VMware Horizon7 ブラウザでVMware Horizon Consoleを開くときに表示される証明書エラーを解消するには

初期にインストールされる証明書について

初期にインストールされる Horizon7 のSSLサーバ証明書はSANs対応になっていません。

Connection Server内に保存されている証明書をSANs証明書に更新することになります。

VMwareのknowledgeにWindows Server 2016 Standardで作成するSSL証明書の手順がありますが、手順通りに作成してもSANs証明書が作成されませんでした。

参考VMware Knowledge Base VMware Horizon View で Microsoft Certreq を使用して署名付き SSL 証明書を作成する (2032400) vmware.com

certreqを使用しない証明書要求ファイルの作成方法するしかないと思いました。別環境で証明書要求ファイルを作成するには、Horizon Connection　Serverから現在使用している証明書と紐付いている秘密鍵を入手する必要があります。

mmcの[証明書(ローカルコンピュータ)]-[個人]-[証明書]にて現在使用している証明書選択してエクスポートしても証明書エクスポートウィザードで「はい、秘密キーをエクスポートします」の選択ができず、秘密鍵を入手できません。 mmcの[証明書(ローカルコンピュータ)]-[証明書登録要求]-[証明書]に現在使用している証明書の証明書要求ファイル内に秘密鍵があり、証明書エクスポートウィザードで「はい、秘密キーをエクスポートします」の選択ができました。

秘密鍵の確認

[root@server ]# openssl pkcs12 -in [証明書登録要求-証明書からエクスポートしたファイル].pfx -nodes

Enter Import Password:　[エクスポート時に指定したパスワード]

BEGIN PRIVATE KEYからEND PRIVATE KEYまでの文字列をコピーして[Connection Serverから入手した秘密鍵].keyに保存する。

—–BEGIN PRIVATE KEY—–
—–END PRIVATE KEY—–

秘密鍵が入手できれば、certreqを使用しない別環境で証明書要求ファイルの作成ができるため、別環境で証明書要求ファイルを作成しました。

[root@server ]# openssl req -new -nodes -key [Connection Serverから入手した秘密鍵].key -out [証明書要求ファイル].csr -addext ‘subjectAltName = DNS:[FQDN],DNS:[FQDN1],IP:[IPアドレス],IP:[IPアドレス1]’

クライアントには認証局で使用しているroot証明書を信頼されたルート証明機関にインポートする必要があります。 Connection Serverに作成した証明書をインポートしました。

過去に使用していた証明書のフレンドリ名を[vdm]から[vdm-org]などインストールした証明書のフレンドリ名を[vdm]にする必要があるため、フレンドリ名を[vdm]変更します。

ブラウザでVMware Horizon Consoleを開くときに正しい鍵マークが表示されることを確認しました。

秘密鍵を更新できるようにする

VMware VMware-Horizon-Connection-Server-x86_64 インストール時の秘密鍵の取り扱いに関しての改善要望について VMware-Horizon-Connection-Server-x86_64 インストール時に作成される証明書の秘密鍵はダウンロード可能にしていただくか、取り出しできる場所に保存していただくか、秘密鍵をインポートできるようにしていただくと解決できますが、Horizon Connection Serverに秘密鍵のインポート機能がありません。秘密鍵のインポート機能を追加してほしいと思いました。VMwareに機能追加の要望をしておきます。