Eingeschränkte Verfügbarkeit: Konfigurieren von Horizon Agent, Horizon Console, Berechtigungen und Funktionen

Konfigurieren von Horizon Agent für macOS

Ändern Sie nach der Installation die Konfigurationseinstellungen von Horizon Agent.

Konfigurationsdatei von Horizon Agent

Horizon Agent für macOS speichert seine Konfiguration unter:

/private/etc/omnissa/horizonagent-config.txt

Bearbeiten Sie diese Datei, um die Agent-Einstellungen anzupassen. Starten Sie den Horizon Agent-Dienst nach Änderungen neu, damit diese wirksam werden.

Neustarten des Horizon Agent-Diensts

So starten Sie den Horizon Agent-Dienst neu:

sudo launchctl stop com.omnissa.horizon.coreagent
sudo launchctl start com.omnissa.horizon.coreagent

So überprüfen Sie den aktuellen Status des Agent-Diensts:

sudo launchctl list | grep omnissa

Konfigurieren von Blast-Einstellungen

Horizon Agent für macOS verwendet ausschließlich Horizon Blast Extreme. PCoIP wird nicht unterstützt.

Hinweis: Bei Gruppenrichtlinien handelt es sich um einen Mechanismus, der nur unter Windows verfügbar ist und unter macOS nicht angewendet wird. Konfigurieren Sie die Blast-Protokolleinstellungen nicht über die Horizon Agent-Gruppenrichtlinieneinstellungen auf einem Mac Agent-Computer.

Blast-Protokolleinstellungen für macOS – einschließlich Codec-Einstellungen, Encoder-Verhalten, Frame-Rate und Bandbreite – werden über die Horizon Agent-Konfigurationsdatei konfiguriert. Die für Horizon Agent für macOS verwendeten Blast-Konfigurationseinträge entsprechen den für Horizon Agent für Linux verwendeten Einträgen. Eine Liste der Blast-Konfigurationsoptionen und Beispielwerte, die für verschiedene Netzwerktypen optimiert sind, finden Sie unter Beispiel für Blast-Einstellungen für Linux-Desktops.

Konfigurieren der Anzeigeeinstellungen

Horizon Agent für macOS unterstützt bis zu zwei Monitore. Horizon Client und Horizon Agent handeln die Bildschirmauflösung und das Verhalten bei mehreren Monitoren während des Sitzungsaufbaus aus. Für den Standardbetrieb mit mehreren Monitoren ist keine zusätzliche Konfiguration auf Agent-Seite erforderlich.

Konfigurieren von Datenschutz- und Sicherheitsberechtigungen für Horizon Agent unter macOS

Unter macOS ist für die vom Horizon Agent benötigten Datenschutz- und Sicherheitsberechtigungen für Remotesitzungsfunktionen eine ausdrückliche Genehmigung durch den Benutzer oder Administrator erforderlich.

Die folgenden Datenschutz- und Sicherheitsberechtigungen müssen auf dem Mac Agent-Computer konfiguriert werden. Jede Berechtigung muss für die entsprechende Horizon Agent-Anwendung erteilt werden.

Manuelles Genehmigen von Berechtigungen auf nicht verwalteten Geräten

Auf Computern, die nicht bei einer MDM-Lösung registriert sind, muss der macOS-Benutzer jede Berechtigung manuell genehmigen:

1. Öffnen Sie Systemeinstellungen > Datenschutz und Sicherheit.
2. Suchen Sie für jede Berechtigungskategorie in der obigen Tabelle nach dem Eintrag „Omnissa Horizon Agent“ und aktivieren Sie die Umschaltoption.
3. Wenn Sie dazu aufgefordert werden, klicken Sie auf Beenden und neu öffnen, um den Agentenprozess neu zu starten.
4. Wiederholen Sie den Vorgang für jede Berechtigung.

Hinweis: Ohne diese Berechtigungen funktioniert Horizon Agent nicht. Benutzer werden während ihrer ersten Horizon-Anmeldesitzung aufgefordert, Berechtigungen zu genehmigen, wenn diese nicht vorkonfiguriert sind.

