Bei Produktionssystemen, die für Einzel-Pod-Brokering konfiguriert sind, ist die Integration von Access mit dem Pod ein wichtiges Anwendungsbeispiel für die Konfiguration eines SSL-Zertifikats auf den Manager-VMs des Horizon Cloud-Pods. Der Access Connector muss SSL-Verbindungen zu den Pod Manager-VMs vertrauen können. So funktioniert die Integration dieser Pods in Access. Für diesen speziellen Anwendungsfall der Integration von mit dem Access Connector benötigt der Pod SSL-Zertifikate, die direkt auf den Manager-VMs des Pods festgelegt werden müssen.
Wenn sich Ihre Pods in einer Einzel-Pod-Brokering-Umgebung befinden, ist ein wichtiger Bestandteil der Integration von Access mit einem Horizon Cloud-Pod in Microsoft Azure die Konfiguration des Access Connectors zum Synchronisieren der Horizon Cloud-Sammlung virtueller Apps, die Sie in Access eingerichtet haben, um die vom Pod bereitgestellten Desktops und Remoteanwendungen zu verwenden. Der Access Connector muss mit den Pod-Manager-VMs kommunizieren, um diese Synchronisierung durchzuführen. Aus diesem Grund muss der Pod ein gültiges SSL-Zertifikat vorlegen, damit der Access Connector ihm vertraut. Weitere Informationen zu dieser Integration finden Sie unter Eine Horizon Cloud-Umgebung mit Einzel-Pod-Brokering – Integrieren der Horizon Cloud-Pods der Umgebung in Microsoft Azure mit Zugriff.
Beziehung zwischen dem IP-Adressfeld des Lastenausgleichsdiensts für den Pod Manager auf der Pod-Detailseite und den SSL-Zertifikatanforderungen von Access Connector
Eine wichtige Information, die Sie benötigen, um ein gültiges vertrauenswürdiges SSL-Zertifikat zu erstellen, das auf den Pod Manager-VMs konfiguriert werden kann, ist die numerische IP-Adresse, die auf der Pod-Detailseite neben der Bezeichnung Pod Manager Load Balancer-IP angezeigt wird. Der folgende Screenshot veranschaulicht, an welcher Stelle die Bezeichnung IP-Adresse des Lastenausgleichsdienstes für den Pod Manager auf der Detailseite des bereitgestellten Pods angezeigt wird.
Das vertrauenswürdige SSL-Zertifikat muss auf dem vollqualifizierten Domänennamen (FQDN) basieren, den Sie auf Ihrem DNS-Server der IP-Adresse zuordnen, die in diesem Feld angezeigt wird. Diese Zuordnung ist erforderlich, damit ein Client eines Endbenutzers, der für die Verwendung dieses FQDN konfiguriert ist, eine vertrauenswürdige Verbindung mit dem Pod herstellen kann.
Womit steht nun diese numerische IP-Adresse in Verbindung? Es handelt sich um eine private IP-Adresse aus dem Mandantensubnetz des Pods, die mit dem Azure-Lastausgleichsdienst für die Pod-Manager-VMs des Pods verknüpft ist.
Lastenausgleichsdienst-IP des Pod-Managers:
Bei allen derzeit unterstützten Pod-Manifesten ist die angezeigte numerische IP-Adresse für die Bezeichnung Lastausgleichsdienst-IP des Pod-Managers die numerische private IP-Adresse für die Azure-Lastausgleichsdienstressource des Pods. Die Pod-Architektur umfasst einen Pod-Azure-Lastausgleichsdienst mit einer privaten IP-Adresse aus dem Mandantensubnetz des Pods. Dieser Pod-Azure-Lastausgleichsdienst ist der Punkt für die SSL-Kommunikation mit den Pod-Manager-VMs, die sich hinter diesem Azure-Lastausgleichsdienst befinden.
Wenn Sie bei einem Pod mit aktivierter Hochverfügbarkeit in der Verwaltungskonsole auf Zertifikat hochladen klicken, um die SSL-Zertifikatsdateien hochzuladen, führt Horizon Cloud die Konfiguration auf der aktiven Pod-Manager-VM durch und kopiert dann die Zertifikatskonfiguration auf die andere Pod-Manager-VM.
Ein Pod, für den Hochverfügbarkeit nicht aktiviert ist (ein untypischer Fall), verfügt über eine einzelne Pod-Manager-VM hinter diesem Azure-Lastausgleichsdienst. Wenn Sie in diesem Fall in der Konsole auf Zertifikat hochladen klicken, konfiguriert Horizon Cloud das Zertifikat auf dieser Pod-Manager-VM.
Der folgende Screenshot zeigt, dass die private IP-Adresse des Azure Load Balancer des Pods dieselbe IP-Adresse ist, die neben der Bezeichnung IP-Adresse des Lastenausgleichsdienstes für den Pod Manager auf der Detailseite des Pods in der Konsole für das vorangegangene Beispiel angezeigt wird.
