Documentation produit
Citrix DaaS
Voir PDF

Gestion des certificats

September 15, 2025
Contributeur: 
C

Vue d’ensemble

Les connexions HDX directes sont sécurisées par un cryptage au niveau du réseau. Pour faciliter ce procédé, chaque hôte de session dispose d’un certificat CA racine auto-signé unique et d’un certificat de serveur correspondant, lui-même signé par le certificat CA racine auto-signé.

Cette solution offre les avantages suivants :

  • Sécurité simplifiée : les connexions HDX Direct sont sécurisées sans la charge administrative inhérente à la gestion des certificats au sein de l’environnement.
  • Surface d’attaque réduite : la surface d’attaque est limitée à un seul hôte, car chaque hôte possède un ensemble unique de clés et de certificats.
  • Sécurité renforcée dans les environnements non persistants : dans les environnements composés d’hôtes de session non persistants, la sécurité est renforcée à mesure que de nouvelles clés et de nouveaux certificats sont générés au redémarrage.

Hôte de la session

Citrix ClxMtp et Citrix Certificate Manager sont les deux services responsables de la gestion des certificats sur chaque hôte de session. Le service ClxMtp se charge de la génération et de la rotation des clés, tandis que le service Certificate Manager génère et gère les certificats.

Deux certificats sont créés : un certificat d’autorité de certification racine auto-signé et un certificat de serveur. Les deux sont délivrés avec une période de validité de deux ans, mais sont remplacés lors de la rotation des clés. De plus, de nouveaux certificats sont générés à chaque redémarrage de machines non persistantes.

Les détails de chaque certificat sont les suivants :

  • Autorité de certification racine auto-signée
    • Délivré à : CA-Citrix-Certificate-Manager
    • Émis par : CA-Citrix-Certificate-Manager
    • Informations sur l’émetteur : l’entreprise est Citrix Systems, Inc.
  • Certificat de serveur
    • Délivré à : <Nom complet de l’hôte> (par exemple, FTLW11-001.ctxlab.net)
    • Émis par : CA-Citrix-Certificate-Manager
    • Informations sur l’émetteur : l’entreprise est Citrix Systems, Inc.

REMARQUE :

Le service Citrix Certificate Manager génère des certificats RSA qui exploitent des clés de 2 048 bits.

Si un certificat de machine existant a été créé par le service Citrix Certificate Manager et que le nom du sujet ne correspond pas au nom de domaine complet de la machine, un nouveau certificat est généré.

Rotation des clés

Le service Citrix ClxMtp effectue automatiquement une rotation des clés tous les six mois. Cependant, vous pouvez déclencher une rotation de clé manuellement en augmentant le compteur de rotation dans le registre de l’hôte de session.

Pour activer la rotation des clés, mettez à jour la valeur suivante :

  • Clé : SOFTWARE\Citrix\ClxMtpConnectorSvcRotateKeyPairs
  • Type de valeur : DWORD
  • Nom de la valeur : ClxMtpRotateRequestCounter
  • Données : entier (décimal)

REMARQUE :

Pour la première rotation des clés :

  1. Créez la clé ClxMtpConnectorSvcRotateKeyPairs.
  2. Créez et définissez la valeur ClxMtpRotateRequestCounter sur 1.

Pour les rotations de clés suivantes, augmentez la valeur ClxMtpRotateRequestCounter de 1.

Une fois la valeur mise à jour, le service Citrix ClxMtp exécutera automatiquement la rotation des clés sans nécessiter de redémarrage. Le service Citrix Certificate Manager générera alors de nouveaux certificats automatiquement une fois qu’il détectera de nouvelles clés.

Machine cliente

Le certificat CA racine est envoyé au client par Workspace ou Storefront via le chemin de connexion sécurisé et fiable déjà établi. Avec ce procédé, il n’est plus nécessaire de distribuer les certificats CA aux magasins de certificats des machines clientes et la fiabilité des certificats utilisés pour sécuriser les connexions HDX Direct est garantie.

Utilisation de certificats personnalisés

HDX Direct prend en charge l’utilisation de certificats émis et gérés par votre propre PKI. Les étapes suivantes décrivent comment installer votre certificat, configurer les autorisations nécessaires, le lier au service gestionnaire de session et activer les écouteurs TLS requis.

  1. Si HDX Direct est désactivé sur la machine, passez à l’étape 2. Si HDX Direct est activé, suivez les étapes ci-dessous :
    1. Ouvrez l’éditeur de registre (regedit.exe) et accédez à HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
    2. Définissez la valeur SSLEnabled sur 0.
    3. Accédez à HKLM\Software\Citrix\HDX-Direct.
    4. Définissez la valeur HdxDirectCaInTls sur 0.

  2. Installez le certificat approprié émis par votre PKI sur le magasin de certificats de la machine.

  3. Accordez au service gestionnaire de session un accès en lecture aux clés privées du certificat.
    1. Lancez la console de gestion Microsoft (MMC) : Démarrer > Exécuter > mmc.exe.
    2. Accédez à Fichier > Ajouter/Supprimer un composant logiciel enfichable.
    3. Sélectionnez Certificats, puis cliquez sur Ajouter.
    4. Choisissez Compte d’ordinateur et cliquez sur Suivant.
    5. Sélectionnez Ordinateur local et cliquez sur Terminer.
    6. Accédez à Certificats (ordinateur local) > Personnel > Certificats.
    7. Faites un clic droit sur le certificat approprié et sélectionnez Toutes les tâches > Gérer les clés privées.
    8. Ajoutez l’un des services suivants et accordez-lui un accès en lecture :
      • Pour VDA mono-session : NT SERVICE\PorticaService
      • Pour VDA multisession : SERVICE NT\TermService
    9. Cliquez sur Appliquer, puis sur OK.
  4. Liez le certificat au service gestionnaire de session.
    1. Récupérez l’empreinte du certificat (double-cliquez sur le certificat > Détails > Empreinte).
    2. Ouvrez l’éditeur de registre (regedit.exe) et accédez à HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
    3. Modifiez la valeur SSLThumbprint et collez l’empreinte numérique du certificat.
  5. Activez les écouteurs Citrix TLS.
    1. Dans le même emplacement de registre, définissez la valeur SSLEnabled sur 1.
  6. Activer HDX Direct (dans Stratégie Citrix).

Le support d’installation de Citrix Virtual Apps and Desktops inclut un script PowerShell (Enable-VdaSSL.ps1) qui automatise plusieurs de ces tâches :

  • Définition des autorisations pour les clés du certificat
  • Liaison du certificat au service gestionnaire de session
  • Activation des écouteurs Citrix TLS

Ce script se trouve dans le répertoire Support > Outils > SslSupport. Pour plus d’informations, consultez Configurer TLS sur un VDA à l’aide du script PowerShell.

REMARQUE :

Les machines se connectant aux hôtes de session doivent disposer des certificats CA racine et CA intermédiaire appropriés installés si vous utilisez vos propres certificats.

Gestion des certificats
September 15, 2025
Contributeur: 
C
September 15, 2025
Contributeur: 
C

Dans cet article

Commentaires sur le site | Your privacy choices footer linkVos préférences de confidentialité | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.