Para Horizon Cloud Service - next-gen, en esta página se describen los elementos necesarios para usar la función True SSO con una instancia de Horizon Edge en Microsoft Azure.
Es posible que ya esté familiarizado con el uso de True SSO en las implementaciones de Horizon anteriores, como Horizon 8 local o una implementación de Horizon Cloud on Microsoft Azure de primera generación.
Para un entorno de Horizon Cloud Service - next-gen, los elementos necesarios para usar la función True SSO a fin de proporcionar a los usuarios finales acceso de inicio de sesión único (SSO) a sus escritorios y aplicaciones son una entidad de certificación empresarial de Microsoft y plantillas de certificado configuradas específicamente en esa entidad.
Entidad de certificación empresarial de Microsoft
El uso de True SSO requiere una entidad de certificación empresarial de Microsoft.
La frase "entidad de certificación empresarial de Microsoft" hace referencia a una entidad de certificación de Microsoft (CA de Microsoft) que se ejecuta en modo empresarial. Dado que la función True SSO requiere la configuración empresarial, la documentación de True SSO utiliza la frase "entidad de certificación empresarial de Microsoft".
Si aún no tiene una entidad de certificación configurada, debe agregar la función Servicios de certificados de Active Directory (AD CS) a Microsoft Windows Server y configurarlo como una CA empresarial.
Dentro del procedimiento de Microsoft para configurar una entidad de certificación empresarial de Microsoft, instale la función de Servicios de certificados de Active Directory (AD CS). El proceso de configuración de AD CS le ofrece la opción de ejecutar la CA como una CA empresarial o una CA independiente.
Configurar las plantillas de certificado requeridas para True SSO con Horizon Cloud
Especifique la siguiente configuración, incluido el tamaño mínimo de clave para el certificado de firma de Windows Server de la plantilla de True SSO. Para un certificado de firma de Windows Server, el tamaño de clave mínimo requerido es 2048. Si se especifica un tamaño mínimo de clave inferior a 2048, se produce un error de autenticación.
Para la plantilla de True SSO, especifique la siguiente configuración en la pestaña Criptografía.
- En Categoría del proveedor, seleccione Proveedor de almacenamiento de claves.
- En Nombre de algoritmo, seleccione RSA.
- En Tamaño mínimo de clave, especifique 2048.
- En Elegir qué proveedores criptográficos se pueden utilizar para las solicitudes, seleccione Las solicitudes pueden utilizar cualquier proveedor disponible en el equipo del sujeto.
- Enhash de solicitud, especifique SHA384.
- Haga clic en Guardar.
A continuación, se muestra una captura de pantalla parcial que ilustra el valor de tamaño de clave mínimo de 2048.
Habilitar el procesamiento de certificados no persistentes
Para cada Entidad de certificación empresarial de Microsoft que utiliza True SSO, es práctica recomendada habilitar el procesamiento de certificados no persistentes.
Si no se habilita el procesamiento de certificados no persistentes en la Entidad de certificación empresarial de Microsoft, los certificados True SSO permanecen almacenados en la base de datos de la CA empresarial, y esto produce lo siguiente:
- La base de datos de la CA empresarial crece innecesariamente rápidamente. True SSO solicita un nuevo certificado para cada nueva conexión.
- Quede afectado el rendimiento, ya que la CA empresarial se quedará sin espacio de disco a medida que su base de datos crezca.
Como se describe en el artículo 2149312 de la base de conocimientos de VMware, para evitar los problemas anteriores, se recomienda habilitar la opción DBFLAGS_ENABLEVOLATILEREQUESTS. Puede consultar los pasos en el artículo de la base de conocimientos.
Configurar las plantillas de certificado requeridas para True SSO con Horizon Cloud
La función True SSO requiere la configuración de las plantillas de certificado en la Entidad de certificación empresarial de Microsoft que se proporciona para su uso con True SSO y Horizon Edge.
Las plantillas de certificado son la base de los certificados que la Entidad de certificación empresarial de Microsoft genera para usarlos con True SSO.
Las cuentas del servicio de inscripción requieren permisos de Lectura e Inscripción en ambas plantillas, la plantilla TrueSsoEnrollmentAgent y la plantilla TrueSso.
Requisitos previos
- Compruebe que tiene las instancias de Entidad de certificación empresarial de Microsoft (AD CS) que requiere la función True SSO, como se describe en Tipos de entidad de certificación compatibles para usar SSO con Horizon Edge en Microsoft Azure.
