Pods de Horizon: configurar Unified Access Gateway para su uso con Universal Broker

En este tema se explica cómo configurar las instancias de Unified Access Gateway dentro de pods de Horizon para su uso con Universal Broker. Siga el procedimiento para configurar los ajustes de token web JSON en cada instancia de Unified Access Gateway para admitir el redireccionamiento del protocolo y el servidor del túnel que requiere Universal Broker.

Nota: El siguiente procedimiento solo es necesario para las instancias de Unified Access Gateway dentro de pods de Horizon basados en la tecnología de Horizon Connection Server. Para los pods de Horizon Cloud en Microsoft Azure, los ajustes del token web JSON se configuran automáticamente en el momento de la implementación del pod. No es necesario realizar ninguna configuración adicional del token web JSON para las instancias de Unified Access Gateway dentro de los pods de Horizon Cloud (no basados en la tecnología de Horizon Connection Server).

Por su diseño predeterminado, Universal Broker espera utilizar exactamente la misma configuración de autenticación en dos fases con cada pod del grupo de pods del arrendatario. También por diseño, cuando Universal Broker está configurado con opciones de autenticación en dos fases, forma la solicitud de autenticación y la envía a una instancia externa de Unified Access Gateway que, a continuación, se comunica con el servidor de autenticación configurado en los ajustes de esa instancia para controlar la acción de autenticación específica. A continuación, Unified Access Gateway retransmite la respuesta del servicio de autenticación al Universal Broker.

Por lo tanto, cuando desee Universal Broker más la autenticación en dos fases, debe configurar el mismo servicio de autenticación idéntico en todas las instancias externas de Unified Access Gateway en todos los pods del grupo de pods del arrendatario. Para un grupo compuesto únicamente por pods de Horizon, Universal Broker puede admitir el uso del servicio RADIUS o RSA SecurID en todas las instancias de Unified Access Gateway.

Sin embargo, tenga en cuenta que si el arrendatario tiene un grupo de pods combinado compuesto por pods de Horizon y pods de Horizon Cloud, las opciones disponibles dependen de si las implementaciones de Horizon Cloud on Microsoft Azure cumplen las condiciones para tener la opción RSA SecurID disponible en ellas. Si todos los pods de Horizon Cloud son del manifiesto 3139.x o una versión posterior y en el asistente Editar pod observa la opción RSA SecurID, tiene la opción de configurar todos los pods para que usen el tipo RSA SecurID. De lo contrario, debe utilizar RADIUS para cumplir con el requisito de tener el mismo servicio de autenticación en todo el grupo de pods.

Requisitos previos

• Compruebe que configuró el conjunto adecuado de dispositivos de Unified Access Gateway en cada pod de Horizon del grupo de pods del arrendatario, según los casos prácticos de usuario final que desee admitir. Para obtener una breve descripción de los casos prácticos, consulte Requisitos del sistema de Universal Broker para pods de Horizon.
• Asegúrese de que los dispositivos de Unified Access Gateway ejecuten la versión 3.8 o una versión posterior y que cumplan todos los demás requisitos de Unified Access Gateway relacionados que se describen en Requisitos del sistema de Universal Broker para pods de Horizon.
• Para validar el emparejamiento de cada instancia de Unified Access Gateway con su pod respectivo, conéctese directamente a la instancia de Unified Access Gateway y compruebe que puede acceder a los escritorios virtuales.

Procedimiento

1. Inicie sesión en la consola administrativa de Unified Access Gateway.

2. En la sección Configurar manualmente , haga clic en Seleccionar.

3. En Configuración avanzada, haga clic en el engranaje para ver Configuración de JWT.

4. Después de hacer clic en el engranaje:

   • Si el software de Unified Access Gateway es de una versión anterior a la 2209, haga clic en Agregar.
   • Si el software de Unified Access Gateway es 2209 o una versión posterior, haga clic en Agregar consumidor de JWT. La interfaz de usuario del administrador de Unified Access Gateway introdujo cambios en su versión 2209.

