Este artigo fornece instruções detalhadas sobre como definir as configurações do Universal Broker, incluindo a URL ou FQDN de conexão, a autenticação de dois fatores, tempos limite de sessão e políticas de recurso do Horizon.

Para que você possa usar o Universal Broker para a intermediação de recursos de atribuições de usuário final, primeiro você deve definir determinadas configurações.

Na primeira configuração do Universal Broker, o assistente de configuração é aberto automaticamente. conforme descrito em Iniciar a configuração do Universal Broker.

Em seguida, quando você precisar examinar as configurações durante o uso contínuo do serviço, poderá reabrir o assistente de configuração na página Agente do console ou na página Introdução.

Alguns pontos principais sobre as configurações de autenticação de dois fatores neste assistente de configuração
  • Por design, quando o Universal Broker é definido com configurações de autenticação de dois fatores, ele forma a solicitação de autenticação e a transmite para uma instância externa do Unified Access Gateway que, em seguida, se comunica com o servidor de autenticação real definido nas configurações dessa instância. O Unified Access Gateway então retransmite a resposta do serviço de autenticação de volta para o Universal Broker.
  • Por seu design padrão, as mesmas configurações de autenticação de dois fatores do Universal Broker serão aplicadas em todo o tenant e usadas para cada pod na frota de pods do tenant. Para usar a autenticação de dois fatores para o Universal Broker, primeiro você deve configurar o serviço de autenticação apropriado em cada instância externa do Unified Access Gateway para cada pod participante na sua frota de pods. As configurações de instâncias externas do Unified Access Gateway devem ser idênticas dentro dos pods participantes e entre eles.
  • Por exemplo, se você tiver uma frota de pods combinada que consiste em pods do Horizon e pods do Horizon Cloud e quiser usar a autenticação RADIUS, configure o serviço RADIUS em cada instância externa do Unified Access Gateway em todos esses pods do Horizon e pods do Horizon Cloud.

Pré-requisitos

Importante: Se você tiver usuários finais se conectando pela Internet ou se quiser usar a autenticação de dois fatores, não exclua as instâncias externas do Unified Access Gateway que estão nos pods. No caso de usuários finais externos, o Unified Access Gateway externo é necessário para iniciar com êxito a área de trabalho virtual ou o aplicativo remoto por meio do cliente do usuário final após a autenticação do cliente com o Universal Broker. No caso da autenticação de dois fatores, o Universal Broker corresponde às configurações de autenticação de dois fatores com o Unified Access Gateway externo e, portanto, a configuração do Unified Access Gateway externo é necessária para isso.

Prepare os componentes do sistema necessários de acordo com o seu tipo de pod. É particularmente importante verificar esses pré-requisitos quando você está concluindo o assistente para a primeira configuração do tenant do Universal Broker.

Para pods do Horizon (com base na tecnologia do Horizon Connection Server):
Para pods do Horizon Cloud (com base na tecnologia de gerenciador de pods do Horizon Cloud):
Importante: Antes de enviar a etapa final do assistente, todos os pods do Horizon Cloud devem estar online e com estado íntegro e pronto. Durante a aplicação das configurações, o serviço Universal Broker deve se comunicar com os pods e realizar algumas etapas de configuração neles para concluir o processo de configuração. Se qualquer um dos pods estiver offline ou indisponível, haverá falha na instalação do Universal Broker.

Procedimento

  1. Abra o assistente de configuração para configurar o Universal Broker.

    Caso contrário, você poderá abrir diretamente o assistente clicando em Configurações > Agente e clicando no ícone de lápis para editar uma configuração.

