So installieren Sie ein SSL-Zertifikat auf VMWare Horizon View

Diese Schritt-für-Schritt-Anleitung zeigt Ihnen wie Sie ein SSL/TLS-Zertifikat auf VMware Horizon installieren (Connection Server oder Security Server).

Bei Horizon verweisen Sie das Produkt nicht direkt auf Zertifikatsdateien. Stattdessen importieren Sie das Zertifikat in den lokalen Windows-Computerzertifikatspeicher mit der Microsoft Management Console (MMC), geben ihm den Anzeigenamen vdm und starten den Horizon-Dienst neu.

Hinweis: VMware Horizon ist jetzt Teil von Omnissa, das sich 2024 von VMware abgespalten hat. Das unten beschriebene Zertifikatsverfahren ist über beide Ära-Versionen von Horizon 8 (VMware- und Omnissa-Ära) hinweg unverändert. Wo die alte Dokumentation vom „VMware Horizon Connection Server-Dienst“ spricht, nennen aktuelle Omnissa-Builds ihn den „Omnissa Horizon Connection Server-Dienst“ – die Schritte sind ansonsten identisch.

CSR-Code auf VMware Horizon erstellen

Wenn Sie ein SSL-Zertifikat beantragen, besteht einer der ersten Schritte darin, einen CSR (Certificate Signing Request) zu erstellen und ihn an Ihre Zertifizierungsstelle (CA) zu senden. Ein CSR ist ein Block codierten Textes, der Ihre Kontakt- und Domain-Details enthält. Sie haben zwei Möglichkeiten:

• Erstellen Sie den CSR automatisch mit unserem CSR-Generator.
• Folgen Sie unserer Schritt-für-Schritt-Anleitung zum Erstellen des CSR auf VMware Horizon.

Tipp: Erstellen Sie den CSR auf demselben Windows-Rechner, auf dem Sie das Zertifikat installieren möchten. So wird der passende private Schlüssel in Windows erzeugt, und die CA kann eine fertige, importbereite .pfx-Datei zurücksenden. Wenn Sie den CSR anderswo erstellt haben, können Sie das ausgestellte Zertifikat vor dem Import trotzdem mit Ihrem privaten Schlüssel zu einer .pfx-Datei kombinieren (siehe FAQ).

SSL-Zertifikat auf VMware Horizon installieren

Nachdem die CA Ihr Zertifikat validiert und signiert hat, sendet sie Ihnen die Zertifikatsdateien per E-Mail. Laden Sie das ZIP-Archiv herunter und entpacken Sie es. Importieren Sie dann das Zertifikat auf dem Windows Server-Host, auf dem der Connection Server (oder Security Server) installiert ist, indem Sie den folgenden Schritten folgen.

Schritt 1: Snap-In „Zertifikate“ zur MMC hinzufügen

1. Melden Sie sich bei Ihrem Connection Server oder Security Server an und starten Sie mmc.exe.
2. Gehen Sie zu Datei > Snap-In hinzufügen/entfernen, wählen Sie Zertifikate aus und klicken Sie auf Hinzufügen.
3. Wählen Sie im Fenster Zertifikate-Snap-In die Option Computerkonto aus und klicken Sie auf Weiter.
4. Wählen Sie Lokaler Computer aus und klicken Sie auf Fertig stellen.
5. Klicken Sie im Fenster Snap-Ins hinzufügen oder entfernen auf OK.

Abkürzung: Sie können den lokalen Computerzertifikatspeicher auch direkt öffnen, indem Sie certlm.msc über das Startmenü oder den Ausführen-Dialog aufrufen. Dies überspringt die oben beschriebene Snap-In-Einrichtung und führt Sie direkt zu Zertifikate (Lokaler Computer).

Schritt 2: Serverzertifikat in den Windows-Zertifikatspeicher importieren

Das Zertifikat, das Sie importieren, muss seinen privaten Schlüssel enthalten. Verwenden Sie daher hier eine .pfx-Datei (PKCS #12). Je nachdem, wie die Datei erstellt wurde, kann sie auch die vollständige Kette (Server-, Zwischen- und Stammzertifikate) enthalten.

