Compartir vía

Integración del inicio de sesión único de Microsoft Entra con Citrix ADC (autenticación basada en encabezados)

  • Artículo

En este tutorial, obtendrá información sobre cómo integrar Citrix ADC con Microsoft Entra ID. Al integrar Citrix ADC con Microsoft Entra ID, puede hacer lo siguiente:

  • Controlar en Microsoft Entra ID quién tiene acceso a Citrix ADC.
  • Permitir que los usuarios puedan iniciar sesión automáticamente en Citrix ADC con sus cuentas de Microsoft Entra.
  • Administre sus cuentas en una ubicación central.

Requisitos previos

Para empezar, necesita lo siguiente:

  • Una suscripción a Microsoft Entra. Si no tiene una suscripción, puede obtener una cuenta gratuita.
  • Una suscripción habilitada para el inicio de sesión único (SSO) en Citrix ADC.

Descripción del escenario

En este tutorial va a configurar y probar el SSO de Microsoft Entra en un entorno de prueba. El tutorial incluye estos escenarios:

Para integrar Citrix ADC con Citrix ADC, primero agregue la aplicación a la lista de aplicaciones SaaS administradas desde la galería:

  1. Inicie sesión en el Centro de administración Microsoft Entra como Administrador de aplicaciones en la nube.

  2. Vaya a Identidad>Aplicaciones>Aplicaciones empresariales>Nueva aplicación.

  3. En la sección Agregar desde la galería, escriba Citrix ADC en el cuadro de búsqueda.

  4. En los resultados, seleccione Citrix ADC y agregue la aplicación. Espere unos segundos mientras la aplicación se agrega al inquilino.

Si lo desea, puedes usar también el asistente para la configuración de aplicaciones empresariales. En este asistente, puede agregar una aplicación al inquilino, agregar usuarios o grupos a la aplicación y asignar roles, así como recorrer la configuración de SSO. Obtenga más información sobre los asistentes de Microsoft 365.

Configuración y prueba del inicio de sesión único de Microsoft Entra para Citrix ADC

Configure y pruebe el inicio de sesión único de Microsoft Entra con Citrix ADC mediante un usuario de prueba llamado B. Simon. Para que el inicio de sesión único funcione, es necesario establecer una relación de vínculo entre un usuario de Microsoft Entra y el usuario relacionado de Citrix ADC.

Para configurar y probar el inicio de sesión único de Microsoft Entra con Citrix ADC, complete los siguientes pasos:

  1. Configurar el SSO de Microsoft Entra para que los usuarios puedan usar esta característica.

    1. Crear un usuario de prueba de Microsoft Entra para probar el SSO de Microsoft Entra con B.Simon.

    2. Asignar el usuario de prueba de Microsoft Entra para permitir que B.Simon use el inicio de sesión único de Microsoft Entra.

  2. Configurar el SSO de Citrix ADC para definir los valores de SSO en la aplicación.

  3. Probar el SSO para comprobar si la configuración funciona.

Configuración del SSO de Microsoft Entra

Para habilitar el SSO de Microsoft Entra en Azure Portal, siga estos pasos:

  1. Inicie sesión en el Centro de administración Microsoft Entra como Administrador de aplicaciones en la nube.

  2. Vaya al panel de integración de aplicaciones en Identidad>Aplicaciones>Aplicaciones empresariales>Citrix ADC y en Administrar, seleccione Inicio de sesión único.

  3. En el panel Seleccione un método de inicio de sesión único, seleccione SAML.

  4. En el panel Configurar el inicio de sesión único con SAML, seleccione el icono con forma de lápiz Editar para abrir el cuadro de diálogo Configuración básica de SAML y modificar la configuración.

    Edición de la configuración básica de SAML

  5. En la sección Configuración básica de SAML, para configurar la aplicación en modo iniciado por IDP:

    1. En el cuadro de texto Identificador, escriba una dirección URL con el siguiente formato: https://<Your FQDN>.

    2. En el cuadro de texto URL de respuesta, escriba una dirección URL con el siguiente formato: https://<Your FQDN>/CitrixAuthService/AuthService.asmx.

