Authentification par nom d’utilisateur et mot de passe

Avec l’authentification par nom d’utilisateur et mot de passe, les utilisateurs sont invités à saisir leur nom d’utilisateur et leur mot de passe Active Directory.

Si le mot de passe de l’utilisateur a expiré ou est sur le point d’expirer, l’utilisateur peut, selon la configuration, avoir la possibilité de le modifier.

Pour activer ou désactiver l’authentification par nom d’utilisateur et mot de passe pour un magasin lors de l’utilisation de l’application Citrix Workspace, dans la fenêtre Méthodes d’authentification, cochez ou décochez Nom d’utilisateur et mot de passe.

L’activation de l’authentification par nom d’utilisateur et mot de passe pour un magasin l’active par défaut également pour tous les sites web de ce magasin pour les utilisateurs qui utilisent un navigateur web. Vous pouvez désactiver l’authentification par nom d’utilisateur et mot de passe pour un site web spécifique dans l’onglet Méthodes d’authentification des sites Receiver pour Web.

Configurer les domaines utilisateur approuvés

Vous pouvez restreindre l’accès aux magasins pour les utilisateurs qui se connectent avec des informations d’identification de domaine explicites, soit directement, soit en utilisant l’authentification pass-through depuis Citrix Gateway.

1. Sélectionnez le nœud Magasins dans le volet gauche de la console de gestion Citrix StoreFront et, dans le volet des résultats, sélectionnez la méthode d’authentification appropriée. Dans le volet Actions, cliquez sur Gérer les méthodes d’authentification.

2. Dans la liste Nom d’utilisateur et mot de passe > Paramètres, sélectionnez Configurer les domaines approuvés.

3. Sélectionnez Domaines approuvés uniquement et cliquez sur Ajouter pour saisir le nom d’un domaine approuvé. Les utilisateurs disposant de comptes dans ce domaine peuvent se connecter à tous les magasins qui utilisent le service d’authentification. Pour modifier un nom de domaine, sélectionnez l’entrée dans la liste des domaines approuvés et cliquez sur Modifier. Pour interrompre l’accès aux magasins pour les comptes d’utilisateurs d’un domaine, sélectionnez le domaine dans la liste et cliquez sur Supprimer.

   La manière dont vous spécifiez le nom de domaine détermine le format dans lequel les utilisateurs doivent saisir leurs informations d’identification. Si vous souhaitez que les utilisateurs saisissent leurs informations d’identification au format nom d’utilisateur de domaine, ajoutez le nom NetBIOS à la liste. Pour exiger que les utilisateurs saisissent leurs informations d’identification au format nom d’utilisateur principal, ajoutez le nom de domaine complet à la liste. Si vous souhaitez permettre aux utilisateurs de saisir leurs informations d’identification à la fois au format nom d’utilisateur de domaine et au format nom d’utilisateur principal, vous devez ajouter à la fois le nom NetBIOS et le nom de domaine complet à la liste.

4. Si vous configurez plusieurs domaines approuvés, sélectionnez dans la liste Domaine par défaut le domaine qui est sélectionné par défaut lorsque les utilisateurs se connectent.

5. Si vous souhaitez afficher la liste des domaines approuvés sur la page de connexion, cochez la case Afficher la liste des domaines sur la page de connexion.

PowerShell

Pour obtenir la liste des domaines configurés, utilisez l’applet de commande Get-STFExplicitCommonOptions.

Pour mettre à jour les domaines approuvés, utilisez l’applet de commande Set-STFExplicitCommonOptions.

Permettre aux utilisateurs de modifier leur mot de passe

Vous pouvez autoriser les utilisateurs à modifier leur mot de passe à tout moment. Vous pouvez également restreindre les modifications de mot de passe aux utilisateurs dont le mot de passe a expiré. Cela signifie que vous pouvez vous assurer que les utilisateurs ne sont jamais empêchés d’accéder à leurs bureaux et applications par un mot de passe expiré.

La fonctionnalité de modification de mot de passe est disponible dans les clients suivants :

La configuration par défaut empêche les utilisateurs de l’application Citrix Workspace et des navigateurs web de modifier leur mot de passe, même si celui-ci a expiré. Si vous décidez d’activer cette fonctionnalité, assurez-vous que les stratégies des domaines contenant vos serveurs n’empêchent pas les utilisateurs de modifier leur mot de passe. Permettre aux utilisateurs de modifier leur mot de passe expose des fonctions de sécurité sensibles à toute personne pouvant accéder à l’un des magasins qui utilisent le service d’authentification. Si votre organisation a une politique de sécurité qui réserve les fonctions de modification de mot de passe utilisateur à un usage interne uniquement, assurez-vous qu’aucun des magasins n’est accessible depuis l’extérieur de votre réseau d’entreprise.

Si vous autorisez les utilisateurs à modifier leur mot de passe à tout moment, les utilisateurs locaux dont le mot de passe est sur le point d’expirer reçoivent un avertissement lorsqu’ils se connectent. Par défaut, la période de notification pour un utilisateur est déterminée par le paramètre de stratégie Windows applicable. Vous pouvez également configurer une période de notification personnalisée.

