Inicio de sesión único de Azure Active Directory
Nota:
Desde julio de 2023, Microsoft ha cambiado el nombre de Azure Active Directory (Azure AD) a Microsoft Entra ID. En este documento, cualquier referencia a Azure Active Directory, Azure AD o AAD ahora se refiere a Microsoft Entra ID.
Citrix Federated Authentication Service (FAS) proporciona inicio de sesión único (SSO) a los Virtual Delivery Agents (VDA) unidos a un dominio. FAS logra el SSO al proporcionar al VDA un certificado de usuario, que el VDA utiliza para autenticar al usuario en Active Directory (AD). Una vez que inicie sesión en la sesión VDA, podrá acceder a los recursos de AD sin necesidad de volver a autenticarse.
Es común implementar Microsoft Entra ID (ME-ID) con sincronización entre su AD y Microsoft Entra ID, lo que crea identidades híbridas tanto para usuarios como para equipos. Este artículo describe la configuración adicional necesaria para lograr el SSO en Microsoft Entra ID desde su sesión VDA al usar FAS, lo que permite al usuario acceder a aplicaciones protegidas por Microsoft Entra ID sin necesidad de volver a autenticarse.
Nota:
-
No se requiere ninguna configuración especial para que FAS utilice el SSO para Microsoft Entra ID.
-
No se requieren los certificados en sesión de FAS.
-
Puede utilizar cualquier versión de FAS.
-
Puede utilizar cualquier versión del VDA que admita FAS.
Las técnicas para el SSO de Microsoft Entra ID se resumen en la siguiente tabla:
| Tipo de autenticación de ME-ID | VDA unido a un dominio | VDA unido de forma híbrida |
|---|---|---|
| Administrado | Usar SSO transparente de ME-ID | Usar autenticación basada en certificados de ME-ID |
| Federado con Active Directory Federation Services (ADFS) | Habilitar la autenticación de Windows en ADFS | Asegúrese de que el punto de conexión WS-Trust certificatemixed esté habilitado |
| Federado con un proveedor de identidades de terceros | Usar una solución de terceros | Usar una solución de terceros |
-
Un dominio de Microsoft Entra ID administrado es aquel en el que la autenticación de usuario se produce en Microsoft Entra ID, a veces denominada autenticación nativa de Microsoft Entra ID.
-
Un dominio de Microsoft Entra ID federado es aquel en el que Microsoft Entra ID está configurado para redirigir la autenticación a otro lugar. Por ejemplo, a ADFS o a un proveedor de identidades de terceros.
-
Un VDA unido de forma híbrida está unido a AD y unido a Microsoft Entra ID.
VDA unidos a un dominio
Para los VDA unidos a un dominio, logre el SSO en Microsoft Entra ID mediante la autenticación de Windows (tradicionalmente denominada autenticación integrada de Windows o Kerberos). La autenticación en Microsoft Entra ID se produce cuando el usuario accede a una aplicación protegida por Microsoft Entra ID desde la sesión del VDA. El siguiente diagrama muestra el proceso de autenticación a un alto nivel:
Los detalles exactos varían según si el dominio de Microsoft Entra ID es administrado o federado.
Para obtener información sobre la configuración del dominio de Microsoft Entra ID administrado, consulte Inicio de sesión único sin interrupciones.
Para un dominio de Microsoft Entra ID federado con ADFS, habilite la autenticación de Windows en el servidor ADFS.
Para un dominio de Microsoft Entra ID federado con un proveedor de identidades de terceros, existe una solución similar. Póngase en contacto con su proveedor de identidades para obtener ayuda.
Nota:
También puede usar las soluciones enumeradas para los VDA unidos a un dominio para los VDA unidos de forma híbrida. Sin embargo, no se genera un token de actualización principal (PRT) de Microsoft Entra ID al usar FAS.
VDA unidos de forma híbrida
Los VDA unidos de forma híbrida se unen a AD y a Microsoft Entra ID al mismo tiempo. Cuando el usuario inicia sesión en el VDA, se crean los siguientes artefactos:
-
Un Ticket Granting Ticket (TGT) de Kerberos, para autenticarse en los recursos de AD
-
Un token de actualización principal (PRT), para autenticarse en los recursos de Microsoft Entra ID
El PRT contiene información tanto del usuario como del equipo. Esta información se utiliza en una directiva de acceso condicional de Microsoft Entra ID si es necesario.
Dado que FAS autentica al usuario proporcionando un certificado al VDA, un PRT solo se puede crear si se implementa la autenticación basada en certificados para Microsoft Entra ID. El siguiente diagrama muestra el proceso de autenticación a un alto nivel:
Los detalles exactos varían según si el dominio de Microsoft Entra ID está administrado o federado.
Para un dominio de Microsoft Entra ID administrado, configure Microsoft Entra ID CBA. Para obtener más información, consulte Información general sobre la autenticación basada en certificados de Azure AD. El VDA utiliza Microsoft Entra ID CBA para autenticar al usuario en Microsoft Entra ID con el certificado FAS del usuario.
Nota:
La documentación de Microsoft describe el inicio de sesión con un certificado de tarjeta inteligente, pero la técnica subyacente se aplica al iniciar sesión con un certificado de usuario de FAS.
Para un dominio de Microsoft Entra ID federado con ADFS, el VDA utiliza el punto de conexión WS-Trust certificatemixed del servidor ADFS para autenticar al usuario en Microsoft Entra ID con el certificado FAS del usuario. Este punto de conexión está habilitado de forma predeterminada.
Para un dominio de Microsoft Entra ID federado con un proveedor de identidades de terceros, puede existir una solución similar. El proveedor de identidades debe implementar un punto de conexión WS-Trust certificatemixed. Póngase en contacto con su proveedor de identidades para obtener ayuda.