Gerenciamento de certificados

Last published : Nov 03, 2026
Related information
HDX™ Direct

Visão geral

As conexões diretas HDX™ são protegidas com criptografia em nível de rede. Para facilitar isso, cada host de sessão possui um certificado de CA raiz autoassinado exclusivo e um certificado de servidor correspondente, que é assinado pelo certificado de CA raiz autoassinado.
Esta solução oferece as seguintes vantagens:
  • Segurança Simplificada: As conexões diretas HDX são protegidas sem a sobrecarga administrativa de gerenciar certificados no ambiente.
  • Superfície de Ataque Reduzida: A superfície de ataque é limitada a um único host porque cada host possui um conjunto exclusivo de chaves e certificados.
  • Segurança Aprimorada para Ambientes Não Persistentes: Em ambientes com hosts de sessão não persistentes, a segurança é ainda mais aprimorada, pois novas chaves e certificados são gerados a cada reinício.

Host de sessão

O Citrix ClxMtp Service e o Citrix Certificate Manager Service são os dois serviços responsáveis pelo gerenciamento de certificados em cada host de sessão. O ClxMtp Service lida com a geração e rotação de chaves, enquanto o Certificate Manager Service gera e gerencia os certificados.
Dois certificados são criados: uma CA raiz autoassinada e um certificado de servidor. Ambos são emitidos com um período de validade de dois anos; no entanto, são substituídos quando as chaves são rotacionadas. Além disso, novos certificados são gerados cada vez que máquinas não persistentes são reiniciadas.
Os detalhes de cada certificado são os seguintes:
  • CA Raiz Autoassinada
    • Emitido para: CA-Citrix-Certificate-Manager
    • Emitido por: CA-Citrix-Certificate-Manager
    • Detalhes do emissor: A organização é Citrix Systems, Inc.
  • Certificado do Servidor
    • Emitido para: \<host FQDN\> (Por exemplo, FTLW11-001.ctxlab.net)
    • Emitido por: CA-Citrix-Certificate-Manager
    • Detalhes do emissor: A organização é Citrix Systems, Inc.
NOTA:
O Serviço Citrix Certificate Manager gera certificados RSA que utilizam chaves de 2048 bits.
Se houver um certificado de máquina existente criado pelo Serviço Citrix Certificate Manager e o nome do assunto não corresponder ao FQDN da máquina, um novo certificado será gerado.

Rotação de chaves

O Serviço Citrix ClxMtp gira automaticamente as chaves a cada seis meses. No entanto, você pode acionar uma rotação de chave manualmente aumentando o contador de rotação no registro do host da sessão.
Para girar as chaves, atualize o seguinte valor:
  • Chave: SOFTWARE\Citrix\ClxMtpConnectorSvcRotateKeyPairs
  • Tipo de valor: DWORD
  • Nome do valor: ClxMtpRotateRequestCounter
  • Dados: integer (Decimal)
NOTA:
Para a primeira rotação de chave:
  1. Crie a chave ClxMtpConnectorSvcRotateKeyPairs.
  2. Crie e defina o valor ClxMtpRotateRequestCounter como 1.
Para rotações de chave subsequentes, aumente o valor ClxMtpRotateRequestCounter em 1.
Assim que o valor for atualizado, o Citrix ClxMtp Service rotacionará automaticamente as chaves sem exigir uma reinicialização. O Citrix Certificate Manager Service gerará novos certificados automaticamente assim que detectar novas chaves.

Dispositivo cliente

O certificado raiz da CA é enviado ao cliente pelo Citrix® StoreFront Cloud ou Citrix® StoreFront através do caminho de conexão seguro e confiável já estabelecido. Isso elimina a necessidade de distribuir certificados de CA para os armazenamentos de certificados dos dispositivos cliente e garante que o cliente confie nos certificados usados para proteger a conexão HDX Direct.

Usando certificados personalizados

O HDX Direct oferece suporte ao uso de certificados emitidos e gerenciados por sua própria PKI. As etapas a seguir descrevem como instalar seu certificado, configurar as permissões necessárias, vinculá-lo ao serviço de gerenciador de sessão e habilitar os ouvintes TLS necessários.
  1. Prossiga para a etapa 2 se o HDX Direct estiver desabilitado na máquina. Se o HDX Direct estiver habilitado, siga as etapas abaixo:
    1. Abra o editor do Registro (regedit.exe) e navegar até HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
    2. Defina o valor SSLEnabled como 0.
    3. navegar até HKLM\Software\Citrix\HDX-Direct.
    4. Defina o valor HdxDirectCaInTls como 0.
  2. Instale o certificado apropriado emitido pela sua PKI no armazenamento de certificados da máquina.
  3. Conceda ao serviço de gerenciador de sessão acesso de leitura às chaves privadas do certificado.
    1. Inicie o console de gerenciamento da Microsoft (MMC): Iniciar > Executar > mmc.exe.
    2. navegar até Arquivo > Adicionar/Remover Snap-in.
    3. Selecione Certificados e clique em Adicionar.
    4. Escolha Conta de computador e clique em Avançar.
    5. Selecione Computador local e clique em Concluir.
    6. navegar até Certificados (Computador Local) > Pessoal > Certificados.
    7. Clique com o botão direito do mouse no certificado apropriado e selecione Todas as Tarefas > Gerenciar Chaves Privadas.
    8. Adicione um dos seguintes serviços e conceda a ele acesso de Leitura:
      • Para VDA de Sessão Única: NT SERVICE\PorticaService
      • Para VDA de Múltiplas Sessões: NT SERVICE\TermService
    9. Clique em Aplicar e depois em OK.
  4. Vincule o certificado ao serviço de gerenciador de sessão.
    1. Recupere o thumbprint do certificado (clique duas vezes no certificado > Detalhes > Thumbprint).
    2. Abra o editor do Registro (regedit.exe) e navegar até HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
    3. Edite o valor de SSLThumbprint e cole o thumbprint do certificado.
  5. Habilite os ouvintes TLS da Citrix.
    1. No mesmo local do registro, defina o valor de SSLEnabled como 1.
  6. Habilite o HDX Direct (na política Citrix).
A mídia de instalação do Citrix Virtual Apps and Desktops inclui um script PowerShell (Enable-VdaSSL.ps1) que automatiza várias dessas tarefas:
  • Definir permissões para as chaves do certificado
  • Vincular o certificado ao serviço do gerenciador de sessão
  • Habilitar os ouvintes TLS da Citrix
Este script está localizado no diretório Support > Tools > SslSupport. Para mais detalhes, consulte Configurar TLS em um VDA usando o script PowerShell.
NOTA:
Os dispositivos que se conectam aos hosts de sessão precisam ter os certificados de CA raiz e CA intermediária corretos instalados se você estiver usando seus próprios certificados.