Cet article fournit des instructions détaillées pas à pas pour la configuration des paramètres d'Universal Broker, notamment le nom de domaine complet ou l'URL de connexion, l'authentification à deux facteurs, les délais d'expiration de session et les stratégies de fonctionnalités d'Horizon.

Avant de pouvoir utiliser Universal Broker dans l'intermédiation des ressources à partir d'attributions d'utilisateurs finaux, vous devez d'abord configurer certains paramètres.

Dans la première configuration d'Universal Broker, l'assistant de configuration s'ouvre automatiquement, comme indiqué à la section Démarrer la configuration d'Universal Broker.

Ensuite, lorsque vous devez réviser les paramètres pendant votre utilisation continue du service, vous pouvez rouvrir l'assistant de configuration à partir de la page Broker de la console ou de la page Démarrage.

Quelques points clés sur les paramètres d'authentification à deux facteurs dans cet assistant de configuration
  • De par sa conception, lorsqu'Universal Broker est configuré avec des paramètres d'authentification à deux facteurs, il forme la demande d'authentification et la transmet à une instance d'Unified Access Gateway externe qui communique ensuite avec le serveur d'authentification réel configuré dans les paramètres de cette instance. L'instance d'Unified Access Gateway relaie ensuite la réponse du service d'authentification à Universal Broker.
  • De par sa conception par défaut, les mêmes paramètres d'authentification à deux facteurs d'Universal Broker seront appliqués à l'échelle du locataire, utilisés pour chaque espace de la flotte d'espaces du locataire. Pour utiliser l'authentification à deux facteurs pour Universal Broker, vous devez d'abord configurer le service d'authentification approprié sur chaque instance d'Unified Access Gateway externe de tous les espaces participants de la flotte. Les configurations des instances externes d'Unified Access Gateway doivent être identiques dans et entre les espaces participants.
  • Si vous disposez, par exemple, d'une flotte d'espaces mixtes composée d'espaces Horizon et d'espaces Horizon Cloud et que vous souhaitez utiliser l'authentification RADIUS, configurez le service RADIUS sur chaque instance externe d'Unified Access Gateway sur tous ces espaces Horizon et espaces Horizon Cloud.

Conditions préalables

Important : Si des utilisateurs finaux se connectent à partir d'Internet ou si vous souhaitez utiliser l'authentification à deux facteurs, ne supprimez pas les instances d' Unified Access Gateway externes qui se trouvent sur les espaces. Dans le cas d'utilisateurs finaux externes, l'instance d' Unified Access Gateway externe est nécessaire au lancement réussi du poste de travail virtuel ou de l'application distante à partir du client de l'utilisateur final une fois que le client s'est authentifié sur Universal Broker. Dans le cas d'une authentification à deux facteurs, Universal Broker fait correspondre les paramètres d'authentification à deux facteurs avec l'instance d' Unified Access Gateway externe. La configuration d' Unified Access Gateway externe est alors requise à cet effet.

Préparez les composants système requis en fonction de votre type d'espace. La vérification de ces conditions préalables est particulièrement importante lorsque vous terminez l'assistant pour la première configuration d'Universal Broker du locataire.

Pour les espaces Horizon (basés sur la technologie d' Horizon Connection Server) :
Pour les espaces Horizon Cloud (basés sur la technologie de gestionnaire d'espace Horizon Cloud) :
Important : Avant d'envoyer la dernière étape de l'assistant, tous vos espaces Horizon Cloud doivent être en ligne et dans un état sain et prêt. Lors de l'application des paramètres, le service Universal Broker doit communiquer avec les espaces et effectuer des étapes de configuration sur ceux-ci pour terminer le processus de configuration. Si l'un des espaces est hors ligne ou indisponible, la configuration d' Universal Broker échoue.

Procédure

  1. Ouvrez l'assistant de configuration d'Universal Broker.

    Sinon, vous pouvez ouvrir directement l'assistant en cliquant sur Paramètres > Broker et en cliquant sur l'icône en forme de crayon pour modifier une configuration.

