Préparer Active Directory pour SSO dans des environnements à plusieurs forêts

Cette section décrit comment préparer Active Directory pour SSO dans des environnements à forêts multiples à l'aide d'une autorité de certification Horizon Cloud ou d'une autorité de certification Microsoft Enterprise.

Dans les déploiements à forêts multiples, les utilisateurs s'authentifient généralement dans une seule forêt (forêt d'utilisateurs) et accèdent à des ressources, telles que des postes de travail dans une autre forêt (forêt de ressources). Pour activer des fonctionnalités telles que True SSO dans ce scénario, la forêt de ressources doit approuver l'autorité de certification utilisée dans la forêt d'utilisateurs.

Les conditions préalables et procédures suivantes garantissent que l'approbation et la communication des certificats sont correctement établies dans les forêts.

Conditions préalables

Avant de commencer, assurez-vous que les conditions préalables suivantes sont remplies :

• Il existe au moins une relation de confiance unidirectionnelle entre la forêt de ressources et la forêt d'utilisateurs (une approbation bidirectionnelle peut également être utilisée, en fonction de la conception du déploiement)
• La résolution DNS est configurée afin d'autoriser la résolution de noms dans les forêts
• Les listes de révocation des certificats (CRL) sont accessibles dans les forêts
• La connectivité réseau existe entre les contrôleurs de domaine, les autorités de certification et les composants Horizon dans toutes les forêts participantes afin de prendre en charge la délivrance et la validation des certificats
• Les certificats délivrés par l'autorité de certification peuvent être validés dans les forêts

Résumé des procédures qui suivent

Pour activer SSO dans plusieurs forêts, vous devez vous assurer que les certificats racine et intermédiaire de l'autorité de certification dans la forêt d'utilisateurs sont approuvés dans la forêt de ressources.

Pour les déploiements d'autorités de certification Horizon Cloud, le bundle de certificats SSO est publié dans Active Directory à l'aide d'un script PowerShell. Pour les déploiements d'autorités de certification Microsoft Enterprise, les services de certificat publient les informations de certificat disponibles dans Active Directory.

Les procédures qui suivent décrivent comment publier et configurer ces certificats afin de réussir l'authentification entre plusieurs forêts.

Ajouter le certificat racine aux autorités de certification racine approuvées

Le certificat racine terminant la chaîne de certificats Omnissa ou Microsoft Enterprise CA doit être ajouté au magasin des autorités de certification racines de confiance à l'aide de la stratégie de groupe dans Active Directory.

Procédure

1. Dans toutes les forêts Active Directory qui font partie de la configuration d'approbation, ajoutez le certificat racine aux autorités de certification racine de confiance.

   1. Sélectionnez Démarrer > Outils d'administration > Gestion de stratégie de groupe.

   2. Développez votre domaine, cliquez avec le bouton droit sur Stratégie de domaine par défaut, puis cliquez sur Modifier.

2. Développez la section Configuration ordinateur et ouvrez le dossier Paramètres Windows\Paramètres de sécurité\Clé publique.

3. Cliquez avec le bouton droit sur Autorités de certification racines de confiance et sélectionnez Importer.

4. Suivez les invites de l'assistant pour importer le certificat racine (par exemple, rootCA.cer) et cliquez sur OK.

5. Fermez la fenêtre Group Policy (Stratégie de groupe).

Résultats

Tous les systèmes du domaine contiennent désormais une copie du certificat racine dans leur magasin racine approuvé.

Étape suivante

Si une autorité de certification (CA) intermédiaire émet vos certificats d'ouverture de session par carte à puce ou de contrôleur de domaine, ajoutez le certificat intermédiaire à la stratégie de groupe Autorités de certification intermédiaires dans Active Directory.

Ajouter un certificat intermédiaire à des autorités de certification intermédiaires

Tous les certificats intermédiaires de la chaîne de certification de l'autorité de certification Horizon Cloud ou Microsoft Enterprise doivent être ajoutés au magasin des autorités de certification intermédiaires à l'aide de la stratégie de groupe dans Active Directory.

Procédure

1. Dans toutes les forêts Active Directory qui font partie de la configuration de l'approbation, ajoutez tous les certificats intermédiaires faisant partie de la chaîne de certificats de l'autorité de certification Horizon Cloud aux autorités de certification intermédiaires. Sur le serveur Active Directory, accédez au plug-in Gestion de stratégie de groupe et effectuez les étapes suivantes :

   1. Sélectionnez Démarrer > Outils d'administration > Gestion de stratégie de groupe.

   2. Développez votre domaine, cliquez avec le bouton droit sur Stratégie de domaine par défaut, puis cliquez sur Modifier.

2. Développez la section Configuration ordinateur et ouvrez la stratégie de Paramètres Windows\Paramètres de sécurité\Clé publique.

3. Cliquez avec le bouton droit sur Autorités de certification intermédiaires et sélectionnez Importer.

4. Suivez les invites de l'assistant pour importer le certificat intermédiaire (par exemple, intermediateCA.cer) et cliquez sur OK.

5. Fermez la fenêtre Group Policy (Stratégie de groupe).

Résultats

Tous les systèmes du domaine contiennent désormais une copie du certificat intermédiaire dans leur magasin d'autorité de certification intermédiaire.

Ajouter le certificat racine au magasin Enterprise NTAuth

Le certificat racine terminant la chaîne de certification de l'autorité de certification Horizon Cloud ou Microsoft Enterprise doit être ajouté au magasin Enterprise NTAuth dans Active Directory.

Procédure

1. Sur votre serveur Active Directory, utilisez la commande certutil pour publier le certificat dans le magasin Enterprise NTAuth.

   Par exemple : certutil -dspublish -f path_to_root_CA_cert NTAuthCA

Résultats

L'autorité de certification est désormais approuvée pour émettre des certificats de ce type.