設定 TLS 憑證的工作概觀

若要為 Omnissa Horizon 8 Server 設定 TLS 伺服器憑證，您必須執行數項高階工作。

在一個包含多個複寫 Omnissa Horizon Connection Server 執行個體的網繭中，您必須在該網繭中的所有執行個體上執行這些工作。

執行這些工作的程序會在此概觀後續的各主題中描述。

1. 判斷您是否需要向 CA 取得新簽署的 TLS 憑證。

   如果您的組織已有有效的 TLS 伺服器憑證，您可以使用該憑證取代 Horizon Connection Server 隨附的預設 TLS 伺服器憑證。若要使用現有的憑證，您還需要隨附的私密金鑰。

   開始進行	動作
   組織已提供有效的 TLS 伺服器憑證給您。	直接移至步驟 2。
   您沒有 TLS 伺服器憑證。	向 CA 取得簽署的 TLS 伺服器憑證。

2. 將 TLS 憑證匯入至 Horizon 8 Server 主機上的 Windows 本機電腦憑證存放區。

3. 對於 Horizon Connection Server 執行個體，請將憑證的易記名稱修改為 vdm。

   每部 Horizon 8 Server 主機上只能有一份憑證的易記名稱指派為 vdm。

   附註：EKU – 僅限伺服器驗證
   機器身分識別憑證 (易記名稱 vdm) 不得包含用戶端驗證 EKU。若在 2026 年 3 月 15 日之後產生包含用戶端驗證 EKU 的伺服器憑證，並將其安裝為機器身分識別憑證，直接連線至連線伺服器的 Web 瀏覽器與 Horizon Web Client 將不會信任該憑證，且使用者必須按一下安全性警告才能繼續。

4. 如果 Horizon Connection Server 電腦上的根憑證未受該 Windows Server 主機信任，請將根憑證匯入至 Windows 本機電腦憑證存放區。

   此外，如果 Horizon Connection Server 執行個體不信任為 vCenter Server 主機所設定的 TLS 伺服器憑證的根憑證，您也必須將這些根憑證匯入。您僅需要針對 Horizon Connection Server 執行個體採取這些步驟。無需將根憑證匯入至 vCenter Server 主機。

5. 如果您的伺服器憑證是由中繼 CA 所簽署，請將中繼憑證匯入至 Windows 本機電腦憑證存放區。

   若要簡化用戶端組態，請將整個憑證鏈結匯入至 Windows 本機電腦憑證存放區。如果 Horizon 8 Server 缺少中繼憑證，則必須為啟動 Omnissa Horizon Console 的用戶端與電腦設定這些憑證。

6. 如果您的 CA 並不知名，請設定用戶端信任根憑證和中繼憑證。

   同時請確保啟動 Horizon Console 的電腦信任相關的根憑證與中繼憑證。

7. 判斷是否要重新設定憑證撤銷檢查。

   Horizon Connection Server 會對 Horizon 8 Server 與 vCenter Server 執行憑證撤銷檢查。CA 簽署的大部分憑證都包含憑證撤銷資訊。如果您的 CA 不包含這項資訊，您可以設定伺服器不要檢查憑證撤銷的狀況。

   如果某個 Horizon Connection Server 執行個體已設定使用 SAML 驗證器，則 Horizon Connection Server 也會對該 SAML 伺服器憑證執行憑證撤銷檢查。