证书管理

Last published : Nov 13, 2026
Related information
../hdx-transport/hdx-direct.md

概述

HDX™ 直连通过网络级加密进行保护。为此，每个会话主机都有一个唯一的自签名根 CA 证书以及一个相应的服务器证书，该证书由自签名根 CA 证书签名。
此解决方案具有以下优点：
  • 简化安全性： HDX 直连是安全的，无需在环境中管理证书的额外管理开销。
  • 减少攻击面： 攻击面仅限于单个主机，因为每个主机都有一组唯一的密钥和证书。
  • 增强非持久性环境的安全性： 在具有非持久性会话主机的环境中，每次重新启动时都会生成新的密钥和证书，从而进一步增强了安全性。

会话主机

Citrix ClxMtp Service 和 Citrix Certificate Manager Service 是负责管理每个会话主机上证书的两个服务。ClxMtp 服务负责密钥生成和轮换，而 Certificate Manager 服务负责生成和管理证书。
创建了两种证书：自签名根 CA 证书和服务器证书。两者都具有两年的有效期；但是，当密钥轮换时，它们会被替换。此外，每次非持久性计算机重新启动时都会生成新的证书。
每种证书的详细信息如下：
  • 自签名根 CA
    • 颁发给: CA-Citrix-Certificate-Manager
    • 颁发者：CA-Citrix-证书管理器
    • 颁发者详细信息：组织为 Citrix Systems, Inc.
  • 服务器证书
    • 颁发给：\<host FQDN\>（例如，FTLW11-001.ctxlab.net）
    • 颁发者：CA-Citrix-证书管理器
    • 颁发者详细信息：组织为 Citrix Systems, Inc.
注意：
Citrix Certificate Manager Service 生成利用 2048 位密钥的 RSA 证书。
如果存在由 Citrix Certificate Manager Service 创建的现有计算机证书，并且主题名称与计算机的 FQDN 不匹配，则会生成新证书。

密钥轮换

Citrix ClxMtp Service 每六个月自动轮换密钥。但是，您可以通过增加会话主机注册表中的轮换计数器来手动触发密钥轮换。
要轮换密钥，请更新以下值：
  • 键：SOFTWARE\Citrix\ClxMtpConnectorSvcRotateKeyPairs
  • 值类型: DWORD
  • 值名称：ClxMtpRotateRequestCounter
  • 数据：整数（十进制）
注意：
对于首次密钥轮换：
  1. 创建 ClxMtpConnectorSvcRotateKeyPairs 键。
  2. 创建 ClxMtpRotateRequestCounter 值并将其设置为 1。
对于后续密钥轮换，将 ClxMtpRotateRequestCounter 值增加 1。
值更新后，Citrix ClxMtp Service 将自动轮换密钥，无需重新启动。然后，Citrix Certificate Manager Service 在检测到新密钥后将自动生成新证书。

客户端设备

根CA证书通过已建立的安全且受信任的连接路径由Workspace或Storefront™发送到客户端。这消除了将CA证书分发到客户端设备证书存储的需要，并确保客户端信任用于保护HDX Direct连接的证书。

使用自定义证书

HDX Direct支持使用由您自己的PKI颁发和管理的证书。以下步骤概述了如何安装证书、配置必要的权限、将其绑定到会话管理器服务以及启用所需的TLS侦听器。
  1. 如果HDX Direct在计算机上已禁用，请继续执行步骤2。如果HDX Direct已启用，请按照以下步骤操作：
    1. 打开注册表编辑器 (regedit.exe) 并导航到 HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd。
    2. 将 SSLEnabled 值设置为 0。
    3. 导航到 HKLM\Software\Citrix\HDX-Direct。
    4. 将 HdxDirectCaInTls 值设置为 0。
  2. 在计算机的证书存储中安装由您的PKI颁发的相应证书。
  3. 授予会话管理器服务对证书私钥的读取访问权限。
    1. 启动Microsoft管理控制台 (MMC)：开始 > 运行 > mmc.exe。
    2. 导航到 文件 > 添加/删除管理单元。
    3. 选择 证书，然后单击 添加。
    4. 选择 计算机帐户，然后单击 下一步。
    5. 选择 本地计算机，然后单击 完成。
    6. 导航到 证书 (本地计算机) > 个人 > 证书。
    7. 右键单击相应的证书，然后选择 所有任务 > 管理私钥。
    8. 添加以下服务之一并为其授予读取权限：
      • 对于 单会话 VDA：NT SERVICE\PorticaService
      • 对于 多会话 VDA：NT SERVICE\TermService
    9. 单击 应用，然后单击 确定。
  4. 将证书绑定到会话管理器服务。
    1. 检索证书指纹（双击证书 > 详细信息 > 指纹）。
    2. 打开注册表编辑器 (regedit.exe) 并导航到 HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd。
    3. 编辑 SSLThumbprint 值并粘贴证书指纹。
  5. 启用 Citrix TLS 侦听器。
    1. 在同一注册表位置，将 SSLEnabled 值设置为 1。
  6. 启用 HDX Direct（在 Citrix 策略 中）。
Citrix Virtual Apps and Desktops 安装介质包含一个 PowerShell 脚本 (Enable-VdaSSL.ps1)，可自动执行其中几项任务：
  • 设置证书密钥的权限
  • 将证书绑定到会话管理器服务
  • 启用 Citrix TLS 侦听器
此脚本位于 Support > Tools > SslSupport 目录中。有关更多详细信息，请参阅使用 PowerShell 脚本在 VDA 上配置 TLS。
注意：
如果您使用自己的证书，连接到会话主机的设备需要安装正确的根 CA 和中间 CA 证书。