Produktdokumentation
Citrix DaaS™
PDF anzeigen

Zertifikatsverwaltung

April 6, 2026
Beitrag von: 
C C

Übersicht

HDX™ Direct-Verbindungen werden mit Netzwerkverschlüsselung gesichert. Um dies zu ermöglichen, verfügt jeder Session-Host über ein eindeutiges selbstsigniertes Stamm-CA-Zertifikat und ein entsprechendes Serverzertifikat, das vom selbstsignierten Stamm-CA-Zertifikat signiert ist.

Diese Lösung bietet die folgenden Vorteile:

  • Optimierte Sicherheit: HDX Direct-Verbindungen werden ohne den administrativen Aufwand der Zertifikatsverwaltung innerhalb der Umgebung gesichert.
  • Reduzierte Angriffsfläche: Die Angriffsfläche ist auf einen einzelnen Host begrenzt, da jeder Host über einen eindeutigen Satz von Schlüsseln und Zertifikaten verfügt.
  • Verbesserte Sicherheit für nicht-persistente Umgebungen: In Umgebungen mit nicht-persistenten Session-Hosts wird die Sicherheit weiter erhöht, da bei jedem Neustart neue Schlüssel und Zertifikate generiert werden.

Session-Host

Der Citrix ClxMtp Service und der Citrix Certificate Manager Service sind die beiden Dienste, die für die Verwaltung von Zertifikaten auf jedem Session-Host zuständig sind. Der ClxMtp Service übernimmt die Schlüsselgenerierung und -rotation, während der Certificate Manager Service die Zertifikate generiert und verwaltet.

Es werden zwei Zertifikate erstellt: eine selbstsignierte Stamm-CA und ein Serverzertifikat. Beide werden mit einer Gültigkeitsdauer von zwei Jahren ausgestellt; sie werden jedoch bei der Schlüsselrotation ersetzt. Zusätzlich werden bei jedem Neustart nicht-persistenter Maschinen neue Zertifikate generiert.

Die Details für jedes Zertifikat sind wie folgt:

  • Selbstsignierte Stamm-CA
    • Ausgestellt für: CA-Citrix-Certificate-Manager
    • Ausgestellt von: CA-Citrix-Certificate-Manager
    • Ausstellerdetails: Die Organisation ist Citrix Systems, Inc.
  • Serverzertifikat
    • Ausgestellt für: <Host-FQDN> (Zum Beispiel, FTLW11-001.ctxlab.net)
    • Ausgestellt von: CA-Citrix-Certificate-Manager
    • Ausstellerdetails: Die Organisation ist Citrix Systems, Inc.

HINWEIS:

Der Citrix Certificate Manager Service generiert RSA-Zertifikate, die 2048-Bit-Schlüssel verwenden.

Wenn ein vorhandenes Maschinenzertifikat vom Citrix Certificate Manager Service erstellt wurde und der Antragstellername nicht mit dem FQDN der Maschine übereinstimmt, wird ein neues Zertifikat generiert.

Schlüsselrotation

Der Citrix ClxMtp Service rotiert Schlüssel automatisch alle sechs Monate. Sie können jedoch eine Schlüsselrotation manuell auslösen, indem Sie den Rotationszähler in der Registrierung des Session-Hosts erhöhen.

Um die Schlüssel zu rotieren, aktualisieren Sie den folgenden Wert:

  • Schlüssel: SOFTWARE\Citrix\ClxMtpConnectorSvcRotateKeyPairs
  • Werttyp: DWORD
  • Wertname: ClxMtpRotateRequestCounter
  • Daten: Ganzzahl (Dezimal)

HINWEIS:

Für die erstmalige Schlüsselrotation:

  1. Erstellen Sie den Schlüssel ClxMtpConnectorSvcRotateKeyPairs.
  2. Erstellen und setzen Sie den Wert ClxMtpRotateRequestCounter auf 1.

Für nachfolgende Schlüsselrotationen erhöhen Sie den Wert ClxMtpRotateRequestCounter um 1.

Sobald der Wert aktualisiert wurde, rotiert der Citrix ClxMtp Service die Schlüssel automatisch, ohne dass ein Neustart erforderlich ist. Der Citrix Certificate Manager Service generiert dann automatisch neue Zertifikate, sobald er neue Schlüssel erkennt.

