Administrar usuarios

La definición de usuarios, grupos, roles y permisos le permite controlar quién tiene acceso a los servidores y grupos de Citrix Hypervisor y qué acciones pueden realizar.

Cuando instala Citrix Hypervisor por primera vez, se agrega una cuenta de usuario a Citrix Hypervisor automáticamente. Esta cuenta es el superusuario local (LSU), o raíz, que Citrix Hypervisor autentica localmente.

La LSU, o raíz, es una cuenta de usuario especial destinada a la administración del sistema y tiene todos los permisos. En Citrix Hypervisor, la LSU es la cuenta predeterminada en la instalación. Citrix Hypervisor autentica la cuenta de LSU. La LSU no requiere ningún servicio de autenticación externo. Si se produce un error en un servicio de autenticación externo, la LSU aún puede iniciar sesión y administrar el sistema. La LSU siempre puede acceder al servidor físico Citrix Hypervisor a través de SSH.

Puede crear más usuarios agregando las cuentas de Active Directory a través de la ficha Usuarios de XenCenter o la CLI de xe. Si su entorno no usa Active Directory, está limitado a la cuenta de LSU.

Nota:

Al crear usuarios, Citrix Hypervisor no asigna automáticamente roles de RBAC a las cuentas de usuario recién creadas. Por lo tanto, estas cuentas no tienen acceso al grupo Citrix Hypervisor hasta que se les asigna una función.

Una limitación en los clientes SSH recientes significa que SSH no funciona para nombres de usuario que contienen alguno de los siguientes caracteres: {}[]|&. Asegúrese de que sus nombres de usuario y nombres de servidores de Active Directory no contengan ninguno de estos caracteres.

Estos permisos se otorgan a través de roles, como se explica en la sección Autenticación de usuarios con Active Directory (AD).

Autenticar usuarios con Active Directory (AD)

Si quiere tener varias cuentas de usuario en un servidor o un grupo, debe usar cuentas de usuario de Active Directory para la autenticación. Las cuentas de AD permiten a los usuarios de Citrix Hypervisor iniciar sesión en un grupo con sus credenciales de dominio de Windows.

Nota:

Puede habilitar el enlace de canales LDAP y la firma LDAP en sus controladores de dominio de AD. Para obtener más información, consulte Asesoramiento de seguridad de Microsoft.

Puede configurar distintos niveles de acceso para usuarios específicos si habilita la autenticación de Active Directory, agrega cuentas de usuario y asigna roles a esas cuentas.

Los usuarios de Active Directory pueden usar la CLI xe (pasando los argumentos -u y -pw apropiados) y también conectarse al host mediante XenCenter. La autenticación se realiza por grupo de recursos.

Los sujetos controlan el acceso a las cuentas de usuario. Un asunto en Citrix Hypervisor se asigna a una entidad del servidor de directorios (ya sea un usuario o un grupo). Al habilitar la autenticación externa, Citrix Hypervisor comprueba las credenciales utilizadas para crear una sesión con las credenciales raíz locales y, a continuación, con la lista de asuntos. Para permitir el acceso, cree una entrada de asunto para la persona o el grupo al que quiere conceder acceso. Puede usar XenCenter o la CLI xe para crear una entrada de asunto.

Si conoce XenCenter, tenga en cuenta que la CLI de Citrix Hypervisor utiliza una terminología ligeramente diferente para referirse a las funciones de Active Directory y de la cuenta de usuario: Término de XenCenter CLI de Citrix Hypervisor Término Usuarios Sujetos Agregar usuarios Agregar sujetos

Aunque Citrix Hypervisor está basado en Linux, Citrix Hypervisor le permite usar cuentas de Active Directory para las cuentas de usuario de Citrix Hypervisor. Para hacerlo, pasa las credenciales de Active Directory al controlador de dominio de Active Directory.

Cuando agrega Active Directory a Citrix Hypervisor, los usuarios y grupos de Active Directory se convierten en sujetos de Citrix Hypervisor. Los sujetos se denominan usuarios en XenCenter. Los usuarios/grupos se autentican mediante Active Directory al iniciar sesión cuando se registra un asunto en Citrix Hypervisor. Los usuarios y los grupos no necesitan calificar su nombre de usuario mediante un nombre de dominio.

Para calificar un nombre de usuario, debe escribir el nombre de usuario en el formato Nombre de inicio de sesión de nivel inferior; por ejemplo, mydomain\myuser.

