En este tema se describe la configuración relacionada con la seguridad en LDAP que no se puede modificar mediante las API, la consola de administración o las herramientas de línea de comandos proporcionadas. Horizon LDAP incluye opciones relacionadas con la seguridad en la ruta de objeto cn=common,ou=global,ou=properties,dc=vdi,dc=vmware,dc=int. Si tiene privilegios administrativos completos; podrá utilizar un editor de LDAP como la utilidad Editar ADSI para cambiar el valor de esta configuración en una instancia de agente de conexión. El cambio se propaga automáticamente a todas las demás instancias del agente de conexión de un clúster.

Configuración relacionada con la seguridad en Horizon LDAP

Atributo Descripción
pae-AgentLogCollectionDisabled Esta configuración se puede utilizar para evitar la descarga de archivos DCT desde instancias de Horizon Agent mediante las API o la consola de administración. La recopilación de registros sigue siendo posible desde las instancias de Connection Server en entornos de VMware Horizon 8.

Establezca el valor 1 para desactivar la recopilación de registros del agente.
pae-DisallowEnhancedSecurityMode

Esta configuración se puede utilizar para evitar el uso de la seguridad de mensajes mejorada. Utilice esta opción si desea desactivar la administración automática de certificados.

Una vez que se establezca en 1, el entorno de Horizon 8 comenzará la transición al modo de seguridad de mensajes Habilitado automáticamente.

Si se vuelve a establecer este atributo en 0 o se elimina, se podrá elegir una vez más la seguridad de mensajes mejorada, pero no se activará una transición automática.
pae-enableDbSSL Si configura una base de datos de eventos, la conexión no estará protegida por TLS de forma predeterminada. Establezca este atributo en 1 para activar TLS en la conexión.
pae-managedCertificateAdvanceRollOver

Para los certificados autoadministrados, este atributo se puede establecer para forzar la renovación de los certificados antes de que caduquen. Especifique con cuántos días de antelación a la fecha de caducidad se debe hacer.

El período máximo es de 90 días. Si no se especifica, esta configuración se establecerá de forma predeterminada en 0 días, por lo que la renovación se producirá al caducar.
pae-MsgSecOptions

Este es un atributo de varios valores en el que cada valor es en sí mismo un par nombre-valor (por ejemplo, course=fish).

Advertencia: Al agregar o modificar un par nombre-valor, tenga mucho cuidado de no eliminar otros valores.

Actualmente, el único par nombre-valor que se puede establecer es keysize. Esto especifica la longitud de la clave de firma del mensaje DSA. Si no se especifica, el valor predeterminado es 512 bits.

  • Si la seguridad de los mensajes está habilitada o es mixta, se firmarán todos los mensajes. El aumento de la longitud de la clave afecta al rendimiento y la escalabilidad.
  • Si la seguridad de los mensajes es Mejorada, se firmarán pocos mensajes, y VMware recomienda una longitud de clave de 2048 bits.
  • Si seleccionó la compatibilidad FIPS al instalar Horizon 8, el tamaño de clave ya estará establecido en 2048.

La longitud de la clave se puede cambiar inmediatamente después de instalar la primera instancia del agente de conexión y antes de que se creen servidores y escritorios adicionales. Después de esto, no se debe cambiar.
pae-noManagedCertificate

Esta configuración se puede utilizar para desactivar la administración automática de certificados.

Cuando se establece en 1, los certificados ya no se renuevan automáticamente y se ignoran los certificados autofirmados en los almacenes de certificados.

Todos los certificados deben estar firmados por una entidad de certificación y deben estar administrados por un administrador.

Esta configuración no es compatible con la seguridad de mensajes Mejorada. Antes de establecer el valor en 1, debe cambiar la seguridad de los mensajes a Habilitada.

Si seleccionó la compatibilidad con FIPS al instalar Horizon 8, el certificado "vdm" deberá estar firmado por una entidad de certificación, pero no es necesario que otros lo estén, a menos que se establezca en 1.

Todas las instancias de Connection Server en una configuración de CPA deben tener el certificado raíz que se utilizó para generar el certificado cliente de inscripción (vdm.ec) de otros pods.
pae-SSLCertificateSignatureAlgorithm

Esto especifica el algoritmo de firma del certificado que se utilizará para los certificados administrados automáticamente. No se especifica, el valor predeterminado será rsa_pkcs1_sha384.

Puede consultar más ejemplos en Directivas globales predeterminadas para los protocolos de seguridad y los conjuntos de claves de cifrado.