Um Industrie- oder Gesetzessicherheitsvorschriften zu entsprechen, können Sie das Standard-TLS-Zertifikat ersetzen, das vom PCoIP Secure Gateway (PSG) Service mit einem von einer Zertifizierungsstelle signierten Zertifikat generiert wird.
In Omnissa Horizon 8 erstellt der PSG-Dienst ein selbstsigniertes TLS-Standardzertifikat, wenn der Dienst gestartet wird. Der PSG-Dienst präsentiert das selbst signierte Zertifikat den Clients, die Omnissa Horizon Client 5.2 für Windows oder spätere Versionen ausführen und sich mit dem PSG verbinden.
Das PSG bietet auch ein Standard-Legacy-TLS-Zertifikat, das Clients präsentiert wird, die ältere Clients oder ältere Versionen ausführen und sich mit dem PSG verbinden.
Die Standardzertifikate bieten sichere Verbindungen von Clientendpunkten zum PSG und erfordern keine weitere Konfiguration in Omnissa Horizon Console. Allerdings wird die Konfiguration des PSG-Dienstes für die Nutzung eines CA-signierten Zertifikats dringend empfohlen, und dies besonders für Inbetriebnahmen, bei denen Sie Sicherheitsscanner verwenden müssen, um die Compliance-Tests zu bestehen.
Es ist zwar nicht erforderlich, aber sehr wahrscheinlich, dass Sie für Ihre Server neue, von einer Zertifizierungsstelle signierte TLS-Zertifikate konfigurieren, bevor Sie das Standard-PSG-Zertifikat durch ein von einer Zertifizierungsstelle signiertes Zertifikat ersetzen. Die folgenden Verfahren gehen davon aus, dass Sie für den Server, auf dem das PSG ausgeführt wird, bereits ein von einer Zertifizierungsstelle signiertes Zertifikat in den Windows-Zertifikatspeicher importiert haben.
Hinweis: Wenn Sie einen Sicherheitsscanner für Compliance-Tests verwenden, empfiehlt es sich möglicherweise, zunächst das PSG so einzustellen, dass es dasselbe Zertifikat wie der Server verwendet, und den Horizon 8-Port vor dem PSG-Port zu scannen. Sie können Vertrauens- oder Validierungsprobleme, die während des Scans des View Ports auftreten, lösen, um sicherzustellen, dass diese Probleme Ihren Test des PSG Ports und Zertifikats nicht ungültig machen. Als nächstes können Sie ein einzigartiges Zertifikat für das PSG konfigurieren und einen weiteren Scan durchführen.
Konfigurieren von TLS-Zertifikaten für Horizon 8-Server
Omnissa empfiehlt dringend, TLS-Zertifikate für die Authentifizierung von Omnissa Horizon Connection Server-Instanzen zu konfigurieren.
-
Sicherstellen, dass der Servername dem PSG-Zertifikatsthemennamen entspricht
Wenn eine Horizon Connection Server-Instanz installiert wird, erstellt das Installationsprogramm eine Registrierungseinstellung mit einem Wert, der den FQDN des Computers enthält. Sie müssen sicherstellen, dass dieser Wert dem Servernamensteil der URL entspricht, mit deren Hilfe Sicherheitsscanner den PSG-Port erreichen. Der Servername muss auch dem Themennamen oder einem alternativen Themennamen (SAN) des TLS-Zertifikats entsprechen, das Sie für das PSG verwenden wollen. -
Konfigurieren eines PSG-Zertifikats im Windows-Zertifikatsspeicher
Um ein Standard-PSG-Zertifikat mit einem CA-signierten Zertifikat zu ersetzen, müssen Sie das Zertifikat und den privaten Schlüssel im lokalen Windows-Zertifikatspeicher auf dem Horizon Connection Server-Computer, auf dem PSG ausgeführt wird, konfigurieren. -
Festlegen des Anzeigenamens des PSG-Zertifikats in der Windows-Registrierung
Das PSG erkennt das zu verwendende TLS-Zertifikat anhand des Servernamens und Anzeigenamens des Zertifikats. Sie müssen den Wert für den Anzeigenamen in der Windows-Registrierung auf dem Horizon Connection Server-Computer einrichten, auf dem das PSG ausgeführt wird. -
Erzwingen, dass ein CA-signiertes Zertifikat für die Verbindungen mit dem PSG benutzt wird
Sie können sicherstellen, dass alle Clientverbindungen mit dem PSG das von der Zertifizierungsstelle signierte Zertifikat für das PSG anstelle des Standard-Legacy-Zertifikats verwenden. Dieses Verfahren ist nicht erforderlich, um ein CA-Zertifikat für das PSG zu konfigurieren. Führen Sie diese Schritte nur dann aus, wenn es sinnvoll ist, die Verwendung eines von der Zertifizierungsstelle signierten Zertifikats in Ihrer Horizon-Bereitstellung zu erzwingen.
War diese Seite hilfreich?