正しい証明書タイプの選択

Unified Access Gateway では、異なるタイプの TLS/SSL 証明書を使用できます。デプロイに適したタイプの証明書を選択することが重要です。各タイプの証明書は、証明書を使用できるサーバの数に応じてコストが異なります。

どのタイプの証明書を選択した場合でも、証明書の完全修飾ドメイン名 (FQDN) を使用し、セキュリティに関する推奨事項に従ってください。内部ドメインの範囲内の通信にも、シンプルなサーバ名や IP アドレスは使用しないでください。

ユーザーには証明書の警告が表示され、続行するには確認する必要があります。

サブジェクトの別名

サブジェクトの別名 (SAN) は、発行する証明書に追加できる属性です。この属性は、証明書にサブジェクト名 (URL) を追加して、複数のサーバを検証できるようにするために使用します。

たとえば、ロード バランサの背後にある Unified Access Gateway アプライアンスに対して、ap1.example.com、ap2.example.com、および ap3.example.com という 3 つの証明書が発行されるとします。ロード バランサのホスト名を表すサブジェクトの別名 (SAN)（この例では、horizon.example.com など）を追加することにより、証明書は、クライアントが指定したホスト名に一致するため、有効になります。

証明書署名リクエストを認証局 (CA) に送信する場合は、コモン ネームおよび SAN 名として外部インターフェイスのロード バランサの仮想 IP アドレス (VIP) を指定します。ユーザーが指定したサーバ名を Unified Access Gateway アプライアンスが解決でき、証明書に関連付けられた名前とそのサーバ名が一致することを確認します。

証明書はポート 443 で使用されます。

ワイルドカード証明書

ワイルドカード証明書は、複数のサービスで使用できるようにするために生成されます。たとえば、*.example.com のような証明書です。

ワイルドカードは、多数のサーバが証明書を必要とする場合に便利です。Unified Access Gateway アプライアンスの他に、環境内の他のアプリケーションが TLS/SSL 証明書を必要とする場合は、それらのサーバに対してもワイルドカード証明書を使用できます。ただし、他のサービスと共有されるワイルドカード証明書を使用する場合、Horizon 製品のセキュリティは、それらのサービスのセキュリティにも依存します。

Unified Access Gateway アプライアンスにインポートする証明書は、クライアント マシンによって信頼されている必要があります。Unified Access Gateway とロード バランサのすべてのデプロイで同じ証明書を使用する必要があります。証明書には、ワイルドカードまたは dnsName タイプの個々のサブジェクト代替名 (SAN) エントリのいずれかを使用して、Unified Access Gateway が解決するすべてのホスト名を含める必要があります。