Configuración de la autenticación SAML

Last published : Oct 14, 2026

Security Assertion Markup Language (SAML) es un estándar basado en XML para intercambiar autenticación y autorización entre proveedores de identidad (IdP) y proveedores de servicios. NetScaler Gateway admite la autenticación SAML.

Al configurar la autenticación SAML, se crean las siguientes configuraciones:

Nombre del certificado IdP. Esta es la clave pública que corresponde a la clave privada en el IdP.
URL de redirección. Esta es la URL del IdP de autenticación. Los usuarios no autenticados se redirigen a esta URL.
Campo de usuario. Puede usar este campo para extraer el nombre de usuario si el IdP envía el nombre de usuario en un formato diferente al de la etiqueta NameIdentifier de la etiqueta Subject. Esta es una configuración opcional.
Nombre del certificado de firma. Esta es la clave privada del servidor NetScaler Gateway que se utiliza para firmar la solicitud de autenticación al IdP. Si no configura un nombre de certificado, la aserción se envía sin firmar o la solicitud de autenticación se rechaza.
Nombre del emisor SAML. Este valor se utiliza cuando se envía la solicitud de autenticación. Debe haber un nombre único en el campo del emisor para indicar la autoridad desde la que se envía la aserción. Este es un campo opcional.
Grupo de autenticación predeterminado. Este es el grupo en el servidor de autenticación desde el que se autentican los usuarios.
Doble factor. Esta configuración habilita o deshabilita la autenticación de doble factor.
Rechazar aserción sin firmar. Si está habilitado, NetScaler Gateway rechaza la autenticación de usuario si no se configura el nombre del certificado de firma.

NetScaler Gateway admite el enlace HTTP POST. En este enlace, la parte remitente responde al usuario con un 200 OK que contiene un formulario de publicación automática con la información requerida. Específicamente, el formulario predeterminado debe contener dos campos ocultos llamados SAMLRequest y SAMLResponse, dependiendo de si el formulario es una solicitud o una respuesta. El formulario también incluye RelayState, que es un estado o información utilizada por la parte remitente para enviar información arbitraria que no es procesada por una parte confiable. La parte confiable envía la información de vuelta para que, cuando la parte remitente reciba la aserción junto con RelayState, la parte remitente sepa qué hacer a continuación. Se recomienda cifrar u ofuscar el RelayState.

Nota

Cuando NetScaler Gateway se utiliza como IdP para Citrix Cloud, no es necesario configurar la regla RelayState en NetScaler Gateway.
En caso de encadenamiento de IdP, es suficiente configurar la regla RelayState solo en la primera política SAML. En este contexto, el encadenamiento de IdP es un escenario en el que una acción SAML configurada hace referencia a un IdP de servidor virtual de autenticación que contiene otra acción SAML.

Configuración de Active Directory Federation Services 2.0

Puede configurar Active Directory Federation Services (AD FS) 2.0 en cualquier equipo con Windows Server 2008 o Windows Server 2012 que utilice en un rol de servidor federado. Al configurar el servidor ADFS para que sea compatible con NetScaler Gateway, debe configurar los siguientes parámetros mediante el Asistente para agregar confianza para usuario de confianza en Windows Server 2008 o Windows Server 2012.

Parámetros de Windows Server 2008:

Confianza para usuario de confianza. Proporcione la ubicación del archivo de metadatos de NetScaler Gateway, como https://vserver.fqdn.com/ns.metadata.xml, donde vserver.fqdn.com es el nombre de dominio completo (FQDN) del servidor virtual de NetScaler Gateway. Puede encontrar el FQDN en el certificado de servidor vinculado al servidor virtual.
Reglas de autorización. Puede permitir o denegar el acceso de los usuarios al usuario de confianza.

