Documentazione dei prodotti
Citrix Virtual Apps and Desktops
Service Current Release 2402 LTSR 2311 2308 2305 2303 2212 2209 2206 2203 LTSR 1912 LTSR
Visualizza PDF

Abilita TLS su Web Studio e Director

April 17, 2025
Grazie al contributo di: 
C

Consigliamo di utilizzare sempre TLS per proteggere le connessioni a Web Studio e Director abilitando HTTPS. In questo articolo viene spiegato come configurare Web Studio e Director per utilizzare un certificato attendibile e garantire un accesso sicuro tramite HTTPS.

Comportamento predefinito

Quando si installa Web Studio, il programma di installazione crea un certificato autofirmato e lo associa alla porta 443 del server corrente. È possibile accedere a Web Studio e Director da un browser Web tramite HTTPS sul server locale.

Tuttavia, se si tenta di accedere a Web Studio o Director da un altro computer tramite HTTPS, il browser visualizza un errore di sicurezza perché non considera attendibile il certificato.

Nota:

Se si installa Director senza Web Studio, il programma di installazione non crea un certificato autofirmato.

Abilita l’accesso sicuro tramite HTTPS

Per consentire l’accesso a Web Studio o Director tramite HTTPS da computer diversi dal server Web Studio, attenersi alla seguente procedura:

  1. Crea o importa un certificato attendibile.

  2. Associa il certificato alla porta 443 in IIS.

  3. (Facoltativo) Abilita HTTP Strict Transport Security (HSTS).

  4. Se Web Studio non è configurato come proxy (i computer client si connettono sia a Web Studio sia ai Delivery Controller), abilita TLS sui Delivery Controller.

Nota:

L’utilizzo del certificato autofirmato non è consigliato perché richiede una configurazione manuale su ogni macchina. Per ulteriori informazioni, vedere Utilizzare il certificato autofirmato.

Crea o importa un certificato attendibile

Si consiglia di utilizzare un certificato rilasciato da un’autorità di certificazione pubblica o aziendale considerata attendibile dai computer che si connettono al server.

Per maggiori informazioni, vedere Crea un nuovo certificato e Importa un certificato esistente. Il nome comune o il nome alternativo del certificato deve corrispondere all’FQDN utilizzato dagli utenti per connettersi a Web Studio o Director. Se un bilanciatore di carico è distribuito davanti al server, utilizzare il nome di dominio completo (FQDN) del bilanciatore di carico.

Associa il certificato alla porta 443

Dopo aver creato o importato un certificato attendibile, associarlo alla porta 443 in IIS. Puoi farlo prima o dopo l’installazione. Se l’associazione del certificato è già configurata per la porta 443, il programma di installazione non apporta modifiche.

Nota:

Per impostazione predefinita, Web Studio e Director utilizzano la porta 443 per l’accesso HTTPS sicuro. Se necessario, è possibile modificare il numero di porta. Per maggiori dettagli, vedere Modifica il numero di porta predefinito .

Per associare il certificato alla porta 443, seguire questi passaggi:

  1. Accedi al server come amministratore.

  2. Aprire Gestione IIS e andare a Siti > Sito Web predefinito > Associazioni.

  3. Se esiste un binding di tipo https , selezionalo e fai clic su Modifica…. Se non è presente alcun binding https , fare clic su Aggiungi.

    Screenshot che evidenzia come aprire i binding del sito

  4. Crea o modifica il binding del sito:

    1. Per un nuovo binding, imposta il tipo su https e la porta su 443.

    2. Selezionare il certificato SSL appropriato.

    3. Su Windows Server 2022 o versioni successive, seleziona facoltativamente Disabilita TLS legacy per garantire che gli utenti possano connettersi solo utilizzando versioni moderne di TLS.

    4. Fare clic su OK.

    Aggiungi associazione al sito

In alternativa, è possibile modificare il certificato tramite PowerShell. Ad esempio, lo script seguente cerca un certificato con un nome comune specificato e lo associa a tutti gli indirizzi IP, alla porta 443 e disabilita le versioni legacy di TLS.

  $certSName = 'CN=whpdevddc0.bvttree.local'  # The subject name of the certificate
  $certificate = Get-ChildItem -Path Cert:\LocalMachine\My\ | ?   {$_.Subject -eq $certSName}
  netsh http add sslcert ipport=0.0.0.0:443 certhash=$($certificate.Thumbprint) certstorename=My appid="{91fe7386-e0c2-471b-a252-1e0a805febac}" disablelegacytls=enable
<!--NeedCopy-->

Si noti che appid è un GUID arbitrario che può essere utilizzato per identificare quale applicazione ha aggiunto il certificato.

