Documentación de productos
Citrix DaaS™
Ver PDF

Gestión de certificados

April 6, 2026
Contribución de: 
C C

Información general

Las conexiones directas de HDX™ se protegen con cifrado de nivel de red. Para facilitar esto, cada host de sesión tiene un certificado de CA raíz autofirmado único y un certificado de servidor correspondiente, que está firmado por el certificado de CA raíz autofirmado.

Esta solución ofrece las siguientes ventajas:

  • Seguridad optimizada: Las conexiones directas de HDX se protegen sin la sobrecarga administrativa de gestionar certificados en el entorno.
  • Superficie de ataque reducida: La superficie de ataque se limita a un solo host porque cada host tiene un conjunto único de claves y certificados.
  • Seguridad mejorada para entornos no persistentes: En entornos con hosts de sesión no persistentes, la seguridad se mejora aún más, ya que se generan nuevas claves y certificados al reiniciar.

Host de sesión

Los servicios Citrix ClxMtp Service y Citrix Certificate Manager Service son los dos servicios responsables de gestionar los certificados en cada host de sesión. El servicio ClxMtp se encarga de la generación y rotación de claves, mientras que el servicio Certificate Manager genera y gestiona los certificados.

Se crean dos certificados: una CA raíz autofirmada y un certificado de servidor. Ambos se emiten con un período de validez de dos años; sin embargo, se reemplazan cuando se rotan las claves. Además, se generan nuevos certificados cada vez que se reinician las máquinas no persistentes.

Los detalles de cada certificado son los siguientes:

  • CA raíz autofirmada
    • Emitido a: CA-Citrix-Certificate-Manager
    • Emitido por: CA-Citrix-Certificate-Manager
    • Detalles del emisor: La organización es Citrix Systems, Inc.
  • Certificado de servidor
    • Emitido a: <FQDN del host> (Por ejemplo, FTLW11-001.ctxlab.net)
    • Emitido por: CA-Citrix-Certificate-Manager
    • Detalles del emisor: La organización es Citrix Systems, Inc.

NOTA:

El servicio Citrix Certificate Manager Service genera certificados RSA que aprovechan claves de 2048 bits.

Si existe un certificado de máquina creado por el servicio Citrix Certificate Manager Service y el nombre del sujeto no coincide con el FQDN de la máquina, se genera un nuevo certificado.

Rotación de claves

El servicio Citrix ClxMtp Service rota automáticamente las claves cada seis meses. Sin embargo, puedes activar una rotación de claves manualmente aumentando el contador de rotación en el registro del host de sesión.

Para rotar las claves, actualiza el siguiente valor:

  • Clave: SOFTWARE\Citrix\ClxMtpConnectorSvcRotateKeyPairs
  • Tipo de valor: DWORD
  • Nombre del valor: ClxMtpRotateRequestCounter
  • Datos: entero (Decimal)

NOTA:

Para la primera rotación de claves:

  1. Crea la clave ClxMtpConnectorSvcRotateKeyPairs.
  2. Crea y establece el valor ClxMtpRotateRequestCounter en 1.

Para rotaciones de claves posteriores, aumenta el valor ClxMtpRotateRequestCounter en 1.

Una vez actualizado el valor, el servicio Citrix ClxMtp Service rotará automáticamente las claves sin necesidad de reiniciar. El servicio Citrix Certificate Manager Service generará nuevos certificados automáticamente una vez que detecte nuevas claves.

Dispositivo cliente

El certificado de CA raíz se envía al cliente mediante Workspace o Storefront™ a través de la ruta de conexión segura y de confianza ya establecida. Esto elimina la necesidad de distribuir certificados de CA a los almacenes de certificados de los dispositivos cliente y garantiza que el cliente confíe en los certificados utilizados para proteger la conexión directa de HDX.

Uso de certificados personalizados

HDX Direct admite el uso de certificados emitidos y gestionados por tu propia PKI. Los siguientes pasos describen cómo instalar tu certificado, configurar los permisos necesarios, vincularlo al servicio de administrador de sesiones y habilitar los oyentes TLS requeridos.

  1. Continúa con el paso 2 si HDX Direct está deshabilitado en la máquina. Si HDX Direct está habilitado, sigue los pasos a continuación:
    1. Abre el editor del Registro (regedit.exe) y navega hasta HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
    2. Establece el valor SSLEnabled en 0.
    3. Navega hasta HKLM\Software\Citrix\HDX-Direct.
    4. Establece el valor HdxDirectCaInTls en 0.

  2. Instala el certificado apropiado emitido por tu PKI en el almacén de certificados de la máquina.

  3. Concede al servicio de administrador de sesiones acceso de lectura a las claves privadas del certificado.
    1. Inicia la consola de administración de Microsoft (MMC): Inicio > Ejecutar > mmc.exe.
    2. Navega hasta Archivo > Agregar o quitar complemento.
    3. Selecciona Certificados y, a continuación, haz clic en Agregar.
    4. Elige Cuenta de equipo y haz clic en Siguiente.
    5. Selecciona Equipo local y haz clic en Finalizar.
    6. Navega hasta Certificados (equipo local) > Personal > Certificados.
    7. Haz clic con el botón derecho en el certificado apropiado y selecciona Todas las tareas > Administrar claves privadas.
    8. Agrega uno de los siguientes servicios y concédele acceso de lectura:
      • Para VDA de sesión única: NT SERVICE\PorticaService
      • Para VDA de varias sesiones: NT SERVICE\TermService
    9. Haz clic en Aplicar y, a continuación, en Aceptar.
  4. Vincula el certificado al servicio de administrador de sesiones.
    1. Recupera la huella digital del certificado (haz doble clic en el certificado > Detalles > Huella digital).
    2. Abre el editor del Registro (regedit.exe) y navega hasta HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
    3. Edita el valor SSLThumbprint y pega la huella digital del certificado.
  5. Habilita los oyentes TLS de Citrix.
    1. En la misma ubicación del Registro, establece el valor SSLEnabled en 1.
  6. Habilita HDX Direct (en la directiva de Citrix).

El medio de instalación de Citrix Virtual Apps and Desktops incluye un script de PowerShell (Enable-VdaSSL.ps1) que automatiza varias de estas tareas:

  • Establecer permisos para las claves del certificado
  • Vincular el certificado al servicio de administrador de sesiones
  • Habilitar los oyentes TLS de Citrix

Este script se encuentra en el directorio Support > Tools > SslSupport. Para obtener más detalles, consulta Configurar TLS en un VDA mediante el script de PowerShell.

NOTA:

Los dispositivos que se conectan a los hosts de sesión deben tener instalados los certificados de CA raíz y CA intermedia correctos si utilizas tus propios certificados.

Gestión de certificados
April 6, 2026
Contribución de: 
C C
April 6, 2026
Contribución de: 
C C

En este artículo

Comentarios sobre el sitio | Your privacy choices footer linkSus opciones de privacidad | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.