In Produktionsumgebungen, die bei Workspace ONE UEM, Jamf oder Microsoft Intune registriert sind, können Administratoren alle erforderlichen Berechtigungen vorab konfigurieren und über MDM-Profile verteilen, bevor Benutzer eine Verbindung herstellen. Dieser Ansatz macht manuelle Aufforderungen zur Genehmigung durch den Benutzer vollständig überflüssig. Konfigurationsschritte finden Sie unter „Verwalten von macOS-Berechtigungen mit MDM“.

Konfigurieren von macOS-Maschinen in Horizon Console

Fügen Sie physische macOS-Maschinen zu Horizon Console hinzu und weisen Sie sie einem manuellen Desktop-Pool zu, bevor sie Endbenutzern zur Verfügung gestellt werden

Hinzufügen physischer macOS-Maschinen

1. Navigieren Sie in Horizon Console zu Einstellungen > Registrierte Computer > Sonstige, um die registrierte macOS-Maschine anzuzeigen.
2. Alternativ sind dieselben Details auch unter Bestandsliste > Maschinen > Sonstige verfügbar.
3. Bestätigen Sie, dass die Maschine nach der Registrierung mit dem erwarteten Status angezeigt wird.

Erstellen eines manuellen Desktop-Pools

Horizon Agent für macOS erfordert einen manuellen Desktop-Pool. Automatisierte und Instant-Clone-Pools werden nicht unterstützt.

1. Navigieren Sie in Horizon Console zu Bestandsliste > Desktop-Pools.

2. Klicken Sie auf Hinzufügen.

3. Wählen Sie Manueller Desktop-Pool aus.

4. Wählen Sie Sonstige als Maschinenquelle aus.

5. Konfigurieren Sie die Pool-Einstellungen, einschließlich des Remote-Anzeigeprotokolls (wählen Sie Horizon Blast aus).

6. Wählen Sie die beim Broker registrierte macOS-Maschine aus.

   Hinweis: PCoIP wird für macOS-Desktops nicht unterstützt. Verbindungen über PCoIP schlagen fehl.

7. Schließen Sie den Assistenten zur Poolerstellung ab.

Berechtigen von Benutzern und Gruppen

1. Navigieren Sie in Horizon Console zu dem von Ihnen erstellten Desktop-Pool.
2. Klicken Sie auf Berechtigungen > Berechtigung hinzufügen.
3. Fügen Sie Active Directory-Benutzer oder -Gruppen hinzu, die Zugriff auf die macOS-Desktops erhalten sollen.

Hinweis: SSO wird für macOS-Desktops nicht unterstützt. Nachdem der berechtigte AD-Benutzer eine Verbindung hergestellt hat, muss er sich bei der macOS-Sitzung erneut mit den Anmeldedaten des lokalen Kontos auf der Zielmaschine authentifizieren.

Verwalten von macOS-Berechtigungen mit MDM

Der Horizon Agent für macOS benötigt für den Betrieb mehrere Datenschutz- und Sicherheitsberechtigungen von macOS. Omnissa empfiehlt, dass Administratoren diese Berechtigungen über Mobile Device Management (MDM) bereitstellen, um manuelle Eingabeaufforderungen für die Genehmigung durch die Benutzer in Produktionsumgebungen zu vermeiden.

Workspace ONE UEM wird als MDM-Plattform für Omnissa Horizon-Bereitstellungen empfohlen. Jamf Pro und Microsoft Intune können auch die erforderlichen PPPC-Profile (Privacy Preferences Policy Control) bereitstellen.

Übersicht über die erforderlichen Berechtigungen

Erteilen Sie dem Horizon Agent-Prozess die folgenden Berechtigungen:

Zugriffseinstellungen

Der Wert für Zugriff ist nicht für alle Berechtigungen auf Allow festgelegt. Verwenden Sie Folgendes:

Hinweis: Apple verhindert eine automatische Genehmigung für „Bildschirmaufnahme“ und „Ereignis überwachen“. Diese Berechtigungen müssen auf Nur Standardbenutzer dürfen Systemdienste festlegen festgelegt werden, damit der Benutzer bei der ersten Verwendung zur Genehmigung aufgefordert wird.