Nota:

De forma predeterminada, si no calificó el nombre de usuario, XenCenter intentará iniciar sesión en los servidores de autenticación de AD mediante el dominio al que está unido. La excepción a esto es la cuenta LSU, que XenCenter siempre autentica localmente (es decir, en Citrix Hypervisor) primero.

El proceso de autenticación externa funciona de la siguiente manera:

1. Las credenciales proporcionadas al conectarse a un servidor se transfieren al controlador de dominio de Active Directory para la autenticación.

2. El controlador de dominio comprueba las credenciales. Si no son válidas, la autenticación falla de inmediato.

3. Si las credenciales son válidas, se consulta al controlador de Active Directory para obtener el identificador del sujeto y la pertenencia al grupo asociados a las credenciales.

4. Si el identificador del sujeto coincide con el almacenado en Citrix Hypervisor, la autenticación se realiza correctamente.

Cuando se une a un dominio, habilita la autenticación de Active Directory para el grupo. Sin embargo, cuando un grupo se une a un dominio, solo los usuarios de ese dominio (o un dominio con el que tiene relaciones de confianza) pueden conectarse al grupo.

Nota:

La actualización manual de la configuración DNS de un PIF de red configurado por DHCP no es compatible y puede provocar que la integración de AD y, por lo tanto, la autenticación de usuarios, fallen o dejen de funcionar.

Configurar la autenticación de Active Directory

Citrix Hypervisor admite el uso de servidores de Active Directory con Windows 2008 o posterior.

Para autenticar Active Directory para servidores de Citrix Hypervisor, debe usar el mismo servidor DNS tanto para el servidor Active Directory (configurado para permitir la interoperabilidad) como para el servidor de Citrix Hypervisor. En algunas configuraciones, el servidor de Active Directory puede proporcionar el DNS en sí. Esto se puede lograr mediante DHCP para proporcionar la dirección IP y una lista de servidores DNS al servidor de Citrix Hypervisor. Como alternativa, puede establecer los valores en los objetos PIF o usar el instalador cuando se usa una configuración estática manual.

Recomendamos habilitar DHCP para asignar nombres de host. No asigne los nombres de host localhost ni linux a los hosts.

Advertencia:

Los nombres de los servidores de Citrix Hypervisor deben ser únicos en toda la implementación de Citrix Hypervisor.

Tenga en cuenta lo siguiente:

• Citrix Hypervisor etiqueta su entrada de AD en la base de datos de AD con su nombre de host. Si dos servidores de Citrix Hypervisor con el mismo nombre de host están unidos al mismo dominio de AD, el segundo Citrix Hypervisor sobrescribe la entrada AD del primer Citrix Hypervisor. La sobrescritura se produce independientemente de si los hosts pertenecen al mismo grupo o a grupos diferentes. Esto puede provocar que la autenticación de AD en el primer Citrix Hypervisor deje de funcionar.

  Puede usar el mismo nombre de host en dos servidores de Citrix Hypervisor, siempre que se unan a dominios de AD diferentes.

• Los servidores de Citrix Hypervisor pueden estar en diferentes zonas horarias, porque es la hora UTC la que se compara. Para asegurarse de que la sincronización sea correcta, puede usar los mismos servidores NTP para el grupo de Citrix Hypervisor y el servidor de Active Directory.

• No se admiten los grupos de autenticación mixta. No puede tener un grupo en el que algunos servidores del grupo estén configurados para usar Active Directory y otros no).

• La integración de Citrix Hypervisor Active Directory utiliza el protocolo Kerberos para comunicarse con los servidores de Active Directory. Por lo tanto, Citrix Hypervisor no admite la comunicación con los servidores de Active Directory que no usan Kerberos.

• Para que la autenticación externa mediante Active Directory sea correcta, los relojes de los servidores de Citrix Hypervisor deben sincronizarse con los relojes del servidor de Active Directory. Cuando Citrix Hypervisor se une al dominio de Active Directory, se comprueba la sincronización y se produce un error de autenticación si hay demasiado sesgo entre los servidores.

Advertencia:

Los nombres de host deben constar únicamente de un máximo de 63 caracteres alfanuméricos y no deben ser puramente numéricos.

Cuando agrega un servidor a un grupo después de habilitar la autenticación de Active Directory, se le pide que configure Active Directory en el servidor que se une al grupo. Cuando se le soliciten credenciales en el servidor que se une, escriba las credenciales de Active Directory con privilegios suficientes para agregar servidores a ese dominio.

