可以使用具有 -T 选项的 vdmadmin 命令为管理员用户提供 Active Directory 辅助凭据。
语法
vdmadmin
-T [-b authentication_arguments] -domainauth
{-add | -update | -remove | -removeall | -list} -ownerdomain\user-userdomain\user [-passwordpassword]
用法说明
如果用户和组所在的域与连接服务器域具有单向信任关系，您必须在 Horizon Administrator 中为管理员用户提供辅助凭据。管理员必须具有辅助凭据才能访问单向信任域。单向信任域可以是外部域，也可以是具有可传递林信任关系的域。
仅 Horizon Administrator 会话需要使用辅助凭据，最终用户的桌面或应用程序会话则不需要使用该凭据。仅管理员用户需要使用辅助凭据。
通过使用 vdmadmin 命令，您可以针对每个用户配置辅助凭据。您无法全局配置指定的辅助凭据。
对于林信任关系，通常只需为林根域配置辅助凭据。然后，连接服务器可以枚举具有林信任关系的子域。
仅当单向信任域中的用户首次登录时，才可执行 Active Directory 帐户锁定、禁用和登录时间检查。
单向信任域不支持对用户进行 PowerShell 管理和智能卡身份验证。不支持对单向信任域中的用户进行 SAML 身份验证。
辅助凭据帐户需要以下权限。标准用户帐户默认应拥有这些权限。
- 列出内容
- 读取全部属性
- 读取权限
- 读取 tokenGroupsGlobalAndUniversal（“读取全部属性”隐含的权限）
限制
- 不支持对单向信任域中的用户进行 PowerShell 管理和智能卡身份验证。
- 不支持对单向信任域中的用户进行 SAML 身份验证。
选项
| 选项 | 说明 |
|---|---|
| -add | 为所有者帐户添加辅助凭据。 执行 Windows 登录以验证指定的凭据是否有效。在 View LDAP 中为用户创建外部安全主体 (Foreign Security Principal, FSP)。 |
| -update | 更新所有者帐户的辅助凭据。 执行 Windows 登录以验证更新的凭据是否有效。 |
| -list | 显示所有者帐户的安全凭据。不会显示密码。 |
| -remove | 移除所有者帐户的安全凭据。 |
| -removeall | 移除所有者帐户的所有安全凭据。 |
示例
为指定的所有者帐户添加辅助凭据。执行 Windows 登录以验证指定的凭据是否有效。
vdmadmin -T -domainauth -add -owner domain\user -user domain\user -password password
更新指定的所有者帐户的辅助凭据。执行 Windows 登录以验证更新的凭据是否有效。
vdmadmin -T -domainauth -update -owner domain\user -user domain\user -password password
移除指定的所有者帐户的辅助凭据。
vdmadmin -T -domainauth -remove -owner domain\user -user domain\user
移除指定的所有者帐户的所有辅助凭据。
vdmadmin -T -domainauth -removeall -owner domain\user
显示指定的所有者帐户的所有辅助凭据。不会显示密码。
vdmadmin -T -domainauth -list -owner domain\user
