Configurar la puerta de enlace segura de PCoIP para usar un nuevo certificado TLS

Para cumplir las normas de seguridad de la jurisdicción o la industria, puede reemplazar el certificado TLS predeterminado que generó el servicio de la puerta de enlace segura de PCoIP (PSG) con un certificado firmado por una CA.

En Omnissa Horizon 8, el servicio de PSG crea un certificado TLS autofirmado y predeterminado cuando el servicio se inicia. El servicio de PSG presenta el certificado autofirmado a los clientes que ejecutan Omnissa Horizon Client 5.2 para Windows o versiones posteriores que se conecten a la PSG.

La PSG también proporciona un certificado TLS heredado que se presenta a los clientes que ejecutan clientes antiguos o versiones anteriores que se conectan a la PSG.

Los certificados predeterminados proporcionan conexiones seguras desde el endpoint cliente a la PSG y no necesitan ningún tipo de configuración en Omnissa Horizon Console. Sin embargo, se recomienda configurar el servicio PSG para usar un certificado firmado por una CA, particularmente en implementaciones que le obligan a usar exámenes de seguridad para realizar una prueba de cumplimiento.

Aunque no es obligatorio, es recomendable configurar los nuevos certificados TLS firmados por una CA en los servidores antes de reemplazar el certificado PSG predeterminado por uno firmado por una CA. El siguiente procedimiento asume que ya importó un certificado firmado por una CA en el almacén de certificados de Windows en el servidor en el que la PSG se está ejecutando.

Nota: Si usa un examen de seguridad para realizar una prueba de cumplimiento, es posible que quiera comenzar configurando la PSG para que use el mismo certificado que el servidor y que examine el puerto de Horizon 8 antes del puerto de la PSG. Puede resolver los problemas de validación o de confianza que se produzcan durante el examen del puerto de View para asegurar que esos problemas no provoquen que la prueba del certificado y del puerto de la PSG no sea válida. A continuación, puede configurar un certificado único para la PSG y realizar otro examen.

Configurar certificados TLS para Horizon 8 Server

Omnissa recomienda configurar los certificados TLS para la autenticación de las instancias de Omnissa Horizon Connection Server.

1. Verificar que el nombre del servidor coincida con el nombre del sujeto del certificado de la PSG
   Cuando se instala una instancia de Horizon Connection Server, el instalador crea una opción de registro con un valor que contiene el FQDN del equipo. Debe verificar que este valor coincida con la parte de la URL del nombre del servidor que los escáneres de seguridad usan para alcanzar el puerto de la PSG. El nombre del servidor también debe coincidir con el nombre del sujeto o el nombre alternativo del sujeto (SAN) del certificado TLS que pretende utilizar para la PSG.

2. Configurar un certificado PSG en el almacén de certificados de Windows
   Para reemplazar el certificado PSG por un certificado firmado por una CA, debe configurar el certificado y su clave privada en el almacén de certificados del equipo local Windows en el equipo de Horizon Connection Server en el que la PSG se está ejecutando.

3. Establecer el nombre descriptivo del certificado PSG en el Registro de Windows
   La PSG identifica el certificado TLS que se debe usar con el nombre del servidor y el nombre descriptivo del certificado. Debe establecer el valor de Nombre descriptivo en el Registro de Windows en el equipo de Horizon Connection Server en el que se ejecuta la PSG.

4. Forzar el uso de un certificado firmado por una CA para las conexiones al PSG
   Puede garantizar que todas las conexiones cliente al PSG usen el certificado firmado por una CA en lugar del certificado heredado predeterminado. Este procedimiento no es necesario para configurar un certificado firmado por una CA para el PSG. Realice estos pasos solo si es necesario forzar el uso de un certificado firmado por una CA en la implementación de Horizon.