Consola Remota no System Center 2012 R2

Quando requisita um certificado a uma autoridade de certificação, um ficheiro de modelo de certificado .inf semelhante ao seguinte pode ser utilizado com a ferramenta Certreq. Para obter mais informações, consulteCertreq.

[Version]
Signature="$Windows NT$"
[NewRequest]
; Change to your,country code, company name and common name
Subject = "C=US, O=Contoso, CN=wap-rdg.contoso.com"
; Indicates both encryption and signing
KeySpec = 1 
; Length of the public and private key, use 2048 or higher
KeyLength = 2048
; Certificate will be put into the local computer store
MachineKeySet = TRUE 
PrivateKeyArchive = FALSE
RequestType = PKCS10
UserProtected = FALSE
; Allow the key to be shared between multiple computers
Exportable = TRUE
SMIME = False
UseExistingKeySet = FALSE 
; ProviderName and ProviderType must be for a CSP that supports SHA256
ProviderName = "Microsoft Enhanced RSA and AES Cryptographic Provider"
ProviderType = 24
; KeyUsage must include DigitalSignature. 0xA0 also includes Key Encipherment
KeyUsage = 0xa0
[EnhancedKeyUsageExtension]
OID=1.3.6.1.5.5.7.3.2

Pode validar que um certificado num ficheiro .pfx cumpre requisitos de algoritmo e de utilização avançada de chaves executando o seguinte script do Windows PowerShell:

$cert = Get-PfxCertificate <cert.pfx>
if ($cert.PrivateKey.CspKeyContainerInfo.ProviderName -ne "Microsoft Enhanced RSA and AES Cryptographic Provider")
{
       Write-Warning "CSP may not support SHA256"
}
if (! (Test-Certificate $cert -EKU "1.3.6.1.5.5.7.3.2") )
{
       Write-Warning "Certificate is not valid"
} 

Quando o certificado tiver sido criado, tem de instalá-lo e configurar o Virtual Machine Manager para que utilize o certificado para emitir tokens de afirmação A chave privada do certificado é então importada para a base de dados do Virtual Machine Manager. Para tal, utilize o cmdlets do Windows PowerShell Set-SCVMMServer, por exemplo:

PS C:\> $mypwd = ConvertTo-SecureString "password" -AsPlainText -Force
PS C:\> $cert = Get-ChildItem .\RemoteConsoleConnect.pfx 
PS C:\> $VMMServer = VMMServer01.Contoso.com
PS C:\> Set-SCVMMServer -VMConnectGatewayCertificatePassword $mypwd -VMConnectGatewayCertificatePath $cert -VMConnectHostIdentificationMode FQDN -VMConnectHyperVCertificatePassword $mypwd -VMConnectHyperVCertificatePath $cert -VMConnectTimeToLiveInMinutes 2 -VMMServer $VMMServer

Neste exemplo, o mesmo certificado é utilizado para o Gateway de RD e para os anfitriões Hyper-V, e os tokens têm uma duração de dois minutos. Pode selecionar uma duração para os tokens de 1 a 60 minutos.

O servidor anfitrião pode ser identificado pelo Nome de Domínio Completamente Qualificado (FQDN). Em alternativa, os anfitriões podem ser identificados pelo endereço IPv4, o endereço IPv6 e o nome de anfitrião. A identidade do anfitrião está incluída no ficheiro do protocolo RDP (Remote Desktop Protocol) que é enviado aos inquilinos.

RemoteConsoleConnect.pfx é utilizado para importar o ficheiro PFX no qual estão armazenadas as chaves dos certificados para a base de dados do VMM.

