View에 대한 SSL 인증서 설정 시나리오 - VMware Horizon 7 7.2

Transcription

1 VMware Horizon 7 7.2

2 VMware 웹사이트 ( 에서최신기술문서를확인할수있습니다. 또한 VMware 웹사이트에서최신제품업데이트를제공합니다. 이문서에대한의견이있으면 으로사용자의견을보내주십시오. Copyright VMware, Inc. 판권소유. 저작권및상표정보. VMware, Inc Hillview Ave. Palo Alto, CA VMware, Inc.

3 목차 View 에대한 SSL 연결설정시나리오 5 1 인증기관에서 SSL 인증서가져오기 7 이시나리오가적용되는지확인 7 올바른인증서유형선택 8 인증서서명요청생성및 Microsoft Certreq 를통해인증서가져오기 8 2 SSL 연결부하를중간서버로분산 15 SSL 오프로드서버의인증서를 View 서버로가져오기 15 클라이언트가 SSL 오프로드서버를가리키도록 View Server 외부 URL 설정 20 중간서버의 HTTP 연결허용 21 색인 23 VMware, Inc. 3

4 4 VMware, Inc.

5 View 에대한 SSL 연결설정시나리오 View 에대한 SSL 연결설정시나리오에서는 View 서버에서사용하기위한 SSL 인증서를설정하는예를제공합니다. 첫번째시나리오에서는인증기관에서서명된 SSL 인증서를가져온후해당인증서가 View 서버에서사용할수있는형식인지확인하는방법을보여줍니다. 두번째시나리오는중간서버로 SSL 연결부하를분산하도록 View 서버를구성하는방법을보여줍니다. 대상 이정보는 View 를설치하려고하며 View 서버에서사용되는 SSL 인증서를가져와야하는사용자또는중간서버를사용하여 View 에대한 SSL 연결부하를분산하는모든사용자를대상으로합니다. 이정보는가상시스템기술과데이터센터운영에익숙하고경험많은 Windows 또는 Linux 시스템관리자를대상으로작성되었습니다. VMware, Inc. 5

6 6 VMware, Inc.

7 인증기관에서 SSL 인증서가져오기 1 Vmware 에서는 View 연결서버인스턴스, 보안서버및 View Composer 인스턴스에서사용할수있도록유효한 CA( 인증기관 ) 에서서명한 SSL 인증서를구성하는것을권장합니다. View 연결서버, 보안서버또는 View Composer 인스턴스를설치할때기본 SSL 인증서가생성됩니다. 테스트를위해서는자체서명된기본인증서를사용할수있지만가능한한빨리교체하십시오. 기본인증서는 CA 에서서명되지않습니다. CA 에서서명하지않은인증서를사용하여신뢰할수없는사용자가서버로가장하여트래픽을인터셉트할수있습니다 또한 View 환경에서는 vcenter Server 와함께설치된기본인증서를 CA 에서서명한인증서로교체해야합니다. openssl 을사용하여 vcenter Server 에대해이작업을수행할수있습니다. 자세한내용은 VMware Technical Papers 사이트 에서 "vcenter Server 인증서교체 " 를참조하십시오. 이장에서는다음주제에대해설명합니다. 이시나리오가적용되는지확인, (7 페이지 ) 올바른인증서유형선택, (8 페이지 ) 인증서서명요청생성및 Microsoft Certreq 를통해인증서가져오기, (8 페이지 ) 이시나리오가적용되는지확인 View 5.1 이상에서는 View 서버호스트의 Windows 로컬컴퓨터인증서저장소로인증서를가져와 View 에대한인증서를구성합니다. 인증서를가져오려면먼저 CSR( 인증서서명요청 ) 을생성하고 CA 에서서명된유효한인증서를가져와야합니다. 이시나리오에서설명하는예제절차에따라 CSR 이생성되지않는경우결과인증서및해당개인키를 PKCS#12( 이전의 PFX) 형식파일에서사용할수있어야합니다. 여러가지방법으로 CA 에서 SSL 인증서를가져올수있습니다. 이시나리오에서는 Microsoft certreq 유틸리티를사용하여 CSR 을생성하고 View 서버에서해당인증서를사용할수있도록하는방법을보여줍니다. 필요한도구에익숙하며이러한도구가서버에설치되어있으면다른방법을사용해도됩니다. 다음과같은문제를해결하려면이시나리오를사용합니다. CA 에서서명한 SSL 인증서가없고획득하는방법을모르는경우 서명된유효한 SSL 인증서가있지만 PKCS#12(PFX) 형식이아닌경우 조직에서 CA 가서명한 SSL 인증서를제공하면이러한인증서를사용할수있습니다. 조직에서는유효한내부 CA 또는타사상용 CA 를사용할수있습니다. 인증서가 PKCS#12 형식이아니면변환해야합니다. 인증서파일을 PKCS#12 형식으로변환, (17 페이지 ) 를참조하십시오. 서명된인증서가적절한형식인경우 Windows 인증서저장소로가져오고해당인증서를사용하도록 View 서버를구성할수있습니다. View 서버에대해가져온인증서설정, (13 페이지 ) 를참조하십시오. VMware, Inc. 7

