Überblick über Aufgaben zur Einrichtung von TLS-Zertifikaten

Um TLS-Serverzertifikate für Omnissa Horizon 8-Server einzurichten, müssen Sie mehrere allgemeine Aufgaben durchführen.

In einem Pod mit replizierten Omnissa Horizon Connection Server-Instanzen müssen Sie diese Aufgaben auf allen Instanzen im Pod ausführen.

Die Verfahren für die Durchführung dieser Aufgaben werden in den Themen nach dieser Übersicht beschrieben.

1. Ermitteln Sie, ob Sie ein neues signiertes TLS-Zertifikat von einer Zertifizierungsstelle beziehen müssen.

   Wenn Ihre Organisation bereits über ein gültiges TLS-Serverzertifikat verfügt, können Sie das im Lieferumfang von Horizon Connection Server enthaltene TLS-Standardserverzertifikat durch das vorhandene Zertifikat ersetzen. Zur Verwendung eines vorhandenen Zertifikats benötigen Sie auch den zugehörigen privaten Schlüssel.

   Ausgangssituation	Aktion
   Ihre Organisation hat Ihnen ein gültiges TLS-Serverzertifikat zur Verfügung gestellt.	Fahren Sie direkt mit Schritt 2 fort.
   Sie verfügen über kein TLS-Serverzertifikat.	Beziehen Sie ein signiertes TLS-Serverzertifikat von einer Zertifizierungsstelle.

2. Importieren Sie das TLS-Zertifikat in den Zertifikatspeicher des lokalen Windows-Computers auf dem Horizon 8-Serverhost.

3. Ändern Sie den Anzeigenamen des Zertifikats für Horizon Connection Server-Instanzen in vdm.

   Weisen Sie pro Horizon 8-Serverhost nur einem Zertifikat den Anzeigenamen vdm zu.

   HINWEIS: EKU – Nur Serverauthentifizierung
   Das Zertifikat der Maschinenidentität (Anzeigename „vdm“) darf keine EKU für die Clientauthentifizierung enthalten. Wenn nach dem 15. März 2026 ein Serverzertifikat mit einer EKU für die Clientauthentifizierung generiert und als Zertifikat der Maschinenidentität installiert wird, stufen Webbrowser und Horizon Web Clients, die sich direkt mit dem Verbindungsserver verbinden, dieses Zertifikat als nicht vertrauenswürdig ein. Benutzer müssen dann eine Sicherheitswarnung bestätigen.

4. Auf Horizon Connection Server-Computern: Wenn der Windows Server-Host das Stammzertifikat nicht als vertrauenswürdig einstuft, importieren Sie das Stammzertifikat in den Zertifikatspeicher des lokalen Windows-Computers.

   Wenn die Horizon Connection Server-Instanzen den Stammzertifikaten der TLS-Serverzertifikate nicht vertrauen, die für vCenter Server-Hosts konfiguriert sind, müssen Sie auch diese Stammzertifikate importieren. Führen Sie diese Schritte nur für Horizon Connection Server-Instanzen aus. Sie müssen das Stammzertifikat nicht auf Hosts von vCenter Server importieren.

5. Wenn Ihr Serverzertifikat von einer Zwischenzertifizierungsstelle signiert wurde, importieren Sie die Zwischenzertifikate in den Zertifikatspeicher des lokalen Windows-Computers.

   Um die Clientkonfiguration zu vereinfachen, importieren Sie die gesamte Zertifikatkette in den Zertifikatspeicher des lokalen Windows-Computers. Wenn auf dem Horizon 8-Server Zwischenzertifikate fehlen, müssen sie für Clients und Computer konfiguriert werden, auf denen Omnissa Horizon Console gestartet wird.

6. Wenn Ihre Zertifizierungsstelle nicht bekannt ist, konfigurieren Sie Clients so, dass sie dem Stammzertifikat und den Zwischenzertifikaten vertrauen.

   Stellen Sie außerdem sicher, dass die Computer, auf denen Sie Horizon Console starten, dem Stammzertifikat und den Zwischenzertifikaten vertrauen.

7. Ermitteln Sie, ob Sie die Zertifikatsperrüberprüfung neu konfigurieren müssen.

   Horizon Connection Server führt Zertifikatssperrüberprüfungen für Horizon 8-Server und vCenter Server durch. Die meisten von einer Zertifizierungsstelle signierten Zertifikate enthalten Informationen zur Zertifikatsperrung. Wenn Ihre Zertifizierungsstelle diese Informationen nicht einschließt, können Sie den Server so konfigurieren, dass er Zertifikate nicht auf Sperrung überprüft.

   Wenn ein SAML-Authentifikator zur Verwendung mit einer Horizon Connection Server-Instanz konfiguriert ist, führt Horizon Connection Server auch die Zertifikatsperrüberprüfung für das SAML-Serverzertifikat durch.