Horizon Cloud를 사용할 때 최종 사용자에게 데스크톱 및 애플리케이션에 대한 SSO(Single Sign-On) 액세스 권한을 제공하려면 해당 Horizon Edge Gateway 인스턴스에서 SSO를 관리합니다.
이 절차를 통해 최종 사용자는 자격 증명을 한 번 입력한 후 데스크톱 및 애플리케이션에 액세스할 수 있습니다.
Horizon Cloud CA 구성에 대한 배경 정보는 SSO에 Horizon Cloud CA 사용을 참조하십시오.
이 절차를 완료하려면 필요에 따라 Microsoft 설명서를 참조하십시오. 예를 들어 엔터프라이즈 CA를 설치하려면 인증 기관 설치를 참조하십시오.
사전 요구 사항
-
Horizon Universal Console을 사용하여 CA(인증 기관) 번들을 생성하고 다운로드합니다. Horizon Cloud CA에 대한 SSO 구성 추가를 참조하십시오.
-
이 절차에 설명된 대로 Horizon Cloud CA 번들에서 추출된 PowerShell 스크립트를 실행하려면 적절한 사용 권한이 있는지 확인합니다.
이 절차를 수행하려면 Omnissa PowerShell 스크립트를 실행해야 합니다. PowerShell 스크립트를 실행하려는 경우 엔터프라이즈 관리자 그룹의 멤버 권한으로 스크립트 실행을 비롯한 몇 가지 옵션을 사용할 수 있습니다. 다음에 나와 있는 지침은 덜 강력한 사용 권한을 사용하지만 엔터프라이즈 관리자 그룹의 멤버로 스크립트를 실행할 수 있음을 제안합니다. 여기에서 제안되는 내용은 다음 사용 권한이 있는지 확인하는 것입니다.
- Active Directory의 "공용 키 서비스" 컨테이너에 대한 모든 사용 권한.
- Active Directory의 "SubCA" 인증서 템플릿에 대한 등록 사용 권한.
절차
-
도메인 멤버 시스템에 연결하고 Horizon Cloud CA 번들 파일을 서버에 업로드한 후 파일 컨텐츠의 압축을 풉니다.
적절한 사용 권한이 있는 한 도메인 멤버 시스템에서 Omnissa PowerShell 스크립트를 실행할 수 있습니다.
-
관리자 권한으로 실행을 사용하여 PowerShell을 열고 명령을 실행한 후 다음 하위 단계에 설명된 대로 프롬프트에 응답합니다.
중요사항: 배포가 여러 도메인 컨트롤러로 구성되거나 원격 시스템에서 번들을 설치하는 경우 CA 인증서를 모든 도메인 컨트롤러에 전파하는 데 몇 시간이 걸릴 수 있습니다. 모든 도메인 컨트롤러 인스턴스에서
'gpupdate.exe /Target:Computer /Force'를 실행하여 실행 시간을 줄일 수 있습니다.a. 다음 명령을 실행합니다.
``` Unblock-File -Path Path to ps1 file ```b. CA 번들에서 추출된
ps1PowerShell 스크립트를 실행하고 프롬프트에 응답합니다.예를 들면 `PS C:\ca\AuthEngine-CA_1> .\AuthEngine-CA_1.ps1`과 같습니다. SSO 구성을 중간 CA로 추가한 경우 Horizon Cloud CA CSR에 서명할 MSFT 엔터프라이즈 CA를 선택하라는 메시지가 표시됩니다. 루트 또는 중간 MSFT 엔터프라이즈 CA를 선택하여 Horizon Cloud CA CSR을 처리할 수 있습니다. 해당하는 경우 적절한 엔터프라이즈 CA를 선택합니다. 선택한 엔터프라이즈 CA에 대해 **하위 인증 기관** 템플릿을 사용하도록 설정해야 합니다.c. 다음과 같이
Y를 사용하여 다음 필수 확인 프롬프트에 응답합니다.``` Confirmation required Do you want to publish to AD? ``` `[N] No [Y] Yes [?] Help (default is "N"):``Y`
결과
예상된 결과는 스크립트가 오류 없이 실행되는 것입니다. 따라서 다음과 같은 유형의 오류가 발생하면 제공된 문제 해결 제안을 수행합니다.
