Configurar un servidor PingFederate local como proveedor SAML para tiendas y Citrix Cloud™
Este artículo fue escrito en colaboración entre ingenieros de Citrix® y Ping y ha sido revisado por ambas partes para garantizar la precisión técnica en el momento de la redacción. Consulte la documentación de Ping para obtener instrucciones sobre cómo aprovisionar, configurar y licenciar un servidor PingFederate local para usarlo como proveedor SAML, ya que esto está fuera del alcance de este artículo.
Este documento fue escrito utilizando las versiones 11.3 y 12 de PingFederate.
Requisitos previos
Este artículo aborda específicamente la configuración de SAML y garantiza que se cumplan las siguientes condiciones.
- Ya ha aprovisionado un servidor PingFederate local dentro de su organización y ha obtenido la licencia necesaria. Para obtener más información, consulte Instalación de PingFederate.
- Debe haber instalado una versión compatible de Java en el servidor PingFederate. Consulte la documentación de Ping Identity para conocer las versiones de Java compatibles. Para obtener más información, consulte Requisito de Java para PingFederate.
- Ha configurado las reglas de red y firewall necesarias para permitir que Citrix Cloud redirija al servidor PingFederate local durante el proceso de inicio de sesión SAML de la tienda/consola de administración de Citrix Cloud. Para obtener más información, consulte Requisitos de red de PingFederate.
- Ha importado un certificado x509 firmado públicamente en su servidor PingFederate que puede actuar como certificado de servidor para el servidor PingFederate.
- Ha importado un certificado x509 firmado públicamente en su servidor PingFederate que puede actuar como certificado de firma SAML para el IdP. Este certificado debe cargarse en Citrix Cloud durante el proceso de conexión SAML.
- Ha conectado su Active Directory local a PingFederate. Para obtener más información, consulte Almacén de datos LDAP de PingFederate
Nota:
Al configurar PingFederate para su uso con Citrix Cloud y la tienda, consulte la documentación de PingFederate para comprender qué hacen las configuraciones SAML individuales y para complementar las instrucciones proporcionadas aquí.
Configurar una conexión de Active Directory a su dominio AD utilizando un almacén de datos dentro de PingFederate
-
Configure una conexión de Active Directory dentro de los almacenes de datos.
-
Seleccione Tipo como Directorio (LDAP).
-
Configure sus controladores de dominio para conexiones LDAPS y añada su lista de FQDN de controladores de dominio en el campo de nombres de host. A continuación, haga clic en Probar conexión.
-
Una vez configurada, la conexión de Active Directory debería ser similar al siguiente ejemplo:
Cargar el certificado de firma SAML de Citrix Cloud
- Haga clic en la ficha Seguridad
-
Cargue el certificado de firma SAML que desea que utilice PingFederate en Claves y certificados de firma y descifrado.
Nota:
El certificado utilizado es un certificado Digicert
pingfederateserver.domain.comfirmado públicamente en este ejemplo. -
Cargue los certificados de CA utilizados para firmar el certificado de firma SAML de su servidor PingFederate.
Nota:
El certificado del servidor de PingFederate y el certificado de firma SAML pueden ser el mismo certificado SSL o puede usar diferentes certificados SSL. Debe proporcionar una copia del certificado de firma SAML a Citrix Cloud cuando configure la conexión SAML.
Cargar los metadatos de Citrix Cloud
-
Proporcione un nombre para los metadatos de Citrix Cloud e introduzca la URL de metadatos correspondiente a la región de Citrix Cloud donde se encuentra su inquilino de Citrix Cloud.
- https://saml.cloud.com/saml/metadata - Comercial UE, EE. UU. y APS
- https://saml.citrixcloud.jp/saml/metadata - Japón
- https://saml.cloud.us/saml/metadata - Gobierno
-
Una vez configurada, la configuración de metadatos de Citrix Cloud debería ser similar al siguiente ejemplo.
Configurar un validador de credenciales de contraseña en PingFederate
Para obtener más información, consulte Validador de credenciales de contraseña de PingFederate
-
Configure el tipo de validador de credenciales de contraseña como nombre de usuario y contraseña de LDAP.
-
Configure la Configuración de instancia. Seleccione la conexión de dominio de AD y el almacén de datos que configuró anteriormente Configure una conexión de Active Directory a su dominio de AD mediante un almacén de datos dentro de PingFederate. Introduzca un filtro LDAP adecuado como se muestra en el ejemplo.
(((sAMAccountName=${username})(userPrincipalName=${username}))
Nota:
El filtro de ejemplo admite los formatos de nombre de usuario de AD sAMAccountName y userPrincipalName, lo que permite a los usuarios finales iniciar sesión en el almacén o en Citrix Cloud utilizando cualquiera de estos formatos.