    Si vous terminez cet assistant immédiatement après les étapes de la section Démarrer la configuration d'Universal Broker
    Dans ce cas , la console a généralement déjà affiché l'assistant, sauf si vous vous êtes déconnecté de l'assistant avant de le terminer. Si c'est le cas ici, ouvrez-le directement en accédant à Paramètres > Broker et en cliquant sur Configurer.
    Si vous modifiez une configuration enregistrée
    Ouvrez directement l'assistant en accédant à Paramètres > Broker et en cliquant sur l'icône en forme de crayon en regard de cette configuration.
    L'assistant de configuration pour Universal Broker s'affiche. Dans la version actuelle, les sections de l'assistant correspondent aux paramètres du nom de domaine complet, de l'authentification et à certaines valeurs par défaut applicables aux sessions client.
  2. Sur la page Nom de domaine complet de l'assistant, configurez les paramètres du nom de domaine complet du service Universal Broker. Ces paramètres définissent l'adresse de connexion dédiée ou l'URL que vos utilisateurs finaux utiliseront pour accéder aux ressources réparties par Universal Broker.
    Note : Lorsque vous modifiez un paramètre de sous-domaine ou de nom de domaine complet, la modification peut prendre un certain temps à s'appliquer sur tous vos serveurs DNS.
    1. Pour Type, sélectionnez un nom de domaine complet fourni par VMware ou fourni par le client.
    2. Spécifiez des paramètres supplémentaires pour le type de nom de domaine complet sélectionné.
      Fourni par VMware
      Paramètre Description
      Sous-domaine Entrez le nom DNS unique d'un sous-domaine valide dans votre configuration réseau qui représente votre société ou organisation. Ce sous-domaine est ajouté en préfixe au domaine fourni par VMware pour former le nom de domaine complet d'intermédiation.
      Note : Certaines chaînes ne sont pas autorisées ou sont réservées par le système. Cette catégorie de chaînes inclut des mots génériques tels que book, des termes bien connus appartenant à des entreprises, tels que gmail, ainsi que le chiffrement du protocole et des termes open source comme php et sql. Le système interdit également une catégorie de modèles de ces chaînes comme mail0, mail1, mail2, etc.

      Cependant, lorsque vous saisissez un nom non autorisé dans ce champ, le système ne valide pas l'entrée à ce moment-là. Lorsque vous atteignez l'étape de résumé final de l'assistant, le système valide le nom que vous avez entré ici et affiche une erreur si votre entrée correspond à l'un des noms non autorisés. Si c'est le cas, entrez un nom différent et un nom unique.
      URL du Broker Ce champ en lecture seule affiche le nom de domaine complet configuré. Le nom de domaine complet utilise le format https://<votre sous-domaine>.vmwarehorizon.com.

      Fournissez ce nom de domaine complet à vos utilisateurs finaux pour qu'ils puissent se connecter au service Universal Broker en utilisant Horizon Client.

      Universal Broker gère la validation DNS et SSL de ce nom de domaine complet.

      La capture d'écran suivante montre un exemple de l'assistant de configuration avec les paramètres renseignés d'un nom de domaine complet fourni par VMware.


      Assistant de configuration d'Universal Broker avec les paramètres renseignés du nom de domaine complet fourni par VMware.

      Fourni par le client
      Paramètre Description
      Nom de domaine complet d'intermédiation Entrez le nom de domaine complet personnalisé que vos utilisateurs finaux utiliseront pour accéder au service Universal Broker. Votre nom de domaine complet personnalisé fonctionne comme un alias du nom de domaine complet fourni par VMware généré, qui établit la connexion au service.

      Vous devez être propriétaire du nom de domaine spécifié dans votre nom de domaine complet personnalisé et fournir un certificat qui peut valider ce domaine.

      Note : Votre nom de domaine complet personnalisé, également appelé URL de connexion, représente votre société ou organisation. Assurez-vous que vous disposez de l'autorisation adéquate pour utiliser ce nom de domaine complet personnalisé.
      Note : Votre nom de domaine complet personnalisé doit être unique et distinct des FQDN de toutes les instances d' Unified Access Gateway dans vos espaces.
      Important : Vous devez créer un enregistrement CNAME sur votre serveur DNS qui mappe votre nom de domaine complet personnalisé au nom de domaine complet fourni par VMware qui représente l'adresse de connexion interne du service Universal Broker. Par exemple, l'enregistrement peut mapper vdi.examplecompany.com à <chaîne générée automatiquement>.vmwarehorizon.com.
      Certificat

      Cliquez sur Parcourir et téléchargez le certificat (au format PFX protégé par mot de passe) qui valide votre nom de domaine complet d'intermédiation. Le certificat doit répondre à tous les critères suivants :

      • Le certificat doit être valide pendant au moins 90 jours.
      • Le certificat doit être signé par une autorité de certification approuvée.
      • Le nom commun (SN) du certificat ou l'un de ses autres noms (SAN) doit correspondre au nom de domaine complet.
      • Le contenu du certificat doit être conforme au format X.509 standard.

