SAML para el inicio de sesión único con Citrix Files
Descargo de responsabilidad:
Esta función quedará obsoleta si ShareFile (ahora Progress) deja de ofrecer asistencia.
Puedes configurar XenMobile® y ShareFile para usar el Lenguaje de Marcado de Aserción de Seguridad (SAML) y proporcionar acceso de inicio de sesión único (SSO) a las aplicaciones móviles de Citrix Files. Esta funcionalidad incluye:
- Aplicaciones de Citrix Files con MAM SDK habilitado o empaquetadas mediante MDX Toolkit
-
Clientes de Citrix Files no empaquetados, como el sitio web, el complemento de Outlook o los clientes de sincronización
- Para aplicaciones de Citrix Files empaquetadas. Los usuarios que inician sesión en Citrix Files a través de la aplicación móvil de Citrix Files se redirigen a Secure Hub para la autenticación de usuarios y para adquirir un token SAML. Después de una autenticación correcta, la aplicación móvil de Citrix Files envía el token SAML a ShareFile. Después del inicio de sesión inicial, los usuarios pueden acceder a la aplicación móvil de Citrix Files a través de SSO. También pueden adjuntar documentos de ShareFile a los correos de Secure Mail sin iniciar sesión cada vez.
- Para clientes de Citrix Files no empaquetados. Los usuarios que inician sesión en Citrix Files mediante un explorador web u otro cliente de Citrix Files se redirigen a XenMobile. XenMobile autentica a los usuarios, quienes luego adquieren un token SAML que se envía a ShareFile. Después del inicio de sesión inicial, los usuarios pueden acceder a los clientes de Citrix Files a través de SSO sin iniciar sesión cada vez.
Para usar XenMobile como proveedor de identidades (IdP) SAML para ShareFile, debes configurar XenMobile para usarlo con cuentas de Enterprise, como se describe en este artículo. Alternativamente, puedes configurar XenMobile para que funcione solo con conectores de zona de almacenamiento. Para obtener más información, consulta Usar ShareFile con XenMobile.
Para ver un diagrama de arquitectura de referencia detallado, consulta Arquitectura.
Requisitos previos
Completa los siguientes requisitos previos antes de poder configurar el SSO con las aplicaciones de XenMobile y Citrix Files:
-
El MAM SDK o una versión compatible de MDX Toolkit (para aplicaciones móviles de Citrix Files).
Para obtener más información, consulta Compatibilidad de XenMobile.
- Una versión compatible de las aplicaciones móviles de Citrix Files y Secure Hub.
- Cuenta de administrador de ShareFile.
- Conectividad verificada entre XenMobile y ShareFile.
Configurar el acceso a ShareFile
Antes de configurar SAML para ShareFile, proporciona la información de acceso a ShareFile de la siguiente manera:
-
En la consola web de XenMobile, haz clic en Configurar > ShareFile. Aparece la página de configuración de ShareFile.
-
Configura estos ajustes:
-
Dominio: Escribe el nombre de tu subdominio de ShareFile. Por ejemplo:
example.sharefile.com. - Asignar a grupos de entrega: Selecciona o busca los grupos de entrega que quieres que puedan usar SSO con ShareFile.
- Inicio de sesión de la cuenta de administrador de ShareFile
- Nombre de usuario: Escribe el nombre de usuario del administrador de ShareFile. Este usuario debe tener privilegios de administrador.
- Contraseña: Escribe la contraseña del administrador de ShareFile.
- Aprovisionamiento de cuentas de usuario: Deja este ajuste deshabilitado. Usa la herramienta de administración de usuarios de ShareFile para el aprovisionamiento de usuarios. Consulta Aprovisionar cuentas de usuario y grupos de distribución.
-
Dominio: Escribe el nombre de tu subdominio de ShareFile. Por ejemplo:
-
Haz clic en Probar conexión para verificar que el nombre de usuario y la contraseña de la cuenta de administrador de ShareFile se autentican en la cuenta de ShareFile especificada.
-
Haz clic en Guardar.
-
XenMobile se sincroniza con ShareFile y actualiza los ajustes de ShareFile ID de emisor/entidad de ShareFile y URL de inicio de sesión.
-
La página Configurar > ShareFile muestra el Nombre interno de la aplicación. Necesitas ese nombre para completar los pasos descritos más adelante en Modificar la configuración de SSO de Citrix Files.com.
