Active Directory
Active Directory est requis pour l’authentification et l’autorisation. L’infrastructure Kerberos dans Active Directory est utilisée pour garantir l’authenticité et la confidentialité des communications avec les Delivery Controller. Pour de plus amples informations sur Kerberos, veuillez consulter la documentation Microsoft.
L’article Configuration système requise répertorie les niveaux fonctionnels pris en charge de la forêt et du domaine. Pour utiliser la modélisation de stratégie, le contrôleur de domaine doit s’exécuter sur Windows Server 2003 à Windows Server 2012 R2. Cela n’affecte pas le niveau fonctionnel du domaine.
Ce produit prend en charge ce qui suit :
- Déploiements dans lesquels les comptes d’utilisateurs et les comptes d’ordinateurs existent dans les domaines d’une forêt Active Directory unique. Les comptes d’utilisateurs et d’ordinateurs peuvent exister dans des domaines arbitraires d’une forêt unique. Tous les niveaux fonctionnels de domaine et de forêt sont pris en charge dans ce type de déploiement.
- Déploiements dans lesquels les comptes d’utilisateurs existent dans une forêt Active Directory qui est différente de celle contenant les comptes d’ordinateurs des Controller et des bureaux virtuels. Dans ce type de déploiement, les domaines contenant les comptes d’ordinateurs des contrôleurs et des bureaux virtuels doivent établir l’approbation des domaines dans lesquels figurent les comptes d’utilisateurs. Des approbations de forêt ou des approbations externes peuvent être utilisées. Tous les niveaux fonctionnels de domaine et de forêt sont pris en charge dans ce type de déploiement.
- Déploiements dans lesquels les comptes d’ordinateurs des contrôleurs figurent dans une forêt Active Directory différente d’une ou de plusieurs forêts Active Directory supplémentaires contenant les comptes d’ordinateurs des bureaux virtuels. Dans ce type de déploiement, une approbation bilatérale doit exister entre les domaines contenant les comptes d’ordinateurs des contrôleurs et l’ensemble des domaines contenant les comptes d’ordinateurs des bureaux virtuels. Dans ce type de déploiement, tous les domaines contenant les comptes d’ordinateurs des contrôleurs ou des bureaux virtuels doivent figurer au niveau fonctionnel « natif de Windows 2000 » ou supérieur. Tous les niveaux fonctionnels de forêt sont pris en charge.
- Contrôleurs de domaine accessibles en écriture. Les contrôleurs de domaine en lecture seule ne sont pas pris en charge.
Facultativement, les VDA (Virtual Delivery Agents) peuvent utiliser des informations publiées dans Active Directory pour déterminer les Controller avec lesquels ils peuvent s’enregistrer (découverte). Cette méthode est principalement prise en charge pour la rétrocompatibilité, et est uniquement disponible si les VDA se trouvent dans la même forêt Active Directory que les Controller. Pour de plus amples informations sur cette méthode de découverte, consultez Découverte basée sur unité d’organisation Active Directory et l’article CTX118976.
Remarque :
Ne modifiez pas le nom de l’ordinateur ou l’appartenance à un domaine d’un Delivery Controller une fois que le site est configuré.
Déployer dans un environnement Active Directory avec des forêts multiples
Ces informations s’appliquent à XenDesktop 7.1 et XenApp 7.5 (versions minimum). Elles ne s’appliquent pas aux versions antérieures de XenDesktop ou XenApp.
Dans un environnement Active Directory avec plusieurs forêts, si des approbations à sens unique ou bidirectionnelles sont en place, vous pouvez utiliser les redirecteurs DNS ou conditionnels pour la recherche de nom et l’enregistrement. Pour autoriser les utilisateurs Active Directory appropriés à créer des comptes d’ordinateurs, utilisez l’Assistant Délégation de contrôle. Reportez-vous à la documentation Microsoft pour plus d’informations sur cet assistant.
Aucune zone DNS inversée n’est nécessaire dans l’infrastructure DNS si des redirecteurs DNS appropriés sont en place entre les forêts.
