Para proporcionar a los usuarios finales acceso de inicio de sesión único (SSO) a sus escritorios y aplicaciones al utilizar Horizon Cloud, administre el SSO en la instancia de Horizon Edge Gateway correspondiente.
Este procedimiento permite a los usuarios finales acceder a sus escritorios y aplicaciones después de introducir sus credenciales una vez.
Para obtener información general sobre cómo configurar la CA de Omnissa, consulte Usar una CA de Omnissa para SSO con Horizon Cloud.
Consulte la documentación de Microsoft según sea necesario para completar este procedimiento. Por ejemplo, para instalar una CA empresarial, consulte Instalar la entidad de certificación.
Requisitos
-
Utilice Horizon Universal Console para crear y descargar un paquete de entidad de certificación (CA). Consulte Agregar una configuración SSO a Horizon Cloud para una CA de Omnissa.
-
Para ejecutar el script de PowerShell extraído del paquete de CA de Omnissa, como se describe en este procedimiento, confirme que tiene los permisos adecuados.
Este procedimiento requiere que ejecute el script de Omnissa PowerShell. Tiene algunas opciones disponibles para ejecutar el script de PowerShell, incluida la ejecución del script como miembro del grupo de administradores empresariales. Las instrucciones que aparecen a continuación indican que se utilizan permisos menos potentes, pero la ejecución del script como miembro del grupo de administradores empresariales está disponible para el usuario. La sugerencia aquí es confirmar que tiene los siguientes permisos.
- Permisos de control total en el contenedor de "Servicios de clave pública" en Active Directory.
- Inscriba permisos en la plantilla de certificado "SubCA" en Active Directory.
Procedimiento
-
Conéctese a una máquina miembro del dominio, cargue el archivo del paquete de CA de Omnissa en el servidor y descomprima el contenido del archivo.
Siempre que tenga los permisos adecuados, puede ejecutar el script de Omnissa PowerShell desde cualquier máquina miembro del dominio.
-
Abra PowerShell y ejecute los comandos y responda a las indicaciones tal como se describe en los subpasos que aparecen a continuación.
Importante: Si la implementación consta de varios controladores de dominio o instala el paquete desde una máquina remota, la propagación del certificado de CA a todos los controladores de dominio puede tardar varias horas. Puede reducir el tiempo de ejecución ejecutando
'gpupdate.exe /Target:Computer /Force'en todas las instancias del controlador de dominio.-
Ejecute el siguiente comando.
Unblock-File -Path Path to ps1 file -
Ejecute el script de PowerShell
ps1extraído del paquete de CA y responda a las solicitudes.Por ejemplo,
PS C:\ca\AuthEngine-CA_1> .\AuthEngine-CA_1.ps1Si agregó la configuración de SSO como CA intermedia, se le pedirá que seleccione una CA empresarial de MSFT para firmar la CSR de la CA de Omnissa. Puede elegir una CA empresarial raíz o intermedia de MSFT para procesar la CSR de la CA de Omnissa. Si corresponde, seleccione la CA empresarial adecuada. Debe habilitar la plantilla Entidad de certificación subordinada de la CA empresarial seleccionada.
Responda al siguiente mensaje de confirmación obligatorio con
Y, como se indica.Confirmation required Do you want to publish to AD?N] No [Y] Yes [?] Help (default is "N"):``Y
-
Resultados
El resultado esperado es que el script se ejecuta sin errores. Sin embargo, si encuentra el siguiente tipo de error, realice la sugerencia de solución de problemas proporcionada.
2022-03-22T15:35:39 [INFO ] [AuthEngine-CA-62351bb62ff3dd5966ad3575-1.ps1,67] certutil.exe -dspublish -f C:\SSO-C\
AuthEngine-CA-62351bb62ff3dd5966ad3575-1.crl
error : 2022-03-22T15:35:39 [ERROR][-2147016563][] Failed to publish base CRL
At C:\SSO-C\AuthEngine-CA-62351bb62ff3dd5966ad3575-1.ps1:303 char:5
+ error $retCode "Failed to publish base CRL"
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : NotSpecified: (:) [Write-Error], WriteErrorException
+ FullyQualifiedErrorId : Microsoft.PowerShell.Commands.WriteErrorException,error
Ejecute el siguiente comando Get-ADRootDSE y compruebe el resultado para ver si el nombre de dominio de configuración de CA utilizado para crear la configuración de SSO coincide con lo que devuelve la siguiente propiedad: configurationNamingContext.
C:>
Get-ADRootDSE -Server dnsDomainName
Por ejemplo, C:\> Get-ADRootDSE -Server horizonv2.local
Resultados:
configurationNamingContext : "CN=Configuration,DC=horizonv2,DC=local"
...other
output fields...
Si el nombre de dominio de configuración de CA no coincide con el resultado, puede utilizar Horizon Universal Console para editar la configuración de SSO, específicamente para corregir el nombre de dominio de configuración de CA. Para obtener información sobre cómo acceder a la configuración de SSO, consulte Agregar una configuración de SSO a Horizon Cloud para una CA de Omnissa. Para editar una configuración de SSO, haga clic en los tres puntos verticales junto a la configuración de SSO y seleccione Editar. Después de corregir el nombre de dominio, puede descargar y publicar el paquete de CA actualizado.
¿Qué hacer a continuación?
Después de implementar Horizon Edge Gateway, compruebe que el estado de configuración de SSO esté establecido correctamente. En Horizon Universal Console, haga clic en Capacidad, seleccione el nombre de la instancia de Horizon Edge Gateway que configuró y edite la configuración para activar la opción Usar SSO. Seleccione la configuración de SSO para asociarla con Horizon Edge Gateway. Guarde y verifique que el estado se establece en READY_TO_SERVE, lo que indica que SSO funciona para los usuarios finales.
Eliminar un paquete publicado de Active Directory
Para admitir la limpieza de paquetes, un administrador de AD puede desinstalar los paquetes de CA instalados previamente de Active Directory mediante las siguientes opciones de línea de comandos para el script dspublish. Estas opciones requieren que el administrador de AD introduzca la huella digital del certificado de CA para confirmar la desinstalación del paquete. Sin embargo, las opciones de la línea de comandos no comprueban si el paquete está en uso antes de desinstalarlo. Antes de ejecutar cualquiera de los comandos de desinstalación, asegúrese de que el paquete no esté en uso, ya que las opciones de la línea de comandos no realizan esa verificación.
-uninstallAll
-uninstall
A continuación, se muestra un ejemplo de línea de comandos para ambas opciones:
-.\AuthEngine-CA-653a8ec615d61616b629de15-1.ps1 -Uninstall
-.\AuthEngine-CA-653a8ec615d61616b629de15-1.ps1 -UninstallAll
Tenga en cuenta que el nombre del script de PS (p. ej. 653a8ec615d61616b629de15-1) es diferente para cada cliente.
¿Le resultó útil esta página?