SSO SAML con Parallels RAS y Entra ID: experiencia sobre el terreno

Para empezar, configurar el SSO SAML con Parallels RAS es algo más que un simple intercambio de metadatos entre dos plataformas. La documentación oficial suele quedarse en la superficie y deja fuera precisamente los detalles técnicos que garantizan un despliegue correcto. Además, los administradores se topan a menudo con información dispersa cuando conectan Entra ID a su granja VDI.

Por eso hemos decidido compartir nuestra experiencia real para cubrir ese hueco. No basta con seguir una guía básica: hay que entender cómo interactúan los claims y los atributos. En concreto, el sistema exige una coincidencia exacta entre el UPN de Entra ID y las cuentas del Active Directory local. Nos centraremos, por tanto, en los ajustes que garantizan una experiencia «Full SSO» sin fricciones.

Este artículo aporta las piezas que le faltan a tu configuración. Prestando atención al proceso de inscripción de certificados, evitarás las trampas habituales. Sigue nuestro enfoque paso a paso para simplificar la gestión de identidades y mejorar tu postura de seguridad.

Esta guía trata el modo full SSO: la autenticación SAML se propaga hasta la sesión RDP, sin que los usuarios tengan que volver a introducir sus credenciales de AD. Este modo requiere una PKI (AD CS) y un RAS Enrollment Server operativo.

KB 124815 frente a la realidad en 2026

Antes de entrar en materia, conviene repasar lo que dice el KB oficial y lo que ha cambiado o falta.

Lo que sigue funcionando en el KB 124815: obtener la App Federation Metadata URL (sección 3 de la app de Entra), importar los metadatos en la RAS Console y recuperar las URL del SP, y la referencia al KB 124813 para la configuración de la PKI.

Lo que ya no funciona: el KB indica crear la app mediante «Create your own application» → «Integrate any other application you don’t find in the gallery». Este método crea ahora una aplicación en modo OIDC, no SAML. La página Single sign-on muestra «OIDC-based Sign-on» sin opción de pasar a SAML.

Lo que el KB no menciona en absoluto: el formato de NameID debe ser unspecified, no emailAddress; el claim http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name es necesario para la correspondencia con AD y no aparece en ninguna documentación de Parallels; el campo «Override authentication domain» del tema de RAS es obligatorio; las URL del SP cambian de índice tras cada Apply en RAS; hay que reimportar los metadatos si el certificado de Entra ha cambiado.

Requisitos previos

Infraestructura RAS: Parallels RAS 21.x con al menos un Connection Broker y un Enrollment Server, una AD CS Enterprise CA, las plantillas de certificado PrlsEnrollmentAgent y PrlsSmartcardLogon creadas y publicadas (KB 124813), las cuentas de servicio svc_rasenrollment y svc_rasnla, un Enrollment Server validado (CA Server, EA Credentials y NLA Credentials en verde) y el FQDN público configurado como Published Address del sitio RAS.

Identidad: un tenant de Microsoft Entra ID, derechos de Global Admin o Application Administrator, un sufijo UPN que coincida con el dominio de Entra añadido en el AD local, y cuentas de usuario de AD cuyo UPN coincida exactamente con el nombre de usuario de Entra.

Paso 1: crear la Enterprise Application en Entra

No uses «Create your own application»: Entra crea ahora la app en modo OIDC.

El método correcto: Enterprise Applications → New application y busca «Microsoft Entra SAML Toolkit» en la galería. Selecciona esta plantilla de app, dale un nombre significativo (p. ej., Parallels-RAS) y haz clic en Create. Esta app viene preconfigurada en modo SAML desde el principio.

Paso 2: obtener la URL de metadatos del IdP

En las propiedades de la app → Single sign-on → SAML → sección 3 «SAML Certificates», copia la App Federation Metadata URL:

https://login.microsoftonline.com/<tenantid>/federationmetadata/2007-06/federationmetadata.xml?appid=<appid>

Paso 3: declarar el IdP en la RAS Console

RAS Console → Connection → SAML → Tasks → Add. Dale un nombre al objeto IdP, pega la URL de metadatos en Import published IdP metadata y haz clic en Next y luego en Finish. RAS importa automáticamente el certificado de firma de Entra y los endpoints de SSO y de cierre de sesión.

En la pestaña IdP del objeto creado, marca Allow unencrypted assertion. Entra no envía aserciones cifradas por defecto; sin esta opción, RAS falla con:

Expected 1 EncryptedAssertion; found 0.

