Documentación de productos
Citrix Virtual Apps and Desktops
Current Release Service 2511 2507 LTSR 2503 2411 2407 2402 LTSR 2311 2203 LTSR
Ver PDF

Inicio de sesión único de Microsoft Entra (vista previa)

July 9, 2026
Contribución de: 
C

Puede aprovechar el inicio de sesión único (SSO) al usar credenciales de Microsoft Entra ID para acceder a aplicaciones y escritorios virtuales en hosts de sesión unidos de forma híbrida a Microsoft Entra.

Para DaaS, consulte Inicio de sesión único de Microsoft Entra.

IMPORTANTE:

El inicio de sesión único de Microsoft Entra para Citrix Virtual Apps and Desktops se encuentra actualmente en vista previa. Esta función se proporciona sin soporte y aún no se recomienda para su uso en entornos de producción.

Infraestructura compatible

A continuación, se ofrece una descripción general de los componentes de infraestructura compatibles con el inicio de sesión único de Microsoft Entra:

Identidad de la máquina Citrix DaaS CVAD On-prem Citrix Workspace Citrix Storefront Citrix Gateway Service NetScaler Gateway
Unido a Microsoft Entra Sí No Sí No Sí Sí
Unido a Microsoft Entra híbrido Sí Sí Sí Sí Sí Sí

Nota:

En StoreFront, el inicio de sesión único de Microsoft Entra es compatible solo con la experiencia de interfaz de usuario moderna, no con la experiencia de interfaz de usuario clásica.

Métodos de acceso admitidos

Los siguientes son los métodos de acceso disponibles en un entorno Citrix:

  • Acceso nativo: Utiliza el cliente nativo de la aplicación Citrix Workspace para acceder a Citrix Storefront y establecer la conexión de la sesión.
  • Acceso por navegador: Accede a Citrix Storefront a través de un navegador y se conecta a la sesión de la aplicación o el escritorio virtual mediante el cliente de la aplicación Citrix Workspace para HTML5.
  • Acceso híbrido: Accede a Citrix Storefront a través de un navegador y se conecta a la sesión de la aplicación o el escritorio virtual mediante el cliente nativo de la aplicación Workspace.

A continuación, se ofrece una descripción general de los métodos de acceso admitidos para el inicio de sesión único de Microsoft Entra:

Método de acceso Windows Linux Mac Chrome OS Android iOS
Nativo Sí Sí Sí Sí Sí Sí
Navegador Sí Sí Sí Sí Sí Sí
Híbrido Sí Sí Sí No No No

Nota:

Debe permitir las ventanas emergentes para que el inicio de sesión único funcione con el acceso de navegador e híbrido.

Requisitos del sistema

Los siguientes son los requisitos del sistema para usar el inicio de sesión único de Microsoft Entra:

Nota:

La extensión web de Citrix solo es necesaria si sus usuarios van a utilizar el acceso híbrido en dispositivos Windows o Mac. Si sus usuarios utilizan el acceso nativo o de navegador, la extensión web de Citrix no es necesaria.

Consideraciones

  • Si sus usuarios van a utilizar el acceso híbrido, deben usar Microsoft Edge o Google Chrome e instalar la extensión web de Citrix. El inicio de sesión único de Microsoft Entra con acceso híbrido no es compatible con otros navegadores.
  • La reconexión automática de clientes no es compatible cuando se utiliza el inicio de sesión único de Microsoft Entra para iniciar sesión en la sesión. Esta función se deshabilita automáticamente cuando se utiliza este método de inicio de sesión. La fiabilidad de la sesión sigue estando disponible para la reconexión automática en caso de interrupciones de red.
  • Cuando un escritorio virtual está bloqueado, el comportamiento predeterminado es mostrar la pantalla de bloqueo de Windows. Según sus requisitos de autenticación, es posible que deba cambiar el comportamiento de bloqueo de sesión. Consulte Comportamiento de bloqueo de sesión para obtener más detalles.
  • Con los hosts de sesión unidos a Microsoft Entra híbrido, el inicio de sesión único no funciona de forma predeterminada para los miembros de grupos privilegiados como los administradores de dominio. Para habilitarlo, agregue el grupo o usuario a la lista de permitidos del controlador de dominio de solo lectura (RODC) para el acceso a Kerberos de Microsoft Entra. Consulte TGT de Kerberos de Microsoft Entra y control de acceso de Active Directory para obtener más detalles.

