Configurar o True SSO para uso com seu ambiente Horizon Cloud

Depois que você tiver registrado um domínio Active Directory com seu ambiente Horizon Cloud e tiver integrado o ambiente ao Omnissa Access, poderá configurar o True SSO para ele. O True SSO é um recurso que se integra ao Access para permitir que os usuários façam logon único nas áreas de trabalho e aplicativos Windows virtuais servidos pelo Horizon Cloud sem a necessidade de também inserir suas credenciais Active Directory no sistema operacional Windows. Quando o True SSO é configurado para seu ambiente, os usuários finais são autenticados na URL de Acesso que você lhes fornece para acessar suas áreas de trabalho e aplicativos autorizados. Após essa autenticação, os usuários podem inicializar seus aplicativos e áreas de trabalho permitidos sem uma solicitação de credenciais Active Directory.

Importante: A configuração do True SSO é um tipo de configuração em todo o tenant. A configuração do True SSO será aplicada a todos os pods do Horizon Cloud da sua frota de pods no Microsoft Azure. Como resultado, após você configurar o True SSO com êxito no tenant do Horizon Cloud pela primeira vez e depois implantar pods adicionais do Horizon Cloud em suas assinaturas do Microsoft Azure usando o assistente de implantação de pod automatizada, o sistema enviará a mesma configuração do True SSO para todos esses pods e tentará validar a mesma configuração do True SSO nesses pods.

Configurar o True SSO para uso com o seu ambiente é um processo de várias etapas. Em um alto nível, as etapas são:

1. Configure a infraestrutura necessária para o True SSO operar, que envolve: a. Instalar e configurar uma Autoridade de Certificação (CA) do Microsoft Windows Server para ser uma autoridade de certificação corporativa. Os procedimentos nesta seção destinam-se ao Microsoft Windows Server 2012 R2. Etapas muito semelhantes podem ser seguidas nas outras versões do Microsoft Windows Server com suporte para uso com esse recurso. b) Configurar um modelo de certificado na autoridade de certificação.

   Importante: Use apenas caracteres ASCII nos nomes de seus modelos de True SSO. Devido a um problema conhecido, se os nomes dos modelos True SSO incluírem caracteres não ASCII ou ASCII superiores, você não poderá configurar com êxito o True SSO com seu ambiente Horizon Cloud.

   c. Baixar o pacote de emparelhamento do Horizon Cloud na página Active Directory do Horizon Universal Console. O pacote de emparelhamento é usado ao configurar o Servidor de Registro.

   d. Configurar o Servidor de Inscrição.

   Importante: Depois de configurar o Servidor de Registro, certifique-se de atender aos requisitos de porta para o Servidor de Inscrição descritos em Tenants de primeira geração: Horizon Cloud em implantações do Microsoft Azure: requisitos de resolução de nomes de host, nomes DNS.

2. Adicionar as informações do Servidor de Registro à página de Active Directory do Horizon Universal Console.

Quando a configuração for concluída, a autoridade de certificação corporativa e o Servidor de Registro trabalham juntos para emitir certificados de curta duração que são usados para fazer login dos usuários em seus aplicativos e áreas de trabalho permitidos. O pod Horizon Cloud solicita ao Servidor de Registro um certificado para um usuário autorizado específico. O Servidor de Registro entra em contato com a autoridade de certificação para gerar o certificado solicitado e, em seguida, retorna o certificado para o pod Horizon Cloud.

Pré-requisitos para a configuração completa do True SSO

Antes de configurar o True SSO, você deve ter pelo menos um ambiente do Access configurado com seu ambiente Horizon Cloud do. Consulte o tópico da documentação de Sobre como usar um ambiente do Horizon Cloud com o Omnissa Access e com o recurso opcional True SSO e siga o procedimento de integração apropriado à configuração do seu ambiente de Horizon Cloud.

