Configurer Horizon Connection Server pour True SSO

Vous pouvez utiliser l'interface de ligne de commande vdmutil pour configurer et activer ou désactiver True SSO.

Cette procédure est requise pour être exécutée sur un seul Serveur de connexion dans le cluster.

Important : cette procédure utilise uniquement les commandes nécessaires pour activer True SSO. Pour afficher une liste de toutes les options de configuration disponibles pour la gestion des configurations de True SSO et voir une description de chaque option, reportez-vous à la section Référence de ligne de commande pour configurer True SSO.

Conditions préalables

• Vérifiez que vous pouvez exécuter la commande en tant qu'utilisateur disposant du rôle Administrateurs. Vous pouvez utiliser Horizon Console pour attribuer le rôle Administrateurs à un utilisateur. Reportez-vous à la section Configuration de l'administration déléguée basée sur des rôles.

• Vérifiez que vous disposez du nom de domaine complet (FQDN) des serveurs suivants :

  • Serveur de connexion

  • Serveur d'enrôlement

    Pour plus d'informations, reportez-vous à la section Installer et configurer un serveur d'enrôlement.

  • Autorité de certification d'entreprise

    Pour plus d'informations, reportez-vous à la section Configurer une autorité de certification d'entreprise.

• Vérifiez que vous disposez du nom NetBIOS ou du nom de domaine complet du domaine.

• Vérifiez que vous avez créé un modèle de certificat. Reportez-vous à la section Créer des modèles de certificat utilisés avec True SSO.

• Vérifiez que vous avez créé un authentificateur SAML pour déléguer l'authentification à Omnissa Workspace ONE Access. Reportez-vous à la section Configurer l'authentification SAML pour l'utiliser avec True SSO.

Procédure

1. Sur un Serveur de connexion dans le cluster, ouvrez une invite de commande et entrez la commande pour ajouter un serveur d'enrôlement.

   vdmUtil --authAs admin-role-user --authDomain domain-name --authPassword admin-user-password --truesso --environment --add --enrollmentServer enroll-server-fqdn
   

   Le serveur d'enrôlement est ajouté à la liste globale.

2. Entrez la commande pour répertorier les informations pour ce serveur d'enrôlement.

   vdmUtil --authAs admin-role-user --authDomain domain-name --authPassword admin-user-password --truesso --environment --list --enrollmentServer enroll-server-fqdn --domain domain-fqdn
   

   La sortie indique le nom de la forêt, si le certificat du serveur d'enrôlement est valide, le nom et les détails du modèle de certificat que vous pouvez utiliser et le nom commun de l'autorité de certification. Pour configurer les domaines auxquels le serveur d'enrôlement peut se connecter, vous pouvez utiliser un paramètre de registre Windows sur le serveur d'enrôlement. L'option par défaut consiste à se connecter à tous les domaines d'approbation.

   Important : vous devrez spécifier le nom commun de l'autorité de certification à l'étape suivante.

3. Entrez la commande pour créer un connecteur de True SSO, qui contiendra les informations de configuration, et activez le connecteur.

   vdmUtil --authAs admin-role-user --authDomain domain-name --authPassword admin-user-password --truesso --create --connector --domain domain-fqdn --template TrueSSO-template-name --primaryEnrollmentServer enroll-server-fqdn --certificateServer ca-common-name --mode enabled
   

   Dans cette commande, TrueSSO-template-name est le nom du modèle indiqué dans la sortie de l'étape précédente et ca-common-name est le nom commun de l'autorité de certification d'entreprise indiqué dans cette sortie.

   Le connecteur de True SSO est activé sur un pool ou un cluster pour le domaine spécifié. Pour désactiver True SSO au niveau du pool, exécutez vdmUtil --certsso --edit --connector <domain> --mode disabled. Pour désactiver True SSO pour une machine virtuelle individuelle, vous pouvez utiliser GPO (vdm_agent.adm).

4. Entrez la commande pour découvrir les authentificateurs SAML qui sont disponibles.

   vdmUtil --authAs admin-role-user --authDomain domain-name --authPassword admin-user-password --truesso --list --authenticator
   

   Des authentificateurs sont créés lorsque vous configurez l'authentification SAML entre Omnissa Workspace ONE Access et un Serveur de connexion, à l'aide d'Horizon Console.

   La sortie indique le nom de l'authentificateur et si True SSO est activée.

   Important : vous devrez spécifier le nom de l'authentificateur à l'étape suivante.

5. Entrez la commande pour permettre à l'authentificateur d'utiliser le mode True SSO.

   vdmUtil --authAs admin-role-user --authDomain domain-name --authPassword admin-user-password --truesso --authenticator --edit --name authenticator-fqdn --truessoMode {ENABLED|ALWAYS}
   

   Pour --truessoMode, utilisez ENABLED si vous voulez que l'authentification True SSO réelle soit utilisée uniquement si aucun mot de passe n'a été fourni lorsque l'utilisateur s'est connecté à Omnissa Workspace ONE Access. Dans ce cas, si un mot de passe a été utilisé et mis en cache, le système utilisera le mot de passe. Définissez --truessoMode sur ALWAYS si vous voulez que l'authentification True SSO soit utilisée même si un mot de passe a été fourni lorsque l'utilisateur s'est connecté à Omnissa Workspace ONE Access.

Étape suivante

Dans Horizon Console, vérifiez l'état de santé de la configuration de True SSO. Pour plus d'informations, reportez-vous à la section Utilisation du tableau de bord pour résoudre des problèmes liés à True SSO.

Pour configurer des options avancées, utilisez les paramètres avancés Windows sur le système approprié. Reportez-vous à la section Paramètres de configuration avancée pour True SSO.