Active Directory con Connector Appliance
Puedes usar Connector Appliance para conectar una ubicación de recursos a bosques que no contienen recursos de Citrix Virtual Apps and Desktops™. Por ejemplo, en el caso de clientes de Citrix Secure Private Access o clientes de Citrix Virtual Apps and Desktops con algunos bosques utilizados únicamente para la autenticación de usuarios.
Al usar Active Directory multidominio con Connector Appliance, se aplican las siguientes restricciones:
- Connector Appliance no se puede usar en lugar de Cloud Connectors en bosques que contienen VDA.
Requisitos
Requisitos de Active Directory
- Unido a un dominio de Active Directory que contiene los recursos y usuarios que utilizas para crear ofertas para tus usuarios. Para obtener más información, consulta Escenarios de implementación para usar Connector Appliance con Active Directory en este artículo.
- Cada bosque de Active Directory que planees usar con Citrix Cloud™ debe ser siempre accesible por dos Connector Appliances.
- El Connector Appliance debe poder acceder a los controladores de dominio tanto en el dominio raíz del bosque como en los dominios que pretendes usar con Citrix Cloud. Para obtener más información, consulta los siguientes artículos de soporte de Microsoft:
- Cómo configurar dominios y confianzas
- Sección “Puertos de servicios del sistema” en Descripción general del servicio y requisitos de puertos de red para Windows
- Usa grupos de seguridad universales en lugar de grupos de seguridad globales. Esta configuración garantiza que la pertenencia a grupos de usuarios se pueda obtener de cualquier controlador de dominio en el bosque.
Requisitos de red
- Conectado a una red que pueda contactar con los recursos que usas en tu ubicación de recursos.
- Conectado a Internet. Para obtener más información, consulta Requisitos del sistema y de conectividad.
Además de los puertos enumerados en Comunicación de Connector Appliance, el Connector Appliance requiere una conexión saliente al dominio de Active Directory a través de estos puertos:
| Servicio | Puerto | Protocolo de dominio compatible |
|---|---|---|
| Kerberos | 88 | TCP/UDP |
| Servicio de nombres NetBIOS | 137 | UDP |
| Datagrama NetBIOS | 138 | UDP |
| Sesión NetBIOS | 139 | TCP |
| LDAP | 389 | TCP/UDP |
| SMB sobre TCP | 445 | TCP |
| Kerberos kpasswd | 464 | TCP/UDP |
| Catálogo global | 3268 | TCP |
-
Puertos RPC dinámicos 49152–65535 TCP
El Connector Appliance usa la firma LDAP para proteger las conexiones al controlador de dominio. Esto significa que no se requiere LDAP sobre SSL (LDAPS). Para obtener más información sobre la firma LDAP, consulta Cómo habilitar la firma LDAP en Windows Server y Guía de Microsoft para habilitar la vinculación de canales LDAP y la firma LDAP.
Niveles funcionales de Active Directory compatibles
Connector Appliance se ha probado y es compatible con los siguientes niveles funcionales de bosque y dominio en Active Directory.
| Nivel funcional del bosque | Nivel funcional del dominio | Controladores de dominio compatibles |
|---|---|---|
| Windows Server 2016 | Windows Server 2016 | Windows Server 2019 |
Otras combinaciones de controlador de dominio, nivel funcional de bosque y nivel funcional de dominio no se han probado con Connector Appliance. Sin embargo, se espera que estas combinaciones funcionen y también son compatibles.
Conectar un dominio de Active Directory a Citrix Cloud mediante Connector Appliance
Cuando te conectas a la página web de administración de Connector Appliance, la sección de dominios de Active Directory muestra dos fichas.
-
Dominios unidos – Se usa para unir el Connector Appliance a dominios de AD creando una cuenta de máquina para el dispositivo en el dominio. Kerberos se puede validar haciendo clic en el menú de puntos suspensivos en el lado derecho del dominio unido. Se requiere la presencia de la cuenta de máquina en el dominio.
