Horizon Cloud on Microsoft Azure – Verwenden von Active Directory-Umgebungen, die für LDAPS (LDAP über SSL) konfiguriert sind

Auf dieser Seite wird die Unterstützung des Diensts für die Verwendung einer für LDAPS konfigurierten Active Directory-Umgebung mit Ihrem Cloud-Plane-Mandanten beschrieben.

Ab Dienstversion 2201 unterstützt der Dienst die Verwendung von Active Directory (AD)-Domänenumgebungen, die für die Verwendung von LDAPS konfiguriert sind. Um diese Funktion nutzen zu können, muss Ihr Mandant explizit dafür aktiviert sein und die Pods in der Pod-Flotte müssen ausschließlich aus Horizon Cloud-Pods bestehen, auf denen die Manifestebene der Version v2201 ausgeführt wird. Um die Aktivierung dieser Funktion anzufordern, können Sie eine Support-Anfrage einreichen, wie im KB-Artikel 2006985 beschrieben.

Kurze Einführung in diese Funktion

Als VDI-Dienst erfordert der Dienst die Möglichkeit, Suchvorgänge in Ihrer AD-Domäne mithilfe eines Domänendienstkontos durchzuführen. Wenn Ihre AD-Umgebung für LDAPS konfiguriert ist, benötigt der Dienst die Stamm-CA-Zertifikate des Domänencontrollers und optional die Zwischen-CA-Zertifikate. Sie verwenden die Horizon Universal Console, um die Zertifikate zu erfassen und im System zu speichern.

Der Dienst bietet zwei Methoden zur Bereitstellung Ihrer vertrauenswürdigen CA-Zertifikate für das System: automatische Erkennung und manueller Upload. Diese Methoden werden auf dieser Seite näher beschrieben.

Wichtige Punkte und Anforderungen

Bevor Sie eine LDAPS-konfigurierte AD-Domäne registrieren, sollten Sie diese wichtigen Punkte und Anforderungen beachten.

• Selbstsignierte Zertifikate werden nicht unterstützt.
• Der Dienst erfordert, dass Ihr DNS über SRV-Datensätze für die Domänen verfügt, die für die Verwendung von LDAPS konfiguriert sind. Die Entscheidung, LDAPS für eine Domäne zu verwenden, schreibt implizit die Verwendung von SRV-Datensätzen vor.
• Es wird dringend empfohlen, Ihre AD-Umgebung so zu konfigurieren, dass die Kanalbindung erzwungen wird. Die Erzwingung der Kanalbindung ist ein wesentlicher Bestandteil der ordnungsgemäßen Absicherung von LDAPS, insbesondere zur Vermeidung von MITM-Angriffen (Man-in-the-Middle).
• Wenn Sie im Domänenregistrierungs-Workflow des Diensts bevorzugte Domänencontroller für den Dienst angeben möchten, müssen diese mit ihren vollqualifizierten DNS-Hostnamen angegeben werden. Wenn Sie diese bevorzugten Domänencontroller in die Horizon Universal Console eingeben, verhindert die Konsole die Eingabe von IP-Adressen. Es empfiehlt sich, mindestens zwei (2) bevorzugte DCs anzugeben.
• Wenn Sie im Assistenten für Domänendienste der Konsole keine bevorzugten DCs angeben, müssen die DCs, die der Dienst mithilfe von DNS erkennt, für jeden Pod erreichbar sein.
• Ihre Firewallkonfiguration muss ausgehende Verbindungen von jedem Pod zu Ihren Domänencontrollern mit den folgenden Ports und Protokollen zulassen:
  • Port 88/TCP – Kerberos-Authentifizierung
  • Ports 636/TCP und 3269/TCP – LDAPS-Kommunikation
• Sie müssen einen HTTP-Widerruf-Endpoint für alle Zertifikate in der Vertrauenskette außer dem Stammzertifikat definiert haben, und dieser Endpoint muss für die Pods über HTTPerreichbar sein. Diese Anforderung umfasst die folgenden Punkte:
  • LDAP darf nicht für Widerruf-Endpoints verwendet werden.
  • Der Dienst führt Widerrufsprüfungen anhand der OCSP- oder CRL-URLs HTTP durch, die in Ihren Zertifikaten definiert sind.
  • Der Dienst kann keine Widerrufsprüfung durchführen, wenn ein Zertifikat keinen OCSP- oder CRL-Endpoint für das HTTP-Protokoll definiert. In diesem Fall schlägt die LDAPS-Konnektivität fehl.
  • Jeder Pod muss eine Sichtverbindung zu Ihren Widerruf-Endpoints haben. Ihre Firewalls dürfen ausgehenden Datenverkehr von den bereitgestellten Pods zu Ihrem Widerruf-Endpoint über HTTPnicht blockieren.