- Configure el firewall para permitir que las instancias de Horizon Edge implementadas se comuniquen con las instancias de entidad de certificación empresarial con la combinación de protocolo y puertos requeridas, como se describe en Requisitos de puertos y protocolos para la implementación de Horizon Cloud en Microsoft Azure.
La comunicación utiliza los Servicios de certificados de Active Directory (AD CS). El protocolo requerido es RPC/TCP (RPC sobre TPC). El primer puerto es el 135, mientras que el segundo está dentro del rango de 49152-65535.
- Para una configuración más compatible con el firewall, puede configurar las instancias de Entidad de certificación empresarial de Microsoft(AD CS) para que usen un puerto DCOM estático y configurar el firewall para permitir que el puerto 135 y el puerto DCOM estático elegido sea el mismo en todas las instancias. Esta configuración se describe en Microsoft TechNet, en Cómo configurar un puerto DCOM estático para AD CS.
Procedimiento
- Configure la plantilla de certificado de agente de inscripción True SSO mediante la herramienta Entidad de certificación y su consola de plantillas de certificado.
- Abra la herramienta Entidad de certificación.
Algunas formas de abrir esta herramienta son usar el menú Herramientas del Administrador de servidores, las Herramientas administrativas de Windows en el menú Inicio o ejecutando certsrv.msc.
- En el árbol izquierdo de la herramienta Entidad de certificación, expanda el nombre de la entidad de certificación local hasta que vea la carpeta Plantillas de certificado.
- Abra la consola de plantillas de certificado haciendo clic con el botón secundario en la carpeta Plantillas de certificado y seleccionando Administrar.
La siguiente captura de pantalla muestra este paso en un sistema que ejecuta Windows Server 2016.
Aparece la consola de plantillas de certificado. - Haga clic con el botón secundario en la plantilla Agente de inscripción y seleccione Duplicar plantilla.
La siguiente captura de pantalla muestra este paso en un sistema que ejecuta Windows Server 2016.
Se muestra la ventana Propiedades de plantilla nueva. - Introduzca la información en las pestañas de la ventana como se describe en las secciones siguientes.
Nota: Las capturas de pantalla que aparecen a continuación se han realizado con una entidad de certificación empresarial de Microsoft que ejecuta el sistema operativo Microsoft Windows Server 2016 Standard. Si la entidad de certificación empresarial de Microsoft ejecuta una versión de sistema operativo diferente de Windows Server, es posible que vea diferencias menores en la interfaz de usuario del sistema Windows.
- pestaña General
-
Importante: Utilice únicamente caracteres ASCII en los nombres de sus plantillas de True SSO. Debido a un problema conocido, si los nombres de la plantilla de True SSO contienen caracteres no ASCII o ASCII altos, no puede configurarse correctamente True SSO con el entorno de Horizon Cloud.
- Nombre para mostrar de la plantilla
- Escriba un nombre que indique que esta nueva plantilla es para el agente de inscripción de SSO, por ejemplo, Agente de inscripción de True SSO.
- Nombre de la plantilla
-
A medida que escribe en
Nombre para mostrar de la plantilla, la herramienta introduce el nombre aquí para que coincida con la entrada de
Nombre para mostrar de la plantilla sin espacios.
Por ejemplo, si ha escrito Agente de inscripción de True SSO en el Nombre para mostrar de la plantilla, la herramienta establece automáticamente este Nombre de plantilla en TrueSsoEnrollmentAgent.
La siguiente captura de pantalla muestra esta pestaña después de introducir el Nombre para mostrar de la plantilla como Agente de inscripción de True SSO.
- Pestaña Seguridad
-
En la pestaña
Seguridad, otorgue los permisos de
Read y
Enroll al nuevo grupo de seguridad universal que creó para las cuentas de inscripción de True SSO.
- En la sección Nombres de usuario o grupo, agregue el grupo que creó para las cuentas de inscripción de True SSO.
- Seleccione ese grupo y, en la sección Permisos, seleccione Permitir para los permisos de Read y Enroll.
- Guarde la nueva plantilla de Agente de inscripción de True SSO haciendo clic en Aceptar en la ventana Propiedades de la plantilla nueva.
La nueva plantilla de Agente de inscripción de True SSO aparece en la consola de plantillas de certificado, visualizada con el Nombre para mostrar de la plantilla que le ha asignado y con la finalidad mostrada de agente de solicitud de certificados.La siguiente captura de pantalla muestra la nueva plantilla enumerada.
