Preparar o Active Directory para uma configuração de SSO com uma CA Omnissa e aplicável a várias florestas

Ao configurar o SSO para o Horizon Cloud, você deve executar as tarefas apropriadas a seguir, dependendo dos detalhes da configuração da autoridade de certificação (CA) Omnissa.

Resumo dos procedimentos a seguir

Como criar um pacote de SSO, você usa o script do PowerShell para publicar o pacote na floresta para a qual o pacote foi criado. Essa ação garante que o SSO seja funcional para a floresta do pacote.

Para que o SSO funcione com florestas confiáveis adicionais, os certificados raiz e intermediários do caminho de certificação da CA Omnissa devem ser publicados na floresta confiável, da seguinte forma.

• Os certificados de CA raiz devem ser publicados na floresta confiável.
• Os certificados de CA intermediários devem ser publicados na floresta confiável.
• Os certificados de CA raiz devem ser publicados no armazenamento NTAuth.
• As informações de revogação devem estar sempre disponíveis em HTTP para toda a cadeia de certificados.

Adicionar o certificado raiz a autoridades de certificação raiz confiáveis

O certificado raiz que encerra o caminho de certificação da CA Omnissa deve ser adicionado à política de grupo Autoridades de Certificação Raiz Confiáveis no Active Directory.

Procedimento

1. Em todas as florestas do Active Directory que fazem parte da configuração de confiança, adicione o certificado raiz às autoridades de certificação raiz confiáveis.

   1. Selecione Iniciar > Ferramentas Administrativas > Gerenciamento de Política de Grupo.

   2. Expanda seu domínio, clique com o botão direito do mouse em Política de Domínio Padrão e clique em Editar.

2. Expanda a seção Configuração do Computador e abra Configurações do Windows\Configurações de Segurança\Chave Pública.

3. Clique com o botão direito do mouse em Autoridades de Certificação Raiz Confiáveis e selecione Importar.

4. Siga os prompts do assistente para importar o certificado raiz (por exemplo, rootCA.cer) e clique em OK.

5. Feche a janela Política de Grupo.

Resultados

Todos os sistemas no domínio agora têm uma cópia do certificado raiz em seu armazenamento raiz confiável.

O que fazer agora

Se uma autoridade de certificação intermediária (CA) emitir seus certificados de controlador de domínio ou login de cartão inteligente, adicione o certificado intermediário à política de grupo Autoridades de Certificação Intermediárias no Active Directory.

Adicionar um certificado intermediário a autoridades de certificação intermediárias

Todos os certificados provisórios do caminho de certificação da CA Omnissa devem ser adicionados à política de grupo Autoridades de Certificação Intermediárias no Active Directory.

Procedimento

1. Em todas as florestas do Active Directory que fazem parte da configuração de confiança, adicione todos os certificados intermediários que fazem parte da cadeia de certificados da CA Omnissa às autoridades de certificação intermediárias. No servidor do Active Directory, navegue até o plug-in Gerenciamento de Política de Grupo e conclua as seguintes etapas:

   1. Selecione Iniciar > Ferramentas Administrativas > Gerenciamento de Política de Grupo.

   2. Expanda seu domínio, clique com o botão direito do mouse em Política de Domínio Padrão e clique em Editar.

2. Expanda a seção Configuração do Computador e abra a política para Configurações do Windows\Configurações de Segurança\Chave Pública.

3. Clique com o botão direito do mouse em Autoridades de Certificação Intermediárias e selecione Importar.

4. Siga os prompts do assistente para importar o certificado intermediário (por exemplo, intermediateCA.cer) e clique em OK.

5. Feche a janela Política de Grupo.

Resultados

Todos os sistemas no domínio agora têm uma cópia do certificado intermediário em seu armazenamento de autoridade de certificação intermediária.

Adicionar o certificado raiz ao armazenamento Enterprise NTAuth

O certificado raiz que termina o caminho de certificação da CA Omnissa deve ser adicionado ao armazenamento Enterprise NTAuth no Active Directory.

Procedimento

1. Em seu Active Directory, use o comando certutil para publicar o certificado no armazenamento Enterprise NTAuth.

   Por exemplo: certutil -dspublish -f path_to_root_CA_cert NTAuthCA

Resultados

A autoridade de certificação agora é confiável para emitir certificados desse tipo.