SSO での Omnissa CA の使用

Omnissa Certificate Authority (CA) を使用して Horizon Cloud ユーザーにデスクトップおよびアプリケーションへのシングル サインオン (SSO) アクセスを提供するには、Omnissa CA を使用して、SSO の一時的なスマートカード証明書を発行します。透明性とセキュリティを確保するため、このプロセスには確立された Microsoft ユーティリティを使用する PowerShell スクリプトが含まれています。

次のリストには、Omnissa CA の構成に関する情報が記載されています。SSO を構成する場合は、コンテキストの中でこのような同じ詳細情報の多くが表示されます。たとえば、「Horizon Cloud への Omnissa CA 向けの SSO 構成の追加」では、Omnissa CA バンドルをダウンロードする手順が記載されています。このバンドルには、「Active Directory フォレストへの SSO CA バンドルの公開」の指示に従って SSO を構成するために実行する PowerShell スクリプトが含まれています。

• Omnissa CA で SSO に必要な機能を有効にするには、次のいずれかの状況が Active Directory フォレストに当てはまる必要があります。
  • Active Directory フォレストに少なくとも 1 つのオンライン Microsoft Enterprise CA が構成されている。この場合、次の結果が発生します。
    • Microsoft Enterprise CA は、その CA 証明書と証明書失効リスト (CRL) をフォレストに自動的に公開する。
    • ドメイン コントローラが証明書の登録を自動的に実行する。
  • Active Directory フォレストがサードパーティの CA またはスタンドアローンの Microsoft CA を使用する。この場合、次の状況が適用される必要があります。
    • すべての CA 証明書を、certutil などのユーティリティを使用してフォレストに手動で公開する必要がある。
    • 失効情報は HTTP 経由で常に使用できる必要がある。
    • ドメイン コントローラは、クライアント認証、サーバ認証、スマート カード ログイン、および KDC 認証を許可する証明書を使用して発行する必要がある。
• Omnissa CA は、ルート CA または中間 CA として構成できます。ただし、公開鍵基盤 (PKI) のベスト プラクティスは、中間 CA を選択することです。
• ルート CA を使用する場合、Omnissa CA 証明書は 5 年間有効です。
• 中間 CA を使用する場合、発行元の CA によって Omnissa CA 証明書の有効期間が決まります。
• 中間 CA を使用する場合、Omnissa CA 証明書は Microsoft CA または任意のサードパーティ CA によって署名できます。
• サードパーティ CA を使用する場合は、ドメイン メンバー マシンが、Omnissa CA 証明書を検証するために必要なすべての証明書と失効情報にアクセスできることを確認します。
• Omnissa CA を信頼するには、Active Directory フォレストのさまざまな場所に Omnissa CA バンドルを公開する必要があります。
• Omnissa CA バンドルを公開するには、ドメイン メンバー マシンの適切な権限を持つ管理者として PowerShell スクリプトを実行します。
• PowerShell スクリプトは 1 回のみ実行する必要があります。Active Directory は公開された PKI データを、Active Directory フォレスト内のすべてのドメインのすべてのドメイン コントローラおよびデスクトップにレプリケートします。複雑な Active Directory 環境で Repadmin などのユーティリティを使用すると、SSO を試行する前に、異なるドメインまたはサイト内のドメイン コントローラ間で構成の名前付けコンテキストをタイムリーにレプリケートできます。
• PowerShell スクリプトは、完全な透明性のために Microsoft ユーティリティ certreq と certutil を使用します。PowerShell スクリプトを実行する前に、スクリプトを読んで、その動作を正確に確認できます。