Produktdokumentation
Citrix Virtual Apps and Desktops
Service Current Release 2402 LTSR 2311 2308 2305 2303 2212 2209 2206 2203 LTSR 1912 LTSR
PDF anzeigen

Aktivieren Sie TLS in Web Studio und Director

May 22, 2025
Beitrag von: 
C

Wir empfehlen, immer TLS zu verwenden, um Verbindungen zu Web Studio und Director durch Aktivieren von HTTPS zu sichern. In diesem Artikel wird erläutert, wie Sie Web Studio und Director so konfigurieren, dass sie ein vertrauenswürdiges Zertifikat verwenden und einen sicheren Zugriff über HTTPS gewährleisten.

Standardverhalten

Wenn Sie Web Studio installieren, erstellt das Installationsprogramm ein selbstsigniertes Zertifikat und bindet es an Port 443 auf dem aktuellen Server. Sie können über HTTPS auf dem lokalen Server von einem Webbrowser aus auf Web Studio und Director zugreifen.

Wenn Sie jedoch versuchen, von einem anderen Computer über HTTPS auf Web Studio oder Director zuzugreifen, zeigt der Browser einen Sicherheitsfehler an, da er dem Zertifikat nicht vertraut.

Hinweis:

Wenn Sie Director ohne Web Studio installieren, erstellt das Installationsprogramm kein selbstsigniertes Zertifikat.

Aktivieren Sie den sicheren Zugriff über HTTPS

Um den Zugriff auf Web Studio oder Director über HTTPS von anderen Computern als dem Web Studio-Server zuzulassen, führen Sie die folgenden Schritte aus:

  1. Erstellen oder importieren Sie ein vertrauenswürdiges Zertifikat.

  2. Binden Sie das Zertifikat an Port 443 in IIS.

  3. (Optional) Aktivieren Sie HTTP Strict Transport Security (HSTS).

  4. Wenn Web Studio nicht als Proxy konfiguriert ist (Client-Computer stellen sowohl eine Verbindung zu Web Studio als auch zu den Delivery Controllern her), aktivieren Sie TLS auf den Delivery Controllern.

Hinweis:

Die Verwendung des selbstsignierten Zertifikats wird nicht empfohlen, da es eine manuelle Konfiguration auf jedem Computer erfordert. Weitere Informationen finden Sie unter Verwenden Sie das selbstsignierte Zertifikat.

Erstellen oder Importieren eines vertrauenswürdigen Zertifikats

Wir empfehlen die Verwendung eines Zertifikats einer Unternehmens- oder öffentlichen Zertifizierungsstelle, dem die mit dem Server verbundenen Computer vertrauen.

Weitere Informationen finden Sie unter Neues Zertifikat erstellen und Vorhandenes Zertifikat importieren. Der allgemeine Name oder der alternative Antragstellername des Zertifikats muss mit dem FQDN übereinstimmen, den die Benutzer für die Verbindung mit Web Studio oder Director verwenden. Wenn vor dem Server ein Load Balancer bereitgestellt wird, verwenden Sie den FQDN des Load Balancers.

Binden Sie das Zertifikat an Port 443

Nachdem Sie ein vertrauenswürdiges Zertifikat erstellt oder importiert haben, binden Sie es an Port 443 in IIS. Sie können dies entweder vor oder nach der Installation tun. Wenn die Zertifikatsbindung für Port 443bereits konfiguriert ist, nimmt das Installationsprogramm keine Änderungen vor.

Hinweis:

Standardmäßig verwenden Web Studio und Director Port 443 für sicheren HTTPS-Zugriff. Sie können die Portnummer bei Bedarf ändern. Weitere Einzelheiten finden Sie unter Ändern der Standard-Portnummer .

Um das Zertifikat an Port 443zu binden, führen Sie diese Schritte aus:

  1. Melden Sie sich als Administrator beim Server an.

  2. Öffnen Sie den IIS-Manager und navigieren Sie zu Sites > Default Web Site > Bindings.

  3. Wenn eine vorhandene Bindung vom Typ https vorhanden ist, wählen Sie sie aus und klicken Sie auf Bearbeiten…. Wenn keine https -Bindung vorhanden ist, klicken Sie auf Hinzufügen.

    Screenshot, der zeigt, wie Site-Bindungen geöffnet werden

  4. Erstellen oder bearbeiten Sie die Site-Bindung:

    1. Für eine neue Bindung legen Sie den Typ auf https und den Port auf 443fest.

    2. Wählen Sie das entsprechende SSL-Zertifikat aus.

    3. Wählen Sie unter Windows Server 2022 oder höher optional Legacy-TLS deaktivieren aus, um sicherzustellen, dass Benutzer nur mit modernen TLS-Versionen eine Verbindung herstellen können.

    4. Klicken Sie auf OK.

    Sitebindung hinzufügen

Alternativ können Sie das Zertifikat mit PowerShell ändern. Beispielsweise sucht das folgende Skript nach einem Zertifikat mit einem bestimmten allgemeinen Namen, bindet es an alle IP-Adressen, Port 443 und deaktiviert ältere TLS-Versionen.

  $certSName = 'CN=whpdevddc0.bvttree.local'  # The subject name of the certificate
  $certificate = Get-ChildItem -Path Cert:\LocalMachine\My\ | ?   {$_.Subject -eq $certSName}
  netsh http add sslcert ipport=0.0.0.0:443 certhash=$($certificate.Thumbprint) certstorename=My appid="{91fe7386-e0c2-471b-a252-1e0a805febac}" disablelegacytls=enable
<!--NeedCopy-->

Beachten Sie, dass appid eine beliebige GUID ist, mit der identifiziert werden kann, welche Anwendung das Zertifikat hinzugefügt hat.