    Se você estiver concluindo esse assistente imediatamente após as etapas em Iniciar a configuração do Universal Broker
    Nesse caso, normalmente o console já terá exibido o assistente, a menos que você tenha cancelado o assistente antes de concluí-lo. Se você tiver cancelado o assistente nesse momento antes de concluí-lo, abra diretamente o assistente navegando até Configurações > Agente e clicando em Configurar.
    Se você estiver examinando uma configuração salva
    Abra diretamente o assistente navegando até Configurações > Agente e clicando no ícone de lápis ao lado dessa configuração.
    O assistente de configuração para o Universal Broker é exibido. Na versão atual, as seções do assistente correspondem às configurações do FQDN, à autenticação e a alguns padrões aplicáveis às sessões do cliente.
  2. Na página FQDN do assistente, defina as configurações para o nome de domínio completo (FQDN) do serviço do Universal Broker. Essas configurações definem o endereço de conexão dedicado ou URL que seus usuários finais usarão para acessar os recursos intermediados pelo Universal Broker.
    Observação: Quando você modifica uma configuração de subdomínio ou de FQDN, pode levar algum tempo para a alteração entrar em vigor em todos os servidores DNS.
    1. Para Tipo, selecione um nome de domínio completo (FQDN) Fornecido pela VMware ou Fornecido pelo Cliente.
    2. Especifique configurações adicionais para o tipo de FQDN selecionado.
      Fornecido pela VMware
      Configuração Descrição
      Subdomínio Insira o nome DNS exclusivo de um subdomínio válido na sua configuração de rede que representa sua empresa ou organização. Esse subdomínio é prefixado no domínio fornecido pela VMware para formar o FQDN de intermediação.
      Observação: Algumas cadeias de caracteres não são permitidas ou estão reservadas pelo sistema. Essa categoria de cadeia de caracteres inclui palavras genéricas como book, termos de propriedade da empresa conhecidos, como gmail e protocolo. Termos de codificação e código aberto, como php e sql. O sistema também impede uma categoria de padrões dessas cadeias de caracteres, como mail0, mail1, mail2, etc.

      No entanto, quando você digita um nome não permitido nesse campo, o sistema não valida a entrada nesse momento. Somente quando você chega à etapa final de resumo do assistente, o sistema valida o nome que você digitou aqui e exibirá um erro se a sua entrada corresponder a um dos nomes não permitidos. Se isso acontecer, digite um nome diferente e mais exclusivo aqui.
      URL do Agente Esse campo somente leitura exibe o FQDN configurado. O FQDN usa o formato https://<seu subdomínio>vmwarehorizon.com.

      Forneça esse FQDN aos seus usuários finais para permitir que eles se conectem ao serviço Universal Broker usando o Horizon Client.

      O Universal Broker gerencia a validação de DNS e SSL desse FQDN.

      A seguinte captura de tela mostra um exemplo do assistente de configuração com as configurações do FQDN fornecido pela VMware preenchidas.


      Assistente de configuração do Universal Broker com as configurações de FQDN fornecidas pela VMware preenchidas

      Fornecido pelo Cliente
      Configuração Descrição
      FQDN de Intermediação Insira o FQDN personalizado que os usuários finais usarão para acessar o serviço do Universal Broker. Seu FQDN personalizado funciona como um alias para o FQDN fornecido pela VMware gerado automaticamente que realiza a conexão com o serviço.

      Você deve ser o proprietário do nome de domínio especificado no seu FQDN personalizado e fornecer um certificado que possa validar esse domínio.

      Observação: Seu FQDN personalizado, também conhecido como URL de conexão, representa sua empresa ou organização. Certifique-se de ter autorização apropriada para usar esse FQDN personalizado.
      Observação: O FQDN personalizado deve ser exclusivo e distinto dos FQDNs de todas as instâncias do Unified Access Gateway nos pods.
      Importante: Você deve criar um registro CNAME no servidor DNS que mapeia seu FQDN personalizado para o FQDN fornecido pela VMware representando o endereço de conexão interna do serviço do Universal Broker. Por exemplo, o registro pode mapear vdi.examplecompany.com para <cadeia de caracteres gerada automaticamente>.vmwarehorizon.com.
      Certificado

      Clique em Procurar e carregue o certificado (no formato PFX protegido por senha) que valida seu FQDN de intermediação. O certificado deve atender a todos os seguintes critérios:

      • O certificado deve ser válido por pelo menos 90 dias
      • O certificado deve ser assinado por uma autoridade de certificação confiável
      • O Nome Comum (SN) do certificado ou qualquer um dos seus Nomes Alternativos da Entidade (SANs) devem corresponder ao FQDN
      • O conteúdo do certificado deve estar em conformidade com o formato padrão X.509

      O arquivo PFX deve conter a cadeia de certificados inteira e a chave privada: certificado de domínio, certificados intermediários, certificado da CA raiz, chave privada.

      O serviço Universal Broker usa esse certificado para estabelecer sessões de conexão confiáveis com clientes.

      Observação: O certificado pode conter um FQDN curinga no campo CN ou SAN. Se o caractere curinga for o único caractere no subdomínio mais à esquerda do identificador de referência, somente os FQDNs correspondentes ao subdomínio mais à esquerda serão validados pelo certificado. Por exemplo, se o certificado contiver o FQDN curinga *.mycompany.com, a regra correspondente permitirá vdi.mycompany.com como um FQDN de intermediação válido. No entanto, test.vdi.mycompany.com não corresponde ao identificador de referência e não é permitido.
      Senha Insira a senha para o arquivo de certificado PFX.
      FQDN fornecido pela VMware Esse campo somente leitura exibe o FQDN fornecido pela VMware que é criado automaticamente para o serviço de intermediação. O FQDN obtém o formato https://<cadeia de caracteres gerada automaticamente>.vmwarehorizon.com.