-
Cuentas de servicio – Se usa como parte de una solución de Secure Private Access (SPA) para lograr el inicio de sesión único (SSO) de Kerberos usando una cuenta de servicio en lugar de la cuenta de máquina creada al unirse al dominio. Kerberos se puede validar haciendo clic en el menú de puntos suspensivos en el lado derecho de la cuenta de servicio. No es obligatorio tener un dominio específico asociado a la máquina. Sin embargo, incluso si el Connector Appliance no está conectado al dominio, aún puede conectarse al controlador de dominio.
-
- Para configurar Active Directory para conectarse a Citrix Cloud a través de Connector Appliance, completa los siguientes pasos.
-
Instala un Connector Appliance en tu ubicación de recursos.
Puedes seguir la información de la documentación del producto Connector Appliance.
-
Conéctate a la página web de administración de Connector Appliance en tu navegador usando la dirección IP proporcionada en la consola de Connector Appliance.
-
En la sección Dominios de Active Directory, navega a la ficha Dominios unidos.
-
Haz clic en + Agregar dominio de Active Directory, se mostrará una nueva ventana emergente para introducir el nombre del dominio.
El Connector Appliance comprueba el dominio. Si la comprobación es correcta, se abre el cuadro de diálogo Unir Active Directory. Esta nueva ventana te permite introducir el nombre de usuario y la contraseña para unirte al dominio.
- Haz clic en Agregar.
- Proporciona el nombre de usuario y la contraseña de un usuario de Active Directory con permiso de unión para el dominio.
-
El Connector Appliance sugiere un nombre de máquina. Puedes optar por anular el nombre sugerido y proporcionar tu propio nombre de máquina de hasta 15 caracteres de longitud.
Este nombre de máquina se crea en el dominio de Active Directory cuando el Connector Appliance se une a él.
-
Haz clic en Unir.
El dominio ahora aparece en la sección Dominios de Active Directory de la interfaz de usuario de Connector Appliance.
- Para agregar más dominios de Active Directory, selecciona + Agregar dominio de Active Directory y repite los pasos anteriores.
-
Ve a la página de dominios en la Consola de Citrix Cloud y selecciona Connector Appliance para dar servicio a tus dominios.
- Si aún no has registrado tu Connector Appliance, continúa con los pasos descritos en Registrar tu Connector Appliance con Citrix Cloud.
Si recibes un error al unirte al dominio, verifica que tu entorno cumple con los requisitos de Active Directory y los requisitos de red.
Qué sigue
-
Puedes agregar más dominios a este Connector Appliance.
-
Nota:
El Connector Appliance se ha probado con hasta 10 bosques.
-
Para mayor resiliencia, agrega cada dominio a más de un Connector Appliance en cada ubicación de recursos.
-
Ver la configuración de Active Directory
Puedes ver la configuración de los dominios de Active Directory y los Connector Appliances en tus ubicaciones de recursos en los siguientes lugares:
-
En Citrix Cloud:
- En el menú, ve a la página de Administración de identidades y accesos.
-
- Ve a la ficha Dominios.
-
Tus dominios de Active Directory se muestran con las ubicaciones de recursos a las que pertenecen.
-
En la página web de Connector Appliance:
- Conéctate a la página web de Connector Appliance usando la dirección IP proporcionada en la consola de Connector Appliance.
- Inicia sesión con la contraseña que creaste al registrarte por primera vez.
- En la sección Dominios de Active Directory de la página, puedes ver la lista de dominios de Active Directory a los que está unido este Connector Appliance.
Quitar un dominio de Active Directory de un Connector Appliance
Para salir de un dominio de Active Directory, completa los siguientes pasos:
- Conéctate a la página web de Connector Appliance usando la dirección IP proporcionada en la consola de Connector Appliance.
- Inicia sesión con la contraseña que creaste al registrarte por primera vez.
- En la sección Dominios de Active Directory de la página, busca el dominio del que quieres salir en la lista de dominios de Active Directory unidos.
- Toma nota del nombre de la cuenta de máquina creada por tu Connector Appliance.
- Haz clic en el icono de eliminar (papelera) junto al dominio. Aparecerá un cuadro de diálogo de confirmación.
