Gerenciamento de certificados

Last published : Nov 13, 2026
Related information
HDX™ Direct

Visão geral

As conexões diretas HDX™ são protegidas com criptografia em nível de rede. Para facilitar isso, cada host de sessão possui um certificado de CA raiz autoassinado exclusivo e um certificado de servidor correspondente, que é assinado pelo certificado de CA raiz autoassinado.
Esta solução oferece as seguintes vantagens:
  • Segurança Simplificada: As conexões diretas HDX são protegidas sem a sobrecarga administrativa de gerenciar certificados no ambiente.
  • Superfície de Ataque Reduzida: A superfície de ataque é limitada a um único host porque cada host possui um conjunto exclusivo de chaves e certificados.
  • Segurança Aprimorada para Ambientes Não Persistentes: Em ambientes com hosts de sessão não persistentes, a segurança é ainda mais aprimorada, pois novas chaves e certificados são gerados a cada reinício.

Host de sessão

O Citrix ClxMtp Service e o Citrix Certificate Manager Service são os dois serviços responsáveis pelo gerenciamento de certificados em cada host de sessão. O ClxMtp Service lida com a geração e rotação de chaves, enquanto o Certificate Manager Service gera e gerencia os certificados.
Dois certificados são criados: uma CA raiz autoassinada e um certificado de servidor. Ambos são emitidos com um período de validade de dois anos; no entanto, eles são substituídos quando as chaves são rotacionadas. Além disso, novos certificados são gerados cada vez que as máquinas não persistentes são reiniciadas.
Os detalhes de cada certificado são os seguintes:
  • CA Raiz Autoassinada
    • Emitido para: CA-Citrix-Certificate-Manager
    • Emitido por: CA-Citrix-Certificate-Manager
    • Detalhes do emissor: A organização é Citrix Systems, Inc.
  • Certificado de Servidor
    • Emitido para: \<FQDN do host\> (Por exemplo, FTLW11-001.ctxlab.net)
    • Emitido por: CA-Citrix-Certificate-Manager
    • Detalhes do emissor: A organização é Citrix Systems, Inc.
NOTA:
O Serviço Citrix Certificate Manager gera certificados RSA que utilizam chaves de 2048 bits.
Se houver um certificado de máquina existente criado pelo Serviço Citrix Certificate Manager e o nome do assunto não corresponder ao FQDN da máquina, um novo certificado será gerado.

Rotação de chave

O Serviço Citrix ClxMtp gira automaticamente as chaves a cada seis meses. No entanto, você pode acionar uma rotação de chave manualmente aumentando o contador de rotação no registro do host da sessão.
Para girar as chaves, atualize o seguinte valor:
  • Chave: SOFTWARE\Citrix\ClxMtpConnectorSvcRotateKeyPairs
  • Tipo de valor: DWORD
  • Nome do valor: ClxMtpRotateRequestCounter
  • Dados: inteiro (Decimal)
NOTA:
Para a primeira rotação de chave:
  1. Crie a chave ClxMtpConnectorSvcRotateKeyPairs.
  2. Crie e defina o valor ClxMtpRotateRequestCounter como 1.
Para rotações de chave subsequentes, aumente o valor ClxMtpRotateRequestCounter em 1.
Uma vez que o valor é atualizado, o Serviço Citrix ClxMtp girará automaticamente as chaves sem exigir uma reinicialização. O Serviço Citrix Certificate Manager então gerará novos certificados automaticamente assim que detectar novas chaves.

Dispositivo cliente

O certificado raiz da CA é enviado ao cliente pelo Workspace ou Storefront™ através do caminho de conexão seguro e confiável já estabelecido. Isso elimina a necessidade de distribuir certificados de CA para os armazenamentos de certificados dos dispositivos cliente e garante que o cliente confie nos certificados usados para proteger a conexão HDX Direct.

Usando certificados personalizados

O HDX Direct oferece suporte ao uso de certificados emitidos e gerenciados pela sua própria PKI. As etapas a seguir descrevem como instalar seu certificado, configurar as permissões necessárias, vinculá-lo ao serviço de gerenciador de sessão e habilitar os ouvintes TLS necessários.
  1. Prossiga para a etapa 2 se o HDX Direct estiver desabilitado na máquina. Se o HDX Direct estiver habilitado, siga as etapas abaixo:
    1. Abra o editor do Registro (regedit.exe) e navegar até HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
    2. Defina o valor de SSLEnabled como 0.
    3. navegar até HKLM\Software\Citrix\HDX-Direct.
    4. Defina o valor de HdxDirectCaInTls como 0.
  2. Instale o certificado apropriado emitido pela sua PKI no armazenamento de certificados da máquina.
  3. Conceda ao serviço de gerenciador de sessão acesso de leitura às chaves privadas do certificado.
    1. Inicie o console de gerenciamento da Microsoft (MMC): Iniciar > Executar > mmc.exe.
    2. navegar até Arquivo > Adicionar/Remover Snap-in.
    3. Selecione Certificados e clique em Adicionar.
    4. Escolha Conta de computador e clique em Avançar.
    5. Selecione Computador local e clique em Concluir.
    6. navegar para Certificados (Computador Local) > Pessoal > Certificados.
    7. Clique com o botão direito do mouse no certificado apropriado e selecione Todas as Tarefas > Gerenciar Chaves Privadas.
    8. Adicione um dos seguintes serviços e conceda acesso de Leitura:
      • Para VDA de Sessão Única: NT SERVICE\PorticaService
      • Para VDA de Múltiplas Sessões: NT SERVICE\TermService
    9. Clique em Aplicar, depois em OK.
  4. Vincule o certificado ao serviço de gerenciador de sessão.
    1. Recupere o thumbprint do certificado (clique duas vezes no certificado > Detalhes > Thumbprint).
    2. Abra o editor de registro (regedit.exe) e navegar para HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
    3. Edite o valor SSLThumbprint e cole o thumbprint do certificado.
  5. Habilite os listeners TLS do Citrix.
    1. No mesmo local do registro, defina o valor SSLEnabled como 1.
  6. Habilite HDX Direct (na política Citrix).
A mídia de instalação do Citrix Virtual Apps and Desktops inclui um script PowerShell (Enable-VdaSSL.ps1) que automatiza várias dessas tarefas:
  • Definindo permissões para as chaves do certificado
  • Vinculando o certificado ao serviço de gerenciador de sessão
  • Habilitando os listeners TLS do Citrix
Este script está localizado no diretório Support > Tools > SslSupport. Para mais detalhes, consulte Configurar TLS em um VDA usando o script PowerShell.
NOTA:
Os dispositivos que se conectam aos hosts de sessão precisam ter os certificados de CA raiz e CA intermediária corretos instalados se você estiver usando seus próprios certificados.