Dla potrzeb tego tematu założono, że Czytelnik zna takie pojęcia, jak łańcuchy zaufania certyfikatów, podpisywanie certyfikatów, ogólna infrastruktura kluczy publicznych oraz zasady konfiguracji certyfikatów. Aby uzyskać informacje na temat konfiguracji infrastruktury kluczy publicznych (PKI) w systemie Windows Server 2008, zobacz sesję szkoleniową ITPROADD-204: Ulepszenie infrastruktury kluczy publicznych w systemach Windows Vista i Windows Server 2008 (https://go.microsoft.com/fwlink/?LinkId=93995 (strona może zostać wyświetlona w języku angielskim)). Aby uzyskać informacje na temat konfiguracji infrastruktury kluczy publicznych w systemie Windows Server 2003, zobacz artykuł dotyczący infrastruktury kluczy publicznych (https://go.microsoft.com/fwlink/?LinkID=54917) (strona może zostać wyświetlona w języku angielskim).

Domyślnie protokół TLS (Transport Layer Security) 1.0 jest używany do szyfrowania komunikacji między klientami roli Usługi pulpitu zdalnego a serwerami usługi Brama usług pulpitu zdalnego w Internecie. Protokół TLS to standardowy protokół używany do zapewniania bezpiecznej komunikacji w Internecie i intranecie. Protokół TLS jest najnowszą i najbezpieczniejszą wersją protokołu SSL (Secure Sockets Layer). Aby uzyskać więcej informacji o protokole TLS, zobacz:

Aby protokół TLS działał poprawnie, na serwerze usługi Brama usług pulpitu zdalnego należy zainstalować certyfikat X.509 zgodny z protokołem SSL.

Omówienie instalacji i konfiguracji certyfikatu

Proces uzyskiwania, instalowania i konfigurowania certyfikatu dla serwera usługi Brama usług pulpitu zdalnego obejmuje następujące kroki.

Krok 1. Uzyskiwanie certyfikatu dla serwera bramy usług pulpitu zdalnego

Należy uzyskać certyfikat dla serwera usługi Brama usług pulpitu zdalnego, używając jednej z następujących metod:

  • Jeśli firma prowadzi autonomiczny urząd certyfikacji lub urząd certyfikacji przedsiębiorstwa skonfigurowany do wystawiania certyfikatów X.509 zgodnych z protokołem SSL i spełniających wymagania usługi Brama usług pulpitu zdalnego, można generować i przekazywać żądanie dotyczące certyfikatu na kilka sposobów, w zależności od zasad i konfiguracji urzędu certyfikacji organizacji. Istnieją następujące metody uzyskania certyfikatu:

    • Zainicjowanie autorejestrowania z przystawki Certyfikaty.

    • Żądanie certyfikatów przy użyciu Kreatora żądania certyfikatów.

    • Żądanie certyfikatu przez sieć Web.

      Uwaga

      W przypadku urzędu certyfikacji w systemie Windows Server 2003 należy mieć świadomość, że funkcja rejestrowania w sieci Web usług certyfikatów w systemie Windows Server 2003 zależy od formantu ActiveX o nazwie Xenroll. Ten formant ActiveX jest dostępny w systemie Microsoft Windows 2000, Windows Server 2003 oraz Windows XP. Jednak formant Xenroll jest niezalecany w systemach Windows Server 2008 i Windows Vista. Przykładowe strony sieci Web dotyczące rejestrowania certyfikatów, które dołączono do pierwotnej wersji systemu Windows Server 2003, systemu Windows Server 2003 z dodatkiem Service Pack 1 (SP1) oraz systemu Windows Server 2003 z dodatkiem Service Pack 2 (SP2) nie zostały zaprojektowane do obsługi zmian w wykonywaniu operacji rejestrowania certyfikatu opartego na sieci Web w systemach Windows Server 2008 i Windows Vista. Aby uzyskać informacje dotyczące kroków koniecznych do rozwiązania tego problemu, zobacz artykuł 922706 w bazie wiedzy Microsoft Knowledge Base (https://go.microsoft.com/fwlink/?LinkId=94472) (strona może zostać wyświetlona w języku angielskim).

    • Użycie narzędzia wiersza polecenia Certreq.

    Aby uzyskać więcej informacji na temat korzystania z tych metod uzyskiwania certyfikatów w systemie Windows Server 2008 R2, zobacz temat Pomocy przystawki Certyfikaty dotyczący uzyskiwania certyfikatu oraz temat dotyczący narzędzia Certreq na stronie dokumentacji poleceń systemu Windows Server 2008 R2. Aby się zapoznać z tematami Pomocy przystawki Certyfikaty, kliknij przycisk Start, kliknij polecenie Uruchom, wpisz hh certmgr.chm, a następnie kliknij przycisk OK. Aby uzyskać informacje na temat żądania certyfikatów dla systemu Windows Server 2003, zobacz artykuł dotyczący żądania certyfikatów (https://go.microsoft.com/fwlink/?LinkID=19638) (strona może zostać wyświetlona w języku angielskim).

