Instalar y configurar
Secuencia de instalación y configuración
-
Utilice la consola de administración de FAS para:
-
Conectar FAS a Citrix Cloud (opcional)
Instalar el Servicio de autenticación federada
Por motivos de seguridad, Citrix recomienda instalar el Servicio de autenticación federada (FAS) en un servidor dedicado. Este servidor debe protegerse de forma similar a un controlador de dominio o una entidad de certificación. FAS se puede instalar desde cualquiera de las siguientes opciones:
-
el instalador de Citrix Virtual Apps and Desktops™, desde el botón Federated Authentication Service en la pantalla de inicio de ejecución automática al insertar la ISO
-
XenDesktopFasSetup.exeubicado en la ISO de Citrix Virtual Apps and Desktops enx64\XenDesktop Setup\XenDesktopFasSetup.exe -
FasSetup_xxxx.exe, el archivo de instalación independiente de FAS, disponible en el archivo de instalación independiente de FAS (disponible en Citrix Downloads)
Cualquiera de estos instala los siguientes componentes:
-
Servicio de autenticación federada
-
Cmdlets de complemento de PowerShell para la configuración avanzada de FAS
-
Plantillas de directiva de grupo de FAS (CitrixFederatedAuthenticationService.admx o CitrixFederatedAuthenticationService.adml)
-
Archivos de plantilla de certificado
-
Servicio de telemetría de Citrix, que proporciona soporte para el rastreo siempre activo de FAS
-
Citrix Scout, una aplicación que se puede utilizar para recopilar diagnósticos como el rastreo siempre activo
Para obtener más información sobre los instaladores, consulte Opciones de línea de comandos para instalar FAS.
Actualización de FAS
Puede actualizar FAS a una versión más reciente mediante una actualización in situ. Antes de actualizar, tenga en cuenta lo siguiente:
-
Todas las configuraciones del servidor FAS se conservan al realizar una actualización in situ.
-
Asegúrese de cerrar la consola de administración de FAS antes de actualizar FAS.
-
Asegúrese de que al menos un servidor FAS esté siempre disponible. Si ningún servidor es accesible por un servidor StoreFront™ habilitado para Federation Authentication Service, los usuarios no podrán iniciar sesión ni iniciar aplicaciones.
Para iniciar una actualización, instale FAS desde el instalador de Citrix Virtual Apps and Desktops o desde el archivo de instalación independiente de FAS.
Habilitar el complemento FAS en los almacenes de StoreFront
Nota:
No necesita este paso si utiliza FAS solo con Citrix Cloud.
Para obtener más detalles sobre cómo habilitar el complemento FAS en los almacenes de StoreFront, consulte
<https://docs.citrix.com/es-es/storefront/current-release/configure-authentication-and-delegation/fas>.
Configurar el Delivery Controller™
Nota:
No necesita este paso si utiliza FAS solo con Citrix Cloud.
Para usar FAS, configure el Delivery Controller de Citrix Virtual Apps o Citrix Virtual Desktops™ para que confíe en los servidores StoreFront que se conectan a él: ejecute el cmdlet de PowerShell Set-BrokerSite -TrustRequestsSentToTheXmlServicePort $true. Ejecute este comando una vez por sitio, independientemente del número de Delivery Controllers en el sitio.
Configurar la Directiva de grupo
Nota:
Si todos sus servidores FAS y VDA son de la versión 2511 o posterior, la lista FQDN de la Directiva de grupo en el VDA ya no es necesaria. Consulte Emisión de tickets de FAS V2 y la lista de direcciones del registro
Después de instalar FAS, utilice las plantillas de Directiva de grupo proporcionadas en la instalación para especificar los nombres de dominio completos (FQDN) de los servidores en la Directiva de grupo.
Importante:
Asegúrese de que los servidores StoreFront que solicitan tickets y los Virtual Delivery Agents (VDA) que canjean tickets tengan una configuración idéntica de FQDN, incluida la numeración automática de servidores aplicada por el objeto de directiva de grupo.
Para simplificar, los siguientes ejemplos configuran una única directiva a nivel de dominio que se aplica a todas las máquinas. Sin embargo, esto no es obligatorio. FAS funciona siempre que los servidores StoreFront, los VDA y la máquina que ejecuta la consola de administración de FAS vean la misma lista de FQDN. Consulte el paso 6.
Paso 1. En el servidor donde instaló FAS, localice los archivos C:\Program Files\Citrix\Federated Authentication Service\PolicyDefinitions\CitrixFederatedAuthenticationService.admx y CitrixBase.admx, y la carpeta en-US.
Paso 2. Copie estos archivos en sus controladores de dominio y colóquelos en las subcarpetas C:\Windows\PolicyDefinitions y en-US.
