Portal web con SSO (beta)

Requisitos y limitaciones clave

Portal Web 2026 con SSO está diseñado para el Creativo tema y utiliza todas las personalizaciones de AdminTool > Web > Personalización del Portal Web. Si el tema seleccionado no es Creativo , el Portal Web no se muestra.

Cuando está habilitado en una granja, todos los servidores deben ejecutar el mismo versión de Remote Access y estar habilitado para Portal Web 2026 con SSO

Esta función es Beta y debería no ser implementado en servidores de producción.

¿Por qué un nuevo portal web?

Comparado con el Portal Web anterior, esta implementación ofrece mayor fiabilidad y mejor rendimiento bajo carga. Además, permite:

• Capacidades avanzadas de SSO

  • Autenticación integrada de Windows (Negociar / Kerberos / NTLM)
  • Integración de proveedor de identidad de terceros (actualmente SAML)

• Controles de seguridad más fuertes

  • Protecciones antifalsificación integradas
  • Limitación de tasa de endpoint
  • Autenticación moderna y controles de cookies/sesiones

Su arquitectura nos permitirá abordar fácilmente cualquier comentario de auditoría de seguridad potencial.

También es un producto más accesible a través de recomendaciones y un mejor contraste.

Flexibilidad del servidor web (Kestrel por defecto)

La aplicación no está vinculada a un único servidor web front-end. Por defecto, se ejecuta en Kestrel Puerto HTTP 81. Puede ser precedido por IIS o Apache como un proxy inverso al cambiar la configuración del servidor web.

Ejemplo: proxy inverso de Apache al servicio del Portal Web

# Apache VirtualHost example
ProxyPreserveHost On
ProxyPass        /  http://127.0.0.1:81/
ProxyPassReverse /  http://127.0.0.1:81/

RequestHeader set X-Forwarded-Proto "https"
RequestHeader set X-Forwarded-For "%{REMOTE_ADDR}s"

Esto mantiene la lógica del Portal Web sin cambios mientras Apache maneja la exposición pública de HTTP/HTTPS.

Por favor, contacte al equipo de desarrollo si está interesado, ya que este escenario aún no es accesible desde el programa AdminTool y debe configurarse manualmente.

Habilitar Portal Web 2026 con SSO

1. Abrir AdminTool
2. Ir a: Web > Servidor web
3. Habilitar: Portal web 2026 con SSO

Importante esta opción es Beta. Úselo solo en entornos de prueba.

Modos de inicio de sesión compatibles

Portal Web 2026 con SSO soporta:

• Formulario de inicio de sesión tradicional utilizando credenciales de Windows
• Credenciales web. Ver: https://docs.tsplus.net/tsplus/web-credentials/
• Autenticación integrada de Windows (automática en escenarios de confianza / locales)
• Proveedor de identidad externo a través de SAML como Entra ID (anteriormente Azure AD) o Okta

Nota: Soporte para autenticación externa a través de OIDC planificado más tarde, a pedido

comportamiento de 2FA

2FA se aplica a los flujos de cuentas estándar, incluyendo:

• Formulario de inicio de sesión utilizando credenciales de Windows
• Credenciales web
• Autenticación integrada de Windows

Los proveedores de autenticación externa a menudo imponen su propio MFA / 2FA. Por lo tanto, la configuración de 2FA establecida en el complemento de 2FA de Remote Access no se aplica a este escenario.

El bypass de red local está disponible a través de CustomSettings:Bypass de 2FA para red local parámetro ubicado en el archivo: C:\Program Files (x86)\TSplus\Clients\webportal\appsettings.json , donde C:\Program Files (x86)\TSplus es la carpeta de configuración de TSplus Remote Access. Cuando está habilitado, el bypass ocurre solo si el cliente y la puerta de enlace están en la misma subred privada.

Configurar el flujo de autenticación de Windows

Para los usuarios que inician sesión con autenticación de Windows, se requiere uno de los siguientes:

1. Pre-registre credenciales con el comando TSplus: AdminTool.exe /windowscredential-agregar o actualizar . Consulte la documentación en https://docs.tsplus.net/tsplus/commands-list/#agregar-o-actualizar-credenciales-en-el-gestor-de-credenciales-de-windows-windowscredential-addorupdate
2. O deje que el usuario inicie sesión una vez a través del formulario de inicio de sesión del Portal Web con credenciales de Windows.

Para configurar la autenticación integrada de Windows, consulte: Habilitar la autenticación integrada de Windows en un dominio de Active Directory. Dado que este modo de autenticación es arduo de configurar, los clientes a menudo prefieren establecer un proveedor de identidad externo.

Configurar la autenticación externa (SAML)

Configuraciones requeridas en appsettings.json

El archivo appsettings.json se encuentra en C:\Program Files (x86)\TSplus\Clients\webportal , donde C:\Program Files (x86)\TSplus es la carpeta de configuración de TSplus Remote Access.

Edita el Saml2 sección:

• IdPMetadata
• Emisor
• Destino de inicio de sesión único opcional si los metadatos lo proporcionan
• Destino de cierre de sesión único opcional si los metadatos lo proporcionan
• Campos relacionados con el certificado

Disponibilidad de contraseña de Windows para el lanzamiento de sesión

Para la autenticación SAML externa, el lanzamiento de sesiones aún requiere credenciales de Windows utilizables. Utilice uno de:

1. Registrar credenciales de Windows con el comando: AdminTool.exe /windowscredential-agregar o actualizar . Consulte la documentación en https://docs.tsplus.net/tsplus/commands-list/#agregar-o-actualizar-credenciales-en-el-gestor-de-credenciales-de-windows-windowscredential-addorupdate
2. O reenvíe la contraseña de la reclamación de IdP configurando CustomSettings:UseSamlPasswordClaim al tipo de reclamación que contiene la contraseña de Windows.

Si no hay contraseña disponible en la reclamación o en el almacén de credenciales, la validación del usuario falla.

Referencia completa del archivo de configuración appsettings.json

El archivo appsettings.json se encuentra en C:\Program Files (x86)\TSplus\Clients\webportal , donde C:\Program Files (x86)\TSplus es la carpeta de configuración de TSplus Remote Access.

Registro

Configuración global del host

Limitación de tasa de IP

IpRateLimiting:ReglasGenerales

Cada objeto de regla tiene:

Puntos finales protegidos por defecto:

• POST:/Cuenta/Iniciar sesión
• POST:/Cuenta/RestablecerContraseña
• POST:/Lanzar
• POST:/RemoteApp
• POST:/2FA/Validate
• POST:/2FA/ReenviarCódigo
• POST:/2FA/Estado

Saml2

ConfiguracionesPersonalizadas

En appsettings.json , estos valores se almacenan como cadenas ( true / falso ) y mapeado a booleanos mediante la configuración de enlace de .NET.