8 올바른인증서유형선택 View 에서다양한유형의 SSL 인증서를사용할수있습니다. 배포에적합한인증서유형을선택하는것이중요합니다. 인증서를사용할수있는서버의수에따라인증서유형의비용이다릅니다. 선택한유형이무엇이든인증서에 FQDN( 정규화된도메인이름 ) 을사용하여 VMware 보안권장사항에따릅니다. 내부도메인에서의통신에도단순한서버이름이나 IP 주소를사용하지마십시오. 단일서버이름인증서 특정서버의대상이름이있는인증서를생성할수있습니다. 예 : dept.company.com. 예를들어이러한유형의인증서는하나의 View 연결서버인스턴스에만인증서가필요한경우에유용합니다. CA 에인증서서명요청을제출할때인증서와연결되는서버이름을제공합니다. View 서버에서인증서에연결된이름과일치하도록제공된서버이름을확인할수있어야합니다. 제목대체이름 SAN( 제목대체이름 ) 은인증서를발급할때추가할수있는특성입니다. 이특성을사용하여인증서에서두개이상의서버를유효성검사할수있도록대상이름 (URL) 을추가할수있습니다. 예를들어 dept.company.com 호스트이름을갖는서버에대해인증서가발급될수있습니다. 보안서버를통해 View 에연결하는외부사용자가해당인증서를사용하도록하려고합니다. 이인증서가발급되기전에 SAN dept int.company.com 을인증서에추가하여터널링이사용되도록설정될때해당인증서가로드밸런서뒤에있는 View 연결서버인스턴스또는보안서버에서사용되도록허용할수있습니다. 와일드카드인증서 와일드카드인증서는여러서비스에서사용할수있도록생성됩니다. 예 : *.company.com. 여러서버에인증서가필요한경우에는와일드카드인증서가유용합니다. View 외에도환경에있는다른애플리케이션에 SSL 인증서가필요한경우에는해당서버에도와일드카드인증서를사용할수있습니다. 그러나다른서비스에서공유되는와일드카드인증서를사용하는경우이러한다른서비스의보안도 VMware Horizon 제품보안에영향을미칩니다. 참고와일드카드인증서는단일도메인수준에만사용할수있습니다. 예를들어, 대상이름이 *.company.com인와일드카드인증서는하위도메인 dept.company.com에서사용할수있지만 dept.it.company.com에서는사용할수없습니다. 인증서서명요청생성및 Microsoft Certreq 를통해인증서가져오기 인증서를 View 서버에서사용할수있게하려면구성파일을생성하고, 구성파일에서 CSR( 인증서서명요청 ) 을생성하고, CA 로서명요청을보내야합니다. CA 에서인증서를반환하는경우서명된인증서를 View 서버호스트의 Windows 로컬컴퓨터인증서저장소로가져와야합니다. 여기에서이전에생성한개인키에연결됩니다. CSR 은인증서자체가생성되는방식에따라여러방법으로생성될수있습니다. Microsoft certreq 유틸리티는 Windows Server 2008 R2 에서사용할수있으며 CSR 을생성하고서명된인증서를가져오는데사용할수있습니다. 타사 CA 로요청을보내려는경우 certreq 를사용하는것이 View 에대한인증서를가져오는가장빠르고간단한방법입니다. 1 CSR 구성파일생성 (9 페이지 ) Microsoft certreq 유틸리티는구성파일을사용하여 CSR 을생성합니다. 요청을생성하려면먼저구성파일을생성해야합니다. 파일을생성하고인증서를사용하는 View 서버를호스팅하는 Windows Server 컴퓨터에서 CSR 을생성합니다. 8 VMware, Inc.

9 1 장인증기관에서 SSL 인증서가져오기 2 CSR 생성및 CA 에서서명된인증서요청 (10 페이지 ) 완료된구성파일을사용하여 certreq 유틸리티를통해 CSR 을생성할수있습니다. 서명된인증서를반환하는타사 CA 로요청을전송합니다. 3 CSR 및해당개인키가 Windows 인증서저장소에저장되어있는지확인 (11 페이지 ) certreq 유틸리티를사용하여 CSR 을생성하는경우이유틸리티는관련된개인키도생성합니다. 이유틸리티는 CSR 을생성한컴퓨터의 Windows 로컬컴퓨터인증서저장소에 CSR 및개인키를저장합니다. MMC(Microsoft Management Console) 인증서스냅인을사용하여 CSR 및개인키가제대로저장되어있는지확인할수있습니다. 4 Certreq 를사용하여서명된인증서가져오기 (12 페이지 ) CA 에서서명된인증서가있는경우인증서를 View 서버호스트의 Windows 로컬컴퓨터인증서저장소로가져올수있습니다. 5 View 서버에대해가져온인증서설정 (13 페이지 ) 서버인증서를 Windows 로컬컴퓨터인증서저장소로가져온후에 View 서버가해당인증서를사용하도록허용하려면추가단계를수행해야합니다. CSR 구성파일생성 Microsoft certreq 유틸리티는구성파일을사용하여 CSR 을생성합니다. 요청을생성하려면먼저구성파일을생성해야합니다. 파일을생성하고인증서를사용하는 View 서버를호스팅하는 Windows Server 컴퓨터에서 CSR 을생성합니다. 필수조건 구성파일에입력해야하는정보를수집합니다. 대상이름을완성하려면 View 서버의 FQDN 과조직구성단위, 조직, 구 / 군 / 시, 시 / 도및국가를알고있어야합니다. 1 텍스트편집기를열고다음텍스트를시작태그및끝태그를포함하여파일에붙여넣습니다. ; request.inf [Version] Signature="$Windows NT$" [NewRequest] Subject = "CN=View_Server_FQDN, OU=Organizational_Unit, O=Organization, L=City, S=State, C=Country" ; Replace View_Server_FQDN with the FQDN of the View server. ; Replace the remaining Subject attributes. KeySpec = 1 KeyLength = 2048 ; KeyLength is usually chosen from 2048, 3072, or A KeyLength ; of 1024 is also supported, but it is not recommended. HashAlgorithm = SHA256 ; Algorithms earlier than SHA-2 are insufficiently secure and are not recommended. Exportable = TRUE MachineKeySet = TRUE SMIME = False PrivateKeyArchive = FALSE UserProtected = FALSE UseExistingKeySet = FALSE ProviderName = "Microsoft RSA SChannel Cryptographic Provider" ProviderType = 12 VMware, Inc. 9