Cómo configurar el inicio de sesión único de Microsoft Entra

Información general

La configuración del inicio de sesión único de Microsoft Entra consta de los siguientes pasos:

  1. Configuración de Azure y Microsoft Entra ID.
    1. Registrar las aplicaciones de cliente y recursos de Citrix.
    2. Habilitar el protocolo de autenticación de Servicios de Escritorio remoto de Microsoft Entra ID para la aplicación de recursos de Citrix.
    3. Ocultar el mensaje de consentimiento del usuario.
    4. Aprobar la aplicación cliente.
    5. Crear un objeto de servidor Kerberos (solo entornos unidos a Microsoft Entra híbrido).
    6. Revisar las directivas de acceso condicional de Microsoft Entra.
  2. Configuración de Citrix.
    1. Aprovisionar hosts de sesión con la versión de SO, el tipo de identidad y la versión de VDA requeridos.
    2. Configure StoreFront.
    3. Habilite el inicio de sesión único de Microsoft Entra en su sitio.
    4. Habilite el inicio de sesión único de Microsoft Entra en sus grupos de entrega.

Configuración de Azure y Microsoft Entra ID

Para aprovechar el inicio de sesión único de Microsoft Entra, primero debe permitir la autenticación de Microsoft Entra para Windows en su inquilino de Microsoft Entra ID, lo que permite la emisión de los tokens de autenticación necesarios que permiten a los usuarios iniciar sesión en los hosts de sesión unidos a Microsoft Entra y unidos híbridos a Microsoft Entra.

La persona que realiza la configuración de Azure debe tener asignado uno de los siguientes roles integrados de Microsoft Entra o un equivalente como mínimo:

La configuración se puede completar a través de Azure Portal, mediante Microsoft Graph PowerShell SDK o Microsoft Graph API. Las siguientes secciones proporcionan detalles para completar la configuración a través de Azure Portal. Si prefiere usar Microsoft Graph PowerShell SDK o Microsoft Graph API, consulte Configuración de Azure para el inicio de sesión único de Microsoft Entra.

Registrar aplicaciones de Citrix

Debe registrar la aplicación de recursos de Citrix multiinquilino en su inquilino de Azure y crear una aplicación cliente de inquilino único.

Primero, debe registrar la aplicación de recursos de Citrix. Para ello, utilice una de las siguientes URL de consentimiento:

  • EE. UU., UE, APS: https://login.microsoftonline.com/common/adminconsent?client_id=3a510bb1-e334-4298-831e-3eac97f8b26c
  • Japón: https://login.microsoftonline.com/common/adminconsent?client_id=0027603f-364b-40f2-98be-8ca4bb79bf8b

Una vez registrada la aplicación de recursos, debe crear su aplicación cliente de inquilino único.

Crear una aplicación cliente de inquilino único
  1. Vaya a Azure Portal.
  2. Vaya a Microsoft Entra ID > Aplicaciones empresariales.
  3. Seleccione Nueva aplicación.
  4. Seleccione Crear su propia aplicación.
  5. Introduzca un nombre para la aplicación, seleccione Registrar una aplicación para integrar con Microsoft Entra ID y haga clic en Crear.
  6. En Tipos de cuenta admitidos, seleccione Solo inquilino único y haga clic en Registrar.
  7. Vaya a Microsoft Entra ID > Registros de aplicaciones y seleccione Todas las aplicaciones.
  8. Busque y haga clic en la aplicación que acaba de crear.
  9. Haga clic en Agregar un URI de redirección.
  10. Deberá agregar tres URI de redirección: Web, Aplicación de una sola página y Aplicaciones móviles y de escritorio.
    1. Para cada URI, seleccione Agregar URI de redirección.