- Abra la herramienta Entidad de certificación.
- En la misma consola de plantillas de certificado, configure la plantilla de Inicio de sesión con tarjeta inteligente de True SSO.
- En la consola de plantillas de certificado, haga clic con el botón secundario en la plantilla Inicio de sesión con tarjeta inteligente y seleccione Duplicar plantilla.
La siguiente captura de pantalla muestra este paso en un sistema que ejecuta Windows Server 2016.
Se muestra la ventana Propiedades de plantilla nueva. - Introduzca la información en las pestañas de la ventana como se describe en las secciones siguientes.
Precaución:
Asegúrese de seguir estos puntos; de lo contrario, el sistema le impedirá configurar los valores requeridos, lo que le obligará a cancelar y rehacer sus pasos. Este requisito es un comportamiento del sistema de Windows.
- No seleccione Aplicar ni Aceptar en la ventana Propiedades hasta que haya realizado la configuración necesaria en las tres pestañas, como se describe en la viñeta siguiente, en el orden específico prescrito.
Si no sigue estas instrucciones para configurar los ajustes en las tres pestañas como se describe a continuación antes de aplicar o guardar en la ventana, Windows aplica a la Categoría del proveedor de la pestaña Criptografía el valor de solo lectura y la configuración no se puede cambiar posteriormente a la opción de Proveedor de almacenamiento de claves que requiere True SSO.
Por lo tanto, debe asegurarse de completar la configuración en las tres pestañas siguientes exactamente en el orden correcto que se indica a continuación antes de aplicar o guardar en la ventana.
- Configure estas pestañas como las primeras que configure y configúrelas en este orden específico:
- Pestaña Compatibilidad
- Pestaña General
- Pestaña Criptografía
El motivo de este orden prescrito es que a medida que se cambia la configuración en la pestaña Compatibilidad, el sistema pone a disposición de forma dinámica las opciones relevantes en las otras pestañas. Si aplica o guarda en la ventana antes de actualizar la pestaña Criptografía, no podrá establecer la configuración que requiere True SSO. Por lo tanto, asegúrese de configurar las opciones en las pestañas en orden como se indica arriba y abajo antes de aplicar o guardar en la ventana.
- Pestaña Compatibilidad
-
Nota: Debe realizar estas selecciones en la pestaña Compatibilidad para que las opciones adecuadas estén disponibles en la pestaña Criptografía.
- Seleccionar la casilla Mostrar los cambios resultantes.
- Entidad de certificación: el sistema presenta las opciones que Microsoft Windows pone a disposición para este ajuste. Para cumplir los requisitos de True SSO, seleccione la opción Windows Server 2008 R2 o una de las versiones posteriores que se presentan en el menú.
- Destinatario del certificado: el sistema presenta las opciones que Microsoft Windows pone a disposición para este ajuste. Para cumplir los requisitos de True SSO, seleccione la opción Windows 7 / Server 2008 R2 o una de las versiones posteriores que se muestran en el menú.
- pestaña General
-
Importante: Utilice únicamente caracteres ASCII en los nombres de sus plantillas de True SSO. Debido a un problema conocido, si los nombres de la plantilla de True SSO contienen caracteres no ASCII o ASCII altos, no puede configurarse correctamente True SSO con el entorno de Horizon Cloud.
- Nombre para mostrar de la plantilla
- Escriba un nombre que indique que True SSO va a utilizar esta plantilla nueva (por ejemplo, True SSO).
- Nombre de la plantilla
-
A medida que escribe en
Nombre para mostrar de la plantilla, la herramienta introduce el nombre aquí para que coincida con la entrada de
Nombre para mostrar de la plantilla sin espacios.
Por ejemplo, si ha escrito True SSO en el Nombre para mostrar de la plantilla, la herramienta establece automáticamente este Nombre de plantilla en TrueSSO.
- Periodo de validez
- 1 hora (una hora)
- Período de renovación
- 0 semanas (cero semanas)
La siguiente captura de pantalla muestra esta pestaña después de introducir el Nombre para mostrar de la plantilla como True SSO.