Clientgerät

Das Stamm-CA-Zertifikat wird vom Workspace oder Storefront™ über den bereits etablierten sicheren und vertrauenswürdigen Verbindungspfad an den Client gesendet. Dadurch entfällt die Notwendigkeit, CA-Zertifikate in den Zertifikatspeichern der Clientgeräte zu verteilen, und es wird sichergestellt, dass der Client den zur Sicherung der HDX Direct-Verbindung verwendeten Zertifikaten vertraut.

Verwenden benutzerdefinierter Zertifikate

HDX Direct unterstützt die Verwendung von Zertifikaten, die von Ihrer eigenen PKI ausgestellt und verwaltet werden. Die folgenden Schritte beschreiben, wie Sie Ihr Zertifikat installieren, die erforderlichen Berechtigungen konfigurieren, es an den Session Manager Service binden und die erforderlichen TLS-Listener aktivieren.

  1. Fahren Sie mit Schritt 2 fort, wenn HDX Direct auf der Maschine deaktiviert ist. Wenn HDX Direct aktiviert ist, führen Sie die folgenden Schritte aus:
    1. Öffnen Sie den Registrierungs-Editor (regedit.exe) und navigieren Sie zu HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
    2. Setzen Sie den Wert SSLEnabled auf 0.
    3. Navigieren Sie zu HKLM\Software\Citrix\HDX-Direct.
    4. Setzen Sie den Wert HdxDirectCaInTls auf 0.

  2. Installieren Sie das entsprechende von Ihrer PKI ausgestellte Zertifikat im Zertifikatspeicher der Maschine.

  3. Gewähren Sie dem Session Manager Service Lesezugriff auf die privaten Schlüssel des Zertifikats.
    1. Starten Sie die Microsoft Management Console (MMC): Start > Ausführen > mmc.exe.
    2. Navigieren Sie zu Datei > Snap-In hinzufügen/entfernen.
    3. Wählen Sie Zertifikate aus und klicken Sie dann auf Hinzufügen.
    4. Wählen Sie Computerkonto und klicken Sie auf Weiter.
    5. Wählen Sie Lokaler Computer und klicken Sie auf Fertig stellen.
    6. Navigieren Sie zu Zertifikate (Lokaler Computer) > Persönlich > Zertifikate.
    7. Klicken Sie mit der rechten Maustaste auf das entsprechende Zertifikat und wählen Sie Alle Aufgaben > Private Schlüssel verwalten.
    8. Fügen Sie einen der folgenden Dienste hinzu und erteilen Sie ihm Lesezugriff:
      • Für Single Session VDA: NT SERVICE\PorticaService
      • Für Multi Session VDA: NT SERVICE\TermService
    9. Klicken Sie auf Übernehmen und dann auf OK.
  4. Binden Sie das Zertifikat an den Session Manager Service.
    1. Rufen Sie den Zertifikat-Fingerabdruck ab (Doppelklick auf das Zertifikat > Details > Fingerabdruck).
    2. Öffnen Sie den Registrierungs-Editor (regedit.exe) und navigieren Sie zu HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
    3. Bearbeiten Sie den Wert SSLThumbprint und fügen Sie den Fingerabdruck des Zertifikats ein.
  5. Aktivieren Sie die Citrix TLS-Listener.
    1. Setzen Sie am selben Registrierungspfad den Wert SSLEnabled auf 1.
  6. Aktivieren Sie HDX Direct (in der Citrix-Richtlinie).

Die Installationsmedien von Citrix Virtual Apps and Desktops enthalten ein PowerShell-Skript (Enable-VdaSSL.ps1), das mehrere dieser Aufgaben automatisiert:

  • Festlegen von Berechtigungen für die Zertifikatsschlüssel
  • Binden des Zertifikats an den Session Manager Service
  • Aktivieren der Citrix TLS-Listener

Dieses Skript befindet sich im Verzeichnis Support > Tools > SslSupport. Weitere Informationen finden Sie unter Konfigurieren von TLS auf einem VDA mithilfe des PowerShell-Skripts.

HINWEIS:

Die Geräte, die sich mit den Session-Hosts verbinden, müssen die korrekten Stamm-CA- und Zwischen-CA-Zertifikate installiert haben, wenn Sie Ihre eigenen Zertifikate verwenden.

Zertifikatsverwaltung
April 6, 2026
Beitrag von: 
C C
April 6, 2026
Beitrag von: 
C C

In diesem Artikel

Feedback zur Site | Your privacy choices footer linkIhre Datenschutzauswahl | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.