      Le fichier PFX doit contenir toute la chaîne de certificats et la clé privée : certificat de domaine, certificats intermédiaires, certificat d'autorité de certification racine et clé privée.

      Le service Universal Broker utilise ce certificat pour établir des sessions de connexion approuvées avec des clients.

      Note : Le certificat peut contenir un nom de domaine complet générique dans le champ CN ou SAN. Si le caractère générique est le seul caractère du sous-domaine le plus à gauche de l'identifiant de référence, seuls les noms de domaine complets correspondant à ce sous-domaine le plus à gauche sont validés par le certificat. Par exemple, si le certificat contient le nom de domaine complet générique *.mycompany.com, la règle de correspondance autorise vdi.mycompany.com comme nom de domaine complet d'intermédiation valide. Toutefois, test.vdi.mycompany.com ne correspond pas à l'identifiant de référence et n'est pas autorisé.
      Mot de passe Entrez le mot de passe du fichier de certificats PFX.
      Nom de domaine complet fourni par VMware Ce champ en lecture seule affiche le nom de domaine complet fourni par VMware, généré automatiquement pour le service d'intermédiation. Le nom de domaine complet prend le format https://<chaîne générée automatiquement>.vmwarehorizon.com.

      Le nom de domaine complet fourni par VMware n'est pas visible pour les utilisateurs finaux et représente l'adresse de connexion interne du service Universal Broker. Votre nom de domaine complet personnalisé fonctionne comme alias du nom de domaine complet fourni par VMware.

      Important : Vous devez configurer une association d'alias en créant un enregistrement CNAME sur votre serveur DNS qui mappe votre nom de domaine complet personnalisé à celui fourni par VMware. Par exemple, l'enregistrement peut mapper vdi.examplecompany.com à <chaîne générée automatiquement>.vmwarehorizon.com.

      La capture d'écran suivante montre un exemple de l'assistant de configuration avec les paramètres renseignés d'un nom de domaine complet personnalisé.


      Assistant de configuration Universal Broker avec les paramètres renseignés du nom de domaine complet personnalisé

    3. Lorsque vous avez terminé la configuration des paramètres de nom de domaine complet, cliquez sur Suivant pour passer à la page suivante de l'assistant.
  3. (Facultatif) Sur la page Authentification de l'assistant, configurez l'authentification à deux facteurs.
    Par défaut, Universal Broker authentifie les utilisateurs uniquement via leur nom d'utilisateur et leur mot de passe Active Directory. Vous pouvez mettre en place l'authentification à deux facteurs en spécifiant une méthode d'authentification supplémentaire. Pour plus d'informations, reportez-vous à la section Meilleures pratiques lors de l'implémentation de l'authentification à deux facteurs dans un environnement Universal Broker.
    Paramètre Description
    Authentification à deux facteurs

    Pour utiliser l'authentification à deux facteurs, activez cette option.

    Lorsque vous activez cette option, vous voyez des options supplémentaires pour configurer l'authentification à deux facteurs.
    Conserver le nom d'utilisateur Activez cette option pour conserver le nom Active Directory de l'utilisateur lors de l'authentification dans Universal Broker. Lorsque cette option est activée :
    • L'utilisateur doit disposer d'informations d'identification de nom d'utilisateur pour la méthode d'authentification supplémentaire identiques à celles utilisées pour son authentification Active Directory dans Universal Broker.
    • L'utilisateur ne peut pas modifier le nom d'utilisateur dans l'écran de connexion client.

    Si cette option est désactivée, l'utilisateur peut entrer un nom d'utilisateur différent dans l'écran de connexion.

    Type

    Indiquez la méthode d'authentification qu'Universal Broker doit utiliser avec les utilisateurs finaux en complément du nom d'utilisateur et du mot de passe Active Directory. L'interface utilisateur affiche deux choix : RADIUS et RSA SecurID.