Parámetros de Windows Server 2012:

Confianza para usuario de confianza. Proporcione la ubicación del archivo de metadatos de NetScaler Gateway, como https://vserver.fqdn.com/ns.metadata.xml, donde vserver.fqdn.com es el nombre de dominio completo (FQDN) del servidor virtual de NetScaler Gateway. Puede encontrar el FQDN en el certificado de servidor vinculado al servidor virtual.
Perfil de AD FS. Seleccione el perfil de AD FS.
Certificado. NetScaler Gateway no admite el cifrado. No es necesario seleccionar un certificado.
Habilitar la compatibilidad con el protocolo WebSSO de SAML 2.0. Esto habilita la compatibilidad con SSO de SAML 2.0. Proporcione la URL del servidor virtual de NetScaler Gateway, como https:netScaler.virtualServerName.com/cgi/samlauth.

Esta URL es la URL del servicio de consumidor de aserciones en el dispositivo NetScaler Gateway. Este es un parámetro constante y NetScaler Gateway espera una respuesta SAML en esta URL.
Identificador de confianza para usuario de confianza. Introduzca el nombre NetScaler Gateway. Esta es una URL que identifica a los usuarios de confianza, como https://netscalerGateway.virtualServerName.com/adfs/services/trust.
Reglas de autorización. Puede permitir o denegar el acceso de los usuarios al usuario de confianza.
Configurar reglas de notificación. Puede configurar los valores de los atributos LDAP mediante las reglas de transformación de emisión y usar la plantilla Enviar atributos LDAP como notificaciones. A continuación, configure la configuración de LDAP que incluye:
- Direcciones de correo electrónico
- sAMAccountName
- Nombre principal de usuario (UPN)
- MemberOf
Firma del certificado. Puede especificar los certificados de verificación de firma seleccionando las Propiedades de una parte de confianza y, a continuación, agregando el certificado.

Si el certificado de firma tiene menos de 2048 bits, aparece un mensaje de advertencia. Puede ignorar la advertencia para continuar. Si está configurando una implementación de prueba, inhabilite la Lista de revocación de certificados (CRL) en la parte de confianza. Si no inhabilita la comprobación, AD FS intentará usar la CRL para validar el certificado.

Puede inhabilitar la CRL ejecutando el siguiente comando: Set-ADFWRelayingPartyTrust - SigningCertficateRevocatonCheck None-TargetName NetScaler®

Después de configurar los ajustes, verificar los datos de la parte de confianza antes de completar el Asistente para la confianza de la parte de confianza. Compruebe el certificado del servidor virtual de NetScaler Gateway con la URL del punto final, como https://vserver.fqdn.com/cgi/samlauth.

Una vez que haya terminado de configurar los ajustes en el Asistente para la confianza de la parte de confianza, seleccione la confianza configurada y, a continuación, edite las propiedades. Realice lo siguiente:

Establezca el algoritmo hash seguro en SHA-1.

Nota: NetScaler solo admite SHA-1.
Elimine el certificado de cifrado. Las aserciones cifradas no son compatibles.
Edite las reglas de notificación, incluidas las siguientes:
- Seleccionar regla de transformación
- Agregar regla de notificación
- Seleccionar plantilla de regla de notificación: Enviar atributos LDAP como notificaciones
- Asignar un nombre
- Seleccionar almacén de atributos: Active Directory
- Seleccionar atributo LDAP: \<parámetros de Active Directory\>
- Seleccionar regla de reclamación saliente como "Name ID"
Nota: Las etiquetas XML de nombre de atributo no son compatibles.
Configure la URL de cierre de sesión para el cierre de sesión único. La regla de reclamación es Enviar URL de cierre de sesión. La regla personalizada debe ser la siguiente:
=> issue(Type = "logoutURL", Value = "https://<adfs.fqdn.com>/adfs/ls/", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/attributename"] = "urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified");

Después de configurar los ajustes de AD FS, descargue el certificado de firma de AD FS y, a continuación, cree una clave de certificado en NetScaler Gateway. A continuación, puede configurar la autenticación SAML en NetScaler Gateway utilizando el certificado y la clave.