Gerenciamento de certificados

Last published : Nov 13, 2026
Related information
HDX™ Direct

Visão geral

As conexões diretas HDX™ são protegidas com criptografia em nível de rede. Para facilitar isso, cada host de sessão possui um certificado de CA raiz autoassinado exclusivo e um certificado de servidor correspondente, que é assinado pelo certificado de CA raiz autoassinado.
Esta solução oferece as seguintes vantagens:
  • Segurança Simplificada: As conexões diretas HDX são protegidas sem a sobrecarga administrativa de gerenciar certificados no ambiente.
  • Superfície de Ataque Reduzida: A superfície de ataque é limitada a um único host porque cada host possui um conjunto exclusivo de chaves e certificados.
  • Segurança Aprimorada para Ambientes Não Persistentes: Em ambientes com hosts de sessão não persistentes, a segurança é ainda mais aprimorada, pois novas chaves e certificados são gerados a cada reinício.

Host de sessão

O Citrix ClxMtp Service e o Citrix Certificate Manager Service são os dois serviços responsáveis pelo gerenciamento de certificados em cada host de sessão. O ClxMtp Service lida com a geração e rotação de chaves, enquanto o Certificate Manager Service gera e gerencia os certificados.
Dois certificados são criados: uma CA raiz autoassinada e um certificado de servidor. Ambos são emitidos com um período de validade de dois anos; no entanto, são substituídos quando as chaves são rotacionadas. Além disso, novos certificados são gerados cada vez que as máquinas não persistentes são reiniciadas.
Os detalhes de cada certificado são os seguintes:
  • CA Raiz Autoassinada
    • Emitido para: CA-Citrix-Certificate-Manager
    • Emitido por: CA-Citrix-Certificate-Manager
    • Detalhes do emissor: A organização é Citrix Systems, Inc.
  • Certificado de Servidor
    • Emitido para: \<FQDN do host\> (Por exemplo, FTLW11-001.ctxlab.net)
    • Emitido por: CA-Citrix-Certificate-Manager
    • Detalhes do emissor: A organização é Citrix Systems, Inc.
NOTA:
O Citrix Certificate Manager Service gera certificados RSA que utilizam chaves de 2048 bits.
Se houver um certificado de máquina existente criado pelo Citrix Certificate Manager Service e o nome do assunto não corresponder ao FQDN da máquina, um novo certificado será gerado.

Rotação de chaves

O Citrix ClxMtp Service rotaciona chaves automaticamente a cada seis meses. No entanto, você pode acionar uma rotação de chaves manualmente aumentando o contador de rotação no registro do host de sessão.
Para rotacionar as chaves, atualize o seguinte valor:
  • Chave: SOFTWARE\Citrix\ClxMtpConnectorSvcRotateKeyPairs
  • Tipo de valor: DWORD
  • Nome do valor: ClxMtpRotateRequestCounter
  • Dados: inteiro (Decimal)
NOTA:
Para a primeira rotação de chaves:
  1. Crie a chave ClxMtpConnectorSvcRotateKeyPairs.
  2. Crie e defina o valor ClxMtpRotateRequestCounter como 1.
Para rotações de chaves subsequentes, aumente o valor ClxMtpRotateRequestCounter em 1.
Uma vez que o valor é atualizado, o Citrix ClxMtp Service rotacionará automaticamente as chaves sem exigir uma reinicialização. O Citrix Certificate Manager Service gerará novos certificados automaticamente assim que detectar novas chaves.

Dispositivo cliente

O certificado raiz da CA é enviado ao cliente pelo Workspace ou Storefront™ através do caminho de conexão seguro e confiável já estabelecido. Isso elimina a necessidade de distribuir certificados de CA para os armazenamentos de certificados dos dispositivos cliente e garante que o cliente confie nos certificados usados para proteger a conexão HDX Direct.

Usando certificados personalizados

O HDX Direct oferece suporte ao uso de certificados emitidos e gerenciados pela sua própria PKI. As etapas a seguir descrevem como instalar seu certificado, configurar as permissões necessárias, vinculá-lo ao serviço de gerenciador de sessão e habilitar os ouvintes TLS necessários.
  1. Prossiga para a etapa 2 se o HDX Direct estiver desabilitado na máquina. Se o HDX Direct estiver habilitado, siga as etapas abaixo:
    1. Abra o editor do Registro (regedit.exe) e navegar para HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
    2. Defina o valor de SSLEnabled como 0.
    3. navegar para HKLM\Software\Citrix\HDX-Direct.
    4. Defina o valor de HdxDirectCaInTls como 0.
  2. Instale o certificado apropriado emitido pela sua PKI no armazenamento de certificados da máquina.
  3. Conceda ao serviço de gerenciador de sessão acesso de leitura às chaves privadas do certificado.
    1. Inicie o console de gerenciamento da Microsoft (MMC): Iniciar > Executar > mmc.exe.
    2. navegar para Arquivo > Adicionar/Remover Snap-in.
    3. Selecione Certificados e clique em Adicionar.
    4. Escolha Conta de computador e clique em Avançar.
    5. Selecione Computador local e clique em Concluir.
    6. navegar para Certificados (Computador Local) > Pessoal > Certificados.
    7. Clique com o botão direito no certificado apropriado e selecione Todas as Tarefas > Gerenciar Chaves Privadas.
    8. Adicione um dos seguintes serviços e conceda a ele acesso de Leitura:
      • Para VDA de Sessão Única: NT SERVICE\PorticaService
      • Para VDA de Múltiplas Sessões: NT SERVICE\TermService
    9. Clique em Aplicar, depois em OK.
  4. Vincule o certificado ao serviço de gerenciador de sessão.
    1. Recupere a impressão digital do certificado (clique duas vezes no certificado > Detalhes > Impressão digital).
    2. Abra o editor de registro (regedit.exe) e navegar para HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
    3. Edite o valor SSLThumbprint e cole a impressão digital do certificado.
  5. Habilite os ouvintes TLS do Citrix.
    1. No mesmo local do registro, defina o valor SSLEnabled como 1.
  6. Habilite o HDX Direct (na política do Citrix).
A mídia de instalação do Citrix Virtual Apps and Desktops inclui um script PowerShell (Enable-VdaSSL.ps1) que automatiza várias dessas tarefas:
  • Definir permissões para as chaves do certificado
  • Vinculando o certificado ao serviço de gerenciador de sessão
  • Habilitando os ouvintes TLS do Citrix
Este script está localizado no diretório Support > Tools > SslSupport. Para mais detalhes, consulte Configurar TLS em um VDA usando o script PowerShell.
NOTA:
Os dispositivos que se conectam aos hosts de sessão precisam ter os certificados de CA raiz e CA intermediária corretos instalados se você estiver usando seus próprios certificados.