-
Configure el Contrato extendido.
-
El resumen del Validador de credenciales de contraseña debe parecerse a este ejemplo.
Configurar el adaptador IDP dentro de PingFederate
Para obtener más información, consulte Adaptador de formulario HTML de PingFederate
-
Cree un nuevo adaptador IDP de tipo Adaptador IdP de formulario HTML.
-
Seleccione el Validador de credenciales de contraseña existente que configuró anteriormente y configure el Adaptador IDP. Para obtener más información, consulte Configurar un validador de credenciales de contraseña dentro de PingFederate.
-
Configure el Contrato extendido con atributos SAML que se pasan a Citrix Cloud o a los almacenes durante el inicio de sesión SAML.
-
Configure los Adapter Attributes.
- Configure la Adapter Contract Mapping donde los atributos SAML se asignan a los atributos de usuario LDAP de las identidades de AD. Haga clic en Configure the adapter contract.
-
Configure Attribute Sources & User Lookup.
-
Configure Adapter Contract Fulfilment. Seleccione LDAP y el nombre de su almacén de datos de Active Directory como origen de los datos de atributos de usuario. El valor es el atributo de Active Directory para el usuario, como
objectGUIDoobjectSid.
Configuración de la conexión del proveedor de servicios (aplicación SAML) para Citrix Cloud o las tiendas
La configuración de PingFederate de ejemplo que se proporciona a continuación asume los siguientes requisitos de autenticación SAML dentro de su organización.
- Las solicitudes de autenticación SAML enviadas desde la consola de administración de la tienda/Citrix Cloud DEBEN estar firmadas.
- Se utilizarán enlaces SAML HTTP POST para las solicitudes de SSO y SLO.
- El cierre de sesión único (SLO) es un requisito dentro de su organización. Cuando un usuario final cierra sesión en la tienda o en la consola de administración de Citrix Cloud, se envía una solicitud SAML SLO desde Citrix Cloud al proveedor SAML (IdP) para cerrar la sesión del usuario.
-
PingFederate requiere solicitudes HTTP POST firmadas para iniciar el cierre de sesión. El proveedor SAML requiere solicitudes SLO firmadas.
Para obtener más información, consulte Administración de SP de PingFederate
Procedimiento
-
Configure la Plantilla de conexión.
-
Configure el Tipo de conexión y seleccione Perfiles de SSO del explorador y SAML 2.0.
-
Configure las Opciones de conexión.
-
Importe los metadatos de Citrix Cloud. Seleccione la URL y la URL
CitrixCloudProdMetadataque creó anteriormente y haga clic en Cargar metadatos.
-
Configure la Información general. Establezca el ID de entidad de conexión del proveedor de servicios, la URL base y el nombre de conexión en el punto final SAML de Citrix Cloud para su región de cliente de Citrix Cloud.
- https://saml.cloud.com - Comercial UE, EE. UU. y APS
- https://saml.citrixcloud.jp - Japón
- https://saml.cloud.us - Gubernamental
-
Configurar la Configuración de protocolo.
-
Usar la configuración Vida útil de la aserción predeterminada.
- Configurar la Creación de aserción SAML.
-
Haga clic en Configurar la creación de aserción
-
Seleccionar Estándar.
-
-
Configurar el Contrato de atributos.
-
Configurar la Instancia de adaptador.
-
Configurar el Método de asignación.
-
Configure Cumplimiento del contrato de atributos.
-
Configure los Criterios de emisión como predeterminados sin condiciones.
-
La asignación del adaptador IDP completada aparece de la siguiente manera:
- Configure la Configuración del protocolo. Las rutas SAML requeridas por Citrix Cloud se añadirán a la URL base de su servidor PingFederate. Es posible anular la URL base introduciendo una ruta completa en el campo de URL del punto final, pero esto suele ser innecesario e indeseable.
URL base - https://youpingfederateserver.domain.com
-
Configure la URL del servicio de consumidor de aserciones que añade la ruta SAML a la URL base del servidor PingFederate. URL del punto final -
/saml/acs
-
Configure la URL del servicio SLO. URL del punto final -
/saml/logout/callback
Importante:
La conexión SAML de Citrix Cloud requiere que se configure una URL de cierre de sesión de PingFederate para que coincida con esta si desea realizar un SLO al cerrar sesión en la tienda o en Citrix Cloud. Si no se configura la URL de cierre de sesión en su conexión SAML, los usuarios finales solo cerrarán sesión en la tienda, pero no en PingFederate.
-
Configure los Enlaces SAML permitidos.
-
Configurar la Política de firma.
