Configurar el Servicio de autenticación federada
El VDA de Linux es compatible con el uso de FAS para iniciar sesión en tu entorno de Citrix Virtual Apps and Desktops. Utiliza el mismo entorno de Windows que el VDA de Windows para la función de inicio de sesión de FAS. Para obtener información sobre cómo configurar el entorno de Windows para FAS, consulta Servicio de autenticación federada. Este artículo proporciona información adicional específica para el VDA de Linux.
Nota:
El VDA de Linux no es compatible con la directiva In-session Behavior.
El VDA de Linux utiliza conexiones cortas para transmitir datos con los servidores FAS.
Configurar FAS en el VDA de Linux
Compatibilidad con FAS en RHEL 8/CentOS 8
FAS depende del módulo pam_krb5, que está obsoleto en RHEL 8/CentOS 8. Para usar FAS en RHEL 8/CentOS 8, compila el módulo pam_krb5 de la siguiente manera:
-
Descarga el código fuente de pam_krb5-2.4.8-6 del siguiente sitio web:
https://centos.pkgs.org/7/centos-x86_64/pam_krb5-2.4.8-6.el7.x86_64.rpm.html.
-
Compila e instala el módulo pam_krb5 en RHEL 8/CentOS 8.
yum install make gcc krb5-devel pam-devel autoconf libtool rpm2cpio pam_krb5-2.4.8-6.el7.src.rpm | cpio -div tar xvzf pam_krb5-2.4.8.tar.gz cd pam_krb5-2.4.8 ./configure --prefix=/usr make make install <!--NeedCopy--> -
Verifica que pam_krb5.so existe en /usr/lib64/security/.
ls -l /usr/lib64/security | grep pam_krb5 <!--NeedCopy-->
Establecer servidores FAS
Para una instalación nueva del VDA de Linux, para usar FAS, escribe el FQDN de cada servidor FAS cuando se te solicite CTX_XDL_FAS_LIST durante la ejecución de ctxinstall.sh o ctxsetup.sh. Dado que el VDA de Linux no es compatible con la directiva de grupo de AD, puedes proporcionar una lista de servidores FAS separada por punto y coma. Si se elimina alguna dirección de servidor, rellena su espacio en blanco con la cadena de texto <none> y no modifiques el orden de las direcciones de los servidores.
Para actualizar una instalación existente del VDA de Linux, puedes volver a ejecutar ctxsetup.sh para establecer los servidores FAS. O puedes ejecutar los siguientes comandos para establecer los servidores FAS y reiniciar el servicio ctxvda para que la configuración surta efecto.
sudo /opt/Citrix/VDA/bin/ctxreg create -k "HKLM\Software\Citrix\VirtualDesktopAgent\Authentication\UserCredentialService" -t "REG_SZ" -v "Addresses" -d "<Your-FAS-Server-List>" --force
service ctxjproxy restart
service ctxvda restart
<!--NeedCopy-->
Para actualizar los servidores FAS a través de ctxreg, ejecuta los siguientes comandos:
sudo /opt/Citrix/VDA/bin/ctxreg update -k "HKLM\Software\Citrix\VirtualDesktopAgent\Authentication\UserCredentialService" -v "Addresses" -d "<Your-FAS-Server-List>"
service ctxjproxy restart
service ctxvda restart
<!--NeedCopy-->
Para la verificación de los certificados de los usuarios, instala el certificado raíz de CA y todos los certificados intermedios en el VDA. Por ejemplo, para instalar el certificado raíz de CA, obtén el certificado raíz de AD del paso anterior Recuperar el certificado de CA de la CA de Microsoft (en AD), o descarga su formato DER del servidor raíz de CA http://CA-SERVER/certsrv.
Nota:
Los siguientes comandos también se aplican a la configuración de un certificado intermedio.
Convierte un archivo DER (.crt, .cer, .der) a PEM ejecutando un comando similar al siguiente:
sudo openssl x509 -inform der -in root.cer -out root.pem
<!--NeedCopy-->
Luego, instala el certificado raíz de CA en el directorio openssl ejecutando un comando similar al siguiente:
- sudo cp root.pem /etc/pki/CA/certs/
<!--NeedCopy-->
Nota:
No coloques el certificado raíz de CA en la ruta /root. De lo contrario, FAS no tiene permiso de lectura para el certificado raíz de CA.
