配置集群身份证书

Omnissa Horizon Connection Server 在安装时会生成自签名集群身份证书。连接服务器使用这个证书来验证集群成员资格，以实现站点重定向和注册服务器集成等目的。证书会自动刷新 (请参阅证书指纹验证和自动生成证书，或者您也可以将自签名证书替换为 CA 签名证书。

使用 True SSO 时，集群身份证书用于保护 Horizon Connection Server 和注册服务器之间的通信。如果要使用 CA 签名证书来替换此证书，则应将新证书导入到注册服务器，并将根 CA 证书添加到注册服务器上的“可信根证书颁发机构”存储区中。有关更多信息，请参阅*《Omnissa Horizon 8 管理指南》*文档中的“设置 True SSO”一节。

步骤

1. 生成满足以下要求的 CA 签名证书。强烈建议您从管理控制台执行此任务。请参阅生成 CSR 并从 CA 请求签名证书以了解详细信息。

   **注意：**应将用于生成客户端证书的根证书添加到 POD 中所有 Horizon Connection Server 上的“可信根证书颁发机构”存储区中。

   • 主体名称：集群 GUID

     您可以使用 vdmadmin -C 命令或导航到 HKEY_LOCAL_MACHINE\SOFTWARE\Omnissa\Horizon\Node Manager 下的 Horizon Connection Server Cluster GUID 来查找集群 GUID。

     **注意：**如果可以创建 dnsName SAN，其值应为集群 GUID。然后，可以将证书的“主体”字段设置为任何内容，完全没有限制。

     如果无法创建 SAN，则“主体”字段的格式非常重要。它应是一个 DN，其中包含以集群 GUID 开头的 DNS 名称（例如：CN=guid.company.com）。

   • SAN：作为 DNSName 的 Horizon Pod 的集群 GUID

   • EKU：服务器身份验证、客户端身份验证

   • 设置友好名称：vdm.ec.new

   • 必须将私钥标记为可导出。

   • 必须将证书添加到证书 (本地计算机) > Omnissa Horizon 证书 > 证书。

   • 要使用的签名算法：SHA384/SHA512

2. 将证书链导入到相应的文件夹。

3. 删除友好名称为 vdm.ec 的现有集群证书。

4. 重新启动 Horizon Connection Server 服务。

结果

Horizon Connection Server 接受新证书后，证书的友好名称将从 vdm.ec.new 更改为 vdm.ec。如果由于任何原因未接受证书，则旧证书将从 LDAP 移至 Windows 证书存储区。集群中的其他服务器将从 LDAP 获取此证书。