Vous devez suivre certaines recommandations pour la configuration de certificats TLS pour les serveurs VMware Horizon et les composants associés.
Horizon Connection Server
TLS est requis pour les connexions clientes à un serveur. Les instances du Serveur de connexion client et les serveurs intermédiaires qui mettent fin aux connexions TLS nécessitent des certificats de serveur TLS.
- Si un certificat valide avec le nom convivial vdm existe déjà dans le magasin de certificats Windows.
- Si vous effectuez une mise à niveau vers VMware Horizon depuis une version antérieure, et qu'un fichier de magasin de clés valide est configuré sur l'ordinateur Windows Server, l'installation extrait les clés et les certificats et les importe dans le magasin de certificats Windows.
vCenter Server
Avant d'ajouter un serveur vCenter Server à VMware Horizon dans un environnement de production, vérifiez que vCenter Server utilise des certificats signés par une autorité de certification.
Pour plus d'informations sur le remplacement du certificat par défaut pour vCenter Server, reportez-vous à la section « Remplacement des certificats dans les déploiements à grande échelle » du document Authentification vSphere sur le site de documentation de VMware vSphere.
PCoIP Secure Gateway
Pour respecter les réglementations de sécurité du secteur ou de la juridiction, vous pouvez remplacer le certificat TLS par défaut généré par le service PCoIP Secure Gateway (PSG) par un certificat signé par une autorité de certification. La configuration du service PSG pour utiliser un certificat signé par une autorité de certification est fortement recommandée, en particulier pour les déploiements qui nécessitent que vous utilisiez des scanners de sécurité pour passer les tests de conformité. Reportez-vous à la section TLS.
Blast Secure Gateway
Par défaut, Blast Secure Gateway (BSG) utilise le certificat TLS configuré pour l'instance du Serveur de connexion sur lequel est exécuté BSG. Si vous remplacez le certificat auto-signé par défaut pour un serveur par un certificat signé par une autorité de certification, BSG utilise également le certificat signé par une autorité de certification.
Authentificateur SAML 2.0
VMware Workspace ONE Access utilise des authentificateurs SAML 2.0 pour fournir une authentification et une autorisation basées sur le Web sur des domaines de sécurité. Si vous voulez que VMware Horizon délègue l'authentification à VMware Workspace ONE Access, vous pouvez configurer VMware Horizon pour accepter les sessions authentifiées de SAML 2.0 depuis VMware Workspace ONE Access. Lorsque VMware Workspace ONE Access est configuré pour prendre en charge VMware Horizon, les utilisateurs de VMware Workspace ONE Access peuvent se connecter à des postes de travail distants en sélectionnant des icônes de poste de travail sur le portail utilisateur d'Horizon.
Dans Horizon Console, vous pouvez configurer des authentificateurs SAML 2.0 pour qu'ils utilisent des instances du Serveur de connexion.
Avant d'ajouter un authentificateur SAML 2.0 dans Horizon Console, vérifiez que l'authentificateur SAML 2.0 utilise un certificat signé par une autorité de certification.
Recommandations supplémentaires
Pour plus d'informations générales sur la demande et l'utilisation des certificats TLS signés par une autorité de certification, reportez-vous à la section TLS.
Lorsque des points de terminaison clients se connectent à une instance du Serveur de connexion, ils se voient présenter le certificat de serveur TLS du serveur et des certificats intermédiaires dans la chaîne d'approbation. Pour approuver le certificat de serveur, les systèmes client doivent avoir installé le certificat racine de l'autorité de certification de signature.
Lorsque le Serveur de connexion communique avec vCenter Server, le Serveur de connexion se voit présenter des certificats de serveur TLS et des certificats intermédiaires de ce serveur. Pour approuver vCenter Server, l'ordinateur exécutant le Serveur de connexion doit avoir installé le certificat racine de l'autorité de certification de signature.
De la même façon, si un authentificateur SAML 2.0 est configuré pour le Serveur de connexion, l'ordinateur Serveur de connexion doit avoir installé le certificat racine de l'autorité de certification de signature pour le certificat du serveur SAML 2.0.