Quando cada anfitrião é atualizado no Virtual Machine Manager, este instala o certificado no arquivo de certificados Pessoais do anfitrião Hyper-V e configura o anfitrião Hyper-V de forma a validar os tokens utilizando o certificado. Pode utilizar o seguinte comando do Windows PowerShell para forçar uma atualização de todos os anfitriões Hyper-V:

PS C:\> Get-SCVMHost -VMMServer "VMMServer01.Contoso.com" | Read-SCVMHost

Quando está a autenticar os tokens, o Hyper-V só aceita tokens que são assinados com certificados específicos e algoritmos hash. O Virtual Machine Manager efetua a configuração necessária aos anfitriões de Hyper-V. Apenas o Hyper-V no Windows Server 2012 R2 suporta a funcionalidade de Consola Remota.

Quando utiliza um certificado autoassinado, tem de importar a chave pública do certificado para o arquivo de certificados das Autoridades de Certificação de Raiz Fidedigna para o anfitrião Hyper-V. O script seguinte fornece um exemplo de como utilizar o Windows PowerShell para importar a chave pública:

PS C:\> Import-Certificate -CertStoreLocation cert:\LocalMachine\Root -Filepath "<certificate path>.cer"

Tem de reiniciar o serviço de gestão de Máquina Virtual Hyper-V se instalar um certificado depois de configurar o Virtual Machine Manager.

Pode verificar se o anfitrião de Hyper-V está corretamente configurado para a Consola Remota do seguinte modo:

1. Verifique se o certificado está no arquivo de certificados Pessoais do anfitrião Hyper-V e se é fidedigno.

2. Verifique se a configuração hash do certificado de emissor fidedigno.

O script que se segue fornece um exemplo de como utilizar o Windows PowerShell para verificar se o certificado está instalado no arquivo de certificados Pessoais do anfitrião Hyper-V:

PS C:\> dir cert:\localmachine\My\ | Where-Object { $_.subject -eq "CN=Remote Console Connect" }

O script seguinte fornece um exemplo de como utilizar o Windows PowerShell para verificar a configuração hash do certificado de emissor fidedigno:

PS C:\> $TSData = Get-WmiObject -computername $Server -NameSpace "root\virtualization\v2" -Class "Msvm_TerminalServiceSettingData"

A matriz TrustedIssuerCertificateHashes tem de conter o thumbprint do certificado que é utilizado para ligar a consola remota. A matriz AllowedHashAlgorithms tem de estar vazia ou conter o algoritmo SHA256. Quando a matriz está vazia, assume como predefinição SHA256 ou SHA512.

O Gateway de Ambiente de Trabalho Remoto (Gateway de RD) só pode ser utilizado para acesso à consola das máquinas virtuais. Quando configurar o Gateway de RD, ocorre uma alteração da configuração, que faz com que o gateway fique inutilizável para outros fins. As tarefas seguintes são concluídas quando configurar o Gateway de RD:

1. Implementar o Gateway de RD e instalar a extensão de autenticação.

2. Instale o certificado.

3. Configure certificados de emissor fidedigno (utilizando o WMI).

4. Crie um certificado para o Gateway de RD.

Para suportar a autenticação federada, é necessário instalar o Gateway da Consola do Virtual Machine Manager do Microsoft System Center no servidor de Gateway de RD. Comece por criar uma máquina virtual, em seguida, ative os Serviços de Ambiente de Trabalho Remoto.

Em seguida, instale o componente do Gateway da Consola do Virtual Machine Manager do Microsoft System Center. Encontrará os binários de instalação para este componente na seguinte pasta de suporte de dados de instalação do Virtual Machine Manager: CDLayout.EVAL\amd64\Setup\msi\RDGatewayFedAuth. Para uma configuração de elevada disponibilidade, instale várias quantidades de Gateway de RD com o componente do Gateway de Ligação da Consola por trás de um balanceador de carga.