1. Dans la fenêtre Gérer les méthodes d’authentification, dans le menu déroulant Nom d’utilisateur et mot de passe > Paramètres, sélectionnez Gérer les options de mot de passe.

2. Pour permettre aux utilisateurs de modifier leur mot de passe, cochez la case Autoriser les utilisateurs à modifier leur mot de passe.

   Remarque : Si vous ne sélectionnez pas cette option, vous devez prendre vos propres dispositions pour prendre en charge les utilisateurs qui ne peuvent pas accéder à leurs bureaux et applications parce que leur mot de passe a expiré.

3. Choisissez d’autoriser les utilisateurs à modifier leur mot de passe Uniquement lorsqu’il expire ou À tout moment.

4. Choisissez de rappeler ou non aux utilisateurs avant l’expiration de leur mot de passe. Vous pouvez choisir parmi les options suivantes :

   • Ne pas rappeler - L’interface utilisateur n’affiche pas de rappels d’expiration de mot de passe. Elle ne notifie les utilisateurs qu’au moment où le mot de passe a expiré.

   • Utiliser les paramètres de rappel de la stratégie de groupe Active Directory - Après la connexion, l’interface utilisateur notifie si le mot de passe va expirer dans le nombre de jours configuré dans la stratégie de groupe. L’utilisateur a la possibilité de modifier son mot de passe.

     Remarque :

     StoreFront ne prend pas en compte les stratégies de mot de passe granulaires. Par conséquent, si vous utilisez des stratégies de mot de passe granulaires, vous ne devez pas sélectionner cette option.

   • Utiliser un paramètre de rappel personnalisé - Après la connexion, l’interface utilisateur notifie l’utilisateur si son mot de passe va expirer dans le nombre de jours donné. L’utilisateur a la possibilité de modifier son mot de passe.

Remarques

Remarque 1 :

Assurez-vous qu’il y a suffisamment d’espace disque sur vos serveurs StoreFront pour stocker les profils de tous vos utilisateurs. Pour vérifier si le mot de passe d’un utilisateur est sur le point d’expirer, StoreFront crée un profil local pour cet utilisateur sur le serveur. StoreFront doit pouvoir contacter le contrôleur de domaine pour modifier les mots de passe des utilisateurs.

Remarque 2 :

Si vous activez ou désactivez la modification des mots de passe à tout moment, cela affecte également les paramètres sous Gérer les options de mot de passe pour l’authentification Pass-through depuis Citrix Gateway.

PowerShell

Pour obtenir la liste des domaines approuvés, utilisez l’applet de commande Get-STFExplicitCommonOptions.

Pour mettre à jour les domaines approuvés, utilisez l’applet de commande Set-STFExplicitCommonOptions.

Validation du mot de passe

Normalement, StoreFront demande à Windows de valider les informations d’identification dans Active Directory. Cela nécessite que le serveur Windows se trouve sur le même domaine que l’utilisateur, ou qu’il existe une relation de confiance entre les deux domaines. Lorsqu’il n’est pas possible d’établir des relations de confiance Active Directory, vous pouvez configurer StoreFront pour qu’il utilise les contrôleurs de livraison Citrix Virtual Apps and Desktops afin d’authentifier les informations d’identification. Cela affecte également l’authentification HTTP Basic et Gateway Pass-through.

Pour configurer la manière dont StoreFront valide les mots de passe :

1. Dans la fenêtre Gérer les méthodes d’authentification, dans le menu déroulant Nom d’utilisateur et mot de passe > Paramètres, sélectionnez Configurer la validation du mot de passe.

   

2. Dans le menu déroulant Valider le mot de passe via, choisissez :

   • Active Directory - Demande à Windows de valider les informations d’identification dans Active Directory
   • Delivery Controllers - Demande au Delivery Controller™ configuré de valider les informations d’identification.

   

3. Si vous avez sélectionné Delivery Controllers, sélectionnez Configurer. Dans les écrans Configurer les Delivery Controllers, ajoutez un ou plusieurs Delivery Controllers pour valider les informations d’identification de l’utilisateur et cliquez sur OK.

   

4. Sélectionnez OK.

PowerShell

Pour savoir comment les mots de passe sont validés, utilisez l’applet de commande Get-STFExplicitAuthenticator.

Pour effectuer la validation du mot de passe via les contrôleurs de livraison, utilisez l’applet de commande Set-STFExplicitAuthenticator pour définir le validateur sur xmlServiceAuthenticator. Pour définir le contrôleur de livraison à utiliser pour authentifier les informations d’identification, utilisez l’applet de commande Enable-STFXmlServiceAuthentication.

Authentification unique aux VDA

Lorsque les utilisateurs lancent une ressource, StoreFront transmet les informations d’identification que l’utilisateur a utilisées pour se connecter au magasin afin d’effectuer une authentification unique aux VDA.

