マルチフォレスト環境での SSO のための Active Directory の準備

このセクションでは、Horizon Cloud 認証局 (CA) または Microsoft Enterprise CA を使用して、マルチフォレスト環境で SSO のための Active Directory を準備する方法について説明します。

マルチフォレスト環境では、通常、ユーザーは 1 つのフォレスト（ユーザー フォレスト）で認証し、別のフォレスト（リソース フォレスト）でデスクトップなどのリソースにアクセスします。このシナリオでは、True SSO などの機能を有効にするためにリソース フォレストがユーザー フォレストで使用される認証局を信頼する必要があります。

次の前提条件と手順により、証明書の信頼と通信がフォレスト全体で正しく確立されます。

前提条件

開始する前に、次の前提条件を満たしていることを確認します。

• リソース フォレストとユーザー フォレストの間に、少なくとも一方向の信頼関係があること（展開の設計に応じて、双方向の信頼を使用することもできます）
• フォレスト全体で名前解決を許可するように DNS 解決が構成されていること
• 証明書失効リスト (CRL) にフォレスト全体からアクセスできること
• 証明書の発行と検証をサポートするために、参加しているすべてのフォレストでドメイン コントローラ、認証局、および Horizon コンポーネント間にネットワーク接続が存在すること
• 認証局によって発行された証明書がフォレスト全体で検証できること

後続の手順の概要

複数のフォレスト間で SSO を有効にするには、ユーザー フォレストの認証局のルート証明書と中間証明書がリソース フォレストで信頼されていることを確認する必要があります。

Horizon Cloud CA 環境の場合、SSO 証明書バンドルは PowerShell スクリプトを使用して Active Directory に公開されます。Microsoft Enterprise CA 環境の場合、証明書サービスは、Active Directory 内で使用可能な証明書情報を公開します。

次の手順では、クロスフォレスト認証を成功させるためにこれらの証明書を公開および構成する方法について説明します。

信頼されたルート証明機関にルート証明書を追加する

Omnissa または Microsoft Enterprise CA 証明書チェーンの終端にあるルート証明書は、Active Directory のグループ ポリシーを使用して、信頼されたルート証明機関ストアに追加する必要があります。

手順

1. 信頼構成の一部であるすべての Active Directory フォレストで、信頼されたルート証明機関にルート証明書を追加します。

   1. [スタート] > [管理ツール] > [グループ ポリシー管理] を選択します。

   2. ドメインを展開し、[デフォルト ドメイン ポリシー] を右クリックして、[編集] をクリックします。

2. [コンピュータの構成] セクションを展開し、[Windows 設定] > [セキュリティ設定] > [公開鍵] の順に開きます。

3. [信頼されたルート証明機関] を右クリックして、[インポート] を選択します。

4. ウィザードの指示に従ってルート証明書（rootCA.cer など）をインポートし、[OK] をクリックします。

5. [グループ ポリシー] ウィンドウを閉じます。

結果

ドメイン内のすべてのシステムの信頼されたルート ストアに、ルート証明書がコピーされます。

次の手順

中間証明機関（CA）がスマート カードのログイン証明書またはドメイン コントローラ証明書を発行する場合は、Active Directory で中間証明機関のグループ ポリシーに中間証明書を追加します。

中間証明機関に中間証明書を追加する

Horizon Cloud または Microsoft Enterprise CA 証明チェーンのすべての中間証明書は、Active Directory のグループ ポリシーを使用して中間認証局ストアに追加する必要があります。

手順

1. 信頼構成の一部であるすべての Active Directory フォレストで、Horizon Cloud CA 証明書チェーンに含まれるすべての中間証明書を中間認証局に追加します。Active Directory サーバで、Group Policy Management プラグインに移動し、次の操作を行います。

   1. [スタート] > [管理ツール] > [グループ ポリシー管理] を選択します。

   2. ドメインを展開し、[デフォルト ドメイン ポリシー] を右クリックして、[編集] をクリックします。

2. [コンピュータの構成] セクションを展開し、Windows Settings\Security Settings\Public Key のポリシーを開きます。

3. [中間証明機関] を右クリックして、[インポート] を選択します。

4. ウィザードの指示に従って中間証明書（intermediateCA.cer など）をインポートし、[OK] をクリックします。

5. [グループ ポリシー] ウィンドウを閉じます。

結果

ドメイン内のすべてのシステムの中間証明機関ストアに、中間証明書がコピーされます。

Enterprise NTAuth ストアにルート証明書を追加する

Horizon Cloud または Microsoft Enterprise CA 証明チェーンの終端にあるルート証明書は、Active Directory の Enterprise NTAuth ストアに追加する必要があります。

手順

1. Active Directory サーバで、certutil コマンドを使用して、証明書を Enterprise NTAuth ストアに発行します。

   例：certutil -dspublish -f path_to_root_CA_cert NTAuthCA

結果

CA がこの種の証明書の発行元として信頼されるようになります。