HTML Access 설치

HTML Access에 대한 Horizon 8 배포를 설정하려면 연결 서버에 HTML Access 구성 요소를 설치하고 특정 TCP 포트에서 인바운드 트래픽을 허용해야 합니다.

최종 사용자는 지원되는 브라우저를 열고 서버의 URL을 입력하여 원격 데스크톱 및 게시된 애플리케이션에 액세스할 수 있습니다. 최종 사용자가 서버에 연결하면 Horizon 웹 포털 페이지가 나타납니다. Horizon 웹 포털 페이지의 모양을 구성할 수 있으며, 그룹 정책을 설정하여 이미지 품질, 사용된 포트 및 기타 설정을 제어할 수 있습니다.

연결 서버 준비

최종 사용자가 서버에 연결하고 원격 데스크톱 또는 게시된 애플리케이션에 액세스할 수 있으려면 관리자가 연결 서버를 설치하고 구성해야 합니다.

연결 서버에 HTML Access 구성 요소 설치

연결 서버 복제 그룹을 구성하는 서버에서 HTML Access 설치 설정이 선택된 상태로 연결 서버를 설치합니다. 이 설정을 선택하면 HTML Access 구성 요소가 설치됩니다. 이 설정은 기본적으로 설치 관리자에서 선택됩니다. 자세한 내용은 Horizon 8 설치 및 업그레이드 문서를 참조하십시오.

Blast 외부 URL 구성

서버가 설치된 후 에서 해당 연결 서버 인스턴스에 대해 Blast 보안 게이트웨이 설정이 사용되도록 지정됩니다. 또한, 해당 연결 서버 인스턴스에서 Blast 보안 게이트웨이를 사용하도록 Blast 외부 URL 설정이 구성됩니다.

기본적으로 URL에는 보안 터널 외부 URL의 FQDN과 기본 포트 번호 8443이 포함됩니다. URL에는 클라이언트 시스템이 연결 서버 호스트에 도달하기 위해 사용할 수 있는 FQDN과 포트 번호가 포함되어야 합니다.

자세한 내용은 Horizon 8 설치 및 업그레이드 문서의 Horizon Connection Server 인스턴스의 외부 URL 설정 섹션을 참조하십시오.

방화벽 규칙 구성

타사 방화벽을 사용하는 경우, 복제 그룹의 모든 연결 서버 호스트에 대해 TCP 포트 8443에 대한 인바운드 트래픽을 허용하도록 규칙을 구성하고, 데이터 센터의 원격 데스크톱 가상 시스템 및 RDS 호스트에서 TCP 포트 22443에 대한 서버의 인바운드 트래픽을 허용하도록 규칙을 구성합니다.

자세한 내용은 클라이언트 웹 브라우저 액세스에 대한 방화벽 규칙 섹션을 참조하십시오.

사용자 인증 구성

사용자 인증을 설정할 때는 다음 검사 목록을 사용합니다.

• 각 연결 서버 인스턴스에 웹 브라우저에 입력한 호스트 이름을 사용하여 완전히 확인할 수 있는 TLS 인증서가 있는지 확인하십시오. 자세한 내용은 Horizon 8 설치 및 업그레이드 문서를 참조하십시오.

• RSA SecurID 또는 RADIUS 인증과 같은 2단계 인증을 사용하려면 연결 서버에서 이 기능이 사용되도록 설정되어 있는지 확인합니다. [RADIUS 인증 로그인] 페이지에서 레이블을 사용자 지정할 수 있습니다. 원격 세션 시간이 초과한 후 2단계 인증이 발생하도록 구성할 수 있습니다. 자세한 내용은 Horizon 8 관리 문서의 2단계 인증에 대한 항목을 참조하십시오.

• HTML Access에서 도메인 드롭다운 메뉴를 숨기려면 클라이언트 사용자 인터페이스에서 도메인 목록 숨기기 전역 설정을 사용하도록 설정합니다. 이 설정은 기본적으로 사용하도록 설정됩니다. 자세한 내용은 Horizon 8 관리 문서를 참조하십시오.

