Certificados y autenticación
Varios componentes desempeñan un papel en la autenticación durante las operaciones de Citrix Endpoint Management:
-
Citrix Endpoint Management: El servidor de Citrix Endpoint Management es donde se definen la seguridad de la inscripción y la experiencia de inscripción. Las opciones para incorporar usuarios incluyen:
-
Si la inscripción debe ser abierta para todos o solo por invitación.
-
Si se requiere autenticación de dos factores o de tres factores. Las propiedades del cliente de Citrix Endpoint Management le permiten habilitar la autenticación con PIN de Citrix y configurar la complejidad y la caducidad del PIN.
-
-
NetScaler Gateway: NetScaler Gateway proporciona la terminación para las sesiones SSL de micro VPN. NetScaler Gateway también proporciona seguridad de red en tránsito y le permite definir la experiencia de autenticación utilizada cada vez que un usuario accede a una aplicación.
-
Citrix Secure Hub: Citrix Secure Hub y Citrix Endpoint Management trabajan juntos en las operaciones de inscripción. Citrix Secure Hub es la entidad en un dispositivo que se comunica con NetScaler Gateway: cuando una sesión caduca, Citrix Secure Hub obtiene un tíquet de autenticación de NetScaler Gateway y lo pasa a las aplicaciones MDX. Citrix recomienda el anclaje de certificados (certificate pinning), que evita los ataques de intermediario (man-in-the-middle). Para obtener más información, consulte esta sección del artículo de Citrix Secure Hub: Anclaje de certificados.Citrix Secure Hub también facilita el contenedor de seguridad MDX: Citrix Secure Hub envía directivas, crea una sesión con NetScaler Gateway cuando una aplicación agota el tiempo de espera y define el tiempo de espera y la experiencia de autenticación de MDX. Citrix Secure Hub también es responsable de la detección de jailbreak, las comprobaciones de geolocalización y cualquier directiva que aplique.
-
Directivas MDX: Las directivas MDX crean la bóveda de datos en el dispositivo. Las directivas MDX dirigen las conexiones de micro VPN de vuelta a NetScaler Gateway, aplican restricciones del modo sin conexión y aplican directivas de cliente, como los tiempos de espera.
Citrix Endpoint Management autentica a los usuarios en sus recursos mediante los siguientes métodos de autenticación:
-
Administración de dispositivos móviles (MDM)
-
Proveedores de identidades alojados en la nube (IdP)
-
Protocolo ligero de acceso a directorios (LDAP)
-
URL de invitación + PIN
-
Autenticación de dos factores
-
-
-
Administración de aplicaciones móviles (MAM)
-
LDAP
-
Certificado
-
Token de seguridad La autenticación MAM requiere NetScaler Gateway.
-
Para obtener otros detalles de configuración, consulte los siguientes artículos:
-
Para autenticarse en un servidor Wi-Fi, envíe un certificado a los dispositivos: Directiva de dispositivos de red
-
Para enviar un certificado único no utilizado para la autenticación, como un certificado de autoridad de certificación (CA) raíz interna o una directiva específica: Directiva de dispositivos de credenciales
Certificados
Citrix Endpoint Management genera un certificado SSL (Secure Sockets Layer) autofirmado durante la instalación para proteger los flujos de comunicación al servidor. Reemplace el certificado SSL por un certificado SSL de confianza de una autoridad de certificación conocida.
Citrix Endpoint Management también utiliza su propio servicio de infraestructura de clave pública (PKI) u obtiene certificados de la CA para los certificados de cliente. Todos los productos de Citrix admiten certificados comodín y de nombre alternativo del sujeto (SAN). Para la mayoría de las implementaciones, solo necesita dos certificados comodín o SAN.
La autenticación de certificados de cliente proporciona una capa adicional de seguridad para las aplicaciones móviles y permite a los usuarios acceder sin problemas a las aplicaciones HDX. Cuando la autenticación de certificados de cliente está configurada, los usuarios escriben su PIN de Citrix para el acceso de inicio de sesión único (SSO) a las aplicaciones habilitadas para Citrix Endpoint Management. El PIN de Citrix también simplifica la experiencia de autenticación del usuario. El PIN de Citrix se utiliza para proteger un certificado de cliente o para guardar las credenciales de Active Directory localmente en el dispositivo.
