Authentification WI

web-interface
1

Bonjour,



Pour bien commencer l’année…! une petite question.



J’active sur le site WI l’authentification unique, normalement l’utilisateur n’a pas besoin de resaisir son compte et son mot de passe du domaine ?



Pourtant c’est cela qui se produit, pourriez vous me dire d’ou cela peut provenir ?



Est t’on d’accord qu’il ni a pas de lien pour le moment avec la modification de APPsrv.ini ?



Connaissez vous les droits par défaut sur IIS, peut etre est ce une piste ?



Merci,

2

bonjour et bonne année !



as-tu vérifier ce qui est indiqué dans http://support.citrix.com/article/ctx076838 ?



Cela parle d’anciennes versions pour certaines choses mais il faut quand même vérifier…

3

Ok j’ai parcouru cette KB, il y a bcp de lien et de vérif à faire, je suis en cours…



Par contre j’ai lu dans un troobleshoot qu’il pouvait exister des problèmes avec les proxy, prise en charge NTLM etc…p32 du "Web Interface 4.0 Troubleshooter’s Guide"



Comment faire des tests pour savoir si le blocage peut venir de là ?



Merci,

4

il faudrait tenter une connexion depuis un poste qui n’a pas de proxy ;D idéalement, démarrer une session RDP vers le serveur WI et lancer la connexion vers la WI en localhost



comme tu as vu la page 32 du troubleshooting WI4.0, tu as donc tous les prérequis ?



quand tu dis que l’utilisateur doit resaisir ses credentials, c’est bien la WI qui les demande ou plus tard, la session ICA ?

5

C’est dans cette configuration que je suis.



J’ai bien une session RDP vers la WI en tant qu’admin, puis je lance le browser local sur http://localhost, c’est bien la WI qui me demande une authentification.



J’ai constaté que je n’avais pas le service ssonsvr.exe actif sur le serveur WI (qui est client dans ce cas)



Il est vrai qu’ensuite lors de l’ouverture de session ICA il existe une demande d’un credential.

Il est dit de modifier appsrv.ini dans le profile de l’utilisateur, mais dans le cas d’une session WI comment cela se passe ?



…

6
"Phil78" wrote:
J'ai constaté que je n'avais pas le service ssonsvr.exe actif sur le serveur WI (qui est client dans ce cas)
ce n'est pas nécessaire, comme expliqué dans le guide troubleshooting WI4.0. ssonsvr n'est utilisé que par le PNAgent et le client PN
"Phil78" wrote:
Il est vrai qu'ensuite lors de l'ouverture de session ICA il existe une demande d'un credential.
Il est dit de modifier appsrv.ini dans le profile de l'utilisateur, mais dans le cas d'une session WI comment cela se passe ?
...
la modif de appsrv.ini n'est nécessaire que pour faire du SSO avec des fichiers ICA déjà présent sur ton ordi (donc sans credentials). WI créé à la volée les fichiers ICA et "injecte" les credentials dans ce fichier (ces credentials ont une durée de vie limitée à la durée de vie du ticket soit quelques minutes)
7

Ok, en modifiant les paramètres IE Proxy du client (j’ai activé detection automatique des paramètres de connexion), j’ai bien l’authentification unique qui fonctione.



C’est dejà un avancée !



Par contre lors du lancement de la session ICA j’ai la GINA du serveur XenApp, compte admin et compte user idem.



je vais essayé d’ajouter une gpo en important icaclient.adm et renseigner les bons paramètres.



Sinon d’autres pistes ?

merci…

8

quand ton SSO vers la WI ne fonctionnait pas, tu n’avais pas à te logger de nouveau dans la session ICA correct ?



il faut noter que quand tu veux utiliser le SSO vers la WI ET le client 10.x ou supérieur, il faut suivre http://support.citrix.com/article/CTX113004 :

“Note: If you use the Web Interface Desktop Credential Pass-through feature, you must manually add the EnableSSONThruICAFile=On parameter to the appsrv.ini file located in the user profile.”

9

Et bien non c’est cela qui est un peu ouf !



Je desactive le pass-through sur le site WI et n’ai plus que Explicit.



Je relance la session IE sur le poste client, j’ai bien à renseigner un compte un mot de passe et un domaine. Je récupère bien les applications XenApp autorisées, lorsque j’initie la session ICA, je n’ai pas de GINA sur le W2K3 XenApp



Le appsrv.ini du compte à bien :

EnableSSOnThruICAFile=Yes

SSOnUserSetting=Yes



Je me demande si la chaine SSO est possible de bout en bout ?

10

Oui c’est possible d’avoir le SSO de bout en bout à condition de bien suivre http://support.citrix.com/article/CTX113004 une fois que ton SSO vers la WI (le desktop credential passthrough) fonctionne