Paso 4: obtener las URL del SP y actualizar Entra

Haz doble clic en el objeto IdP → pestaña SP. Comprueba que el campo Host muestra el FQDN público del RAS y no el nombre interno del broker. Copia las cuatro URL en Entra → Basic SAML Configuration → Edit:

Campo en RAS	Campo en Entra
SP Entity ID	Identifier (Entity ID)
Reply URL	Reply URL (Assertion Consumer Service URL)
Logon URL	Sign on URL
Logout URL	Logout URL

Elimina la entrada predeterminada del toolkit en Identifier y marca Default en la nueva.

Ojo: el índice de las URL del SP cambia. RAS vuelve a indexar el objeto IdP en cada Apply. Por ejemplo, idp_-1 puede convertirse en idp_2. Si las URL han cambiado tras un Apply, actualízalas en Entra antes de probar o recibirás:

AADSTS700016: Application with identifier '...idp_2/metadata.xml' was not found in the directory

Paso 5: configurar Attributes & Claims en Entra

Aquí se esconde el punto más importante y peor documentado.

Formato de NameID: hay que cambiarlo

Haz clic en «Unique User Identifier (Name ID)» y cambia el Name identifier format de Email address a Unspecified. Si el formato se queda en emailAddress, RAS no consigue analizar la aserción. En los logs del broker:

Failed to verify the Assertion Signature.
SAML ID: 2 - Parse Post Assert error

El claim name: sin documentar por Parallels

RAS usa el claim http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name para identificar al usuario en el AD local. Este claim debe estar presente en la aserción y contener el UPN del usuario. El Entra SAML Toolkit lo añade por defecto asignado a user.userprincipalname; comprueba que aparece en la lista de Additional claims.

Sin este claim, RAS entra en bucle con Failed to match AD User (0x00000006) aunque el NameID esté perfectamente configurado, y ningún log explica por qué. Este punto no aparece hasta la fecha en ningún KB de Parallels.

Paso 6: reimportar los metadatos del IdP si hace falta

Tras cualquier modificación en la app de Entra, sobre todo si se ha generado un nuevo certificado de firma, puede que el certificado en caché del lado de RAS ya no coincida. Síntoma en los logs del broker:

Failed to verify the Response Signature.

Solución: propiedades del objeto IdP → pestaña IdP → reimportar la URL de metadatos. Así se actualiza el certificado de Entra en RAS.

Paso 7: configurar el tema de RAS

RAS Console → Farm → Site → Themes → propiedades del tema → pestaña Access:

• SAML Single Sign-on IdP: selecciona el objeto IdP creado en el paso 3
• Override authentication domain: márcalo y selecciona el dominio NetBIOS del AD (p. ej., MICROSOFTGROUPS)

Este segundo punto es fundamental. RAS busca al usuario en AD por sAMAccountName, no por el UPN completo. Sin la sustitución de dominio, RAS intenta encontrar [email protected] como sAMAccountName, lo que no coincide con ningún objeto. Con la sustitución de dominio configurada, RAS elimina el sufijo y busca solo thierry.frache.

Paso 8: asignar usuarios en Entra

App de Entra → Users and groups → Add user/group: asigna los usuarios o grupos autorizados. Sin esta asignación, Entra devuelve AADSTS50105 en la autenticación.

Paso 9: revisar las plantillas de la PKI

Si el Enrollment Server devuelve el error 0x8009480b:

Failed to enroll certificate for user [UPN]
One or more signatures did not include the required application or issuance policies.
The request is missing one or more required valid signatures.

la plantilla PrlsSmartcardLogon no está bien configurada. Revisa la pestaña Issuance Requirements: «This number of authorized signatures» = 1, «Policy type required in signature» = Application Policy, «Application policy» = Certificate Request Agent. Consulta el KB 124813 para la configuración completa de la plantilla.

Resumen: trampas que evitar

Error observado	Causa real	Solución
App creada en modo OIDC	«Create your own app» genera OIDC	Usar el SAML Toolkit de la galería
AADSTS700016	URL del SP con el índice antiguo tras un Apply	Actualizar las URL en Entra
Unable to parse SAML Assertion	Formato de NameID = emailAddress	Cambiar a Unspecified
Failed to verify Response Signature	Certificado de Entra obsoleto en la caché de RAS	Reimportar los metadatos del IdP
Failed to match AD User (0x00000006)	Falta el claim name o la sustitución de dominio	Revisar el claim + Override authentication domain
0x8009480b	Plantilla PrlsSmartcardLogon mal configurada	Revisar Issuance Requirements (KB 124813)

El SSO SAML completo entre Parallels RAS y Entra ID está documentado en la superficie, pero los detalles que marcan la diferencia están dispersos o faltan. El punto más crítico —el claim http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name— no aparece hasta la fecha en ningún KB de Parallels.