Hinweis: Dieser Abschnitt gilt für Horizon 8 2312 und höher.
Wenn sich Horizon-Administratoren beim Verbindungsserver entweder über die REST API, die View API oder die Horizon Console anmelden, richten sich die Authentifizierungs- und Autorisierungsschritte nach den angegebenen Anmeldedaten.
Wenn ein Benutzeridentitätszertifikat als Anmeldedaten angegeben wird, gleicht Windows das Zertifikat mit einem Benutzerkonto ab. Weitere Informationen finden Sie unter Konfigurieren von Zertifikatszuordnungen für die zertifikatsbasierte Authentifizierung. Der Abgleich schlägt fehl, wenn die Identität unbekannt ist. Die Authentifizierung schlägt fehl, wenn das Zertifikat ungültig ist oder widerrufen wurde oder wenn die Handshake-Signatur nicht anhand des Zertifikats überprüft werden kann. Horizon überprüft dann mit Windows, ob das abgeglichene Konto aktiviert ist und keine Anmeldebeschränkungen wie die falsche Tageszeit vorliegen (wenn die Funktion für Anmeldezeiten für das Konto in Active Directory konfiguriert ist).
Wenn der Administrator Benutzername und Kennwort als Anmeldedaten eingibt, wird eine temporäre Anmeldung vom Typ 8 bei Windows durchgeführt. Mit diesem Anmeldetyp wird verhindert, dass ein Windows-Benutzerprofil für den Administrator erstellt wird, was sowohl Zeit als auch Speicherplatz beanspruchen würde. Beim Anmeldevorgang wird überprüft, ob der Kontoname in Windows bekannt und aktiviert ist, ob das Kennwort aktuell und nicht gesperrt ist und ob Anmeldebeschränkungen vorliegen. Verläuft der Vorgang erfolgreich, wird der Administrator erneut von Windows abgemeldet.
Im Anschluss an die Windows-Authentifizierung und -Autorisierung erfolgt eine weitere Autorisierung, um sicherzustellen, dass das Konto über die entsprechenden Horizon-Berechtigungen verfügt und sich über die gewählten Methoden und mit den korrekten Anforderungs-Flags beim Verbindungsserver anmelden kann. Weitere Informationen zur Berechtigung Smartcard für API umgehen finden Sie unter Globale Berechtigungen. Wenn alle Prüfungen erfolgreich verlaufen, werden bis zu drei Token generiert:
| REST API-Sitzungstoken | Ermöglicht dem Administrator, die REST API weiterhin zu verwenden |
| View API-Sitzungstoken | Ermöglicht dem Administrator, die View API weiterhin zu verwenden |
| Token für Windows-Identitätswechsel | Ermöglicht dem Administrator Zugriff auf andere Windows-Computer zum Installieren oder Aktualisieren der Verbindungsserver-Software |
Hinweis: Welche dieser Token generiert werden, hängt von den Horizon-Rechten des Administrators sowie davon ab, wie er sich angemeldet hat. Es wird empfohlen, dass Administratoren anstelle von Benutzername und Kennwort ein Benutzeridentitätszertifikat vorlegen, das entweder automatisch für ihr Windows-Konto registriert oder auf einer Smartcard installiert ist. Beim Aufrufen von Lebenszyklusverwaltungsfunktionen, wie z. B. der Verbindungsserver-Installation, ist es jedoch erforderlich, sich mit einem Windows-Domänenkonto unter Verwendung eines Benutzernamens und Kennworts anzumelden.
Alle generierten Token verlieren ihre Gültigkeit, wenn sich der Administrator abmeldet oder eine Sitzungszeitüberschreitung auftritt. Die Sitzungszeitüberschreitung für die REST API und View API wird für den gesamten Verbindungsserver-Cluster unter Sicherheitseinstellungen konfiguriert. Weitere Informationen finden Sie unter Sicherheitsbezogene globale Einstellungen für Horizon Console. Die Zeitüberschreitung für die Horizon Console-Sitzung wird pro Benutzer unter Meine Einstellungen festgelegt. Weitere Informationen finden Sie unter Globale Einstellungen für Client- und Konsolensitzungen.
War diese Seite hilfreich?