    Certyfikat wystawiony przez autonomiczny urząd certyfikacji lub urząd certyfikacji przedsiębiorstwa musi być podpisany także przez zaufany publiczny urząd certyfikacji, który uczestniczy w programie certyfikatów głównych firmy Microsoft (https://go.microsoft.com/fwlink/?LinkID=59547) (strona może zostać wyświetlona w języku angielskim). W przeciwnym przypadku użytkownicy nawiązujący połączenie z komputerów domowych lub kiosków mogą nie być w stanie nawiązać połączenia z serwerami usługi Brama usług terminalowych (TS Gateway) lub usługi Brama usług pulpitu zdalnego. Te połączenia mogą się nie powieść, ponieważ certyfikat główny wystawiony przez urząd certyfikacji może nie być oznaczony jako zaufany na komputerach, które nie są elementami członkowskimi domeny, takich jak komputery domowe czy kioski.

  • Jeśli firma nie prowadzi autonomicznego urzędu certyfikacji ani urzędu certyfikacji przedsiębiorstwa skonfigurowanego do wystawiania certyfikatów X.509 obsługujących protokół SSL, można kupić certyfikat z zaufanego publicznego urzędu certyfikacji, który uczestniczy w programie certyfikatów głównych firmy Microsoft (https://go.microsoft.com/fwlink/?LinkID=59547) (strona może zostać wyświetlona w języku angielskim). Niektóre z tych publicznych urzędów certyfikacji mogą udostępniać certyfikaty do bezpłatnego wypróbowania.

  • Jeśli firma nie prowadzi autonomicznego urzędu certyfikacji ani urzędu certyfikacji przedsiębiorstwa i użytkownik nie dysponuje zgodnym certyfikatem pochodzącym z zaufanego publicznego urzędu certyfikacji, można (na potrzeby testowania i oceny technicznej) utworzyć i zaimportować certyfikat z podpisem własnym dla serwera usługi Brama usług pulpitu zdalnego. Aby uzyskać więcej informacji, zobacz Tworzenie certyfikatu z podpisem własnym dla serwera bramy usług pulpitu zdalnego.

    Ważne

    W przypadku użycia jednej z dwóch pierwszych metod do uzyskania certyfikatu (czyli w sytuacji, gdy certyfikat jest uzyskiwany z autonomicznego urzędu certyfikacji, urzędu certyfikacji przedsiębiorstwa lub zaufanego publicznego urzędu certyfikacji), należy także Importowanie certyfikatu na serwer bramy usług pulpitu zdalnego i Wybieranie istniejącego certyfikatu dla bramy usług pulpitu zdalnego. Jeśli jednak jest tworzony certyfikat z podpisem własnym za pomocą Kreatora dodawania ról podczas instalacji usługi roli bramy usług pulpitu zdalnego lub za pomocą programu Menedżer bramy usług pulpitu zdalnego po ukończeniu instalacji (zgodnie z instrukcjami w temacie Tworzenie certyfikatu z podpisem własnym dla serwera bramy usług pulpitu zdalnego), nie trzeba instalować ani mapować certyfikatu na serwerze usługi Brama usług pulpitu zdalnego. W takim przypadku certyfikat jest automatycznie tworzony, instalowany we właściwej lokalizacji na serwerze usługi Brama usług pulpitu zdalnego i mapowany na serwer usługi Brama usług pulpitu zdalnego.

    Należy pamiętać, że klienci roli Usługi pulpitu zdalnego muszą mieć w swoim magazynie zaufanych głównych urzędów certyfikacji certyfikat urzędu certyfikacji, który wystawił certyfikat serwera. Aby uzyskać instrukcje krok po kroku dotyczące instalowania certyfikatu na kliencie, zobacz Instalowanie certyfikatu głównego serwera bramy usług pulpitu zdalnego na kliencie usług pulpitu zdalnego.

    Jeśli certyfikat uzyskano przy użyciu jednej z dwóch pierwszych metod i komputer kliencki usług Usługi pulpitu zdalnego ufa urzędowi certyfikacji wystawiającemu certyfikat, nie trzeba instalować certyfikatu urzędu certyfikacji, który wystawił certyfikat serwera w magazynie certyfikatów komputera klienckiego. Na przykład nie trzeba instalować certyfikatu urzędu certyfikacji w magazynie certyfikatów komputera klienckiego, jeśli na serwerze usługi Brama usług pulpitu zdalnego zainstalowano certyfikat urzędu VeriSign lub innego publicznego zaufanego urzędu certyfikacji. W przypadku uzyskania certyfikatu przy użyciu trzeciej metody (czyli w przypadku utworzenia certyfikatu z podpisem własnym) trzeba zainstalować certyfikat urzędu certyfikacji, który wystawił certyfikat serwera w magazynie zaufanych głównych urzędów certyfikacji na komputerze klienckim. Aby uzyskać więcej informacji, zobacz Instalowanie certyfikatu głównego serwera bramy usług pulpitu zdalnego na kliencie usług pulpitu zdalnego.

Krok 2. Importowanie certyfikatu

Po uzyskaniu certyfikatu można go zaimportować na serwer usługi Brama usług pulpitu zdalnego, korzystając z jednej z następujących metod:

Dodatkowe informacje

Spis treści