Configurar uma autoridade de certificação corporativa usando um sistema Microsoft Windows Server

Um elemento obrigatório para usar o recurso True SSO é uma autoridade de certificação (CA) da Microsoft. Se você ainda não tiver uma autoridade de certificação (CA) configurada, deverá adicionar a função de Serviços de Certificados do Active Directory (AD CS) a um servidor Microsoft Windows e configurar o servidor como uma CA empresarial. Você pode usar o assistente de Service Manager para executar esse procedimento.

Estas são as etapas padrão para configurar uma autoridade de certificação da Microsoft. Elas são detalhadas neste tópico em um formato simples adequado para utilização em um ambiente de laboratório, mas, para um sistema de produção real, é recomendável que você siga as práticas recomendadas do setor para a configuração da autoridade de certificação.

Se você precisar de mais orientações sobre como configurar uma autoridade de certificação, consulte as referências técnicas padrão da Microsoft: Active Directory Guia Passo a Passo dos Serviços de Certificados e Instalar uma Autoridade de Certificação Raiz.

Observação: Para ilustrar o processo, as etapas específicas neste tópico são baseadas no uso do Windows Server 2012 R2. Etapas muito semelhantes podem ser seguidas em outros sistemas de servidor Windows. Se você quiser instalar o Servidor de Registro no mesmo sistema que hospeda essa autoridade de certificação, use uma das versões Windows do servidor compatíveis com o Servidor de Registro. Consulte Configurar o Servidor de Registro.

Procedimento

1. No Painel do Gerenciador de Servidores, clique em Adicionar Funções e Recursos para abrir o assistente e clique em Avançar.

2. Na página Selecionar Tipo de Instalação, selecione Instalação baseada em função ou recurso e clique em Avançar.

3. Na página Seleção de Servidor, mantenha os padrões e clique em Avançar.

4. Na página Funções de Servidor:

   1. Selecione Active Directory Serviços de Certificado.

   2. Na caixa de diálogo, selecione Incluir ferramenta de gerenciamento (se aplicável) e clique em Adicionar Recursos.

   3. Clique em Avançar.

5. Na página Recursos, clique em Avançar.

6. Na página AD CS, clique em Avançar.

7. Na página Serviços de Função, selecione Autoridade de Certificação e clique em Avançar.

8. Na página Confirmação, selecione Reiniciar cada servidor de destino automaticamente, se necessário e clique em Instalar.

É exibido o Progresso da Instalação. Quando a instalação estiver concluída, um link de URL será exibido, permitindo que você configure a autoridade de certificação recém-instalada como "Configurar Active Directory serviços de certificado" no servidor de destino.

9. Clique no link de configuração para iniciar o assistente de configuração.

10. Na página Credenciais, insira as credenciais do usuário do grupo Admin Corporativo e clique em Avançar.

11. Na página Serviços de Função, selecione CA e clique em Avançar.

12. Na página Tipo de Instalação, selecione CA Corporativa e clique em Avançar.

13. Na página Tipo de CA, selecione CA Raiz ou Subordinada conforme apropriado (neste exemplo, é uma CA Raiz) e clique em Avançar.

14. Na página Chave Privada, selecione Criar uma nova chave privada e clique em Avançar.

15. Na página Criptografia, insira as seguintes informações.

    Campo	Descrição
    Provedor de Criptografia	RSA#Provedor do Armazenamento de Chaves do Software Microsoft
    Comprimento da Chave	4096 (ou outro prazo se preferir)
    Algoritmo de hash	SHA256 (ou outro algoritmo SHA se preferir)

16. Na página Nome da Autoridade de Certificação, configure como desejar ou aceite os padrões e clique em Avançar.

17. Na página Período de Validade, configure como desejar e clique em Avançar.

18. Na página Bancos de Dados de Certificados, clique em Avançar.

19. Na página Confirmação, revise as informações e clique em Configurar.

20. Conclua o processo de configuração realizando as seguintes tarefas (execute todos os comandos no prompt de comando).

    1. Configurar a autoridade de certificação para processamento de certificado não persistente

       certutil –setreg DBFlags 
       +DBFLAGS_ENABLEVOLATILEREQUESTS
       

    2. Configurar a autoridade de certificação para ignorar erros de CRL offline

       certutil –setreg ca\CRLFlags 
       +CRLF_REVCHECK_IGNORE_OFFLINE
       

    3. Reiniciar o serviço do .

       net stop certsvc
       net start certsvc
       

21. Configure um modelo de certificado na autoridade de certificação seguindo as etapas na seção a seguir Configurar um modelo de certificado na autoridade de certificação .