  6. Para configurar la aplicación en modo iniciado por SP, seleccione Establecer direcciones URL adicionales y haga lo siguiente:

    • En el cuadro de texto URL de inicio de sesión, escriba una dirección URL con el siguiente formato: https://<Your FQDN>/CitrixAuthService/AuthService.asmx.

    Nota:

    • Las direcciones URL que se usan en esta sección no son valores reales. Actualice estos valores con los reales de Identificador, URL de respuesta y URL de inicio de sesión. Para obtener los valores, póngase en contacto con el equipo de soporte técnico al cliente de Citrix ADC. También puede consultar los patrones que se muestran en la sección Configuración básica de SAML.
    • Para configurar el inicio de sesión único, las direcciones URL deben ser accesibles desde sitios web públicos. Deberá habilitar el firewall u otras opciones de seguridad en Citrix ADC para que Microsoft Entra ID pueda publicar el token en la dirección URL configurada.

  7. En la página Configurar el inicio de sesión único con SAML, en la sección Certificado de firma de SAML, en Dirección URL de metadatos de federación de aplicación, copie la dirección URL y guárdela en el Bloc de notas.

    Vínculo de descarga del certificado

  8. La aplicación Citrix ADC espera que las aserciones de SAML en un formato específico, que requiere que se agreguen asignaciones de atributos personalizados a la configuración de los atributos del token de SAML. La siguiente captura de muestra la lista de atributos predeterminados. Seleccione el icono Editar y cambie la asignación de atributos.

    Edición de las asignaciones de atributos de SAML

  9. La aplicación Citrix ADC también espera que se devuelvan algunos atributos más en la respuesta de SAML. En el cuadro de diálogo Atributos de usuario, en Notificaciones de usuario, complete los siguientes pasos para agregar los atributos del token SAML como se muestra en la tabla:

    Nombre Atributo de origen
    mySecretID user.userprincipalname

    1. Seleccione Agregar nueva notificación para abrir el cuadro de diálogo Administrar las notificaciones del usuario.

    2. En el cuadro de texto Nombre, escriba el nombre del atributo que se muestra para esa fila.

    3. Deje Espacio de nombres en blanco.

    4. En Atributo, seleccione Origen.

    5. En la lista Atributo de origen, escriba el valor del atributo que se muestra para esa fila.

    6. Seleccione Aceptar.

    7. Seleccione Guardar.

  10. En la sección Set up Citrix ADC (Configurar Citrix ADC), copie las direcciones URL pertinentes según sus necesidades.

    Copia de las direcciones URL de configuración

Creación de un usuario de prueba de Microsoft Entra

En esta sección, se crea un usuario de prueba llamado B.Simon.

  1. Inicie sesión en el Centro de administración Microsoft Entra al menos como Administrador de usuarios.
  2. Ve a Identidad>Usuarios>Todos los usuarios.
  3. Seleccione Nuevo usuario>Crear nuevo usuario, en la parte superior de la pantalla.
  4. En las propiedades del usuario, siga estos pasos:
    1. En el campo Nombre para mostrar, escriba B.Simon.
    2. En el campo Nombre principal de usuario, escriba username@companydomain.extension. Por ejemplo, B.Simon@contoso.com.
    3. Seleccione la casilla Mostrar contraseña y, después, anote el valor que se muestra en el cuadro Contraseña.
    4. Seleccione Revisar + crear.
  5. Seleccione Crear.

Asignación del usuario de prueba de Microsoft Entra

En esta sección, va a permitir que B.Simon acceda a Citrix ADC mediante el inicio de sesión único de Azure.

  1. Vaya a Identidad>Aplicaciones>Aplicaciones empresariales.

  2. En la lista de aplicaciones, seleccione Citrix ADC.

  3. En la información general de la aplicación, en Administrar, seleccione Usuarios y grupos.

  4. Seleccione Agregar usuario. Después, en el cuadro de diálogo Agregar asignación, seleccione Usuarios y grupos.

  5. En el cuadro de diálogo Usuarios y grupos, en la lista Usuarios seleccione B.Simon. Elija Seleccionar.

  6. Si esperas que se asigne un rol a los usuarios, puedes seleccionarlo en la lista desplegable Seleccionar un rol. Si no se ha configurado ningún rol para esta aplicación, verás seleccionado el rol "Acceso predeterminado".

