Configurar un certificado de identidad de clúster

Durante la instalación, Omnissa Horizon Connection Server genera un certificado de identidad de clúster autofirmado. Este certificado lo utilizan los servidores de conexión para demostrar la pertenencia al clúster con fines como el redireccionamiento de sitios y la integración del servidor de inscripción. Se renueva automáticamente (consulte Verificación de la huella digital de certificados y generación automática de certificados), aunque también puede sustituirlo por un certificado firmado por una entidad de certificación.

Cuando se utiliza True SSO, el certificado de identidad de clúster protege la comunicación entre Horizon Connection Server y el servidor de inscripciones. Si va a reemplazar este certificado por un certificado firmado por una CA, el nuevo certificado deberá importarse al servidor de inscripciones, y el certificado de CA raíz deberá agregarse al almacén de entidades de certificación raíz de confianza en el servidor de inscripciones. Para obtener más información, consulte la sección "Configurar True SSO" en el documento Administración de Omnissa Horizon 8.

Requisito

Conocer su GUID del clúster antes de comenzar. Para encontrar el GUID del clúster, utilice el comando vdmadmin -C o vaya a Horizon Connection Server Cluster GUID en HKEY_LOCAL_MACHINE\SOFTWARE\Omnissa\Horizon\Node Manager.

Procedimiento

1. Genere un certificado firmado por una CA que cumpla los siguientes requisitos. Se recomienda realizar esta tarea desde la consola de administración. Para obtener más información, consulte Configurar un certificado importado desde Horizon Console.

   Nota: El certificado raíz utilizado para generar el certificado de cliente debe agregarse al almacén de entidades de certificación raíz de confianza en todas las instancias de Horizon Connection Server del POD.

   • SAN:dNSName:guid (donde guid es el GUID del clúster)

   • Asunto: CN=guid.company.com (donde guid es el GUID del clúster y company.com es cualquier nombre de dominio DNS).

     Tenga en cuenta que este formato está obsoleto y solo se debe utilizar si no se puede incluir un campo SubjectAlternateName (SAN) en el certificado. Cuando se incluye un campo SAN dNSName como se describe anteriormente, el asunto se puede establecer en cualquier elemento, como el nombre del pod.

   • EKU: autenticación del servidor, autenticación del cliente

   • Algoritmo de firma: SHA256 o superior (para la configuración aprobada por Common Criteria, utilice SHA384 o superior)

   • Establecer nombre descriptivo: vdm.ec.new

   • La clave privada debe estar marcada como exportable.

   • El certificado debe agregarse a Certificados (equipo local) > Certificados de Omnissa Horizon > Certificados.

2. Elimine el certificado de clúster existente con el nombre descriptivo vdm.ec.

3. Reinicie el servicio de Horizon Connection Server.

Resultados

Cuando Horizon Connection Server haya aceptado el nuevo certificado, el nombre descriptivo del certificado cambiará de vdm.ec.new a vdm.ec. Si el certificado no se acepta por algún motivo, el certificado anterior se moverá de LDAP al almacén de certificados de Windows. Los otros servidores del clúster recuperarán dicho certificado del LDAP.