Iniciar sesión en Workspaces con SAML mediante dominios personalizados
Si has configurado un dominio personalizado en Citrix Workspace (por ejemplo, https://workspaces.yourdomain.com), es posible que se requiera una configuración adicional en Citrix Cloud y en tu proveedor de SAML, dependiendo de los escenarios de inicio de sesión de SAML que quieras admitir en Citrix Cloud.
Es posible que necesites un par de aplicaciones SAML para esta configuración. Citrix Cloud requiere diferentes puntos finales de proveedor de servicios (SP) de SAML, dependiendo de si la aplicación SAML utiliza las URL de cloud.com o workspaces.yourdomain.com para realizar la operación de inicio de sesión.
Para obtener más información sobre cómo configurar dominios personalizados en Citrix Workspace, consulta Configurar un dominio personalizado en la documentación del producto Citrix Workspace.
-
Consideraciones para implementar una o dos aplicaciones SAML
Para determinar si necesitas implementar una solución de aplicación SAML única o dual, identifica qué combinación de escenarios de inicio de sesión de SAML necesitas que admita tu proveedor de SAML.
Los siguientes escenarios de inicio de sesión comparten la misma aplicación SAML (Aplicación SAML 1) de forma predeterminada:
- Autenticación SAML para Citrix Workspace donde la URL de inicio de sesión de Workspace para tu región (cloud.com, citrixcloud.jp, cloud.us) está configurada en tu proveedor de SAML como el ID de entidad de SP.
- Autenticación SAML para Citrix Cloud utilizando tu URL de inicio de sesión única (por ejemplo,
https://citrix.cloud.com/go/mycompany). En este escenario, los administradores se autentican en Citrix Cloud mediante SAML, basándose en su pertenencia a un grupo de Active Directory (AD).
- Autenticación SAML para Citrix Cloud utilizando tu URL de inicio de sesión única (por ejemplo,
Agregar la autenticación SAML para usuarios a través de un dominio personalizado (por ejemplo, https://workspaces.mycompany.com) que configures en la Configuración de Workspace requiere una segunda aplicación SAML (Aplicación SAML 2).
Nota:
Agregar una URL personalizada y configurar SAML tardará hasta 24 horas en aprovisionarse en Citrix Cloud.
La siguiente tabla enumera las combinaciones admitidas de escenarios de inicio de sesión de SAML y las aplicaciones SAML requeridas.
| Iniciar sesión en Workspace con la URL de Workspace | Iniciar sesión en Workspace con la URL de dominio personalizado | Iniciar sesión en Citrix Cloud mediante la URL de inicio de sesión de SAML | ¿Se requiere la Aplicación SAML 1? | ¿Se requiere la Aplicación SAML 2? |
|---|---|---|---|---|
| Sí | No | No | Sí - Usar los puntos finales SAML de cloud.com | No |
| No | Sí | No | Sí - Usar los puntos finales SAML de dominio personalizado | No |
| No | No | Sí | Sí - Usar los puntos finales SAML de cloud.com | No |
| Sí | No | Sí | Sí - Usar los puntos finales SAML de cloud.com | No |
| No | No | Sí | Sí - Usar los puntos finales SAML de cloud.com | Sí - Usar los puntos finales SAML de dominio personalizado |
| Sí | Sí | Sí | Sí - Usar los puntos finales SAML de cloud.com | Sí - Usar los puntos finales SAML de dominio personalizado |
Configuración de una sola aplicación SAML
- En Citrix Cloud, ve a Configuración de Workspace > Acceso y configura un dominio personalizado. Para obtener más información, consulta Configurar un dominio personalizado.
- En la consola de administración de tu proveedor de SAML, configura una única aplicación SAML utilizando el dominio personalizado como los puntos finales de SP.
- Descarga el certificado de firma SAML para la aplicación SAML. En un paso posterior, subirás este certificado a Citrix Cloud.
-
Para el ID de entidad, asegúrate de que
https://saml.cloud.comesté introducido. Dependiendo de tu proveedor de SAML, esta configuración podría etiquetarse como Audiencia. Para todos los demás puntos finales, reemplazahttps://saml.cloud.compor el dominio personalizado de Workspace que configuraste en el Paso 1.- El siguiente ejemplo ilustra la configuración de puntos finales para Okta, donde la Restricción de audiencia contiene el valor del ID de entidad:
El siguiente ejemplo ilustra la configuración de puntos finales para OneLogin, donde la Audiencia contiene el valor del ID de entidad:
- En Citrix Cloud, ve a Administración de identidades y accesos > Autenticación y configura la conexión SAML.
- Ve a Configuración de Workspace > Autenticación y selecciona SAML 2.0.