2022-03-22T15:35:39 [INFO ] [AuthEngine-CA-62351bb62ff3dd5966ad3575-1.ps1,67] certutil.exe -dspublish -f C:\SSO-C\
AuthEngine-CA-62351bb62ff3dd5966ad3575-1.crl
error : 2022-03-22T15:35:39 [ERROR][-2147016563][] Failed to publish base CRL
At C:\SSO-C\AuthEngine-CA-62351bb62ff3dd5966ad3575-1.ps1:303 char:5
+ error $retCode "Failed to publish base CRL"
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : NotSpecified: (:) [Write-Error], WriteErrorException
+ FullyQualifiedErrorId : Microsoft.PowerShell.Commands.WriteErrorException,error
다음 Get-ADRootDSE 명령을 실행하고 출력을 확인하여 SSO 구성을 생성하는 데 사용되는 CA 구성 도메인 이름이 다음 속성이 반환하는 값과 일치하는지 확인합니다. configurationNamingContext.
C:\>
Get-ADRootDSE -Server dnsDomainName
예를 들면 C:\> Get-ADRootDSE -Server horizonv2.local과 같습니다.
출력:
configurationNamingContext : "CN=Configuration,DC=horizonv2,DC=local"
...other
output fields...
CA 구성 도메인 이름이 출력과 일치하지 않는 경우 Horizon Universal Console을 사용하여 SSO 구성을 편집할 수 있습니다. 특히 CA 구성 도메인 이름을 수정할 수 있습니다. SSO 구성 액세스에 대한 자세한 내용은 Horizon Cloud CA에 대한 SSO 구성 추가 항목을 참조하십시오. SSO 구성을 편집하려면 SSO 구성 옆에 있는 세로 점 3개를 클릭하고 편집을 선택합니다. 도메인 이름을 수정한 후 업데이트된 CA 번들을 다운로드하여 게시할 수 있습니다.
다음에 수행할 작업
Horizon Edge Gateway를 배포한 후 SSO 구성 상태가 올바르게 설정되어 있는지 확인합니다. Horizon Universal Console에서 용량을 클릭하고 구성한 Horizon Edge Gateway 인스턴스의 이름을 선택한 후 구성을 편집하여 SSO 사용 옵션을 활성화합니다. SSO 구성을 선택하여 Horizon Edge Gateway에 연결합니다. 저장하고 상태가 최종 사용자에게 SSO가 작동한다는 것을 나타내는 READY_TO_SERVE로 설정되어 있는지 확인합니다.
Active Directory에서 게시된 번들 제거
번들 정리를 지원하기 위해 AD 관리자는 dspublish 스크립트에 대해 다음 명령줄 옵션을 사용하여 Active Directory에서 이전에 설치한 CA 번들을 제거할 수 있습니다. 이러한 옵션을 사용하려면 AD 관리자가 CA 인증서 지문을 입력하여 번들 제거를 확인해야 합니다. 그러나 이 명령줄 옵션은 번들을 제거하기 전에 해당 번들이 사용 중인지 확인하지 않습니다. 이 명령줄 옵션이 확인을 수행하지 않으므로 제거 명령을 실행하기 전에 번들이 사용 중인지 확인해야 합니다.
-uninstallAll
-uninstall
두 옵션 모두에 대한 명령줄 예시가 아래에 나와 있습니다.
-.\AuthEngine-CA-653a8ec615d61616b629de15-1.ps1 -Uninstall
-.\AuthEngine-CA-653a8ec615d61616b629de15-1.ps1 -UninstallAll
PS 스크립트 이름(예: 653a8ec615d61616b629de15-1)은 고객마다 다릅니다.
이 페이지가 도움이 되었나요?