10 RequestType = PKCS10 KeyUsage = 0xa0 [EnhancedKeyUsageExtension] OID= ; this is for Server Authentication ; 이텍스트를복사한후붙여넣을때추가 CR/LF 문자가 Subject = 줄에추가될경우해당 CR/LF 문자를삭제하십시오. 2 Subject 특성을 View 서버및배포에대한적절한값으로업데이트합니다. 예 : CN=dept.company.com VMware 보안권장사항을준수하기위해클라이언트디바이스가호스트에연결하는데사용하는 FQDN( 정규화된도메인이름 ) 을사용하십시오. 내부도메인에서의통신에도단순한서버이름이나 IP 주소를사용하지마십시오. 일부 CA 는 state 특성에대해약어를사용하도록허용하지않습니다. 3 ( 선택사항 ) Keylength 특성을업데이트합니다. 다른 KeyLength 크기가명시적으로필요하지않으면기본값 2048 이적절합니다. 많은수의 CA 에서최소값 2048 을요구합니다. 키크기가클수록더안전하지만성능에더많은영향을미칩니다. 컴퓨터가계속해서더강력해지고더강력한암호를해독할수있게되면서 NIST(National Institute of Standards and Technology) 에서는 1024 의키크기를권장하지않지만 1024 의 KeyLength 도여전히지원됩니다. 중요 1024 미만의 KeyLength 값은생성하지마십시오. Windows용 Horizon Client는 1024 미만의 KeyLength로생성된 View서버의인증서유효성을검사하지않으며 Horizon Client 디바이스는 View에연결되지않습니다. View 연결서버에서수행하는인증서유효성검사도실패하므로영향을받는 View 서버가 View Administrator 대시보드에빨간색으로나타납니다. 4 파일을 request.inf 로저장합니다. 후속작업 구성파일에서 CSR 을생성합니다. CSR 생성및 CA 에서서명된인증서요청 완료된구성파일을사용하여 certreq 유틸리티를통해 CSR 을생성할수있습니다. 서명된인증서를반환하는타사 CA 로요청을전송합니다. 필수조건 CSR 구성파일을완료했는지확인합니다. CSR 구성파일생성, (9 페이지 ) 를참조하십시오. CSR 구성파일이있는컴퓨터에서이절차에설명된 certreq 작업을수행합니다. 1 시작메뉴에서명령프롬프트를마우스오른쪽버튼으로클릭하고관리자권한으로실행을선택하여명령프롬프트를엽니다. 2 Request.inf 파일을저장한디렉토리로이동합니다. 예 : cd c:\certificates 10 VMware, Inc.

11 1 장인증기관에서 SSL 인증서가져오기 3 CSR 파일을생성합니다. 예 : certreq -new request.inf certreq.txt 4 CSR 파일의컨텐츠를사용하여 CA 의등록프로세스에따라 CA 에인증서요청을제출합니다. a b CA 에요청을제출하면 CA 에서는인증서를설치할서버의유형을선택하라는메시지를표시합니다. View 에서는 Microsoft 인증서 MMC 를사용하여인증서를관리하므로 Microsoft, Microsoft IIS 7 또는이와유사한서버유형에대한인증서를선택합니다. CA 는 View 에서사용하기위한형식으로인증서를생성해야합니다. 단일서버이름인증서를요청하는경우 Horizon Client 디바이스가이 View 서버에대한 IP 주소로확인할수있는이름을사용합니다. 컴퓨터가 View 서버에연결하는데사용하는이름은인증서와연결된이름과일치해야합니다. 참고 CA에서는 CSR 파일 ( 예 : certreq.txt) 의컨텐츠를복사한후웹양식으로붙여넣도록요구할수있습니다. 텍스트편집기를사용하여 CSR 파일의컨텐츠를복사할수있습니다. 시작및끝태그를포함해야합니다. 예 : -----BEGIN NEW CERTIFICATE REQUEST----- MIID2jCCAsICAQAwazEWMBQGA1UEBhMNVW5pdGVkIFN0YXRlczELMAkGA1UECAwC Q0ExEjAQBgNVBAcMCVBhbG8gQWx0bzEKMAgGA1UECgwBTzELMAkGA1UECwwCT1Ux FzAVBgNVBAMMDm15LmNvbXBhbnkuY29tMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A L9nPYX76jeu5rwQfXLivSCea6nZiIOZYw8Dbn8dgwAqpJdzBbrwuM1TuSnx6bAK8 S52Tv0GxW58jUTtxFV+Roz8TE8wZDFB51jx+FmLs -----END NEW CERTIFICATE REQUEST----- CA 에서는귀사에대해몇가지검사를수행한후 CSR 의정보를기준으로서버인증서를생성하고, 해당개인키로서명한후인증서를귀하에게보냅니다. 또한 CA 는루트 CA 인증서를보내며해당되는경우중간 CA 인증서도보냅니다. 5 인증서텍스트파일의이름을 cert.cer 로바꿉니다. 파일이인증서요청이생성된 View 서버에있는지확인합니다. 6 루트 CA 및중간 CA 인증서파일의이름을 root.cer 및 intermediate.cer 로바꿉니다. 파일이인증서요청이생성된 View 서버에있는지확인합니다. 참고 certreq 유틸리티를사용하여 Windows 로컬컴퓨터인증서저장소로이러한인증서를가져올경우에는인증서가 PKCS#12(PFX) 형식일필요는없습니다. 인증서가져오기마법사를사용하여 Windows 인증서저장소로인증서를가져올경우에는 PKCS#12(PFX) 형식이요구됩니다. 후속작업 CSR 파일및해당개인키가 Windows 로컬컴퓨터인증서저장소에저장되었는지확인합니다. CSR 및해당개인키가 Windows 인증서저장소에저장되어있는지확인 certreq 유틸리티를사용하여 CSR 을생성하는경우이유틸리티는관련된개인키도생성합니다. 이유틸리티는 CSR 을생성한컴퓨터의 Windows 로컬컴퓨터인증서저장소에 CSR 및개인키를저장합니다. MMC(Microsoft Management Console) 인증서스냅인을사용하여 CSR 및개인키가제대로저장되어있는지확인할수있습니다. View 서버에서인증서를제대로가져오고사용할수있도록하려면나중에개인키를서명된인증서에가입해야합니다. VMware, Inc. 11

