Acceso sin agente a aplicaciones web empresariales

Cómo funciona

• Agregue un nuevo registro DNS o modifique un registro DNS existente para las aplicaciones web empresariales configuradas.
• Un administrador de TI añade un nuevo registro DNS público o modifica un registro DNS público existente para el FQDN de la aplicación web empresarial configurada para redirigir al usuario al servicio Citrix Secure Private Access™.
• Cuando el usuario final inicia el acceso a la aplicación web empresarial configurada, el tráfico de la aplicación se dirige al servicio Citrix Secure Private Access, que luego actuará como proxy para el acceso a la aplicación.
• Once the request lands on the Citrix Secure Private Access service, it checks for user authentication and application authorization, including contextual access policies checks.
• Upon successful validation, the Citrix Secure Private Access service communicates with Citrix Cloud Connector™ Appliances, deployed at the customer's environment (either in on-premises or cloud) to enable access to the configured enterprise web app.

Configurar Citrix Secure Private Access para el acceso sin agente a aplicaciones web empresariales

• FQDN de la aplicación
• Certificado SSL – Certificado público para la aplicación que se va a configurar
• Ubicación del recurso – Instalar dispositivos Citrix Cloud™ Connector
• Acceso al registro DNS público para actualizarlo con el nombre canónico (CNAME) proporcionado por Citrix® durante la configuración de la aplicación.

1. Inicie sesión en Citrix Cloud y seleccione Secure Private Access.
2. Haga clic en Applications > App Configuration y, a continuación, en Add an app.
3. En la sección Choose a template, haga clic en Skip. Las plantillas solo están disponibles para aplicaciones SaaS.
4. En Where is the application location?, seleccione Inside my corporate network.
   • Seleccione Inside my corporate network para las aplicaciones alojadas dentro de la infraestructura de red privada de su organización, detrás de firewalls y accesibles solo a través de una conexión de red interna
   • Seleccione Outside my corporate network (Google Connector): Para aplicaciones alojadas fuera de la infraestructura de red privada de su organización. El enrutamiento del tráfico se produce directamente desde los usuarios a la aplicación externa a través del conector de Google Cloud.
5. Introduzca los siguientes detalles en la sección App Details y haga clic en Next.
   Detalles de la aplicación de acceso sin agente(/en-us/citrix-secure-private-access/media/spa-web-app-details-direct-access.png)
   • Tipo de aplicación – Seleccione el tipo de aplicación (HTTP o HTTPS).
     Nota:
     Para Chrome Enterprise Premium (CEP), solo se admiten aplicaciones web empresariales y SaaS HTTPS. Las aplicaciones web empresariales y SaaS HTTP no son compatibles.

   • Nombre de la aplicación – Nombre de la aplicación.
   • Descripción de la aplicación - Una breve descripción de la aplicación. Esta descripción se muestra a los usuarios en la tienda.
   • Icono de la aplicación – Haga clic en Change icon para cambiar el icono de la aplicación. El tamaño del archivo del icono debe ser de 128x128 píxeles. Si no cambia el icono, se muestra el icono predeterminado.
     Si no desea mostrar el icono de la aplicación, seleccione No mostrar el icono de la aplicación a los usuarios.
6. Seleccione Acceso sin agente para permitir que los usuarios accedan a la aplicación directamente desde un navegador cliente. Introduzca los siguientes detalles.
   La opción Acceso sin agente solo está disponible para aplicaciones web empresariales.
   
   • URL – URL de la aplicación de back-end. La URL debe estar en formato HTTPS y el administrador debe añadir una entrada DNS correspondiente.
   • Certificado SSL – Seleccione un certificado SSL existente en el menú desplegable o añada un nuevo certificado SSL haciendo clic en Agregar nuevo certificado SSL.
     • Solo se admite un certificado de CA público o de confianza.
     • Se debe cargar una cadena completa de certificados.
     Importante:
     • Los administradores deben cargar los certificados directamente en la consola de Secure Private Access, ya que Secure Private Access gestiona su propio almacén de certificados. Para obtener más información, consulte Administrar certificados en la consola de Secure Private Access.
     • Los certificados añadidos a la consola de NetScaler® ya no se pueden utilizar en Secure Private Access, ya que los certificados no se sincronizan entre los dos sistemas.

   • Dominios relacionados – El dominio relacionado se rellena automáticamente en función de la URL que haya proporcionado. El dominio relacionado ayuda al servicio a identificar la URL como parte de la aplicación y a enrutar el tráfico en consecuencia. Puede añadir más de un dominio relacionado. Puede vincular un certificado SSL a cada dominio relacionado; esto es opcional.
     Nota:
     Aparece un mensaje de advertencia si se añaden dominios relacionados duplicados o si un dominio relacionado también se añade como URL para una aplicación diferente. Para evitar estos problemas, consulte Prácticas recomendadas para configuraciones de aplicaciones web y SaaS.