      O FQDN fornecido pela VMware não é visível para os usuários finais e representa o endereço de conexão interna do serviço Universal Broker. Seu FQDN personalizado funciona como um alias para o FQDN fornecido pela VMware.

      Importante: Você deve configurar uma associação de alias criando um registro CNAME no servidor DNS que mapeia seu FQDN personalizado para o FQDN fornecido pela VMware. Por exemplo, o registro pode mapear vdi.examplecompany.com para <cadeia de caracteres gerada automaticamente>.vmwarehorizon.com.

      A seguinte captura de tela mostra um exemplo do assistente de configuração com as configurações do FQDN personalizado preenchidas.


      Assistente de configuração do Universal Broker com as configurações do FQDN personalizadas preenchidas

    3. Quando você terminar de definir as configurações de FQDN, clique em Avançar para ir para a próxima página do assistente.
  3. (Opcional) Na página Autenticação do assistente, configure a autenticação de dois fatores.
    Por padrão, o Universal Broker autentica os usuários exclusivamente por meio do nome de usuário e senha do Active Directory deles. Você pode implementar a autenticação de dois fatores especificando um método de autenticação adicional. Para obter mais informações, consulte Práticas recomendadas ao implementar a autenticação de dois fatores em um ambiente Universal Broker.
    Configuração Descrição
    Autenticação de dois fatores

    Para usar a autenticação de dois fatores, ative essa alternância.

    Quando você ativa a alternância, aparecem opções adicionais para configurar a autenticação de dois fatores.
    Manter o nome de usuário Ative essa alternância para manter o nome de usuário do Active Directory do usuário durante a autenticação no Universal Broker. Quando ativado:
    • O usuário deve ter as mesmas credenciais de nome de usuário para o método de autenticação adicional que para a autenticação do Active Directory no Universal Broker.
    • O usuário não pode alterar o nome de usuário na tela de logon do cliente.

    Se essa alternância estiver desativada, o usuário poderá digitar outro nome de usuário na tela de logon.

    Tipo

    Especifique o método de autenticação que o Universal Broker deve usar com os usuários finais, além do nome de usuário e da senha do Active Directory. A interface do usuário exibe duas opções: RADIUS e RSA SecurID.

    Essa configuração se aplica a todo o tenant. O comportamento no cliente do usuário final dependerá da composição da frota de pods do tenant e do tipo de autenticação de dois fatores configurado nos gateways dos pods, da seguinte maneira:

    Somente pods do Horizon
    O tipo selecionado aqui é aquele usado no cliente.
    Somente pods do Horizon Cloud
    • Selecione o tipo que corresponde ao que está configurado nos gateways externos dos pods.
    Combinação de pods do Horizon e implantações do Horizon Cloud on Microsoft Azure
    Em uma frota combinada, quando RADIUS é selecionado aqui, as solicitações de autenticação RADIUS dos usuários são tentadas por meio das instâncias de Unified Access Gateway de ambos os tipos de pod.

    Em uma frota combinada, quando RSA SecurID é selecionado aqui, o comportamento do cliente depende do fato de suas implantações do Horizon Cloud on Microsoft Azure estarem configuradas com RSA SecurID em seus gateways externos.

    • Se suas implantações do Horizon Cloud on Microsoft Azure não tiverem o tipo RSA SecurID configurado em seus gateways e RSA SecurID for selecionado aqui, as solicitações de autenticação RSA dos usuários serão tentadas apenas por meio das instâncias do Unified Access Gateway dos pods do Horizon. As tentativas de solicitações de autenticação com nome de usuário e senha do Active Directory serão feitas por meio das instâncias do Unified Access Gateway de pods do Horizon ou pods do Horizon Cloud.
    • Se suas implantações do Horizon Cloud on Microsoft Azure tiverem o tipo RSA SecurID configurado, as solicitações de autenticação RSA dos usuários serão tentadas por meio das instâncias do Unified Access Gateway de ambos os tipos de pod.
    Mostrar Texto da Dica

    Aplicável ao tipo RADIUS. Habilite essa opção para configurar uma cadeia de caracteres de texto exibida na tela de login do cliente para ajudar a solicitar ao usuário as credenciais para o método de autenticação adicional.
    Texto da Dica Personalizado

    Esse campo está disponível quando você seleciona Mostrar Texto da Dica. Aplicável ao tipo RADIUS.