12 필수조건 certreq 유틸리티를사용하여 CSR 을생성하고 CA 에서서명된인증서를요청했는지확인합니다. CSR 생성및 CA 에서서명된인증서요청, (10 페이지 ) 를참조하십시오. MMC(Microsoft Management Console) 에인증서스냅인을추가하는절차를숙지합니다. View 설치문서의 "View Servers 를위한 SSL 인증서구성 " 장에서 "MMC 에인증서스냅인추가 " 를참조하십시오. 1 Windows Server 컴퓨터에서 MMC 에인증서스냅인을추가합니다. 2 Windows Server 컴퓨터의 MMC 창에서인증서 ( 로컬컴퓨터 ) 노드를확장하고인증서등록요청폴더를선택합니다. 3 인증서등록요청폴더를확장하고인증서폴더를선택합니다. 4 인증서항목이인증서폴더에표시되는지확인합니다. 발급대상및발급자필드에는 CSR 을생성하는데사용된 request.inf 파일의 subject:cn 필드에입력한도메인이름이표시되어야합니다. 5 다음단계중하나를수행하여인증서에개인키가포함되어있는지확인합니다. 인증서아이콘에노란색키가나타나는지확인합니다. 인증서를두번클릭하고인증서정보대화상자에사용자가이인증서와일치하는개인키를갖고있습니다. 라는문구가표시되는지확인합니다. 후속작업 Windows 로컬컴퓨터인증서저장소로인증서를가져옵니다. Certreq 를사용하여서명된인증서가져오기 CA 에서서명된인증서가있는경우인증서를 View 서버호스트의 Windows 로컬컴퓨터인증서저장소로가져올수있습니다. certreq 유틸리티를사용하여 CSR 을생성한경우인증서개인키가 CSR 을생성한서버에대해로컬입니다. 제대로작동되려면인증서가개인키와결합되어야합니다. 이절차에나오는 certreq 명령을사용하여인증서및개인키가제대로결합되어있는지와 Windows 인증서저장소로가져왔는지확인합니다. 다른방법을사용하여 CA 에서서명된인증서를가져오는경우 MMC(Microsoft Management Console) 스냅인의인증서가져오기마법사를사용하여인증서를 Windows 인증서저장소로가져올수있습니다. 이방법은 View 설치문서의 "View Servers 를위한 SSL 인증서구성 " 에설명되어있습니다. 필수조건 CA 에서서명된인증서를받았는지확인합니다. CSR 생성및 CA 에서서명된인증서요청, (10 페이지 ) 를참조하십시오. CSR 을생성하고서명된인증서를저장한컴퓨터에서이절차에설명된 certreq 작업을수행합니다. 1 시작메뉴에서명령프롬프트를마우스오른쪽버튼으로클릭하고관리자권한으로실행을선택하여명령프롬프트를엽니다. 2 cert.cer 과같은서명된인증서파일을저장한디렉토리로이동합니다. 예 : cd c:\certificates 12 VMware, Inc.

13 1 장인증기관에서 SSL 인증서가져오기 3 certreq -accept 명령을실행하여서명된인증서를가져옵니다. 예 : certreq -accept cert.cer 인증서를 Windows 로컬컴퓨터인증서저장소로가져옵니다. 후속작업 가져온인증서를 View 서버에서사용할수있게구성합니다. View 서버에대해가져온인증서설정, (13 페이지 ) 을참조하십시오. View 서버에대해가져온인증서설정 서버인증서를 Windows 로컬컴퓨터인증서저장소로가져온후에 View 서버가해당인증서를사용하도록허용하려면추가단계를수행해야합니다. 1 서버인증서를성공적으로가져왔는지확인합니다. 2 인증서표시이름을 vdm 으로변경합니다. vdm 은소문자여야합니다. 표시이름이 vdm 인다른인증서의이름을바꾸거나해당인증서에서표시이름을제거해야합니다. View Composer 에서사용하는인증서의표시이름을수정할필요가없습니다. 3 Windows 인증서저장소에루트 CA 인증서및중간 CA 인증서를설치합니다. 4 View 연결서버서비스, 보안서버서비스또는 View Composer 서비스가새인증서를사용해서시작되도록하려면이러한서비스를다시시작합니다. 5 VMware Horizon View 5.2 이상에서 HTML Access 를사용하는경우 VMware View Blast 보안게이트웨이서비스를다시시작합니다. 6 View Composer Server 에서인증서를설정하는경우또다른단계를수행해야할수있습니다. View Composer 를설치한후새인증서를설정하는경우 SviConfig ReplaceCertificate 유틸리티를실행하여 View Composer 가사용하는포트에바인딩되는인증서를대체해야합니다. View Composer 를설치하기전에새인증서를설정하는경우 SviConfig ReplaceCertificate 유틸리티를실행할필요가없습니다. View Composer 설치관리자를실행하는경우, 자체서명된기본인증서대신 CA 에서서명한새인증서를선택할수있습니다. 자세한내용은 View 설치문서의 "View Composer 가사용하는포트에새 SSL 인증서바인딩 " 을참조하십시오. 이절차의작업을수행하려면다음항목을참조하십시오. 인증서대화명수정, (19 페이지 ) Windows 인증서저장소에루트및중간인증서가져오기, (19 페이지 ) 자세한내용은 View 설치설명서에서 " 새로운 SSL 인증서를사용하도록 View 연결서버, 보안서버또는 View Composer 구성 " 을참조하십시오. 참고이미 certreq 유틸리티를사용하여서버인증서를가져왔으므로 View 설치항목 "Windows 인증서저장소에서명된서버인증서가져오기 " 가여기에는나열되지않습니다. 서버인증서를다시가져올때는 MMC 스냅인의인증서가져오기마법사를사용하지않도록합니다. 하지만인증서가져오기마법사를사용하여루트 CA 인증서및중간 CA 인증서를 Windows 인증서저장소로가져올수있습니다. VMware, Inc. 13

14 14 VMware, Inc.