   • Importar HAR – Puede cargar un archivo HAR para descubrir automáticamente los dominios a los que accede una aplicación. Revise los dominios descubiertos y seleccione los que desee añadir a la configuración de dominios relacionados de la aplicación. Esto simplifica la incorporación de aplicaciones al reducir la necesidad de identificar y configurar manualmente los dominios relacionados. Para obtener más información, consulte Descubrir dominios relacionados mediante un archivo HAR.
   • Registro CName – Generado automáticamente por Secure Private Access. Este es el valor que debe introducirse en el DNS para habilitar el acceso sin agente a la aplicación.
7. En la sección Conectividad de la aplicación, se define el enrutamiento para los dominios relacionados de las aplicaciones, si los dominios deben enrutarse externa o internamente a través de Citrix Connector™ Appliance.
   
   • Tipo de enrutamiento - Seleccione una de las siguientes opciones:
     • Interno – omitir proxy - El tráfico del dominio se enruta a través de Connector Appliance™, omitiendo el proxy web del cliente configurado en Connector Appliance.
     • Interno a través de Connector - Las aplicaciones pueden ser externas, pero el tráfico debe fluir a través de Connector Appliance a la red externa.
     • Externo – El tráfico fluye directamente a Internet.
   • Ubicaciones de recursos principales y secundarias - Los administradores pueden garantizar la alta disponibilidad de las aplicaciones incluso durante las interrupciones configurando una ubicación de recursos secundaria o utilizando la opción Primera disponible.
     • Ubicación de recursos principal: Seleccione la ubicación de recursos principal donde está alojada la aplicación. Alternativamente, los administradores pueden seleccionar la opción Primera disponible en Ubicación de recursos principal.
     • Primera disponible: La opción Primera disponible garantiza que se utilice una ubicación de recursos en funcionamiento. Cuando se selecciona Primera disponible, el sistema enruta automáticamente el tráfico a la primera ubicación disponible. Esto garantiza un acceso continuo a la aplicación sin intervención manual. Por ejemplo, si ResourceLocation1 no está disponible pero ResourceLocation2 es accesible, entonces ResourceLocation2 se selecciona de forma predeterminada para servir la aplicación.
     • Ubicación de recursos secundaria - La opción Ubicación de recursos secundaria solo está disponible si se especifica explícitamente una ubicación de recursos principal. Si la ubicación de recursos principal deja de estar disponible, por razones como un fallo de Connector Appliance o del centro de datos, la aplicación conmuta por error a la ubicación de recursos secundaria especificada. La ubicación de recursos secundaria también puede actuar como conmutación por error incluso cuando la aplicación está alojada en otro centro de datos.
     También puede establecer una ubicación de recursos principal y secundaria o seleccionar la opción Primera disponible para cada uno de los dominios relacionados.
     1. Haga clic en el icono de edición en la columna Acciones de la tabla Dominios relacionados.
     2. Establezca la ubicación de recursos principal y secundaria o elija la opción Primera disponible.
     
     Nota:
     • La configuración de la ubicación de recursos de respaldo y el uso de la función de opción Primera disponible están en vista previa.
     • Cuando se elimina una aplicación, sus entradas de enrutamiento se eliminan automáticamente. Para obtener más información, consulte Limpieza automática de entradas de enrutamiento al eliminar aplicaciones.

8. En la sección Conectividad de la aplicación, se define el enrutamiento para los dominios relacionados de las aplicaciones, si los dominios deben enrutarse externamente o internamente a través de Citrix Connector™ Appliance.
   
9. Mantener conexión coherente - Seleccione esta casilla para habilitar la conexión coherente al mismo Connector Appliance. Para obtener detalles sobre las conexiones coherentes, consulte Mantener conexión coherente.
   Nota:
   Cuando se selecciona la opción Mantener conexión coherente, el tipo de enrutamiento para la aplicación debe establecerse en Interno a través de Connector en la sección Conectividad de la aplicación.

10. Establezca el método de inicio de sesión preferido.
    Nota:
    La opción de inicio de sesión único no es aplicable para Citrix Secure Access con Chrome Enterprise (CEP).
    1. En la sección Inicio de sesión único, seleccione el tipo de inicio de sesión único preferido que se utilizará para su aplicación y haga clic en Guardar. Los siguientes tipos de inicio de sesión único están disponibles.
       