Paso 3. Ejecute Microsoft Management Console (mmc.exe desde la línea de comandos). En la barra de menú, seleccione Archivo > Agregar o quitar complemento. Agregue el Editor de administración de directivas de grupo.
Cuando se le solicite un objeto de directiva de grupo, seleccione Examinar y, a continuación, seleccione Directiva de dominio predeterminada. También puede crear y seleccionar un objeto de directiva adecuado para su entorno, utilizando las herramientas de su elección. La directiva debe aplicarse a todas las máquinas que ejecuten el software de Citrix afectado (VDA, servidores StoreFront, herramientas de administración).
Paso 4. Vaya a la directiva Federated Authentication Service en Configuración del equipo/Directivas/Plantillas administrativas/Componentes de Citrix/Autenticación.
Nota:
La configuración de la directiva Federated Authentication Service solo está disponible en la GPO de dominio cuando se agrega el archivo de plantilla CitrixBase.admx/CitrixBase.adml a la carpeta PolicyDefinitions. Después del paso 3, la configuración de la directiva Federated Authentication Service aparece en la carpeta Plantillas administrativas > Componentes de Citrix > Autenticación.
Paso 5. Abra la directiva Federated Authentication Service y seleccione Habilitada. Esto le permite seleccionar el botón Mostrar, donde configura los FQDN de sus servidores FAS.
Paso 6. Introduzca los FQDN de los servidores FAS.
Importante:
Si introduce varios FQDN, el orden de la lista debe ser coherente tal como lo ven los VDA, los servidores StoreFront (si están presentes) y los servidores FAS. Consulte Configuración de directivas de grupo.
Paso 7. Haga clic en Aceptar para salir del asistente de Directiva de grupo y aplicar los cambios de directiva de grupo. Es posible que deba reiniciar sus máquinas (o ejecutar gpupdate /force desde la línea de comandos) para que el cambio surta efecto.
Comportamiento en la sesión
Esta directiva activa un proceso de agente en la sesión VDA del usuario, que admite certificados en la sesión, consentimiento y desconectar al bloquear. Los certificados en la sesión solo están disponibles si esta directiva está habilitada y si la regla de FAS utilizada para crear el certificado permite el uso en la sesión; consulte Configurar reglas.
Habilitar activa esta directiva y permite que un proceso de agente de FAS se ejecute en la sesión VDA del usuario.
Deshabilitar desactiva la directiva e impide que el proceso de agente de FAS se ejecute.
Ámbito de la solicitud
Si esta directiva está habilitada, Ámbito de la solicitud controla cómo se solicita a los usuarios su consentimiento para permitir que una aplicación utilice un certificado en la sesión. Hay tres opciones:
-
No se requiere consentimiento—Esta opción deshabilita la solicitud de seguridad y las claves privadas se utilizan de forma silenciosa.
-
Consentimiento por proceso—Cada programa en ejecución solicita el consentimiento individualmente.
-
Consentimiento por sesión—Una vez que el usuario ha hecho clic en Aceptar, esta opción se aplica a todos los programas de la sesión.
Tiempo de espera del consentimiento
Si esta directiva está habilitada, Tiempo de espera de consentimiento controla cuánto tiempo (en segundos) dura el consentimiento. Por ejemplo, con 300 segundos, los usuarios ven un mensaje cada cinco minutos. Un valor de cero solicita a los usuarios para cada operación de clave privada.
desconectar al bloquear
Si esta directiva está habilitada, la sesión del usuario se desconecta automáticamente cuando bloquea la pantalla. Este comportamiento es similar a la directiva de "desconectar al extraer la tarjeta inteligente". Utilice esta función cuando los usuarios no tengan credenciales de inicio de sesión de Active Directory.
Nota:
La directiva de desconectar al bloquear se aplica a todas las sesiones en el VDA.
Uso de la consola de administración de Federated Authentication Service
Nota:
Aunque la consola de administración de FAS es adecuada para la mayoría de las implementaciones, la interfaz de PowerShell ofrece opciones más avanzadas. Para obtener información sobre los cmdlets de PowerShell de FAS, consulte Cmdlets de PowerShell.
La consola de administración de FAS se instala como parte de FAS. Se coloca un icono (Citrix Federated Authentication Service) en el menú Inicio.
La primera vez que utilice la consola de administración, le guiará a través de los siguientes procesos para:
-
Implementar plantillas de certificado.
-
Configurar la entidad de certificación.
-
Autorizar a FAS para usar la entidad de certificación.
También puede utilizar las herramientas de configuración del sistema operativo para completar algunos de los pasos manualmente.