  7. En el cuadro de diálogo Agregar asignación, seleccione Asignar.

Configuración del SSO de Citrix ADC

Seleccione un vínculo para ver los pasos para el tipo de autenticación que quiere configurar:

Publicación del servidor web

Para crear un servidor virtual, haga lo siguiente:

  1. Seleccione Traffic Management>Load Balancing>Services (Administración del tráfico > Equilibrio de carga > Servicios).

  2. Seleccione Agregar.

    Configuración de Citrix ADC: panel de servicios

  3. Establezca los siguientes valores para el servidor web que ejecuta las aplicaciones:

    • Nombre del servicio

    • IP de servidor/Servidor existente

    • Protocolo

    • Puerto

      Panel de configuración de Citrix ADC

Configuración del equilibrador de carga

Para configurar el equilibrador de carga, haga lo siguiente:

  1. Vaya a Traffic Management>Load Balancing>Services (Administración del tráfico > Equilibrio de carga > Servicios).

  2. Seleccione Agregar.

  3. Establezca los valores siguientes tal y como se describe en la captura de pantalla:

    • Nombre
    • Protocolo
    • Dirección IP
    • Puerto

  4. Seleccione Aceptar.

    Configuración de Citrix ADC: panel de configuración básica

Enlace del servidor virtual

Para enlazar el equilibrador de carga con el servidor virtual, haga lo siguiente:

  1. En el panel Services and Service Groups (Servicios y grupos de servicios), seleccione No Load Balancing Virtual Server Service Binding (No hay enlace de servicio del servidor virtual de equilibrio de carga).

    Configuración de Citrix ADC: panel de enlace de servicio del servidor virtual de equilibrio de carga

  2. Compruebe la configuración como se muestra en la siguiente captura de pantalla y, después, seleccione Close (Cerrar).

    Configuración de Citrix ADC: comprobación del enlace de servicios de servidor virtual

Enlace del certificado

Para publicar este servicio como TLS, enlace el certificado de servidor y, después, pruebe la aplicación:

  1. En Certificate (Certificado), seleccione No Server Certificate (Ningún certificado de servidor).

    Configuración de Citrix ADC: panel de certificado de servidor

  2. Compruebe la configuración como se muestra en la siguiente captura de pantalla y, después, seleccione Close (Cerrar).

    Configuración de Citrix ADC: comprobación del certificado

Perfil de SAML de Citrix ADC

Para configurar el perfil de SAML de Citrix ADC, complete las secciones siguientes:

Creación de una directiva de autenticación

Para crear una directiva de autenticación, haga lo siguiente:

  1. Vaya a Security>AAA – Application Traffic>Policies>Authentication>Authentication Policies (Seguridad > AAA – Tráfico de aplicación > Directivas > Autenticación > Directivas de autenticación).

  2. Seleccione Agregar.

  3. En el panel Create Authentication Policy (Crear directiva de autenticación), escriba o seleccione los valores siguientes:

    • Name (Nombre): escriba un nombre para la directiva de autenticación.
    • Action (Acción): escriba SAML y seleccione Add (Agregar).
    • Expression (Expresión): escriba true.

    Configuración de Citrix ADC: panel de creación de la directiva de autenticación

  4. Seleccione Crear.

Creación de un servidor SAML de autenticación

Para crear un servidor SAML de autenticación, vaya al panel Create Authentication SAML Server (Crear servidor SAML de autenticación) y, después, complete los pasos siguientes:

  1. En Name (Nombre), escriba un nombre para el servidor SAML de autenticación.

  2. En Export SAML Metadata (Exportar metadatos de SAML):

    1. Active la casilla Import Metadata (Importar metadatos).

    2. Escriba la dirección URL de metadatos de federación para la interfaz de usuario de SAML de Azure que haya copiado de Azure Portal.