    Ce paramètre s'applique à l'échelle du locataire. Le comportement du client de l'utilisateur final dépend de la composition de la flotte d'espaces du locataire et du type d'authentification à deux facteurs configuré sur les passerelles des espaces, comme suit :

    Espaces Horizon uniquement
    Le type que vous sélectionnez ici est celui utilisé dans le client.
    Espaces Horizon Cloud uniquement
    • Sélectionnez le type qui correspond à celui qui est configuré sur les passerelles externes des espaces.
    Combinaison d'espaces Horizon et de déploiements Horizon Cloud on Microsoft Azure
    Lorsque l'option RADIUS est sélectionnée ici dans une flotte mixte, les demandes d'authentification RADIUS des utilisateurs sont tentées via les instances d' Unified Access Gateway des deux types d'espaces.

    Lorsque l'option RSA SecurID est sélectionnée ici dans une flotte mixte, le comportement du client varie selon que vos déploiements Horizon Cloud on Microsoft Azure sont configurés avec RSA SecurID sur leurs passerelles externes.

    • Si aucun type RSA SecurID n'est configuré sur les passerelles de vos déploiements Horizon Cloud on Microsoft Azure et que l'option RSA SecurID est sélectionnée ici, les demandes d'authentification RSA des utilisateurs sont tentées via les instances d'Unified Access Gateway de vos espaces Horizon uniquement. Les demandes d'authentification par nom d'utilisateur et mot de passe Active Directory sont tentées via les instances d'Unified Access Gateway pour les espaces Horizon ou les espaces Horizon Cloud.
    • Si le type RSA SecurID est configuré sur vos déploiements Horizon Cloud on Microsoft Azure, les demandes d'authentification RSA des utilisateurs sont tentées via les instances d'Unified Access Gateway de deux types d'espaces.
    Afficher le texte d'astuce

    Applicable au type RADIUS. Activez cette option pour configurer une chaîne de texte qui s'affiche dans l'écran de connexion client afin d'inviter l'utilisateur à entrer ses informations d'identification conformément à la méthode d'authentification supplémentaire.
    Texte d'astuce personnalisé

    Ce champ est disponible lorsque vous choisissez d'afficher le texte d'astuce. Applicable au type RADIUS.

    Entrez la chaîne de texte que vous souhaitez afficher dans l'écran de connexion client. L'astuce spécifiée apparaît à l'utilisateur final sous la forme Enter your DisplayHint user name and password, où DisplayHint est la chaîne de texte que vous entrez dans cette zone de texte.

    Note : Universal Broker n'autorise pas les caractères suivants dans le texte d'astuce personnalisé : & < > ' "

    Si vous incluez l'un de ces caractères non autorisés dans le texte de l'astuce, les connexions des utilisateurs au nom de domaine complet Universal Broker échoueront.

    Cette astuce peut guider les utilisateurs afin qu'ils entrent les informations d'identification appropriées. Par exemple, l'entrée d'une phrase semblable à Nom d'utilisateur de société et de mot de passe de domaine ci-dessous génère un message à l'utilisateur final qui indique : Enter your Company user name and domain password below for user name and password.

    Ignorer l'authentification à deux facteurs

    Activez cette option pour contourner l'authentification à deux facteurs pour les utilisateurs du réseau interne qui se connectent au service Universal Broker. Assurez-vous que vous avez spécifié les plages d'adresses IP publiques appartenant à votre réseau interne, comme décrit dans Définir des plages réseau internes pour Universal Broker.

    • Lorsque cette option est activée, les utilisateurs internes doivent entrer uniquement leurs informations d'identification Active Directory pour s'authentifier auprès du service Universal Broker. Les utilisateurs externes doivent entrer leurs informations d'identification Active Directory et leurs informations d'identification pour le service d'authentification supplémentaire.
    • Lorsque cette option est désactivée, les utilisateurs internes et externes doivent entrer leurs informations d'identification Active Directory et leurs informations d'identification pour le service d'authentification supplémentaire.
    Plages d'adresses IP publiques

    Ce champ est visible lorsque l'option Ignorer l'authentification à deux facteurs est activée.

