Diese Checkliste dient dazu, Sie über die erforderlichen Elemente für die Durchführung einer vSphere Edge-Bereitstellung mithilfe der Horizon Control Plane zu informieren.
Zweck der Checkliste
Diese Checkliste gilt für Horizon Cloud-Kundenkonten, die noch nie eine Horizon Cloud on vSphere-Bereitstellung in ihrer Mandantenumgebung hatten. Solche Mandanten können als saubere oder neue Umgebungen bezeichnet werden.
Sie müssen einige der folgenden Elemente ausführen, bevor Sie Horizon Cloud bereitstellen. Sie können einige Elemente aufschieben, bis die Bereitstellung abgeschlossen ist und ausgeführt wird.
Anforderungen an die Maschinenidentität
Lokales Active Directory wird unterstützt und ist für die Maschinenidentität erforderlich. Die VDI-Desktops sind in die Active Directory-Domäne eingebunden. Die Domänencontroller müssen von dem Netzwerk aus erreichbar sein, in dem die Desktops bereitgestellt werden sollen.
Erstellen Sie ein primäres Domänenbeitrittskonto und zusätzliche Domänenbeitrittskonten unter Berücksichtigung der folgenden Punkte:
- Das Active Directory-Domänenbeitrittskonto wird vom System verwendet, um Sysprep-Vorgänge durchzuführen und Computer in die Domäne einzubinden.
- Legen Sie das Kontokennwort auf „Läuft nie ab“ fest.
- Das Konto erfordert die folgenden Active Directory-Berechtigungen: „Alle Eigenschaften lesen“, „Kennwort zurücksetzen“, „Computerobjekte erstellen“, „Computerobjekte löschen“ und „Alle Eigenschaften schreiben“.
In den nachstehenden vorbereitenden Informationen werden die Anforderungen für den Maschinenidentitätsanbieter beschrieben, den Sie in Ihrer Identitätskonfiguration verwenden möchten. Horizon Cloud unterstützt Microsoft Entra ID und Active Directory als Anbieter von Maschinenidentitäten.
-
Active Directory
☐ Wenn Sie vSphere Edges allein bereitstellen, benötigen Sie einen lokalen Active Directory-Server. Die folgenden Punkte gelten jedoch, wenn Sie einen Microsoft Azure Edge und einen vSphere Edge in derselben Bereitstellung verwenden möchten:
Active Directory Server mit Sichtverbindung zu den Horizon Edge Gateway-Instanzen und Desktop-Subnetzen.
- Ein lokaler Active Directory-Server, der über VPN/Express-Route verbunden ist
- Ein Active Directory-Server in Microsoft Azure
☐ Wenn Sie planen, Ihr Active Directory über LDAPS zu verbinden, sammeln Sie PEM-codierte Root- und Zwischen-CA-Zertifikate für Ihre Active Directory-Domäne. Wenn Sie Ihre Active Directory-Domäne über die Horizon Universal Console einrichten, werden Sie zu diesem Zeitpunkt aufgefordert, die PEM-codierten Root- und Zwischen-CA-Zertifikate hochzuladen. ☐ Unterstützte Domänenfunktionsebenen von Microsoft Windows Active Directory Domain Services (AD DS). - Windows Server 2016
- Windows Server 2012 R2
- Windows Server 2012
- Windows Server 2022
- Windows Server 2019
- Windows Server 2016
- Windows Server 2012 R
☐ - Domänendienstkonto
Active Directory-Domänendienstkonto (ein Standardbenutzer mit Lesezugriff), das das Attribut sAMAccountName hat. Das Attribut „sAMAccountName“ darf höchstens 20 Zeichen lang sein und darf keines der folgenden Zeichen enthalten: "/ \ [ ] : ; | = , + * ? < >.
Das Konto muss über die folgenden Berechtigungen verfügen:
- Inhalt auflisten
- Alle Eigenschaften lesen
- Berechtigungen lesen
- tokenGroupsGlobalAndUniversal lesen (implizit enthalten in „Alle Eigenschaften lesen“)
Legen Sie das Kennwort für das Konto auf „Läuft nie ab“ fest, um dauerhaften Zugriff auf die Anmeldung bei Ihrer Horizon Cloud-Umgebung zu gewährleisten.
- Wenn Sie mit dem lokalen Horizon-Angebot vertraut sind, sind die oben genannten Berechtigungen derselbe Satz, der für die sekundären Anmeldekonten des lokalen Horizon-Angebots erforderlich sind.