Verwenden Sie das selbstsignierte Zertifikat

Sie können das vorhandene selbstsignierte Zertifikat verwenden, dies wird jedoch nicht empfohlen, da hierfür jede Maschine, die auf den Server zugreift, manuell konfiguriert werden muss.

So installieren Sie das selbstsignierte Zertifikat auf Computern, die eine Verbindung mit Web Studio herstellen müssen:

  1. Exportieren Sie das vorhandene selbstsignierte Zertifikat von den Web Studio- und Delivery Controller-Servern.
  2. Importieren Sie das Zertifikat in den Speicher vertrauenswürdiger Stammzertifikate der Maschinen, die auf den Server zugreifen müssen.

(Optional) Aktivieren Sie HTTP Strict Transport Security (HSTS)

HTTP Strict Transport Security (HSTS) weist Webbrowser an, beim Zugriff auf die Site nur HTTPS zu verwenden. Versucht ein Nutzer, die URL per HTTP aufzurufen, wechselt der Browser automatisch zu HTTPS. Diese Einstellung gewährleistet eine sichere Verbindungsvalidierung sowohl auf der Client- als auch auf der Serverseite. Der Browser behält diese Validierung für den konfigurierten Zeitraum bei.

Unter Windows Server 2019 und höher können Sie HSTS in IIS konfigurieren:

  1. Öffnen Sie Internetinformationsdienste (IIS)-Manager.
  2. Wählen Sie Standardwebsite (oder die entsprechende Website).
  3. Wählen Sie im Bereich Aktionen auf der rechten Seite HSTS…aus.
  4. Wählen Sie . Aktivieren Sie und geben Sie ein Höchstalter ein, z. B. 31536000 für ein Jahr.
  5. Wählen Sie „HTTP auf HTTPS umleiten“. > Hinweis: > > Web Studio konfiguriert automatisch eine URL-Rewrite-Regel , um beim Zugriff auf die Studio-Website HTTP auf HTTPS umzuleiten. Diese Option gilt jedoch auch für Director und alle anderen Anwendungen auf der IIS-Site.

  6. Klicken Sie auf OK.

    Screenshot der HSTS-Einstellung

(Optional) Ändern Sie die Standard-Portnummer

Standardmäßig verwenden Web Studio und Director Port 443 für sicheren HTTPS-Zugriff. Um diese Portnummer zu ändern, befolgen Sie diese Schritte, um eine Sitebindung für den gewünschten Port auf Standard-Website zu erstellen.

Schritte:

  1. Öffnen Sie auf dem Server, auf dem Web Studio gehostet wird, Internet Information Services (IIS) Manager.

  2. Erweitern Sie im Bereich Verbindungen den Serverknoten und wählen Sie Standardwebsite unter Sites aus.

  3. Klicken Sie im Bereich Aktionen rechts auf Bindungen.

    Neuen Port festlegen

  4. Klicken Sie im Fenster Sitebindungen auf Hinzufügen.

  5. Legen Sie im Fenster “Sitebindung hinzufügen” Folgendes für die neue Bindung fest:

    1. Geben Sie ein: Wählen Sie https.
    2. IP-Adresse: Wählen Sie die entsprechende IP-Adresse aus oder belassen Sie sie ggf. auf “Alle nicht zugewiesen”.
    3. Port: Geben Sie die gewünschte Portnummer ein (z. B. 444).
    4. SSL-Zertifikat: Wählen Sie das entsprechende SSL-Zertifikat für die sichere Kommunikation aus.

    Hinweis:

    Wenn der Delivery Controller und Web Studio auf separaten Computern installiert und auf dem Server keine anderen Dienste oder Websites bereitgestellt sind, können Sie Port 443 entfernen. Behalten Sie andernfalls diesen Port bei, um Kommunikationsprobleme mit dem Orchestrierungsdienst und anderen FMA-Diensten zu vermeiden.

  6. Klicken Sie auf OK , um die Bindung zu speichern, und schließen Sie dann das Fenster Sitebindungen.

  7. Klicken Sie in IIS-Manager auf den Serverknoten und dann im Bereich Aktionen auf Neu starten, um die neue Bindung anzuwenden.

(Optional) HTTPS-Umleitung deaktivieren

Wenn Sie Web Studio installieren, wird jeder HTTP-Zugriff standardmäßig automatisch auf HTTPS umgeleitet. Es ist möglich, diese Umleitung zu deaktivieren, um HTTP-Zugriff zu ermöglichen. Dieser Ansatz wird nur empfohlen, wenn Sie andere Maßnahmen zum Blockieren des HTTP-Zugriffs ergriffen haben. Falls Sie vor Web Studio einen TLS-terminierenden Lastenausgleich haben, wird dennoch empfohlen, HTTPS zwischen Ihrem Lastenausgleich und Web Studio zu verwenden.

  1. Melden Sie sich beim Web Studio-Server an.
  2. Öffnen Sie Internetinformationsdienste (IIS)-Managerund gehen Sie zu Servername > Sites > Standardwebsite > URL-Umschreibung.

  3. Deaktivieren Sie Eingehende Regeln für Umleitung auf https, wie im folgenden Screenshot gezeigt.

    HTTPS-Umleitung deaktivieren

Wenn Sie HSTS in IIS aktiviert haben, müssen Sie auch Redirect Http to Httpsdeaktivieren.

Aktivieren Sie TLS in Web Studio und Director
May 22, 2025
Beitrag von: 
C
May 22, 2025
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Your privacy choices footer linkIhre Datenschutzauswahl | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.