Hinweis: Diese Version des Themas gilt für Horizon 8-Sicherheitsversionen 2111.2 und 2306 und höher.
In diesem Thema werden sicherheitsbezogene Einstellungen in LDAP beschrieben, die nicht mithilfe von APIs, der Verwaltungskonsole oder bereitgestellten Befehlszeilentools geändert werden können. Sicherheitsbezogene Einstellungen werden in Horizon LDAP unter dem Objektpfad cn=common,ou=global,ou=properties,dc=vdi,dc=horizon,dc=internal bereitgestellt. Wenn Sie über vollständige Administratorrechte verfügen, können Sie einen LDAP-Editor wie das Dienstprogramm ADSI-Editor verwenden, um den Wert dieser Einstellungen auf einer Verbindungs-Broker-Instanz zu ändern. Die Änderung wird automatisch an alle anderen Verbindungs-Broker-Instanzen in einem Cluster weitergegeben.
| Attribut | Beschreibung |
|---|---|
pae-AgentLogCollectionDisabled | Diese Einstellung kann verwendet werden, um zu verhindern, dass DCT-Archive von Horizon Agents mithilfe von APIs oder der Verwaltungskonsole heruntergeladen werden. Die Protokollerfassung ist weiterhin über Verbindungsserver in Horizon 8-Umgebungen möglich. Setzen Sie diese Option auf 1, um die Agent-Protokollerfassung zu deaktivieren. |
pae-DisallowEnhancedSecurityMode |
Hinweis:In Versionen vor 2512 ist diese Einstellung nur im FIPS-Modus möglich.
Diese Einstellung kann zur Vermeidung der erweiterten Nachrichtensicherheit verwendet werden. Sobald dieses Attribut auf 1 gesetzt ist, beginnt die Horizon 8-Umgebung automatisch mit dem Übergang zum Modus „Aktivierte Nachrichtensicherheit“. Wenn Sie dieses Attribut auf 0 zurücksetzen oder entfernen, kann erweiterte Nachrichtensicherheit erneut ausgewählt werden, aber es wird keine automatische Wiederherstellung ausgelöst. Hinweis:Diese Einstellung gilt als Voraussetzung für die Deaktivierung der automatischen Zertifikatsverwaltung. Siehe pae-NoManagedCertificate.
|
pae-enableDbSSL | Wenn Sie eine Ereignisdatenbank konfigurieren, wird die Verbindung standardmäßig nicht durch TLS geschützt. Legen Sie dieses Attribut auf 1 fest, um TLS für die Verbindung zu aktivieren. |
pae-managedCertificateAdvanceRollOver | Bei automatisch verwalteten Zertifikaten kann dieses Attribut gesetzt werden, um die Erneuerung von Zertifikaten vor deren Ablauf zu erzwingen. Geben Sie die Anzahl der Tage vor dem Ablaufdatum an, in denen dies geschehen soll. Der maximale Zeitraum beträgt 90 Tage. Wird nichts angegeben, ist der Standardwert 0 Tage, sodass die Erneuerung bei Ablauf der Gültigkeit erfolgt. |
pae-MsgSecOptions |
Dies ist ein mehrwertiges Attribut, bei dem jeder Wert selbst ein Name-Wert-Paar ist (z. B. course=fish).
Warnung: Achten Sie beim Hinzufügen oder Ändern eines Name-Wert-Paars darauf, keine anderen Werte zu entfernen. Derzeit ist das einzige Name-Wert-Paar, das gesetzt werden kann, keysize. Hiermit wird die Länge des DSA-Nachrichtensignaturschlüssels angegeben. Wenn nichts angegeben wird, ist der Standardwert 512 Bit.
|
pae-NoManagedCertificate |
Diese Einstellung kann zum Deaktivieren der automatischen Zertifikatsverwaltung verwendet werden. Wenn der Wert auf 0 gesetzt ist oder nicht festgelegt wurde, müssen sie nicht von einer Zertifizierungsstelle signiert sein.* Wenn diese Einstellung auf 1 festgelegt ist, müssen alle Zertifikate von einer Zertifizierungsstelle signiert sein und vom Administrator verwaltet werden. Zertifikate werden nicht mehr automatisch erneuert, und selbstsignierte Zertifikate in den Zertifikatspeichern werden ignoriert.
* Im FIPS-Modus muss das Zertifikat der Maschinenidentität („vdm“) unabhängig von dieser Einstellung von einer Zertifizierungsstelle signiert sein. Diese Einstellung ist nicht kompatibel mit der erweiterten Nachrichtensicherheit. Bevor Sie auf 1 festlegen, müssen Sie die Nachrichtensicherheit auf Aktiviert setzen. In einer CPA-Konfiguration wird für die Kommunikation zwischen den Pods das Zertifikat der Clusteridentität („vdm.ec“) verwendet. Alle Verbindungsserver im Verbund sollten dem Aussteller des Zertifikats der Clusteridentität für alle anderen Pods vertrauen. |
pae-SSLCertificateSignatureAlgorithm |
Damit wird der Zertifikatsignaturalgorithmus angegeben, der für automatisch verwaltete Zertifikate verwendet werden soll. Wird er nicht angegeben, ist er standardmäßig rsa_pkcs1_sha384.
Weitere Beispiele finden Sie unter Standardmäßige globale Richtlinien für Sicherheitsprotokolle und Verschlüsselungs-Suites. |
pae-CertAuthMappingControl |
Gibt an, ob Smartcards unterstützt werden. Der Wert 0 oder kein Wert bedeutet, dass keine Smartcard-Unterstützung vorhanden ist. Weiter mögliche Werte sind:
|
pae-CertAuthMapping |
Der Standardwert ist <nicht festgelegt> und verwendet eine Zeichenfolge für die Zertifikatzuordnung von altSecurityIdentities, wie z. B.: "x509:<I>%issuer_dn%<S>%subject_dn%<SKI>%subject_key_id%", X509:<I>%issuer_dn%<SR>%serial%
Die zertifikatsbasierte Authentifizierung erfolgt auf Basis aller angegebenen Zeichenfolgen. Die Zuordnung sollte auf Basis der unterstützten Zertifikateigenschaften bereitgestellt werden, wie z. B. Aussteller, public_key, subject_alternative_name, bereitgestellt in CertAuthMappingNames. |
pae-HelpdeskAppPrivacy
(Horizon 2506 und höher) | Blendet den Anwendungsnamen auf der Helpdesk-Benutzeroberfläche aus, sodass er dem Helpdesk-Administrator nicht angezeigt wird. Mögliche Werte sind:
|
pae-ClientDomainsOrdering
(Horizon 2506 und höher) | Definiert die vollständige oder teilweise Reihenfolge der Domänenliste, die an Clients gesendet wird, wenn „Domänenliste senden“ aktiviert ist, um Bildläufe zu minimieren und eine konsistente Benutzererfahrung sicherzustellen. Wenn diese Einstellung nicht definiert ist, werden Domänen lexikografisch sortiert. |
War diese Seite hilfreich?