Para inscribir y administrar dispositivos iOS con Citrix Endpoint Management, configure y cree un certificado del Servicio de notificaciones push de Apple (APNs) de Apple. Para conocer los pasos, consulte Certificados APNs.
La siguiente tabla muestra el formato y el tipo de certificado para cada componente de Citrix Endpoint Management:
| Componente de Citrix Endpoint Management | Formato de certificado | Tipo de certificado requerido |
|---|---|---|
| NetScaler Gateway | PEM (BASE64), PFX (PKCS #12) | SSL, Raíz (NetScaler Gateway convierte PFX a PEM automáticamente. |
| Citrix Endpoint Management | .p12 (.pfx en equipos basados en Windows) | SSL, SAML, APNs (Citrix Endpoint Management también genera una PKI completa durante el proceso de instalación). Importante: Citrix Endpoint Management no admite certificados con extensión .pem. Para usar un certificado .pem, divida el archivo .pem en un certificado y una clave e importe cada uno en Citrix Endpoint Management. |
| StoreFront | PFX (PKCS #12) | SSL, raíz |
Citrix Endpoint Management admite certificados de cliente con longitudes de bits de 4096 y 2048.
Para NetScaler Gateway y Citrix Endpoint Management, se recomienda obtener certificados de servidor de una CA pública, como Verisign, DigiCert o Thawte. Puede crear una solicitud de firma de certificado (CSR) desde NetScaler Gateway o la utilidad de configuración de Citrix Endpoint Management. Después de crear la CSR, la envía a la CA para que la firme. Cuando la CA devuelve el certificado firmado, puede instalarlo en NetScaler Gateway o Citrix Endpoint Management.
Importante:
Requisitos para certificados de confianza en iOS, iPadOS y macOS
Apple tiene nuevos requisitos para los certificados de servidor TLS. verificar que todos los certificados cumplen los requisitos de Apple. Consulte la publicación de Apple,
<https://support.apple.com/es-es/HT210176>.
Apple está reduciendo la vida útil máxima permitida de los certificados de servidor TLS. Este cambio afecta solo a los certificados de servidor emitidos después de septiembre de 2020. Consulte la publicación de Apple,
<https://support.apple.com/es-es/HT211025>.
Autenticación LDAP
Citrix Endpoint Management admite la autenticación basada en dominios para uno o varios directorios que cumplen con el Protocolo ligero de acceso a directorios (LDAP). LDAP es un protocolo de software que proporciona acceso a información sobre grupos, cuentas de usuario y propiedades relacionadas. Para obtener más información, consulte Autenticación de dominio o de dominio más token de seguridad.
Autenticación del proveedor de identidades
Puede configurar un proveedor de identidades (IdP) a través de Citrix Cloud para inscribir y administrar dispositivos de usuario.
Casos de uso admitidos para IdP:
-
Azure Active Directory a través de Citrix Cloud
-
La integración con Workspace es opcional
-
NetScaler Gateway configurado para la autenticación basada en certificados
-
Android Enterprise (Vista previa. Admite BYOD, dispositivos totalmente administrados y perfiles de inscripción mejorados)
-
iOS para inscripciones de MDM+MAM y MDM
-
iOS y macOS para inscripciones de Apple Business Manager
-
Android heredado (DA)
Las funciones de inscripción automática, como Apple School Manager, no son compatibles actualmente. -
-
Okta a través de Citrix Cloud
-
La integración con Workspace es opcional
-
NetScaler Gateway configurado para la autenticación basada en certificados
-
Android Enterprise (Vista previa. Admite BYOD, dispositivos totalmente administrados y perfiles de inscripción mejorados)
-
iOS para inscripciones de MDM+MAM y MDM
-
iOS y macOS para inscripciones de Apple Business Manager
-
Android heredado (DA)
Las funciones de inscripción automática, como Apple School Manager, no son compatibles actualmente. -
-
NetScaler Gateway local a través de Citrix Cloud
-
NetScaler Gateway configurado para la autenticación basada en certificados
-
Android Enterprise (Vista previa. Admite BYOD, dispositivos totalmente administrados y perfiles de inscripción mejorados)
-
iOS para inscripciones de MDM+MAM y MDM
-
Android heredado (DA) Las funciones de inscripción automática, como Apple Deployment Program, no son compatibles actualmente.
-