Produktdokumentation
Citrix DaaS
PDF anzeigen

Zertifikatverwaltung

September 15, 2025
Beitrag von: 
C

Übersicht

HDX Direct-Verbindungen sind durch Verschlüsselung auf Netzwerkebene gesichert. Um dies zu ermöglichen, verfügt jeder Sitzungshost über ein eindeutiges selbstsigniertes CA-Stammzertifikat und ein entsprechendes Serverzertifikat, das vom selbstsignierten CA-Stammzertifikat signiert ist.

Diese Lösung bietet folgende Vorteile:

  • Optimierte Sicherheit: HDX Direct-Verbindungen werden ohne den Verwaltungsaufwand für die Verwaltung von Zertifikaten innerhalb der Umgebung gesichert.
  • Reduzierte Angriffsfläche: Die Angriffsfläche ist auf einen einzelnen Host beschränkt, da jeder Host über einen einzigartigen Satz von Schlüsseln und Zertifikaten verfügt.
  • Verbesserte Sicherheit für nicht persistente Umgebungen: In Umgebungen mit nicht persistenten Sitzungshosts wird die Sicherheit weiter verbessert, da beim Neustart neue Schlüssel und Zertifikate generiert werden.

Sitzungshost

Der Citrix ClxMtp-Dienst und der Citrix Certificate Manager-Dienst sind die beiden Dienste, die für die Verwaltung der Zertifikate auf jedem Sitzungshost verantwortlich sind. Der ClxMtp-Dienst übernimmt die Schlüsselgenerierung und -rotation, während der Certificate Manager-Dienst die Zertifikate generiert und verwaltet.

Es werden zwei Zertifikate erstellt: eine selbstsignierte Stammzertifizierungsstelle und ein Serverzertifikat. Beide werden mit einer Gültigkeitsdauer von zwei Jahren ausgegeben, jedoch bei einer Schlüsselrotation ausgetauscht. Darüber hinaus werden bei jedem Neustart nicht persistenter Maschinen neue Zertifikate generiert.

Die Einzelheiten zu den einzelnen Zertifikaten lauten wie folgt:

  • Selbstsignierte Stammzertifizierungsstelle
    • Ausgestellt für: CA-Citrix-Certificate-Manager
    • Ausgestellt von: CA-Citrix-Certificate-Manager
    • Angaben zum Aussteller: Die Organisation ist Citrix Systems, Inc.
  • Serverzertifikat
    • Ausgestellt für: <Host-FQDN> (Beispiel: FTLW11-001.ctxlab.net)
    • Ausgestellt von: CA-Citrix-Certificate-Manager
    • Angaben zum Aussteller: Die Organisation ist Citrix Systems, Inc.

HINWEIS:

Citrix Certificate Manager Service generiert RSA-Zertifikate, die 2048-Bit-Schlüssel nutzen.

Ist ein von Citrix Certificate Manager Service erstelltes Maschinenzertifikat vorhanden und der Antragstellername stimmt nicht mit dem Maschinen-FQDN überein, wird ein neues Zertifikat generiert.

Schlüsselrotation

Der Citrix ClxMtp-Dienst rotiert die Schlüssel automatisch alle sechs Monate. Sie können jedoch eine Schlüsselrotation manuell auslösen, indem Sie den Rotationszähler in der Registrierung des Sitzungshosts erhöhen.

Aktualisieren Sie zum Rotieren der Schlüssel den folgenden Wert:

  • Schlüssel: SOFTWARE\Citrix\ClxMtpConnectorSvcRotateKeyPairs
  • Werttyp: DWORD
  • Wertname: ClxMtpRotateRequestCounter
  • Daten: Ganzzahl (Dezimal)

HINWEIS:

Für die erstmalige Schlüsselrotation:

  1. Erstellen Sie den Schlüssel ClxMtpConnectorSvcRotateKeyPairs.
  2. Erstellen Sie den ClxMtpRotateRequestCounter-Wert und setzen Sie ihn auf 1.

Erhöhen Sie für nachfolgende Schlüsselrotationen den ClxMtpRotateRequestCounter-Wert um 1.

Sobald der Wert aktualisiert ist, rotiert der Citrix ClxMtp-Dienst die Schlüssel automatisch, ohne dass ein Neustart erforderlich ist. Der Citrix Certificate Manager Service generiert dann automatisch neue Zertifikate, sobald er neue Schlüssel erkennt.