Si le Federated Authentication Service (FAS) est activé pour le magasin, StoreFront contacte un serveur FAS pour fournir un certificat d’authentification unique au magasin. Ce certificat est transmis au VDA au lieu des informations d’identification. Si StoreFront ne peut pas contacter un serveur FAS, il n’y a pas d’authentification unique au VDA.

Personnaliser l’écran de connexion

L’écran de connexion est généré à partir d’un modèle, généralement situé à l’adresse C:\inetpub\wwwroot\Citrix\[Store name]Auth\App_Data\Templates\UsernamePassword.tfrm. Le modèle est défini à l’aide du langage de modèle de formulaires.

Les exemples suivants ajoutent un titre et empêchent l’application Citrix Workspace pour Windows de mettre en cache les mots de passe :

Texte du titre

Lorsque les utilisateurs se connectent à un magasin, aucun texte de titre n’est affiché par défaut dans la boîte de dialogue de connexion. Vous pouvez afficher le texte « Veuillez vous connecter » ou composer votre propre message personnalisé :

1. Utilisez un éditeur de texte pour ouvrir le fichier UsernamePassword.tfrm du service d’authentification.

2. Localisez les lignes suivantes dans le fichier.

   @* @Heading("ExplicitAuth:AuthenticateHeadingText") *@
   <!--NeedCopy-->
   

3. Décommentez l’instruction en supprimant les caractères de début et de fin @* et *@.

   @Heading("ExplicitAuth:AuthenticateHeadingText")
   <!--NeedCopy-->
   

   Les utilisateurs de l’application Citrix Workspace voient le texte de titre par défaut « Veuillez vous connecter », ou la version localisée appropriée de ce texte, lorsqu’ils se connectent aux magasins qui utilisent ce service d’authentification.

4. Pour modifier le texte du titre, utilisez un éditeur de texte pour ouvrir le fichier ExplicitFormsCommon.xx.resx du service d’authentification, qui se trouve généralement dans le répertoire C:\inetpub\wwwroot\Citrix\[Store name]Auth\App_Data\resources\.

5. Localisez les éléments suivants dans le fichier. Modifiez le texte inclus dans l’élément <value> pour modifier le texte du titre que les utilisateurs voient dans la boîte de dialogue de connexion lorsqu’ils accèdent aux magasins qui utilisent ce service d’authentification.

   <data name="AuthenticateHeadingText" xml:space="preserve">
       <value>My Company Name</value>
   </data>
   <!--NeedCopy-->
   

   Pour modifier le texte du titre de la boîte de dialogue de connexion pour les utilisateurs d’autres paramètres régionaux, modifiez les fichiers localisés ExplicitAuth.languagecode.resx, où languagecode est l’identifiant des paramètres régionaux.

Empêcher l’application Citrix Workspace pour Windows de mettre en cache les mots de passe et les noms d’utilisateur

Par défaut, l’application Citrix Workspace pour Windows stocke les mots de passe des utilisateurs lorsqu’ils se connectent aux magasins StoreFront. Pour empêcher l’application Citrix Workspace pour Windows de mettre en cache les mots de passe des utilisateurs, vous modifiez les fichiers du service d’authentification.

1. Utilisez un éditeur de texte pour ouvrir le fichier inetpub\wwwroot\Citrix\[Store name]Auth\App_Data\Templates\UsernamePassword.tfrm.

2. Localisez la ligne suivante dans le fichier.

   @SaveCredential(id: @GetTextValue("saveCredentialsId"), labelKey: "ExplicitFormsCommon:SaveCredentialsLabel", initiallyChecked: ControlValue("SaveCredentials"))
   <!--NeedCopy-->
   

3. Commentez l’instruction comme indiqué ci-dessous.

   <!-- @SaveCredential(id: @GetTextValue("saveCredentialsId"), labelKey: "ExplicitFormsCommon:SaveCredentialsLabel", initiallyChecked: ControlValue("SaveCredentials")) -->
   <!--NeedCopy-->
   

   Les utilisateurs doivent saisir leur mot de passe chaque fois qu’ils se connectent aux magasins qui utilisent ce service d’authentification.

   Par défaut, l’application Citrix Workspace pour Windows remplit automatiquement le dernier nom d’utilisateur saisi. Pour supprimer le remplissage du champ du nom d’utilisateur, ou pour un mécanisme alternatif de suppression de la mise en cache des mots de passe, consultez Empêcher l’application Citrix Workspace pour Windows de mettre en cache les mots de passe et les noms d’utilisateur.

Accès à distance via Citrix Gateway

Vous pouvez configurer votre Citrix Gateway de manière à ce que les utilisateurs se connectent à la passerelle en utilisant leur nom d’utilisateur et leur mot de passe de domaine, et éventuellement un second facteur. Ces informations d’identification sont transmises à StoreFront pour se connecter au magasin. Pour configurer votre passerelle Citrix pour l’authentification LDAP par nom d’utilisateur et mot de passe, consultez la documentation NetScaler - Authentification LDAP. Pour configurer StoreFront, consultez Pass-through depuis Citrix Gateway.