• HTML Access로 도메인 목록을 전송하려면 도메인 목록 보내기 전역 설정을 활성화합니다. 이 설정은 기본적으로 비활성화됩니다. 자세한 내용은 Horizon 8 관리 문서를 참조하십시오.

• 게시된 애플리케이션에 대해 인증되지 않은 액세스 권한을 제공하려면 연결 서버에서 이 기능을 사용하도록 설정합니다. 자세한 내용은 Horizon 8 관리 문서를 참조하십시오.

다음 표에서는 도메인 목록 보내기 및 클라이언트 사용자 인터페이스에서 도메인 목록 숨기기 전역 설정에 따라 사용자가 HTML Access에서 서버에 로그인하는 방법이 어떻게 결정되는지를 보여 줍니다.

도메인 목록 보내기 설정	클라이언트 사용자 인터페이스에서 도메인 목록 숨기기 설정	사용자가 로그인하는 방법
비활성화됨(기본값)	활성화됨(기본값)	도메인 드롭다운 메뉴는 숨겨져 있습니다. 사용자는 사용자 이름 텍스트 상자에 다음 값 중 하나를 입력해야 합니다. 사용자 이름 domain\username username@domain.com
비활성화됨	비활성화됨	클라이언트에서 기본 도메인이 구성된 경우 기본 도메인이 도메인 드롭다운 메뉴에 표시됩니다. 클라이언트가 기본 도메인을 알 수 없는 경우 도메인 드롭다운 메뉴에 *DefaultDomain*이 나타납니다. 사용자는 사용자 이름 텍스트 상자에 다음 값 중 하나를 입력해야 합니다. 사용자 이름 domain\username username@domain.com
활성화됨	활성화됨	도메인 드롭다운 메뉴는 숨겨져 있습니다. 사용자는 사용자 이름 텍스트 상자에 다음 값 중 하나를 입력해야 합니다. 사용자 이름(다중 도메인의 경우 허용되지 않음) domain\username username@domain.com
활성화됨	비활성화됨	사용자 이름 텍스트 상자에 사용자 이름을 입력하고 도메인 드롭다운 메뉴에서 도메인을 선택할 수 있습니다. 또는 사용자 이름 텍스트 상자에 다음 값 중 하나를 입력할 수 있습니다. domain\username username@domain.com

Workspace ONE에서 HTML Access 사용

필요한 경우 Workspace ONE에서 HTML Access를 사용할 수 있습니다. Workspace ONE 설치 및 연결 서버와 함께 사용하기 위한 구성에 대한 자세한 내용은 Workspace ONE 설명서를 참조하십시오.

연결 서버 및 SAML 인증 서버 연결에 대한 자세한 내용은 Horizon 8 관리 문서를 참조하십시오.

클라이언트 웹 브라우저 액세스에 대한 방화벽 규칙

클라이언트 웹 브라우저에서 연결 서버 인스턴스, 원격 데스크톱 및 게시된 애플리케이션에 연결하도록 하려면, 방화벽이 특정 TCP 포트에서 인바운드 트래픽을 허용해야 합니다.

HTML Access 연결은 HTTPS를 사용해야 합니다. HTTP 연결은 허용되지 않습니다.

기본적으로 Horizon Connection Server 인스턴스를 설치할 때 Windows 방화벽에서 Horizon View Horizon Connection Server(Blast-In) 규칙이 사용되도록 설정되며 방화벽이 TCP 포트 8443에 대한 인바운드 트래픽을 허용하도록 구성됩니다.

