SAML, SAML y Pass-Through, y SAML y sin autenticar son los métodos de autenticación admitidos para integrar UAG (Unified Access Gateway) con un proveedor de identidades externo para controlar el acceso a las aplicaciones y los escritorios de Horizon. El método de autenticación determina cómo se autentica el usuario de Horizon.
Al configurar los ajustes de Horizon en UAG, debe seleccionar uno de los métodos de autenticación.
SAML
En el método de autenticación SAML, UAG valida primero la aserción de SAML. Si la aserción SAML es válida, UAG transmite la aserción SAML a Horizon Connection Server. Para que Horizon Connection Server acepte la aserción, este debe estar configurado con los metadatos del proveedor de identidades. Cuando un usuario accede a Horizon Client, recibe las autorizaciones sin que se le solicite que proporcione las credenciales de Active Directory.
Nota: Si el ajuste TrueSSO está habilitado en Horizon Connection Server, se debe utilizar el método de autenticación SAML.
Cifrado de extremo a extremo en SAML
Unified Access Gateway admite el cifrado de extremo a extremo para el método de autenticación SAML.
Requisitos
- Horizon Connection Server debe estar configurado con los metadatos del proveedor de identidades. Consulte Configurar un autenticador SAML en Horizon Console.
- La configuración de metadatos del IDP no debe contener un certificado de cifrado.
Cifrar aserción SAML
-
En la sección Configuración avanzada de la interfaz de usuario del administrador, haga clic en Configurar ajustes de SAML.
-
Expanda Configuración del proveedor del servidor SAML.
-
En el cuadro de texto Nombre de proveedor de servicios, introduzca el nombre del proveedor de servicios.
-
En el cuadro de texto XML de metadatos, introduzca los metadatos del servidor de conexión. Por ejemplo,
https://<csip>/SAML/metadata/sp.xml. -
Haga clic en Guardar.
-
En Configuración de Horizon, establezca el valor de SP de SAML. Consulte Configurar las opciones de Horizon.
SAML y Pass-Through
En el método de autenticación SAML y Pass-Through, UAG valida la aserción de SAML. Si la aserción SAML es válida, se solicita al usuario que proporcione las credenciales de autenticación de Active Directory al acceder a Horizon Client. En este método de autenticación, UAG no pasa la aserción SAML a Horizon Connection Server.
SAML y sin autenticar
En el método SAML y sin autenticar, Unified Access Gateway combina la autenticación de usuario de SAML con la función de acceso sin autenticar de Horizon. Si la aserción de SAML es válida, el usuario puede acceder a las aplicaciones alojadas en RDS sin necesidad de realizar ninguna autenticación adicional. En la función de acceso sin autenticar de Horizon, se utiliza un alias de usuario basado en roles con Horizon para determinar las autorizaciones de la aplicación. Horizon puede utilizar el alias de usuario como alias predeterminado. Este alias también se puede especificar de forma predeterminada en la configuración de Unified Access Gateway (Nombre de usuario sin autenticar predeterminado) o puede ser el valor de un atributo de SAML con nombre que se presenta como una notificación en la aserción de SAML enviada por el proveedor de identidades.
La interfaz de usuario del administrador de Unified Access Gateway tiene dos cuadros de texto: Atributo de nombre de usuario sin autenticar SAML y Nombre de usuario sin autenticar predeterminado, que se pueden utilizar para especificar el alias de usuario. Estos cuadros de texto están disponibles en la interfaz de usuario del administrador cuando el método de autenticación es SAML y sin autenticar.
Si el cuadro de texto Atributo de nombre de usuario sin autenticar SAML está configurado en la interfaz de usuario del administrador, cuando Unified Access Gateway valida la aserción de SAML, si el nombre está presente en la aserción de SAML, Unified Access Gateway usa ese valor como alias de usuario de acceso sin autenticar de Horizon.
Cuando el cuadro de texto Atributo de nombre de usuario sin autenticar SAML está vacío o el nombre de atributo especificado en este cuadro de texto no se encuentra en la aserción de SAML, Unified Access Gateway utiliza el nombre de usuario predeterminado configurado en el cuadro de texto Nombre de usuario sin autenticar predeterminado como alias de usuario con acceso sin autenticar de Horizon.
Si no se utiliza Atributo de nombre de usuario sin autenticar SAML y el cuadro de texto Nombre de usuario sin autenticar predeterminado está vacío, Unified Access Gateway usa el alias de usuario predeterminado configurado en Horizon.
Para obtener más información sobre la configuración de los usuarios de acceso no autenticado o la concesión de autorizaciones, consulte la información relacionada en la Guía de administración de Horizon 8.
SAML y certificado X.509 del dispositivo
Horizon Client pueden usar el certificado X.509 de los dispositivos y la autenticación SAML de forma simultánea. Esta función permite que los clientes de Horizon compatibles realicen una autenticación TLS mutua con Unified Access Gateway mediante el certificado X.509 de los dispositivos seguida de una autenticación SAML para el inicio de sesión de los usuarios.
¿Le resultó útil esta página?