    2. Introduzca el URI de redirección. Consulte la tabla siguiente para obtener detalles sobre qué agregar.

      Tipo de plataforma URI de redirección Notas
      Web URI de inicio de sesión de NetScaler específico del cliente La cadena URI se calcula en función de su URL específica de NetScaler.
      Aplicaciones móviles y de escritorio ctxaadsso://citrix.aad.redirect Introduzca este URI exactamente como está.
      Aplicación SPA (aplicación de una sola página) URL web del almacén de StoreFront Introduzca la URL web de su almacén de StoreFront. Por ejemplo, si la URL utilizada para acceder a su almacén a través de un navegador es https://finance.acme.com/Citrix/MyStoreWeb, la URI de redirección de SPA debe ser https://finance.acme.com/Citrix/MyStoreWeb. Si tiene varios almacenes en su entorno, debe introducir las URL web de todos los almacenes como URI de redirección de SPA.
    3. Seleccione Configurar.
  11. Una vez que se hayan añadido todas las URI de redirección, deberá añadir un permiso de API a la aplicación cliente.
    1. Seleccione Permisos de API en el panel izquierdo, en Administrar.
    2. Seleccione Añadir permiso.
    3. Seleccione API que usa mi organización.
    4. Seleccione la aplicación de recursos de Citrix (Citrix-Workspace-Resource).
    5. En la lista de permisos, marque user_impersonation.
    6. Seleccione Agregar permisos.
  12. Seleccione Información general en el panel izquierdo y anote el ID de aplicación asignado.
Registrar la aplicación cliente

Una vez que la aplicación se haya creado y configurado, debe dar su consentimiento a los permisos de la aplicación.

Puede dar su consentimiento a los permisos de la aplicación en el portal de Azure:

  1. Vaya a Microsoft Entra ID > Aplicaciones empresariales.
  2. Busque y seleccione la aplicación cliente.
  3. Seleccione Permisos en el panel izquierdo, en Seguridad.
  4. Haga clic en Conceder consentimiento de administrador para <tenantName>
  5. Dé su consentimiento a los permisos.

Alternativamente, puede usar una URL de consentimiento de administrador: https://login.microsoftonline.com/<EntraTenantID>/adminconsent?client_id=<clientAppID>

NOTA:

Debe reemplazar <EntraTenantID> por el ID de inquilino de Entra y <clientAppID> por el ID de aplicación de la aplicación cliente.

Permisos de la aplicación de recursos de Citrix

Los siguientes son los permisos de la aplicación:

Nombre de la API Valor de la declaración Permiso Tipo
Microsoft Graph User.Read Iniciar sesión y leer el perfil de usuario Delegado

Para EE. UU., la UE y APS, la aplicación se denomina Citrix-Workspace-Resource (ID de aplicación 3a510bb1-e334-4298-831e-3eac97f8b26c).

Para Japón, la aplicación se denomina Citrix-Workspace-Resource-JP (ID de aplicación 0027603f-364b-40f2-98be-8ca4bb79bf8b).

Permisos de la aplicación cliente de Citrix

Los siguientes son los permisos de la aplicación:

Nombre de la API Valor de la declaración Permiso Tipo
Citrix-Workspace-Resource
Citrix-Workspace-Resource-JP		 user_impersonation
Citrix Entra ID SSO
Delegado
Microsoft Graph User.Read Iniciar sesión y leer el perfil de usuario Delegado

Habilitar el protocolo de autenticación de Servicios de Escritorio remoto de Microsoft Entra ID

Debe habilitar el protocolo de autenticación de Servicios de Escritorio remoto de Microsoft Entra ID en la aplicación de recursos de Citrix. Para ello:

  1. En Azure Portal, vaya a Microsoft Entra ID > Devices > Manage > Remote connection configuration.

    Configuración de la aplicación Entra 1

  2. Seleccione Citrix-Workspace-Resource.

  3. Habilite el protocolo de autenticación de Servicios de Escritorio remoto de Microsoft Entra ID.

    Configuración de la aplicación Entra 2

  4. Continúe para ocultar el mensaje de consentimiento del usuario.

Ocultar el cuadro de diálogo del mensaje de consentimiento del usuario

De forma predeterminada, se pide a los usuarios que permitan la conexión de Escritorio remoto al conectarse a un host de sesión unido a Microsoft Entra o unido a Microsoft Entra híbrido con el inicio de sesión único de Microsoft Entra habilitado, en cuyo caso deben seleccionar Sí para permitir el inicio de sesión único. Microsoft Entra recordará hasta 15 hosts de sesión únicos durante 30 días antes de volver a solicitarlo.