15 SSL 연결부하를중간서버로분산 2 View 서버와 Horizon Client 디바이스간의중간서버가로드밸런싱및 SSL 연결부하분산같은작업을수행하도록설정할수있습니다. Horizon Client 디바이스는 HTTPS 를통해중간서버에연결되며중간서버는외부연결 View 연결서버인스턴스또는보안서버로연결을전달합니다. SSL 연결부하를중간서버로분산하려면다음몇가지주요작업을완료해야합니다. 중간서버에서사용되는 SSL 인증서를외부연결 View 서버로가져오기 외부연결 View 서버의외부 URL 이클라이언트가중간서버에연결하는데사용할수있는 URL 과일치하도록설정 중간서버와 View 서버간의 HTTP 연결허용 이장에서는다음주제에대해설명합니다. SSL 오프로드서버의인증서를 View 서버로가져오기, (15 페이지 ) 클라이언트가 SSL 오프로드서버를가리키도록 View Server 외부 URL 설정, (20 페이지 ) 중간서버의 HTTP 연결허용, (21 페이지 ) SSL 오프로드서버의인증서를 View 서버로가져오기 SSL 연결을중간서버로오프로드하는경우에는중간서버에연결하는 View 연결서버인스턴스또는보안서버로중간서버의인증서를가져와야합니다. 오프로드하는중간서버와해당중간서버에연결하는오프로드된각 View 서버에는동일한 SSL 서버인증서가있어야합니다. 보안서버를배포하는경우에는중간서버와해당중간서버에연결하는보안서버에동일한 SSL 인증서가있어야합니다. 보안서버에연결되고중간서버에직접연결하지않는 View 연결서버인스턴스에는동일한 SSL 인증서를설치하지않아도됩니다. 보안서버를배포하지않는경우나보안서버와외부에연결되는 View 연결서버인스턴스가혼합되어있는네트워크환경을사용하는경우에는중간서버와해당중간서버에연결하는모든 View 연결서버인스턴스에동일한 SSL 인증서가있어야합니다. 중간서버의인증서가 View 연결서버인스턴스나보안서버에설치되어있지않으면클라이언트가 View 에대한연결의유효성을검사할수없습니다. 이경우에는 View 서버에서전송한인증서지문이 Horizon Client 가연결하는중간서버의인증서와일치하지않습니다. 로드밸런싱과 SSL 부하분산을혼동하지마십시오. 위의요건은몇몇유형의로드밸런서를포함해 SSL 부하분산을제공하도록구성된디바이스에적용됩니다. 그러나순수로드밸런싱에는디바이스간인증서복사가필요하지않습니다. 중요다음항목에서설명하는시나리오에서는타사구성요소와 VMware 구성요소간에 SSL 인증서를공유하는한가지방법에대해설명합니다. 이방법은모든사용자에게적합한방법이아니며, 작업을수행하는여러가지방법중한가지일뿐입니다. VMware, Inc. 15

16 1 중간서버에서 SSL 인증서다운로드 (16 페이지 ) 외부연결 View 서버로가져올수있도록중간서버에설치된 CA 서명 SSL 인증서를다운로드해야합니다. 2 중간서버에서개인키다운로드 (17 페이지 ) 중간서버에서 SSL 인증서와연결된개인키를다운로드해야합니다. 개인키는인증서와함께 View 서버로가져와야합니다. 3 인증서파일을 PKCS#12 형식으로변환 (17 페이지 ) 인증서및해당개인키를 PEM 또는다른형식으로가져온경우 View 서버의 Windows 인증서저장소로인증서를가져오려면먼저 PKCS#12(PFX) 형식으로변환해야합니다. Windows 인증서저장소에서인증서가져오기마법사를사용하는경우 PKCS#12(PFX) 형식이필요합니다. 4 Windows 인증서저장소에서명된서버인증서가져오기 (18 페이지 ) SSL 서버인증서를 View 연결서버인스턴스또는보안서버서비스가설치된 Windows Server 호스트의 Windows 로컬컴퓨터인증서저장소로가져와야합니다. 5 인증서대화명수정 (19 페이지 ) SSL 인증서를인식하고사용하도록 View 연결서버인스턴스또는보안서버를구성하려면인증서대화명을 vdm 으로수정해야합니다. 6 Windows 인증서저장소에루트및중간인증서가져오기 (19 페이지 ) 인증서체인의루트인증서및모든중간인증서를 Windows 로컬컴퓨터인증서저장소로가져와야합니다. 중간서버에서 SSL 인증서다운로드 외부연결 View 서버로가져올수있도록중간서버에설치된 CA 서명 SSL 인증서를다운로드해야합니다. 1 중간서버에연결하고 HTTPS 요청을전송하는클라이언트에제공된 SSL 인증서를찾습니다. 2 View 에사용되는 SSL 인증서를찾아서다운로드합니다. 예 : F5 BIG-IP LTM 시스템에서 SSL 인증서다운로드 이예에서는 F5 BIG-IP LTM(Local Traffic Manager) 을중간서버로사용합니다. 이예는자체중간서버에서인증서를다운로드하는방법에대한일반적인이해를돕기위해제공됩니다. 중요이러한단계는 F5 BIG-IP LTM에만해당되며새로운릴리스또는기타 F5 제품에는적용되지않을수있습니다. 해당단계는다른벤더의중간서버에적용되지않습니다. 시작하기전에 F5 BIG-IP LTM 시스템이 View 에배포되었는지확인합니다. 에있는 F5 배포가이드 VMware View 에서 BIG-IP LTM 시스템배포에서작업을완료했는지확인하십시오. 1 F5 BIG-IP LTM 구성유틸리티에연결합니다. 2 탐색창의 [ 기본 ] 탭에서로컬트래픽을확장하고 SSL 인증서를클릭합니다. 이유틸리티는시스템에설치된인증서목록을표시합니다. 3 [ 이름 ] 열에서 View 에사용되는인증서의이름을클릭합니다. 4 화면하단의내보내기를클릭합니다. 이유틸리티는인증서텍스트상자에기존 SSL 인증서를표시합니다. 16 VMware, Inc.