Horizon Cloud - True SSO: configurar um modelo de certificado na autoridade de certificação

Você deve configurar o modelo de certificado na autoridade de certificação. O modelo de certificado é a base para os certificados gerados pela autoridade de certificação.

Pré-requisitos

Conclua as etapas descritas anteriormente em Configurar uma autoridade de certificação corporativa usando um sistema Microsoft Windows Server.

Procedimento

1. Crie um novo Grupo de Segurança Universal.

   Criar esse grupo permite que você tenha um único Grupo de Segurança ao qual você pode atribuir as permissões necessárias para emitir certificados em nome dos usuários. Todos os computadores nos quais os Servidores de Registro estão instalados podem herdar essas permissões se tornando um membro desse grupo.

   1. Clique em Iniciar e digite dsa.msc.

   A janela Usuários e Computadores Active Directory é exibida.

   2. Na árvore, clique com o botão direito do mouse na pasta Usuários do controlador de domínio e selecione Novo Grupo >.

   É exibida a janela Novo Objeto - Grupo.

   3. No campo Nome do Grupo , insira um nome para o novo grupo. Por exemplo, Servidores de Inscrição de True SSO.

   4. Defina os seguintes valores.

      Configuração	Valor
      Escopo do grupo	Universal
      Tipo de grupo	Segurança

   5. Clique em OK.

   O novo grupo é exibido na árvore da janela Active Directory Usuários e Computadores.

   6. Clique com botão direito do mouse no grupo e selecione Propriedades.

   7. Na guia Membro de, adicione todos os computadores nos quais você instalará um Servidor de Registro e, em seguida, clique em OK.

   8. Reinicie todos os computadores nos quais você instalará um Servidor de Registro.

2. Modelo de certificado

   1. Selecione Painel de Controle > Ferramentas Administrativas > Autoridade de Certificação.

   2. Na árvore, expanda o nome da autoridade de certificação local.

   3. Clique com botão direito do mouse na pasta Modelos de Certificado e selecione Gerenciar.

   É exibido o Console de Modelos de Certificado.

   4. Clique com botão direito do mouse no modelo de Logon de Cartão Inteligente e selecione Duplicar Modelo.

   É exibida a janela Propriedades do Novo Modelo.

   5. Insira as informações nas guias da janela, conforme descrito abaixo.

      Guia	Configurações
      Compatibilidade	Marque a caixa de seleção Mostrar alterações resultantes. Autoridade de Certificação - Selecione o sistema operacional Windows Destinatário do certificado: selecione o sistema operacional Windows
      Geral	Importante: use apenas caracteres ASCII nos nomes de seus modelos de True SSO. Devido a um problema conhecido, se os nomes dos modelos True SSO incluírem caracteres não ASCII ou ASCII superiores, você não poderá configurar com êxito o True SSO com seu ambiente Horizon Cloud. Nome de exibição do modelo - Nome de sua preferência. Por exemplo, Modelo do True SSO. Nome do modelo - Nome de sua preferência. Por exemplo, Modelo do True SSO. Período de Validade Período de renovação - 0 semanas
      Guia Tratamento de Solicitação	Objetivo - Assinatura e logon de cartão inteligente Marque a caixa de seleção Para renovação automática de certificados de cartão inteligente . . . Selecione o botão de opção Pedir a confirmação do usuário durante o registro
      Guia Criptografia	Categoria do Provedor - Provedor de Armazenamento de Chaves Nome do algoritmo - RSA Tamanho mínimo da chave - 2048 Selecione o botão de opção Solicitações podem usar qualquer provedor disponível . . . . Solicitar hash - SHA256
      Nome da Entidade	Selecione o botão de opção Criar a partir desta Informação Active Directory. Formato de nome da entidade - Nome totalmente diferenciado Marque a caixa de seleção Nome UPN .
      Servidor	Marque a caixa de seleção Não armazenar certificados e solicitações no banco de dados da autoridade de certificação
      Guia Requisitos de Emissão	Exija o seguinte para a inscrição - Selecione Número de assinaturas autorizadas e insira 1. Tipo de política necessária na assinatura - Política de aplicativo Política de aplicativo - Agente de Solicitação de Certificado Exija o seguinte para a inscrição - Certificado existente válido
      Segurança	Na parte superior da guia, selecione o novo grupo que você criou. Em seguida, na parte inferior da guia, selecione Permitir permissões de Leitura e Registro.