-
Configurar SAML para aplicaciones MDX de Citrix Files empaquetadas
No necesitas usar Citrix Gateway para la configuración de inicio de sesión único con aplicaciones MDX de Citrix Files empaquetadas. Para configurar el acceso para clientes de Citrix Files no empaquetados, como el sitio web, el complemento de Outlook o los clientes de sincronización, consulta Configurar Citrix Gateway para otros clientes de Citrix Files.
Los siguientes pasos se aplican a las aplicaciones y dispositivos iOS y Android. Para configurar SAML para aplicaciones MDX de Citrix Files empaquetadas:
-
Con MDX Toolkit, empaqueta la aplicación móvil de Citrix Files. Para obtener más información sobre cómo empaquetar aplicaciones con MDX Toolkit, consulta Empaquetar aplicaciones con MDX Toolkit.
-
En la consola de XenMobile, carga la aplicación móvil de Citrix Files empaquetada. Para obtener información sobre cómo cargar aplicaciones MDX, consulta Para agregar una aplicación MDX a XenMobile.
-
Verifica la configuración de SAML: Inicia sesión en ShareFile con el nombre de usuario y la contraseña de administrador que configuraste anteriormente.
-
Verifica que ShareFile y XenMobile estén configurados para la misma zona horaria. Asegúrate de que XenMobile muestre la hora correcta para la zona horaria configurada. De lo contrario, el SSO podría fallar.
Validar la aplicación móvil de Citrix Files
-
En el dispositivo del usuario, instala y configura Secure Hub.
-
Desde XenMobile Store, descarga e instala la aplicación móvil de Citrix Files.
-
Inicia la aplicación móvil de Citrix Files. Citrix Files se inicia sin pedir nombre de usuario ni contraseña.
Validar con Secure Mail
-
En el dispositivo del usuario, si aún no se ha hecho, instala y configura Secure Hub.
-
Desde XenMobile Store, descarga, instala y configura Secure Mail.
-
Abre un nuevo formulario de correo electrónico y luego toca Adjuntar desde Citrix Files. Los archivos disponibles para adjuntar al correo electrónico se muestran sin pedir nombre de usuario ni contraseña.
Configurar Citrix Gateway para otros clientes de Citrix Files
Para configurar el acceso para clientes de Citrix Files no empaquetados, como el sitio web, el complemento de Outlook o los clientes de sincronización: Configura Citrix Gateway para que admita el uso de XenMobile como proveedor de identidades SAML de la siguiente manera.
- Deshabilita la redirección de la página de inicio.
- Crea una política de sesión y un perfil de Citrix Files.
- Configura políticas en el servidor virtual de Citrix Gateway.
Deshabilitar la redirección de la página de inicio
Deshabilita el comportamiento predeterminado para las solicitudes que llegan a través de la ruta /cginfra. Esa acción permite a los usuarios ver la URL interna solicitada originalmente en lugar de la página de inicio configurada.
-
Modifica los ajustes del servidor virtual de Citrix Gateway que se usa para los inicios de sesión de XenMobile. En Citrix ADC, ve a Otros ajustes y luego desmarca la casilla de verificación Redirigir a la página de inicio.
-
En ShareFile (ahora llamado ShareFile), escribe el nombre del servidor interno de XenMobile y el número de puerto.
-
En Citrix Endpoint Management™, escribe tu URL de XenMobile. Tu versión de Citrix Gateway puede referirse al nombre de producto anterior AppController.
Esta configuración autoriza las solicitudes a la URL que introdujiste a través de la ruta /cginfra.
Crear una política de sesión y un perfil de solicitud de Citrix Files
Configura estos ajustes para crear una política de sesión y un perfil de solicitud de Citrix Files:
-
En la utilidad de configuración de Citrix Gateway, en el panel de navegación izquierdo, haz clic en Citrix Gateway > Directivas > Sesión.
-
Crea una política de sesión. En la ficha Directivas, haz clic en Agregar.
-
En el campo Nombre, escribe ShareFile_Policy.
-
Crea una acción haciendo clic en el botón +. Aparece la página Crear perfil de sesión.
Configura estos ajustes:
- Nombre: Escribe ShareFile_Profile.
- Haz clic en la ficha Experiencia del cliente y luego configura estos ajustes:
- Página de inicio: Escribe ninguno.
- Tiempo de espera de la sesión (min): Escribe 1.
- Inicio de sesión único en aplicaciones web: Selecciona este ajuste.
- Índice de credenciales: Haz clic en PRINCIPAL.
- Haz clic en la ficha Aplicaciones publicadas.
Configura estos ajustes:
- Proxy ICA®: Haz clic en ACTIVADO.
- Dirección de la interfaz web: Escribe la URL de tu servidor XenMobile.