    Insira a cadeia de texto que você deseja exibir na tela de logon do cliente. A dica especificada aparece para o usuário final como Enter your DisplayHint user name and password, em que DisplayHint é a cadeia de caracteres de texto que você especifica nessa caixa de texto.

    Observação: O Universal Broker não permite os seguintes caracteres no texto de dica personalizado: & < > ' “

    Se você incluir qualquer um desses caracteres não permitidos no texto de dica, as conexões de usuário com o FQDN do Universal Broker falharão.

    Essa dica pode ajudar a orientar os usuários a inserir as credenciais corretas. Por exemplo, especificar a frase Nome de usuário e senha de domínio da empresa abaixo para resultaria em um aviso para o usuário final que diz: Enter your Company user name and domain password below for user name and password.

    Ignorar autenticação de dois fatores

    Ative essa alternância para ignorar a autenticação de dois fatores para usuários de rede interna que se conectam ao serviço do Universal Broker. Verifique se você especificou os intervalos de IP públicos pertencentes à rede interna, conforme descrito em Definir intervalos de rede interna para o Universal Broker.

    • Quando essa alternância está ativada, os usuários internos devem digitar apenas suas credenciais do Active Directory para se autenticar no serviço Universal Broker. Os usuários externos devem inserir as credenciais do Active Directory e suas credenciais para o serviço de autenticação adicional.
    • Quando essa alternância está desativada, os usuários internos e externos devem inserir suas credenciais do Active Directory e suas credenciais para o serviço de autenticação adicional.
    Intervalos de IPs Públicos

    Esse campo é visível quando a opção Ignorar autenticação de dois fatores está ativada.

    Quando um ou mais intervalos de IP públicos já estão especificados na guia Intervalos de Rede da página Agente, esse campo é somente leitura e lista esses intervalos de IP.

    Quando a guia Intervalos de Rede da página Agente não tem intervalos de IP públicos já especificados, você pode usar esse campo para especificar os intervalos de IP públicos que representam sua rede interna, com o objetivo de ignorar os prompts de autenticação de dois fatores para o tráfego proveniente desses intervalos. O Universal Broker considera qualquer usuário que se conecta de um endereço IP em um desses intervalos para ser um usuário interno.

    Para obter mais detalhes sobre a finalidade de especificar esses intervalos, consulte Definir intervalos de rede interna para o Universal Broker.
    A captura de tela a seguir mostra um exemplo do assistente de configuração com as configurações de autenticação de dois fatores preenchidas para o tipo RADIUS.
    Assistente de configuração do Universal Broker com as configurações de autenticação de dois fatores preenchidas
    Quando terminar suas seleções, clique em Avançar para ir para a próxima página do assistente.
  4. Na página Configurações do assistente de configuração, configure Durações para Horizon Client.
    Essas configurações de tempo limite se aplicam à sessão de conexão entre o Horizon Client e a área de trabalho atribuída alocada pelo Universal Broker. Essas configurações não se aplicam à sessão de logon do usuário para o sistema operacional convidado da área de trabalho atribuída. Quando o Universal Broker detecta as condições de tempo limite especificadas por essas configurações, ele fecha a sessão de conexão do Horizon Client do usuário.
    Configuração Descrição
    Intervalo de Pulsação do Client Controla o intervalo, em minutos, entre as heartbeats do Horizon Client e o estado da conexão do usuário para o Universal Broker. Essas heartbeats relatam para o Universal Broker quanto tempo ocioso passou durante a sessão de conexão do Horizon Client.

    O tempo ocioso é medido quando não ocorre nenhuma interação com o dispositivo de endpoint que executa o Horizon Client. Esse tempo ocioso não é afetado pela inatividade na sessão de logon para o sistema operacional convidado que se baseia na área de trabalho atribuída do usuário.

    Em implantações de área de trabalho grandes, aumentar o Intervalo de Pulsação do Cliente pode reduzir o tráfego de rede e melhorar o desempenho.
    Usuário Ocioso do Client Tempo ocioso máximo, em minutos, permitido durante uma sessão de conexão entre o Horizon Client e o Universal Broker.

    Quando o tempo máximo é atingido, o período de autenticação do usuário expira, e o Universal Broker fecha todas as sessões ativas do Horizon Client. Para reabrir uma sessão de conexão, o usuário deve inserir novamente as credenciais de autenticação na tela de logon do Universal Broker.

