Se connecter aux espaces de travail avec SAML à l’aide de domaines personnalisés
Si vous avez configuré un domaine personnalisé dans Citrix Workspace (par exemple, https://workspaces.yourdomain.com), une configuration supplémentaire dans Citrix Cloud et votre fournisseur SAML peut être requise, en fonction des scénarios de connexion SAML que vous souhaitez prendre en charge dans Citrix Cloud.
Vous pourriez avoir besoin d’une paire d’applications SAML pour cette configuration. Citrix Cloud nécessite différents points de terminaison de fournisseur de services (SP) SAML, selon que l’application SAML utilise les URL cloud.com ou workspaces.yourdomain.com pour effectuer l’opération de connexion.
Pour plus d’informations sur la configuration des domaines personnalisés dans Citrix Workspace, consultez Configurer un domaine personnalisé dans la documentation produit de Citrix Workspace.
-
Considérations relatives au déploiement d’une ou deux applications SAML
Pour déterminer si vous devez déployer une solution d’application SAML unique ou double, identifiez la combinaison de scénarios de connexion SAML que votre fournisseur SAML doit prendre en charge.
Les scénarios de connexion suivants partagent la même application SAML (Application SAML 1) par défaut :
- Authentification SAML pour Citrix Workspace où l’URL de connexion Workspace de votre région (cloud.com, citrixcloud.jp, cloud.us) est configurée dans votre fournisseur SAML comme ID d’entité SP.
- Authentification SAML pour Citrix Cloud à l’aide de votre URL de connexion unique (par exemple,
https://citrix.cloud.com/go/mycompany). Dans ce scénario, les administrateurs sont authentifiés auprès de Citrix Cloud à l’aide de SAML, en fonction de leur appartenance à un groupe Active Directory (AD).
- Authentification SAML pour Citrix Cloud à l’aide de votre URL de connexion unique (par exemple,
L’ajout de l’authentification SAML pour les utilisateurs via un domaine personnalisé (par exemple, https://workspaces.mycompany.com) que vous configurez dans la configuration de l’espace de travail nécessite une deuxième application SAML (Application SAML 2).
Remarque :
L’ajout d’une URL personnalisée et la configuration de SAML prendront jusqu’à 24 heures pour l’approvisionnement dans Citrix Cloud.
Le tableau suivant répertorie les combinaisons prises en charge de scénarios de connexion SAML et les applications SAML requises.
| Se connecter à Workspace avec l’URL Workspace | Se connecter à Workspace avec l’URL de domaine personnalisé | Se connecter à Citrix Cloud à l’aide de l’URL de connexion SAML | Application SAML 1 requise ? | Application SAML 2 requise ? |
|---|---|---|---|---|
| Oui | Non | Non | Oui - Utiliser les points de terminaison SAML cloud.com | Non |
| Non | Oui | Non | Oui - Utiliser les points de terminaison SAML du domaine personnalisé | Non |
| Non | Non | Oui | Oui - Utiliser les points de terminaison SAML cloud.com | Non |
| Oui | Non | Oui | Oui - Utiliser les points de terminaison SAML cloud.com | Non |
| Non | Non | Oui | Oui - Utiliser les points de terminaison SAML cloud.com | Oui - Utiliser les points de terminaison SAML du domaine personnalisé |
| Oui | Oui | Oui | Oui - Utiliser les points de terminaison SAML cloud.com | Oui - Utiliser les points de terminaison SAML du domaine personnalisé |
Configuration d’une application SAML unique
- Dans Citrix Cloud, accédez à Configuration de l’espace de travail > Accès et configurez un domaine personnalisé. Pour plus d’informations, consultez Configurer un domaine personnalisé.
- Dans la console de gestion de votre fournisseur SAML, configurez une seule application SAML en utilisant le domaine personnalisé comme points de terminaison SP.
- Téléchargez le certificat de signature SAML pour l’application SAML. Dans une étape ultérieure, vous téléchargerez ce certificat vers Citrix Cloud.
-
Pour l’ID d’entité, assurez-vous que
https://saml.cloud.comest saisi. Selon votre fournisseur SAML, ce paramètre peut être étiqueté Audience. Pour tous les autres points de terminaison, remplacezhttps://saml.cloud.compar le domaine personnalisé Workspace que vous avez configuré à l’étape 1.- L’exemple suivant illustre la configuration des points de terminaison pour Okta, où Restriction d’audience contient la valeur de l’ID d’entité :
L’exemple suivant illustre la configuration des points de terminaison pour OneLogin, où Audience contient la valeur de l’ID d’entité :
- 
- Dans Citrix Cloud, accédez à Gestion des identités et des accès > Authentification et configurez la connexion SAML.
- Accédez à Configuration de l’espace de travail > Authentification et sélectionnez SAML 2.0.