Em seguida, importe a chave pública do certificado para arquivo de certificados pessoais em cada servidor de Gateway de RD. Pode consegui-lo utilizando o Windows PowerShell, tal como apresentado no exemplo seguinte:

PS C:\> Import-Certificate -CertStoreLocation cert:\LocalMachine\My -Filepath "<certificate path>.cer"

Se estiver a utilizar um certificado autoassinado, tem de importar a chave pública do certificado para o arquivo das Autoridades de Certificação de Raiz Fidedignas nas conta da máquina. Pode consegui-lo utilizando o Windows PowerShell, tal como apresentado no exemplo seguinte:

PS C:\> Import-Certificate -CertStoreLocation cert:\LocalMachine\Root -Filepath "<certificate path>.cer"

Quando está a autenticar os tokens, o Gateway de RD só aceita tokens que são assinados com certificados específicos e algoritmos hash. Esta configuração é realizada definindo as propriedades TrustedIssuerCertificateHashes e AllowedHashAlgorithms na classe FedAuthSettings de WMI. Tem de ter credenciais administrativas para definir estas propriedades.

A propriedade TrustedIssuerCertificateHashes é uma matriz de thumbprints de certificado que estão armazenadas no servidor de Gateway de RD. Pode utilizar o seguinte comando do Windows PowerShell para definir a propriedade TrustedIssuerCertificateHashes:

$Server = "rdgw.contoso.com"
$Thumbprint = "95442A6B58EB5E443313C1B4AFD2665991D354CA"
$TSData = Get-WmiObject -computername $Server -NameSpace "root\TSGatewayFedAuth2" -Class "FedAuthSettings"
$TSData.TrustedIssuerCertificates = $Thumbprint
$TSData.Put()

O último passo consiste em selecionar ou criar um certificado autoassinado para o Gateway de RD. Para tal, abra o Gestor de Gateway de RD, clique com o botão direito em Gateway de Ambiente de trabalho remoto e clique em Propriedades. Na caixa de diálogo Propriedades, clique no separador Certificado SSL.

Este certificado é utilizado por computadores de inquilino para verificar a identidade do servidor Gateway de RD. O nome de NC para o certificado deve corresponder ao FQDN do servidor de Gateway de RD. Abra o Gestor de Gateway de RD e atribua ou crie um certificado autoassinado.

Pode verificar a configuração do Gateway de RD, efetuando os seguintes passos:

1. Certifique-se de que o Gateway de RD está configurado para utilizar o Gateway de Ligação de Consola para autenticação e autorização. Pode consegui-lo utilizando o Windows PowerShell, tal como apresentado no exemplo seguinte:

   PS C:\> Get-WmiObject -Namespace root\CIMV2\TerminalServices -Class Win32_TSGatewayServerSettings
   

   Verifique se as propriedades AuthenticationPlugin e AuthorizationPlugin estão definidas para FedAuthorizationPlugin.

2. Certifique-se de que foi instalado um certificado no arquivo de certificados pessoais para a conta da máquina. Pode consegui-lo utilizando o Windows PowerShell, tal como apresentado no exemplo seguinte:

   PS C:\> dir cert:\localmachine\My\ | Where-Object { $_.subject -eq "CN=Remote Console Connect" }
   

3. Verifique a configuração do Gateway de Ligação da Consola. Pode consegui-lo utilizando o Windows PowerShell, tal como apresentado no exemplo seguinte:

   PS C:\> Get-WmiObject -computername $Server -NameSpace "root\TSGatewayFedAuth2" -Class "FedAuthSettings"
   

   A matriz TrustedIssuerCertificates tem de conter o thumbprint do certificado do Gateway de Ligação da Consola.

Pode ativar o acesso à consola remota numa base por plano através do serviço de Nuvens de Máquina Virtual no Windows Azure Pack para Windows Server. No painel de controlo do plano, selecione Nuvens de Máquina Virtual nos serviços de plano e selecione Ligar à consola das máquinas virtuais nas definições adicionais.

Se tiver instalado um Gateway de Ambiente de Trabalho Remoto, leia o procedimento Como Configurar o Microsoft Azure Pack para utilizar o Gateway de Ambiente de Trabalho Remoto.

Recomendamos que efetue as seguintes tarefas para melhorar a segurança: