Wie man einen CSR auf VMWare Horizon View generiert

Diese Anleitung zeigt Ihnen wie Sie einen CSR (Certificate Signing Request) für VMware Horizon erstellen, die Plattform, die jetzt unter dem Namen Omnissa Horizon veröffentlicht wird. Sie erstellen die Anfrage direkt auf dem Windows Connection Server mit dort bereits installierten Tools: dem Microsoft Management Console (MMC) Certificates-Snap-in. Der private Schlüssel bleibt auf dem Server, und Sie senden nur den CSR an Ihre Zertifizierungsstelle.

Ein Hinweis zum Namen: Nachdem Broadcom VMware übernommen hatte, wurde die End-User-Computing-Abteilung (zu der auch Horizon gehört) 2024 als eigenständiges Unternehmen Omnissa ausgegliedert. Das Rebranding wurde mit der Veröffentlichung von Horizon 2412 im Januar 2025 abgeschlossen, sodass in neueren Builds in der Benutzeroberfläche, den Dateipfaden und Registrierungsschlüsseln „Omnissa Horizon“ steht. Die nachfolgenden Zertifikatsschritte sind sowohl bei VMware Horizon View als auch bei aktuellem Omnissa Horizon identisch, einschließlich Connection Server auf Windows Server 2025.

CSR mit dem MMC Certificates-Snap-in erstellen

Führen Sie diese Schritte direkt auf dem Horizon Connection Server aus, angemeldet mit einem Administratorkonto. Das Snap-in erstellt die Anfrage und behält den zugehörigen privaten Schlüssel im Windows-Zertifikatspeicher.

1. Klicken Sie auf dem Windows-Desktop auf Start und geben Sie mmc in das Suchfeld ein.
2. Klicken Sie auf das Symbol mmc.exe, um die Konsole zu öffnen.
3. Gehen Sie zu Datei > Snap-In hinzufügen/entfernen, wählen Sie Zertifikate aus, und klicken Sie dann auf Hinzufügen > OK.
4. Wählen Sie Computerkonto aus und klicken Sie auf Weiter.
5. Stellen Sie sicher, dass Lokaler Computer ausgewählt ist, und klicken Sie dann auf Fertig stellen und OK.
6. Erweitern Sie unter Zertifikate (Lokaler Computer) die Baumstruktur.
7. Klicken Sie mit der rechten Maustaste auf Eigene Zertifikate und folgen Sie dieser Reihenfolge: Alle Aufgaben > Erweiterte Vorgänge > Benutzerdefinierte Anforderung erstellen.
8. Klicken Sie im Fenster Zertifikatregistrierung auf Weiter.
9. Wählen Sie Ohne Registrierungsrichtlinie fortfahren und klicken Sie auf Weiter.
10. Öffnen Sie im Fenster Benutzerdefinierte Anforderung das Dropdown-Menü der Vorlage und wählen Sie (Keine Vorlage) Legacy-Schlüssel.
11. Stellen Sie das Anforderungsformat auf PKCS #10 (Certification Request Standard) ein und klicken Sie auf Weiter.
12. Klicken Sie im Fenster Zertifikatinformationen auf den Pfeil neben Details und wählen Sie Eigenschaften.
13. Geben Sie auf der Registerkarte Allgemein der Anfrage einen eindeutigen, leicht wiederzufindenden Namen, zum Beispiel horizon-csr 2026. Benennen Sie sie an dieser Stelle nicht vdm: Horizon erwartet genau ein Zertifikat mit dem Namen vdm, und Sie vergeben diesen Namen erst bei der Installation an das ausgestellte Zertifikat, nicht jetzt. Siehe den Hinweis nach diesen Schritten.
14. Öffnen Sie die Registerkarte Antragsteller und fügen Sie die unten aufgeführten Angaben hinzu. Wählen Sie jedes Feld aus der Liste Typ, geben Sie den Wert ein und klicken Sie für jedes einzelne auf Hinzufügen:
    • Common Name (CN): der vollqualifizierte Domainname, mit dem Ihre Clients den Server erreichen, zum Beispiel horizon.example.com.
    • Country (C): der zweistellige Ländercode Ihres Landes, zum Beispiel US.
    • Locality (L): die Stadt, in der Ihr Unternehmen registriert ist, zum Beispiel Seattle.
    • Organization (O): der vollständige rechtliche Name Ihres Unternehmens, zum Beispiel GPI Holding LLC.
    • Organizational Unit (OU): dieses Feld ist bei öffentlichen Zertifikaten veraltet, lassen Sie es also leer oder verwenden Sie eine allgemeine Bezeichnung wie IT.
    • State (ST): der vollständige Name des Bundesstaates oder der Provinz, zum Beispiel Washington.
15. Setzen Sie weiterhin auf der Registerkarte Antragsteller im Abschnitt Alternativer Name den Typ auf DNS und fügen Sie jeden Hostnamen hinzu, den Clients zur Erreichung von Horizon verwenden (zum Beispiel den FQDN des Connection Servers und jeden lastverteilten Namen). Fügen Sie IP-Einträge nur hinzu, wenn Clients über IP verbinden. Moderne Browser und Clients validieren den Hostnamen anhand des Subject Alternative Name (SAN), daher reicht der CN allein nicht aus.
16. Öffnen Sie die Registerkarte Privater Schlüssel, erweitern Sie Schlüsseloptionen, und stellen Sie die Schlüsselgröße auf mindestens 2048 Bit ein (2048 ist derzeit das Minimum für öffentliche Zertifikate).
17. Aktivieren Sie im gleichen Bereich Schlüsseloptionen die Option Privaten Schlüssel als exportierbar markieren. Dadurch können Sie den Schlüssel später sichern oder auf Replikat-Connection-Server übertragen. Klicken Sie auf OK und dann auf Weiter.
18. Wählen Sie einen Speicherort für die Anforderung, nennen Sie sie certreq.req und schließen Sie den Assistenten ab.

