Unified Access Gateway (UAG) permet un accès distant sécurisé à des applications et à des postes de travail virtuels sur site dans un centre de données de client. Il fonctionne avec un déploiement sur site d'Horizon 8 pour une gestion unifiée. En garantissant une identité utilisateur forte, Unified Access Gateway contrôle précisément l'accès aux postes de travail et aux applications en fonction des droits des utilisateurs.
Déploiement d'Unified Access Gateway dans la zone DMZ de votre réseau
Lorsqu'il est déployé dans la zone DMZ, Unified Access Gateway garantit les points suivants :
-
Tout le trafic entrant dans le centre de données vers les ressources de postes de travail et d'applications provient d'utilisateurs authentifiés.
-
Le trafic d'un utilisateur authentifié ne peut être dirigé que vers les ressources de postes de travail et d'applications auxquelles cet utilisateur a droit. Ce niveau de protection implique une inspection spécifique des protocoles de postes de travail et une coordination des stratégies et des adresses réseau en constante évolution afin de contrôler l'accès avec précision.
Architecture de déploiement d'UAG
La figure suivante montre un exemple de configuration qui comporte des pare-feu frontal et principal.
Avant de déployer
Vérifiez les exigences suivantes pour un déploiement transparent avec Horizon 8.
- Par défaut, le port 8443 doit être disponible pour Blast TCP/UDP. Toutefois, le port 443 peut également être configuré pour Blast TCP/UDP.
-
Blast Secure Gateway et PCoIP Secure Gateway doivent être activés lorsqu'Unified Access Gateway est déployé avec Horizon 8. Cela garantit que les protocoles d'affichage peuvent servir de proxy automatiquement via Unified Access Gateway. Les paramètres
BlastExternalURLetpcoipExternalURLspécifient les adresses de connexion utilisées par les instances d'Horizon Client pour acheminer ces connexions de protocole d'affichage via les passerelles appropriées sur Unified Access Gateway. Cela améliore la sécurité, car ces passerelles garantissent que le trafic du protocole d'affichage est contrôlé pour le compte d'un utilisateur authentifié. Unified Access Gateway ignore le trafic du protocole d'affichage non autorisé. -
Désactivez les passerelles sécurisées (Blast Secure Gateway et PCoIP Secure Gateway) sur les instances d'Horizon Connection Server et activez ces passerelles sur les dispositifs Unified Access Gateway.
Authentification
Les méthodes d'authentification utilisateur suivantes sont prises en charge dans Unified Access Gateway :
- Nom d'utilisateur et mot de passe Active Directory
- Mode Kiosque. Pour plus d'informations sur le mode Kiosque, reportez-vous à la documentation d'Horizon 8.
- Authentification à deux facteurs RSA SecurID, certifiée formellement par RSA pour SecurID
- RADIUS par le biais de diverses solutions tierces de fournisseurs de sécurité à deux facteurs
- Certificats utilisateur de carte à puce, X.509
- SAML, X.509 et SAML, SAML et Non authentifié
- OIDC
Ces méthodes d'authentification sont prises en charge avec Horizon Connection Server. Unified Access Gateway n'a pas besoin de communiquer directement avec Active Directory. Cette communication sert de proxy via Horizon Connection Server, qui peut accéder directement à Active Directory. Une fois que la session de l'utilisateur est authentifiée selon la stratégie d'authentification, Unified Access Gateway peut transmettre des demandes d'informations de droit, ainsi que des demandes de lancement de postes de travail et d'applications, à Horizon Connection Server. Unified Access Gateway gère également ses gestionnaires de protocole de poste de travail et d'application pour leur permettre de ne transmettre que le trafic de protocole autorisé.
Unified Access Gateway gère lui-même l'authentification par carte à puce. Cela inclut des options pour qu'Unified Access Gateway puisse communiquer avec des serveurs OCSP (Online Certificate Status Protocol) afin de vérifier la révocation des certificats X.509, etc.
Cette page vous a-t-elle été utile ?