Activer l’authentification unique avec le service d’authentification fédérée Citrix

Le service d’authentification fédérée Citrix (FAS) permet l’authentification unique (SSO) aux ressources hébergées sur des VDA joints à Active Directory. Cela garantit qu’une fois que les utilisateurs se sont connectés à Citrix Workspace™, ils peuvent lancer des applications et des bureaux virtuels sans être invités à ressaisir leurs informations d’identification.

Le FAS est généralement adopté si vous utilisez l’un des fournisseurs d’identité suivants pour l’authentification Citrix Workspace :

• Microsoft Entra ID
• Okta
• SAML 2.0
• Citrix Gateway
• Google Cloud Identity

Le FAS n’est pas nécessaire pour l’authentification unique aux ressources si vous utilisez Active Directory (AD), AD plus Token, ou des configurations spécifiques de Citrix Gateway. Pour plus d’informations sur la configuration de Citrix Gateway, consultez Créer une stratégie IdP OAuth sur le Citrix Gateway local.

Pour l’authentification unique aux VDA joints à Entra, consultez plutôt Authentification unique Entra ID aux VDA.

Serveurs FAS

Dans chaque emplacement de ressources, vous pouvez connecter plusieurs serveurs FAS à Citrix Cloud™ à des fins d’équilibrage de charge et de basculement.

Citrix Cloud prend en charge l’utilisation de serveurs FAS dans les scénarios suivants.

Dans les deux scénarios, les abonnés se connectant à leurs espaces de travail via un fournisseur d’identité fédéré saisissent leurs informations d’identification une seule fois pour accéder aux applications et aux bureaux.

Serveurs FAS connectés à un seul emplacement de ressources

Si vos emplacements de ressources contiennent une infrastructure variée (par exemple, différents emplacements de ressources contiennent différentes forêts AD), déployez des serveurs FAS dans l’emplacement de ressources où se trouvent vos VDA. Le SSO est actif uniquement dans les emplacements de ressources où un ou plusieurs serveurs FAS sont connectés.

Serveurs FAS connectés à plusieurs emplacements de ressources

Si vous disposez d’une connectivité réseau entre vos emplacements de ressources et qu’ils contiennent une infrastructure similaire, vous pouvez connecter vos serveurs FAS à plusieurs emplacements de ressources. Le SSO est actif pour les abonnés de l’espace de travail qui se connectent aux applications et aux bureaux dans ces emplacements de ressources. Dans ce scénario, il n’est pas nécessaire de connecter des serveurs FAS distincts à chaque emplacement de ressources.

Lorsque les abonnés lancent une application ou un bureau virtuel, Citrix Cloud sélectionne un serveur FAS dans le même emplacement de ressources que l’application ou le bureau en cours de lancement. Citrix Cloud contacte le serveur FAS sélectionné pour obtenir un ticket qui accorde l’accès à un certificat utilisateur stocké sur le serveur FAS. Pour authentifier l’abonné, le VDA se connecte au serveur FAS et présente le ticket.

Vous pouvez utiliser le même serveur FAS pour les déploiements sur site et Citrix Cloud avec une configuration de règles appropriée.

Priorité de basculement pour plusieurs emplacements de ressources

Lorsque vous utilisez des serveurs FAS avec plusieurs emplacements de ressources, les serveurs FAS d’un emplacement de ressources peuvent assurer le basculement vers les serveurs FAS d’autres emplacements de ressources. Lorsque vous ajoutez des serveurs FAS à d’autres emplacements de ressources, vous désignez chaque serveur comme principal ou secondaire. Lorsque les abonnés lancent une application ou un bureau virtuel, Citrix Cloud utilise cette désignation de la manière suivante pour sélectionner un serveur FAS :

• Les serveurs FAS désignés comme principaux dans l’emplacement de ressources donné sont considérés en premier.
• Si aucun serveur principal n’est disponible, les serveurs FAS désignés comme secondaires sont considérés.
• Si aucun serveur secondaire n’est disponible, le lancement se poursuit mais l’authentification unique ne se produit pas.

Présentation vidéo

Pour un aperçu du service d’authentification fédérée pour Citrix Workspace, regardez cette vidéo Tech Insight :

Exigences

Exigences de connectivité

Utilisez la console d’administration FAS pour connecter un serveur FAS à Citrix Cloud. Vous pouvez utiliser cette console pour configurer un serveur FAS local ou distant. Pour activer le SSO pour les espaces de travail avec FAS, la console d’administration FAS et le service FAS accèdent aux adresses suivantes en utilisant respectivement le compte de l’utilisateur de la console et le compte de service réseau.