Automatische Erkennung – Microsoft-Zertifizierungsstellen

Wenn Sie Microsoft-Zertifizierungsstellen zum Ausstellen von Domänencontrollerzertifikaten verwenden, bietet die Horizon Universal Console einen Mechanismus zur automatischen Erkennung. Dieser Mechanismus findet automatisch alle Stamm- und Zwischenzertifikate aus Ihrer Active Directory-Umgebung und zeigt sie in der Konsole an, damit Sie sie bestätigen und für die Verwendung mit dem System genehmigen können. Sie haben die Wahl, entweder alle automatisch erkannten Zertifikate oder keines zu akzeptieren. Eine teilweise Genehmigung wird nicht unterstützt.

Nach der Genehmigung in der Konsole speichert das System die genehmigten Zertifikate für die nachfolgende Verwendung für alle Domänen aus derselben Gesamtstruktur. Wenn Sie den Prozess der automatischen Erkennung mit einer Domäne durchlaufen und diese Domäne beim Dienst registrieren und dann später eine andere Domäne aus derselben Gesamtstruktur registrieren, müssen Sie die in der Konsole angezeigten automatisch erkannten Zertifikate akzeptieren, obwohl die vorherige Domäne aus derselben Gesamtstruktur bereits registriert ist. Dieser Ablauf bietet eine Möglichkeit, zum Zeitpunkt der Registrierung der neuen Domäne festzustellen, ob in der Zeit zwischen der Registrierung der vorherigen und der nächsten Domäne neue Zertifikate in der Gesamtstruktur erstellt oder neue Zertifikate aus derselben Gesamtstruktur gelöscht wurden.

Die Konsole stellt Ihnen diesen Pfad für die automatische Erkennung an den folgenden Stellen zur Verfügung:

• Im Abschnitt "Domänendienst" des AD-Domänenregistrierungsablaufs, im Schritt "Protokoll". Wenn LDAPS für das Protokoll ausgewählt ist, stehen die Auswahl und die Schaltfläche Automatische Erkennung zur Verfügung, um die Zertifikate automatisch zu erkennen und ihre Verwendung von Ihnen genehmigen zu lassen.
• Auf der Seite "AD-Zertifikate" unter Einstellungen > AD-Zertifikate > Automatisch erkannt. Die Konsole stellt diese Seite zur Verfügung, wenn Ihr Mandant über mindestens eine registrierte AD-Domäne verfügt. Auf der Seite werden die automatisch erkannten Zertifikate angezeigt, damit Sie sehen können, welche Zertifikate autorisiert wurden, und damit Sie den Satz durch Löschen nicht verwendeter Zertifikate bereinigen können.

Manueller Upload – Nicht-Microsoft-Zertifizierungsstellen oder Microsoft-Zertifizierungsstellen

Wenn Sie eine Nicht-Microsoft-Zertifizierungsstelle zum Ausstellen von Domänencontroller-Zertifikaten verwenden oder AADDS einsetzen, das keine Unternehmenszertifizierungsstellen unterstützt, bietet die Horizon Universal Console einen manuellen Upload-Pfad für die Bereitstellung der CA-Zertifikate für das System. In diesem Fall müssen Sie Ihre PEM-codierten Root- und Zwischen-CA-Zertifikate manuell über die Konsole hochladen.

Selbst wenn Ihre Umgebung Microsoft-Zertifizierungsstellen verwendet, können Sie sich für den manuellen Upload entscheiden, wenn Sie möchten.