   6. Clique em OK.

3. Emita o modelo para True SSO.

   1. Clique com o botão direito do mouse novamente na pasta Modelos de Certificado e selecione Novo > Modelo de Certificado a Ser Emitido.

   É exibida a janela Ativar Modelos de Certificado.

   2. Selecione TrueSsoTemplate e clique em OK.

4. Modelo de agente de inscrição

   1. Clique com o botão direito do mouse novamente na pasta Modelos de Certificado e selecione Novo > Modelo de Certificado a Ser Emitido.

   É exibida a janela Ativar Modelos de Certificado.

   2. Selecione o computador do Agente de Inscrição e clique em OK.

   Observação: Esse modelo deve ter as mesmas configurações de segurança que o modelo emitido na etapa anterior.

   A autoridade de certificação agora está configurada com um modelo de certificado adequado para uso com True SSO.

5. Baixe o pacote de emparelhamento do Horizon Cloud seguindo as etapas na seção a seguir: Baixar o pacote de emparelhamento Horizon Cloud.

Horizon Cloud - True SSO - Baixar o pacote de emparelhamento do Horizon Cloud

Você precisa deste pacote de emparelhamento para concluir as etapas de instalação do Servidor de Registro quando está configurando seu ambiente de Horizon Cloud para True SSO. Baixe o pacote de emparelhamento na página Active Directory do Horizon Universal Console.

Importante: A configuração do True SSO é um tipo de configuração em todo o tenant. A configuração do True SSO será aplicada a todos os pods do Horizon Cloud da sua frota de pods no Microsoft Azure. Como resultado, após você configurar o True SSO com êxito no tenant do Horizon Cloud pela primeira vez e depois implantar pods adicionais do Horizon Cloud em suas assinaturas do Microsoft Azure usando o assistente de implantação de pod automatizada, o sistema enviará a mesma configuração do True SSO para todos esses pods e tentará validar a mesma configuração do True SSO nesses pods.

O pacote de emparelhamento contém um arquivo de certificado para cada um dos Horizon Cloud pods implantados no Microsoft Azure para seu ambiente Horizon Cloud. Para os pods para os quais você deseja configurar o True SSO, é possível carregar arquivos de certificado nesses pods para o Servidor de Registro. Quando você tem um pod, o pacote contém um arquivo de certificado no formato CRT. Quando você tem mais de um pod, o pacote contém vários arquivos CRT, um por pod. O nome de cada arquivo CRT segue o padrão:

podID_truesso.crt

onde podID é o ID do pod que é exibido na página de resumo do pod.

Procedimento

1. No console, navegue até Configurações > Active Directory.

2. Na área Configuração do True SSO, obtenha o pairing_bundle.7z arquivo clicando em Baixar Token de Emparelhamento.

3. Salve o arquivo em um local na qual você pode extrair seu conteúdo.

4. Para os pods para os quais você deseja configurar o True SSO, extraia os arquivos CRT de pods do pacote de emparelhamento em um local onde você pode recuperá-los quando você estiver configurando o Servidor de Registro.

O pacote de emparelhamento contém um arquivo de certificado para cada pod do no seu ambiente. Cada nome de arquivo CRT segue o padrão podID_truesso.crt, em que podID é o valor de ID do pod.