       • Básico – Si su servidor back-end le presenta un desafío basic-401, elija SSO básico. No necesita proporcionar ningún detalle de configuración para el tipo de SSO Básico.
       • Kerberos – Si su servidor back-end le presenta el desafío negotiate-401, elija Kerberos. No necesita proporcionar ningún detalle de configuración para el tipo de SSO Kerberos.
       • Basado en formulario – Si su servidor back-end le presenta un formulario HTML para la autenticación, elija Basado en formulario. Introduzca los detalles de configuración para el tipo de SSO Basado en formulario.
       • SAML - Elija SAML para SSO basado en SAML en aplicaciones web. Introduzca los detalles de configuración para el tipo de SSO SAML.
       • No usar SSO – Utilice la opción No usar SSO cuando no necesite autenticar a un usuario en el servidor back-end. Cuando se selecciona la opción No usar SSO, el usuario es redirigido a la URL configurada en la sección Detalles de la aplicación.
       Detalles basados en formulario:
       Introduzca los siguientes detalles de configuración basados en formulario en la sección Single Sign On y haga clic en Guardar.
       
       • URL de acción - Escriba la URL a la que se envía el formulario completado.
       • URL del formulario de inicio de sesión – Escriba la URL en la que se presenta el formulario de inicio de sesión.
       • Formato de nombre de usuario - Seleccione un formato para el nombre de usuario.
       • Campo de formulario de nombre de usuario – Escriba un atributo de nombre de usuario.
       • Campo de formulario de contraseña – Escriba un atributo de contraseña.
       SAML:
       Introduzca los siguientes detalles en la sección Sign sign on y haga clic en Guardar.**
       
       • Afirmación de firma - La afirmación o respuesta de firma garantiza la integridad del mensaje cuando la respuesta o afirmación se entrega a la parte que confía (SP). Puede seleccionar Afirmación, Respuesta, Ambos o Ninguno.
       • URL de aserción – La URL de aserción la proporciona el proveedor de la aplicación. La aserción SAML se envía a esta URL.
       • Estado de retransmisión – El parámetro Estado de retransmisión se utiliza para identificar el recurso específico al que acceden los usuarios después de iniciar sesión y ser dirigidos al servidor de federación de la parte que confía. El estado de retransmisión genera una única URL para los usuarios. Los usuarios pueden hacer clic en esta URL para iniciar sesión en la aplicación de destino.
       • Audiencia – La audiencia la proporciona el proveedor de la aplicación. Este valor confirma que la aserción SAML se genera para la aplicación correcta.
       • Formato de ID de nombre – Seleccione el formato de identificador de nombre compatible.
       • ID de nombre – Seleccione el ID de nombre compatible.
       1. En Atributos avanzados (opcional), agregue información adicional sobre el usuario que se envía a la aplicación para las decisiones de control de acceso.
       2. Descargue el archivo de metadatos haciendo clic en el enlace debajo de Metadatos SAML. Utilice el archivo de metadatos descargado para configurar el SSO en el servidor de aplicaciones SaaS.
          • Puede copiar la URL de inicio de sesión de SSO en URL de inicio de sesión y usar esta URL al configurar el SSO en el servidor de aplicaciones SaaS.
          • También puede descargar el certificado de la lista Certificado y usarlo al configurar el SSO en el servidor de aplicaciones SaaS.
11. Haga clic en Guardar y, a continuación, en Finalizar. La aplicación se añade a la página Aplicaciones. Puede editar o eliminar una aplicación de la página Aplicaciones después de haberla configurado. Para ello, haga clic en el botón de puntos suspensivos de una aplicación y seleccione las acciones correspondientes.
    • Editar aplicación
    • Eliminar

Limpieza automática de entradas de enrutamiento al eliminar aplicaciones

• Las entradas no referenciadas se eliminan - Si una entrada de enrutamiento (FQDN o dominio de aplicación) asociada a la aplicación eliminada no es referenciada por ninguna otra aplicación, Secure Private Access la elimina automáticamente de la tabla de enrutamiento.
• Las entradas compartidas se conservan - Si una entrada de enrutamiento es utilizada por más de una aplicación, la eliminación de una de esas aplicaciones no elimina la entrada compartida. La entrada permanece en la tabla de enrutamiento mientras al menos una aplicación activa la referencie.
• Sin eliminación retroactiva - Las entradas de enrutamiento se evalúan y eliminan solo como parte de la eliminación de una aplicación. Las entradas existentes no se eliminan retroactivamente a menos que se confirme que no son utilizadas por ninguna aplicación.

Servicio Device Posture con aplicaciones de acceso sin agente