Certificats TLS/SSL

Vous devez configurer les certificats TLS/SSL pour les dispositifs Unified Access Gateway. TLS/SSL est requis pour les connexions client à des dispositifs Unified Access Gateway. Les dispositifs face au client Unified Access Gateway et les serveurs intermédiaires qui mettent fin aux connexions TLS/SSL requièrent des certificats de serveur TLS/SSL.

Les certificats de serveur TLS/SSL sont signés par une autorité de certification. Une autorité de certification est une entité approuvée qui garantit l'identité du certificat et de son créateur. Lorsque le certificat est signé par une autorité de certification approuvée, les utilisateurs ne reçoivent plus de messages leur demandant de vérifier le certificat, et les périphériques de client léger peuvent se connecter sans demander de configuration supplémentaire.

Remarque : la configuration des certificats TLS/SSL pour le dispositif Unified Access Gateway s'applique à Horizon et au proxy inverse Web uniquement.

Un certificat de serveur TLS/SSL par défaut est généré lorsque vous déployez un dispositif Unified Access Gateway. Pour les environnements de production, il est vivement recommandé de remplacer le certificat par défaut dès que possible. Le certificat par défaut n'est pas signé par une autorité de certification approuvée. Utilisez le certificat par défaut uniquement dans un environnement hors production.

Il est recommandé d'utiliser un certificat basé sur une clé RSA pour le serveur TLS. Le certificat et la clé privée peuvent être fournis en tant que keystore PKCS12/PFX ou en tant que fichiers de clé privée et de chaîne de certificats distincts au format PEM.

Pour convertir un PKCS12/PFX en fichier de chaîne de certificats au format PEM, exécutez la commande openssl suivante :

openssl pkcs12 -in mycaservercert.pfx -nokeys -out mycaservercert.pem

Pour convertir un PKCS12/PFX en fichier de clé privé au format PEM, exécutez la commande openssl suivante :

openssl pkcs12 -in mycaservercert.pfx -nodes -nocerts -out mycaservercertkey.pem

Lorsque vous fournissez le certificat et la clé au format PEM, la clé privée doit être au format PKCS1. Pour convertir la clé privée de PKCS8 en PKCS1, c'est-à-dire d'un format BEGIN PRIVATE KEY à un format BEGIN RSA PRIVATE KEY, exécutez la commande openssl suivante :

openssl rsa -in mycaservercertkey.pem -check -out mycaservercertkeyrsa.pem

Paramètres du certificat de serveur TLS dans l'interface utilisateur d'administration

1. Dans la section Configurer manuellement de la console l'administration d'UAG, cliquez sur Sélectionner.
2. Dans Paramètres avancés, sélectionnez l'icône en forme d'engrenage Paramètres du certificat du serveur TLS.
3. Sélectionnez l'interface pour appliquer le certificat, l'administrateur, Internet ou les deux.
4. Sélectionnez le type de certificat, PEM ou PFX.
   1. Pour PEM, sélectionnez la Clé privée et la Chaîne de certificats au format PEM. Après avoir ajouté le ou les certificats, cliquez sur Afficher pour afficher les détails du certificat.
   2. Pour PFX, cliquez sur Sélectionner pour Charger le certificat PFX. Entrez le Mot de passe et l'Alias PFX lorsque le magasin de certificats contient plusieurs certificats.
5. Cliquez sur Enregistrer.