Wenn Sie Ihre Drittanbieter-CA-Zertifikate, die nicht von Microsoft stammen, mithilfe eines Dienstprogramms wie certutilin Ihrer Active Directory-Domäne veröffentlicht haben, funktioniert die Methode der automatischen Erkennung, um diese CA-Zertifikate zu erkennen.

Die Konsole stellt Ihnen diesen Pfad für den manuellen Upload an den folgenden Stellen zur Verfügung:

• Im Abschnitt "Domänendienst" des AD-Domänenregistrierungsablaufs, im Schritt "Protokoll". Wenn LDAPS für das Protokoll ausgewählt ist, stehen die Option Hochladen und die Schaltfläche zum Hochladen der Zertifikate zur Verfügung.
• Auf der Seite "AD-Zertifikate" > unter Einstellungen > AD-Zertifikate****hochgeladen. Die Konsole stellt diese Seite zur Verfügung, wenn Ihr Mandant über mindestens eine registrierte AD-Domäne verfügt. Verwenden Sie auf dieser Seite die Schaltfläche Hochladen , um jedes Zertifikat hochzuladen.

Widerrufsprüfungen

Der Dienst prüft anhand dessen, was in den Zertifikaten definiert ist: OCSP- oder CRL-URLs http:// . Der Dienst bevorzugt die Überprüfung mittels OCSP. Wenn der Endpoint nicht erreichbar ist, versucht der Dienst, eine Überprüfung mithilfe von CRL durchzuführen.

Geheftete OCSP-Antworten werden unterstützt.

Denken Sie daran: Wie im vorherigen Abschnitt "Wichtige Punkte und Anforderungen" angegeben, muss die Zertifizierungsstelle so konfiguriert sein, dass sie entweder OCSP oder CRLs oder beides mithilfe von HTTPbereitstellt. Die Dienstprüfungen funktionieren nicht, wenn Sie diese Anforderung nicht erfüllen.

Neu ausgestellte CA-Zertifikate – Die Domänenregistrierung muss aktualisiert werden

Wenn Sie ein neues CA-Zertifikat ausstellen, müssen Sie das System so schnell wie möglich aktualisieren, um es auf das neu ausgestellte CA-Zertifikat aufmerksam zu machen. Verwenden Sie eine der folgenden Methoden, um CA-Zertifikate in das System zu übertragen

• Bei Verwendung des manuellen Uploads bei der Domänenregistrierung

  Sobald CA-Zertifikate neu ausgestellt werden, müssen Sie sie auf das System hochladen. Navigieren Sie zu Einstellungen > AD-Zertifikate > Hochgeladen und verwenden Sie die Option Hochladen.

• Wenn die automatische Erkennung bei der Domänenregistrierung verwendet wird

  Bei Verwendung dieser Methode erkennt das System automatisch das Vorhandensein solcher neu ausgestellter CA-Zertifikate. Wenn das System neue CA-Zertifikate erkennt, generiert es eine Benachrichtigung und zeigt sie in der Standardbenachrichtigungsanzeige der Konsole an. Diese Benachrichtigung soll Sie darauf hinweisen, dass neue CA-Zertifikate im System gespeichert werden müssen. Bei Domänengesamtstrukturen wird diese Benachrichtigung für eine Domäne pro Gesamtstruktur und nicht für jede Domäne in der Gesamtstruktur generiert, da die Aktualisierung der Registrierung einer Domäne die Aktion für alle Domänen der Gesamtstruktur erfüllt.

  Um die Domänenregistrierung zu aktualisieren, starten Sie den Assistenten für Domänendienste in der Konsole und wiederholen Sie den Prozess der automatischen Erkennung mit der Schaltfläche Automatische Erkennung im Schritt Protokoll des Assistenten.

Wenn DC-Zertifikate in Kürze ablaufen, sollten Sie so schnell wie möglich Abhilfe schaffen.

Wenn der Dienst feststellt, dass Domänencontroller-Zertifikate (DC) bald ablaufen, wird eine Benachrichtigung erstellt und in der Konsole mit der Standardbenachrichtigungsanzeige der Konsole angezeigt. Die erste Benachrichtigung wird 21 Tage vor dem Ablaufdatum angezeigt.