- Domänendienstkonten erhalten die Standardberechtigungen für den Lesezugriff, die in der Regel authentifizierten Benutzern in einer Microsoft Active Directory-Bereitstellung gewährt werden. Wenn sich die AD-Administratoren Ihrer Organisation jedoch dafür entschieden haben, schreibgeschützte Berechtigungen für reguläre Benutzer zu sperren, müssen Sie diese AD-Administratoren bitten, die Standardeinstellungen der authentifizierten Benutzer für die Domänendienstkonten beizubehalten, die Sie für Horizon Cloud verwenden.
☐ - Zusätzliches Domänendienstkonto
Muss vom Hauptdomänendienstkonto getrennt sein. Die Benutzeroberfläche verhindert, dass dasselbe Konto in beiden Feldern erneut verwendet wird. Active Directory-Domänendienstkonto (ein Standardbenutzer mit Lesezugriff) mit dem Attribut „sAMAccountName“. Das Attribut „sAMAccountName“ darf höchstens 20 Zeichen lang sein und darf keines der folgenden Zeichen enthalten: "/ \ [ ] : ; | = , + * ? < >. Das Konto muss über die folgenden Berechtigungen verfügen:- Inhalt auflisten
- Alle Eigenschaften lesen
- Berechtigungen lesen
- tokenGroupsGlobalAndUniversal lesen (implizit enthalten in „Alle Eigenschaften lesen“)
- Wenn Sie mit dem lokalen Horizon-Angebot vertraut sind, sind die oben genannten Berechtigungen derselbe Satz, der für die sekundären Anmeldekonten des lokalen Horizon-Angebots erforderlich sind.
- Domänendienstkonten erhalten die Standardberechtigungen für den Lesezugriff, die in der Regel authentifizierten Benutzern in einer Microsoft Active Directory-Bereitstellung gewährt werden. Wenn sich die AD-Administratoren Ihrer Organisation jedoch dafür entschieden haben, schreibgeschützte Berechtigungen für reguläre Benutzer zu sperren, müssen Sie diese AD-Administratoren bitten, die Standardeinstellungen der authentifizierten Benutzer für die Domänendienstkonten beizubehalten, die Sie für Horizon Cloud verwenden.
☐ - Domänenbeitrittskonto
Active Directory-Domänenbeitrittskonto, das vom System zum Durchführen von Sysprep-Vorgängen und zum Hinzufügen der virtuellen Computer zur Domäne verwendet werden kann. In der Regel ein neues Konto, das Sie für diesen ausdrücklichen Zweck erstellen. (Ein Benutzerkonto für den Domänenbeitritt) Das Konto muss das Attribut sAMAccountName haben. Das Attribut sAMAccountName darf höchstens 20 Zeichen lang sein und darf keines der folgenden Zeichen enthalten: "/ \ [ ] : ; | = , + * ? < >. Die Verwendung von Leerzeichen im Benutzernamen des Kontos wird derzeit nicht unterstützt. Setzen Sie das Kontokennwort auf „Läuft nie ab“ fest, um sicherzustellen, dass Horizon Cloud weiterhin Systemvorbereitungsvorgänge ausführen und die virtuellen Computer der Domäne hinzufügen kann. Dieses Konto erfordert die folgenden Active Directory-Berechtigungen, die auf die Organisationseinheit „Computer“ oder auf die Organisationseinheit angewendet werden, die Sie in die UI der Konsole für den Domänenbeitritt eingeben.- Alle Eigenschaften lesen – nur dieses Objekt
- Computerobjekte erstellen – dieses Objekt und alle abgeleiteten Objekte
- Computerobjekte löschen – dieses Objekt und alle abgeleiteten Objekte
- Alle Eigenschaften schreiben – Abgeleitete Computerobjekte
- Kennwort zurücksetzen – abgeleitete Computerobjekte
Weitere Informationen zum Erstellen und Wiederverwenden von Domänenbeitrittskonten finden Sie unter Erstellen von Active Directory-Domänendienst- und -Domänenbeitrittskonten.
Wenn Sie in Microsoft Active Directory eine neue OE erstellen, legt das System möglicherweise automatisch das AttributPrevent Accidental Deletionfest, das für die neu erstellte OE und alle abgeleiteten Objekte für die Berechtigung „Alle untergeordneten Objekte löschen“Denyanwendet. Wenn Sie daher dem Domänenbeitrittskonto explizit die Berechtigung „Computerobjekte löschen“ zugewiesen haben, hat Active Directory im Fall einer neu erstellten OE möglicherweise eine Außerkraftsetzung auf die explizit zugewiesene Berechtigung „Computerobjekte löschen“ angewendet. Da durch das Löschen des Flags Versehentliches Löschen verhindern das von Active Directory auf die Berechtigung „Alle untergeordneten Objekte löschen“ angewendeteDenymöglicherweise nicht automatisch gelöscht wird, müssen Sie im Fall einer neu hinzugefügten OE die zum Löschen aller untergeordneten Objekte in der OE und aller untergeordneten OEs festgelegte BerechtigungDenymöglicherweise prüfen und manuell löschen, bevor Sie das Domänenbeitrittskonto in der Horizon Cloud Console verwenden.