Puede ocultar este cuadro de diálogo configurando una lista de dispositivos de destino. Para configurar la lista de dispositivos, debe crear uno o más grupos en Microsoft Entra ID que contengan los hosts de sesión unidos a Microsoft Entra y/o unidos a Microsoft Entra híbrido y, a continuación, autorizar los grupos en la aplicación de recursos, hasta un máximo de 10 grupos.

Una vez que haya habilitado el protocolo de autenticación de Servicios de Escritorio remoto de Microsoft Entra ID y se hayan creado los grupos:

  1. Haga clic en el enlace para añadir los grupos de dispositivos de destino y seleccione los grupos adecuados.

    Configuración de la aplicación Entra 3

NOTA

Se recomienda encarecidamente crear un grupo dinámico para simplificar la gestión de la pertenencia al grupo. Aunque los grupos dinámicos suelen actualizarse en 5-10 minutos, los inquilinos grandes pueden tardar hasta 24 horas.

Los grupos dinámicos requieren la licencia Microsoft Entra ID P1 o la licencia Intune para Educación. Para obtener más información, consulte Reglas de pertenencia dinámica para grupos.

  1. Continúe para aprobar la aplicación cliente.

Aprobar la aplicación cliente

Debe agregar explícitamente la aplicación Citrix Client como cliente aprobado en la aplicación Citrix Resource:

  1. Haga clic en el enlace para agregar sus aplicaciones cliente de confianza.

    Configuración de la aplicación Entra 4

  2. Seleccione la aplicación Citrix Client.

    Configuración de la aplicación Entra 5

  3. Seleccione Guardar para aplicar los cambios de configuración a la aplicación Citrix Resource.

    Configuración de la aplicación Entra 6

  4. Continúe para crear un objeto de servidor Kerberos.

Crear un objeto de servidor Kerberos

Si sus hosts de sesión están unidos de forma híbrida a Microsoft Entra, debe configurar un objeto de servidor Kerberos en el dominio de Active Directory donde residen las cuentas de usuario y equipo. Consulte Crear un objeto de servidor Kerberos para obtener más detalles.

Revisar las directivas de acceso condicional de Microsoft Entra

Si utiliza o planea utilizar las políticas de acceso condicional de Microsoft Entra, revise la configuración aplicada a la aplicación de recursos de Citrix para asegurarse de que los usuarios tengan la experiencia de inicio de sesión deseada.

Para obtener una guía detallada sobre cómo configurar el acceso condicional al utilizar el inicio de sesión único de Microsoft Entra para DaaS, consulte la documentación de Microsoft. Recuerde que la configuración de acceso condicional requerida debe aplicarse a la aplicación de recursos de Citrix, no a las aplicaciones de Microsoft.

Hosts de sesión de Citrix

Asegúrese de que se cumplan los requisitos del sistema para los hosts de sesión:

  1. Asegúrese de que los hosts de sesión estén unidos de forma híbrida a Microsoft Entra.
  2. Instale la versión y compilación del sistema operativo requeridas, tal como se especifica en los requisitos del sistema.
  3. Instale la versión de VDA requerida, tal como se especifica en los requisitos del sistema.

Hosts de sesión unidos de forma híbrida a Microsoft Entra

Al implementar hosts de sesión unidos de forma híbrida a Microsoft Entra con Citrix Machines Creation Services, Citrix Provisioning o Windows 365, continúe con la siguiente sección. Si está aprovisionando hosts unidos de forma híbrida a Microsoft Entra mediante cualquier otra herramienta o método, debe agregar el siguiente valor de registro a sus hosts de sesión:

  • Clave: HKLM\SYSTEM\CurrentControlSet\Control\Citrix
  • Tipo de valor: DWORD
  • Nombre del valor: AzureADJoinType
  • Datos: 1

Comportamiento de bloqueo de sesión

Cuando un escritorio virtual está bloqueado, el comportamiento predeterminado es mostrar la pantalla de bloqueo de Windows. En este punto, los métodos de autenticación admitidos para desbloquear el escritorio son nombre de usuario y contraseña o tarjeta inteligente.