17 2 장 SSL 연결부하를중간서버로분산 5 인증서파일설정에서 file_name 다운로드를클릭합니다. SSL 인증서가 CRT 파일로다운로드됩니다. 중간서버에서개인키다운로드 중간서버에서 SSL 인증서와연결된개인키를다운로드해야합니다. 개인키는인증서와함께 View 서버로가져와야합니다. 1 중간서버에연결하고 HTTPS 요청을전송하는클라이언트에제공된 SSL 인증서를찾습니다. 2 View 에사용되는인증서를찾고해당개인키를다운로드합니다. 예 : F5 BIG-IP LTM 시스템에서개인키다운로드 이예에서는 F5 BIG-IP LTM(Local Traffic Manager) 을중간서버로사용합니다. 이예는자체중간서버에서개인키를다운로드하는방법에대한일반적인이해를돕기위해제공됩니다. 중요이러한단계는 F5 BIG-IP LTM에만해당되며새로운릴리스또는기타 F5 제품에는적용되지않을수있습니다. 해당단계는다른벤더의중간서버에적용되지않습니다. 시작하기전에 F5 BIG-IP LTM 구성유틸리티에연결되어있는지확인합니다. 1 탐색창의 [ 기본 ] 탭에서로컬트래픽을확장하고 SSL 인증서를클릭합니다. 이유틸리티는시스템에설치된인증서목록을표시합니다. 2 [ 이름 ] 열에서 View 에사용되는인증서의이름을클릭합니다. 3 메뉴표시줄에서키를클릭합니다. 4 화면하단의내보내기를클릭합니다. 이유틸리티는키텍스트상자에기존의개인키를표시합니다. 5 키파일설정에서 file_name 다운로드를클릭합니다. 개인키가 KEY 파일로다운로드됩니다. 인증서파일을 PKCS#12 형식으로변환 인증서및해당개인키를 PEM 또는다른형식으로가져온경우 View 서버의 Windows 인증서저장소로인증서를가져오려면먼저 PKCS#12(PFX) 형식으로변환해야합니다. Windows 인증서저장소에서인증서가져오기마법사를사용하는경우 PKCS#12(PFX) 형식이필요합니다. 다음방법중하나로인증서파일을가져올수있습니다. CA 에서인증서 Keystore 파일을가져옵니다. View 배포시설정된중간서버에서인증서및개인키를다운로드합니다. 조직에서인증서파일을제공합니다. 인증서파일은다양한형식으로제공됩니다. 예를들어, PEM 형식은 Linux 환경에서자주사용됩니다. 다음확장명의인증서파일, 키파일및 CSR 파일이포함될수있습니다. server.crt server.csr server.key CRT 파일은 CA 에의해반환된 SSL 인증서를포함합니다. CSR 파일은원본인증서서명요청파일이며필요하지않습니다. 키파일은개인키를포함합니다. VMware, Inc. 17

18 필수조건 시스템에 OpenSSL 이설치되어있는지확인합니다. openssl 은 에서다운로드할수있습니다. 또한 CA 에의해반환된 SSL 인증서의루트인증서를시스템에서사용할수있는지확인합니다. 1 CRT 및키파일을 OpenSSL 설치디렉토리로복사합니다. 예 : cd c:\openssl-win32\bin 2 Windows 명령프롬프트를열고, 필요한경우 OpenSSL 설치디렉토리로이동합니다. 3 인증서파일및개인키에서 PKCS#12(PFX) Keystore 파일을생성합니다. 예 : openssl pkcs12 -export -out server.p12 -inkey server.key -in server.crt -certfile CACert.crt 이예에서 CACert.crt 는인증기관에의해반환된루트인증서의이름입니다. 또한 Windows 인증서저장소는 PFX 확장명으로생성된 Keystore 를수락합니다. 예 : -out server.pfx 4 PKCS#12 (PFX) 파일을보호하기위한내보내기암호를입력합니다. Windows 인증서저장소에서명된서버인증서가져오기 SSL 서버인증서를 View 연결서버인스턴스또는보안서버서비스가설치된 Windows Server 호스트의 Windows 로컬컴퓨터인증서저장소로가져와야합니다. 이시나리오에서는 PKCS#12(PFX) 형식의인증서파일을사용합니다. 인증서파일형식에따라 keystore 파일에포함된전체인증서체인을 Windows 로컬컴퓨터인증서저장소로가져올수있습니다. 예를들어, 서버인증서, 중간인증서및루트인증서를가져올수있습니다. 다른유형의인증서파일의경우서버인증서만 Windows 로컬컴퓨터인증서저장소로가져옵니다. 이경우별도의단계를거쳐인증서체인에있는루트인증서와중간인증서를가져와야합니다. 인증서에대한자세한내용은 Microsoft 온라인도움말의 MMC 에인증서스냅인추가를참조하십시오. 필수조건 SSL 서버인증서가 PKCS@12(PFX) 형식인지확인하십시오. 인증서파일을 PKCS#12 형식으로변환, (17 페이지 ) 의내용을참조하십시오. 1 Windows Server 호스트의 MMC 창에서인증서 ( 로컬컴퓨터 ) 노드를확장하고개인폴더를선택합니다. 2 작업창에서추가작업 > 모든작업 > 가져오기로이동합니다. 3 인증서가져오기마법사에서다음을클릭하고인증서가저장된위치를찾습니다. 4 인증서파일을선택하고열기를클릭합니다. 인증서파일유형을표시하려면파일이름드롭다운메뉴에서해당파일형식을선택하십시오. 5 인증서파일에포함된개인키암호를입력합니다. 6 이키를내보낼수있도록표시를선택합니다. 7 확장속성모두포함을선택합니다. 18 VMware, Inc.