Wichtig: Es wird empfohlen, dass Administratoren so schnell wie möglich auf diese Benachrichtigungen reagieren.

• Ergreifen Sie Abhilfemaßnahmen, um DC-Zertifikate, die bald ablaufen, neu auszustellen.

• Wenn die Abhilfemaßnahme die Ausstellung eines neuen CA-Zertifikats beinhaltet, muss das neue CA-Zertifikat im System gespeichert werden, bevor diese CA zur Ausstellung eines neuen DC-Zertifikats verwendet wird. Die Anweisungen zum Speichern neuer CA-Zertifikate auf dem System finden Sie im vorherigen Abschnitt.

• Beispiel für die Benachrichtigung über ablaufende Zertifikate

  Der folgende Screenshot veranschaulicht eine dieser Benachrichtigungen. Bei Domänengesamtstrukturen wird diese Benachrichtigung für eine Domäne pro Gesamtstruktur und nicht für jede Domäne in der Gesamtstruktur generiert, da die Aktualisierung einer Domäne die Aktion für alle Domänen der Gesamtstruktur erfüllt. Wenn Sie auf den Hyperlink klicken, gelangen Sie zur Konfiguration dieser Domäne und können von dort aus den Assistenten für Domänendienste starten.

  

Unterstützung für das Wechseln zwischen LDAP und LDAPS

Wenn Ihr Mandant die oben auf dieser Seite beschriebenen Kriterien für diese Funktion erfüllt und eine AD-Domäne mit einem Protokoll registriert hat, können Sie die Konsole verwenden, um die vorhandene Domänendienstkonfiguration zu aktualisieren und zum anderen Protokoll zu wechseln. Wenn Sie z. B. den Domänendienst für die Verwendung des LDAPS-Protokolls konfiguriert haben und zu LDAP wechseln müssen oder umgekehrt, können Sie zu Active Directory > Domänendienst gehen und die Domänendienstinformationen bearbeiten, um das andere Protokoll auszuwählen. Wenn Sie mit der Bearbeitung von Domänendienst beginnen, öffnet die Konsole den Assistenten für Domänendienste. Anschließend schließen Sie den Assistenten ab, geben die erforderlichen Informationen ein und führen durch, um die Änderung von der aktuellen Protokollauswahl zur anderen vorzunehmen.

Löschen von Zertifikaten aus der gespeicherten Sammlung des Diensts

Die Konsole zeigt alle Zertifikate an, die derzeit im Dienst gespeichert sind. Um Ihnen die Möglichkeit zu geben, nicht mehr benötigte Zertifikate aus der Konsolenanzeige zu löschen, bietet die Seite **Einstellungen >**AD-Zertifikate der Konsole eine Löschen-Aktion sowohl auf der Anzeige der automatisch erkannten als auch der hochgeladenen Zertifikate.

Domänendienst-Assistent, wenn Ihr Mandant für die LDAPS-Unterstützung aktiviert ist

Wenn diese Funktion aktiviert ist, sieht der Domänendienstablauf auf dem Bildschirm anders aus als im nicht aktivierten Fall. Wenn diese Funktion aktiviert ist, sind die Schritte wie folgt.

1. Melden Sie sich bei der -Konsole unter https://cloud.horizon.omnissa.coman.

2. Wenn Ihr Mandant noch keine AD-Domänen registriert hat – z. B. wenn Ihr Mandant und Ihr erster Pod ganz neu sind –, starten Sie den Domänendienstablauf von der einzigen Stelle aus, die in dieser Situation zugänglich ist: der Konsole > Erste Schritte > Allgemeine Einrichtung****Active Directory > Konfigurieren.

   Wenn Ihr Mandant bereits eine AD-Domäne registriert hat, sodass die Konsole Ihnen den Zugriff auf das linke Seitenmenü ermöglicht, können Sie die Eingabe der Domänendienstinformationen initiieren, indem Sie die Seite Einstellungen > Active Directory der Konsole aufrufen.