5. Configure o Servidor de Registro seguindo as etapas da seção a seguir Configurar o Servidor de Registro.

Servidor de Registro

Esta página de documentação descreve como configurar o Servidor de Inscrição para uso com o Horizon Cloud de primeira geração em implantações do Microsoft Azure.

O Servidor de Registro (ES) é um componente do Horizon Cloud no Microsoft Azure que você instala em uma máquina Windows Server como a última etapa da configuração da infraestrutura para True SSO. Ao implementar o certificado do Agente de Inscrição (Computador) no servidor, você autoriza esse ES para agir como um Agente de Inscrição e gerar os certificados em nome dos usuários.

Atenção: Se o seu tenant de primeira geração tiver vários Horizon Cloud em implantações do Microsoft Azure em sua frota, quando você estiver configurando Servidores de Inscrição, deverá garantir que estes sejam acessíveis por todas as instâncias do gerenciador de pods dessas implantações. Caso contrário, a etapa final de emparelhamento falhará (a etapa de conclusão falhará).

Conforme descrito na Observação importante na parte superior desta página Configurar o True SSO para uso com seu ambiente Horizon Cloud, a configuração do True SSO é um tipo de configuração no âmbito do tenant. O sistema envia a mesma configuração de True SSO para todos os pods na frota do tenant e tenta validar a mesma configuração do True SSO em todos eles. Se você criar um Servidor de Inscrição para trabalhar com o Pod-A e também configurar um Servidor de Inscrição separado para trabalhar com o Pod-B, ambos deverão ser acessíveis tanto pelo Pod-B quanto pelo Pod-B.

Pré-requisitos

Verifique se você concluiu as etapas em Configurar uma autoridade de certificação empresarial usando um sistema Microsoft Windows Server, Configurar um modelo de certificado na autoridade de certificação e Baixar o pacote de emparelhamento do Horizon Cloud.

Observação: A CA Empresarial deve estar configurada para que você veja os itens apropriados no assistente para Inscrição de Certificado nas etapas documentadas nesta página.

Verifique se o sistema no qual você instalará o software do Servidor de Registro está executando um destes sistemas operacionais compatíveis com essa instalação: Windows Server 2012 R2, Windows Server 2016 Windows Server 2019. O sistema deve ter um mínimo de 4 GB de memória.

Observação: O uso do Windows Server 2022 não foi qualificado para suporte ao uso do Servidor de Inscrição com o Horizon Cloud de primeira geração em implantações do Microsoft Azure.

Os rótulos nas etapas a seguir refletem a execução das etapas em um sistema Windows Server 2016.

Procedimento

1. Instale o Servidor de Registro no sistema.

   1. Baixe o Enrollment Server.exe arquivo do Horizon Cloud na página do Microsoft Azure no Customer Connect. O nome do arquivo será semelhante a HorizonCloud-TruessoEnrollmentServer-x86_64-7.3.0-xxxxx.exe.

   2. Confirme se o sistema atende aos pré-requisitos conforme indicado anteriormente.

   3. Execute o instalador e siga o assistente.

2. No Servidor de Inscrição, adicione o snap-in de Certificado ao MMC (Console de Gerenciamento da Microsoft).

   1. Abra o MMC e selecione Arquivo > Adicionar/Remover Snap-in.

   2. Em Snap-ins disponíveis, selecione Certificados e clique em Adicionar.

   3. Na janela do snap-in Certificados, selecione Conta do computador e clique em Avançar.

   4. Na janela Selecionar Computador, mantenha o padrão de Computador local e clique em Concluir.

   5. De volta à janela Adicionar ou Remover Snap-ins, clique em OK para concluir a adição do snap-in Certificado.

3. Implante o certificado do Agente de Inscrição nesse Servidor de Inscrição.

   1. No MMC, expanda Certificados (Computador Local) que você adicionou na etapa anterior, clique com o botão direito na pasta Pessoal e selecione Todas as Tarefas > Solicitar Novo Certificado.

