Documentação de produtos
Citrix Virtual Apps and Desktops
Service Current Release 2402 LTSR 2311 2308 2305 2303 2212 2209 2206 2203 LTSR 1912 LTSR
Ver PDF

Gerenciamento de certificados

April 27, 2026
Contribuição de: 
C C

Visão geral

As conexões HDX™ Direct são protegidas com criptografia em nível de rede. Para facilitar isso, cada host de sessão tem um certificado raiz de CA autoassinado exclusivo e um certificado de servidor correspondente, que é assinado pelo certificado raiz de CA autoassinado.

Esta solução oferece as seguintes vantagens:

  • Segurança simplificada: As conexões HDX Direct são protegidas sem a sobrecarga administrativa de gerenciar certificados no ambiente.
  • Superfície de ataque reduzida: A superfície de ataque é limitada a um único host porque cada host tem um conjunto exclusivo de chaves e certificados.
  • Segurança aprimorada para ambientes não persistentes: Em ambientes com hosts de sessão não persistentes, a segurança é ainda mais aprimorada, pois novas chaves e certificados são gerados a cada reinício.

Host de sessão

O Citrix ClxMtp Service e o Citrix Certificate Manager Service são os dois serviços responsáveis pelo gerenciamento de certificados em cada host de sessão. O ClxMtp Service lida com a geração e rotação de chaves, enquanto o Certificate Manager Service gera e gerencia os certificados.

Dois certificados são criados: um CA raiz autoassinado e um certificado de servidor. Ambos são emitidos com um período de validade de dois anos; no entanto, eles são substituídos quando as chaves são rotacionadas. Além disso, novos certificados são gerados cada vez que as máquinas não persistentes são reiniciadas.

Os detalhes de cada certificado são os seguintes:

  • CA raiz autoassinado
    • Emitido para: CA-Citrix-Certificate-Manager
    • Emitido por: CA-Citrix-Certificate-Manager
    • Detalhes do emissor: A organização é Citrix Systems, Inc.
  • Certificado de servidor
    • Emitido para: <FQDN do host> (Por exemplo, FTLW11-001.ctxlab.net)
    • Emitido por: CA-Citrix-Certificate-Manager
    • Detalhes do emissor: A organização é Citrix Systems, Inc.

OBSERVAÇÃO:

O Citrix Certificate Manager Service gera certificados RSA que utilizam chaves de 2048 bits.

Se houver um certificado de máquina existente criado pelo Citrix Certificate Manager Service e o nome do assunto não corresponder ao FQDN da máquina, um novo certificado será gerado.

Rotação de chaves

O Citrix ClxMtp Service rotaciona as chaves automaticamente a cada seis meses. No entanto, você pode acionar uma rotação de chaves manualmente aumentando o contador de rotação no registro do host de sessão.

Para rotacionar as chaves, atualize o seguinte valor:

  • Chave: SOFTWARE\Citrix\ClxMtpConnectorSvcRotateKeyPairs
  • Tipo de valor: DWORD
  • Nome do valor: ClxMtpRotateRequestCounter
  • Dados: inteiro (Decimal)

OBSERVAÇÃO:

Para a primeira rotação de chaves:

  1. Crie a chave ClxMtpConnectorSvcRotateKeyPairs.
  2. Crie e defina o valor ClxMtpRotateRequestCounter como 1.

Para rotações de chaves subsequentes, aumente o valor ClxMtpRotateRequestCounter em 1.

Uma vez que o valor é atualizado, o Citrix ClxMtp Service rotacionará automaticamente as chaves sem exigir uma reinicialização. O Citrix Certificate Manager Service então gerará novos certificados automaticamente assim que detectar novas chaves.

Dispositivo cliente

O certificado CA raiz é enviado ao cliente pelo Workspace ou Storefront™ através do caminho de conexão seguro e confiável já estabelecido. Isso elimina a necessidade de distribuir certificados CA para os armazenamentos de certificados dos dispositivos cliente e garante que o cliente confie nos certificados usados para proteger a conexão HDX Direct.

Usando certificados personalizados

O HDX Direct oferece suporte ao uso de certificados emitidos e gerenciados pela sua própria PKI. As etapas a seguir descrevem como instalar seu certificado, configurar as permissões necessárias, vinculá-lo ao serviço de gerenciador de sessão e habilitar os ouvintes TLS necessários.

  1. Prossiga para a etapa 2 se o HDX Direct estiver desabilitado na máquina. Se o HDX Direct estiver habilitado, siga as etapas abaixo:
    1. Abra o editor de registro (regedit.exe) e navegue até HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
    2. Defina o valor SSLEnabled como 0.
    3. Navegue até HKLM\Software\Citrix\HDX-Direct.
    4. Defina o valor HdxDirectCaInTls como 0.

  2. Instale o certificado apropriado emitido pela sua PKI no armazenamento de certificados da máquina.

  3. Conceda ao serviço de gerenciador de sessão acesso de leitura às chaves privadas do certificado.
    1. Inicie o console de gerenciamento da Microsoft (MMC): Iniciar > Executar > mmc.exe.
    2. Navegue até Arquivo > Adicionar/Remover Snap-in.
    3. Selecione “Certificados” e clique em “Adicionar”.
    4. Escolha “Conta de computador” e clique em “Avançar”.
    5. Selecione “Computador local” e clique em “Concluir”.
    6. Navegue até “Certificados (Computador Local) > Pessoal > Certificados”.
    7. Clique com o botão direito do mouse no certificado apropriado e selecione “Todas as Tarefas > Gerenciar Chaves Privadas”.
    8. Adicione um dos seguintes serviços e conceda a ele acesso de Leitura:
      • Para VDA de Sessão Única: NT SERVICE\PorticaService
      • Para VDA de Múltiplas Sessões: NT SERVICE\TermService
    9. Clique em “Aplicar” e depois em “OK”.
  4. Vincule o certificado ao serviço de gerenciador de sessão.
    1. Recupere o thumbprint do certificado (clique duas vezes no certificado > “Detalhes” > “Thumbprint”).
    2. Abra o editor de registro (regedit.exe) e navegue até HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.
    3. Edite o valor SSLThumbprint e cole o thumbprint do certificado.
  5. Habilite os ouvintes TLS da Citrix.
    1. No mesmo local de registro, defina o valor SSLEnabled como 1.
  6. Habilite o HDX Direct (na política da Citrix).

A mídia de instalação do Citrix Virtual Apps and Desktops inclui um script PowerShell (Enable-VdaSSL.ps1) que automatiza várias dessas tarefas:

  • Definição de permissões para as chaves do certificado
  • Vinculação do certificado ao serviço de gerenciador de sessão
  • Habilitação dos ouvintes TLS da Citrix

Este script está localizado no diretório Support > Tools > SslSupport. Para obter mais detalhes, consulte Configurar TLS em um VDA usando o script PowerShell.

OBSERVAÇÃO:

Os dispositivos que se conectam aos hosts de sessão precisam ter os certificados CA raiz e CA intermediário corretos instalados se você estiver usando seus próprios certificados.

Gerenciamento de certificados
April 27, 2026
Contribuição de: 
C C
April 27, 2026
Contribuição de: 
C C

Neste artigo

Feedback do site | Your privacy choices footer linkSuas escolhas de privacidade | Privacidade e termos legais | Preferências de cookies | Configurações de consentimento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.