Configurer un certificat d'identité de cluster

Lors de l'installation, Omnissa Horizon Connection Server génère un certificat d'identité de cluster auto-signé. Il est utilisé par les serveurs de connexion pour prouver l'appartenance au cluster à des fins telles que la redirection de site et l'intégration du serveur d'inscription. Il est actualisé automatiquement (reportez-vous à la section Vérification de l'empreinte numérique de certificat et Génération automatique de certificats ou vous pouvez remplacer le certificat auto-signé par un certificat signé par une autorité de certification.

En utilisant True SSO, le certificat d'identité du cluster est utilisé pour sécuriser la communication entre Horizon Connection Server et le serveur d'enrôlement. Si vous remplacez ce certificat par un certificat signé par une autorité de certification, vous devez importer le nouveau certificat sur le serveur d'enrôlement et ajouter le certificat d'autorité de certification racine au magasin d'autorités de certification racines de confiance sur le serveur d'enrôlement. Pour plus d'informations, reportez-vous à la section « Configuration de True SSO » dans le document Administration d'Omnissa Horizon 8.

Procédure

1. Générez un certificat signé par une autorité de certification répondant aux exigences ci-dessous. Il est vivement recommandé d'effectuer cette tâche à partir de la console d'administration. Pour plus d'informations, reportez-vous à la section Générer une CSR et demander un certificat signé auprès d'une autorité de certification.

   Remarque : vous devez ajouter le certificat racine utilisé pour générer le certificat client au magasin d'autorités de certification racines de confiance sur toutes les instances d'Horizon Connection Server de l'espace.

   • Nom du sujet : GUID du cluster

     Vous pouvez trouver le GUID du cluster à l'aide de la commande vdmadmin -C ou en accédant à Horizon Connection Server Cluster GUID sous HKEY_LOCAL_MACHINE\SOFTWARE\Omnissa\Horizon\Node Manager.

     Remarque : si un SAN dnsName peut être créé, sa valeur doit correspondre au GUID de cluster. Le champ Sujet du certificat peut alors être défini sur un élément quelconque, sans restriction.

     Si un SAN ne peut pas être créé, le format du champ Sujet est important. Il doit s'agir d'un DN comprenant un nom DNS commençant par le GUID de cluster (par exemple : CN=guid.company.com).

   • Réseau de stockage : GUID de cluster de l'espace Horizon en tant que DNSName

   • EKU : authentification du serveur, authentification du client

   • Définir le nom convivial : vdm.ec.new

   • La clé privée doit être marquée comme exportable.

   • Le certificat doit être ajouté à Certificats (ordinateur local) > Certificats Omnissa Horizon > Certificats.

   • Algorithme de signature à utiliser : SHA384/SHA512

2. Importez la chaîne de certificats dans les dossiers correspondants.

3. Supprimez le certificat de cluster existant avec le nom convivial vdm.ec.

4. Redémarrez le service Horizon Connection Server.

Résultats

Une fois qu'Horizon Connection Server a accepté le nouveau certificat, le nom convivial du certificat passe de vdm.ec.new à vdm.ec. Si le certificat n'est pas accepté pour une raison quelconque, l'ancien certificat sera déplacé de LDAP vers le magasin de certificats Windows. Les autres serveurs dans le cluster extrairont ce certificat depuis LDAP.