Bereitstellen der erforderlichen Berechtigungen über Workspace ONE UEM

Vorgehensweise

1. Melden Sie sich bei der Workspace ONE UEM Console an.

2. Navigieren Sie zu Ressourcen > Profile und Baselines > Profile.

3. Klicken Sie auf Hinzufügen > Profil hinzufügen > macOS.

4. Wählen Sie Geräteprofil.

5. Geben Sie in der Nutzlast „Allgemein“ einen Profilnamen ein, wie z. B Horizon Agent Privacy.

6. Fügen Sie die Nutzlast Privacy Preferences Policy Control (PPPC) hinzu.

7. Fügen Sie einen App-Eintrag für jede Berechtigung hinzu, indem Sie den korrekten Paketbezeichner aus der obigen Tabelle verwenden.

   • Geben Sie für Bezeichner den Paketbezeichner ein, der der Berechtigung entspricht: com.omnissa.horizon.blastworker für Barrierefreiheit und Eingabeüberwachung, com.omnissa.horizon.agent für Bildschirm- und Systemaudioaufnahme oder com.omnissa.horizon.jre für Eingabeüberwachung.

   • Wählen Sie bundleID als Bezeichnertyp aus.

   • Geben Sie für Code-Anforderung die Codesignaturanforderung für die entsprechende Horizon Agent-Binärdatei ein. Führen Sie zum Abrufen dieses Werts den Befehl codesign für jede Binärdatei auf einer Referenzmaschine aus, auf der Horizon Agent bereits installiert ist. Weitere Informationen finden Sie unter „Abrufen von Codesignaturanforderungen“.

   • Wählen Sie für Dienst den entsprechenden Dienst aus: ScreenCapture, Accessibility oder ListenEvent.

   • Legen Sie für Zugriff den Wert gemäß der obigen Tabelle mit den Zugriffseinstellungen fest. Wählen Sie Zulassen für „Barrierefreiheit“ aus. Wählen Sie Nur Standardbenutzer dürfen Systemdienste festlegen für „Bildschirmaufnahme“ und „Ereignis überwachen“ aus.

8. Weisen Sie das Profil der Geräte-Smartgroup zu, die Ihre registrierten macOS-Maschinen enthält.

9. Veröffentlichen Sie das Profil.

Nach der Bereitstellung des Profils startet der Benutzer eine VDI-Sitzung über Horizon Client. Nur beim ersten Start fordert macOS den Benutzer auf, alle folgenden Berechtigungen zu genehmigen:

• BlastWorker für Eingabeüberwachung
• HorizonJRE für Eingabeüberwachung
• CaptureAgent für Bildschirm- und Systemaudioaufnahme

Der Benutzer klickt bei jeder Eingabeaufforderung auf Zulassen. In den Systemeinstellungen sind keine weiteren Aktionen erforderlich. macOS zeigt diese Eingabeaufforderungen automatisch an, wenn der Agent die jeweilige Berechtigung zum ersten Mal anfordert.

Abrufen von Codesignaturanforderungen

Der Befehl codesign muss für jede einzelne Binärdatei ausgeführt werden, nicht für die oberste Ebene .app:

codesign --display -r - /path/to/BlastWorker
codesign --display -r - /path/to/CaptureAgent
codesign --display -r - /path/to/HorizonJRE

Bereitstellen mit Jamf Pro

Jamf Pro stellt PPPC-Profile über die Nutzlast „Privacy Preferences Policy Control“ bereit. Verwenden Sie dieselben oben beschriebenen Konfigurationsfelder, Paketbezeichnerwerte und Zugriffseinstellungen. Die spezifischen Schritte zum Erstellen und Bereitstellen eines Konfigurationsprofils finden Sie in der Jamf Pro-Dokumentation.

