Installer un certificat signé par une autorité de certification pour le démon BlastServer sur une machine Linux

Par défaut, le programme d'installation d'Horizon Agent for Linux génère un certificat auto-signé pour le démon BlastServer, qui gère les communications avec les clients à l'aide du protocole d'affichage Blast. Pour respecter les réglementations du secteur et de sécurité, vous pouvez remplacer le certificat auto-signé pour BlastServer par un certificat signé par une autorité de certification (CA).

• Lorsque Blast Security Gateway n'est pas activé sur Horizon Connection Server, BlastServer présente ce certificat auto-signé par défaut au navigateur qui utilise HTML Access pour se connecter au poste de travail Linux.
• Lorsque Blast Security Gateway est activé sur Horizon Connection Server, il présente son certificat au navigateur.

Pour remplacer le certificat auto-signé par défaut pour le démon BlastServer par un certificat signé par une autorité de certification, vous pouvez utiliser l'une des méthodes suivantes.

• Keystore BCFKS : cette méthode permet d'utiliser le script de déploiement DeployBlastCert.sh pour stocker le certificat et la clé privée dans un keystore FIPS Bouncy Castle (BCFKS) chiffré dans le répertoire ssl.
• Stockage non chiffré : cette méthode permet de copier manuellement le certificat et la clé privée, sans chiffrement, au niveau racine du répertoire ssl.

Le démon BlastServer recherche d'abord dans le porte-clé Linux le certificat et la clé privée d'un keystore BCFKS. S'il ne trouve pas de keystore BCFKS, il lit le certificat et la clé privée stockés au niveau racine du répertoire ssl.

Déployer le certificat d'autorité de certification BlastServer sur un keystore BCFKS

Le script de déploiement DeployBlastCert.sh crée un keystore BCFKS dont le nom contient la chaîne blast.bcfks dans le répertoire ssl et stocke le certificat et la clé privée dans ce keystore. Les informations contenues dans le keystore sont ensuite ajoutées au porte-clé Linux.

1. Utilisez les options de configuration SSLCertName et SSLKeyName pour personnaliser le nom du certificat et le nom de la clé privée, respectivement, tels qu'ils s'affichent dans le porte-clé Linux. Pour plus d'informations, reportez-vous au Tableau 2 dans la section Modifier les fichiers de configuration sur un poste de travail Linux.

2. Exécutez le script de déploiement DeployBlastCert.sh, comme indiqué dans l'exemple suivant.

   Trouvez l'emplacement du script DeployBlastCert.sh dans la structure de répertoire /usr et notez son chemin d'accès.

   L'exemple suivant utilise path-to-deployblastcert pour représenter ce chemin. Exécutez la commande à l'aide du chemin d'accès sur votre machine.

   sudo /path-to-deployblastcert/DeployBlastCert.sh -c /root/rui.cert -k /root/rui.key
   

   Utilisez les indicateurs de paramètre suivants pour le script de déploiement :

   Indicateur de paramètre	Description
   -c	Spécifie le fichier de certificat signé par une autorité de certification.
   -k	Spécifie le fichier de la clé privée.

Déployer le certificat d'autorité de certification BlastServer sur un stockage non chiffré

1. Ajoutez la clé privée et le certificat signé par une autorité de certification au répertoire ssl.

Remarque : le répertoire ssl pour les étapes suivantes se trouve généralement dans la structure de fichiers /etc.

a.  Renommez la clé privée **rui.key** et le certificat **rui.crt**.
b.  Définissez les autorisations de lecture et exécutables sur le répertoire `ssl`.

    ```
    sudo chmod 550 ssl
    ```

c.  Copiez **rui.key** et **rui.crt** dans `ssl`.
d.  Supprimez les autorisations exécutables sur `ssl`.

    ```
    sudo chmod 440 ssl
    ```

2. Installez les certificats d'autorité de certification racine et intermédiaires dans le magasin de l'autorité de certification Linux OS.

Pour plus d'informations sur d'autres paramètres système qui doivent être modifiés pour prendre en charge la chaîne de certificats d'autorité de certification, reportez-vous à la documentation de votre distribution Linux.