Autenticación de nombre de usuario y contraseña de Active Directory
Se pide a los usuarios que introduzcan su nombre de usuario y contraseña de Active Directory.
.
Si la contraseña del usuario ha caducado o está a punto de caducar, y según la configuración, es posible que se le dé la opción de cambiarla.
Para habilitar o deshabilitar la autenticación de nombre de usuario y contraseña para un almacén al usar la aplicación Citrix Workspace, en la ventana Métodos de autenticación, marca o desmarca Nombre de usuario y contraseña de Active Directory.
Al habilitar la autenticación de nombre de usuario y contraseña para un almacén, también se habilita de forma predeterminada para todos los sitios web de ese almacén para los usuarios que usan un explorador web. Puedes deshabilitar la autenticación de nombre de usuario y contraseña para un sitio web específico en la ficha Métodos de autenticación de Administrar sitios web.
Configurar dominios de usuario de confianza
Puedes restringir el acceso a los almacenes para los usuarios que inician sesión con credenciales de dominio explícitas, ya sea directamente o mediante la autenticación de paso a través de Citrix Gateway.
-
Selecciona el nodo Almacenes en el panel izquierdo de la consola de administración de Citrix StoreFront y, en el panel de resultados, selecciona el método de autenticación adecuado. En el panel Acciones, haz clic en Administrar métodos de autenticación.
-
En la lista Nombre de usuario y contraseña > Configuración, selecciona Configurar dominios de confianza.
-
Selecciona Solo dominios de confianza y haz clic en Agregar para introducir el nombre de un dominio de confianza. Los usuarios con cuentas en ese dominio pueden iniciar sesión en todos los almacenes que usan el servicio de autenticación. Para modificar un nombre de dominio, selecciona la entrada en la lista Dominios de confianza y haz clic en Modificar. Para deshabilitar el acceso a los almacenes para las cuentas de usuario de un dominio, selecciona el dominio en la lista y haz clic en Quitar.
La forma en que especifiques el nombre de dominio determina el formato en el que los usuarios deben introducir sus credenciales. Si quieres que los usuarios introduzcan sus credenciales en formato de nombre de usuario de dominio, agrega el nombre NetBIOS a la lista. Para exigir que los usuarios introduzcan sus credenciales en formato de nombre principal de usuario, agrega el nombre de dominio completo a la lista. Si quieres permitir que los usuarios introduzcan sus credenciales tanto en formato de nombre de usuario de dominio como en formato de nombre principal de usuario, debes agregar tanto el nombre NetBIOS como el nombre de dominio completo a la lista.
-
Si configuras varios dominios de confianza, selecciona de la lista Dominio predeterminado el dominio que se selecciona de forma predeterminada cuando los usuarios inician sesión.
-
Si quieres que se muestren los dominios de confianza en la página de inicio de sesión, marca la casilla de verificación Mostrar lista de dominios en la página de inicio de sesión.
PowerShell
Para obtener la lista de dominios configurados, usa el cmdlet `Get-STFExplicitCommonOptions`.
Para actualizar los dominios de confianza, usa el cmdlet `Set-STFExplicitCommonOptions`.
Permitir a los usuarios cambiar sus contraseñas
Puedes permitir a los usuarios cambiar sus contraseñas en cualquier momento. Alternativamente, puedes restringir los cambios de contraseña a los usuarios cuyas contraseñas hayan caducado. Esto significa que puedes asegurarte de que los usuarios nunca se vean impedidos de acceder a sus escritorios y aplicaciones por una contraseña caducada.
La funcionalidad de cambio de contraseña está disponible en los siguientes clientes:
| Aplicaciones Citrix Workspace | El usuario puede cambiar una contraseña caducada si está habilitado en StoreFront | Se notifica al usuario que la contraseña caducará | El usuario puede cambiar la contraseña antes de que caduque si está habilitado en StoreFront |
|---|---|---|---|
| Windows | Sí | ||
| Mac | Sí | ||
| Android | |||
| iOS | |||
| Linux | Sí | ||
| Web | Sí | Sí | Sí |
La configuración predeterminada impide que los usuarios de la aplicación Citrix Workspace y del explorador web cambien sus contraseñas, incluso si estas han caducado. Si decides habilitar esta función, asegúrate de que las directivas de los dominios que contienen tus servidores no impidan a los usuarios cambiar sus contraseñas. Permitir a los usuarios cambiar sus contraseñas expone funciones de seguridad confidenciales a cualquiera que pueda acceder a cualquiera de los almacenes que usan el servicio de autenticación. Si tu organización tiene una directiva de seguridad que reserva las funciones de cambio de contraseña de usuario solo para uso interno, asegúrate de que ninguno de los almacenes sea accesible desde fuera de tu red corporativa.