3. Wenn Sie Schritt 2 ausführen, wird der Assistent für Domänendienste angezeigt. Dieser Assistent besteht aus drei Teilen: Domänendienst, Protokoll, Übersicht.

   Der folgende Screenshot veranschaulicht diese Anzeige und die drei Teile, beginnend mit dem Teil Domänendienst.

   

4. Geben Sie in diesem ersten Schritt des Assistenten die angeforderten Informationen an und klicken Sie auf Weiter , um sie zu speichern und mit dem nächsten Schritt fortzufahren. Geben Sie bei der Eingabe jedes Dienstkontonamens den Kontonamen ohne den Domänennamen ein, z. B ouraccountname. den Benutzeranmeldenamen wie z. B. . Informationen dazu, was der Dienst für diese Domänendienstkonten benötigt, finden Sie unter Domänendienstkonto – Erforderliche Eigenschaften.

   Feld	Beschreibung
   NetBIOS-Name:	Das System zeigt ein Textfeld an. Geben Sie den NetBIOS-Namen für die AD-Domäne ein, zu der der Pod eine Sichtverbindung hat. In der Regel enthält dieser Name keinen Punkt. Ein Beispiel dafür, wie Sie den zu verwendenden Wert in Ihrer Active Directory-Domänenumgebung finden, finden Sie unter Abrufen der Informationen zum NETBIOS-Namen und DNS-Domänennamen.
   DNS-Domänenname	Geben Sie den vollqualifizierten DNS-Domänennamen der AD-Domäne ein, die Sie unter NETBIOS-Name angegeben haben.
   Benutzername für den Dienst und Bind-Kennwort	Geben Sie die Anmeldedaten des Domänendienstdienstkontos an, das der Dienst mit der ausgewählten Domäne verwenden soll.
   Hilfsdienstkonto-Nr.	Geben Sie in den Feldern Benutzername für den Dienst und Bind-Kennwort ein Benutzerkonto in der Domäne ein, das als Hilfs-LDAP-Dienstkonto verwendet werden soll, sowie das zugehörige Kennwort .

5. Im Schritt Protokoll wählen Sie das Protokoll aus, geben optional bevorzugte Domänencontroller an, die der Dienst für die Kommunikation mit der AD-Domäne verwenden soll, die Sie im ersten Schritt des Assistenten eingegeben haben, sowie zusätzliche Informationen. Im Kontext einer für LDAPS konfigurierten AD-Umgebung stellen Sie die vertrauenswürdigen CA-Zertifikate in diesem Schritt des Assistenten bereit.

   Die Benutzeroberfläche spiegelt die Auswahl des Protokolls wider. Der folgende Screenshot veranschaulicht die LDAPS-Auswahl und das Optionsfeld Automatische Erkennung .

   

   Diese Felder stehen alle im Kontext der AD-Domäne, die Sie im vorherigen Schritt des Assistenten angegeben haben. Die Benutzeroberfläche ändert sich dynamisch basierend auf Ihrer Auswahl.

   Feld	Beschreibung
   Protokoll	Wählen Sie entweder LDAPS oder LDAP aus.
   Domänencontroller	(Optional) Sie können dieses Textfeld verwenden, um eine kommagetrennte Liste der DCs anzugeben, die der Dienst für den Zugriff auf die im ersten Schritt angegebene AD-Domäne verwenden soll. Wenn dieses Textfeld leer gelassen wird, verwendet der Dienst einen beliebigen Domänencontroller, der für die AD-Domäne verfügbar ist. Wenn LDAPS als Protokoll ausgewählt ist, müssen die DCs mit ihren vollqualifizierten DNS-Hostnamen angegeben werden. Wenn LDAP als Protokoll ausgewählt ist, können entweder IP-Adressen oder vollqualifizierte DNS-Hostnamen verwendet werden.
   Kontext	Benennungskontext für die AD-Domäne. Dieses Textfeld wird basierend auf den Informationen, die im vorherigen Schritt des Assistenten für DNS-Domänenname angegeben wurden, automatisch ausgefüllt.
   Zertifikate	Verfügbar, wenn LDAPS für das Protokoll ausgewählt ist. Wählen Sie aus, wie Sie die CA-Zertifikate für das System bereitstellen möchten. Wie weiter oben auf dieser Seite beschrieben, unterstützt das System diese beiden Methoden: Automatische Erkennung von CA-Zertifikaten. Lesen Sie den Abschnitt Automatische Erkennung – Microsoft-Zertifizierungsstellen weiter oben auf dieser Dokumentationsseite, um festzustellen, ob Ihre AD-Domänenumgebung die Verwendung dieser Methode unterstützt. Laden Sie CA-Zertifikate manuell hoch. Wählen Sie diese Methode, wenn Ihre AD-Domänenumgebung die Verwendung der automatischen Erkennungsmethode nicht unterstützt.

