Omnissa Horizon Connection Server: Zertifikat austauschen

Der Horizon Connection Server wählt sein TLS-Zertifikat aus dem Speicher Eigene Zertifikate des lokalen Computers anhand des Anzeigenamens (Friendly Name) vdm. Diese Auswahl liest er beim Start des Connection-Server-Dienstes.

Das Produkt heißt heute Omnissa Horizon (ehemals VMware Horizon), seine Dokumentation liegt bei Omnissa. Der vdm-Ablauf unten ist unter beiden Namen derselbe; in der Auswahl der aethercert-Deployment-Ziele steht es weiterhin als VMware Horizon.

VoraussetzungenCopy Anchor Link

Omnissas Anforderungen an das Zertifikat:

• Serverauthentifizierung in der erweiterten Schlüsselverwendung sowie Digitale Signatur und Schlüsselverschlüsselung in der Schlüsselverwendung,
• CN oder SAN passend zum FQDN des Connection Servers oder zur konfigurierten externen URL - nehmen Sie den Namen am Load Balancer und den eigenen Namen jedes Servers auf,
• eine Vertrauenskette, die im Speicher Vertrauenswürdige Stammzertifizierungsstellen des Servers endet,
• ein exportierbarer privater Schlüssel.

Sie können ein Zertifikat mit allen Namen auf jedem Connection Server verwenden oder eines pro Server. Erfassen Sie jeden Connection Server im Pod (der Gruppe replizierter Connection Server) und prüfen Sie jedes Unified Access Gateway (UAG): Steht in der UAG-Verwaltungskonsole unter Edge Service Settings > Horizon Settings ein Wert bei Proxy Destination URL Thumbprints, hat das UAG das Zertifikat des Connection Servers fest hinterlegt und muss angepasst werden.

Zertifikat Schritt für Schritt austauschenCopy Anchor Link

1. Nehmen Sie einen Connection Server aus dem Load Balancer. Sitzungen, deren Verbindung durch diesen Server getunnelt wird, brechen beim Neustart seines Dienstes ab; Desktops, die Clients direkt erreichen, laufen weiter. Wechseln Sie die Server in einer ruhigen Zeit, und lassen Sie Nutzer sich über den anderen Server neu verbinden.

2. Importieren Sie die PFX-Datei unter Zertifikate (Lokaler Computer) > Eigene Zertifikate > Zertifikate. Aktivieren Sie im Importassistenten Schlüssel als exportierbar markieren.

3. Importieren Sie neue Zwischenzertifikate unter Zwischenzertifizierungsstellen > Zertifikate und das Stammzertifikat unter Vertrauenswürdige Stammzertifizierungsstellen, falls es dort noch nicht liegt.

4. Anzeigenamen umziehen:

   • Am alten Zertifikat: Eigenschaften > Allgemein, Anzeigename vdm löschen, Übernehmen.
   • Am neuen Zertifikat: Anzeigename auf genau vdm setzen, Übernehmen.
   • Prüfen, dass kein anderes Zertifikat unter Eigene Zertifikate > Zertifikate vdm heißt. Ein Zertifikat namens vdm.ec kann existieren - lassen Sie es unangetastet (siehe unten).

5. Starten Sie den Connection-Server-Dienst neu, damit er die neue Auswahl liest:

   Copy Text

   Restart-Service wsbroker -Force

   In services.msc heißt er Omnissa Horizon Connection Server (ältere Versionen: VMware Horizon View Connection Server).

6. Prüfen Sie den Server (unten), nehmen Sie ihn wieder in den Load Balancer und wiederholen Sie das auf jedem Connection Server im Pod.

7. Hat ein UAG den Fingerabdruck fest hinterlegt (siehe Voraussetzungen), ersetzen Sie ihn unter Proxy Destination URL Thumbprints durch den des neuen Zertifikats.

Produktspezifische HinweiseCopy Anchor Link

Das clientseitige vdm-Zertifikat ist nicht das Zertifikat vdm.ec. Horizon legt vdm.ec selbst für interne Zwecke an, etwa für den Enrollment Server von True SSO (Single Sign-on mit Zertifikaten). Wird es umbenannt oder entfernt, funktionieren diese Funktionen nicht mehr - fassen Sie es beim Umziehen des Namens vdm nie an.

Liefert Horizon nach dem Neustart noch das alte Zertifikat aus, prüfen Sie, ob genau ein Zertifikat vdm heißt, ob es einen privaten Schlüssel hat, ob die Kette vollständig ist und ob der Dienst tatsächlich neu gestartet wurde.

Neues Zertifikat prüfenCopy Anchor Link

openssl s_client -connect cs01.example.com:443 -servername cs01.example.com -showcerts </dev/null

Prüfen Sie Antragsteller und SAN, Aussteller, Ablaufdatum und Kette. Öffnen Sie die Horizon Console über den Server und über die URL am Load Balancer - das Dashboard zeigt den Zustand des Connection Servers -, starten Sie dann einen Desktop mit dem Horizon Client und über HTML Access, und prüfen Sie den Zustand der UAGs.

RollbackCopy Anchor Link

Löschen Sie das alte Zertifikat erst, wenn das neue geprüft ist. Für den Rückweg setzen Sie den Anzeigenamen vdm wieder am alten Zertifikat, entfernen ihn am neuen, starten wsbroker neu und führen die Prüfungen oben durch, bevor der Server wieder in Betrieb geht.

Häufige ProblemeCopy Anchor Link

• Mehr als ein Zertifikat hat den Anzeigenamen vdm.
• Der private Schlüssel wurde beim Import nicht als exportierbar markiert.
• Dem neuen Zertifikat fehlen privater Schlüssel oder Zwischenzertifikat.
• vdm.ec wurde versehentlich umbenannt.
• Ein UAG hat noch den alten Fingerabdruck hinterlegt.
• Nur ein Connection Server des Pods wurde aktualisiert.

Zertifikatstausch mit aethercert automatisierenCopy Anchor Link

Das aethercert-Deployment-Ziel für Horizon importiert das Zertifikat mit dem Anzeigenamen vdm und startet den lokalen Dienst wsbroker neu. Richten Sie es für jeden Connection Server einzeln ein.

Unter Deployment-Ziele finden Sie die Felder dieser Vorlage, die Voraussetzungen auf dem Host und den Stand der Verifizierung.

QuellenCopy Anchor Link

• Omnissa: Zertifikate auf einer Connection-Server-Instanz aktualisieren
• Omnissa: Connection Server für ein neues TLS-Zertifikat konfigurieren
• Omnissa: Anzeigenamen des Zertifikats ändern
• Omnissa: Zertifikatsprobleme auf dem Connection Server beheben