Bei der Konfiguration von TLS-Zertifikaten für Horizon 8-Server und verknüpfte Komponenten müssen bestimmte Richtlinien befolgt werden.
Omnissa Horizon Connection Server
TLS ist für Clientverbindungen mit einem Server erforderlich. Für clientseitige Horizon Connection Server-Instanzen und Zwischenserver, die TLS-Verbindungen verarbeiten, sind TLS-Server-Zertifikate erforderlich.
Bei der Installation von Horizon Connection Server wird standardmäßig ein selbstsigniertes Zertifikat für den Server generiert. In den folgenden Fällen wird bei der Installation jedoch ein vorhandenes Zertifikat verwendet:
- Wenn im Windows-Zertifikatspeicher bereits ein gültiges Zertifikat mit dem Anzeigenamen
vdmvorhanden ist - Wenn Sie ein Upgrade auf Horizon 8 von einer früheren Version durchführen und auf dem Windows Server-Computer eine gültige KeyStore-Datei konfiguriert ist, werden die Schlüssel und Zertifikate bei der Installation extrahiert und in den Windows-Zertifikatspeicher importiert.
vCenter Server
Stellen Sie vor dem Hinzufügen von vCenter Server zu Horizon 8 in einer Produktionsumgebung sicher, dass die von vCenter Server verwendeten Zertifikate von einer Zertifizierungsstelle signiert wurden.
Informationen zum Ersetzen des Standardzertifikats für vCenter Server finden Sie unter „Zertifikatsersetzung bei großen Bereitstellungen“ im Dokument vSphere-Authentifizierung auf der VMware vSphere-Dokumentations-Site.
PCoIP Secure Gateway
Um Industrie- oder Gesetzessicherheitsvorschriften zu entsprechen, können Sie das Standard-TLS-Zertifikat ersetzen, das vom PCoIP Secure Gateway (PSG) Service mit einem von einer Zertifizierungsstelle signierten Zertifikat generiert wird. Die Konfiguration des PSG-Service für die Nutzung eines CA-signierten Zertifikats wird dringend empfohlen, und dies besonders für Inbetriebnahmen, bei denen Sie Sicherheitsscanner verwenden müssen, um die Compliance-Tests zu bestehen. Weitere Informationen finden Sie unter Konfigurieren des PCoIP Secure Gateway zur Nutzung eines Neuen TLS-Zertifikats.
Blast Secure Gateway
Standardmäßig verwendet das Blast Secure Gateway (BSG) das TLS-Zertifikat, das für die Horizon Connection Server-Instanz konfiguriert ist, auf dem das BSG ausgeführt wird. Wenn Sie das standardmäßige, selbstsignierte Zertifikat für einen Server durch ein von einer Zertifizierungsstelle signiertes Zertifikat ersetzen, verwendet das BSG auch das von der Zertifizierungsstelle signierte Zertifikat.
Registrierungsserver
(Horizon 8 2209 und höher) TLS ist für Verbindungen zwischen einem Registrierungsserver und Horizon Connection Server erforderlich. Standardmäßig generiert der Registrierungsserver ein selbstsigniertes Zertifikat für den Server. Die Installation verwendet jedoch ein vorhandenes Zertifikat, wenn bereits ein gültiges Zertifikat mit dem Anzeigenamen vdm.es im Windows-Zertifikatspeicher vorhanden ist.
Datenbankserver
(Horizon 8 2209 und höher) Um TLS für die Kommunikation mit einem Datenbankserver zu aktivieren, der als Host für die Ereignisdatenbank dient, stellen Sie sicher, dass der Datenbankserver ein von einer Zertifizierungsstelle signiertes Zertifikat verwendet. Informationen zum Einrichten des TLS-Zertifikats auf den Datenbankservern finden Sie in der Dokumentation des entsprechenden Datenbankanbieters.
SAML 2.0-Authentifikator
Omnissa Access verwendet SAML 2.0-Authentifikatoren für webbasierte Authentifizierung und Autorisierung innerhalb von Sicherheitsdomänen. Wenn Horizon 8 die Authentifizierung an Omnissa Access delegieren soll, können Sie Horizon 8 so konfigurieren, dass über SAML 2.0 authentifizierte Sitzungen von Omnissa Access akzeptiert werden. Wenn Omnissa Access für die Unterstützung von Horizon 8 konfiguriert ist, können Omnissa Access-Benutzer eine Verbindung mit Remote-Desktops herstellen, indem sie im Horizon-Benutzerportal Desktopsymbole auswählen.
In Omnissa Horizon Console können SAML 2.0-Authentifikatoren für die Verwendung mit Horizon Connection Server-Instanzen konfiguriert werden.
Stellen Sie vor dem Hinzufügen eines SAML 2.0-Authentifikators in Horizon Console sicher, dass der SAML 2.0-Authentifikator ein von einer Zertifizierungsstelle signiertes Zertifikat verwendet.
Weitere Richtlinien
Allgemeine Informationen zum Anfordern und Verwenden von TLS-Zertifikaten, die von einer Zertifizierungsstelle signiert wurden, finden Sie unter Vorteile der Verwendung von TLS-Zertifikaten, die von einer Zertifizierungsstelle signiert wurden.
Wenn Client-Endpunkte eine Verbindung zu einer Horizon Connection Server-Instanz herstellen, werden ihnen das TLS-Serverzertifikat des Servers und alle Zwischenzertifikate in der Vertrauenskette angezeigt (Zwischenzertifikate befinden sich im Windows-Speicher für Zwischenzertifizierungsstellen von Horizon Connection Server). Um das Serverzertifikat als vertrauenswürdig einzustufen, muss auf den Clientsystemen das Stammzertifikat der signierenden Zertifizierungsstelle installiert sein.
vCenter Server zeigt beim Herstellen einer TLS-Verbindung kein Zwischenzertifikat an. Horizon Connection Server-Instanzen sollten diese Zwischenzertifikate in ihrem Windows-Speicher „Zwischenzertifizierungsstellen“ aufweisen. Weitere Informationen finden Sie im Knowledgebase-Artikel 2108294.
Wenn ein SAML 2.0-Authentifikator für Horizon Connection Server konfiguriert ist, muss auf dem Horizon Connection Server-Computer auch das Stammzertifikat der signierenden Zertifizierungsstelle für das SAML 2.0-Serverzertifikat installiert sein.
War diese Seite hilfreich?