Générer un CSR pour VMWare View 5.0 ou inférieur

Attention : Ce guide ne concerne que les versions de VMWare View Inférieures ou égales à 5.0.

Un certificat de serveur SSL par défaut est généré lorsque vous installez View Connection Server. Vous pouvez utiliser le certificat par défaut à des fins de test.
Vous devez remplacer le certificat par défaut dès que possible. Le certificat par défaut n'est pas signé par une autorité de certification. L'utilisation de certificats non certifiés peut permettre à des parties non approuvées d'intercepter le trafic en se faisant passer pour votre serveur.

keytool et openssl sont des utilitaires de gestion des clés et des certificats. Vous devez ajouter les chemins d'accès vers ces utilitaires à la variable Path de l'environnement système pour pouvoir exécuter les utilitaires depuis n'importe quel répertoire sur votre hôte

Si votre entreprise possède déjà un certificat de serveur SSL valide sur plate-forme Microsoft IIS, vous pouvez l'utiliser pour remplacer le certificat de serveur SSL par défaut fourni avec View Connection Server.

Pour obtenir un certificat signé auprès d'une autorité de certification, vous devez créer une demande de signature de certificat (CSR).

Utilisation d'un serveur Microsoft IIS

• Création du CSR : Créer un demande de certificat pour IIS5 ou IIS6 et pour IIS7
• Installation du certificat pour IIS5 ou IIS6 et pour IIS7
• Exportation du certificat et de sa clef privée : Sauvegarder le certificat sur IIS
• Configurer une instance de View Connection Server ou un serveur de sécurité
  pour utiliser un nouveau certificat

  Pour configurer une instance de View Connection Server ou un serveur de sécurité pour utiliser un nouveau certificat de serveur SSL, vous devez définir des propriétés dans le fichier locked.properties sur l'hôte de View Connection Server ou du serveur de sécurité.

  Prérequis

  Créez un certificat auto-signé, exportez un certificat de serveur SSL Microsoft IIS existant ou obtenez un certificat signé auprès d'une autorité de certification.

  Procédure

  • 1 Copiez le fichier de magasin de clés qui contient votre certificat vers le répertoire de configuration de la passerelle SSL sur l'hôte de View Connection Server ou du serveur de sécurité.
    

    Par exemple : install_directory\VMware\VMware View\Server\sslgateway\conf\keys.p12

  • 2 Ajoutez les propriétés keyfile et keypass au fichier locked.properties dans le répertoire de configuration de la passerelle SSL sur l'hôte de View Connection Server ou du serveur de sécurité. Si le fichier locked.properties n'existe pas, vous devez le créer.
    a Définissez la propriété keyfile sur le nom de votre fichier de magasin de clés. Si vous avez exporté un certificat de serveur SSL Microsoft IIS existant, définissez keyfile sur le nom de votre fichier PFX.
    b Définissez la propriété keypass sur le mot de passe de votre fichier de magasin de clés. Si vous avez exporté un certificat de serveur SSL Microsoft IIS existant, définissez keypass sur le mot de passe que vous avez utilisé lors de l'exportation du certificat.
    

    Par exemple : keyfile=keys.p12 keypass=MY_PASS 

  • 3 Redémarrez le service View Connection Server ou Security Server pour que vos modifications prennent effet.

Utilisation de l'outil Keytool (préconisé)

Générer un magasin de clés

Lorsque vous créez pour la première fois un fichier de magasin de clés, le premier certificat dans ce fichier est un certificat auto-signé. Ultérieurement, si vous obtenez un certificat signé auprès d'une autorité de certification, vous importez la réponse de l'autorité de certification dans le fichier de magasin de clés et le certificat auto-signé est remplacé

Procédure

• 1 Ouvrez une invite de commande et utilisez keytool pour générer un fichier de magasin de clés.

  keytool -genkey -keyalg RSA -keysize 2048 -alias vmwareview -keystore [nomdustockage] -storetype pkcs12

  
  Lorsque keytool vous demande vos nom et prénom, saisissez le nom de domaine complet (FQDN) que les ordinateurs client utilisent pour se connecter à l'hôte.
  
  • Instance de View Connection Server : Saisissez le FQDN de l'hôte View Connection Server si vous avez une instance de View Connection Server. Saisissez le FQDN de l'hôte de l'équilibreur de charge si vous utilisez l'équilibrage de charge.
  • Serveur de sécurité : Saisissez le FQDN de l'hôte du serveur de sécurité.
  • Instance de View Transfer Server : Saisissez le FQDN de l'hôte de View Transfer Server.
  
  
• 2 Générer un CSR :

  keytool -certreq -alias vmwareview -keyalg  RSA -file mon.csr -keystore [nomdustockage] -storetype pkcs12

  
  
  Le CSR sera créé dans JDK/bin et ressemble à:
  
  

  -----BEGIN NEW CERTIFICATE REQUEST-----
  xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
  -----END NEW CERTIFICATE REQUEST-----
  

  
  Copiez/coller le contenu du fichier mon.csr dans le formulaire de commande.
  
  
  
• 3 Quand keytool a créé le fichier de magasin de clés, sauvegardez le fichier. Le fichier de sauvegarde est utile au cas où vous devez recréer la configuration de l'hôte

Installer le certificat

Après la procédure d'audit administrative, TBS Internet vous délivre un email pour vous informer de la livraison de votre certificat. Dans cette email, vous retrouvez un lien vers votre certificat au format #PKCS7 (Fichier exemple.p7b). Vous pouvez aussi télécharger ce certificat a partir de votre page statut :
-> bouton "voir le certificat" -> lien "Voir le certificat au format PKCS7"

Procédure

• Copiez le fichier texte qui contient votre certificat vers le répertoire qui contient votre fichier de magasin de clés et enregistrez-le, par exemple, sous le nom certificat.p7b.
  
  Par exemple :

  -----BEGIN PKCS7----- 
  MIIF+AYJKoZIhvcNAQcCoIIF6TCCBeUCAQExADALBgk LDCCApWgAwIBAgIQTpY7DsV1n1HeMGgMjMR2P
  ...
  zANBgk i7coVx71/lCBOlFmx66NyKlZK5mObgvd2dlnsAP+nnS EhCsdpikSpbtdo18jUubV6z1kQ71CrRQtp
  -----END PKCS7-----
  

• Ouvrez une invite de commande et utilisez keytool pour importer le certificat dans votre fichier de magasin de clés.
  Par exemple :
  

  keytool -import -keystore [nomdustockage] -storetype pkcs12 -storepass [exemple] -keyalg "RSA" -trustcacerts -file certificat.p7b
  

  
  N.B: Si vous obtenez un message d'erreur du type " erreur keytool : java.lang.Exeption: L'entrée n'est pas un certificat X.509" ; ce message indiquerait en fait que votre outil keytool est realivement ancien et ne permet donc pas d'importer les fichiers #PKCS7 ( .p7b ). La solution, consiste alors à importer manuellement votre certificat au format PEM ( .cer ), puis un à un les certificats de la chaine de certification.
  
  
• Si vous avez spécifié un certificat temporaire, saisissez yes lorsque vous recevez le message .... is not trusted. Install reply anyway?.
  keytool génère ce message car les certificats temporaires ne sont pas conçus à des fins de production.
  
  
• Il ne vous reste plus qu'à configurez votre instance de View Connection Server, du serveur de sécurité ou de View Transfer Server pour utiliser le certificat. Reportez-vous à la documentation de votre logiciel.

Liens externes

Guide d'installation de VMware View ( View Manager 4.5 - View Composer 2.5 )