Windows Server: Come usare i certificati attendibili con Servizi Desktop remoto

Diversi componenti di Servizi Desktop remoto possono utilizzare certificati per garantire comunicazioni protette. È possibile utilizzare certificati autofirmati, ma devono essere installati manualmente nei client per essere considerati attendibili. I certificati emessi da una CA attendibile vengono considerati automaticamente attendibili dai client, ma la configurazione di RDS per l'utilizzo di questi certificati non è semplice per due motivi:

• All'interno di RDS non è presente alcun meccanismo integrato per la creazione di una richiesta di firma del certificato (CSR).
• Un certificato ricevuto da una CA deve essere associato alla relativa chiave privata prima che RDS possa utilizzarlo.

Questo articolo illustra come generare una CSR, utilizzare il certificato emesso per completare la CSR e configurare RDS per l'utilizzo del certificato.

Generare la CSR e inviarla alla CA.

1. Avviare Gestione Internet Information Services (IIS) dal menu Strumenti di Server Manager.
2. Selezionare il server nel riquadro a sinistra e cliccare due volte su Server Certificates nel riquadro centrale.
3. Nel menu Actions selezionare Create Certificate Request.
   Figura 1. Cliccare su Create Certificate Request per avviare il processo di creazione di una CSR.
4. Fornire le informazioni richieste alla procedura guidata CSR.
5. Specificare un nome file e un percorso per la CSR e cliccare su Finish.
    
   Figura 2. Specificare un nome file e un percorso per la richiesta di certificato.
6. Inviare il CSR alla CA. La procedura per eseguire questa operazione non può essere documentata qui, in quanto dipende dalla CA.

Scaricare il certificato, completare la CSR ed esportarla.

1. Scaricare il certificato emesso dalla CA in risposta alla CSR.
2. Avviare Gestione IIS e tornare alla sezione Server Certificates .
3. Cliccare su Complete Certificate Request.
   Figura 3. Cliccare su Complete Certificate Request per completare la CSR utilizzando il certificato emesso dalla CA.
4. Specificare il percorso e il nome file del certificato, il nome descrittivo e l'archivio certificati in cui deve essere archiviato. Il nome descrittivo può essere qualsiasi cosa tu voglia ed è preferibile l'archivio personale. Cliccare su OK. In questo modo il certificato viene associato alla chiave privata creata insieme alla CSR.
    
   Figura 4. Specificare il percorso del certificato, il nome descrittivo e un archivio certificati.
5. Cliccare due volte sul certificato. Verificare la presenza di una chiave privata corrispondente e cliccare su OK.
    
   Figura 5. Proprietà del certificato, che indicano la presenza della relativa chiave privata
6. Dopo aver selezionato il certificato, cliccare su Export.
   Figura 6: Cliccare su Export per esportare il certificato e la relativa chiave privata. 
7. Specificare un nome file e un percorso per il certificato esportato. Specificare una password e confermarla, quindi cliccare su OK.
    
   Figura 7. Specificare il nome file, il percorso e la password del certificato esportato.

Configurare RDS per l'utilizzo del certificato.

1. Nella sezione Servizi Desktop remoto di Server Manager, selezionare Modifica proprietà distribuzione.
    
   Figura 8. Cliccare su Edit Deployment Properties per configurare l'utilizzo dei certificati in RDS.
2. Nella finestra delle proprietà, selezionare Certificates.
3. Eseguire la seguente procedura per ogni servizio ruolo:
   1. Selezionare il servizio ruolo e cliccare su Seleziona certificato esistente.
      
      Figura 9: Fare clic su Select existing certificate per specificare un certificato per ogni servizio ruolo.  
   2. Con l'opzione Choose a different certificate selezionata, fornire il percorso del certificato esportato e la relativa password. Selezionare Consenti l'aggiunta del certificato all'archivio certificati delle autorità di certificazione root attendibili nei computer di destinazione.
       
      Figura 10: Specificare il percorso e la password del certificato utilizzato da utilizzato, quindi selezionare la casella Allow the certificate....
   3. Cliccare su OK.
   4. Cliccare su Apply.
4. Verificare che la colonna Level mostri lo stato Trusted per ogni servizio ruolo e cliccare su OK.
    
   Figura 11. I certificati utilizzati da tutti i servizi ruolo RDS sono ora attendibili.