  3. En Issuer Name (Nombre del emisor), escriba la dirección URL correspondiente.

  4. Seleccione Crear.

Configuración de Citrix ADC: panel de creación del servidor SAML de autenticación

Creación de un servidor virtual de autenticación

Para crear un servidor virtual de autenticación, haga lo siguiente:

  1. Vaya a Security>AAA – Application Traffic>Policies>Authentication>Authentication Virtual Servers (Seguridad > AAA - Tráfico de aplicación > Directivas > Autenticación > Servidores virtuales de autenticación).

  2. Seleccione Add (Agregar) y, después, complete los pasos siguientes:

    1. En Name (Nombre), escriba un nombre para el servidor virtual de autenticación.

    2. Active la casilla Non-Addressable (No direccionable).

    3. En Protocol (Protocolo), seleccione SSL.

    4. Seleccione Aceptar.

    Configuración de Citrix ADC: panel del servidor de autenticación virtual

Configuración del servidor virtual de autenticación para usar Microsoft Entra ID

Modifique dos secciones para el servidor virtual de autenticación:

  1. En el panel Advanced Authentication Policies (Directivas de autenticación avanzadas), seleccione No Authentication Policy (Sin directiva de autenticación).

    Configuración de Citrix ADC: panel de directivas de autenticación avanzadas

  2. En el panel Policy Binding (Enlace de directiva), seleccione la directiva de autenticación y, a continuación, seleccione Bind (Enlazar).

    Configuración de Citrix ADC: panel de enlace de directiva

  3. En el panel Form Based Virtual Servers (Servidores virtuales basados en formularios), seleccione No Load Balancing Virtual Server (Ningún servidor virtual de equilibrio de carga).

    Configuración de Citrix ADC: panel de servidores virtuales basados en formularios

  4. En Authentication FQDN (FQDN de autenticación), escriba un nombre de dominio completo (obligatorio).

  5. Seleccione el servidor virtual de equilibrio de carga que quiere proteger con la autenticación de Microsoft Entra.

  6. Seleccione Enlazar.

    Configuración de Citrix ADC: panel de enlace del servidor virtual de equilibrio de carga

    Nota:

    Asegúrese también de seleccionar Done (Listo) en el panel Authentication Virtual Server Configuration (Configuración del servidor virtual de autenticación).

  7. Para comprobar los cambios, en un explorador, vaya a la dirección URL de la aplicación. Debería ver la página de inicio de sesión de inquilino en lugar del acceso no autenticado que habría visto anteriormente.

    Configuración de Citrix ADC: una página de inicio de sesión en un explorador web

Configuración del SSO de Citrix ADC para la autenticación basada en encabezados

Configuración de Citrix ADC

A fin de configurar Citrix ADC para la autenticación basada en encabezados, complete las secciones siguientes.

Creación de una acción de reescritura

  1. Vaya a AppExpert>Rewrite>Rewrite Actions (AppExpert > Reescritura > Acciones de reescritura).

    Configuración de Citrix ADC: panel de acciones de reescritura

  2. Seleccione Add (Agregar) y, después, complete los pasos siguientes:

    1. En Name (Nombre), escriba una nombre para la acción de reescritura.

    2. En Type (Tipo), escriba INSERT_HTTP_HEADER.

    3. En Header Name (Nombre de encabezado), escriba un nombre de encabezado (en este ejemplo, se usa SecretID).

    4. En Expresión, escriba aaa.USER.ATTRIBUTE("mySecretID"), donde mySecretID es la notificación de SAML de Microsoft Entra enviada a Citrix ADC.