19 2 장 SSL 연결부하를중간서버로분산 8 다음, 마침을차례로클릭합니다. 새인증서가인증서 ( 로컬컴퓨터 ) > 개인 > 인증서폴더에나타납니다. 9 새인증서에개인키가포함되어있는지확인합니다. a 인증서 ( 로컬컴퓨터 ) > 개인 > 인증서폴더에서새인증서를두번클릭합니다. b 인증서정보대화상자의일반탭에다음문이표시되는지확인합니다. 사용자가이인증서와일치하는개인키를갖고있습니다. 후속작업 인증서대화명을 vdm 으로수정합니다. 인증서대화명수정 SSL 인증서를인식하고사용하도록 View 연결서버인스턴스또는보안서버를구성하려면인증서대화명을 vdm 으로수정해야합니다. 필수조건 Windows 인증서저장소의인증서 ( 로컬컴퓨터 ) > 개인 > 인증서폴더로서버인증서를가져왔는지확인합니다. Windows 인증서저장소에서명된서버인증서가져오기, (18 페이지 ) 의내용을참조하십시오. 1 Windows Server 호스트의 MMC 창에서인증서 ( 로컬컴퓨터 ) 노드를확장하고개인 > 인증서폴더를선택합니다. 2 View Server 호스트에발급된인증서를마우스오른쪽단추로클릭하고속성을클릭합니다. 3 일반탭에서대화명텍스트를삭제하고 vdm 을입력합니다. 4 적용과확인을차례로클릭합니다. 5 개인 > 인증서폴더에대화명이 vdm 인다른서버인증서가있는지확인합니다. a 다른서버인증서를찾아마우스오른쪽단추로클릭하고속성을클릭합니다. b 인증서의대화명이 vdm 일경우이름을삭제하고적용, 확인을차례로클릭합니다. 후속작업 Windows 로컬컴퓨터인증서저장소로루트인증서와중간인증서를가져옵니다. 체인의모든인증서를가져온후 View 연결서버서비스또는보안서버서비스를다시시작하여변경사항을적용해야합니다. Windows 인증서저장소에루트및중간인증서가져오기 인증서체인의루트인증서및모든중간인증서를 Windows 로컬컴퓨터인증서저장소로가져와야합니다. 중간서버에서가져온 SSL 서버인증서가 View 연결서버호스트에서알려져있고신뢰하는루트 CA 에서서명된것이며인증서체인에중간인증서가없는경우이작업을건너뛸수있습니다. 일반적으로사용되는인증기관은호스트에서신뢰할가능성이높습니다. VMware, Inc. 19

20 1 Windows Server 호스트의 MMC 콘솔에서인증서 ( 로컬컴퓨터 ) 노드를확장하고신뢰할수있는루트인증기관 > 인증서폴더로이동합니다. 루트인증서가이폴더에있고인증서체인에중간인증서가없는경우 7 단계를건너뛰십시오. 루트인증서가이폴더에있고인증서체인에중간인증서가있는경우 6 단계로건너뛰십시오. 루트인증서가이폴더에없는경우 2 단계를진행하십시오. 2 신뢰할수있는루트인증기관 > 인증서폴더를마우스오른쪽버튼으로클릭하고모든작업 > 가져오기를클릭합니다. 3 인증서가져오기마법사에서다음을클릭하고루트 CA 인증서가저장된위치를찾습니다. 4 루트 CA 인증서파일을선택하고열기를클릭합니다. 5 다음, 다음, 마침을차례로클릭합니다. 6 중간 CA 가서버인증서를서명한경우인증서체인의모든중간인증서를 Windows 로컬컴퓨터인증서저장소로가져오십시오. a 인증서 ( 로컬컴퓨터 ) > 중간인증기관 > 인증서폴더로이동합니다. b 가져와야할각중간인증서에대해 3~6 단계를반복합니다. 7 변경내용을적용하려면 View 연결서버서비스또는보안서버서비스를다시시작하십시오. 8 VMware Horizon View 5.2 이상에서 HTML Access 를사용하는경우 VMware View Blast 보안게이트웨이서비스를다시시작합니다. 클라이언트가 SSL 오프로드서버를가리키도록 View Server 외부 URL 설정 SSL 을중간서버로오프로드하고 Horizon Client 디바이스가보안터널을사용하여 View 에연결하는경우, 보안터널외부 URL 을클라이언트가중간서버에액세스하는데사용할수있는주소로설정해야합니다. 중간서버에연결하는 View 연결서버인스턴스또는보안서버의외부 URL 설정을구성합니다. 보안서버를배포하는경우, 외부 URL 은보안서버에만필요하고보안서버와연결되는 View 연결서버인스턴스에는필요하지않습니다. 보안서버를배포하지않는경우나보안서버와외부에연결되는 View 연결서버인스턴스가혼합되어있는네트워크환경을사용하는경우에는중간서버에연결하는모든 View 연결서버인스턴스에외부 URL 이필요합니다. 참고 PCoIP 보안게이트웨이 (PSG) 또는 Blast 보안게이트웨이를사용하는 SSL 연결은오프로드할수없습니다. PCoIP 외부 URL과 Blast 보안게이트웨이외부 URL은클라이언트가 PSG 및 Blast 보안게이트웨이를호스트하는컴퓨터에연결할수있도록허용해야합니다. 중간서버와 View Server 사이에 SSL 연결을요구할계획이아니라면 PCoIP 외부 URL과 Blast 외부 URL이중간서버를가리키도록재설정하지마십시오. View 연결서버인스턴스의외부 URL 설정 View Administrator를사용하여 View 연결서버인스턴스의외부 URL을구성합니다. 필수조건 보안터널연결이 View 연결서버인스턴스에서사용하도록설정되었는지확인하십시오. 20 VMware, Inc.

