SAML de autenticación, vaya al panel Create Authentication SAML Server (Crear servidor SAML de autenticación) y, después, complete los pasos siguientes:

  1. En Name (Nombre), escriba un nombre para el servidor SAML de autenticación.

  2. En Export SAML Metadata (Exportar metadatos de SAML):

    1. Active la casilla Import Metadata (Importar metadatos).

    2. Escriba la dirección URL de metadatos de federación para la interfaz de usuario de SAML de Azure que haya copiado de Azure Portal.

  3. En Issuer Name (Nombre del emisor), escriba la dirección URL correspondiente.

  4. Seleccione Crear.

Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: panel de creación de servidor SAML de autenticación.

Creación de un servidor virtual de autenticación

Para crear un servidor virtual de autenticación, haga lo siguiente:

  1. Vaya a Security>AAA – Application Traffic>Policies>Authentication>Authentication Virtual Servers (Seguridad > AAA - Tráfico de aplicación > Directivas > Autenticación > Servidores virtuales de autenticación).

  2. Seleccione Add (Agregar) y, después, complete los pasos siguientes:

    1. En Name (Nombre), escriba un nombre para el servidor virtual de autenticación.

    2. Active la casilla Non-Addressable (No direccionable).

    3. En Protocol (Protocolo), seleccione SSL.

    4. Seleccione Aceptar.

  3. Seleccione Continuar.

Configuración del servidor virtual de autenticación para usar Microsoft Entra ID

Modifique dos secciones para el servidor virtual de autenticación:

  1. En el panel Advanced Authentication Policies (Directivas de autenticación avanzadas), seleccione No Authentication Policy (Sin directiva de autenticación).

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: panel de directivas avanzadas de autenticación.

  2. En el panel Policy Binding (Enlace de directiva), seleccione la directiva de autenticación y, a continuación, seleccione Bind (Enlazar).

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: panel de enlace de directivas.

  3. En el panel Form Based Virtual Servers (Servidores virtuales basados en formularios), seleccione No Load Balancing Virtual Server (Ningún servidor virtual de equilibrio de carga).

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: panel de servidores virtuales basados en formulario.

  4. En Authentication FQDN (FQDN de autenticación), escriba un nombre de dominio completo (obligatorio).

  5. Seleccione el servidor virtual de equilibrio de carga que quiere proteger con la autenticación de Microsoft Entra.

  6. Seleccione Enlazar.

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: panel de enlace de servidor virtual de equilibrio de carga.

    Nota:

    Asegúrese también de seleccionar Done (Listo) en el panel Authentication Virtual Server Configuration (Configuración del servidor virtual de autenticación).

  7. Para comprobar los cambios, en un explorador, vaya a la dirección URL de la aplicación. Debería ver la página de inicio de sesión de inquilino en lugar del acceso no autenticado que habría visto anteriormente.

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: una página de inicio de sesión en un navegador web.

Configuración del SSO de Citrix ADC SAML Connector for Microsoft Entra ID para la autenticación basada en Kerberos

Creación de una cuenta de delegación de Kerberos para Citrix ADC SAML Connector for Microsoft Entra ID

  1. Cree una cuenta de usuario (en este ejemplo, usamos AppDelegation).

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: panel de propiedades.

  2. Configure un SPN de HOST para esta cuenta.

    Ejemplo: setspn -S HOST/AppDelegation.IDENTT.WORK identt\appdelegation

    En este ejemplo:

    • IDENTT.WORK es el FQDN del dominio.
    • identt es el nombre NetBIOS del dominio.
    • appdelegation es el nombre de la cuenta de usuario de delegación.

  3. Configure la delegación para el servidor web, tal como se muestra en la siguiente captura de pantalla:

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: panel de delegación en Propiedades.

    Nota:

    En el ejemplo de captura de pantalla, el nombre del servidor web interno que ejecuta el sitio de autenticación integrada de Windows (WIA) es CWEB2.

Citrix ADC SAML Connector for Microsoft Entra AAA KCD (cuentas de delegación de Kerberos)

Para configurar la cuenta de AAA KCD Citrix ADC SAML Connector for Microsoft Entra, haga lo siguiente:

  1. Vaya a Citrix Gateway>AAA KCD (Kerberos Constrained Delegation) Accounts (Puerta de enlace de Citrix > Cuentas de AA KCD [delegación restringida de Kerberos]).

  2. Seleccione Add (Agregar) y escriba o seleccione los siguientes valores:

    • Name: escriba un nombre para la cuenta de KCD.

    • Realm (Territorio): escriba el dominio y la extensión en mayúsculas.

    • Service SPN: (SPN de servicio) http/<host/fqdn>@<DOMAIN.COM>.

      Nota:

      @DOMAIN.COM es obligatorio y debe estar en mayúsculas. Ejemplo: http/cweb2@IDENTT.WORK.

    • Delegated User: escriba el nombre del usuario delegado.

    • Active la casilla Password for Delegated User (Contraseña para el usuario delegado), escriba una contraseña y confírmela.

