クラスタ ID 証明書の構成

インストール時に、Omnissa Horizon Connection Server は自己署名クラスタ ID 証明書を生成します。これは、サイト リダイレクトや登録サーバの統合などの目的でクラスタ メンバーシップを証明するために Connection Server によって使用されます。証明書は自動的に更新されます（「証明書サムプリントの検証および証明書の自動生成」を参照）。また、自己署名証明書を CA 署名付き証明書に置き換えることもできます。

True SSO を使用している場合、クラスタ ID 証明書は、Horizon Connection Server と登録サーバ間の通信を保護するために使用されます。この証明書を CA 署名付き証明書に置き換える場合は、新しい証明書を登録サーバにインポートし、ルート CA 証明書を登録サーバの信頼済みルート認証局ストアに追加する必要があります。詳細については、『Omnissa Horizon 8 の管理』の「True SSO の設定」を参照してください。

前提条件

開始する前にクラスタ GUID を確認してください。クラスタ GUID を確認するには、vdmadmin -C コマンドを使用するか、HKEY_LOCAL_MACHINE\SOFTWARE\Omnissa\Horizon\Node Manager の Horizon Connection Server Cluster GUID に移動します。

手順

1. 以下の要件を満たす CA 署名付き証明書を生成します。この作業は管理コンソールから実行することを強くお勧めします。詳細については、「Horizon Console からインポートされた証明書の設定」を参照してください。

   **注：**クライアント証明書の生成に使用されるルート証明書は、ポッドのすべての Horizon Connection Server の信頼済みルート証明機関ストアに追加する必要があります。

   • SAN:dNSName:guid（guid はクラスタ GUID）

   • サブジェクト：CN=guid.company.com（guid はクラスタ GUID、company.com は任意の DNS ドメイン名）。

     この形式は廃止されており、SubjectAlternateName (SAN) フィールドを証明書に含めることができない場合にのみ使用する必要があります。前述のように dNSName SAN フィールドが含まれている場合、サブジェクトはポッドの名前など、任意の値に設定できます。

   • EKU：サーバ認証、クライアント認証

   • 署名アルゴリズム：SHA256 以上（コモン クライテリアで承認された構成の場合は SHA384 以上）

   • フレンドリ名の設定：vdm.ec.new

   • プライベート キーはエクスポート可能とマークする必要があります。

   • 証明書は、[証明書（ローカル コンピュータ）] > [Omnissa Horizon 証明書] > [証明書] に追加する必要があります。

2. フレンドリ名が vdm.ec の既存のクラスタ証明書を削除します。

3. Horizon Connection Server サービスを再起動します。

結果

Horizon Connection Server が新しい証明書を受け入れると、証明書のフレンドリ名が vdm.ec.new から vdm.ec に変更されます。何らかの理由で証明書が受け入れられない場合、古い証明書は LDAP から Windows 証明書ストアに移動します。クラスタ内の他のサーバは、LDAP からこの証明書を取得します。