对于配置了单容器代理类型的生产系统，在 Horizon Cloud 容器的管理器虚拟机上配置 SSL 证书的一个关键用例是将 Access 与容器集成。Access Connector 必须能够信任与容器管理器虚拟机的 SSL 连接。这就是将这些容器与 Access 集成的方式。对于与 Access Connector 集成的此特定用例，容器需要在容器的管理器虚拟机上直接设置 SSL 证书。
当您的容器位于单容器代理环境中时，将 Access 与 Microsoft Azure 中的 Horizon Cloud 容器集成的一个关键部分是，配置 Access Connector 以同步您在 Access 中设置的 Horizon Cloud 虚拟应用程序集合，以使用容器置备的桌面和远程应用程序。Access Connector 需要与容器管理器虚拟机通信以执行该同步。因此，容器需要提供有效的 SSL 证书，以便 Access Connector 信任该证书。有关此集成的更多信息，请参阅 具有单容器代理的 Horizon Cloud 环境 - 将环境的 Microsoft Azure 中的 Horizon Cloud 容器与 Access 集成。
容器详细信息页面的容器管理器负载均衡器 IP 地址字段与 Access Connector 的 SSL 证书要求之间的关系
在创建可在容器管理器虚拟机上配置的有效受信任 SSL 证书时，所需的一条关键信息是在容器详细信息页面中的 容器管理器负载均衡器 IP 标签旁边显示的数字 IP 地址。以下屏幕截图显示了在部署的容器的详细信息页面中显示 容器管理器负载均衡器 IP 标签的位置。
可信 SSL 证书必须基于您在 DNS 服务器中映射到该字段中显示的 IP 地址的完全限定域名 （FQDN）。需要执行此映射操作，这样配置为使用该 FQDN 的最终用户客户端才能与容器建立受信任的连接。
现在，该数字 IP 地址与什么相关？它是容器租户子网中的专用 IP 地址，与容器的容器管理器虚拟机的 Azure 负载均衡器相关联。
容器管理器负载均衡器 IP:
对于当前支持的所有容器清单，为容器 管理器负载均衡器 IP 标签显示的数字 IP 地址是容器的 Azure 负载均衡器资源的数字专用 IP 地址。容器架构包含一个容器 Azure 负载均衡器，它具有容器的租户子网中的专用 IP 地址。该容器 Azure 负载均衡器是与位于该 Azure 负载均衡器后面的容器管理器虚拟机进行 SSL 通信的点。
对于启用了高可用性的容器，在管理控制台中单击 上载证书 以上载 SSL 证书文件时，Horizon Cloud 会在活动容器管理器虚拟机上执行配置，然后将证书配置复制到另一个容器管理器虚拟机。
对于未启用高可用性的容器（一种非典型情况），该容器将具有一个位于该 Azure 负载均衡器后面的容器管理器虚拟机。在这种情况下，在控制台中单击 上载证书 时，Horizon Cloud 会在该容器管理器虚拟机上配置证书。
以下屏幕截图显示了容器的 Azure 负载均衡器的专用 IP 地址如何与上述示例的控制台中容器详细信息页面中的 容器管理器负载均衡器 IP 标签旁边显示的 IP 地址相同。
如何在 容器的管理器虚拟机上配置 SSL 证书
您可以使用管理控制台在容器管理器虚拟机上配置 SSL 证书。有关详细步骤，请参阅 直接在容器管理器虚拟机上配置 SSL 证书，例如将 Access Connector 设备与 Microsoft Azure 中的 Horizon Cloud 容器集成时，以便连接器可以信任与容器管理器虚拟机的连接。有关运行这些步骤之前的必备条件，请参阅 运行 Horizon Universal Console 的“上载容器证书”工作流以在 Horizon Cloud 容器的管理器虚拟机上配置 SSL 证书的必备条件。
需要在容器的管理器虚拟机上配置 SSL 证书的非典型方案
尽管这些方案可能适合概念证明，但不建议在生产环境中使用。对于生产系统，您应该利用内部和外部网关配置的 Horizon Cloud 功能，这些功能支持最终用户连接到容器置备的资源。对于企业网络内部的最终用户连接（例如，通过 VPN），您应该在容器上具有内部 Unified Access Gateway 配置。对于通过 Internet 的最终用户连接，您应该在容器上具有外部 Unified Access Gateway 配置。有关将这些配置添加到容器的步骤，请参阅 将网关配置添加到已部署的 Horizon Cloud 容器。
| 场景 | 描述 |
|---|---|
| 仅部署了外部网关配置而没有部署内部 Unified Access Gateway 配置的容器 | 在此方案中，虽然最终用户通过部署的外部网关配置通过 Internet 访问容器置备的资源，但企业网络内部的用户无法使用任何并行内部网关配置来访问其容器置备的资源。如果没有内部 Unified Access Gateway 配置，这些内部用户必须将其客户端连接指向容器才能直接访问容器。直接访问容器意味着，将客户端指向在容器详细信息页面中的容器管理器负载均衡器 IP 标签旁边显示的 IP 地址，或者指向在 DNS 中映射到该显示的 IP 地址的 FQDN。 |
| 未部署任何网关配置的容器（零个 Unified Access Gateway 虚拟机） | 在这种情况下，到容器置备的资源的所有最终用户连接必须使用操作系统特定的 Horizon Client 之一来直接访问容器。直接访问容器意味着，将客户端指向在容器详细信息页面中的容器管理器负载均衡器 IP 标签旁边显示的 IP 地址，或者指向在 DNS 中映射到该显示的 IP 地址的 FQDN。 注意： 与使用某个特定于操作系统的 Horizon Client 时不同，如果将浏览器直接指向容器，则该浏览器连接将表现为不受信任的连接，即使您已使用 控制台中的上载证书 操作在该容器的管理器虚拟机上配置了 SSL 证书也是如此。在浏览器中直接键入容器的 FQDN 会使浏览器使用 Horizon Web Client （Blast） 连接类型进行连接，并且由于 Horizon Web Client （Blast） 的工作方式，浏览器在建立到容器的连接时将显示典型的证书不受信任错误。为了避免这种显示不受信任的证书错误，容器需要配置网关，以便通过相应的网关配置建立这些浏览器连接：外部网关配置（对于位于企业网络外部的最终用户）和内部网关配置（对于位于企业网络内部的最终用户）。如果您不希望向 Internet 公开 FQDN，请使用内部网关配置。内部网关配置使用 Microsoft 内部负载均衡器，企业网络内部的最终用户可以将其连接指向该负载均衡器。请参阅 将网关配置添加到已部署的 Horizon Cloud 容器。 |
此页面对您有帮助吗?