1. Erweitern Sie in der MMC Zertifikate (Lokaler Computer) und wählen Sie den Ordner Eigene Zertifikate aus.
2. Gehen Sie im Bereich Aktionen zu Weitere Aktionen > Alle Aufgaben > Importieren.
3. Klicken Sie im Zertifikatimport-Assistenten auf Weiter und navigieren Sie zu dem Ordner, in dem sich Ihr Zertifikat befindet.
4. Wählen Sie die Zertifikatsdatei aus und klicken Sie auf Öffnen. Hinweis: Um Ihre Datei zu sehen, wählen Sie deren Format im Dropdown-Menü Dateiname aus (zum Beispiel Personal Information Exchange (*.pfx, *.p12)).
5. Geben Sie das Passwort für den in der Zertifikatsdatei enthaltenen privaten Schlüssel ein.
6. Aktivieren Sie Diesen Schlüssel als exportierbar markieren.
7. Aktivieren Sie Alle erweiterten Eigenschaften einschließen.
8. Klicken Sie auf Weiter, dann auf Fertig stellen. Das neue Zertifikat erscheint unter Zertifikate (Lokaler Computer) > Eigene Zertifikate > Zertifikate.
9. Bestätigen Sie, dass das Zertifikat einen privaten Schlüssel besitzt: Öffnen Sie Zertifikate (Lokaler Computer) > Eigene Zertifikate > Zertifikate, doppelklicken Sie auf das neue Zertifikat und prüfen Sie, dass die Registerkarte Allgemein „Sie besitzen einen privaten Schlüssel, der zu diesem Zertifikat gehört“ anzeigt.

Schritt 3: Anzeigenamen des Zertifikats auf „vdm“ setzen

Dies ist der Schritt, der dafür sorgt, dass Horizon Ihr Zertifikat verwendet. Horizon identifiziert sein TLS-Zertifikat anhand des Anzeigenamens vdm – ohne diesen verwendet der Server weiterhin sein standardmäßiges selbstsigniertes Zertifikat.

1. Erweitern Sie in der MMC Zertifikate (Lokaler Computer) und wählen Sie Eigene Zertifikate > Zertifikate.
2. Klicken Sie mit der rechten Maustaste auf das für den Horizon-Server-Host ausgestellte Zertifikat und klicken Sie auf Eigenschaften.
3. Löschen Sie auf der Registerkarte Allgemein jeden vorhandenen Text im Feld Anzeigename und geben Sie vdm ein (es muss klein geschrieben sein).
4. Klicken Sie auf Übernehmen, dann auf OK.
5. Stellen Sie sicher, dass kein anderes Zertifikat in Eigene Zertifikate > Zertifikate den Anzeigenamen vdm trägt. Wenn dies der Fall ist (zum Beispiel beim alten selbstsignierten Zertifikat), benennen Sie es um – löschen Sie den Wert vdm, klicken Sie auf Übernehmen, dann auf OK.

Schritt 4: Stamm- und Zwischenzertifikate importieren

Damit Clients Ihrem Zertifikat vertrauen, muss die vollständige Kette vorhanden sein. Wenn Ihre .pfx-Datei bereits das Stamm- und die Zwischenzertifikate in die richtigen Speicher importiert hat, können Sie diesen Schritt überspringen und nur überprüfen. Andernfalls importieren Sie sie jetzt.

1. Erweitern Sie in der MMC Zertifikate (Lokaler Computer) und öffnen Sie Vertrauenswürdige Stammzertifizierungsstellen > Zertifikate.
2. Wenn Ihr Stammzertifikat bereits vorhanden ist und Ihre Kette keine Zwischenzertifikate enthält, springen Sie zum Neustart-Schritt. Falls das Stammzertifikat fehlt, fahren Sie unten fort.
3. Klicken Sie mit der rechten Maustaste auf Vertrauenswürdige Stammzertifizierungsstellen > Zertifikate und klicken Sie auf Alle Aufgaben > Importieren.
4. Klicken Sie im Zertifikatimport-Assistenten auf Weiter und navigieren Sie zum Stamm-CA-Zertifikat.
5. Wählen Sie die Stamm-CA-Zertifikatsdatei aus und klicken Sie auf Öffnen.
6. Klicken Sie auf Weiter, dann auf Fertig stellen.
7. Wenn eine Zwischenzertifizierungsstelle Ihr Serverzertifikat signiert hat, importieren Sie auch jedes Zwischenzertifikat in der Kette: Öffnen Sie Zertifikate (Lokaler Computer) > Zwischenzertifizierungsstellen > Zertifikate und wiederholen Sie den Import für jedes Zwischenzertifikat.

