Zertifikatsverwaltung

Übersicht

HDX™-Direktverbindungen werden mit Netzwerkverschlüsselung gesichert. Um dies zu ermöglichen, verfügt jeder Sitzungshost über ein eindeutiges selbstsigniertes Stammzertifizierungsstellenzertifikat und ein entsprechendes Serverzertifikat, das von dem selbstsignierten Stammzertifizierungsstellenzertifikat signiert ist.

Diese Lösung bietet die folgenden Vorteile:

• Optimierte Sicherheit: HDX-Direktverbindungen werden ohne den administrativen Aufwand der Zertifikatsverwaltung in der Umgebung gesichert.
• Reduzierte Angriffsfläche: Die Angriffsfläche ist auf einen einzelnen Host beschränkt, da jeder Host über einen eindeutigen Satz von Schlüsseln und Zertifikaten verfügt.
• Verbesserte Sicherheit für nicht-persistente Umgebungen: In Umgebungen mit nicht-persistenten Sitzungshosts wird die Sicherheit weiter verbessert, da bei jedem Neustart neue Schlüssel und Zertifikate generiert werden.

Sitzungshost

Der Citrix ClxMtp Service und der Citrix Certificate Manager Service sind die beiden Dienste, die für die Verwaltung von Zertifikaten auf jedem Sitzungshost zuständig sind. Der ClxMtp Service übernimmt die Schlüsselgenerierung und -rotation, während der Certificate Manager Service die Zertifikate generiert und verwaltet.

Es werden zwei Zertifikate erstellt: eine selbstsignierte Stammzertifizierungsstelle und ein Serverzertifikat. Beide werden mit einer Gültigkeitsdauer von zwei Jahren ausgestellt; sie werden jedoch ersetzt, wenn Schlüssel rotiert werden. Zusätzlich werden bei jedem Neustart nicht-persistenter Maschinen neue Zertifikate generiert.

Die Details für jedes Zertifikat lauten wie folgt:

• Selbstsignierte Stammzertifizierungsstelle
  • Ausgestellt für: CA-Citrix-Certificate-Manager
  • Ausgestellt von: CA-Citrix-Certificate-Manager
  • Ausstellerdetails: Die Organisation ist Citrix Systems, Inc.
• Serverzertifikat
  • Ausgestellt für: <Host-FQDN> (Zum Beispiel: FTLW11-001.ctxlab.net)
  • Ausgestellt von: CA-Citrix-Certificate-Manager
  • Ausstellerdetails: Die Organisation ist Citrix Systems, Inc.

HINWEIS:

Der Citrix Certificate Manager Service generiert RSA-Zertifikate, die 2048-Bit-Schlüssel verwenden.

Wenn ein vorhandenes Maschinenzertifikat vom Citrix Certificate Manager Service erstellt wurde und der Antragstellername nicht mit dem FQDN der Maschine übereinstimmt, wird ein neues Zertifikat generiert.

Schlüsselrotation

Der Citrix ClxMtp Service rotiert Schlüssel automatisch alle sechs Monate. Sie können jedoch eine Schlüsselrotation manuell auslösen, indem Sie den Rotationszähler in der Registrierung des Sitzungshosts erhöhen.

Um die Schlüssel zu rotieren, aktualisieren Sie den folgenden Wert:

• Schlüssel: SOFTWARE\Citrix\ClxMtpConnectorSvcRotateKeyPairs
• Werttyp: DWORD
• Wertname: ClxMtpRotateRequestCounter
• Daten: Integer (Dezimal)

HINWEIS:

Für die erstmalige Schlüsselrotation:

1. Erstellen Sie den Schlüssel ClxMtpConnectorSvcRotateKeyPairs.
2. Erstellen und setzen Sie den Wert ClxMtpRotateRequestCounter auf 1.

Für nachfolgende Schlüsselrotationen erhöhen Sie den Wert ClxMtpRotateRequestCounter um 1.

Sobald der Wert aktualisiert wurde, rotiert der Citrix ClxMtp Service die Schlüssel automatisch, ohne dass ein Neustart erforderlich ist. Der Citrix Certificate Manager Service generiert dann automatisch neue Zertifikate, sobald er neue Schlüssel erkennt.