Si tiene una implementación sin contraseña donde los usuarios no conocen sus contraseñas, se recomienda configurar el comportamiento de bloqueo de sesión para desconectar la sesión en lugar de mostrar la pantalla de bloqueo.

Puede configurar este comportamiento habilitando la opción Desconectar sesión remota al bloquear para la autenticación de la plataforma de identidad de Microsoft a través de Intune o la Política de grupo. Para obtener pasos detallados, consulte Configurar el comportamiento de bloqueo de sesión para Azure Virtual Desktop.

Plano de control y acceso de Citrix

Configuración de StoreFront

Para habilitar el inicio de sesión único de Microsoft Entra con StoreFront, consulte Inicio de sesión único de Entra ID en la documentación de StoreFront.

Habilitar el inicio de sesión único de Microsoft Entra en Web Studio

Para habilitar el inicio de sesión único de Microsoft Entra en su sitio, debe agregar los detalles de su aplicación de cliente y recurso y el URI de redirección. Consulte la documentación de Configuración para obtener más detalles.

Habilitar el inicio de sesión único de Microsoft Entra para el grupo de entrega

Uso de Web Studio
  1. Vaya a grupos de entrega en Web Studio y haga clic en Crear grupo de entrega.
  2. En la página Usuarios, seleccione Unido a Microsoft Entra híbrido como tipo de identidad.
  3. Complete la configuración en las páginas siguientes. Para referencia, consulte Crear grupos de entrega.
Uso de PowerShell
  1. Cree un nuevo grupo de entrega y agregue el VDA al grupo de entrega. Asigne el usuario (cuenta de AD) al VDA.

  2. Establezca el grupo de entrega MachineLogonType en HybridAzureAd. Por ejemplo:

    Get-BrokerDesktopGroup -Name <dgName> | Set-BrokerDesktopGroup -MachineLogOnType "HybridAzureAd"
<!--NeedCopy-->

  3. Confiar en el servicio XML.

    Add-PSSnapin Citrix.Broker.Admin.V2
Set-BrokerSite -TrustRequestsSentToTheXmlServicePort $true
<!--NeedCopy-->

  4. Establezca los parámetros de SSO (consulte la tabla siguiente para obtener orientación).

    Set-BrokerSite -AzureGlobalCloudId "B16898C6-A148-4967-9171-64D755DA8520" -AzureSSOnAuthorizeUrl "<URL>" -AzureSSOnClientId "<clientAppID>" -AzureSSOnRedirectUrl "<URL>" -AzureSSOnResourceAppId "<resourceAppID>"
<!--NeedCopy-->

    La siguiente tabla proporciona detalles de los parámetros y sus valores predeterminados:

    Parámetro Valor predeterminado Descripción
    AzureGlobalCloudId B16898C6-A148-4967-9171-64D755DA8520 Identifica el CloudAP de Entra en Windows.
    AzureSSOnAuthorizeUrl https://login.microsoftonline.com/common/ URL de inicio de sesión inicial. Esto se determina por la nube de Azure en la que se encuentra el inquilino de Entra (por ejemplo, Azure Commercial frente a Azure Gov)
    AzureSSOnClientId Sin valor predeterminado ID de aplicación de la aplicación cliente.
    AzureSSOnRedirectUrl Sin valor predeterminado URI de redirección posterior a la autenticación. Debe ser una URL configurada como URI de redirección en la aplicación cliente.
    AzureSSOnResourceAppId 3a510bb1-e334-4298-831e-3eac97f8b26c ID de aplicación de la aplicación de recursos de Citrix.

Dispositivo cliente

Asegúrese de que se cumplen los requisitos del sistema para los dispositivos cliente:

  1. Instale la versión requerida de la aplicación Citrix Workspace, tal como se especifica en los requisitos del sistema.
  2. Si sus usuarios van a utilizar el acceso híbrido, asegúrese de que la extensión web de Citrix esté instalada. Si sus usuarios van a utilizar el acceso nativo o del navegador, la extensión web de Citrix no es necesaria.