Ejecutar ctxfascfg.sh
Ejecuta el script ctxfascfg.sh para configurar los parámetros de FAS:
sudo /opt/Citrix/VDA/sbin/ctxfascfg.sh
<!--NeedCopy-->
Se agregan dos variables de entorno para que ctxfascfg.sh se pueda ejecutar en modo silencioso:
-
CTX_FAS_ADINTEGRATIONWAY=winbind | sssd | centrify – Indica el método de integración de Active Directory, que es igual a
CTX_EASYINSTALL_ADINTEGRATIONWAYcuando se especificaCTX_EASYINSTALL_ADINTEGRATIONWAY. Si no se especificaCTX_EASYINSTALL_ADINTEGRATIONWAY,CTX_FAS_ADINTEGRATIONWAYutiliza su propia configuración de valor. -
CTX_FAS_CERT_PATH =<certificate path> – Especifica la ruta completa donde se almacenan el certificado raíz y todos los certificados intermedios.
Elige el método correcto de integración de Active Directory y luego escribe la ruta correcta de los certificados (por ejemplo, /etc/pki/CA/certs/).
Luego, el script instala los paquetes krb5-pkinit y pam_krb5 y configura los archivos de configuración relevantes.
Limitación
-
FAS es compatible con un número limitado de plataformas Linux y métodos de integración de AD. Consulta la siguiente matriz:
Winbind SSSD Centrify RHEL 8.3 / CentOS 8.3 Sí Sí Sí RHEL 8.2 / CentOS 8.2 Sí Sí Sí RHEL 8.1 / CentOS 8.1 Sí Sí Sí RHEL 7.9 / CentOS 7.9 Sí Sí Sí RHEL 7.8 / CentOS 7.8 Sí Sí Sí Ubuntu 20.04 Sí No Sí Ubuntu 18.04 Sí No Sí Ubuntu 16.04 Sí No Sí SLES 12.5 Sí No Sí - FAS aún no es compatible con la pantalla de bloqueo. Si haces clic en el botón de bloqueo en una sesión, no podrás volver a iniciar sesión en la sesión utilizando FAS.
- Esta versión solo es compatible con las implementaciones comunes de FAS resumidas en el artículo Descripción general de la arquitectura del Servicio de autenticación federada y no incluye Windows 10 Azure AD Join.
Solución de problemas
Antes de solucionar problemas de FAS, asegúrate de que el VDA de Linux esté instalado y configurado correctamente para que se pueda iniciar correctamente una sesión sin FAS en el almacén común mediante autenticación con contraseña.
Si las sesiones sin FAS funcionan correctamente, establece el nivel de registro HDX de la clase Login en VERBOSE y el nivel de registro del VDA en TRACE. Para obtener información sobre cómo habilitar el registro de seguimiento para el VDA de Linux, consulta el artículo del Centro de conocimientos CTX220130.
Error de configuración del servidor FAS
Falla el inicio de una sesión desde el almacén de FAS.
Comprueba /var/log/xdl/hdx.log y busca el registro de errores similar al siguiente:
2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: validate_user: [Logon Type] Federated Authentication Logon.
2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: validate_fas: entry
2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: connect_fas: start connect to server 0
2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: connect_fas0: failed to connect: Connection refused.
2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: validate_fas: failed to connect to server [0], please confirm if fas service list is well configurated in condb
- 2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: validate_fas: exit, 43
2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: validate_user: failed to validate fas credential
2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: LoginBoxValidate: failed validation of user 'user1@CTXDEV.LOCAL', INVALID_PARAMETER
<!--NeedCopy-->
Solución
Ejecuta el siguiente comando para verificar que el valor del registro de Citrix “HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\VirtualDesktopAgent\Authentication\UserCredentialService” está establecido en <Your-FAS-Server-List>.
sudo /opt/Citrix/VDA/bin/ctxreg dump | grep "UserCredentialService"
<!--NeedCopy-->
Si la configuración existente es incorrecta, sigue el paso anterior Establecer servidores FAS para configurarlo de nuevo.