- Pestaña Criptografía
-
- Categoría de proveedor: proveedor de almacenamiento de claves
- Nombre del algoritmo: RSA
- Tamaño mínimo de claves: 2048
- Seleccione el botón de opción Las solicitudes puede utilizar cualquier proveedor disponible en el equipo del usuario
- Solicitar hash: SHA384
- Pestaña Tratamiento de la solicitud
-
- Propósito: Inicio de sesión con tarjeta inteligente y firma
- Seleccione la casilla de verificación Para renovar automáticamente los certificados de tarjeta inteligente, utilice la clave existente si no se puede crear una nueva clave
- Seleccione el botón de opción Solicitar al usuario durante la inscripción.
- Pestaña Nombre del usuario
-
- Seleccione el botón de opción Generar a partir de esta información de Active Directory.
- Formato de nombre de asunto: nombre distintivo
- Seleccionar la casilla Nombre principal del usuario (UPN).
- Pestaña Servidor
-
Seleccione la casilla
No almacenar certificados y solicitudes en la base de datos de CA.
Importante: Asegúrese de anular la selección de la segunda casilla de verificación etiquetada No incluir la información de revocación en los certificados emitidos.
Al seleccionar la primera casilla de verificación, el sistema selecciona automáticamente No incluir la información de revocación en los certificados emitidos.
Asegúrese de anular la selección de la segunda casilla de verificación No incluir la información de revocación en los certificados emitidos.
- Pestaña Requisitos de emisión
-
- Se requiere lo siguiente para la inscripción: Seleccionar Este número de firmas autorizadas e introducir 1.
- Tipo de política necesario en la firma: política de aplicación
- Política de aplicación: agente de solicitud de certificado
- Se requiere lo siguiente para volver a realizar la inscripción: Certificado existente válido
- Pestaña Seguridad
-
En la pestaña
Seguridad, otorgue los permisos de
Read y
Enroll al nuevo grupo de seguridad universal que creó para las cuentas de inscripción de True SSO.
- En la sección Nombres de usuario o grupo, agregue el grupo que creó para las cuentas de inscripción de True SSO.
- Seleccione ese grupo y, en la sección Permisos, seleccione Permitir para los permisos de Read y Enroll.
- No seleccione Aplicar ni Aceptar en la ventana Propiedades hasta que haya realizado la configuración necesaria en las tres pestañas, como se describe en la viñeta siguiente, en el orden específico prescrito.
- Acabe de guardar esta nueva plantilla de True SSO haciendo clic en Aceptar en la ventana Propiedades de la plantilla nueva.
La nueva plantilla de True SSO aparece en la consola de plantillas de certificado que se muestra con el Nombre para mostrar de la plantilla que le ha asignado y con la finalidad mostrada de autenticación de cliente, inicio de sesión de tarjeta inteligente.La siguiente captura de pantalla muestra la nueva plantilla enumerada.
- En la consola de plantillas de certificado, haga clic con el botón secundario en la plantilla Inicio de sesión con tarjeta inteligente y seleccione Duplicar plantilla.
- Emita la plantilla para True SSO.
- En la herramienta Entidad de certificación, haga clic con el botón secundario en la carpeta Plantillas de certificado y seleccione .
La siguiente captura de pantalla muestra este paso en un sistema que ejecuta Windows Server 2016.
Se muestra la ventana Habilitar plantillas de certificados. - Seleccione la plantilla de True SSO que creó en los pasos anteriores y haga clic en Aceptar.
La siguiente captura de pantalla muestra este paso en un sistema que ejecuta Windows Server 2016.
Importante: Debe realizar estas acciones en cada instancia de entidad de certificación empresarial de Microsoft que desee utilizar para la función True SSO. - En la herramienta Entidad de certificación, haga clic con el botón secundario en la carpeta Plantillas de certificado y seleccione .
- Repita el mismo paso de emisión para la plantilla de Agente de inscripción de True SSO.
- En la herramienta Entidad de certificación, haga clic con el botón secundario en la carpeta Plantillas de certificado y seleccione .
Se muestra la ventana Habilitar plantillas de certificados. - Seleccione la agente plantilla de Agente de inscripción de True SSO que creó en los pasos anteriores y haga clic en Aceptar.
La siguiente captura de pantalla muestra este paso en un sistema que ejecuta Windows Server 2016.
Importante: Debe realizar estas acciones en cada instancia de entidad de certificación empresarial de Microsoft que desee utilizar para True SSO.
La entidad de certificación empresarial de Microsoft ahora está configurada con las plantillas de certificado necesarias para su uso con la función True SSO. - En la herramienta Entidad de certificación, haga clic con el botón secundario en la carpeta Plantillas de certificado y seleccione .