Integración con Active Directory

Asegúrese de que los siguientes puertos de firewall estén abiertos para el tráfico saliente para que Citrix Hypervisor acceda a los controladores de dominio.

Para obtener más información, consulte Puertos de comunicación utilizados por Citrix Hypervisor.

Notas:

• Para ver las reglas de firewall en un equipo Linux usando iptables, ejecute el siguiente comando: iptables -nL.
• Citrix Hypervisor utiliza PowerBroker Identity Services (PBIS) para autenticar al usuario de AD en el servidor de AD y para cifrar las comunicaciones con el servidor de AD.

¿Cómo administra Citrix Hypervisor la contraseña de la cuenta de máquina para la integración de AD?

Al igual que en las máquinas cliente Windows, PBIS actualiza automáticamente la contraseña de la cuenta de la máquina. PBIS renueva la contraseña cada 30 días, o según lo especificado en la directiva de renovación de contraseñas de cuentas de máquina en el servidor de AD.

Habilitar la autenticación externa en un grupo

La autenticación externa mediante Active Directory se puede configurar mediante XenCenter o la CLI mediante el siguiente comando.

xe pool-enable-external-auth auth-type=AD \
  service-name=full-qualified-domain \
  config:user=username \
  config:pass=password
<!--NeedCopy-->

El usuario especificado debe tener privilegios Add/remove computer objects or workstations, que es el valor predeterminado para los administradores de dominio.

Si no utiliza DHCP en la red que utilizan Active Directory y los servidores de Citrix Hypervisor, utilice los siguientes enfoques para configurar su DNS:

1. Configure el orden de búsqueda de sufijos DNS de dominio para resolver entradas que no sean de FQDN:

   xe pif-param-set uuid=pif_uuid_in_the_dns_subnetwork \
      "other-config:domain=suffix1.com suffix2.com suffix3.com"
   <!--NeedCopy-->
   

2. Configure el servidor DNS para usarlo en los servidores de Citrix Hypervisor:

   xe pif-reconfigure-ip mode=static dns=dnshost ip=ip \
     gateway=gateway netmask=netmask uuid=uuid
   <!--NeedCopy-->
   

3. Configure manualmente la interfaz de administración para usar un PIF que esté en la misma red que su servidor DNS:

   xe host-management-reconfigure pif-uuid=pif_in_the_dns_subnetwork
   <!--NeedCopy-->
   

Nota:

La autenticación externa es una propiedad por host. Sin embargo, le recomendamos que habilite y inhabilite la autenticación externa por grupo. Una configuración por grupo permite que Citrix Hypervisor resuelva los errores que se producen al habilitar la autenticación en un host en particular. Citrix Hypervisor también deshace los cambios que puedan ser necesarios, lo que garantiza una configuración coherente en todo el grupo. Use el comando host-param-list para inspeccionar las propiedades de un host y para determinar el estado de la autenticación externa comprobando los valores de los campos relevantes.

Use XenCenter para inhabilitar la autenticación de Active Directory o el siguiente comando xe:

xe pool-disable-external-auth
<!--NeedCopy-->

Autenticación de usuarios

Para permitir que un usuario acceda a su servidor de Citrix Hypervisor, debe agregar un asunto para ese usuario o un grupo en el que se encuentre. (Las pertenencias a grupos transitivos también se verifican de la manera normal. Por ejemplo, agregar un asunto para el grupo A, donde el grupo A contiene el grupo B y user 1 es miembro del grupo B permitiría el acceso a user 1). Si quiere administrar los permisos de usuario en Active Directory, puede crear un único grupo que, a continuación, agregue y elimine usuarios hacia/desde. Como alternativa, puede agregar y eliminar usuarios individuales de Citrix Hypervisor, o una combinación de usuarios y grupos según corresponda para sus requisitos de autenticación. Puede administrar la lista de asuntos desde XenCenter o mediante la CLI como se describe en la siguiente sección.

Al autenticar a un usuario, las credenciales se comparan primero con la cuenta raíz local, lo que le permite recuperar un sistema cuyo servidor de AD ha fallado. Si las credenciales (nombre de usuario y contraseña) no coinciden, se realiza una solicitud de autenticación al servidor de AD. Si la autenticación tiene éxito, la información del usuario se recupera y valida en la lista de temas local. Se deniega el acceso si la autenticación falla. La validación con respecto a la lista de temas se realiza correctamente si el usuario o un grupo de la pertenencia al grupo transitivo del usuario está en la lista de asuntos.