Solución de problemas

  • Para solucionar problemas de StoreFront, consulte Registros de diagnóstico.
  • Si recibe el siguiente error de StoreFront: There was a failure with the mapped account: Probablemente se trate de un usuario puro de Entra, sin una cuenta de AD sincronizada/de respaldo.
  • Al iniciar, hay un error inmediato antes de obtener un archivo ICA: Asegúrese de haber habilitado la confianza en el servicio XML.
  • Si el VDA se queda atascado en Inicializando durante el registro: Asegúrese de que el VDA se haya movido a una OU que esté realmente sincronizada con Entra.

Cuando el inicio de sesión único falla

Si el inicio de sesión único falla al acceder a escritorios o aplicaciones virtuales, proceda de la siguiente manera:

  1. Confirme que el inicio de sesión único de Microsoft Entra está habilitado en StoreFront.

  2. Confirme que el inicio de sesión único de Microsoft Entra está habilitado en su sitio.

  3. Confirme que el inicio de sesión único de Microsoft Entra está habilitado en los grupos de entrega.

  4. Confirme que el método de acceso utilizado por el usuario es compatible.

  5. Si el usuario utiliza el acceso híbrido, confirme que la extensión web de Citrix está instalada.

  6. Confirme que el dispositivo cliente ejecuta la versión requerida de la aplicación Citrix Workspace.

  7. Confirme que sus hosts de sesión ejecutan la compilación de Windows requerida.

  8. Confirme que sus hosts de sesión ejecutan la versión de VDA requerida.

  9. Asegúrese de que la configuración de Windows Always prompt for password upon connection no esté habilitada en los hosts de sesión. Esta configuración está deshabilitada de forma predeterminada y se puede configurar a través de la Directiva de grupo o Intune en Computer Configuration\Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Security. Puede comprobar en el registro si la configuración está habilitada buscando el valor fPromptForPassword en HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services. Si el valor se establece en 1, la configuración está habilitada y el inicio de sesión único no estará disponible. Si el valor falta o se establece en 0, la configuración está deshabilitada.

  10. Confirme que la configuración AzureADJoinType está configurada correctamente en los hosts de sesión:
    • Clave: HKLM\SYSTEM\CurrentControlSet\Control\Citrix
    • Tipo de valor: DWORD
    • Nombre del valor: AzureADJoinType
    • Datos de valor: 1 (unido a Microsoft Entra híbrido)

  11. Asegúrese de que los escritorios virtuales o las aplicaciones estén asignados a identidades de Active Directory y no a identidades de Entra ID en Citrix Studio.

  12. Confirme que el tipo de inicio de sesión de los Delivery Groups está configurado correctamente ejecutando el siguiente comando de PowerShell:

    Get-BrokerDesktopGroup -Name <deliveryGroupName>
<!--NeedCopy-->

    Para los hosts de sesión unidos a Microsoft Entra híbrido, MachineLogOnType debe establecerse en HybridAzureAd.

  13. Confirme que la aplicación de recursos de Citrix y la aplicación cliente de inquilino único están registradas en el inquilino de Microsoft Entra.

  14. Confirme que el protocolo de autenticación RDS de Microsoft Entra ID está habilitado en la aplicación de recursos de Citrix.

  15. Confirme que la aplicación cliente se agregó como una aplicación cliente aprobada en la aplicación de recursos de Citrix.

  16. Si sus hosts de sesión están unidos a Microsoft Entra híbrido, confirme que se creó un objeto de servidor Kerberos en el dominio de Active Directory donde residen las cuentas de usuario y equipo.

  17. Revise sus directivas de acceso condicional de Microsoft Entra. Asegúrese de que no se apliquen directivas a las aplicaciones de recursos y cliente de Citrix o a los hosts de sesión que puedan afectar la experiencia de inicio de sesión único.
Inicio de sesión único de Microsoft Entra (vista previa)
July 9, 2026
Contribución de: 
C
July 9, 2026
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Your privacy choices footer linkSus opciones de privacidad | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.