    Observação: Para evitar a desconexão inesperada de usuários de suas áreas de trabalho atribuídas, defina o tempo limite Usuário Ocioso do Cliente como um valor que tenha pelo menos o dobro do Intervalo de Pulsação do Cliente.
    Sessão do Client Broker O tempo máximo, em minutos, permitido para uma sessão de conexão do Horizon Client antes que a autenticação do usuário expire. A hora começa quando o usuário é autenticado no Universal Broker. Quando o tempo limite da sessão é atingido, o usuário pode continuar a trabalhar na área de trabalho atribuída. No entanto, se ele executar uma ação, como alterar alguma configuração, que exige comunicação com o Universal Broker, o Horizon Client solicitará que ele insira novamente as credenciais do Universal Broker.
    Observação: O tempo limite da Sessão do Agente do Cliente deve ser maior ou igual à soma do valor do Intervalo de Pulsação do Cliente e do tempo limite do Usuário Ocioso do Cliente.
    Tempo limite de cache da credencial do cliente

    Essa configuração se destina a ser o Universal Broker comparável à configuração do Horizon Connection Server rotulada como Outros clientes. Descarte as credenciais de SSO.

    Portanto, a descrição aqui para essa configuração foi escrita para corresponder à descrição dessa configuração do Horizon Connection Server e na dica de ferramenta do console para essa configuração.

    Essa configuração é para clientes que não oferecem suporte à migração remota de aplicativos. Descarta as credenciais de SSO após o número especificado de minutos. Os usuários devem fazer login novamente para se conectarem a uma área de trabalho após o número especificado de minutos, independentemente de qualquer atividade do usuário no dispositivo cliente. O padrão é 15 minutos.
  5. Na página Configurações do assistente de configuração, configure Detalhes da Política.
    Os Detalhes da Política controlam se os usuários finais podem acessar determinados recursos do Horizon, se os recursos estiverem disponíveis na área de trabalho e no cliente.
    Configuração Descrição
    Redirecionamento de Multimídia (MMR) Habilite essa alternância para permitir que os usuários finais acessem o recurso de redirecionamento de multimídia, se o recurso estiver disponível na área de trabalho e no cliente.
    Acesso USB Habilite essa alternância para permitir aos usuários finais o recurso de redirecionamento USB, se o recurso estiver disponível na área de trabalho e no cliente.
    Limpe as Credenciais do HTML Access quando a guia estiver fechada

    Ativar essa configuração remove as credenciais de um usuário do cache quando um usuário fecha uma guia que se conecta a uma área de trabalho remota ou fecha uma guia que se conecta à página de seleção da área de trabalho, no cliente do Horizon HTML Access.

    Quando essa configuração está habilitada, as credenciais também são removidas do cache nos seguintes cenários de cliente HTML Access:

    • Um usuário atualiza a página de seleção da área de trabalho ou a página de sessão remota.
    • O servidor apresenta um certificado autoassinado, um usuário inicia uma área de trabalho remota, e o usuário aceita o certificado quando o aviso de segurança é exibido.
    • Um usuário executa um comando URI na guia que contém a sessão remota.

    Quando essa configuração está desativada, as credenciais permanecem em cache.

    Permitir que o cliente aguarde a VM desligada A ativação dessa configuração permite que o Horizon Client repita as solicitações de conexão para uma área de trabalho remota que não está disponível no momento.

    Por exemplo, um usuário cliente pode solicitar uma área de trabalho que está atualmente desligada. Com essa configuração habilitada, o Horizon Client poderá reenviar a solicitação de conexão e estabelecer uma sessão de conexão quando a área de trabalho estiver ligada e disponível.

    Quando terminar de configurar os Detalhes da Política, clique em Avançar para prosseguir para a próxima etapa do assistente.
  6. Reveja as configurações na página Resumo e, em seguida, clique em Concluir para salvar e aplicar a configuração.
    Dependendo das condições do sistema e da rede, normalmente leva pelo menos alguns minutos e até meia hora para que as definições de configuração sejam efetivadas no serviço do Universal Broker, pois os registros DNS são propagados pelos servidores DNS em todas as regiões globais. Durante esse tempo, o serviço Universal Broker não estará disponível. Quando a configuração é concluída, a seção Agente na página Introdução mostra o status Concluído, e a página Configurações > Agente mostra o status Ativado com um ponto verde.

    Página Intermediário com o Universal Broker ativado
    Importante: Se houver falha na configuração do Universal Broker, a página Configurações > Agente mostrará o status Erro com um ícone de alerta vermelho. Para corrigir a falha de configuração e configurar o serviço Universal Broker, entre em contato com o Suporte da VMware, conforme descrito no Artigo 2006985 da Base de Dados de Conhecimento (Knowledge Base, KB) da VMware.

O que Fazer Depois