21 2 장 SSL 연결부하를중간서버로분산 1 View Administrator 에서 View 구성 > 서버를클릭합니다. 2 연결서버탭에서 View 연결서버인스턴스를선택하고편집을클릭합니다. 3 외부 URL 텍스트상자에보안터널외부 URL 을입력합니다. URL 에는프로토콜, 클라이언트가확인가능한호스트이름및포트번호가포함되어야합니다. 예 : 참고호스트이름을확인할수없을때 View 연결서버인스턴스에액세스해야할경우 IP 주소를사용할수있습니다. 그러나연결할호스트가 View 연결서버인스턴스에대해구성된 SSL 인증서와일치하지않으면액세스가차단되거나액세스시보안이약화됩니다. 4 이대화상자의모든주소가클라이언트시스템이이 View 연결서버인스턴스에도달하도록허용하는지확인합니다. 5 확인을클릭합니다. 보안서버의외부 URL 수정 View Administrator 를사용하여보안서버의외부 URL 을수정합니다. 필수조건 보안터널연결이이보안서버와연결된 View 연결서버인스턴스에서사용하도록설정되어있는지확인하십시오. 1 View Administrator 에서 View 구성 > 서버를선택합니다. 2 보안서버탭에서보안서버를선택하고편집을클릭합니다. 3 외부 URL 텍스트상자에보안터널외부 URL 을입력합니다. URL 에는프로토콜, 클라이언트가확인가능한보안서버호스트이름및포트번호가포함되어야합니다. 예 : 참고호스트이름을확인할수없을때보안서버에액세스해야할경우 IP 주소를사용할수있습니다. 그러나연결할호스트가보안서버에대해구성된 SSL 인증서와일치하지않으면액세스가차단되거나액세스시보안이약화됩니다. 4 이대화상자의모든주소가클라이언트시스템이이보안서버호스트에도달하도록허용하는지확인합니다. 5 변경사항을저장하려면확인을클릭합니다. View Administrator 는보안서버에업데이트된외부 URL 을보냅니다. 변경내용이적용되도록보안서버서비스를다시시작할필요가없습니다. 중간서버의 HTTP 연결허용 SSL 을중간서버로오프로드하는경우, 클라이언트쪽중간디바이스의 HTTP 연결을허용하도록 View 연결서버인스턴스나보안서버를구성할수있습니다. 중간디바이스는 Horizon Client 연결에대해 HTTPS 를허용해야합니다. View 서버와중간디바이스사이에 HTTP 연결을허용하려면 HTTP 연결이허용되는각 View 연결서버와보안서버에서 locked.properties 파일을구성해야합니다. VMware, Inc. 21

22 View 서버와중간디바이스사이에 HTTP 연결을허용하더라도 View 에서 SSL 을사용하지않도록설정할수는없습니다. View 서버에서는 HTTP 연결뿐아니라 HTTPS 연결도계속해서수락합니다. 참고 Horizon 클라이언트에서스마트카드인증을사용하는경우, View 연결서버나보안서버에대해직접 HTTPS 연결을설정해야합니다. 스마트카드인증을사용하면 SSL 오프로드기능이지원되지않습니다. 1 View 연결서버또는보안서버호스트의 SSL 게이트웨이구성폴더에 locked.properties 파일을생성또는편집하십시오. 예 : install_directory\vmware\vmware View\Server\sslgateway\conf\locked.properties 2 View 서버의프로토콜을구성하려면 serverprotocol 속성을추가하고 http 로설정합니다. http 값은소문자로입력해야합니다. 3 ( 선택사항 ) View 서버에기본값이아닌 HTTP 수신포트와네트워크인터페이스를구성하는속성을추가합니다. HTTP 수신포트 80 에서변경하려면 serverportnonssl 을중간디바이스가연결할수있도록구성한다른포트번호로설정합니다. View 서버에네트워크인터페이스가 2 개이상있는경우에서버가하나의인터페이스에서만 HTTP 연결을수신하도록하려면해당네트워크인터페이스의 IP 주소를 serverhostnonssl 에설정합니다. 4 locked.properties 파일을저장합니다. 5 변경내용을적용하려면 View 연결서버서비스또는보안서버서비스를다시시작하십시오. 예 : locked.properties 파일 이파일을사용하면 View 서버에 SSL 이아닌 HTTP 연결을사용할수있습니다. View 서버의클라이언트쪽네트워크인터페이스의 IP 주소는 입니다. 서버는기본포트 80 에서 HTTP 연결을수신합니다. http 값은소문자로입력해야합니다. serverprotocol=http serverhostnonssl= VMware, Inc.

23 색인 C certreq CSR 생성 8 인증서가져오기 12 H HTTP, SSL 오프로드를위해허용 21 L locked.properties 파일, SSL 연결부하분산 21 P PEM 형식인증서, PKCS# 12 로변환 17 PFX 인증서형식, 변환 17 PKCS#12 형식인증서, 변환 17 S SSL View server 로인증서가져오기 15 중간서버의외부 URL 설정 20 SSL 인증서 CA 에서가져오기 7 구하기 5 중간서버로구성 5 ㅇ외부 URL View 연결서버인스턴스구성 20 보안서버수정 21 용어집 5 인증서 CA 에서가져오기 7 Windows 인증서저장소준비 7 Windows 인증서저장소로가져오기 12 가져온인증서설정 13 구하기 5 대화명 19 인증서유형선택 8 인증서서명요청구성파일 9 생성 8, 10 인증서저장소에서확인 11 ㅈ중간서버, 인증서다운로드 16 중간서버, SSL 부하분산 15 중간서버, 개인키다운로드 17 중간인증서, 가져오기 19 V View 연결서버구성, 외부 URL 20 W Windows 인증서저장소, 인증서가져오기 18 ㄱ개인키, 인증서저장소에서확인 11 ㄷ대상 5 대화명, SSL 인증서에대해수정 19 ㄹ루트인증서, 가져오기 19 ㅂ보안서버, 외부 URL 수정 21 VMware, Inc. 23

24 24 VMware, Inc.