Come generare un CSR su VMWare Horizon View

Questa guida mostra come generare una CSR (Certificate Signing Request) per VMware Horizon, la piattaforma ora pubblicata come Omnissa Horizon. Crei la richiesta direttamente sul Windows Connection Server con gli strumenti già installati: lo snap-in Certificati della Microsoft Management Console (MMC). La chiave privata resta sul server e inviamo solo la CSR alla tua Certificate Authority.

Una nota sul nome: dopo l’acquisizione di VMware da parte di Broadcom, la divisione End-User Computing (che include Horizon) è stata scorporata come azienda indipendente, Omnissa, nel 2024. Il rebranding si è concluso con la release Horizon 2412 nel gennaio 2025, quindi le build più recenti mostrano “Omnissa Horizon” nell’interfaccia, nei percorsi dei file e nelle chiavi di registro. I passaggi relativi al certificato descritti di seguito sono identici sia su VMware Horizon View sia sull’attuale Omnissa Horizon, incluso il Connection Server su Windows Server 2025.

Genera la CSR con lo snap-in Certificati MMC

Esegui questi passaggi direttamente sul Horizon Connection Server, accedendo con un account amministratore. Lo snap-in crea la richiesta e conserva la chiave privata corrispondente nell’archivio certificati di Windows.

1. Sul desktop di Windows, fai clic su Start e digita mmc nella casella di ricerca.
2. Fai clic sull’icona mmc.exe per aprire la console.
3. Vai su File > Aggiungi/Rimuovi snap-in, seleziona Certificati, poi fai clic su Aggiungi > OK.
4. Seleziona Account computer e fai clic su Avanti.
5. Assicurati che sia selezionato Computer locale, poi fai clic su Fine e OK.
6. Sotto Certificati (Computer locale), espandi l’albero.
7. Fai clic destro su Personale, poi segui questa sequenza: Tutte le attività > Operazioni avanzate > Crea richiesta personalizzata.
8. Nella finestra Registrazione certificati, fai clic su Avanti.
9. Seleziona Procedi senza criteri di registrazione e fai clic su Avanti.
10. Nella finestra Richiesta personalizzata, apri il menu a discesa del modello e seleziona (Nessun modello) Chiave legacy.
11. Imposta il formato della richiesta su PKCS #10 (lo standard per le richieste di certificazione) e fai clic su Avanti.
12. Nella finestra Informazioni sul certificato, fai clic sulla freccia accanto a Dettagli e seleziona Proprietà.
13. Nella scheda Generale, assegna alla richiesta un nome descrittivo chiaro per poterla trovare più facilmente in seguito, ad esempio horizon-csr 2026. Non chiamarla vdm in questa fase: Horizon si aspetta esattamente un certificato di nome vdm, e assegnerai quel nome al certificato emesso durante l’installazione, non ora. Consulta la nota dopo questi passaggi.
14. Apri la scheda Oggetto e aggiungi i dettagli del soggetto indicati di seguito. Scegli ogni campo dall’elenco Tipo, inserisci il valore e fai clic su Aggiungi per ognuno:
    • Nome comune (CN): il nome di dominio completo (FQDN) che i tuoi client utilizzano per raggiungere il server, ad esempio horizon.example.com.
    • Paese (C): il codice a due lettere del tuo paese, ad esempio US.
    • Località (L): la città in cui è registrata la tua organizzazione, ad esempio Seattle.
    • Organizzazione (O): il nome legale completo della tua azienda, ad esempio GPI Holding LLC.
    • Unità organizzativa (OU): questo campo è deprecato per i certificati pubblici, quindi lascialo vuoto oppure usa un’etichetta generica come IT.
    • Stato/Provincia (ST): il nome completo dello stato o della provincia, ad esempio Washington.
15. Sempre nella scheda Oggetto, nella sezione Nome alternativo imposta Tipo su DNS e aggiungi ogni hostname che i client useranno per raggiungere Horizon (ad esempio il FQDN del Connection Server e qualsiasi nome bilanciato dal load balancer). Aggiungi voci IP solo se i client si connettono tramite IP. I browser e i client moderni verificano l’hostname in base al Subject Alternative Name (SAN), quindi il solo CN non è sufficiente.
16. Apri la scheda Chiave privata, espandi Opzioni chiave e imposta Dimensione chiave su 2048 bit o superiore (2048 è attualmente il minimo per i certificati pubblici).
17. Nella stessa area Opzioni chiave, seleziona Rendi esportabile la chiave privata. Ciò ti permette di eseguire il backup della chiave o di spostarla in seguito su Connection Server replica. Fai clic su OK, poi su Avanti.
18. Scegli dove salvare la richiesta, assegnale il nome certreq.req e completa la procedura guidata.

La tua CSR è pronta. Apri il file certreq.req in un qualsiasi editor di testo, come Notepad, e copia l’intero blocco, incluse le righe —–BEGIN NEW CERTIFICATE REQUEST—– e —–END NEW CERTIFICATE REQUEST—–. Incollalo nel campo CSR al momento di effettuare l’ordine del certificato SSL. Se preferisci creare la richiesta compilando un unico modulo, puoi anche inserire i tuoi dati nel nostro CSR Generator, anche se generarla sul server (come descritto sopra) mantiene la chiave privata sulla macchina che la utilizzerà.

Perché il nome descrittivo “vdm” va assegnato dopo

Horizon Connection Server, Security Server e i servizi correlati cercano il certificato il cui nome descrittivo è esattamente vdm (minuscolo). L’installazione fallisce se nessun certificato ha quel nome, oppure se due certificati lo condividono. Assegni quel nome quando importi il certificato emesso durante l’installazione, non durante la generazione della CSR, perché al momento della CSR di solito hai ancora un certificato funzionante più vecchio che già possiede il nome vdm. Rinominare la richiesta ora creerebbe un conflitto. Mantieni un nome semplice e descrittivo per la richiesta, poi rinomina il nuovo certificato in vdm dopo che la CA lo ha emesso.

Verifica la CSR prima di inviarla (facoltativo)

Vale la pena confermare il Common Name, le voci SAN e la dimensione della chiave prima di inviare la richiesta alla tua CA. Sul Connection Server, lo strumento integrato certutil legge la richiesta:

certutil -dump certreq.req

Se hai OpenSSL disponibile, questo comando mostra le stesse informazioni:

openssl req -noout -text -in certreq.req

Preferisci uno strumento online? Incolla il contenuto della richiesta nel decoder CSR di SSL Dragon per leggere il Common Name, le voci SAN e la dimensione della chiave. Verifica che il Common Name corrisponda all’hostname usato dai client e che ogni nome richiesto compaia nell’elenco Subject Alternative Name. L’SSL Checker è uno strumento diverso: analizza un certificato già installato e attivo su HTTPS, quindi va utilizzato dopo l’installazione, non sul file CSR.

Prossimi passi

Dopo che la tua CA ha validato la CSR ed emesso il certificato, prosegui con le istruzioni per l’installazione SSL su VMware Horizon (Omnissa Horizon). È lì che importerai il certificato, lo rinominerai in vdm e riavvierai i servizi Horizon affinché il nuovo certificato entri in vigore.

Domande frequenti