Clientgerät

Das Stamm-CA-Zertifikat wird von Workspace oder Storefront über den bereits eingerichteten sicheren und vertrauenswürdigen Verbindungspfad an den Client gesendet. Dadurch entfällt die Notwendigkeit, CA-Zertifikate an die Zertifikatsspeicher der Clientgeräte zu verteilen, und es wird sichergestellt, dass der Client den Zertifikaten vertraut, die zum Sichern der HDX Direct-Verbindung verwendet werden.

Benutzerdefinierte Zertifikate verwenden

HDX Direct unterstützt die Verwendung von Zertifikaten, die von Ihrer eigenen PKI ausgestellt und verwaltet werden. Die folgenden Schritte beschreiben, wie Sie Ihr Zertifikat installieren, die erforderlichen Berechtigungen konfigurieren, es an den Sitzungsmanagerdienst binden und die erforderlichen TLS-Listener aktivieren.

  1. Fahren Sie mit Schritt 2 fort, wenn HDX Direct auf der Maschine deaktiviert ist. Wenn HDX Direct aktiviert ist, führen Sie die folgenden Schritte aus:
    1. Öffnen Sie den Registrierungseditor (regedit.exe) und navigieren Sie zu HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
    2. Setzen Sie den Wert SSLEnabled auf 0.
    3. Navigieren Sie zu HKLM\Software\Citrix\HDX-Direct.
    4. Setzen Sie den Wert HdxDirectCaInTls auf 0.

  2. Installieren Sie das entsprechende, von Ihrer PKI ausgestellte Zertifikat im Zertifikatsspeicher der Maschine.

  3. Gewähren Sie dem Sitzungsmanagerdienst Lesezugriff auf die privaten Schlüssel des Zertifikats.
    1. Starten Sie die Microsoft-Verwaltungskonsole (MMC): Start > Ausführen > mmc.exe.
    2. Navigieren Sie zu Datei > Snap-In hinzufügen/entfernen.
    3. Wählen Sie Zertifikate und klicken Sie dann auf Hinzufügen.
    4. Wählen Sie Computerkonto und klicken Sie auf Weiter.
    5. Wählen Sie Lokaler Computer und klicken Sie auf Fertigstellen.
    6. Navigieren Sie zu Zertifikate (Lokaler Computer) > Persönlich > Zertifikate.
    7. Klicken Sie mit der rechten Maustaste auf das entsprechende Zertifikat und wählen Sie Alle Aufgaben > Private Schlüssel verwalten.
    8. Fügen Sie einen der folgenden Dienste hinzu und geben Sie ihm Lesezugriff:
      • Für Einzelsitzungs-VDA: NT SERVICE\PorticaService
      • Für Multisitzungs-VDA: NT SERVICE\TermService
    9. Klicken Sie auf Übernehmen und dann auf OK.
  4. Binden Sie das Zertifikat an den Sitzungsmanagerdienst.
    1. Rufen Sie den Fingerabdruck des Zertifikats ab (doppelklicken Sie auf das Zertifikat > Details > Fingerabdruck).
    2. Öffnen Sie den Registrierungseditor (regedit.exe) und navigieren Sie zu HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
    3. Bearbeiten Sie den Wert SSLThumbprint und fügen Sie den Fingerabdruck des Zertifikats ein.
  5. Aktivieren Sie die Citrix TLS-Listener.
    1. Setzen Sie am selben Registrierungsspeicherort den Wert SSLEnabled auf 1.
  6. Aktivieren Sie HDX Direct (in Citrix-Richtlinie).

Das Installationsmedium von Citrix Virtual Apps and Desktops enthält ein PowerShell-Skript (Enable-VdaSSL.ps1), das mehrere dieser Aufgaben automatisiert:

  • Festlegen von Berechtigungen für die Schlüssel des Zertifikats
  • Binden des Zertifikats an den Sitzungsmanagerdienst
  • Aktivieren der Citrix TLS-Listener

Dieses Skript befindet sich im Verzeichnis Support > Tools > SslSupport. Weitere Einzelheiten finden Sie unter TLS auf einem VDA mit dem PowerShell-Skript konfigurieren.

HINWEIS:

Wenn Sie Ihre eigenen Zertifikate verwenden, müssen auf den Geräten, die eine Verbindung zu den Sitzungshosts herstellen, die richtigen Stamm-CA- und Zwischen-CA-Zertifikate installiert sein.

Zertifikatverwaltung
September 15, 2025
Beitrag von: 
C
September 15, 2025
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Your privacy choices footer linkIhre Datenschutzauswahl | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.