- Accédez à Configuration de l’espace de travail > URL Workspace personnalisée > Modifier et sélectionnez Utiliser uniquement le domaine personnalisé.
- Sélectionnez Enregistrer pour enregistrer vos modifications.
- Pour tester la configuration, connectez-vous à Citrix Workspace à l’aide de votre URL Workspace personnalisée (
https://workspaces.mycompany.com).
Configuration d’une application SAML double
- Dans Citrix Cloud, accédez à Configuration de l’espace de travail > Accès et configurez un domaine personnalisé. Pour plus d’informations, consultez Configurer un domaine personnalisé.
- Dans la console de gestion de votre fournisseur SAML, configurez deux applications SAML. Configurez ces applications de manière identique, y compris les paramètres de signature identiques pour les requêtes SSO et SLO, le type de liaison et les paramètres de déconnexion. Si les configurations de ces applications SAML ne correspondent pas, vous pourriez rencontrer des différences de comportement de connexion et de déconnexion lors du basculement entre votre URL Workspace et votre domaine personnalisé Workspace.
- Dans la première application SAML, configurez les points de terminaison SP suivants :
- ID d’entité :
https://saml.cloud.com - Service consommateur d’assertions :
https://saml.cloud.com/saml/acs -
Déconnexion :
https://saml.cloud.com/saml/logout/callback - L’exemple suivant montre cette configuration de point de terminaison dans la console de gestion Okta :
- ID d’entité :
- Dans la deuxième application SAML, configurez les points de terminaison SP suivants. Utilisez votre domaine personnalisé Workspace uniquement pour les points de terminaison du service consommateur d’assertions et de déconnexion.
- ID d’entité :
https://saml.cloud.com - Service consommateur d’assertions :
https://workspaces.mycompany.com/saml/acs - Déconnexion :
https://workspaces.mycompany.com/saml/logout/callback
- ID d’entité :
L’exemple suivant montre cette configuration de point de terminaison dans la console Okta. Notez que Restriction d’audience contient la valeur de l’ID d’entité.
- Téléchargez les certificats de signature SAML pour les deux applications SAML. Vous les téléchargerez vers Citrix Cloud dans une étape ultérieure.
- Dans la console de gestion Citrix Cloud, configurez une connexion SAML :
- Dans le menu Citrix Cloud, sélectionnez Gestion des identités et des accès.
- Sous l’onglet Authentification, localisez SAML 2.0, cliquez sur le bouton des points de suspension, puis sélectionnez Connecter.
- Sur la page Configurer SAML, saisissez les détails de la première application SAML que vous avez créée à l’étape 2.
- Configurez Citrix Workspace™ pour utiliser la nouvelle connexion SAML :
- Dans le menu Citrix Cloud, sélectionnez Configuration de l’espace de travail.
- Sous l’onglet Authentification, sélectionnez SAML 2.0.
- Sous l’onglet Accès, dans URL Workspace personnalisée, sélectionnez Modifier.
- Sur la page Configurer pour SAML, sélectionnez Utiliser à la fois l’URL customer.cloud.com et l’URL de domaine personnalisé.
- Saisissez les informations suivantes :
- Dans ID d’entité du fournisseur d’identité pour le domaine personnalisé, saisissez l’ID d’entité de la deuxième application SAML que vous avez créée à l’étape 2.
- Dans URL du service SSO pour le domaine personnalisé, saisissez l’URL SSO de la deuxième application SAML.
- Dans URL de déconnexion pour le domaine personnalisé, saisissez l’URL SLO de la deuxième application SAML.
- Dans Certificat de signature du fournisseur d’identité pour le domaine personnalisé, téléchargez le certificat de signature SAML de la deuxième application SAML.
- Sélectionnez Enregistrer pour enregistrer vos modifications.
Afficher les détails de la connexion SAML
Après la configuration, accédez à Gestion des identités et des accès > Authentification. Dans SAML 2.0, sélectionnez Sélectionner un fournisseur SAML > Afficher dans le menu points de suspension. La page Configuration SAML affiche les paires de points de terminaison SAML configurées pour l’ID d’entité, l’URL SSO et l’URL de déconnexion.
Tous les autres paramètres de configuration SAML s’appliquent aux première et deuxième applications SAML que vous avez créées.
Vérifier les connexions à Citrix Workspace
Pour vérifier le comportement de connexion et de déconnexion que vous avez configuré, effectuez les tests suivants :
- Connectez-vous à Citrix Workspace en utilisant votre URL Workspace (
https://mycompany.cloud.com) et votre fournisseur SAML. - Connectez-vous à Citrix Workspace en utilisant votre domaine personnalisé Workspace (
https://workspace.mycompany.com) et votre fournisseur SAML. - Connectez-vous à Citrix Cloud en utilisant votre URL de connexion unique (
https://citrix.cloud.com/go/mycompany) et votre fournisseur SAML.