- Haz clic en Continuar para confirmar la acción.
- Ve a tu controlador de Active Directory.
- Elimina la cuenta de máquina creada por tu Connector Appliance del controlador.
Establecer el tipo de conector preferido del bosque
Cuando un inquilino de Citrix Cloud tiene conectores de Windows y Connector Appliances unidos al mismo bosque de AD, es posible establecer el tipo de conector preferido.
Para establecer el tipo de conector preferido para un bosque de Active Directory en particular, completa los siguientes pasos:
-
Ve a Administración de identidades y accesos > Dominios y haz clic en la flecha hacia abajo del bosque de AD para el que quieres establecer el tipo de conector preferido.
-
Selecciona Tipo de conector preferido del bosque.
Escenarios de implementación para usar Connector Appliance con Active Directory
Puedes usar tanto Cloud Connector como Connector Appliance para conectarte a los controladores de Active Directory. El tipo de conector que debes usar depende de tu implementación.
Para obtener más información sobre el uso de Cloud Connectors con Active Directory, consulta Escenarios de implementación para Cloud Connectors en Active Directory
Usa el Connector Appliance para conectar tu ubicación de recursos al bosque de Active Directory en las siguientes situaciones:
- Estás configurando Secure Private Access. Para obtener más información, consulta Secure Private Access con Connector Appliance.
- Tienes uno o más bosques que solo se usan para la autenticación de usuarios
- Quieres reducir el número de conectores necesarios para admitir varios bosques
- Necesitas un Connector Appliance para otros casos de uso
Solo usuarios en uno o más bosques con un único conjunto de Connector Appliances para todos los bosques
Este escenario se aplica a los clientes de Workspace Standard o a los clientes que usan Connector Appliance para Secure Private Access.
En este escenario, hay varios bosques que contienen solo objetos de usuario (forest1.local, forest2.local). Estos bosques no contienen recursos. Se implementa un conjunto de Connector Appliances dentro de una ubicación de recursos y se une a los dominios de cada uno de estos bosques.
- Relación de confianza: Ninguna
- Dominios enumerados en Administración de identidades y accesos:
forest1.local,forest2.local - Inicios de sesión de usuario en Citrix Workspace™: Compatibles para todos los usuarios
- Inicios de sesión de usuario en un StoreFront™ local: Compatibles para todos los usuarios
Usuarios y recursos en bosques separados (con confianza) con un único conjunto de Connector Appliances para todos los bosques
Este escenario se aplica a los clientes de Citrix Virtual Apps and Desktops con varios bosques.
En este escenario, algunos bosques (resourceforest1.local, resourceforest2.local) contienen tus recursos (por ejemplo, VDA) y algunos bosques (userforest1.local, userforest2.local) contienen solo a tus usuarios. Existe una confianza entre estos bosques que permite a los usuarios iniciar sesión en los recursos.
Se implementa un conjunto de Cloud Connectors dentro del bosque resourceforest1.local. Se implementa un conjunto separado de Cloud Connectors dentro del bosque resourceforest2.local.
Se implementa un conjunto de Connector Appliances dentro del bosque userforest1.local y el mismo conjunto se implementa dentro del bosque userforest2.local.
- Relación de confianza: Confianza de bosque bidireccional o confianza unidireccional de los bosques de recursos a los bosques de usuarios
- Dominios enumerados en Administración de identidades y accesos:
resourceforest1.local,resourceforest2.local,userforest1.local,userforest2.local - Inicios de sesión de usuario en Citrix Workspace: Compatibles para todos los usuarios
- Inicios de sesión de usuario en un StoreFront local: Compatibles para todos los usuarios
En este artículo
- Requisitos
- Niveles funcionales de Active Directory compatibles
- Conectar un dominio de Active Directory a Citrix Cloud mediante Connector Appliance
- Qué sigue
- Ver la configuración de Active Directory
- Quitar un dominio de Active Directory de un Connector Appliance
- Establecer el tipo de conector preferido del bosque
- Escenarios de implementación para usar Connector Appliance con Active Directory