소스	기본 소스 포트	프로토콜	대상	기본 대상 포트	메모
클라이언트 웹 브라우저	TCP 임의	HTTPS	연결 서버 인스턴스	TCP 443	초기 연결을 설정하기 위해 클라이언트 디바이스의 웹 브라우저가 TCP 포트 443에서 연결 서버 인스턴스에 연결됩니다.
클라이언트 웹 브라우저	TCP 임의	HTTPS	Blast 보안 게이트웨이	TCP 8443	초기 연결이 설정된 후 클라이언트 디바이스의 웹 브라우저가 TCP 포트 8443에서 Blast 보안 게이트웨이에 연결됩니다. 이러한 두 번째 연결이 이루어지려면 Blast 보안 게이트웨이가 연결 서버 인스턴스에서 사용되도록 설정되어 있어야 합니다.
Blast 보안 게이트웨이	TCP 임의	HTTPS	HTML Access Agent	TCP 22443	Blast 보안 게이트웨이를 사용하도록 설정할 경우 사용자가 원격 데스크톱 또는 게시된 애플리케이션을 선택하면 Blast 보안 게이트웨이가 원격 데스크톱 가상 시스템 또는 RDS 호스트의 TCP 포트 22443에서 HTML Access Agent에 연결됩니다. 이 에이전트 구성 요소는 Horizon Agent 설치 시 함께 설치됩니다.
클라이언트 웹 브라우저	TCP 임의	HTTPS	HTML Access Agent	TCP 22443	Blast 보안 게이트웨이를 사용하지 않도록 설정할 경우, 사용자가 원격 데스크톱 또는 게시된 애플리케이션을 선택하면 클라이언트 디바이스의 웹 브라우저가 원격 데스크톱 가상 시스템 또는 RDS 호스트의 TCP 포트 22443에서 HTML Access Agent에 직접 연결됩니다. 이 에이전트 구성 요소는 Horizon Agent 설치 시 함께 설치됩니다.

새 TLS 인증서를 사용하도록 HTML Access Agent 구성

산업 또는 보안 규정을 준수하려면 HTML Access Agent가 생성하는 기본 TLS 인증서를 CA(인증 기관)에서 서명한 인증서로 바꿀 수 있습니다.

원격 데스크톱에 HTML Access Agent를 설치하면 HTML Access Agent 서비스로 자체 서명된 기본 인증서가 생성됩니다. 이 서비스는 HTML Access를 사용하는 브라우저에 기본 인증서를 제공합니다.

참고: 데스크톱 가상 시스템의 게스트 운영 체제에서는 이 서비스를 Blast 서비스라고 합니다.

기본 인증서를 CA에서 가져온 서명된 인증서로 교체하려면 각 원격 데스크톱의 Windows 로컬 컴퓨터 인증서 저장소로 인증서를 가져와야 합니다. 또한, HTML Access Agent를 통해 새 인증서를 사용할 수 있도록 하는 레지스트리 값을 설정해야 합니다.

기본 HTML Access Agent 인증서를 CA 서명 인증서로 교체할 경우 각 원격 데스크톱에 고유한 인증서를 구성하는 것이 좋습니다. 데스크톱 풀을 생성하는 데 사용하는 상위 가상 시스템 또는 템플릿에서 CA 서명 인증서를 구성하지 마십시오. 이러한 방법을 사용하면 수백 또는 수천 대의 원격 데스크톱이 동일한 인증서를 사용하게 됩니다.

원격 데스크톱의 MMC에 인증서 스냅인 추가

Windows 로컬 컴퓨터 인증서 저장소에 인증서를 추가하기 전에 HTML Access Agent가 설치된 원격 데스크톱의 MMC(Microsoft 관리 콘솔)에 인증서 스냅인을 추가해야 합니다.

사전 요구 사항

HTML Access Agent가 설치된 Windows 게스트 운영 체제에서 MMC와 인증서 스냅인을 사용할 수 있는지 확인하십시오.

절차

1. 원격 데스크톱에서 시작을 클릭하고 mmc.exe를 입력합니다.

2. MMC 창에서 파일 > 스냅인 추가/제거로 이동합니다.

   

3. 스냅인 추가 또는 제거 창에서 인증서를 선택하고 추가를 클릭합니다.

4. 인증서 스냅인 창에서 컴퓨터 계정을 선택하고 다음을 클릭한 다음 로컬 컴퓨터를 선택하고 마침을 클릭합니다.