Si permites a los usuarios cambiar sus contraseñas en cualquier momento, los usuarios locales cuyas contraseñas estén a punto de caducar verán una advertencia al iniciar sesión. De forma predeterminada, el período de notificación para un usuario viene determinado por la configuración de la directiva de Windows aplicable. Alternativamente, puedes configurar un período de notificación personalizado.
-
En la ventana Administrar métodos de autenticación, en el menú desplegable Nombre de usuario y contraseña de Active Directory > Configuración, selecciona Administrar opciones de contraseña.
-
Para permitir a los usuarios cambiar contraseñas, marca la casilla de verificación Permitir a los usuarios cambiar contraseñas.
Nota:
Si no seleccionas esta opción, debes tomar tus propias medidas para dar asistencia a los usuarios que no pueden acceder a sus escritorios y aplicaciones porque sus contraseñas han caducado.
-
Elige si permitir a los usuarios cambiar contraseñas Solo cuando caduquen o En cualquier momento.
-
Elige si recordar a los usuarios antes de que caduquen sus contraseñas. Puedes elegir entre las siguientes opciones:
-
No recordar - La interfaz de usuario no muestra recordatorios de caducidad de contraseña. Solo notifica a los usuarios en el momento en que la contraseña ha caducado.
-
Usar la configuración de recordatorio de la directiva de grupo de Active Directory - Después de iniciar sesión, la interfaz de usuario notifica si su contraseña va a caducar en el número de días configurado en la directiva de grupo. Se da al usuario la opción de cambiar su contraseña.
Nota:
StoreFront no tiene en cuenta las directivas de contraseña de grano fino. Por lo tanto, si estás usando directivas de contraseña de grano fino, no debes seleccionar esta opción.
-
Usar configuración de recordatorio personalizada - Después de iniciar sesión, la interfaz de usuario notifica al usuario si su contraseña va a caducar en el número de días dado. Se da al usuario la opción de cambiar su contraseña.
-
Notas
Nota 1:
Asegúrate de que haya suficiente espacio en disco en tus servidores StoreFront para almacenar los perfiles de todos tus usuarios. Para comprobar si la contraseña de un usuario está a punto de caducar, StoreFront crea un perfil local para ese usuario en el servidor. StoreFront debe poder ponerse en contacto con el controlador de dominio para cambiar las contraseñas de los usuarios.
Nota 2:
Si habilitas o deshabilitas el cambio de contraseñas en cualquier momento, esto también afecta a la configuración en Administrar opciones de contraseña para la autenticación de Paso a través de Citrix Gateway.
PowerShell
Para obtener la lista de dominios de confianza, usa el cmdlet `Get-STFExplicitCommonOptions`.
Para actualizar los dominios de confianza, usa el cmdlet `Set-STFExplicitCommonOptions`.
Validación de contraseñas
Normalmente, StoreFront pide a Windows que valide las credenciales en Active Directory. Esto requiere que el servidor de Windows esté en el mismo dominio que el usuario, o que exista una relación de confianza entre los dos dominios. Cuando no es posible establecer confianzas de Active Directory, puedes configurar StoreFront para que use los controladores de entrega de Citrix Virtual Apps and Desktops para autenticar las credenciales. Esto también afecta a la autenticación HTTP Basic y de paso a través de Gateway.
Para configurar cómo StoreFront valida las contraseñas:
-
En la ventana Administrar métodos de autenticación, en el menú desplegable Nombre de usuario y contraseña > Configuración, selecciona Configurar validación de contraseña.
-
En el menú desplegable Validar contraseña mediante, elige:
- Active Directory - Pide a Windows que valide las credenciales en Active Directory.
- Delivery Controllers - Pide al Delivery Controller™ configurado que valide las credenciales.
-
Si seleccionaste Delivery Controllers, selecciona Configurar. En las pantallas Configurar Delivery Controllers, agrega uno o varios Delivery Controllers para validar las credenciales de usuario y haz clic en Aceptar.
-
Selecciona Aceptar.
PowerShell
Para saber cómo se validan las contraseñas, usa el cmdlet `Get-STFExplicitAuthenticator`.
Para realizar la validación de contraseñas a través de los Delivery Controllers, usa el cmdlet `Set-STFExplicitAuthenticator` para establecer el validador en `xmlServiceAuthenticator`. Para establecer qué Delivery Controller usar para autenticar las credenciales, usa el cmdlet Enable-STFXmlServiceAuthentication.
Inicio de sesión único en VDA
Cuando los usuarios inician un recurso, StoreFront pasa las credenciales que el usuario usó para iniciar sesión en el almacén para el inicio de sesión único en los VDA.
Si el Servicio de autenticación federada (FAS) está habilitado para el almacén, StoreFront se pone en contacto con un servidor FAS para proporcionar un certificado para el inicio de sesión único en el almacén. Este certificado se pasa al VDA en lugar de las credenciales. Si StoreFront no puede ponerse en contacto con un servidor FAS, no hay inicio de sesión único en el VDA.