La consola de administración de FAS se conecta al servicio FAS local de forma predeterminada. Si es necesario, puede conectarse a un servicio remoto utilizando Conectarse a otro servidor en la parte superior derecha de la consola.
Implementar plantillas de certificado
Para evitar problemas de interoperabilidad con otro software, FAS proporciona tres plantillas de certificado de Citrix para su propio uso.
-
Citrix_RegistrationAuthority_ManualAuthorization
-
Citrix_RegistrationAuthority
-
Citrix_SmartcardLogon
Estas plantillas deben registrarse en Active Directory. Haga clic en el botón Implementar y, a continuación, en Aceptar.
La configuración de las plantillas se encuentra en los archivos XML con la extensión .certificatetemplate que se instalan con FAS en:
C:\Program Files\Citrix\Federated Authentication Service\CertificateTemplates
Si no tiene permiso para instalar estos archivos de plantilla, entrégueselos a su administrador de Active Directory.
Para instalar las plantillas manualmente, puede ejecutar los siguientes comandos de PowerShell desde la carpeta que contiene las plantillas:
$template = [System.IO.File]::ReadAllBytes("$Pwd\Citrix_SmartcardLogon.certificatetemplate")
$CertEnrol = New-Object -ComObject X509Enrollment.CX509EnrollmentPolicyWebService
$CertEnrol.InitializeImport($template)
$comtemplate = $CertEnrol.GetTemplates().ItemByIndex(0)
$writabletemplate = New-Object -ComObject X509Enrollment.CX509CertificateTemplateADWritable
$writabletemplate.Initialize($comtemplate)
$writabletemplate.Commit(1, $NULL)
Configurar los servicios de certificados de Active Directory
Después de instalar las plantillas de certificado de Citrix, deben publicarse en uno o varios servidores de la entidad de certificación de Microsoft Enterprise. Consulte la documentación de Microsoft sobre cómo implementar los servicios de certificados de Active Directory.
Un usuario con permisos para administrar la autoridad de certificación debe publicar las plantillas en al menos un servidor. Utilice Configurar autoridad de certificación para publicarlas.
(Las plantillas de certificado también se pueden publicar mediante la consola de la Autoridad de certificación de Microsoft.)
Autorizar Federated Authentication Service
Este paso inicia la autorización de FAS. La consola de administración utiliza la plantilla Citrix_RegistrationAuthority_ManualAuthorization para generar una solicitud de certificado y, a continuación, la envía a una de las autoridades de certificación que publican esa plantilla.
Una vez enviada la solicitud, aparece en la lista Solicitudes pendientes de la consola de la Autoridad de certificación de Microsoft como una solicitud pendiente de la cuenta de máquina de FAS. El administrador de la autoridad de certificación debe emitir o denegar la solicitud antes de que la configuración de FAS pueda continuar.
La consola de administración de FAS muestra un 'indicador de progreso' hasta que el administrador elige Emitir o Denegar.
En la consola de la Autoridad de certificación de Microsoft, haga clic con el botón derecho en Todas las tareas y, a continuación, seleccione Emitir o Denegar para la solicitud de certificado. Si elige Emitir, la consola de administración de FAS muestra el certificado de autorización. Si elige Denegar, la consola muestra un mensaje de error.
La consola de administración de FAS detecta automáticamente cuándo finaliza este proceso. Esto puede tardar un par de minutos.
Configurar reglas
FAS utiliza las reglas para autorizar la emisión de certificados para el inicio de sesión de VDA y el uso en la sesión, según las indicaciones de StoreFront.
Cada regla especifica lo siguiente:
-
Servidores StoreFront de confianza para solicitar los certificados.
-
Conjunto de usuarios para los que se solicitan los certificados.
-
Conjunto de máquinas VDA a las que se permite usar los certificados.
Citrix recomienda crear una regla con el nombre "default", ya que StoreFront solicita una regla con el mismo nombre al ponerse en contacto con FAS.
Puede crear más reglas personalizadas para hacer referencia a diferentes plantillas de certificado y entidades de certificación, y configurarlas para que tengan diferentes propiedades y permisos. Estas reglas se pueden configurar para que las utilicen diferentes servidores StoreFront o Workspace. Configure los servidores StoreFront para que soliciten la regla personalizada por su nombre mediante las opciones de configuración de directivas de grupo.
Haga clic en Crear (o en Crear regla en la ficha "Reglas") para iniciar el asistente de creación de reglas, que recopila la información necesaria para crear la regla. La ficha "Reglas" muestra un resumen de cada regla.
El asistente recopila la siguiente información:
Plantilla: La plantilla de certificado que se utiliza para emitir certificados de usuario. Debe ser la plantilla Citrix_SmartcardLogon o una copia modificada de la misma (consulte Plantillas de certificado).
