Pour fournir aux utilisateurs finaux un accès Single Sign-On (SSO) à leurs postes de travail et applications à l'aide d'Horizon Cloud, administrez SSO sur l'instance d'Horizon Edge Gateway correspondante.
Cette procédure permet aux utilisateurs finaux d'accéder à leurs postes de travail et applications une fois qu'ils ont entré une fois leurs informations d'identification.
Pour obtenir des informations générales sur la configuration de l'autorité de certification Omnissa, reportez-vous à la section Utilisation d'une autorité de certification Omnissa pour SSO avec Horizon Cloud.
Reportez-vous à la documentation Microsoft si nécessaire pour terminer cette procédure. Par exemple, pour installer une autorité de certification d'entreprise, reportez-vous à la section Installer l'autorité de certification.
Conditions préalables
-
Utilisez Horizon Universal Console pour créer et télécharger un bundle d'autorité de certification (CA). Reportez-vous à la section Ajouter une configuration SSO à Horizon Cloud pour une autorité de certification Omnissa.
-
Pour exécuter le script PowerShell extrait du bundle Omnissa CA, comme décrit dans cette procédure, confirmez que vous disposez des autorisations appropriées.
Cette procédure nécessite l'exécution du script Omnissa PowerShell. Vous disposez de quelques options pour exécuter le script PowerShell, notamment l'exécution du script en tant que membre du groupe d'administrateurs d'entreprise. Les instructions suivantes vous suggèrent d'utiliser des autorisations moins puissantes, mais l'exécution du script en tant que membre du groupe d'administrateurs d'entreprise est à votre disposition. La suggestion ici consiste à confirmer que vous disposez des autorisations suivantes.
- Autorisations de contrôle total sur le conteneur « Services de clés publiques » dans Active Directory.
- Autorisations d'enrôlement sur le modèle de certificat « SubCA » dans Active Directory.
Procédure
-
Connectez-vous à une machine membre du domaine, chargez le fichier de bundle d'autorité de certification Omnissa sur le serveur et décompressez le contenu du fichier.
Tant que vous disposez des autorisations appropriées, vous pouvez exécuter le script Omnissa PowerShell à partir de n'importe quelle machine membre du domaine.
-
Ouvrez PowerShell, exécutez les commandes et répondez aux invites, comme décrit dans les sous-étapes suivantes.
Important : si votre déploiement se compose de plusieurs contrôleurs de domaine ou que vous installez le bundle à partir d'une machine distante, la propagation du certificat d'autorité de certification à tous les contrôleurs de domaine peut prendre plusieurs heures. Vous pouvez réduire le délai d'exécution en exécutant
'gpupdate.exe /Target:Computer /Force'sur toutes les instances de contrôleurs de domaine.-
Exécutez la commande suivante.
Unblock-File -Path Path to ps1 file -
Exécutez le script PowerShell
ps1extrait du bundle d'autorité de certification et répondez aux invites.Par exemple,
PS C:\ca\AuthEngine-CA_1> .\AuthEngine-CA_1.ps1Si vous avez ajouté votre configuration SSO comme autorité de certification intermédiaire, vous êtes invité à sélectionner une autorité de certification d'entreprise MSFT pour signer la CSR d'Omnissa CA. Vous pouvez choisir une autorité de certification d'entreprise MSFT racine ou intermédiaire pour traiter la CSR d'Omnissa CA. Le cas échéant, sélectionnez l'autorité de certification d'entreprise appropriée. Vous devez activer le modèle Autorité de certification subordonnée pour l'autorité de certification d'entreprise sélectionnée.
Répondez à l'invite de confirmation requise suivante avec
Ycomme illustré.Confirmation required Do you want to publish to AD?N] No [Y] Yes [?] Help (default is "N"):``Y
-
Résultats
Le résultat attendu est que le script s'exécute sans erreur. Cependant, si vous rencontrez le type d'erreur suivant, effectuez la suggestion de dépannage fournie.
2022-03-22T15:35:39 [INFO ] [AuthEngine-CA-62351bb62ff3dd5966ad3575-1.ps1,67] certutil.exe -dspublish -f C:\SSO-C\
AuthEngine-CA-62351bb62ff3dd5966ad3575-1.crl
error : 2022-03-22T15:35:39 [ERROR][-2147016563][] Failed to publish base CRL
At C:\SSO-C\AuthEngine-CA-62351bb62ff3dd5966ad3575-1.ps1:303 char:5
+ error $retCode "Failed to publish base CRL"
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : NotSpecified: (:) [Write-Error], WriteErrorException
+ FullyQualifiedErrorId : Microsoft.PowerShell.Commands.WriteErrorException,error
Exécutez la commande Get-ADRootDSE suivante et vérifiez la sortie pour savoir si le nom de domaine de configuration de l'autorité de certification utilisé pour créer la configuration SSO correspond aux éléments que la propriété suivante renvoie : configurationNamingContext.
C:>
Get-ADRootDSE -Server dnsDomainName
Par exemple, C:\> Get-ADRootDSE -Server horizonv2.local
Sortie :
configurationNamingContext : "CN=Configuration,DC=horizonv2,DC=local"
...other
output fields...
Si le nom de domaine de configuration de l'autorité de certification ne correspond pas à la sortie, vous pouvez utiliser Horizon Universal Console pour modifier la configuration SSO, en particulier pour corriger le nom de domaine de la configuration de l'autorité de certification. Pour plus d'informations sur l'accès à la configuration SSO, reportez-vous à la section Ajouter une configuration SSO à Horizon Cloud pour une autorité de certification Omnissa. Pour modifier une configuration SSO, cliquez sur les trois points verticaux en regard de la configuration SSO et sélectionnez Modifier. Après avoir corrigé le nom de domaine, vous pouvez télécharger et publier le bundle d'autorité de certification mis à jour.
Étape suivante
Après avoir déployé la passerelle Horizon Edge Gateway, vérifiez que l'état de configuration SSO est défini correctement. Dans Horizon Universal Console, cliquez sur Capacité, sélectionnez le nom de l'instance d'Horizon Edge Gateway que vous avez configurée et modifiez la configuration pour activer l'option Utiliser SSO. Sélectionnez la configuration SSO pour l'associer à la passerelle Horizon Edge Gateway. Enregistrez et vérifiez que l'état est correctement défini sur READY_TO_SERVE, ce qui indique que l'authentification SSO est fonctionnelle pour les utilisateurs finaux.
Suppression d'un bundle publié d'Active Directory
Pour prendre en charge le nettoyage des bundles, un administrateur AD peut désinstaller des bundles d'autorité de certification précédemment installés à partir d'Active Directory en utilisant les options de ligne de commande suivantes pour le dspublish script. Ces options nécessitent que l'administrateur AD entre l'empreinte numérique du certificat d'autorité de certification pour confirmer la désinstallation du bundle. Cependant, les options de ligne de commande ne vérifient pas si le bundle est utilisé avant de le désinstaller. Avant d'exécuter l'une ou l'autre des commandes de désinstallation, assurez-vous que le bundle n'est pas en cours d'utilisation, car les options de ligne de commande n'effectuent pas cette vérification.
-uninstallAll
-uninstall
Un exemple de ligne de commande pour les deux options est présenté ci-dessous :
-.\AuthEngine-CA-653a8ec615d61616b629de15-1.ps1 -Uninstall
-.\AuthEngine-CA-653a8ec615d61616b629de15-1.ps1 -UninstallAll
Notez que le nom du script PS, par exemple 653a8ec615d61616b629de15-1, est différent pour chaque client.
Cette page vous a-t-elle été utile ?