Bereitstellen mit Microsoft Intune

Microsoft Intune kann mithilfe von Nutzlasten der Eigenschaftsliste (Plist) benutzerdefinierte Konfigurationsprofile auf macOS-Geräten bereitstellen. Verwenden Sie den Nutzlastschlüsselcom.apple.TCC.configuration-profile-policy, um Datenschutzeinstellungen zu konfigurieren. Die spezifischen Schritte finden Sie in der Microsoft Intune-Dokumentation.

Validieren der Konfiguration

Validieren Sie die Konfiguration nach der Bereitstellung von MDM-Profilen:

1. Registrieren Sie einen macOS-Testcomputer bei Ihrer MDM-Lösung.
2. Wenden Sie das PPPC-Profil an.
3. Öffnen Sie eine Horizon Client-Sitzung auf dem macOS-Desktop.
4. Stellen Sie Folgendes sicher:
   • Die Remote-Sitzung wird ohne Aufforderung zur Erteilung der Berechtigung für die Bildschirmaufnahme angezeigt.
   • Tastatur- und Mauseingaben funktionieren ohne Aufforderung zur Erteilung der Berechtigung für die Barrierefreiheit.
   • Die Berechtigungen bleiben nach der Abmeldung und erneuten Anmeldung erhalten.
5. Dokumentieren Sie den erwarteten Unterschied im Verhalten zwischen einer UEM-verwalteten Maschine und einer nicht verwalteten Maschine für Ihre Bereitstellungsdatensätze.

Verwenden von Horizon-Funktionen unter macOS

Zwischenablagenumleitung

Bei der Zwischenablagenumleitung handelt es sich um eine Funktion, mit der Benutzer Daten zwischen ihrem lokalen Gerät und einer Remote-Desktop-Sitzung kopieren und einfügen können.

Agent-seitige Konfiguration

Die Einstellungen für die Zwischenablagenumleitung werden aus der Horizon Agent-Konfigurationsdatei gelesen. Der Agent durchsucht die folgenden Speicherorte in der angegebenen Prioritätsreihenfolge. Der zuerst gefundene Wert wird angewendet:

1. /Users/<user>/Library/Preferences/Omnissa Horizon Agent/config
2. /Users/<user>/.omnissa/config
3. /usr/lib/omnissa/config
4. /etc/omnissa/config

Geben Sie jeden Konfigurationseintrag in einer separaten Zeile im folgenden Format an:

Identifier.SettingName=Value

Unterstützte Zwischenablageeinstellungen

• Clipboard.Direction

  Steuert die zulässige Richtung der Zwischenablagenumleitung zwischen dem Client und dem Horizon Agent.
  
  Beispiel:
  
  ```
  Clipboard.Direction=1
  ```
  
  | Wert | Beschreibung |
  |---|---|
  | 0 | Deaktiviert (deaktiviert die Zwischenablagenumleitung) |
  | 1 | Bidirektional (Client ↔ Agent) |
  | | 2 Nur Client zu Agent (Standard) |
  | 3 | Nur Agent zu Client |
  

• mksvchan.clipboardSize

  Definiert die maximale Größe der Nutzlast der Zwischenablage, die über die Zwischenablagenumleitung übertragen werden kann.
  
  Beispiel:
  
  ```
  mksvchan.clipboardSize=4096
  ```
  
  In diesem Beispiel sind Zwischenablagenübertragungen von bis zu 4096 KB (4 MB) möglich.
  

Audio-Umleitung

Horizon Agent für macOS unterstützt in Remote-Sitzungen nur die Umleitung der Audioausgabe (Lautsprecher und Kopfhörer).

Unterstützung für mehrere Monitore

Horizon Agent für macOS unterstützt bis zu zwei Monitore gleichzeitig. Horizon Client und Horizon Agent handeln das Monitorlayout beim Sitzungsstart aus. Für den Standardbetrieb mit mehreren Monitoren ist keine zusätzliche Konfiguration auf Agent-Seite erforderlich.