Importante:
La configuración de firma de SAML debe configurarse de forma coherente en ambos lados de la conexión SAML. Store o Citrix Cloud (SP) deben configurarse para enviar solicitudes SSO y SLO firmadas.
-
PingFederate (IDP) debe configurarse para aplicar la exigencia de solicitudes firmadas mediante el certificado de verificación de firma SAML de Citrix Cloud.
-
Configurar la Política de cifrado.
Nota:
Se recomienda establecer el cifrado en NINGUNO durante la configuración inicial y las pruebas para que pueda depurar cualquier problema con atributos SAML faltantes o incorrectos en la aserción. Si necesita aserciones cifradas, se recomienda habilitar el cifrado después de verificar que el inicio de sesión en Store o Citrix Cloud se ha realizado correctamente y que todos los recursos se han enumerado y se pueden iniciar correctamente. La depuración de problemas con SAML mientras el cifrado está habilitado será imposible si no puede ver el contenido en texto sin formato de la aserción SAML.
-
Revisar la pestaña Resumen.
-
Revise la conexión del proveedor de servicios (SP) de Citrix Cloud. Una vez configurada la conexión SP de Citrix Cloud, debería verse como en este ejemplo:
Consejo útil:
Utilice la página de Activación y Resumen de la conexión SP para revisar su aplicación SAML y para fines de depuración, ya que permite realizar cambios de configuración rápidos y sencillos. La página de Activación y Resumen de la conexión SP le permite navegar a cualquiera de las subsecciones de configuración de SAML haciendo clic en el título de esa sección. Haga clic en cualquiera de los títulos resaltados en rojo para actualizar esta configuración.
-
-
La conexión SP de Citrix Cloud completada debería aparecer en la lista de esta manera.
-
Es posible exportar la conexión SP en forma de un archivo XML. Citrix recomienda hacer una copia de seguridad de su conexión SP una vez que la haya probado con Citrix Cloud y el almacén.
Configurar la conexión SAML de Citrix Cloud
Todos los flujos de inicio de sesión de Citrix deben ser iniciados por el proveedor de servicios, utilizando una URL de almacén o una URL GO de Citrix Cloud.
Utilice los valores predeterminados recomendados para la conexión SAML en Administración de identidades y accesos → Autenticación → Añadir un proveedor de identidades → SAML.
| En este campo de Citrix Cloud | Introduzca este valor |
|---|---|
| ID de entidad |
https://yourpingfedbaseurl.domain.com, donde yourpingfedbaseurl.domain.com es el dominio de su servidor PingFederate. |
| Firmar solicitud de autenticación | Sí |
| URL del servicio SSO |
https://yourpingfedbaseurl.domain.com/idp/SSO.saml2 donde yourpingfedbaseurl.domain.com es el dominio de su servidor PingFederate. |
| Mecanismo de enlace SSO | HTTP Post |
| Respuesta SAML | Firmar respuesta o aserción |
| Contexto de autenticación | Sin especificar, Exacto |
| URL de cierre de sesión |
https://yourpingfedbaseurl.domain.com/idp/SLO.saml2 donde yourpingfedbaseurl.domain.com es el dominio de su servidor PingFederate. |
| Firmar solicitud de cierre de sesión | Sí |
| Mecanismo de enlace SLO | HTTP Post |
Importante:
- El uso del punto de conexión SSO iniciado por IdP de PingFederate incorrecto
https://yourpingfederateserver.domain.com/idp/startSSO.ping?PartnerSpId=https://saml.cloud.comno es compatible. Citrix Cloud y el almacén no son compatibles con el inicio de sesión único iniciado por el IdP.- El siguiente extracto se ha tomado de la documentación de PingFederate: Esta es la ruta utilizada para iniciar una transacción de inicio de sesión único (SSO) iniciada por el IdP no solicitada, durante la cual se envía una respuesta SAML que contiene una aserción a un proveedor de servicios (SP).
- Se sabe que el uso del punto de conexión SAML incorrecto provoca errores de inicio de sesión SAML y el siguiente error en la plataforma de autenticación de Citrix Cloud.
ExceptionMessage=An IdP-initiated SAML response from YourSAMLApp was received unexpectedly.
En este artículo
- Requisitos previos
- Configurar una conexión de Active Directory a su dominio AD utilizando un almacén de datos dentro de PingFederate
- Cargar el certificado de firma SAML de Citrix Cloud
- Cargar los metadatos de Citrix Cloud
- Configurar un validador de credenciales de contraseña en PingFederate
- Configurar el adaptador IDP dentro de PingFederate
- Configuración de la conexión del proveedor de servicios (aplicación SAML) para Citrix Cloud o las tiendas
- Configurar la conexión SAML de Citrix Cloud