   

   

5. 스냅인 추가 또는 제거 창에서 확인을 클릭합니다.

다음에 수행할 작업

SSL 인증서를 Windows 로컬 컴퓨터 인증서 저장소로 가져옵니다. Windows 인증서 저장소에 HTML Access Agent 인증서 가져오기 섹션을 참조하십시오.

Windows 인증서 저장소에 HTML Access Agent 인증서 가져오기

기본 HTML Access Agent 인증서를 CA 서명 인증서와 바꾸려면 CA 서명 인증서를 Windows 로컬 컴퓨터 인증서 저장소로 가져와야 합니다. HTML Access Agent가 설치된 각 원격 데스크톱에서 이 절차를 수행하십시오.

사전 요구 사항

• HTML Access Agent가 원격 데스크톱에 설치되어 있는지 확인하십시오.
• CA 서명 인증서가 원격 데스크톱에 복사되었는지 확인하십시오.
• 인증서 스냅인이 MMC에 추가되었는지 확인하십시오. 원격 데스크톱의 MMC에 인증서 스냅인 추가 섹션을 참조하십시오.

절차

1. 원격 데스크톱의 MMC 창에서 인증서(로컬 컴퓨터) 노드를 확장하고 개인 폴더를 선택합니다.

2. 작업 창에서 추가 작업 > 모든 작업 > 가져오기로 이동합니다.

   

3. 인증서 가져오기 마법사에서 다음을 클릭하고 인증서가 저장된 위치를 찾습니다.

   

4. 인증서 파일을 선택하고 열기를 클릭합니다.

   인증서 파일 유형을 표시하려면 파일 이름 드롭다운 메뉴에서 해당 파일 형식을 선택하십시오.

5. 인증서 파일에 포함된 개인 키 암호를 입력합니다.

6. 이 키를 내보낼 수 있도록 표시를 선택합니다.

7. 확장 가능한 모든 속성 포함을 선택합니다.

8. 다음, 마침을 차례로 클릭합니다.

   결과: 새 인증서가 인증서(로컬 컴퓨터) > 개인 > 인증서 폴더에 나타납니다.

9. 새 인증서에 개인 키가 포함되어 있는지 확인합니다.

   a. 인증서(로컬 컴퓨터) > 개인 > 인증서 폴더에서 새 인증서를 두 번 클릭합니다.

   b. [인증서 정보] 대화상자의 [일반] 탭에 You have a private key that corresponds to this certificate라는 문구가 표시되는지 확인합니다.

다음에 수행할 작업

필요한 경우 루트 인증서 및 중간 인증서를 Windows 인증서 저장소로 가져옵니다. HTML Access Agent용 루트 및 중간 인증서 가져오기 섹션을 참조하십시오.

인증서 지문과 함께 해당 레지스트리 키를 구성합니다. Windows 레지스트리에서 인증서 지문 설정 섹션을 참조하십시오.

HTML Access Agent용 루트 및 중간 인증서 가져오기

인증서 체인의 루트 인증서 및 중간 인증서가 HTML Access Agent에 대해 가져온 SSL 인증서와 함께 가져오기되지 않으면 이러한 인증서를 Windows 로컬 컴퓨터 인증서 저장소로 가져와야 합니다.

절차

1. 원격 데스크톱의 MMC 콘솔에서 인증서(로컬 컴퓨터) 노드를 확장하고 신뢰할 수 있는 루트 인증 기관 > 인증서 폴더로 이동합니다.

   • 루트 인증서가 이 폴더에 있고 인증서 체인에 중간 인증서가 없는 경우 이 절차를 건너뜁니다.
   • 루트 인증서가 이 폴더에 없는 경우 2단계를 진행하십시오.

2. 신뢰할 수 있는 루트 인증 기관 > 인증서 폴더를 마우스 오른쪽 버튼으로 클릭하고 모든 작업 > 가져오기를 클릭합니다.

3. 인증서 가져오기 마법사에서 다음을 클릭하고 루트 CA 인증서가 저장된 위치를 찾습니다.

