Installer un certificat signé par une autorité de certification pour le démon BlastServer sur une machine Linux

Par défaut, le programme d'installation d'Horizon Agent for Linux génère un certificat auto-signé pour le démon BlastServer, qui gère les communications avec les clients à l'aide du protocole d'affichage Blast. Pour respecter les réglementations du secteur et de sécurité, vous pouvez remplacer le certificat auto-signé pour BlastServer par un certificat signé par une autorité de certification (CA).

• Lorsque Blast Security Gateway n'est pas activé sur Horizon Connection Server, BlastServer présente ce certificat auto-signé par défaut au navigateur qui utilise Horizon Web Client pour se connecter au poste de travail Linux. Remarque : Horizon Web Client est disponible avec Horizon 8 versions 2412 et ultérieures. Pour Horizon 8 versions 2406 et antérieures, Horizon Web Client est appelé « HTML Access ». Cette page utilise le nom « Horizon Web Client » pour désigner à la fois Horizon Web Client et HTML Access.

• Lorsque Blast Security Gateway est activé sur Horizon Connection Server, il présente son certificat au navigateur.

Pour remplacer le certificat auto-signé par défaut pour le démon BlastServer par un certificat signé par une autorité de certification, vous pouvez utiliser l'une des méthodes suivantes.

• Keystore BCFKS : cette méthode permet d'utiliser le script de déploiement DeployBlastCert.sh pour stocker le certificat et la clé privée dans un keystore FIPS Bouncy Castle (BCFKS) chiffré dans le répertoire /etc/omnissa/ssl.
• Stockage non chiffré : cette méthode permet de copier manuellement le certificat et la clé privée, sans chiffrement, au niveau racine du répertoire /etc/omnissa/ssl.

Le démon BlastServer recherche d'abord dans le porte-clé Linux le certificat et la clé privée d'un keystore BCFKS. S'il ne trouve pas le keystore BCFKS, il lit le certificat et la clé privée stockés au niveau racine de /etc/omnissa/ssl.

Déployer le certificat d'autorité de certification BlastServer sur un keystore BCFKS

Le script de déploiement DeployBlastCert.sh crée un keystore BCFKS nommé hznblast.bcfks dans le répertoire /etc/omnissa/ssl et stocke le certificat et la clé privée dans ce keystore. Les informations contenues dans le keystore sont ensuite ajoutées au porte-clé Linux.

1. Utilisez les options de configuration SSLCertName et SSLKeyName pour personnaliser le nom du certificat et le nom de la clé privée, respectivement, tels qu'ils s'affichent dans le porte-clé Linux. Pour plus d'informations, reportez-vous au Tableau 2 dans la section Modifier les fichiers de configuration sur un poste de travail Linux.

2. Exécutez le script de déploiement DeployBlastCert.sh, comme indiqué dans l'exemple suivant.

   sudo /usr/lib/omnissa/viewagent/bin/DeployBlastCert.sh -c /root/rui.cert -k /root/rui.key
   

   Utilisez les indicateurs de paramètre suivants pour le script de déploiement :

   Indicateur de paramètre	Description
   -c	Spécifie le fichier de certificat signé par une autorité de certification.
   -k	Spécifie le fichier de la clé privée.

Déployer le certificat d'autorité de certification BlastServer sur un stockage non chiffré

1. Ajoutez la clé privée et le certificat signé par une autorité de certification à /etc/omnissa/ssl.

   1. Renommez la clé privée en rui.key et le certificat en rui.crt.

   2. Définissez les autorisations de lecture et exécutables sur /etc/omnissa/ssl.

      sudo chmod 550 /etc/omnissa/ssl
      

   3. Copiez rui.key et rui.crt dans /etc/omnissa/ssl.

   4. Supprimez les autorisations exécutables sur /etc/omnissa/ssl.

      sudo chmod 440 /etc/omnissa/ssl
      

2. Installez les certificats d'autorité de certification racine et intermédiaires dans le magasin de l'autorité de certification Linux OS.

   Pour plus d'informations sur d'autres paramètres système qui doivent être modifiés pour prendre en charge la chaîne de certificats d'autorité de certification, reportez-vous à la documentation de votre distribution Linux.