Configurer des points de terminaison clients pour approuver des certificats racine et intermédiaires

Si un certificat de serveur VMware Horizon 8 est signé par une autorité de certification qui n'est pas approuvée par des ordinateurs clients et si ceux-ci accèdent à Horizon Console, vous pouvez configurer tous les systèmes clients Windows d'un domaine afin qu'ils approuvent les certificats racine et intermédiaires. Pour cela, vous devez ajouter la clé publique du certificat racine à la stratégie de groupe Autorités de certification racines de confiance dans Active Directory et ajouter le certificat racine au magasin Enterprise NTAuth.

Par exemple, vous pouvez avoir à effectuer ces étapes si votre entreprise utilise un service de certificat interne.

Vous n'avez pas à suivre ces étapes si le contrôleur de domaine Windows agit en tant qu'autorité de certification racine ou si vos certificats sont signés par une autorité de certification reconnue. Pour les autorités de certification reconnues, les fournisseurs de système d'exploitation préinstallent le certificat racine sur les systèmes clients.

Si vos certificats de serveur sont signés par une autorité de certification intermédiaire peu connue, vous devez ajouter le certificat intermédiaire à la stratégie de groupe Intermediate Certification Authorities (Autorités de certification intermédiaires) dans Active Directory.

Pour les périphériques clients exécutés sur d'autres systèmes d'exploitation que Windows, lisez les instructions suivantes sur la distribution des certificats racine et intermédiaires que les utilisateurs peuvent installer :

• Pour Horizon Client pour Mac, consultez Configurer Horizon Client pour Mac pour approuver des certificats racine et intermédiaires.
• Pour Horizon Client pour iOS, consultez Configurer Horizon Client pour qu'iOS approuve les certificats d'approbation racine et intermédiaires.
• Pour Horizon Client pour Android, consultez la documentation sur le site Web de Google, notamment le Guide de l'utilisateur d'Android
• Pour Horizon Client pour Linux, consultez la documentation Ubuntu

Conditions préalables

Vérifiez que le certificat du serveur a été généré avec une valeur KeyLength de 1 024 ou plus. Les points de terminaison clients ne valideront pas un certificat sur un serveur généré avec une valeur de KeyLength inférieure à 1 024, et les clients ne parviendront pas à se connecter au serveur.

Procédure

1. Sur votre serveur Active Directory, utilisez la commande certutil pour publier le certificat dans le magasin Enterprise NTAuth.
   Par exemple : certutil -dspublish -f path_to_root_CA_cert NTAuthCA
2. Sur le serveur Active Directory, accédez au plug-in Gestion de stratégie de groupe et effectuez les étapes suivantes :
   1. Sélectionnez Démarrer > Outils d'administration > Gestion de stratégie de groupe.
   2. Développez votre domaine, cliquez avec le bouton droit sur Stratégie de domaine par défaut et cliquez sur Modifier.
3. Développez la section Configuration ordinateur et accédez à Paramètres Windows > Paramètres de sécurité > Stratégies de clé publique.
4. Importez le certificat.

   Option	Description
   Certificat racine	Cliquez avec le bouton droit sur Autorités de certification racines de confiance et sélectionnez Importer. Suivez les invites de l'assistant pour importer le certificat racine (par exemple, rootCA.cer) et cliquez sur OK.
   Certificat intermédiaire	Cliquez avec le bouton droit sur Autorités de certification intermédiaires et sélectionnez Importer. Suivez les invites de l'assistant pour importer le certificat intermédiaire (par exemple, intermediateCA.cer) et cliquez sur OK.

5. Fermez la fenêtre Group Policy (Stratégie de groupe).

Résultats

Tous les systèmes dans le domaine disposent maintenant d'informations de certificat dans leurs magasins de certificats racine approuvés et leurs magasins de certificats intermédiaires ce qui leur permet d'approuver les certificats racine et intermédiaires.