Clientgerät

Das Stamm-CA-Zertifikat wird von Workspace oder Storefront™ über den bereits etablierten sicheren und vertrauenswürdigen Verbindungspfad an den Client gesendet. Dadurch entfällt die Notwendigkeit, CA-Zertifikate in den Zertifikatspeichern der Clientgeräte zu verteilen, und es wird sichergestellt, dass der Client den zur Sicherung der HDX Direct-Verbindung verwendeten Zertifikaten vertraut.

Verwenden benutzerdefinierter Zertifikate

HDX Direct unterstützt die Verwendung von Zertifikaten, die von Ihrer eigenen PKI ausgestellt und verwaltet werden. Die folgenden Schritte beschreiben, wie Sie Ihr Zertifikat installieren, die erforderlichen Berechtigungen konfigurieren, es an den Sitzungsmanagerdienst binden und die erforderlichen TLS-Listener aktivieren.

1. Fahren Sie mit Schritt 2 fort, wenn HDX Direct auf dem Computer deaktiviert ist. Wenn HDX Direct aktiviert ist, führen Sie die folgenden Schritte aus:
   1. Öffnen Sie den Registrierungs-Editor (regedit.exe) und navigieren Sie zu HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
   2. Setzen Sie den Wert SSLEnabled auf 0.
   3. Navigieren Sie zu HKLM\Software\Citrix\HDX-Direct.
   4. Setzen Sie den Wert HdxDirectCaInTls auf 0.

2. Installieren Sie das entsprechende von Ihrer PKI ausgestellte Zertifikat im Zertifikatspeicher des Computers.

3. Gewähren Sie dem Sitzungsmanagerdienst Lesezugriff auf die privaten Schlüssel des Zertifikats.
   1. Starten Sie die Microsoft Management Console (MMC): Start > Ausführen > mmc.exe.
   2. Navigieren Sie zu Datei > Snap-In hinzufügen/entfernen.
   3. Wählen Sie Zertifikate aus und klicken Sie dann auf Hinzufügen.
   4. Wählen Sie Computerkonto und klicken Sie auf Weiter.
   5. Wählen Sie Lokaler Computer und klicken Sie auf Fertig stellen.
   6. Navigieren Sie zu Zertifikate (Lokaler Computer) > Persönlich > Zertifikate.
   7. Klicken Sie mit der rechten Maustaste auf das entsprechende Zertifikat und wählen Sie Alle Aufgaben > Private Schlüssel verwalten.
   8. Fügen Sie einen der folgenden Dienste hinzu und erteilen Sie ihm Lesezugriff:
      • Für Single Session VDA: NT SERVICE\PorticaService
      • Für Multi Session VDA: NT SERVICE\TermService
   9. Klicken Sie auf Übernehmen und dann auf OK.
4. Binden Sie das Zertifikat an den Sitzungsmanagerdienst.
   1. Rufen Sie den Zertifikat-Fingerabdruck ab (Doppelklick auf das Zertifikat > Details > Fingerabdruck).
   2. Öffnen Sie den Registrierungs-Editor (regedit.exe) und navigieren Sie zu HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
   3. Bearbeiten Sie den Wert SSLThumbprint, und fügen Sie den Fingerabdruck des Zertifikats ein.
5. Aktivieren Sie die Citrix TLS-Listener.
   1. Setzen Sie am selben Registrierungsspeicherort den Wert SSLEnabled auf 1.
6. Aktivieren Sie HDX Direct (in der Citrix-Richtlinie).

Die Installationsmedien von Citrix Virtual Apps and Desktops enthalten ein PowerShell-Skript (Enable-VdaSSL.ps1), das mehrere dieser Aufgaben automatisiert:

• Festlegen von Berechtigungen für die Schlüssel des Zertifikats
• Binden des Zertifikats an den Sitzungsmanagerdienst
• Aktivieren der Citrix TLS-Listener

Dieses Skript befindet sich im Verzeichnis Support > Tools > SslSupport. Weitere Informationen finden Sie unter Konfigurieren von TLS auf einem VDA mit dem PowerShell-Skript.

HINWEIS:

Die Geräte, die sich mit den Sitzungshosts verbinden, müssen die richtigen Stamm-CA- und Zwischen-CA-Zertifikate installiert haben, wenn Sie eigene Zertifikate verwenden.