4. 루트 CA 인증서 파일을 선택하고 열기를 클릭합니다.

5. 다음, 다음, 마침을 차례로 클릭합니다.

6. 중간 CA가 서버 인증서에 서명한 경우 인증서 체인의 모든 중간 인증서를 Windows 로컬 컴퓨터 인증서 저장소로 가져옵니다.

   a. 인증서(로컬 컴퓨터) > 중간 인증 기관 > 인증서 폴더로 이동합니다.

   b. 가져와야 할 각 중간 인증서에 대해 3~6단계를 반복합니다.

다음에 수행할 작업

인증서 지문과 함께 해당 레지스트리 키를 구성합니다. Windows 레지스트리에서 인증서 지문 설정 섹션을 참조하십시오.

Windows 레지스트리에서 인증서 지문 설정

HTML Access Agent가 Windows 인증서 저장소로 가져온 CA 서명 인증서를 사용하도록 허용하려면 Windows 레지스트리 키에서 인증서 지문을 구성해야 합니다. 기본 인증서를 CA 서명 인증서로 교체한 각 원격 데스크톱에서 이 단계를 적용해야 합니다.

사전 요구 사항

CA 서명 인증서를 Windows 인증서 저장소로 가져왔는지 확인합니다. Windows 인증서 저장소에 HTML Access Agent 인증서 가져오기 섹션을 참조하십시오.

절차

1. HTML Access Agent가 설치된 원격 데스크톱의 MMC 창에서 인증서(로컬 컴퓨터) > 개인 > 인증서 폴더로 이동합니다.

2. Windows 인증서 저장소로 가져온 CA 서명 인증서를 두 번 클릭합니다.

3. [인증서] 대화상자에서 [세부 정보] 탭을 클릭하고 아래로 스크롤한 후 지문 아이콘을 선택합니다.

   

4. 선택된 지문을 텍스트 파일에 복사합니다. 예: 31 2a 32 50 1a 0b 34 b1 65 46 13 a8 0a 5e f7 43 6e a9 2c 3e

   참고: 지문을 복사할 때 앞에 공백을 두지 마십시오. 지문과 함께 선행 공백을 레지스트리 키에 실수로 붙여넣을 경우(7단계) 인증서 구성이 실패할 수 있습니다. 레지스트리 값 텍스트 상자에 선행 공백이 표시되지 않더라도 이 문제가 발생할 수 있습니다.

5. HTML Access Agent가 설치된 데스크톱에서 Windows 레지스트리 편집기를 시작합니다.

6. Blast\Config 레지스트리 키로 이동합니다.

7. SslHash 값을 수정하고 텍스트 상자에 인증서 지문을 붙여넣습니다.

8. Windows를 재부팅합니다.

결과

사용자가 HTML Access를 통해 원격 데스크톱에 연결하면 HTML Access Agent는 CA 서명 인증서를 사용자의 브라우저에 표시합니다.

특정 암호 제품군을 사용하도록 HTML Access Agent 구성

기본 암호 세트 대신 특정 암호 제품군을 사용하도록 HTML Access Agent를 구성할 수 있습니다.

기본적으로 HTML Access Agent는 수신 TLS 연결이 네트워크 도청 및 위조에 대해 강력한 보호 기능을 제공하는 특정 암호를 기반으로 한 암호화를 사용하도록 요구합니다. HTML Access Agent가 사용할 대체 암호 목록을 구성할 수 있습니다. 허용되는 암호 세트는 OpenSSL 형식으로 표현됩니다. 암호 목록 형식을 보려면 웹 브라우저에서 openssl cipher string을 검색할 수 있습니다.

절차

1. HTML Access Agent가 설치된 데스크톱에서 Windows 레지스트리 편집기를 시작합니다.
2. Blast\Config 레지스트리 키로 이동합니다.
3. 새 문자열(REG_SZ) 값, SslCiphers를 추가하고 암호 목록을 OpenSSL 형식으로 텍스트 상자에 붙여넣습니다.
4. 변경 내용을 적용하려면 Blast 서비스를 다시 시작합니다. Windows 게스트 운영 체제에서 HTML Access Agent용 서비스 이름은 Blast입니다.

