使用 Omnissa CA 实现 SSO

要使用 Omnissa Certificate Authority (CA) 为 Horizon Cloud 用户提供对其桌面和应用程序的单点登录 (SSO) 访问，请使用 Omnissa CA 为 SSO 颁发短期智能卡证书。为了实现透明度和安全性，该过程包含一个使用已构建的 Microsoft 实用程序的 PowerShell 脚本。

以下列表提供了有关配置 Omnissa CA 的信息。在配置 SSO 时，您将在上下文中遇到许多相同的详细信息。例如，将 SSO 配置添加到 Horizon Cloud 以使用 Omnissa CA 提供了有关下载 Omnissa CA 包的说明。该包中包含 PowerShell 脚本，您将按照将 SSO CA 包发布到 Active Directory 林中的说明运行此脚本来配置 SSO。

• 要使用 Omnissa CA 启用 SSO 所需的功能，以下任一情况必须适用于 Active Directory 林：
  • Active Directory 林中至少配置了一个联机 Microsoft Enterprise CA，在这种情况下，会出现以下结果。
    • Microsoft Enterprise CA 自动将其 CA 证书和证书吊销列表 (CRL) 发布到林。
    • 域控制器自动注册证书。
  • Active Directory 域使用第三方 CA 或独立 Microsoft CA，在这种情况下，必须满足以下条件。
    • 必须使用 certutil 等实用程序手动将所有 CA 证书发布到林。
    • 吊销信息必须始终通过 HTTP 发布。
    • 必须为域控制器颁发允许进行客户端身份验证、服务器身份验证、智能卡登录和 KDC 身份验证的证书。
• 您可以将 Omnissa CA 配置为根 CA 或中间 CA。但是，公钥基础架构 (Public Key Infrastructure, PKI) 最佳做法是选择中间 CA。
• 如果使用根 CA，则 Omnissa CA 证书的有效期为 5 年。
• 如果使用中间 CA，则发证 CA 将确定 Omnissa CA 证书的有效期。
• 如果使用中间 CA，则 Omnissa CA 证书可以由 Microsoft CA 或任何第三方 CA 签名。
• 如果使用第三方 CA，请确保域成员计算机有权访问验证 Omnissa CA 证书所需的所有证书和吊销信息。
• 为了使 Omnissa CA 受信任，您必须将 Omnissa CA 包发布到 Active Directory 林中的不同位置。
• 在域成员计算机上，以具有适当权限的管理员身份运行 PowerShell 脚本以发布 Omnissa CA 包。
• 只需运行 PowerShell 脚本一次。Active Directory 会将发布的 PKI 数据复制到 Active Directory 域中所有域中的所有域控制器和桌面。您可以在复杂的 Active Directory 部署中使用 Repadmin 等实用程序，以确保在尝试使用 SSO 之前，及时在不同域或站点中的域控制器之间复制配置命名上下文。
• PowerShell 脚本使用 Microsoft 实用程序 certreq 和 certutil 来实现完全透明。在运行 PowerShell 脚本之前，您可以阅读该脚本以精确查看该脚本的功能。