Vorgehensweise zum Konfigurieren von SSL-Zertifikaten auf den Manager-VMs des Pods
Sie verwenden die Verwaltungskonsole, um die SSL-Zertifikate auf den Pod Manager-VMs zu konfigurieren. Die detaillierten Schritte finden Sie unter Konfigurieren von SSL-Zertifikaten direkt auf den Pod-Manager-VMs, z. B. bei der Integration der Access Connector-Appliance mit dem Horizon Cloud-Pod in Microsoft Azure, damit Connector Verbindungen mit den Pod-Manager-VMs vertrauen kann. Die Voraussetzungen vor dem Ausführen dieser Schritte finden Sie unter Voraussetzungen für die Ausführung des Workflows "Pod-Zertifikat hochladen" der Horizon Universal Console zum Konfigurieren von SSL-Zertifikaten auf den Manager-VMs des Horizon Cloud-Pods.
Untypische Szenarien, für die auf den Manager-VMs des Pods konfigurierte SSL-Zertifikate erforderlich sind
Obwohl diese Szenarien für Machbarkeitsnachweise geeignet sein können, wird von der Verwendung in der Produktion abgeraten. Für Produktionssysteme sollten Sie die Horizon Cloud-Funktionen interner und externer Gateway-Konfigurationen nutzen, die Endbenutzerverbindungen zu ihren vom Pod bereitgestellten Ressourcen unterstützen. Für Endbenutzerverbindungen innerhalb Ihres Unternehmensnetzwerks, z. B. über ein VPN, sollten Sie über eine interne Unified Access Gateway-Konfiguration auf dem Pod verfügen. Für Endbenutzerverbindungen über das Internet sollten Sie über eine externe Unified Access Gateway-Konfiguration auf dem Pod verfügen. Schritte zum Hinzufügen dieser Konfigurationen zu Ihrem Pod finden Sie unter Hinzufügen einer Gateway-Konfiguration zu einem bereitgestellten Horizon Cloud-Pod.
| Szenario | Beschreibung |
|---|---|
| Pod, der nur mit der externen Gateway-Konfiguration und ohne interne Unified Access Gateway-Konfiguration bereitgestellt wird | Während Ihre Endbenutzer in diesem Szenario im Internet ihre vom Pod bereitgestellten Ressourcen über die bereitgestellte externe Gateway-Konfiguration erreichen, gibt es keine parallele interne Gateway-Konfiguration für Ihre Benutzer innerhalb Ihres Unternehmensnetzwerks, um ihre vom Pod bereitgestellten Ressourcen zu erreichen. Ohne eine interne Unified Access Gateway-Konfiguration müssen diese internen Benutzer auf ihre Clientverbindungen verweisen, um direkt auf den Pod zu gelangen. Den Pod direkt zu erreichen bedeutet, den Client auf die IP-Adresse zu verweisen, die auf der Pod-Detailseite neben der Bezeichnung IP-Adresse des Lastenausgleichsdienstes für den Pod Manager angezeigt wird, oder auf einen FQDN, den Sie dieser angezeigten IP-Adresse in Ihrem DNS zuordnen. |
| Pod wird ohne jegliche Gateway-Konfiguration bereitgestellt (keine Unified Access Gateway-VMs) | In diesem Szenario müssten alle Endbenutzerverbindungen mit vom Pod bereitgestellten Ressourcen einen der betriebssystemspezifischen Horizon Clients verwenden, um den Pod direkt zu erreichen. Den Pod direkt zu erreichen bedeutet, den Client auf die IP-Adresse zu verweisen, die auf der Pod-Detailseite neben der Bezeichnung IP-Adresse des Lastenausgleichsdienstes für den Pod Manager angezeigt wird, oder auf einen FQDN, den Sie dieser angezeigten IP-Adresse in Ihrem DNS zuordnen. Achtung: Anders als bei der Verwendung eines betriebssystemspezifischen Horizon Clients verhält sich diese Browserverbindung wie eine nicht vertrauenswürdige Verbindung, wenn Sie einen Browser direkt auf den Pod verweisen, selbst wenn Sie mithilfe der Aktion Zertifikat hochladen in der Konsole ein SSL-Zertifikat auf den Manager-VMs des Pods konfiguriert haben. Wenn Sie den FQDN des Pods direkt in einen Browser eingeben, stellt der Browser eine Verbindung über den Verbindungstyp Horizon Web Client (Blast) her. Aufgrund der Funktionsweise von Horizon Web Client (Blast) zeigt der Browser den typischen Fehler zu nicht vertrauenswürdigen Zertifikaten an, wenn die Verbindung direkt zum Pod hergestellt wird. Um diesen angezeigten Fehler zu nicht vertrauenswürdigen Zertifikaten zu vermeiden, benötigt der Pod Gateways, die so konfiguriert sind, dass Sie diese Browserverbindungen über die entsprechende Gateway-Konfiguration herstellen können: eine externe Gateway-Konfiguration für Ihre Endbenutzer, die sich außerhalb Ihres Unternehmensnetzwerks befinden, und eine interne Gateway-Konfiguration für Ihre Endbenutzer innerhalb Ihres Unternehmensnetzwerks. Wenn Sie den FQDN nicht im Internet veröffentlichen möchten, verwenden Sie eine interne Gateway-Konfiguration. Die interne Gateway-Konfiguration verwendet einen internen Microsoft-Lastausgleich, zu dem Endbenutzer innerhalb Ihres Unternehmensnetzwerks ihre Verbindungen leiten können. Weitere Informationen finden Sie unter Hinzufügen einer Gateway-Konfiguration zu einem bereitgestellten Horizon Cloud-Pod. |
War diese Seite hilfreich?