    Lorsqu'une ou plusieurs plages d'adresses IP publiques sont déjà spécifiées dans l'onglet Plages réseau de la page Broker, ce champ est en lecture seule et répertorie ces plages d'adresses IP.

    Si aucune plage d'adresses IP publiques n'a déjà été indiquée dans l'onglet Plages réseau de la page Broker, vous pouvez utiliser ce champ pour indiquer les plages d'adresses IP publiques qui représentent votre réseau interne, afin d'ignorer les invites d'authentification à deux facteurs pour le trafic provenant de ces plages. Universal Broker considère que tout utilisateur qui se connecte à partir d'une adresse IP comprise dans l'une de ces plages est un utilisateur interne.

    Pour plus d'informations sur l'objectif de la spécification de ces plages, reportez-vous à la section Définir des plages réseau internes pour Universal Broker.
    La capture d'écran suivante montre un exemple de l'assistant de configuration avec les paramètres d'authentification à deux facteurs renseignés pour le type RADIUS.
    Assistant de configuration d'Universal Broker avec les paramètres d'authentification à deux facteurs renseignés
    Lorsque vous avez terminé les sélections, cliquez sur Suivant pour passer à la page suivante de l'assistant.
  4. Sur la page Paramètres de l'assistant de configuration, configurez les paramètres de Durées pour Horizon Client.
    Ces paramètres de délai d'expiration s'appliquent à la session de connexion entre Horizon Client et le poste de travail attribué alloué par Universal Broker. Ces paramètres ne s'appliquent pas à la session de connexion de l'utilisateur au système d'exploitation invité du poste de travail attribué. Lorsque Universal Broker détecte les conditions de délai d'expiration spécifiées par ces paramètres, il ferme la session de connexion à Horizon Client de l'utilisateur.
    Paramètre Description
    Intervalle de pulsation de Client Contrôle l'intervalle, en minutes, entre les pulsations d'Horizon Client et l'état de la connexion de l'utilisateur à Universal Broker. Ces pulsations signalent à Universal Broker la durée d'inactivité qui s'est écoulée pendant la session de connexion à Horizon Client.

    La durée d'inactivité est mesurée lorsqu'aucune interaction ne se produit avec le point de terminaison exécutant Horizon Client. Cette durée d'inactivité n'est pas affectée par une éventuelle inactivité au sein de la session de connexion au système d'exploitation invité sous-jacent au poste de travail attribué à l'utilisateur.

    Dans les grands déploiements de postes de travail, l'augmentation de l'intervalle de pulsation de Client peut réduire le trafic réseau et améliorer les performances.
    Utilisateur inactif de Client Durée d'inactivité maximale, en minutes, autorisée pendant une session de connexion entre Horizon Client et Universal Broker.

    Lorsque la durée maximale est atteinte, la période d'authentification de l'utilisateur expire et Universal Broker ferme toutes les sessions Horizon Client actives. Pour rouvrir une session de connexion, l'utilisateur doit entrer de nouveau ses informations d'identification d'authentification sur l'écran de connexion à Universal Broker.

    Note : Pour éviter de déconnecter les utilisateurs de manière inattendue de leurs postes de travail attribués, définissez le délai d'expiration Utilisateur inactif de Client sur une valeur au moins égale au double de celle de l' intervalle de pulsation de Client.
    Session Broker de Client Durée maximale, en minutes, autorisée pour une session de connexion Horizon Client avant l'expiration de l'authentification de l'utilisateur. La durée commence lorsque l'utilisateur s'authentifie dans Universal Broker. Lorsque le délai d'expiration de la session est écoulé, l'utilisateur peut continuer à travailler sur le poste de travail qui lui est attribué. Cependant, s'ils exécutent une action (telle que la modification de paramètres) qui nécessite une communication avec Universal Broker, Horizon Client les invite à entrer de nouveau ses informations d'identification d'Universal Broker.
    Note : Le délai d'expiration Session broker de Client doit être supérieur ou égal à la somme de la valeur Intervalle de pulsation de Client et du délai d'expiration Utilisateur inactif de Client.
    Délai d'expiration de la mise en cache des informations d'identification de Client

    Ce paramètre est conçu comme Universal Broker comparable au paramètre Horizon Connection Server nommé Autres clients. Ignorer les informations d'identification SSO.

