准备 Active Directory 以在多林环境中进行 SSO

本节介绍如何准备 Active Directory 以在使用 Horizon Cloud Certificate Authority (CA) 或 Microsoft Enterprise CA 的多林环境中进行 SSO。

在多林部署中，用户通常在一个林（用户林）中进行身份验证，并访问另一个林（资源林）中的桌面等资源。要在此场景中启用 True SSO 等功能，资源林必须信任用户林中使用的证书颁发机构。

以下必备条件和步骤可确保在林之间正确建立证书信任关系和通信。

必备条件

开始之前，请确保满足以下必备条件：

• 资源林和用户林之间至少存在单向信任关系（也可以使用双向信任关系，具体取决于部署设计）
• DNS 解析配置为允许跨林解析名称
• 证书吊销列表 (CRL) 可在林之间访问
• 所有参与林中的域控制器、证书颁发机构和 Horizon 组件之间存在网络连接，以支持证书颁发和验证
• 可以跨林验证由证书颁发机构颁发的证书

后续过程摘要

要跨多个林启用 SSO，必须确保用户林中由证书颁发机构颁发的根证书和中间证书在资源林中受信任。

对于 Horizon Cloud CA 部署，将使用 PowerShell 脚本将 SSO 证书包发布到 Active Directory。对于 Microsoft Enterprise CA 部署，证书服务会发布 Active Directory 内可用的证书信息。

以下步骤介绍了如何发布和配置这些证书，以便成功进行跨林身份验证。

将根证书添加到受信任的根证书颁发机构

必须使用 Active Directory 中的组策略，将通过 Omnissa 或 Microsoft Enterprise CA 证书链终止的根证书添加到“受信任的根证书颁发机构”存储中。

步骤

1. 在信任配置中的所有 Active Directory 林上，将根证书添加到受信任的根证书颁发机构。

   1. 选择开始 > 管理工具 > 组策略管理。

   2. 展开您的域，右键单击默认域策略并单击编辑。

2. 展开计算机配置区域，然后打开 Windows 设置\安全性设置\公钥。

3. 右键单击受信任的根证书颁发机构，然后选择导入。

4. 按照向导中的提示导入根证书（如 rootCA.cer）并单击确定。

5. 关闭组策略窗口。

结果

此时，域中的所有系统在其信任的根存储中都有一个根证书的副本。

后续操作

如果中间证书颁发机构 (Certification Authority，CA) 为您颁发了智能卡登录或域控制器证书，请将此中间证书添加到 Active Directory 中的中间证书颁发机构组策略中。

将中间证书添加到中间证书颁发机构

必须使用 Active Directory 中的组策略，将来自 Horizon Cloud 或 Microsoft Enterprise CA 证书链的所有中间证书添加到“中间证书颁发机构”存储中。

步骤

1. 在信任配置中的所有 Active Directory 林上，将 Horizon Cloud CA 证书链中的所有中间证书添加到中间证书颁发机构。在 Active Directory 服务器上，导航到“组策略管理”插件，并完成以下步骤：

   1. 选择开始 > 管理工具 > 组策略管理。

   2. 展开您的域，右键单击默认域策略并单击编辑。

2. 展开计算机配置区域，然后打开 Windows 设置\安全性设置\公钥策略。

3. 右键单击中间证书颁发机构，然后选择导入。

4. 按照向导中的提示导入中间证书（如 intermediateCA.cer）并单击确定。

5. 关闭组策略窗口。

结果

此时，域中的所有系统在其中间证书颁发机构存储区中都有一个中间证书的副本。

将根证书添加到 Enterprise NTAuth 存储

必须将终止 Horizon Cloud 或 Microsoft Enterprise CA 证书链的根证书添加到 Active Directory 的“Enterprise NTAuth”存储中。

步骤

1. 在 Active Directory 服务器上使用 certutil 命令，将证书发布到 Enterprise NTAuth 存储区中。

   例如：certutil -dspublish -f path_to_root_CA_cert NTAuthCA

结果

此时该 CA 即为颁发此类证书的受信任机构。