    5. Seleccione Crear.

    Configuración de Citrix ADC: panel de creación de la acción de reescritura

Creación de una directiva de reescritura

  1. Vaya a AppExpert>Rewrite>Rewrite Policies (AppExpert > Reescritura > Directivas de reescritura).

    Configuración de Citrix ADC: panel de directivas de reescritura

  2. Seleccione Add (Agregar) y, después, complete los pasos siguientes:

    1. En Name (Nombre), escriba un nombre para la directiva de reescritura.

    2. En Action (Acción), seleccione la acción de reescritura que ha creado en la sección anterior.

    3. En Expression (Expresión), escriba true.

    4. Seleccione Crear.

    Configuración de Citrix ADC: panel de creación de la directiva de reescritura

Enlace de la directiva de reescritura a un servidor virtual

Para enlazar una directiva de reescritura a un servidor virtual mediante la GUI, haga lo siguiente:

  1. Vaya a Traffic Management>Load Balancing>Services (Administración del tráfico > Equilibrio de carga > Servicios).

  2. En la lista de servidores virtuales, seleccione el servidor virtual al que quiera enlazar la directiva de reescritura y, después, seleccione Open (Abrir).

  3. En el panel Load Balancing Virtual Server (Servidor virtual de equilibrio de carga), en Advanced Settings (Configuración avanzada), seleccione Policies (Directivas). Todas las directivas configuradas para la instancia de NetScaler aparecen en la lista. Configuración de Citrix ADC: panel del servidor virtual de equilibrio de carga

  4. Active la casilla situada junto al nombre de la directiva que quiere enlazar a este servidor virtual.

    Configuración de Citrix ADC: panel de enlace de la directiva de tráfico del servidor virtual de equilibrio de carga

  5. En el cuadro de diálogo Choose Type (Elegir tipo):

    1. En Choose Policy (Elegir directiva), seleccione Traffic (Tráfico).

    2. En Choose Type (Elegir tipo), seleccione Request (Solicitud).

    Configuración de Citrix ADC: cuadro de diálogo de directivas

  6. Seleccione Aceptar. Un mensaje en la barra de estado indica que la directiva se ha configurado correctamente.

Modificación del servidor SAML para extraer atributos de una notificación

  1. Vaya a Security>AAA – Application Traffic>Policies>Authentication>Advanced Policies>Actions>Servers (Seguridad > AAA – Tráfico de aplicación > Directivas > Autenticación > Directivas avanzadas > Acciones > Servidores).

  2. Seleccione el servidor SAML de autenticación adecuado para la aplicación.

    Configuración de Citrix ADC: panel de configuración del servidor SAML de autenticación

  3. En el panel Attributes (Atributos), especifique los atributos de SAML que desee extraer, separados por comas. En nuestro ejemplo, se especifica el atributo mySecretID.

    Configuración de Citrix ADC: panel de atributos

  4. Para comprobar el acceso, en la dirección URL de un explorador, busque el atributo de SAML en Colección de encabezados.

    Configuración de Citrix ADC: colección de encabezados en la dirección URL

Creación de un usuario de prueba de Citrix ADC

En esta sección, se creará un usuario llamado B.Simon en Citrix ADC. Citrix ADC admite el aprovisionamiento de usuarios cuando es necesario, que está habilitado de manera predeterminada. El usuario no tiene que hacer nada en esta sección. Si el usuario no existe aun en Citrix ADC, se creará uno después de la autenticación.

Nota:

Si necesita crear un usuario de forma manual, póngase en contacto con el equipo de soporte técnico de Citrix ADC.

Prueba de SSO

En esta sección va a probar la configuración de inicio de sesión único de Microsoft Entra con las siguientes opciones.

  • Haga clic en Probar esta aplicación, esto redirigirá a la dirección URL de inicio de sesión de Citrix donde puede poner en marcha el flujo de inicio de sesión.

  • Acceda directamente a la URL de inicio de sesión de Citrix ADC y ponga en marcha el flujo de inicio de sesión desde ahí.

  • Puede usar Mis aplicaciones de Microsoft. Al hacer clic en el icono de Citrix ADC en Mis aplicaciones, se le redirigirá a la dirección URL de inicio de sesión de la aplicación. Para más información acerca de Aplicaciones, vea Inicio de sesión e inicio de aplicaciones desde el portal Aplicaciones.

Pasos siguientes

Una vez que haya configurado Citrix ADC, puede aplicar el control de sesión, que protege su organización en tiempo real frente a la filtración e infiltración de información confidencial. El control de sesión procede del acceso condicional. Aprende a aplicar el control de sesión con Microsoft Defender for Cloud Apps.