Bei der Installation generiert Omnissa Horizon Connection Server ein selbstsigniertes Clusteridentitätszertifikat. Dies wird von Verbindungsservern verwendet, um die Clustermitgliedschaft für Zwecke wie die Site-Umleitung und die Integration von Registrierungsservern nachzuweisen. Es wird automatisch aktualisiert (siehe Verifizierung des Zertifikatfingerabdrucks und Automatische Zertifikatgenerierung), oder Sie können das selbstsignierte Zertifikat durch ein von einer Zertifizierungsstelle signiertes Zertifikat ersetzen.
Bei Verwendung von True SSO wird das Clusteridentitätszertifikat zur Sicherung der Kommunikation zwischen dem Horizon Connection Server und dem Registrierungsserver verwendet. Wenn Sie dieses Zertifikat durch ein von einer Zertifizierungsstelle signiertes Zertifikat ersetzen, sollte das neue Zertifikat auf den Registrierungsserver importiert und das Root-CA-Zertifikat zum Speicher der vertrauenswürdigen Stammzertifizierungsstellen auf dem Registrierungsserver hinzugefügt werden. Weitere Informationen finden Sie im Dokument Omnissa Horizon 8-Verwaltung im Abschnitt „Einrichten von True SSO“.
Voraussetzung
Ermitteln Sie Ihre Cluster-GUID, bevor Sie beginnen. Sie finden die Cluster-GUID mithilfe des Befehls vdmadmin -C oder durch Navigieren zu Horizon Connection Server Cluster GUID unter HKEY_LOCAL_MACHINE\SOFTWARE\Omnissa\Horizon\Node Manager.
Vorgehensweise
-
Generieren Sie ein von einer Zertifizierungsstelle signiertes Zertifikat, das die unten aufgeführten Anforderungen erfüllt. Es wird dringend empfohlen, diese Aufgabe von der Admin-Konsole aus durchzuführen. Einzelheiten finden Sie unter Einrichten eines importierten Zertifikats aus Horizon Console.
Hinweis: Das Stammzertifikat, das zum Generieren des Clientzertifikats verwendet wird, sollte dem Speicher vertrauenswürdiger Stammzertifizierungsstellen auf allen Horizon Connection Servern im POD hinzugefügt werden.
-
SAN:dNSName:guid (wobei „guid“ die Cluster-GUID ist)
-
Thema: CN=guid.company.com (wobei „guid“ die Cluster-GUID und company.com ein beliebiger DNS-Domänenname ist).
Beachten Sie, dass dieses Format veraltet ist und nur verwendet werden sollte, wenn kein SubjectAlternateName-Feld (SAN) im Zertifikat enthalten sein kann. Wenn ein dNSName-SAN-Feld wie oben beschrieben enthalten ist, kann „Thema“ auf einen beliebigen Wert festgelegt werden, z. B. auf den Namen des Pods.
-
EKU: Serverauthentifizierung, Client-Authentifizierung
-
Signaturalgorithmus: SHA256 oder besser (für eine Common Criteria-genehmigte Konfiguration verwenden Sie SHA384 oder besser)
-
Anzeigenamen festlegen:
vdm.ec.new -
Der private Schlüssel muss als exportierbar markiert sein.
-
Zertifikat muss zu Zertifikate (Lokaler Computer) > Omnissa Horizon-Zertifikate > Zertifikate hinzugefügt werden.
-
-
Löschen Sie das vorhandene Clusterzertifikat mit dem Anzeigenamen
vdm.ec. -
Starten Sie den Horizon Connection Server neu.
Ergebnisse
Wenn der Horizon Connection Server das neue Zertifikat akzeptiert hat, ändert sich der Anzeigename des Zertifikats von vdm.ec.new in vdm.ec. Wenn das Zertifikat aus irgendeinem Grund nicht akzeptiert wird, wird das alte Zertifikat von LDAP in den Windows-Zertifikatspeicher verschoben. Die anderen Server im Cluster übernehmen dieses Zertifikat aus LDAP.
War diese Seite hilfreich?