☐ - Optionales Hilfsdomänenbeitrittskonto
Active Directory-Domänenbeitrittskonto, das vom System zum Durchführen von Sysprep-Vorgängen und zum Hinzufügen der virtuellen Computer zur Domäne verwendet werden kann. In der Regel ein neues Konto, das Sie für diesen ausdrücklichen Zweck erstellen (Ein Benutzerkonto für den Domänenbeitritt).
Das Konto muss das Attribut sAMAccountName haben. Das Attribut „sAMAccountName“ darf höchstens 20 Zeichen lang sein und darf keines der folgenden Zeichen enthalten: "/ \ [ ] : ; | = , + * ? < >.
Die Verwendung von Leerzeichen im Benutzernamen des Kontos wird derzeit nicht unterstützt.
Legen Sie das Kontokennwort auch auf „Läuft nie ab“ fest, um sicherzustellen, dass Horizon Cloud die Sysprep-Vorgänge weiterhin ausführen und die virtuellen Computer zur Domäne hinzufügen kann.
Für dieses Konto sind die folgenden Active Directory-Berechtigungen erforderlich, die auf die Computer-OE oder auf die OE angewendet werden, die Sie in die Benutzeroberfläche für den Domänenbeitritt der Konsole eingeben.- Alle Eigenschaften lesen – nur dieses Objekt
- Computerobjekte erstellen – dieses Objekt und alle abgeleiteten Objekte
- Computerobjekte löschen – dieses Objekt und alle abgeleiteten Objekte
- Alle Eigenschaften schreiben – Abgeleitete Computerobjekte
- Kennwort zurücksetzen – abgeleitete Computerobjekte
Wenn Sie in Microsoft Active Directory eine neue OE erstellen, legt das System möglicherweise automatisch das AttributPrevent Accidental Deletionfest, das für die neu erstellte OE und alle abgeleiteten Objekte für die Berechtigung „Alle untergeordneten Objekte löschen“Denyanwendet. Wenn Sie daher dem Domänenbeitrittskonto explizit die Berechtigung „Computerobjekte löschen“ zugewiesen haben, hat Active Directory im Fall einer neu erstellten OE möglicherweise eine Außerkraftsetzung auf die explizit zugewiesene Berechtigung „Computerobjekte löschen“ angewendet. Da durch das Löschen des Flags Versehentliches Löschen verhindern das von Active Directory auf die Berechtigung „Alle untergeordneten Objekte löschen“ angewendeteDenymöglicherweise nicht automatisch gelöscht wird, müssen Sie im Fall einer neu hinzugefügten OE die zum Löschen aller untergeordneten Objekte in der OE und aller untergeordneten OEs festgelegte BerechtigungDenymöglicherweise prüfen und manuell löschen, bevor Sie das Domänenbeitrittskonto in der Horizon Cloud Console verwenden.
☐ - Active Directory-Organisationseinheit (OU) bzw. -einheiten (OUs) für virtuelle Desktops und RDS-sitzungsbasierte Desktops oder veröffentlichte Anwendungen oder beides.
Wenn Sie in Microsoft Active Directory eine neue OE erstellen, legt das System möglicherweise automatisch das AttributPrevent Accidental Deletionfest, das für die neu erstellte OE und alle abgeleiteten Objekte für die Berechtigung „Alle untergeordneten Objekte löschen“Denyanwendet. Wenn Sie daher dem Domänenbeitrittskonto explizit die Berechtigung „Computerobjekte löschen“ zugewiesen haben, hat Active Directory im Fall einer neu erstellten OE möglicherweise eine Außerkraftsetzung auf die explizit zugewiesene Berechtigung „Computerobjekte löschen“ angewendet. Da durch das Löschen des Flags Versehentliches Löschen verhindern das von Active Directory auf die Berechtigung „Alle untergeordneten Objekte löschen“ angewendeteDenymöglicherweise nicht automatisch gelöscht wird, müssen Sie im Fall einer neu hinzugefügten OE die zum Löschen aller untergeordneten Objekte in der OE und aller untergeordneten OEs festgelegte BerechtigungDenymöglicherweise prüfen und manuell löschen, bevor Sie das Domänenbeitrittskonto in der Horizon Cloud Console verwenden.
Anforderungen an die Benutzeridentität
Horizon Cloud ist auf einen externen Identitätsanbieter angewiesen und unterstützt derzeit Microsoft Entra ID (Azure Active Directory) und Omnissa Workspace ONE Access. Der Identitätsanbieter, den Sie mit Horizon Cloud konfigurieren, führt die Authentifizierung durch, die erforderlich ist, wenn Benutzer versuchen, auf ihre Desktops zuzugreifen.