Entidad de certificación: La entidad de certificación que emite certificados de usuario y publica la plantilla. FAS admite la adición de varias entidades de certificación para la conmutación por error y el equilibrio de carga. Asegúrese de que el estado muestre "Plantilla disponible" para la entidad de certificación que elija. Consulte Administración de la entidad de certificación.
Uso en la sesión: La opción Permitir uso en la sesión controla si se puede usar un certificado después de iniciar sesión en el VDA.
-
Permitir uso en la sesión no seleccionada (predeterminado, recomendado)—el certificado se usa solo para el inicio de sesión o la reconexión, y los usuarios no tienen acceso al certificado después de autenticarse.
-
Permitir uso en la sesión seleccionada—los usuarios tienen acceso al certificado después de autenticarse. La mayoría de los clientes no deben seleccionar esta opción. Se puede acceder a los recursos desde la sesión VDA, como sitios web de intranet o recursos compartidos de archivos, mediante el inicio de sesión único de Kerberos, por lo que no se requiere un certificado en la sesión.Si selecciona Permitir uso en la sesión, la directiva de grupo Comportamiento en la sesión también debe estar habilitada y aplicada al VDA. Los certificados se colocan entonces en el almacén de certificados personal del usuario después del inicio de sesión para su uso por parte de las aplicaciones. Por ejemplo, si necesita autenticación TLS en servidores web dentro de la sesión VDA, Internet Explorer puede usar el certificado.
Control de acceso: La lista de máquinas de servidor StoreFront de confianza que están autorizadas a solicitar certificados para el inicio de sesión o la reconexión de usuarios. Para todos estos permisos, puede agregar objetos o grupos de AD individuales.
Importante:
La configuración de Control de acceso es crítica para la seguridad y debe administrarse con cuidado.
Nota:
Si utiliza el servidor FAS solo con Citrix Cloud, no necesita configurar el Control de acceso. Cuando Citrix Cloud utiliza una regla, se omiten los permisos de acceso de StoreFront. Puede utilizar la misma regla con Citrix Cloud y con una implementación de StoreFront local. Los permisos de acceso de StoreFront se siguen aplicando cuando una implementación de StoreFront local utiliza la regla.
El permiso predeterminado ("Afirmar identidad" permitido) deniega todo. Por lo tanto, debe permitir explícitamente sus servidores StoreFront.
Restricciones: La lista de máquinas VDA que pueden iniciar sesión de usuarios mediante FAS y la lista de usuarios a los que se pueden emitir certificados a través de FAS.
-
Administrar permisos de VDA le permite especificar qué VDA pueden usar FAS para iniciar sesión del usuario. La lista de VDA predeterminada es Equipos del dominio.
-
Administrar permisos de usuario le permite especificar qué usuarios pueden usar FAS para iniciar sesión en un VDA. La lista de usuarios predeterminada es Usuarios del dominio.
Nota:
Si el dominio del servidor FAS difiere del de los VDA y los usuarios, se deben modificar las restricciones predeterminadas.
Regla de la nube: Indica si la regla se aplica cuando se reciben aserciones de identidad de Citrix Workspace. Al conectarse a Citrix Cloud, elige qué regla usar para Citrix Cloud. También puede cambiar la regla después de conectarse a Citrix Cloud desde un enlace en la sección Conectarse a Citrix Cloud.
Conectarse a Citrix Cloud
Puede conectar el servidor FAS a Citrix Cloud con Citrix Workspace. Consulte este artículo de Citrix Workspace.
-
En la ficha Initial Setup, en Connect to Citrix Cloud, haga clic en Connect.
-
Seleccione la nube a la que quiere conectarse y haga clic en Next.
-
La ventana muestra un código de registro único, que debe aprobarse en Citrix Cloud. Para obtener más información, consulte Registrar productos locales en Citrix Cloud.
-
Una vez validado el código de registro, seleccione la Resource location requerida en la lista desplegable.
-
Seleccione la cuenta de cliente, si corresponde, y seleccione la ubicación de recursos donde quiere conectar el servidor FAS. Haga clic en Continue y, a continuación, cierre la ventana de confirmación.
-
En la sección Choose a rule, utilice una regla existente o cree una. Haga clic en Next.
-
En la sección Summary, haga clic en Finish para completar la conexión a Citrix Cloud.
Citrix Cloud registra el servidor FAS y lo muestra en la página Ubicaciones de recursos de su cuenta de Citrix Cloud.
Nota:
Un servidor FAS local puede emitir certificados de usuario para permitir el acceso a Citrix Cloud y a Citrix Virtual Apps and Desktops al mismo tiempo.