Documentazione dei prodotti
Citrix DaaS™
Visualizza PDF

Gestione dei certificati

August 20, 2026
Grazie al contributo di: 
C C

Panoramica

Le connessioni dirette HDX™ sono protette con crittografia a livello di rete. Per facilitare ciò, ogni host di sessione dispone di un certificato CA radice autofirmato univoco e di un certificato server corrispondente, che è firmato dal certificato CA radice autofirmato.

Questa soluzione offre i seguenti vantaggi:

  • Sicurezza semplificata: Le connessioni dirette HDX sono protette senza il sovraccarico amministrativo della gestione dei certificati all’interno dell’ambiente.
  • Superficie di attacco ridotta: La superficie di attacco è limitata a un singolo host poiché ogni host ha un set univoco di chiavi e certificati.
  • Sicurezza migliorata per ambienti non persistenti: Negli ambienti con host di sessione non persistenti, la sicurezza è ulteriormente migliorata poiché nuove chiavi e certificati vengono generati al riavvio.

Host di sessione

Il Citrix ClxMtp Service e il Citrix Certificate Manager Service sono i due servizi responsabili della gestione dei certificati su ogni host di sessione. Il servizio ClxMtp gestisce la generazione e la rotazione delle chiavi, mentre il servizio Certificate Manager genera e gestisce i certificati.

Vengono creati due certificati: una CA radice autofirmata e un certificato server. Entrambi vengono rilasciati con un periodo di validità di due anni; tuttavia, vengono sostituiti quando le chiavi vengono ruotate. Inoltre, nuovi certificati vengono generati ogni volta che le macchine non persistenti vengono riavviate.

I dettagli per ogni certificato sono i seguenti:

  • CA radice autofirmata
    • Rilasciato a: CA-Citrix-Certificate-Manager
    • Rilasciato da: CA-Citrix-Certificate-Manager
    • Dettagli emittente: L’organizzazione è Citrix Systems, Inc.
  • Certificato server
    • Rilasciato a: <host FQDN> (Ad esempio, FTLW11-001.ctxlab.net)
    • Rilasciato da: CA-Citrix-Certificate-Manager
    • Dettagli emittente: L’organizzazione è Citrix Systems, Inc.

NOTA:

Il servizio Citrix Certificate Manager genera certificati RSA che utilizzano chiavi a 2048 bit.

Se esiste un certificato macchina esistente creato dal servizio Citrix Certificate Manager e il nome del soggetto non corrisponde all’FQDN della macchina, viene generato un nuovo certificato.

Rotazione delle chiavi

Il servizio Citrix ClxMtp ruota automaticamente le chiavi ogni sei mesi. Tuttavia, è possibile attivare manualmente la rotazione delle chiavi aumentando il contatore di rotazione nel registro dell’host di sessione.

Per ruotare le chiavi, aggiornare il seguente valore:

  • Chiave: SOFTWARE\Citrix\ClxMtpConnectorSvcRotateKeyPairs
  • Tipo di valore: DWORD
  • Nome valore: ClxMtpRotateRequestCounter
  • Dati: numero intero (Decimale)

NOTA:

Per la prima rotazione della chiave:

  1. Creare la chiave ClxMtpConnectorSvcRotateKeyPairs.
  2. Creare e impostare il valore ClxMtpRotateRequestCounter su 1.

Per le rotazioni successive della chiave, aumentare il valore ClxMtpRotateRequestCounter di 1.

Una volta aggiornato il valore, il Servizio Citrix ClxMtp ruoterà automaticamente le chiavi senza richiedere un riavvio. Il Servizio Citrix Certificate Manager genererà quindi automaticamente nuovi certificati una volta rilevate nuove chiavi.

Dispositivo client

Il certificato CA radice viene inviato al client da Citrix® StoreFront Cloud o Citrix® StoreFront tramite il percorso di connessione sicuro e affidabile già stabilito. Ciò elimina la necessità di distribuire i certificati CA agli archivi certificati dei dispositivi client e garantisce che il client si fidi dei certificati utilizzati per proteggere la connessione HDX Direct.

Utilizzo di certificati personalizzati

HDX Direct supporta l’uso di certificati emessi e gestiti dalla propria PKI. I seguenti passaggi descrivono come installare il certificato, configurare le autorizzazioni necessarie, associarlo al servizio di gestione sessioni e abilitare i listener TLS richiesti.

  1. Passare al passaggio 2 se HDX Direct è disabilitato sulla macchina. Se HDX Direct è abilitato, seguire i passaggi seguenti:
    1. Aprire l’editor del Registro di sistema (regedit.exe) e passare a HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
    2. Impostare il valore SSLEnabled su 0.
    3. Passare a HKLM\Software\Citrix\HDX-Direct.
    4. Impostare il valore HdxDirectCaInTls su 0.

  2. Installare il certificato appropriato emesso dalla propria PKI nell’archivio certificati della macchina.

  3. Concedere al servizio di gestione sessioni l’accesso in lettura alle chiavi private del certificato.
    1. Avviare la console di gestione Microsoft (MMC): Start > Esegui > mmc.exe.
    2. Passare a File > Aggiungi/Rimuovi snap-in.
    3. Selezionare Certificati, quindi fare clic su Aggiungi.
    4. Scegliere Account computer e fare clic su Avanti.
    5. Selezionare Computer locale e fare clic su Fine.
    6. Passare a Certificati (computer locale) > Personale > Certificati.
    7. Fare clic con il pulsante destro del mouse sul certificato appropriato e selezionare Tutte le attività > Gestisci chiavi private.
    8. Aggiungere uno dei seguenti servizi e concedergli l’accesso in lettura:
      • Per VDA a sessione singola: NT SERVICE\PorticaService
      • Per VDA a sessione multipla: NT SERVICE\TermService
    9. Fare clic su Applica, quindi su OK.
  4. Associare il certificato al servizio di gestione sessioni.
    1. Recuperare l’identificazione personale del certificato (fare doppio clic sul certificato > Dettagli > Identificazione personale).
    2. Aprire l’editor del Registro di sistema (regedit.exe) e passare a HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
    3. Modificare il valore SSLThumbprint e incollare l’impronta digitale del certificato.
  5. Abilitare i listener TLS di Citrix.
    1. Nella stessa posizione del registro, impostare il valore SSLEnabled su 1.
  6. Abilitare HDX Direct (nella policy Citrix).

Il supporto di installazione di Citrix Virtual Apps and Desktops include uno script PowerShell (Enable-VdaSSL.ps1) che automatizza diverse di queste attività:

  • Impostazione delle autorizzazioni per le chiavi del certificato
  • Associazione del certificato al servizio di gestione sessioni
  • Abilitazione dei listener TLS di Citrix

Questo script si trova nella directory Support > Tools > SslSupport. Per maggiori dettagli, vedere Configurare TLS su un VDA utilizzando lo script PowerShell.

NOTA:

I dispositivi che si connettono agli host di sessione devono avere i certificati CA radice e CA intermedi corretti installati se si utilizzano i propri certificati.

Gestione dei certificati
August 20, 2026
Grazie al contributo di: 
C C
August 20, 2026
Grazie al contributo di: 
C C

In questo articolo

Feedback sito | Your privacy choices footer linkScelte di privacy | Privacy e condizioni legali | Preferenze cookie | Impostazioni di consenso | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.