   Nachdem Sie LDAPS für das Protokoll und eines der Optionsfelder unter Zertifikate ausgewählt haben, führen Sie je nach der für die Bereitstellung der Zertifikate ausgewählten Methode einen der folgenden Schritte aus. Folgen Sie in beiden Fällen den Anweisungen auf dem Bildschirm, wenn diese auf der Benutzeroberfläche angezeigt werden.

   • Automatische Erkennung

     Klicken Sie auf Automatische Erkennung. Wie in den vorangegangenen Abschnitten dieser Seite beschrieben, erkennt das System die CA-Zertifikate in der Umgebung, die durch die AD-Domäne und die Domänencontroller-Informationen angegeben wurde, die in die entsprechenden Felder des Assistenten eingegeben wurden. Diese CA-Zertifikate werden in der Benutzeroberfläche angezeigt. Folgen Sie dem Ablauf auf dem Bildschirm. Die Benutzeroberfläche fordert Sie auf, alle erkannten Zertifikate zu akzeptieren. Sie müssen den Satz der erkannten Zertifikate akzeptieren, bevor der Assistent mit dem letzten Schritt fortfahren kann.

   • Hochladen

     Bei dieser Methode müssen Sie Ihre PEM-codierten Root- und Zwischen-CA-Zertifikate manuell hochladen. Klicken Sie auf Hochladen, um die CA-Zertifikatsdateien von Ihrem lokalen System hochzuladen. Die Benutzeroberfläche akzeptiert nur Dateien mit einer PEM-Dateierweiterung.

   Wenn die Schaltfläche Weiter des Assistenten anklickbar ist, klicken Sie darauf, um zum letzten Schritt zu gelangen.

6. Überprüfen Sie im Schritt "Zusammenfassung" die Informationen und klicken Sie auf Fertigstellen.

   Der folgende Screenshot veranschaulicht die Zusammenfassung, wenn die Upload-Methode verwendet wurde, um die Zertifikate im vorherigen Schritt bereitzustellen. In diesem Beispiel wurden acht (8) Zertifikate hochgeladen.

   

Am Ende dieses Ablaufs wird die Domänendienstkonfiguration für die AD-Domäne jetzt im System gespeichert.

Wenn Sie den obigen Ablauf im Rahmen der Registrierung der allerersten AD-Domäne für Ihren brandneuen Horizon Cloud-Mandanten ausgeführt haben, werden Sie von der Benutzeroberfläche anschließend aufgefordert, den Ablauf "Domänenbeitritt" und den Ablauf "Administratoren hinzufügen" abzuschließen. Informationen zu diesen beiden Abläufen finden Sie in den Abschnitten Domänenbeitritt und Hinzufügen einer Superadministratorrolle unter Durchführen der ersten Active Directory-Domänenregistrierung.

AD-Zertifikate

Nachdem Zertifikate im System gespeichert wurden, zeigt die Konsole sie auf der Seite "AD-Zertifikate" an. Sie können diese Seite verwenden, um zu sehen, welche CA-Zertifikate derzeit im System gespeichert sind, und um Zertifikate zu löschen, von denen Sie wissen, dass sie nicht mehr verwendet werden. Nur zur Veranschaulichung zeigt der folgende Screenshot den Fall, in dem ein Administrator Zertifikate auf das System hochgeladen hat.