• Console d’administration FAS, utilisant le compte de l’utilisateur de la console :
  • *.cloud.com
  • *.citrixworkspacesapi.net
  • Adresses requises par un fournisseur d’identité tiers, si l’un est utilisé dans votre environnement
• Service FAS, utilisant le compte de service réseau :
  • *.citrixworkspacesapi.net
  • https://*.citrixnetworkapi.net/

Si votre environnement inclut des serveurs proxy, configurez le proxy utilisateur avec les adresses de la console d’administration FAS. Assurez-vous également que l’adresse du compte de service réseau est configurée de manière appropriée pour votre environnement.

Exigences système FAS

Vous devez déployer Federated Authentication Service 2003 (version 10.1) ou une version ultérieure dans chacun des emplacements de ressources où vous souhaitez activer l’authentification unique. Les exigences système complètes pour le serveur FAS sont décrites dans la section Configuration système requise de la documentation produit FAS.

Citrix Workspace

Vous devez avoir Citrix DaaS™ provisionné et activé dans Workspace. Par défaut, le DaaS est activé dans la configuration de Workspace après votre abonnement au service. Cependant, le service nécessite que vous déployiez des Citrix Cloud Connectors pour permettre à Citrix Cloud de communiquer avec votre environnement sur site.

Cloud Connectors

Les Citrix Cloud Connectors permettent la communication entre votre emplacement de ressources (où se trouvent les VDA) et Citrix Cloud. Déployez au moins deux Cloud Connectors pour garantir une haute disponibilité. Les serveurs sur lesquels vous installez le logiciel Cloud Connector doivent répondre aux exigences suivantes :

• Configuration système requise telle que décrite dans Détails techniques du Cloud Connector
• Aucun autre composant Citrix n’est installé, le serveur n’est pas un contrôleur de domaine Active Directory et n’est pas une machine critique pour l’infrastructure de votre emplacement de ressources.
• Joint au domaine où se trouvent vos VDA.

Pour plus d’informations sur le déploiement des Cloud Connectors, reportez-vous aux articles suivants :

• Configuration du proxy et du pare-feu du Cloud Connector
• Installation du Cloud Connector

Présentation de la configuration

1. Si vous déployez de nouveaux serveurs FAS, examinez les Exigences et suivez les instructions de Installer et configurer FAS dans cet article.
2. Connectez votre serveur FAS à Citrix Cloud comme décrit dans Connecter un serveur FAS à Citrix Cloud dans cet article. L’exécution de cette tâche connecte votre serveur FAS à un seul emplacement de ressources.
3. Si vous prévoyez de connecter votre serveur FAS à plusieurs emplacements de ressources, suivez les instructions de Ajouter un serveur FAS à plusieurs emplacements de ressources dans cet article.

Installer et configurer FAS

Suivez le processus d’installation et de configuration de FAS décrit dans la documentation produit FAS. Les étapes de configuration pour StoreFront et le Delivery Controller ne sont pas requises.

Conseil :

Vous pouvez également télécharger l’installeur du service d’authentification fédérée depuis la console Citrix Cloud :

1. Dans le menu Citrix Cloud, sélectionnez Emplacements des ressources.
2. Sélectionnez la vignette Serveurs FAS, puis cliquez sur Télécharger.

Connecter les serveurs FAS à Citrix Cloud

Utilisez la console d’administration FAS pour connecter votre serveur FAS à Citrix Cloud, comme décrit dans Installer et configurer dans la documentation du produit FAS.

Une fois l’étape de configuration Connecter à Citrix Cloud terminée, Citrix Cloud enregistre le serveur FAS et l’affiche sur la page Emplacements des ressources de votre compte Citrix Cloud.

Si la page Emplacements des ressources est déjà chargée dans votre navigateur, actualisez la page pour afficher le serveur FAS enregistré.

Prise en charge des notifications Cloud

FAS prend désormais en charge les notifications Cloud. Grâce aux nouvelles notifications Cloud pour les serveurs FAS, vous recevez des notifications dans les cas suivants :

• Un serveur FAS est en panne ou indisponible.
• Le certificat de l’autorité d’enregistrement (RA) d’un serveur FAS a expiré ou est sur le point d’expirer.
• Une nouvelle version de FAS est disponible au téléchargement.

Émission de notifications

Une vérification périodique des nouvelles notifications est effectuée et affichée dans la console de gestion Citrix Cloud. Les notifications apparaissent sous l’icône en forme de cloche dans le coin supérieur droit de la console de gestion Citrix Cloud. Sélectionnez Afficher tout sur l’icône de notification pour afficher toutes les notifications. Pour plus d’informations, consultez Notifications.

Remarque :

Une fois qu’une notification est émise, elle sera émise de nouveau périodiquement uniquement si le problème n’est pas résolu.