Utilizzare il certificato autofirmato

È possibile utilizzare il certificato autofirmato esistente, ma non è consigliato perché richiede la configurazione manuale di ogni macchina che accede al server.

Per installare il certificato autofirmato sui computer che devono connettersi a Web Studio:

  1. Esporta il certificato autofirmato esistente dai server Web Studio e Delivery Controller.
  2. Importa il certificato nell’archivio dei certificati radice attendibili delle macchine che devono accedere al server.

(Facoltativo) Abilita HTTP Strict Transport Security (HSTS)

HTTP Strict Transport Security (HSTS) indica ai browser web di utilizzare solo HTTPS quando accedono al sito. Se un utente tenta di accedere all’URL tramite HTTP, il browser passa automaticamente a HTTPS. Questa impostazione garantisce la convalida della connessione sicura sia sul lato client che su quello server. Il browser mantiene questa convalida per il periodo configurato.

Su Windows Server 2019 e versioni successive, è possibile configurare HSTS in IIS:

  1. Apri Gestione Internet Information Services (IIS).
  2. Selezionare Sito Web predefinito (o il sito Web appropriato).
  3. Nel riquadro Azioni sul lato destro, seleziona HSTS….
  4. Seleziona Abilita e inserisci un’età massima, ad esempio 31536000 per un anno.
  5. Seleziona Reindirizza Http a Https. > Nota: > > Web Studio configura automaticamente una regola di riscrittura URL per reindirizzare HTTP a HTTPS quando si accede al sito web dello Studio. Tuttavia, questa opzione si applica anche a Director e a tutte le altre applicazioni sul sito IIS.

  6. Fare clic su OK.

    Screenshot delle impostazioni HSTS

(Facoltativo) Modifica il numero di porta predefinito

Per impostazione predefinita, Web Studio e Director utilizzano la porta 443 per l’accesso HTTPS sicuro. Per modificare questo numero di porta, segui questi passaggi per creare un binding del sito per la porta desiderata su Sito Web predefinito.

Passaggi:

  1. Sul server che ospita Web Studio, aprire Gestione Internet Information Services (IIS).

  2. Nel riquadro Connessioni , espandere il nodo del server e selezionare Sito Web predefinito in Siti.

  3. Nel riquadro Azioni sulla destra, fare clic su Associazioni.

    Imposta nuova porta

  4. Nella finestra Associazioni sito , fare clic su Aggiungi.

  5. Nella finestra Aggiungi binding sito, imposta quanto segue per il nuovo binding:

    1. Digita: Seleziona https.
    2. Indirizzo IP: seleziona l’indirizzo IP appropriato o lascia Tutti non assegnati, se applicabile.
    3. Porta: Inserisci il numero di porta desiderato (ad esempio, 444).
    4. Certificato SSL: Seleziona il certificato SSL appropriato per la comunicazione sicura.

    Nota:

    Se Delivery Controller e Web Studio sono installati su computer separati e sul server non sono distribuiti altri servizi o siti Web, è possibile rimuovere la porta 443. In caso contrario, mantieni questa porta per evitare problemi di comunicazione con il servizio di orchestrazione e altri servizi FMA.

  6. Fare clic su OK per salvare l’associazione, quindi chiudere la finestra Associazioni sito .

  7. In Gestione IIS, fare clic sul nodo del server, quindi nel riquadro Azioni fare clic su Riavvia per applicare la nuova associazione.

(Facoltativo) Disattiva il reindirizzamento HTTPS

Quando installi Web Studio, per impostazione predefinita tutti gli accessi HTTP vengono reindirizzati automaticamente a HTTPS. È possibile disattivare questa redirezione per consentire l’accesso HTTP. Questo approccio è consigliato solo se hai adottato altre misure per bloccare l’accesso HTTP. Nel caso in cui si disponga di un bilanciamento del carico con terminazione TLS davanti a Web Studio, si consiglia comunque di utilizzare HTTPS tra il bilanciatore del carico e Web Studio.

  1. Accedere al server Web Studio.
  2. Apri Gestione Internet Information Services (IIS)e vai a Nome_server > Siti > Sito Web predefinito > Riscrittura URL.

  3. Disabilitare le Regole in entrata per il reindirizzamento a https, come mostrato nello screenshot seguente.

    Disabilita il reindirizzamento HTTPS

Se hai abilitato HSTS in IIS, allora devi anche deselezionare Reindirizza Http a Https.

Abilita TLS su Web Studio e Director
April 17, 2025
Grazie al contributo di: 
C
April 17, 2025
Grazie al contributo di: 
C

In questo articolo

Feedback sito | Your privacy choices footer linkScelte di privacy | Privacy e condizioni legali | Preferenze cookie | Impostazioni di consenso | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.