将 Omnissa SSO CA 包发布到 Active Directory 林

要在使用 Horizon Cloud 时使最终用户能够通过单点登录 (SSO) 访问其桌面和应用程序，请管理相应 Horizon Edge Gateway 实例上的 SSO。

此过程允许最终用户仅输入一次凭据，即可访问其桌面和应用程序。

有关配置 Omnissa CA 的背景信息，请参阅将 Omnissa CA 用于 Horizon Cloud 的 SSO。

请根据需要参阅 Microsoft 文档以完成此过程。例如，要安装企业 CA，请参阅安装证书颁发机构。

必备条件

• 使用 Horizon Universal Console 创建并下载证书颁发机构 (CA) 包。请参阅将 SSO 配置添加到 Horizon Cloud 以使用 Omnissa CA。

• 要按照此过程中所述运行从 Omnissa CA 包中提取的 PowerShell 脚本，请确认您具有相应的权限。

  此过程要求您运行 Omnissa PowerShell 脚本。您可以使用几个选项来运行 PowerShell 脚本，包括以企业管理员组成员的身份运行该脚本。下面的指导建议您使用较小的权限，但是您可以作为企业管理员组的成员来运行脚本。这里的建议旨在确认您具有以下权限。

  • 对 Active Directory 中的“公钥服务”容器具有完全控制权限。
  • 对 Active Directory 中的“SubCA”证书模板具有注册权限。

步骤

1. 连接到域成员计算机，将 Omnissa CA 包文件上载到服务器，然后解压缩文件内容。

   只要您具有适当的权限，就可以从任何域成员计算机中运行 Omnissa PowerShell 脚本。

2. 打开 PowerShell，运行命令，然后按照以下子步骤中所述响应提示。

   **重要信息：**如果您的部署包含多个域控制器，或者您从远程计算机中安装包，则将 CA 证书传播到所有域控制器的过程可能需要几个小时。您可以通过在所有域控制器实例上运行 'gpupdate.exe /Target:Computer /Force' 来缩短运行时间。

   1. 运行以下命令。

      Unblock-File -Path Path to ps1 file
      

   2. 运行从 CA 包中提取的 ps1 PowerShell 脚本，并对提示做出响应。

      例如，PS C:\ca\AuthEngine-CA_1> .\AuthEngine-CA_1.ps1

      如果将 SSO 配置添加为中间 CA，系统会提示您选择 MSFT 企业 CA 以签署 Omnissa CA CSR。您可以选择根或中间 MSFT 企业 CA 来处理 Omnissa CA CSR。如果适用，请选择相应的企业 CA。您必须为选定的企业 CA 启用从属证书颁发机构模板。

      使用 Y 对以下所需的确认提示做出响应，如图所示。

      Confirmation required
      Do you want to publish to AD?
      

      N] No [Y] Yes [?] Help (default is "N"):``Y

结果

预期结果是脚本运行时不会出错。但是，如果遇到以下类型的错误，请执行所提供的故障排除建议。

2022-03-22T15:35:39 [INFO ] [AuthEngine-CA-62351bb62ff3dd5966ad3575-1.ps1,67] certutil.exe -dspublish -f C:\SSO-C\
AuthEngine-CA-62351bb62ff3dd5966ad3575-1.crl
error : 2022-03-22T15:35:39 [ERROR][-2147016563][] Failed to publish base CRL
At C:\SSO-C\AuthEngine-CA-62351bb62ff3dd5966ad3575-1.ps1:303 char:5
+     error $retCode "Failed to publish base CRL"
+     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : NotSpecified: (:) [Write-Error], WriteErrorException
    + FullyQualifiedErrorId : Microsoft.PowerShell.Commands.WriteErrorException,error

运行以下 Get-ADRootDSE 命令并检查输出，以确定用于创建 SSO 配置的 CA 配置域名是否与以下属性返回的内容相匹配：configurationNamingContext。

C:>
        Get-ADRootDSE -Server dnsDomainName

例如，C:\> Get-ADRootDSE -Server horizonv2.local

输出：

configurationNamingContext       :  "CN=Configuration,DC=horizonv2,DC=local"
        ...other
        output fields...

如果 CA 配置域名与输出不匹配，您可以使用 Horizon Universal Console 来编辑 SSO 配置，特别是更正 CA 配置域名。有关访问 SSO 配置的信息，请参阅将 SSO 配置添加到 Horizon Cloud 以使用 Omnissa CA。要编辑 SSO 配置，请单击 SSO 配置旁边的三个垂直圆点，然后选择编辑。更正域名后，您可以下载并发布更新的 CA 包。

后续操作

部署 Horizon Edge Gateway 后，确认 SSO 配置状态已正确设置。在 Horizon Universal Console 中，单击容量，选择您配置的 Horizon Edge Gateway 实例的名称，然后编辑该配置以激活使用 SSO 选项。选择 SSO 配置以将其与 Horizon Edge Gateway 相关联。保存并确认状态设置为 READY_TO_SERVE，这表示 SSO 对最终用户有效。

从 Active Directory 中移除已发布的包

要支持包清理，AD 管理员可以通过对 dspublish 脚本使用以下命令行选项，从 Active Directory 中卸载先前安装的 CA 包。这些选项要求 AD 管理员输入 CA 证书指纹来确认包卸载。但是，这些命令行选项在卸载包之前不会检查包是否正在使用。在运行任一卸载命令之前，请确保包未在使用，因为这些命令行选项不会执行这种验证。

    -uninstallAll
    -uninstall

下面显示了这两个选项的命令行示例：

    -.\AuthEngine-CA-653a8ec615d61616b629de15-1.ps1 -Uninstall
    -.\AuthEngine-CA-653a8ec615d61616b629de15-1.ps1 -UninstallAll

请注意，每个客户的 PS 脚本名称（例如 653a8ec615d61616b629de15-1）会有所不同。