Ihr CSR ist fertig. Öffnen Sie die Datei certreq.req in einem beliebigen Texteditor, zum Beispiel Notepad, und kopieren Sie den gesamten Block, einschließlich der Zeilen —–BEGIN NEW CERTIFICATE REQUEST—– und —–END NEW CERTIFICATE REQUEST—–. Fügen Sie ihn beim Bestellen Ihres SSL-Zertifikats in das CSR-Feld ein. Wenn Sie die Anfrage lieber aus einzelnen Feldern erstellen möchten, können Sie Ihre Angaben auch in unseren CSR Generator einfügen, wobei die Erstellung direkt auf dem Server (wie oben beschrieben) den privaten Schlüssel auf der Maschine hält, die ihn auch verwenden wird.

Warum der Anzeigename „vdm“ erst später vergeben wird

Der Horizon Connection Server, der Security Server und die zugehörigen Dienste suchen nach dem Zertifikat, dessen Anzeigename genau vdm (Kleinbuchstaben) lautet. Das Setup schlägt fehl, wenn kein Zertifikat diesen Namen trägt oder wenn zwei Zertifikate ihn gemeinsam verwenden. Sie vergeben diesen Namen, wenn Sie das ausgestellte Zertifikat während der Installation importieren, nicht bei der Erstellung des CSR, da Sie zum Zeitpunkt der CSR-Erstellung in der Regel noch ein älteres, funktionierendes Zertifikat haben, das bereits den Namen vdm trägt. Wenn Sie die Anfrage jetzt umbenennen würden, würde ein Konflikt entstehen. Behalten Sie für die Anfrage einen einfachen, beschreibenden Namen bei und benennen Sie das neue Zertifikat erst nach der Ausstellung durch die Zertifizierungsstelle in vdm um.

CSR vor dem Einreichen prüfen (optional)

Es lohnt sich, den Common Name, die SAN-Einträge und die Schlüsselgröße zu überprüfen, bevor Sie die Anfrage an Ihre Zertifizierungsstelle senden. Auf dem Connection Server liest das integrierte Tool certutil die Anfrage aus:

certutil -dump certreq.req

Falls Sie OpenSSL zur Verfügung haben, zeigt dieser Befehl die gleichen Details an:

openssl req -noout -text -in certreq.req

Bevorzugen Sie ein Online-Tool? Fügen Sie den Inhalt der Anfrage in den CSR-Decoder von SSL Dragon ein, um den Common Name, die SAN-Einträge und die Schlüsselgröße auszulesen. Bestätigen Sie, dass der Common Name mit dem von den Clients verwendeten Hostnamen übereinstimmt und dass jeder benötigte Name in der Liste der Subject Alternative Names erscheint. Der SSL Checker ist ein anderes Tool: Er scannt ein Zertifikat, das bereits installiert ist und HTTPS bereitstellt, verwenden Sie ihn also erst nach der Installation und nicht für die CSR-Datei.

Nächste Schritte

Nachdem Ihre Zertifizierungsstelle den CSR validiert und das Zertifikat ausgestellt hat, fahren Sie mit der Anleitung zur SSL-Installation für VMware Horizon (Omnissa Horizon) fort. Dort importieren Sie das Zertifikat, benennen es in vdm um und starten die Horizon-Dienste neu, damit das neue Zertifikat wirksam wird.

Häufig gestellte Fragen