設定 PCoIP 安全閘道使用新的 TLS 憑證

為符合產業或管轄區域安全法規，您可以將 PCoIP 安全閘道 (PSG) 服務產生的預設 TLS 憑證取代為 CA 簽署的憑證。

在 Omnissa Horizon 8 中，PSG 服務在啟動時會建立一個預設的自我簽署 TLS 憑證。PSG 服務會將該自我簽署憑證提供給連線至 PSG 的用戶端，而這些用戶端需執行 Windows 版 Omnissa Horizon Client 5.2 或更新版本。

PSG 也提供預設舊版 TLS 憑證，並將其出示給執行舊版用戶端或更早版本且連線至 PSG 的用戶端。

預設憑證可提供從用戶端端點至 PSG 的安全連線，且無需在 Omnissa Horizon Console 中進行其他組態設定。但是，強烈建議您設定 PSG 服務使用 CA 簽署的憑證，尤其是要求使用安全掃描程式才能通過符合性測試的部署。

雖然這不是必要步驟，但您通常會先為您的伺服器設定新的 CA 簽署 TLS 憑證，再以該 CA 簽署憑證取代預設的 PSG 憑證。下列程序假設您已將 CA 簽署憑證匯入 Windows 憑證存放區，供執行 PSG 的伺服器使用。

**附註：**如果您正在使用安全掃描程式進行符合性測試，建議先將 PSG 設定為使用與伺服器相同的憑證，並先掃描 Horizon 8 連接埠，再掃描 PSG 連接埠。您可以在掃描 View 連接埠期間，解決信任或驗證問題，以確保這些問題不會導致 PSG 連接埠和憑證測試無效。接著您可以為 PSG 設定唯一憑證，然後再執行一次掃描。

設定 Horizon 8 Server 的 TLS 憑證

Omnissa 強烈建議您為 Omnissa Horizon Connection Server 執行個體設定 TLS 憑證以進行驗證。

1. 確認伺服器名稱與 PSG 憑證主體名稱相符
   當安裝 Horizon Connection Server 執行個體時，安裝程式會建立一個登錄設定，其值包含該電腦的 FQDN。您必須確認此值與安全掃描程式用於連線至 PSG 連接埠的 URL 的伺服器名稱部分相符。伺服器名稱也必須與您要用於 PSG 的 TLS 憑證的主體名稱或主體替代名稱 (SAN) 相符。

2. 在 Windows 憑證存放區中設定 PSG 憑證
   若要將預設的 PSG 憑證替換為 CA 簽署的憑證，您必須在執行 PSG 的 Horizon Connection Server 電腦上，將該憑證及其私密金鑰設定至 Windows 的本機電腦憑證存放區中。

3. 在 Windows 登錄中設定 PSG 憑證易記名稱
   PSG 會根據伺服器名稱與憑證的易記名稱來識別要使用的 TLS 憑證。您必須在執行 PSG 的 Horizon Connection Server 電腦上，於 Windows 登錄中設定憑證的易記名稱值。

4. 強制使用 CA 簽署的憑證連線至 PSG
   您可以確保用戶端與 PSG 間的所有連線，都使用 PSG 的 CA 簽署憑證，而不是使用預設舊版憑證。為 PSG 設定 CA 簽署的憑證時，不需要此程序。僅當您確實需要在 Horizon 部署中強制使用 CA 簽署的憑證時，才需執行這些步驟。