La clé SupportMultipleForest n’est nécessaire que si le VDA et le Controller se trouvent dans des forêts différentes que les noms Active Directory et NetBIOS soient différents ou non. Utilisez les informations suivantes pour ajouter la clé de registre au VDA et aux Delivery Controller :
Attention :
Toute utilisation incorrecte de l’Éditeur du Registre peut générer des problèmes sérieux, pouvant vous obliger à réinstaller le système d’exploitation. Citrix ne peut garantir la possibilité de résoudre les problèmes provenant d’une mauvaise utilisation de l’Éditeur du Registre. Vous assumez l’ensemble des risques liés à l’utilisation de l’Éditeur du Registre. Effectuez une copie de sauvegarde de votre registre avant de le modifier.
Sur le VDA, configurez : HKEY_LOCAL_MACHINE\Software\Citrix\VirtualDesktopAgent\SupportMultipleForest.
- Nom :
SupportMultipleForest - Type :
REG_DWORD - Données :
0x00000001 (1)
Sur tous les Delivery Controller, configurez : HKEY_LOCAL_MACHINE\Software\Citrix\DesktopServer\SupportMultipleForest.
- Nom :
SupportMultipleForest - Type :
REG_DWORD - Données :
0x00000001 (1)
Vous aurez peut-être besoin d’utiliser une configuration DNS inversée si l’espace de noms DNS est différent de celui d’Active Directory.
Une entrée de registre a été ajoutée pour éviter l’activation indésirable de l’authentification NTLM dans les VDA, qui est moins sécurisé que Kerberos. Cette entrée peut être utilisée à la place de l’entrée SupportMultipleForest, qui peut toujours être utilisée pour la rétrocompatibilité.
Sur le VDA, configurez : HKEY_LOCAL_MACHINE\Software\Policies\Citrix\VirtualDesktopAgent.
- Nom :
SupportMultipleForestDdcLookup - Type :
REG_DWORD - Données :
0x00000001 (1)
Cette clé de registre effectue une recherche DDC dans un environnement avec plusieurs forêts impliquant des approbations bidirectionnelles, ce qui vous permet de supprimer l’authentification basée sur NTLM pendant le processus d’enregistrement initial.
Si des approbations externes sont en place au cours de l’installation, la clé de registre ListOfSIDs est requise. La clé de registre ListOfSIDs est également nécessaire si le nom de domaine complet (FQDN) Active Directory est différent du FQDN DNS ou si le domaine contenant le contrôleur de domaine porte un nom NetBIOS autre que le FQDN Active Directory. Pour ajouter la clé de registre, utilisez les informations suivantes :
Pour le VDA, recherchez la clé de registre HKEY_LOCAL_MACHINE\Software\Citrix\VirtualDesktopAgent\ListOfSIDs.
- Nom :
ListOfSIDs - Type :
REG_SZ - Données : identificateur de sécurité (SID) des Controller (Les SID sont inclus dans les résultats de l’applet de commande
Get-BrokerController.)
Lorsque des approbations externes sont en place, apportez la modification suivante sur le VDA :
- Localisez le fichier
Program Files\Citrix\Virtual Desktop Agent\brokeragent.exe.config. - Créez une copie de sauvegarde du fichier.
- Ouvrez le fichier dans un éditeur de texte tel que le Bloc-notes.
- Localisez le texte
allowNtlm="false"et modifiez le texte versallowNtlm="true". - Enregistrez le fichier.
Après l’ajout de la clé de registre ListOfSIDs et la modification du fichier brokeragent.exe.config, redémarrez le service Citrix Desktop pour appliquer les modifications.
Le tableau suivant dresse la liste des types de prise en charge de l’approbation :
| Type d’approbation | Transitivité | Direction | Pris en charge dans cette version |
|---|---|---|---|
| Parent et enfant | Transitive | Bidirectionnelle | Oui |
| Racine d’arborescence | Transitive | Bidirectionnelle | Oui |
| Externe | Non transitive | Unidirectionnelle ou bidirectionnelle | Oui |
| Forêt | Transitive | Unidirectionnelle ou bidirectionnelle | Oui |
| Raccourci | Transitive | Unidirectionnelle ou bidirectionnelle | Oui |
| Domaine | Transitive ou non transitive | Unidirectionnelle ou bidirectionnelle | Non |
Pour de plus amples informations sur les environnements Active Directory complexes, consultez l’article CTX134971.