    Par conséquent, la description présente de ce paramètre est écrite pour correspondre à la description du paramètre Horizon Connection Server et dans l'info-bulle de la console pour ce paramètre.

    Ce paramètre concerne les clients qui ne prennent pas en charge l'accès à distance aux applications. Ignore les informations d'identification SSO après le nombre spécifié de minutes. Les utilisateurs doivent ouvrir une nouvelle session pour se connecter à un poste de travail après le nombre spécifié de minutes, quelle que soit l'activité de l'utilisateur sur le périphérique client. La valeur par défaut est de 15 minutes.
  5. Sur la page Paramètres de l'assistant de configuration, configurez Détails de la stratégie.
    Les détails de la stratégie contrôlent si les utilisateurs finaux peuvent accéder à certaines fonctionnalités d'Horizon, si celles-ci sont disponibles sur le poste de travail et le client.
    Paramètre Description
    Redirection multimédia (MMR) Activez cette option pour permettre à vos utilisateurs finaux d'accéder à la fonctionnalité de redirection multimédia, si celle-ci est disponible sur le poste de travail et le client.
    Accès USB Activez cette option pour permettre à vos utilisateurs finaux d'accéder à la fonctionnalité de redirection USB, si celle-ci est disponible sur le poste de travail et le client.
    Nettoyer les informations d'identification d'HTML Access lors de la fermeture de l'onglet

    L'activation de ce paramètre supprime les informations d'identification du cache lorsque l'utilisateur ferme un onglet qui le connecte à un poste de travail distant, ou lorsqu'il ferme un onglet qui le connecte à la page de sélection des postes de travail, dans le client Horizon HTML Access.

    Lorsque ce paramètre est activé, les informations d'identification sont également supprimées du cache dans les scénarios suivants du client HTML Access :

    • Un utilisateur actualise la page de sélection des postes de travail ou la page de session distante.
    • Le serveur présente un certificat auto-signé, un utilisateur démarre un poste de travail distant et l'utilisateur accepte le certificat lorsque l'avertissement de sécurité s'affiche.
    • Un utilisateur exécute une commande URI dans l'onglet qui contient la session distante.

    Lorsque ce paramètre est désactivé, les informations d'identification restent dans le cache.

    Autoriser le client à attendre la VM hors tension L'activation de ce paramètre permet à Horizon Client de retenter les demandes de connexion à un poste de travail distant actuellement indisponible.

    Par exemple, un utilisateur client peut demander un poste de travail qui est actuellement hors tension. Lorsque ce paramètre est activé, Horizon Client peut renvoyer sa demande de connexion et établir une session de connexion lorsque le poste de travail est sous tension et disponible.

    Lorsque vous avez terminé la configuration des détails de la stratégie, cliquez sur Suivant pour passer à l'étape suivante de l'assistant.
  6. Vérifiez vos paramètres sur la page Résumé, puis cliquez sur Terminer pour enregistrer et appliquer la configuration.
    Selon les conditions de votre système et de votre réseau, l'application complète des paramètres de configuration prend généralement quelques minutes au minimum et jusqu'à une demi-heure dans le service Universal Broker, car les enregistrements DNS sont propagés sur les serveurs DNS dans toutes les régions globales. Pendant ce temps, le service Universal Broker n'est pas disponible. Lorsque la configuration est terminée, la section Broker de la page Démarrage affiche l'état Terminé, et la page Paramètres > Broker affiche l'état Activé avec un point vert.

    Page Broker avec Universal Broker activé
    Important : Si la configuration d' Universal Broker échoue, la page Paramètres > Broker affiche l'état Erreur avec l'icône d'alerte rouge. Pour corriger l'échec de la configuration et configurer le service Universal Broker, contactez le support VMware, comme décrit dans l' article 2006985 de la base de connaissances VMware.

Que faire ensuite

  • Si vous avez configuré Universal Broker pour des espaces Horizon, passez les espaces à l'état géré. Reportez-vous à la section Utiliser Horizon Universal Console pour redéfinir un espace Horizon connecté au cloud sur l'état Géré.
  • Si vous avez configuré Universal Broker pour les espaces Horizon Cloud dans Microsoft Azure, aucune configuration supplémentaire n'est requise. Vous pouvez utiliser la console pour créer des images à plusieurs espaces, puis créer des attributions d'utilisateurs finaux basées sur ces images.