Personalizar la pantalla de inicio de sesión
La pantalla de inicio de sesión se genera a partir de una plantilla, que normalmente se encuentra en `C:\inetpub\wwwroot\Citrix[Store name]Auth\App_Data\Templates\UsernamePassword.tfrm`. La plantilla se define usando el lenguaje de plantillas de formularios.
Los siguientes ejemplos agregan un título y evitan que la aplicación Citrix Workspace para Windows almacene en caché las contraseñas:
Texto del título
Cuando los usuarios inician sesión en un almacén, de forma predeterminada no se muestra ningún texto de título en el cuadro de diálogo de inicio de sesión. Puedes mostrar el texto “Inicia sesión” o redactar tu propio mensaje personalizado:
-
Usa un editor de texto para abrir el archivo `UsernamePassword.tfrm` del servicio de autenticación.
-
Busca las siguientes líneas en el archivo.
@* @Heading("ExplicitAuth:AuthenticateHeadingText") *@ <!--NeedCopy--> -
Descomenta la instrucción quitando los `@` iniciales y los `@` finales.
@Heading("ExplicitAuth:AuthenticateHeadingText") <!--NeedCopy-->Los usuarios de la aplicación Citrix Workspace ven el texto de título predeterminado “Inicia sesión”, o la versión localizada adecuada de este texto, cuando inician sesión en los almacenes que usan este servicio de autenticación.
-
Para modificar el texto del título, usa un editor de texto para abrir el archivo `ExplicitFormsCommon.xx.resx` del servicio de autenticación, que normalmente se encuentra en el directorio `C:\inetpub\wwwroot\Citrix[Store name]Auth\App_Data\resources` .
-
Busca los siguientes elementos en el archivo. Modifica el texto incluido dentro del elemento
<value>para modificar el texto del título que los usuarios ven en el cuadro de diálogo de inicio de sesión cuando acceden a los almacenes que usan este servicio de autenticación.<data name="AuthenticateHeadingText" xml:space="preserve"> <value>My Company Name</value> </data> <!--NeedCopy-->Para modificar el texto del título del cuadro de diálogo de inicio de sesión para usuarios en otras configuraciones regionales, modifica los archivos localizados ExplicitAuth.languagecode.resx, donde languagecode es el identificador de configuración regional.
Evitar que la aplicación Citrix Workspace para Windows almacene en caché contraseñas y nombres de usuario
De forma predeterminada, la aplicación Citrix Workspace para Windows almacena las contraseñas de los usuarios cuando inician sesión en los almacenes de StoreFront. Para evitar que la aplicación Citrix Workspace para Windows almacene en caché las contraseñas de los usuarios, modifica los archivos del servicio de autenticación.
-
Usa un editor de texto para abrir el archivo `inetpub\wwwroot\Citrix\[Store name]Auth\App_Data\Templates\UsernamePassword.tfrm`.
-
Busca la siguiente línea en el archivo.
@SaveCredential(id: @GetTextValue("saveCredentialsId"), labelKey: "ExplicitFormsCommon:SaveCredentialsLabel", initiallyChecked: ControlValue("SaveCredentials")) <!--NeedCopy--> -
Comenta la instrucción como se muestra a continuación.
<!-- @SaveCredential(id: @GetTextValue("saveCredentialsId"), labelKey: "ExplicitFormsCommon:SaveCredentialsLabel", initiallyChecked: ControlValue("SaveCredentials")) --> <!--NeedCopy-->Los usuarios deben introducir sus contraseñas cada vez que inician sesión en los almacenes que usan este servicio de autenticación.
De forma predeterminada, la aplicación Citrix Workspace para Windows rellena automáticamente el último nombre de usuario introducido. Para suprimir el relleno del campo de nombre de usuario, o para un mecanismo alternativo para suprimir el almacenamiento en caché de contraseñas, consulta Evitar que la aplicación Citrix Workspace para Windows almacene en caché contraseñas y nombres de usuario.
Acceso remoto a través de Citrix Gateway
Puedes configurar tu Citrix Gateway para que los usuarios inicien sesión en el gateway usando su nombre de usuario y contraseña de dominio y, opcionalmente, un segundo factor. Estas credenciales se pasan a StoreFront para iniciar sesión en el almacén. Para configurar tu Citrix Gateway para la autenticación de nombre de usuario y contraseña LDAP, consulta la documentación de NetScaler - Autenticación LDAP. Para configurar StoreFront, consulta Paso a través de Citrix Gateway.
En este artículo
- Configurar dominios de usuario de confianza
- Permitir a los usuarios cambiar sus contraseñas
- Validación de contraseñas
- Inicio de sesión único en VDA
- Personalizar la pantalla de inicio de sesión
- Evitar que la aplicación Citrix Workspace para Windows almacene en caché contraseñas y nombres de usuario
- Acceso remoto a través de Citrix Gateway