      O assistente para Inscrição de Certificado é iniciado.

   2. Continue com o assistente para Inscrição de Certificado, aceitando os padrões até chegar à etapa Solicitar Certificados .

   3. Na etapa Solicitar Certificados do assistente, marque a caixa de seleção Agente de Inscrição (Computador) e clique em Inscrever.

   4. Continue com o assistente, aceitando os padrões nas etapas restantes e, na etapa final, clique em Concluir.

4. Importe os arquivos CRT de certificado dos pods extraídos do arquivo, para esses pods com os pairing_bundle.7z quais você deseja configurar o True SSO.

   O pacote de emparelhamento contém um arquivo de certificado para cada pod do no seu ambiente. Cada nome de arquivo CRT segue o padrão podID_truesso.crt, em que podID é o valor de ID do pod.

   1. No MMC, clique com botão direito do mouse na subpasta Certificados na pasta Raízes Confiáveis do Servidor de Registro Horizon View e selecione Todas as Tarefas > Importar.

   2. No assistente para Importar Certificado, siga as instruções para navegar até o local em que você extraiu os arquivos de certificado do pairing_bundle.7z pacote.

   Quando você tiver apenas um pod, o pacote conterá apenas um arquivo CRT. Quando você tiver mais de um pod, o pacote conterá um arquivo CRT para cada pod.

   3. Importe o(s) arquivo(s) de certificado, dependendo de quantos pods que você está configurando.

   4. Clique em Avançar e depois clique em Concluir.

5. Conclua as etapas de configuração restantes descritas na seção a seguir : Concluir a configuração do True SSO para o ambiente do Horizon Cloud.

Horizon Cloud - True SSO - Conclusão da configuração do True SSO para o ambientedo Horizon Cloud

Depois que o Servidor de Inscrição é configurado, insira as informações na página de Active Directory do Horizon Universal Console.

Pré-requisitos

Conclua a etapa anterior Configure o Servidor de Registro.

Confirme que você cumpriu com os requisitos de porta e de protocolo para o tráfego de rede do Servidor de Registro e as VMs do gerenciador de pods, conforme descrito em Tenants de primeira geração: Horizon Cloud em implantações do Microsoft Azure: requisitos de resolução de nomes de host, nomes DNS. Se as portas apropriadas não estiverem permitindo tráfego, o emparelhamento do Servidor de Registro não funcionará.

Procedimento

1. No console, navegue até Configurações > Active Directory.

2. Clique em Adicionar ao lado da configuração do True SSO.

É exibida a caixa de diálogo Configuração do True SSO.

Observação: Como você já configurou o Servidor de Registro, pode ignorar o link de Baixar Token de Emparelhamento nessa caixa de diálogo.

3. Insira o nome de domínio totalmente qualificado (FQDN) do seu servidor de inscrição no campo Servidor de Inscrição Primário e clique no botão Teste de Emparelhamento ao lado do campo.

Os outros campos obrigatórios são preenchidos automaticamente.

4. Clique em Salvar.

5. Para configurar um Servidor de Registro Secundário para alta disponibilidade, siga este procedimento.

   1. Repita o processo descrito em Configurar o Servidor de Registro em uma segunda máquina.

   2. Edite a configuração do True SSO, adicione o segundo endereço de ES no campo Servidor de Registro Secundário e, em seguida, teste o emparelhamento.

   3. Salve a configuração novamente.

Resultados

As informações de configuração agora são exibidas na página Active Directory em Configuração do True SSO.

Importante: A configuração do True SSO é um tipo de configuração em todo o tenant. A configuração do True SSO será aplicada a todos os pods do Horizon Cloud da sua frota de pods no Microsoft Azure. Como resultado, após você configurar o True SSO com êxito no tenant do Horizon Cloud pela primeira vez e depois implantar pods adicionais do Horizon Cloud em suas assinaturas do Microsoft Azure usando o assistente de implantação de pod automatizada, o sistema enviará a mesma configuração do True SSO para todos esses pods e tentará validar a mesma configuração do True SSO nesses pods.