在 Horizon Connection Server 上配置智能卡身份验证

要配置智能卡身份验证，您必须获得一个根证书并将其添加到服务器信任存储区文件，修改连接服务器配置属性，并配置智能卡身份验证设置。根据您所在的具体环境，您可能需要执行附加步骤。

**注意：*根据 Microsoft 知识库文章 5014754 中所述的 Microsoft 安全更新，基于用户主体名称 (User Principal Name, UPN) 的智能卡证书身份验证被视为弱级别。为此，需使用《Horizon 安全指南》*中“为基于证书的身份验证配置证书映射”中所述设置，将证书映射更改为某种更强的映射类型，以避免用户身份验证发生任何中断。有关详细信息，请参阅知识库文章 91595。

设置智能卡身份验证

为了增强安全性，可以对连接服务器实例进行配置，以便用户和管理员能够使用智能卡进行身份验证。

1. 获取证书颁发机构证书
   您必须为用户和管理员提供的智能卡上的所有受信任的用户证书获取所有相应的 CA（证书颁发机构）证书。如果用户的智能卡证书是由中间证书颁发机构颁发的，则这些证书包括根证书，并且可以包括中间证书。
2. 从 Windows 获取 CA 证书
   如果您拥有 CA 签发的用户证书或包含 CA 签发的用户证书的智能卡，且 Windows 信任此根证书，则可以从 Windows 导出此根证书。如果用户证书的颁发者是中间证书颁发机构，则您可以导出该证书。
3. 将 CA 证书添加到服务器信任存储区文件中
   您必须将信任的所有用户和管理员的根证书和/或中间证书添加到服务器信任存储区文件中。连接服务器实例使用此信息对智能卡用户和管理员进行身份验证。
4. 修改 Horizon Connection Server 配置属性
   您必须修改连接服务器上的连接服务器配置属性，才能启用智能卡身份验证。
5. 在 Horizon Console 中配置智能卡设置
   您可以使用 Horizon Console 指定相应设置，以适应不同的智能卡身份验证场景。