- Ve a Configuración de Workspace > URL de Workspace personalizada > Modificar y selecciona Usar solo el dominio personalizado.
- Selecciona Guardar para guardar tus cambios.
- Para probar la configuración, inicia sesión en Citrix Workspace utilizando tu URL de Workspace personalizada (
https://workspaces.mycompany.com).
Configuración de aplicación SAML dual
- En Citrix Cloud, ve a Configuración de Workspace > Acceso y configura un dominio personalizado. Para obtener más información, consulta Configurar un dominio personalizado.
- En la consola de administración de tu proveedor de SAML, configura dos aplicaciones SAML. Configura estas aplicaciones de forma idéntica, incluyendo configuraciones de firma idénticas para las solicitudes de SSO y SLO, tipo de enlace y configuraciones de cierre de sesión. Si las configuraciones en estas aplicaciones SAML no coinciden, podrías experimentar diferencias en el comportamiento de inicio y cierre de sesión al cambiar entre tu URL de Workspace y tu dominio personalizado de Workspace.
- En la primera aplicación SAML, configura los siguientes puntos finales de SP:
- ID de entidad:
https://saml.cloud.com - Servicio de consumidor de aserciones:
https://saml.cloud.com/saml/acs -
Cierre de sesión:
https://saml.cloud.com/saml/logout/callback - El siguiente ejemplo muestra esta configuración de puntos finales en la consola de administración de Okta:
- ID de entidad:
- En la segunda aplicación SAML, configura los siguientes puntos finales de SP. Utiliza tu dominio personalizado de Workspace solo para los puntos finales del Servicio de consumidor de aserciones y Cierre de sesión.
- ID de entidad:
https://saml.cloud.com - Servicio de consumidor de aserciones:
https://workspaces.mycompany.com/saml/acs - Cierre de sesión:
https://workspaces.mycompany.com/saml/logout/callback
El siguiente ejemplo muestra esta configuración de puntos finales en la consola de Okta. Ten en cuenta que la Restricción de audiencia contiene el valor del ID de entidad.
- ID de entidad:
- Descarga los certificados de firma SAML para ambas aplicaciones SAML. Los subirás a Citrix Cloud en un paso posterior.
- En la consola de administración de Citrix Cloud, configura una conexión SAML:
- En el menú de Citrix Cloud, selecciona Administración de identidades y accesos.
- En la ficha Autenticación, localiza SAML 2.0, haz clic en el botón de puntos suspensivos y selecciona Conectar.
- En la página Configurar SAML, introduce los detalles de la primera aplicación SAML que creaste en el Paso 2.
- Configura Citrix Workspace™ para usar la nueva conexión SAML:
- En el menú de Citrix Cloud, selecciona Configuración de Workspace.
- En la ficha Autenticación, selecciona SAML 2.0.
- En la ficha Acceso, en URL de Workspace personalizada, selecciona Modificar.
- En la página Configurar para SAML, selecciona Usar tanto la URL customer.cloud.com como la URL de dominio personalizado.
- Introduce la siguiente información:
- En ID de entidad del proveedor de identidades para el dominio personalizado, introduce el ID de entidad de la segunda aplicación SAML que creaste en el Paso 2.
- En URL del servicio SSO para el dominio personalizado, introduce la URL de SSO de la segunda aplicación SAML.
- En URL de cierre de sesión para el dominio personalizado, introduce la URL de SLO de la segunda aplicación SAML.
- En Certificado de firma del proveedor de identidades para el dominio personalizado, sube el certificado de firma SAML de la segunda aplicación SAML.
- Selecciona Guardar para guardar tus cambios.
Ver los detalles de la conexión SAML
Después de la configuración, ve a Administración de identidades y accesos > Autenticación. En SAML 2.0, selecciona Seleccionar proveedor SAML > Ver en el menú de puntos suspensivos. La página Configuración de SAML muestra pares de puntos de conexión SAML configurados para ID de entidad, URL de SSO y URL de cierre de sesión.
Todas las demás configuraciones de SAML se aplican tanto a la primera como a la segunda aplicación SAML que creaste.
Verificar inicios de sesión en Citrix Workspace
Para verificar el comportamiento de inicio y cierre de sesión que configuraste, realiza las siguientes pruebas:
- Inicia sesión en Citrix Workspace mediante tu URL de Workspace (
https://mycompany.cloud.com) y tu proveedor SAML. - Inicia sesión en Citrix Workspace mediante tu dominio personalizado de Workspace (
https://workspace.mycompany.com) y tu proveedor SAML. - Inicia sesión en Citrix Cloud mediante tu URL de inicio de sesión única (
https://citrix.cloud.com/go/mycompany) y tu proveedor SAML.