-
Dominio de inicio de sesión único: Escribe el nombre de tu dominio de Active Directory.
Al configurar el perfil de sesión de Citrix Gateway, el sufijo de dominio para Dominio de inicio de sesión único debe coincidir con el alias de dominio de XenMobile definido en LDAP.
-
Haz clic en Crear para definir el perfil de sesión.
-
Haz clic en Editor de expresiones.
Configura estos ajustes:
- Valor: Escribe NSC_FSRD.
- Nombre de encabezado: Escribe COOKIE.
-
Haz clic en Crear y luego en Cerrar.
Configurar políticas en el servidor virtual de Citrix Gateway
Configura estos ajustes en el servidor virtual de Citrix Gateway.
-
En la utilidad de configuración de Citrix Gateway, en el panel de navegación izquierdo, haz clic en Citrix Gateway > Servidores virtuales.
-
En el panel Detalles, haz clic en tu servidor virtual de Citrix Gateway.
-
Haz clic en Modificar.
-
Haz clic en Políticas configuradas > Políticas de sesión y luego en Agregar enlace.
-
Selecciona ShareFile_Policy.
-
Modifica el número de Prioridad generado automáticamente para la política seleccionada para que tenga la prioridad más alta (el número más pequeño) en relación con cualquier otra política listada. Por ejemplo:
-
Haz clic en Listo y luego guarda la configuración de Citrix ADC en ejecución.
Modificar la configuración de SSO de Citrix Files.com
Realiza los siguientes cambios tanto para las aplicaciones MDX como para las no MDX de Citrix Files.
Importante:
Se añade un nuevo número al nombre interno de la aplicación:
- Cada vez que modificas o recreas la aplicación de Citrix Files
- Cada vez que cambias la configuración de ShareFile en XenMobile
Como resultado, también debes actualizar la URL de inicio de sesión en el sitio web de Citrix Files para que refleje el nombre de aplicación actualizado.
-
Inicia sesión en tu cuenta de ShareFile (
https://<subdomain>.sharefile.com) como administrador de ShareFile. -
En la interfaz web de ShareFile, haz clic en Administrador y luego selecciona Configurar inicio de sesión único.
-
Modifica la URL de inicio de sesión de la siguiente manera:
Aquí tienes una URL de inicio de sesión de ejemplo antes de las modificaciones:
https://xms.citrix.lab/samlsp/websso.do?action=authenticateUser&app=ShareFile_SAML_SP&reqtype=1.
-
Inserta el FQDN externo del servidor virtual de Citrix Gateway más
/cginfra/https/delante del FQDN del servidor XenMobile y luego agrega 8443 después del FQDN de XenMobile.Aquí tienes un ejemplo de una URL modificada:
https://nsgateway.acme.com/cginfra/https/xms.citrix.lab:8443/samlsp/websso.do?action=authenticateUser&app=SHareFile_SAML_SP&reqtype=1 -
Cambia el parámetro
&app=ShareFile_SAML_SPpor el nombre interno de la aplicación de Citrix Files. El nombre interno esShareFile_SAMLde forma predeterminada. Sin embargo, cada vez que cambias tu configuración, se añade un número al nombre interno (ShareFile_SAML_2,ShareFile_SAML_3, etc.). Puedes buscar el Nombre interno de la aplicación en la página Configurar > ShareFile.Aquí tienes un ejemplo de una URL modificada:
https://nsgateway.acme.com/cginfra/https/xms.citrix.lab:8443/samlsp/websso.do?action=authenticateUser&app=ShareFile_SAML&reqtype=1 -
Agrega
&nssso=trueal final de la URL.Aquí tienes un ejemplo de la URL final:
https://nsgateway.acme.com/cginfra/https/xms.citrix.lab:8443/samlsp/websso.do?action=authenticateUser&app=ShareFile_SAML&reqtype=1&nssso=true.
-
-
En Ajustes opcionales, selecciona la casilla de verificación Habilitar autenticación web.
Validar la configuración
Haz lo siguiente para validar la configuración.
-
Dirige tu explorador a
https://<subdomain>sharefile.com/saml/login.Se te redirigirá al formulario de inicio de sesión de Citrix Gateway. Si no se te redirige, verifica los ajustes de configuración anteriores.
-
Introduce el nombre de usuario y la contraseña para el entorno de Citrix Gateway y XenMobile que configuraste.
Aparecen tus carpetas de Citrix Files en
<subdomain>.sharefile.com. Si no ves tus carpetas de Citrix Files, asegúrate de haber introducido las credenciales de inicio de sesión correctas.