5. En el cuadro de interfaz de usuario que aparece, especifique la configuración.

   Ajuste	Descripción
   Nombre	Introduzca un nombre descriptivo para el conjunto de configuración.
   Emisor	Introduzca el nombre del clúster del pod de Horizon, como aparece en Horizon Console. PRECAUCIÓN: Este campo distingue entre mayúsculas y minúsculas en la interfaz de usuario del administrador de Unified Access Gateway. Debe introducir el nombre del clúster de forma precisa y exacta, tal y como se recupera de Horizon Console. La interfaz de usuario de Unified Access Gateway no muestra ninguna advertencia de que sus campos distinguen entre mayúsculas y minúsculas y no se valida la distinción de mayúsculas y minúsculas. Esta distinción de mayúsculas y minúsculas también se aplica a la palabra Clúster que se muestra en Horizon Console. Si ve la palabra en Horizon Console con C mayúscula y lúster en minúscula, deberá hacer coincidir esa palabra exactamente en este campo de Emisor e introducir Clúster en estecampo de Emisor. Si no se puede garantizar que se introduzca un nombre con una distinción precisa entre mayúsculas y minúsculas en este campo de emisor que coincida exactamente con el nombre que se muestra en Horizon Console, se generarán problemas posteriores con Universal Broker, en los que los usuarios finales no podrán iniciar sus escritorios y aplicaciones mediante el FQDN de Universal Broker. Para encontrar el nombre del clúster del pod en Horizon Console, desplácese hasta el área Panel de control de Horizon Console y observe el área vertical superior de la interfaz de usuario. A continuación, se muestra una ilustración de la ubicación del nombre del clúster del pod en Horizon Console. Observe cómo la parte Clúster de ese nombre que se muestra es una combinación de una letra mayúscula inicial y, a continuación, letras minúsculas. Debe asegurarse de introducir el nombre que se muestra exactamente en este campo de Emisor en la interfaz de usuario del administrador de Unified Access Gateway. El campo Emisor tiene una validación cero para garantizar que ha introducido el nombre correctamente.
   URL de clave pública dinámica	El valor que se debe introducir aquí se obtiene del nombre de host de Connection Server del pod, del FQDN de Connection Server o del equilibrador de carga local (si el pod tiene varias instancias de puerta de enlace). Introduzca https://<FQDN del pod de Horizon>/broker/publicKey/protocolredirection, donde <FQDN del pod de Horizon> se reemplaza por el FQDN único del pod (nombre de dominio completo). Por lo general, el FQDN se define de la siguiente manera: Si el pod solo tiene una instancia de Unified Access Gateway, especifique la dirección del servidor de conexión emparejado de la instancia como el FQDN. Si el pod tiene varias instancias de Unified Access Gateway, especifique la dirección del equilibrador de carga local como el FQDN.
   Huellas digitales de URL de clave pública	Este campo especifica el uso de una URL de clave pública para la autenticación. Para utilizar el certificado de Connection Server del pod para la autenticación, introduzca la huella digital SHA1 del certificado de Connection Server del pod de Horizon para la instancia de Connection Server que utilizó para la URL de clave pública dinámica anterior. Nota: Puede configurar Huellas digitales de URL de clave pública o Certificados de confianza para la autenticación. No es necesario configurar ambas opciones.
   Certificados de confianza	Para utilizar un certificado diferente al certificado del pod de Horizon para la autenticación, haga clic en el icono (+) y agregue el certificado de confianza. Nota: Puede configurar Certificados de confianza o Huellas digitales de URL de clave pública para la autenticación. No es necesario configurar ambas opciones.
   Intervalo de actualización de clave pública	Para obtener mejores resultados, introduzca 900. Este valor establece el intervalo de actualización en 900 segundos o 15 minutos.
   Claves públicas estáticas	Deje esta opción establecida en su valor predeterminado.

6. Haga clic en Guardar y, a continuación, en Cerrar.

7. Si desea utilizar la autenticación en dos fases para Universal Broker, habilite el botón de alternancia Mostrar para Configuración de autenticación. A continuación, habilite y configure los ajustes de uno de los servicios de autenticación en dos fases compatibles con Universal Broker. Actualmente, los dos servicios compatibles son RADIUS y RSA SecurID.

   Nota: Debe configurar el servicio de autenticación en dos fases adecuado en la instancia externa de Unified Access Gateway para cada pod participante. Las configuraciones de todas las instancias externas de Unified Access Gateway dentro de un pod participante deben coincidir entre sí y deben ser idénticas a las configuraciones de las instancias externas de Unified Access Gateway en todos los demás pods participantes. De lo contrario, se producirá un error en la autenticación para el servicio Universal Broker.

   Por ejemplo, si desea utilizar la autenticación RADIUS para los pods de Horizon configurados con Universal Broker, debe configurar el mismo servicio RADIUS en cada instancia externa de Unified Access Gateway en todos los pods de Horizon participantes. No se puede configurar RADIUS en algunos pods participantes y RSA SecurID en otros pods participantes.