Schritt 5: Horizon-Dienst neu starten

Horizon liest das Zertifikat beim Start ein, daher wird die Änderung erst nach einem Neustart wirksam. Öffnen Sie die Windows-Dienste-Konsole (services.msc) und starten Sie den Dienst VMware Horizon Connection Server neu (auf neueren Builds als Omnissa Horizon Connection Server bezeichnet). Auf einem Security Server starten Sie stattdessen den Dienst VMware Horizon Security Server neu. Ein Neustart des gesamten Servers funktioniert ebenfalls, aber ein Neustart des Dienstes ist schneller und ausreichend.

Warten Sie einige Sekunden und laden Sie dann die Horizon Console (Horizon Administrator) in Ihrem Browser neu. Ihr neues Zertifikat ist im Einsatz, sobald die Verbindung als sicher und vertrauenswürdig angezeigt wird.

Hinter einem Unified Access Gateway (UAG)? Nachdem Sie das Zertifikat auf dem Connection Server ersetzt haben, aktualisieren Sie den Connection Server-Fingerabdruck (Thumbprint) in der UAG-Konfiguration, damit das Gateway ihm weiterhin vertraut.

Testen Sie Ihre SSL-Installation

Nachdem Sie das SSL-Zertifikat auf VMware Horizon installiert haben, führen Sie einen Diagnosescan durch, um zu bestätigen, dass alles korrekt konfiguriert ist. Unser SSL Checker prüft Ihr Zertifikat in Sekundenschnelle und meldet Ketten-Probleme, Schwachstellen oder Fehlkonfigurationen. Wenn der Horizon-Server aus dem öffentlichen Internet nicht erreichbar ist, können Sie dennoch lokal überprüfen, indem Sie die Horizon Console in einem Browser öffnen und bestätigen, dass das Schlosssymbol ein gültiges, vertrauenswürdiges Zertifikat mit dem korrekten Hostnamen anzeigt.

Wo Sie das beste SSL-Zertifikat für VMware Horizon kaufen

SSL Dragon ist Ihre Quelle für alle Ihre SSL-Anforderungen. Wir bieten einige der niedrigsten Preise auf dem Markt für unser gesamtes Sortiment an SSL-Produkten und haben uns mit den besten SSL-Marken der Branche zusammengeschlossen, um starke Sicherheit und engagierten Support zu bieten. Alle unsere SSL-Zertifikate sind mit VMware Horizon-Servern kompatibel.

Da Horizon-Bereitstellungen häufig mehrere Connection Server und Gateways umfassen, die sich einen Hostnamen oder mehrere Namen teilen, ist ein Zertifikat mit Subject Alternative Names (SANs), das den Hostnamen und FQDN jedes Servers abdeckt, in der Regel die richtige Wahl. Ein Multi-Domain-Zertifikat (SAN) oder ein Wildcard-Zertifikat hält die gesamte Umgebung auf einem einzigen, leicht verwaltbaren Zertifikat.

Häufig gestellte Fragen

Fazit

Die Installation eines SSL-Zertifikats auf VMware Horizon läuft darauf hinaus, eine .pfx-Datei mit der MMC in den lokalen Windows-Computerzertifikatspeicher zu importieren, ihr den Anzeigenamen vdm zu geben, dem Stamm- und den Zwischenzertifikaten zu vertrauen und den Horizon Connection Server-Dienst neu zu starten.

Benötigen Sie zuerst ein Zertifikat? Durchsuchen Sie unsere SSL-Zertifikate oder lassen Sie den SSL-Assistenten das richtige für Ihre Umgebung auswählen.