Nota:

Cuando se usan grupos de Active Directory para conceder acceso a los usuarios del administrador de grupos que requieren acceso ssh de host, el tamaño del grupo de AD no debe superar los 500 usuarios.

Para agregar un asunto de AD a Citrix Hypervisor:

xe subject-add subject-name=entity_name
<!--NeedCopy-->

Entity_name es el nombre del usuario o grupo al que quiere conceder acceso. Puede incluir el dominio de la entidad (por ejemplo, ‘xendt\ user1’ en lugar de ‘user1’), aunque el comportamiento es el mismo a menos que se requiera la desambiguación.

Busque el identificador de sujeto del usuario. El identificador es el usuario o el grupo que lo contiene. Al eliminar un grupo, se elimina el acceso a todos los usuarios de ese grupo, siempre que no se especifiquen también en la lista de asuntos. Use el comando subject list para buscar el identificador de sujeto del usuario. :

xe subject-list
<!--NeedCopy-->

Este comando devuelve una lista de todos los usuarios.

Para aplicar un filtro a la lista, por ejemplo, para buscar el identificador de asunto de un usuario user1 en el comando testad:

xe subject-list other-config:subject-name='testad\user1'
<!--NeedCopy-->

Elimine al usuario mediante el comando subject-remove y pase el identificador de sujeto que aprendió en el paso anterior:

xe subject-remove subject-uuid=subject_uuid
<!--NeedCopy-->

Puede finalizar cualquier sesión actual que este usuario ya haya autenticado. Para obtener más información, consulte Terminar todas las sesiones autenticadas con xe y Terminar sesiones de usuarios individuales con xe en la siguiente sección. Si no finaliza las sesiones, los usuarios con permisos revocados pueden seguir accediendo al sistema hasta que cierren sesión.

Ejecute el siguiente comando para identificar la lista de usuarios y grupos con permiso para acceder al servidor o grupo Citrix Hypervisor:

xe subject-list
<!--NeedCopy-->

Eliminar el acceso de un usuario

Cuando un usuario se autentica, puede acceder al servidor hasta que finalice su sesión o hasta que otro usuario finalice su sesión. Eliminar a un usuario de la lista de asuntos, o eliminarlo de un grupo en la lista de asuntos, no revoca automáticamente ninguna sesión ya autenticada que tenga el usuario. Los usuarios pueden seguir accediendo al grupo mediante XenCenter u otras sesiones de API que ya hayan creado. XenCenter y la CLI brindan facilidades para finalizar sesiones individuales o todas las sesiones activas de manera forzada. Consulte la documentación de XenCenter para obtener información sobre los procedimientos que utilizan XenCenter o la siguiente sección para conocer los procedimientos que utilizan la CLI.

Finalizar todas las sesiones autenticadas con xe

Ejecute el siguiente comando de la CLI para finalizar todas las sesiones autenticadas con xe:

xe session-subject-identifier-logout-all
<!--NeedCopy-->

Finalizar sesiones de usuarios individuales mediante xe

1. Determine el identificador de sujeto de cuya sesión quiere cerrar sesión. Use los comandos session-subject-identifier-list o subject-list xe para buscar el identificador de sujeto. El primer comando muestra a los usuarios que tienen sesiones. El segundo comando muestra todos los usuarios, pero se puede filtrar. Por ejemplo, mediante el uso de un comando como xe subject-list other-config:subject-name=xendt\\user1. Es posible que necesite una barra invertida doble (como se muestra en función de su caparazón).

2. Ejecute el comando session-subject-logout, pasando el identificador de asunto que ha determinado en el paso anterior como parámetro, por ejemplo:

   xe session-subject-identifier-logout subject-identifier=subject_id
   <!--NeedCopy-->
   

Dejar un dominio de AD

Advertencia:

Cuando abandona el dominio, todos los usuarios que se hayan autenticado en el grupo o el servidor con credenciales de Active Directory se desconectarán.

Use XenCenter para dejar un dominio de AD. Para obtener más información, consulte la documentación de XenCenter. Ejecute alternativamente el comando pool-disable-external-auth, especificando el UUID del grupo si es necesario.

Nota:

Dejar el dominio no elimina los objetos de host de la base de datos de AD. Consulte la documentación de Active Directory para obtener información sobre cómo detectar y eliminar las entradas de host inhabilitadas.