Toutes les notifications contiennent le nom de domaine complet (FQDN) du serveur FAS impacté. La notification d’expiration du certificat RA s’affiche uniquement pour les serveurs FAS avec la version 10.10.0.14 et ultérieure.

Ajouter un serveur FAS à plusieurs emplacements de ressources

1. Dans le menu Citrix Cloud, sélectionnez Emplacements des ressources, puis l’onglet Serveurs FAS.
2. Localisez le serveur FAS que vous souhaitez gérer, cliquez sur les points de suspension (…) à droite de l’entrée, puis sélectionnez Gérer le serveur.
3. Sélectionnez Ajouter à un emplacement de ressources, puis sélectionnez les emplacements de ressources souhaités.
4. Sélectionnez Principal ou Secondaire pour la priorité de basculement du serveur FAS dans chaque emplacement de ressources sélectionné.
5. Sélectionnez Enregistrer les modifications.

Pour afficher le serveur FAS ajouté, sélectionnez Emplacements des ressources dans le menu Citrix Cloud, puis sélectionnez l’onglet Serveurs FAS. Une liste de tous les serveurs FAS pour tous les emplacements de ressources connectés apparaît. Pour afficher les serveurs FAS pour un emplacement de ressources spécifique, sélectionnez l’emplacement de ressources dans la liste déroulante.

Modifier la priorité de basculement d’un serveur FAS

1. Depuis la page Emplacements des ressources, sélectionnez la vignette Serveurs FAS pour l’emplacement de ressources que vous souhaitez gérer.
2. Sélectionnez l’onglet Serveurs FAS.
3. Localisez le serveur FAS que vous souhaitez gérer, cliquez sur les points de suspension à droite de l’entrée, puis sélectionnez Gérer le serveur.
4. Localisez l’emplacement de ressources dont vous souhaitez modifier la priorité et sélectionnez la nouvelle priorité dans la liste déroulante.
5. Sélectionnez Enregistrer les modifications.

Activer l’authentification fédérée pour les espaces de travail

1. Dans le menu Citrix Cloud, sélectionnez Configuration de l’espace de travail, puis sélectionnez Authentification.
2. Cliquez sur Activer FAS. Cette modification peut prendre jusqu’à cinq minutes pour être appliquée aux sessions des abonnés.

Par la suite, le service d’authentification fédérée est actif pour tous les lancements d’applications et de bureaux virtuels à partir de Citrix Workspace.

Lorsque les abonnés se connectent à leur espace de travail et lancent une application ou un bureau virtuel dans le même emplacement de ressources que le serveur FAS, l’application ou le bureau démarre sans demander d’informations d’identification.

Remarque :

Si tous les serveurs FAS d’un emplacement de ressources sont hors service ou en mode maintenance, les lancements d’applications réussissent, mais l’authentification unique n’est pas active. Les abonnés sont invités à saisir leurs informations d’identification AD pour accéder à chaque application ou bureau.

Supprimer un serveur FAS

Pour supprimer un serveur FAS d’un seul emplacement de ressources :

1. Depuis la page Emplacements des ressources, sélectionnez la vignette Serveurs FAS pour l’emplacement de ressources que vous souhaitez gérer.
2. Sélectionnez l’onglet Serveurs FAS.
3. Localisez le serveur FAS que vous souhaitez gérer, cliquez sur les points de suspension à droite de l’entrée, puis sélectionnez Gérer le serveur.
4. Localisez l’emplacement des ressources que vous souhaitez supprimer, puis cliquez sur l’icône X.

Pour supprimer un serveur FAS de tous les emplacements de ressources connectés :

1. Dans le menu Citrix Cloud, sélectionnez Emplacements des ressources.
2. Localisez l’emplacement des ressources que vous souhaitez gérer, puis sélectionnez la vignette Serveurs FAS.
3. Localisez le serveur FAS que vous souhaitez supprimer, cliquez sur les points de suspension à droite de l’entrée, puis sélectionnez Supprimer le serveur FAS.
4. Dans la console d’administration FAS (sur votre serveur FAS local), dans Connecter à Citrix Cloud, sélectionnez Déconnecter. Vous pouvez également désinstaller FAS.

Dépannage

Si le serveur FAS n’est pas disponible, un message d’avertissement s’affiche sur la page Serveurs FAS.

Pour diagnostiquer le problème, ouvrez la console d’administration FAS sur votre serveur FAS local et vérifiez l’état. Par exemple, le serveur FAS n’est pas présent dans l’objet de stratégie de groupe (GPO) du serveur FAS :

Si la console d’administration FAS indique que le serveur fonctionne correctement, mais que des problèmes de connexion VDA persistent, consultez le Guide de dépannage FAS.

Plus d’informations

Configuration de l’authentification unique pour l’application Workspace