Configuración incorrecta del certificado de CA
Falla el inicio de una sesión desde el almacén de FAS. Aparece una ventana gris y desaparece varios segundos después.
Comprueba /var/log/xdl/hdx.log y busca el registro de errores similar al siguiente:
2021-01-28 01:47:46.210 <P30656:S5> citrix-ctxlogin: get_logon_certificate: entry
2021-01-28 01:47:46.210 <P30656:S5> citrix-ctxlogin: check_caller: current process: pid [30656], name [/opt/Citrix/VDA/bin/ctxlogin]
2021-01-28 01:47:46.210 <P30656:S5> citrix-ctxlogin: get_public_certificate: entry
2021-01-28 01:47:46.211 <P30656:S5> citrix-ctxlogin: query_fas: waiting for response...
2021-01-28 01:47:46.270 <P30656:S5> citrix-ctxlogin: query_fas: query to server success
2021-01-28 01:47:46.270 <P30656:S5> citrix-ctxlogin: get_public_certificate: exit
2021-01-28 01:47:46.270 <P30656:S5> citrix-ctxlogin: fas_base64_decode: input size 1888
2021-01-28 01:47:46.271 <P30656:S5> citrix-ctxlogin: fas_base64_decode: output size 1415
2021-01-28 01:47:46.271 <P30656:S5> citrix-ctxlogin: get_logon_certificate: get logon certificate success
2021-01-28 01:47:46.271 <P30656:S5> citrix-ctxlogin: cache_certificate: cache certificate success
2021-01-28 01:47:46.271 <P30656:S5> citrix-ctxlogin: get_logon_certificate: exit, 0
2021-01-28 01:47:48.060 <P30656:S5> citrix-ctxlogin: validate_user: pam_authenticate err,can retry for user user1@CTXDEV.LOCAL
<!--NeedCopy-->
Solución
Verifica que la ruta completa donde se almacenan el certificado raíz de CA y todos los certificados intermedios está configurada correctamente en /etc/krb5.conf. La ruta completa es similar a la siguiente:
[realms]
EXAMPLE.COM = {
......
pkinit_anchors = DIR:/etc/pki/CA/certs/
......
}
<!--NeedCopy-->
Si la configuración existente es incorrecta, sigue el paso anterior Instalar certificados para configurarlo de nuevo.
Alternativamente, comprueba si el certificado raíz de CA es válido.
Error de asignación de cuenta de sombra
FAS está configurado mediante autenticación SAML. Puede producirse el siguiente error después de que un usuario de ADFS introduzca el nombre de usuario y la contraseña en la página de inicio de sesión de ADFS.
Este error indica que el usuario de ADFS se ha verificado correctamente, pero no hay ninguna cuenta de sombra configurada en AD.
Solución
Configura la cuenta de sombra en AD.
ADFS no configurado
Se produce el siguiente error durante un intento de inicio de sesión en el almacén de FAS:
El problema se produce cuando el almacén de FAS está configurado para usar la autenticación SAML, pero falta la implementación de ADFS.
Solución
Implementa el IdP de ADFS para el Servicio de autenticación federada. Para obtener más información, consulta Implementación de ADFS del Servicio de autenticación federada.
Información relacionada
- Las implementaciones comunes de FAS se resumen en el artículo Descripción general de la arquitectura del servicio de autenticación federada.
- Los artículos “Cómo hacer” se presentan en el capítulo Configuración avanzada del servicio de autenticación federada.
Problema conocido
Cuando FAS está en uso, puede fallar al intentar iniciar una sesión de escritorio o aplicación publicada con caracteres no ingleses.
Solución alternativa
Haga clic con el botón derecho en Administrar plantillas en la herramienta de CA para cambiar la plantilla Citrix_SmartcardLogon de Crear a partir de esta información de Active Directory a Suministrar en la solicitud:
