Checkliste der Anforderungen für die Bereitstellung eines Horizon Cloud on OpenStack Edge

Der Zweck dieser Checkliste besteht darin, Sie über die erforderlichen Elemente zum Erstellen einer Horizon Cloud on OpenStack Edge-Bereitstellung mit OpenStack (kundeneigene Bereitstellung oder Platform9 Private Cloud Director (PCD)) als Kapazitätsanbieter und Verwendung der Horizon Control Plane zu informieren.

Hinweis: Horizon Cloud on OpenStack ist derzeit nur im Modus Eingeschränkte Verfügbarkeit (Limited Availability, LA) verfügbar.

Diese Checkliste gilt für Horizon Cloud-Kundenkonten, die noch nie eine Horizon Cloud on OpenStack-Bereitstellung in ihrer Mandantenumgebung hatten. Solche Mandanten können als saubere oder neue Umgebungen bezeichnet werden.

Sie müssen einige der folgenden Elemente ausführen, bevor Sie Horizon Cloud bereitstellen. Sie können einige Elemente aufschieben, bis die Bereitstellung abgeschlossen ist und ausgeführt wird.

Port- und Protokollanforderungen

Bestimmte Ports und Protokolle sind für die Bereitstellung und den laufenden Betrieb Ihrer Horizon Cloud-Umgebung erforderlich. Einzelheiten finden Sie unter Port- und Protokollanforderungen für Horizon Cloud on OpenStack Edge.

Lizenzierung für die Microsoft Windows-Betriebssysteme

Horizon Cloud stellt keine Lizenz für das Gastbetriebssystem bereit, die für die Verwendung von Microsoft Windows-Betriebssystemen erforderlich ist, die Sie im Zuge der Verwendung von Horizon Cloud-Workflows nutzen. Sie müssen über gültige und geeignete Microsoft-Lizenzen verfügen, die Sie zum Erstellen und Ausführen von Workflows und zum Betrieb der Windows-basierten Desktop-VMs und RDSH-VMs berechtigen, die Sie für Ihre Horizon Cloud-Mandantenumgebung auswählen. Die erforderliche Lizenzierung hängt von der beabsichtigten Verwendung ab.

Anforderungen für Unified Access Gateway

Ein Cluster aus Unified Access Gateway-VMs ist einem Pool zugeordnet, mit der Clients vertrauenswürdige Horizon Web Client-Verbindungen zu den VMs in diesem Pool herstellen können. Sie verwenden die Horizon Universal Console, um Horizon Cloud mit dem Unified Access Gateway zu konfigurieren.

Für Horizon Cloud on OpenStack benötigen Sie ein Zertifikat oder Zertifikate für das Omnissa Unified Access Gateway (UAG) im PEM- oder PFX-Format, das bzw. die mit dem FQDN übereinstimmt.

Die folgenden Elemente sind erforderlich, um Horizon Cloud mit dem Unified Access Gateway zu konfigurieren. Zugehörige Netzwerkinformationen finden Sie unter Konfigurieren von Netzwerkeinstellungen für Horizon Cloud on OpenStack Edge-Bereitstellungen in Verwenden und Verwalten von Horizon Cloud.

Anforderungen an die Benutzer- und Maschinenidentität

Horizon Cloud unterscheidet sich von anderen Umgebungen in der Identitätsverarbeitung. In Horizon Cloud unterscheidet der Dienst zwischen Benutzer- und Maschinenidentität und stützt sich beim Aufbau einer sicheren Verbindung zwischen einem Client und einem Remote-Desktop oder einer Anwendung auf beide Identitätstypen.

Hinweis: Diese Unterscheidung zwischen Benutzer- und Maschinenidentität ist für Sie möglicherweise neu, wenn Sie eher mit Umgebungen vertraut sind, in denen ein einziger Identitätsanbieter zur Authentifizierung der Benutzer- und Maschinenidentität verwendet wird, wie z. B. der First-Gen-Horizon Cloud-Umgebung oder einer lokalen Horizon 8-Umgebung.

In Horizon Cloud müssen Sie eine Identitätskonfiguration einrichten, die aus einem Identitätsanbieter zur Authentifizierung der Benutzeridentität und einem Identitätsanbieter zur Authentifizieren der Maschinenidentität besteht.

Anforderungen an die Benutzeridentität

Für Horizon Cloud müssen Sie einen Benutzeridentitätsanbieter registrieren. Der Dienst verwendet diesen Identitätsanbieter zur Authentifizierung von Clientbenutzern, die auf Remote-Desktops und -anwendungen zuzugreifen möchten.

Horizon Cloud ist auf einen externen Identitätsanbieter angewiesen und unterstützt derzeit Microsoft Entra ID (Azure Active Directory) und Omnissa Workspace ONE Access. Der Identitätsanbieter, den Sie mit Horizon Cloud konfigurieren, führt die Authentifizierung durch, die erforderlich ist, wenn Benutzer versuchen, auf ihre Desktops zuzugreifen.

Sowohl für Microsoft Entra ID als auch für Workspace ONE Access ist es erforderlich, ein lokales Active Directory mit dem externen Identitätsanbieter zu verbinden.

Weitere Informationen zum Konfigurieren des Identitätsanbieters Ihrer Wahl finden Sie unter Einrichten Ihres Identitätsanbieters.

Anforderungen an die Maschinenidentität

Für Horizon Cloud ist auch die Registrierung eines Maschinenidentitätsanbieters erforderlich. Der Dienst verwendet diesen Identitätsanbieter, um die Maschinenidentität von virtuellen Maschinen festzulegen, die Remote-Desktops und -anwendungen bereitstellen.

Der Dienst verbindet über den Maschinenidentitätsanbieter Remote-Desktops und die VM-Quellen für Remoteanwendungen mit der Domäne des vertrauenswürdigen Netzwerks, auf die Clientbenutzer zugreifen können.

Die folgenden Voraussetzungen müssen erfüllt sein:

• Lokales Active Directory wird unterstützt und ist für die Maschinenidentität erforderlich. Die VDI-Desktops werden dieser Active Directory-Domäne hinzugefügt, daher müssen die Domänencontroller von dem Netzwerk aus erreichbar sein, in dem die Desktops bereitgestellt werden sollen.

• Sie müssen ein primäres und zusätzliches Domänenbeitrittskonto erstellen.

• Sie benötigen ein Konto für den Beitritt zur Active Directory-Domäne, das vom System verwendet werden kann, um Sysprep-Vorgänge durchzuführen und Computer in die Domäne aufzunehmen.

• Stellen Sie das Kennwort Ihres Kontos auf „Läuft nie ab“ ein.

• Für Ihr Konto sind die folgenden Active Directory-Berechtigungen erforderlich: „Alle Eigenschaften lesen“, „Kennwort zurücksetzen“, „Computerobjekte erstellen“, „Computerobjekte löschen“ und „Alle Eigenschaften schreiben“.

Weitere Informationen finden Sie in der Active Directory-Tabellenzeile weiter unten in diesem Thema.

API-Mindestanforderungen

In dieser Tabelle sind die erforderlichen Mindest- und Höchstversionen sowie die Mikroversionen der API für jeden Dienst aufgeführt. Dienste ohne Einschränkung hinsichtlich der Mikroversion erfordern lediglich die angegebene Basisversion der API. Dienste ohne aufgeführte API-Version werden registriert, aber Versionsdetails sind noch nicht definiert.

Unterstützte Identitätskonfigurationen

Horizon Cloud erfordert, dass Sie eine Identitätskonfiguration registrieren, die aus einem Benutzeridentitätsanbieter und einem Maschinenidentitätsanbieter besteht. Die Funktionen können je nach den in der Konfiguration enthaltenen Identitätsanbietern variieren.

Horizon Cloud unterstützt die folgenden Identitätskonfigurationen.

In den nächsten Abschnitten werden die Anforderungen für jeden unterstützten Benutzeridentitätsanbieter und Maschinenidentitätsanbieter beschrieben.

Anforderungen an die Benutzeridentität

In den nachstehenden vorbereitenden Informationen werden die Anforderungen für den Benutzeridentitätsanbieter beschrieben, den Sie in Ihrer Identitätskonfiguration verwenden möchten. Horizon Cloud unterstützt Microsoft Entra ID und Workspace ONE Access als Anbieter von Benutzeridentitäten.

Zusätzlich zu den in diesem Abschnitt beschriebenen Anforderungen finden Sie im Abschnitt Unterstützte Identitätskonfigurationen Informationen zu den Überlegungen für Funktionen und den Maschinenidentitätsanbietern, die Sie mit jedem Benutzeridentitätsanbieter verwenden können. Eine Übersicht über die Verwaltung von Identitäten mithilfe von Horizon Cloud finden Sie im Abschnitt Grundlegendes zur Benutzer- und Maschinenidentität.

• Microsoft Entra-ID

  ☐

  Wenn Microsoft Entra ID Commercial oder Microsoft Entra ID Government als Ihr Benutzeridentitätsanbieter fungiert, muss ein Benutzer mit globalen Microsoft Entra ID-Administratorrechten folgende Schritte ausführen. Die angeforderten Berechtigungen genehmigen. Die Zustimmung für die gesamte Organisation erteilen.

• Workspace ONE Access

  ☐

  Wenn Workspace ONE Access Cloud oder Workspace ONE Access On Premises als Ihr Identitätsanbieter fungiert, muss ein Benutzer mit Administratorrechten folgende Schritte ausführen. Integrieren Sie den Identitätsanbieter. Konfigurieren Sie die erforderlichen Voraussetzungen für die Horizon Cloud-Integration.

• Omnissa Identity Service

  ☐	Wenn Omnissa Identity Service als Ihr Identitätsanbieter fungiert, muss ein Benutzer mit Administratorrechten folgende Schritte ausführen. Integrieren Sie den Identitätsanbieter. Wählen Sie die Horizon Cloud-Instanz aus, die mit Omnissa Identity Service verwendet werden soll.

Anforderungen an die Maschinenidentität

In den nachstehenden vorbereitenden Informationen werden die Anforderungen für den Maschinenidentitätsanbieter beschrieben, den Sie in Ihrer Identitätskonfiguration verwenden möchten. Horizon Cloud unterstützt Microsoft Entra ID und Active Directory als Anbieter von Maschinenidentitäten.

Zusätzlich zu den in diesem Abschnitt beschriebenen Anforderungen finden Sie im Abschnitt Unterstützte Identitätskonfigurationen Informationen zu den Überlegungen für Funktionen und den Benutzeridentitätsanbietern, die Sie mit jedem Maschinenidentitätsanbieter verwenden können. Eine Übersicht über die Verwaltung von Identitäten mithilfe von Horizon Cloud finden Sie im Abschnitt Grundlegendes zur Benutzer- und Maschinenidentität.

• Active Directory

  ☐	Active Directory Server mit Sichtverbindung zu den Horizon Edge Gateway-Instanzen und Desktop-Subnetzen. Beispiel: Ein lokaler Active Directory-Server, der über VPN/Express-Route verbunden ist Ein Active Directory-Server in Microsoft Azure
  ☐	Wenn Sie planen, Ihr Active Directory über LDAPS zu verbinden, sammeln Sie PEM-codierte Root- und Zwischen-CA-Zertifikate für Ihre Active Directory-Domäne. Wenn Sie Ihre Active Directory-Domäne über die Horizon Universal Console einrichten, werden Sie zu diesem Zeitpunkt aufgefordert, die PEM-codierten Root- und Zwischen-CA-Zertifikate hochzuladen.
  ☐	Unterstützte Domänenfunktionsebenen von Microsoft Windows Active Directory Domain Services (AD DS). Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 Unterstützte Betriebssystemversionen von Microsoft Windows Active Directory Domain Services (AD DS). Windows Server 2022 Windows Server 2019 Windows Server 2016 Windows Server 2012 R
  ☐	Domänendienstkonto Active Directory-Domänendienstkonto (ein Standardbenutzer mit Lesezugriff), das das Attribut sAMAccountName hat. Das Attribut „sAMAccountName“ darf höchstens 20 Zeichen lang sein und darf keines der folgenden Zeichen enthalten: "/ \ [ ] : ; | = , + * ? < >. Das Konto muss über die folgenden Berechtigungen verfügen: Inhalt auflisten Alle Eigenschaften lesen Berechtigungen lesen tokenGroupsGlobalAndUniversal lesen (implizit enthalten in „Alle Eigenschaften lesen“) Legen Sie das Kennwort für das Konto auf „Läuft nie ab“ fest, um dauerhaften Zugriff auf die Anmeldung bei Ihrer Horizon Cloud-Umgebung zu gewährleisten. Wenn Sie mit dem lokalen Horizon-Angebot vertraut sind, sind die oben genannten Berechtigungen derselbe Satz, der für die sekundären Anmeldekonten des lokalen Horizon-Angebots erforderlich sind. Domänendienstkonten erhalten die Standardberechtigungen für den Lesezugriff, die in der Regel authentifizierten Benutzern in einer Microsoft Active Directory-Bereitstellung gewährt werden. Wenn sich die AD-Administratoren Ihrer Organisation jedoch dafür entschieden haben, schreibgeschützte Berechtigungen für reguläre Benutzer zu sperren, müssen Sie diese AD-Administratoren bitten, die Standardeinstellungen der authentifizierten Benutzer für die Domänendienstkonten beizubehalten, die Sie für Horizon Cloud verwenden. Verweis: Erstellen von Active Directory-Domänendienst- und -Domänenbeitrittskonten
  ☐	Zusätzliches Domänendienstkonto Muss vom Hauptdomänendienstkonto getrennt sein. Die Benutzeroberfläche verhindert, dass dasselbe Konto in beiden Feldern erneut verwendet wird. Active Directory-Domänendienstkonto (ein Standardbenutzer mit Lesezugriff) mit dem Attribut „sAMAccountName“. Das Attribut „sAMAccountName“ darf höchstens 20 Zeichen lang sein und darf keines der folgenden Zeichen enthalten: "/ \ [ ] : ; | = , + * ? < >. Das Konto muss über die folgenden Berechtigungen verfügen: Inhalt auflisten Alle Eigenschaften lesen Berechtigungen lesen tokenGroupsGlobalAndUniversal lesen (implizit enthalten in „Alle Eigenschaften lesen“) Legen Sie das Kennwort für das Konto auf „Läuft nie ab“ fest, um dauerhaften Zugriff auf die Anmeldung bei Ihrer Horizon Cloud-Umgebung zu gewährleisten. Wenn Sie mit dem lokalen Horizon-Angebot vertraut sind, sind die oben genannten Berechtigungen derselbe Satz, der für die sekundären Anmeldekonten des lokalen Horizon-Angebots erforderlich sind. Domänendienstkonten erhalten die Standardberechtigungen für den Lesezugriff, die in der Regel authentifizierten Benutzern in einer Microsoft Active Directory-Bereitstellung gewährt werden. Wenn sich die AD-Administratoren Ihrer Organisation jedoch dafür entschieden haben, schreibgeschützte Berechtigungen für reguläre Benutzer zu sperren, müssen Sie diese AD-Administratoren bitten, die Standardeinstellungen der authentifizierten Benutzer für die Domänendienstkonten beizubehalten, die Sie für Horizon Cloud verwenden.
  ☐	Domänenbeitrittskonto Active Directory-Domänenbeitrittskonto, das vom System zum Durchführen von Sysprep-Vorgängen und zum Hinzufügen der virtuellen Computer zur Domäne verwendet werden kann. In der Regel ein neues Konto, das Sie für diesen ausdrücklichen Zweck erstellen. (Ein Benutzerkonto für den Domänenbeitritt) Das Konto muss das Attribut sAMAccountName haben. Das Attribut sAMAccountName darf höchstens 20 Zeichen lang sein und darf keines der folgenden Zeichen enthalten: "/ \ [ ] : ; | = , + * ? < >. Die Verwendung von Leerzeichen im Benutzernamen des Kontos wird derzeit nicht unterstützt. Setzen Sie das Kontokennwort auf „Läuft nie ab“ fest, um sicherzustellen, dass Horizon Cloud weiterhin Systemvorbereitungsvorgänge ausführen und die virtuellen Computer der Domäne hinzufügen kann. Dieses Konto erfordert die folgenden Active Directory-Berechtigungen, die auf die Organisationseinheit „Computer“ oder auf die Organisationseinheit angewendet werden, die Sie in die UI der Konsole für den Domänenbeitritt eingeben. Alle Eigenschaften lesen – nur dieses Objekt Computerobjekte erstellen – dieses Objekt und alle abgeleiteten Objekte Computerobjekte löschen – dieses Objekt und alle abgeleiteten Objekte Alle Eigenschaften schreiben – Abgeleitete Computerobjekte Kennwort zurücksetzen – abgeleitete Computerobjekte In Bezug auf die Ziel-Organisationseinheit (OE), die Sie für Pools verwenden möchten, benötigt dieses Konto auch die Active Directory-Berechtigung „Alle Eigenschaften schreiben“ für alle abhängigen Objekte dieser Ziel-Organisationseinheit (OE). Weitere Informationen zum Erstellen und Wiederverwenden von Domänenbeitrittskonten finden Sie unter Erstellen von Active Directory-Domänendienst- und -Domänenbeitrittskonten. Wenn Sie in Microsoft Active Directory eine neue OE erstellen, legt das System möglicherweise automatisch das Attribut Prevent Accidental Deletion fest, das für die neu erstellte OE und alle abgeleiteten Objekte für die Berechtigung „Alle untergeordneten Objekte löschen“ Deny anwendet. Wenn Sie daher dem Domänenbeitrittskonto explizit die Berechtigung „Computerobjekte löschen“ zugewiesen haben, hat Active Directory im Fall einer neu erstellten OE möglicherweise eine Außerkraftsetzung auf die explizit zugewiesene Berechtigung „Computerobjekte löschen“ angewendet. Da durch das Löschen des Flags Versehentliches Löschen verhindern das von Active Directory auf die Berechtigung „Alle untergeordneten Objekte löschen“ angewendete Deny möglicherweise nicht automatisch gelöscht wird, müssen Sie im Fall einer neu hinzugefügten OE die zum Löschen aller untergeordneten Objekte in der OE und aller untergeordneten OEs festgelegte Berechtigung Deny möglicherweise prüfen und manuell löschen, bevor Sie das Domänenbeitrittskonto in der Horizon Cloud Console verwenden.
  ☐	Optionales Hilfsdomänenbeitrittskonto Active Directory-Domänenbeitrittskonto, das vom System zum Durchführen von Sysprep-Vorgängen und zum Hinzufügen der virtuellen Computer zur Domäne verwendet werden kann. In der Regel ein neues Konto, das Sie für diesen ausdrücklichen Zweck erstellen (Ein Benutzerkonto für den Domänenbeitritt). Das Konto muss das Attribut sAMAccountName haben. Das Attribut „sAMAccountName“ darf höchstens 20 Zeichen lang sein und darf keines der folgenden Zeichen enthalten: "/ \ [ ] : ; | = , + * ? < >. Die Verwendung von Leerzeichen im Benutzernamen des Kontos wird derzeit nicht unterstützt. Legen Sie das Kontokennwort auch auf „Läuft nie ab“ fest, um sicherzustellen, dass Horizon Cloud die Sysprep-Vorgänge weiterhin ausführen und die virtuellen Computer zur Domäne hinzufügen kann. Für dieses Konto sind die folgenden Active Directory-Berechtigungen erforderlich, die auf die Computer-OE oder auf die OE angewendet werden, die Sie in die Benutzeroberfläche für den Domänenbeitritt der Konsole eingeben. Alle Eigenschaften lesen – nur dieses Objekt Computerobjekte erstellen – dieses Objekt und alle abgeleiteten Objekte Computerobjekte löschen – dieses Objekt und alle abgeleiteten Objekte Alle Eigenschaften schreiben – Abgeleitete Computerobjekte Kennwort zurücksetzen – abgeleitete Computerobjekte In Bezug auf die Ziel-Organisationseinheit (OE), die Sie für Pools verwenden möchten, benötigt dieses Konto auch die Active Directory-Berechtigung „Alle Eigenschaften schreiben“ für alle abhängigen Objekte dieser Ziel-Organisationseinheit (OE). Wenn Sie in Microsoft Active Directory eine neue OE erstellen, legt das System möglicherweise automatisch das Attribut Prevent Accidental Deletion fest, das für die neu erstellte OE und alle abgeleiteten Objekte für die Berechtigung „Alle untergeordneten Objekte löschen“ Deny anwendet. Wenn Sie daher dem Domänenbeitrittskonto explizit die Berechtigung „Computerobjekte löschen“ zugewiesen haben, hat Active Directory im Fall einer neu erstellten OE möglicherweise eine Außerkraftsetzung auf die explizit zugewiesene Berechtigung „Computerobjekte löschen“ angewendet. Da durch das Löschen des Flags Versehentliches Löschen verhindern das von Active Directory auf die Berechtigung „Alle untergeordneten Objekte löschen“ angewendete Deny möglicherweise nicht automatisch gelöscht wird, müssen Sie im Fall einer neu hinzugefügten OE die zum Löschen aller untergeordneten Objekte in der OE und aller untergeordneten OEs festgelegte Berechtigung Deny möglicherweise prüfen und manuell löschen, bevor Sie das Domänenbeitrittskonto in der Horizon Cloud Console verwenden.
  ☐	Active Directory-Organisationseinheit (OU) bzw. -einheiten (OUs) für virtuelle Desktops und RDS-sitzungsbasierte Desktops oder veröffentlichte Anwendungen oder beides. Wenn Sie in Microsoft Active Directory eine neue OE erstellen, legt das System möglicherweise automatisch das Attribut Prevent Accidental Deletion fest, das für die neu erstellte OE und alle abgeleiteten Objekte für die Berechtigung „Alle untergeordneten Objekte löschen“ Deny anwendet. Wenn Sie daher dem Domänenbeitrittskonto explizit die Berechtigung „Computerobjekte löschen“ zugewiesen haben, hat Active Directory im Fall einer neu erstellten OE möglicherweise eine Außerkraftsetzung auf die explizit zugewiesene Berechtigung „Computerobjekte löschen“ angewendet. Da durch das Löschen des Flags Versehentliches Löschen verhindern das von Active Directory auf die Berechtigung „Alle untergeordneten Objekte löschen“ angewendete Deny möglicherweise nicht automatisch gelöscht wird, müssen Sie im Fall einer neu hinzugefügten OE die zum Löschen aller untergeordneten Objekte in der OE und aller untergeordneten OEs festgelegte Berechtigung Deny möglicherweise prüfen und manuell löschen, bevor Sie das Domänenbeitrittskonto in der Horizon Cloud Console verwenden.

  Anforderungen an Netzwerk und Lastenausgleichsdienst

  Informationen zu den Anforderungen an das Netzwerk und den Lastausgleichsdienst finden Sie unter Konfigurieren von Netzwerkeinstellungen für Horizon Cloud on OpenStack Edge-Bereitstellungen in Verwenden und Verwalten von Horizon Cloud.