配置 PCoIP 安全网关以使用新 TLS 证书

为了遵循行业或司法辖区的安全规定，您可将 PCoIP 安全网关 (PSG) 服务生成的默认 TLS 证书替换成 CA 签发的证书。

在 Omnissa Horizon 8 中，PSG 服务会在启动时创建默认的自签名 TLS 证书。PSG 服务会将自签名证书提供给运行连接到 PSG 的适用于 Windows 的 Omnissa Horizon Client 5.2 或更高版本的客户端。

PSG 还会提供一个默认的旧版 TLS 证书，该证书将提供给运行连接到 PSG 的旧版 View Client 或更早版本的客户端。

默认证书会提供从客户端端点到 PSG 的安全连接，并且不需要在 Omnissa Horizon Console 中进一步配置。但是，我们强烈建议配置 PSG 服务使用 CA 签发的证书，特别是对于需要使用安全扫描程序通过合规性测试的部署。

尽管不是强制要求，但是您最好能在将默认 PSG 证书替换成 CA 签发的证书前，为服务器配置 CA 签发的新 TLS 证书。进行下面的步骤前，您应先为运行 PSG 的服务器将 CA 签发的证书导入到 Windows 证书存储区。

**注意：**如果您使用安全扫描程序进行合规性测试，最好先将 PSG 设置为使用与服务器相同的证书，并在扫描 PSG 端口前先扫描 Horizon 8 端口。这样一来，您就可以先解决在扫描 View 端口时出现的信任或验证问题，从而避免这些问题造成 PSG 端口和证书测试失效。接下来，您即可为 PSG 配置唯一的证书并进行下一项扫描。

为 Horizon 8 Server 配置 TLS 证书

Omnissa 强烈建议您配置 TLS 证书以执行 Omnissa Horizon Connection Server 实例身份验证。

1. 确认服务器名称与 PSG 证书使用者名称相匹配
   安装 Horizon Connection Server 实例时，安装程序会创建一个注册表设置，其中的值包含计算机的 FQDN。您必须确认该值与安全扫描程序用于访问 PSG 端口的 URL 的服务器名称部分相匹配。该服务器名称还必须与您希望用于 PSG 的 TLS 证书的使用者名称或使用者替代名称 (SAN) 相匹配。

2. 在 Windows 证书存储区中配置 PSG 证书
   要将默认的 PSG 证书替换为 CA 签名证书，必须在运行 PSG 的 Horizon Connection Server 计算机上的 Windows 本地计算机证书存储区中配置证书及其私钥。

3. 在 Windows 注册表中设置 PSG 证书友好名称
   PSG 会通过服务器名称和证书友好名称识别要使用的 TLS 证书。您必须在运行 PSG 的 Horizon Connection Server 计算机上的 Windows 注册表中设置友好名称值。

4. 与 PSG 连接时强制使用 CA 签发的证书
   您可以确保与 PSG 的所有客户端连接均对 PSG 使用 CA 签发的证书，而不是默认的旧版证书。此步骤不是为 PSG 配置 CA 签发证书的必需步骤。只有需要在您的 Horizon 部署中强制使用 CA 签名证书时，才采取这些步骤。