결과

기본 암호 목록을 사용하도록 되돌리려면 SslCiphers 값을 삭제하고 Blast 서비스를 다시 시작합니다. 값의 데이터 부분을 삭제하면 HTML Access Agent는 OpenSSL 암호 목록 형식 정의에 따라 모든 암호를 허용할 수 없는 것으로 처리하므로 이를 삭제하지 마십시오.

HTML Access Agent를 시작하면 Blast 서비스의 로그 파일에 암호 정의가 작성됩니다. Windows 레지스트리에 SslCiphers 값이 구성되지 않은 상태로 Blast 서비스가 시작될 경우 로그를 검사하여 현재의 기본 암호 목록을 검색할 수 있습니다.

HTML Access Agent의 기본 암호 정의는 보안 강화를 위해 릴리스마다 달라질 수 있습니다.

CA 서명 인증서를 사용하도록 iOS 구성

iOS 디바이스에서 HTML Access를 사용하려면 CA(인증 기관)에서 서명한 TLS 인증서를 설치해야 합니다. 연결 서버 또는 HTML Access Agent가 생성하는 기본 TLS 인증서는 사용할 수 없습니다.

자세한 내용은 Horizon 8 설치 및 업그레이드 문서의 루트 및 중간 인증서를 신뢰하도록 iOS용 Horizon Client 구성 섹션을 참조하십시오.

Unified Access Gateway에서 CA 서명 인증서 사용

Unified Access Gateway 장치를 사용하는 경우 SAN(주체 대체 이름)이 구성된 CA 서명 인증서를 설치해야 합니다.

SAN이 구성되지 않은 CA 서명 인증서 또는 자체 서명된 인증서를 사용하는 경우 "전용 연결 아님" 오류 메시지가 표시되며 HTML Access에 연결할 수 없습니다.

참고:

연결 서버 인스턴스를 사용하는 경우 사용자는 ip-address에서 계속 이동(비안전) 링크를 클릭하여 계속 연결할 수 있습니다.

인증서 설치 및 구성에 대한 자세한 내용은 Horizon 8 설치 및 업그레이드 문서를 참조하십시오. TLS 인증서를 사용하도록 HTML Access Agent를 구성하는 방법에 대한 자세한 내용은 새 TLS 인증서를 사용하도록 HTML Access Agent 구성 섹션을 참조하십시오.

HTML Access 업그레이드

HTML Access를 업그레이드하려면 연결 서버를 업그레이드해야 합니다.

HTML Access 업그레이드 시, 해당 버전의 연결 서버가 복제된 그룹의 모든 인스턴스에 설치되어 있는지 확인하십시오.

연결 서버를 업그레이드하면 HTML Access가 자동으로 설치되거나 업그레이드됩니다.

HTML Access 구성 요소가 설치되어 있는지 확인하려면 Windows 운영 체제에서 프로그램 제거 애플릿을 열고 목록에서 HTML Access를 찾아봅니다.

연결 서버에서 HTML Access 구성 요소 제거

다른 Windows 소프트웨어 제거 방법과 동일한 방법으로 HTML Access 구성 요소를 제거할 수 있습니다.

절차

1. HTML Access가 설치된 연결 서버 인스턴스에서 Windows 제어판의 프로그램 제거를 엽니다.
2. Horizon HTML Access를 선택하고 제거를 클릭합니다.
3. (선택 사항) 해당 호스트에 대한 Windows 방화벽에서 TCP 포트 8443이 더는 인바운드 트래픽을 허용하지 않는지 확인합니다.

다음에 수행할 작업

해당하는 경우, 타사 방화벽에서 연결 서버 인스턴스에 대해 타사 방화벽에서 TCP 포트 8443에 대한 인바운드 트래픽을 허용하지 않도록 규칙을 변경합니다.