  3. Seleccione Aceptar.

Directiva de tráfico y perfil de tráfico de Citrix

Para configurar la directiva y el perfil de tráfico de Citrix:

  1. Vaya a Security>AAA - Application Traffic>Policies>Traffic Policies, Profiles and Form SSO ProfilesTraffic Policies (Seguridad > AAA - Tráfico de aplicación > Directivas > Directivas de tráfico, perfiles y Perfiles de SSO de formulario Perfiles de tráfico).

  2. Seleccione Traffic Profiles (Perfiles de tráfico).

  3. Seleccione Agregar.

  4. Para configurar un perfil de tráfico, escriba o seleccione los valores siguientes.

    • Name: escriba un nombre para el perfil de tráfico.

    • Single Sign-on (inicio de sesión único): seleccione ON (Activado).

    • KCD Account: seleccione la cuenta de KCD que ha creado en la sección anterior.

  5. Seleccione Aceptar.

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: panel de configuración del perfil de tráfico.

  6. Seleccione Traffic Policy (Directiva de tráfico).

  7. Seleccione Agregar.

  8. Para configurar una directiva de tráfico, escriba o seleccione los valores siguientes:

    • Name: escriba un nombre para la directiva de tráfico.

    • Perfil: seleccione el perfil de tráfico que ha creado en la sección anterior.

    • Expression (Expresión): escriba true.

  9. Seleccione Aceptar.

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: panel de configuración de la directiva de tráfico.

Enlace de una directiva de tráfico a un servidor virtual en Citrix

Para enlazar una directiva de tráfico a un servidor virtual mediante la GUI:

  1. Vaya a Traffic Management>Load Balancing>Services (Administración del tráfico > Equilibrio de carga > Servicios).

  2. En la lista de servidores virtuales, seleccione el servidor virtual al que quiera enlazar la directiva de reescritura y, después, seleccione Open (Abrir).

  3. En el panel Load Balancing Virtual Server (Servidor virtual de equilibrio de carga), en Advanced Settings (Configuración avanzada), seleccione Policies (Directivas). Todas las directivas configuradas para la instancia de NetScaler aparecen en la lista.

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: panel de servidor virtual de equilibrio de carga.

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: cuadro de diálogo de directivas.

  4. Active la casilla situada junto al nombre de la directiva que quiere enlazar a este servidor virtual.

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: panel de enlace de directiva de tráfico de servidor virtual de equilibrio de carga.

  5. En el cuadro de diálogo Choose Type (Elegir tipo):

    1. En Choose Policy (Elegir directiva), seleccione Traffic (Tráfico).

    2. En Choose Type (Elegir tipo), seleccione Request (Solicitud).

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: panel de selección del tipo.

  6. Cuando la directiva esté enlazada, seleccione Done (Listo).

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: panel de directivas.

  7. Pruebe el enlace mediante el sitio web de WIA.

    Captura de pantalla de la configuración de Citrix ADC SAML Connector for Microsoft Entra: una página de prueba en un navegador web.

Creación del usuario de prueba de Citrix ADC SAML Connector for Microsoft Entra

En esta sección, se creará un usuario llamado B.Simon en Citrix ADC SAML Connector for Microsoft Entra ID. Citrix ADC SAML Connector for Microsoft Entra ID admite el aprovisionamiento de usuarios cuando es necesario, que está habilitado de forma predeterminada. El usuario no tiene que hacer nada en esta sección. Si no existe un usuario en Citrix ADC SAML Connector for Microsoft Entra ID, se crea uno después de la autenticación.

Nota:

Si tiene que crear un usuario de forma manual, póngase en contacto con el equipo de soporte técnico de Citrix ADC SAML Connector for Microsoft Entra.

Prueba de SSO

En esta sección va a probar la configuración de inicio de sesión único de Microsoft Entra con las siguientes opciones.

  • Haga clic en Probar esta aplicación; esta acción le redirigirá a la dirección URL de inicio de sesión de Citrix ADC SAML Connector for Microsoft Entra, donde puede poner en marcha el flujo de inicio de sesión.

  • Vaya directamente a la dirección URL de inicio de sesión de Citrix ADC SAML Connector for Microsoft Entra e inicie el flujo de inicio de sesión desde allí.

  • Puede usar Mis aplicaciones de Microsoft. Al hacer clic en el icono de Citrix ADC SAML Connector for Microsoft Entra ID en Mis aplicaciones, se le redirigirá a la URL de inicio de sesión de la aplicación. Para más información acerca de Aplicaciones, vea Inicio de sesión e inicio de aplicaciones desde el portal Aplicaciones.

Pasos siguientes

Una vez que haya configurado Citrix ADC SAML Connector for Microsoft Entra ID, podrá aplicar el control de sesión, que protege a la organización en tiempo real frente a la filtración e infiltración de información confidencial. El control de sesión procede del acceso condicional. Aprende a aplicar el control de sesión con Microsoft Defender for Cloud Apps.