Sowohl für Microsoft Entra ID als auch für Workspace ONE Access ist es erforderlich, ein lokales Active Directory mit dem externen Identitätsanbieter zu verbinden.
Die erforderlichen Informationen zur Einrichtung finden Sie unter Einrichten Ihres Identitätsanbieters.
vCenter-Anforderungen
Horizon Cloud verwendet ein All-In-SDDC-Modell (einziges/gemeinsames) und erfordert kein separates vCenter für die Verwaltungsarbeitslast. Die vCenter-Anforderungen für vSphere oder SDDC lauten wie folgt:
-
- Eine vCenter-Instanz mit Administratoranmeldedaten für VM-CRUD-Vorgänge (vSphere 8.0 oder höher). Sie müssen alle Rechte unter der Berechtigungsgruppe vSphere-Tagging aktivieren. Informationen zu den Mindestberechtigungen, die für die Anmeldedaten erforderlich sind, finden Sie unter Konfigurieren eines vCenter Server-Benutzers für Horizon Cloud.
-
DRS und HA sind auf dem Cluster aktiviert, der verwendet werden soll. Sie müssen die vSphere-spezifische Funktion CBRC auf allen Hosts aktivieren, die Teil des Clusters sind.
-
CBRC soll auf allen Hosts aktiviert werden, die Teil des Clusters sind.
-
Mindestens ein Datencenter wie unten:
-
Mindestens ein Cluster mit mindestens 3 ESXi Hosts. Der Cluster sollte sich direkt im Datencenter-Ordner und nicht in einem Host- und Cluster-Ordner befinden.
-
Mindestens ein Datenspeicher (VSAN oder VMFS), der mit IOPs identifiziert wurde und mit Kapazität zum Hosten von Horizon Edge, UAGs und Desktop-VMs.
-
-
VM-Ordner für die Bereitstellung der Management-VMs und Desktop-VMs.
-
Erstellen Sie die erforderlichen Ressourcenpools für die Bereitstellung der Verwaltungs-VMs und Desktop-VMs. Es wird mindestens ein Satz für jede Mandantenorganisation empfohlen.
-
Erstellen Sie die erforderlichen VM-Ordner für die Bereitstellung der Management-VMs und Desktop-VMs. Es wird mindestens ein Satz für jede Mandantenorganisation empfohlen.
Netzwerkanforderungen
Die folgenden Netzwerkvoraussetzungen sind erforderlich. Die drei Netzwerke (DMZ, Management und Desktop) und deren Portgruppe benötigen jeweils statische oder reservierte IPs in einem entsprechenden VLAN. Die Mindestanforderung ist /30. Es gibt mindestens einen Satz für jede Mandantenorganisation und einen Satz für Ihre Partnerorganisation.
-
DMZ-Netzwerk
- Portgruppe, an die die DMZ-Netzwerkschnittstelle des UAG angehängt wird. Diese muss über das Netzwerk erreichbar sein, von dem Endbenutzer eine Verbindung herstellen.
- Die Mindestanforderung für den statischen IP-Bereich liegt bei 2 aufeinanderfolgenden IPs, wie z. B. 10.202.155.30-10.202.155.39, um das UAG-Cluster auf 10 zu erweitern.
- Erweitertes UAG: Der statische IP-Bereich muss genauso groß sein wie die beiden anderen Netzwerke. Bis zu 10 IPs sind zulässig.
-
Verwaltungsnetzwerk
- Portgruppe, an die die Management-Netzwerkschnittstelle des UAG angehängt wird. Dies ist auch die Portgruppe, auf der die Edge-VM bereitgestellt wird.
- Die Mindestanforderung für den statischen IP-Bereich liegt bei 2 aufeinanderfolgenden IPs, wie z. B. 172.20.241.30-172.202.155.39, um das UAG-Cluster auf 10 zu erweitern.
- Erweitertes UAG: Der statische IP-Bereich muss genauso groß sein wie die beiden anderen Netzwerke. Bis zu 10 IPs sind zulässig.
-
Desktop-Netzwerk
- Portgruppe, an die die Desktop-Netzwerkschnittstelle des UAG angehängt wird. Dies ist die Portgruppe, auf der die Desktop-VMs bereitgestellt wird. Die Desktop-VMs erfordern die Erreichbarkeit der Edge-VM und der Active Directory-Infrastruktur.
- Die Mindestanforderung für den statischen IP-Bereich liegt bei 2 aufeinanderfolgenden IPs, wie z. B. 192.168.240.30-192.168.240.39, um das UAG-Cluster auf 10 zu erweitern.
- Erweitertes UAG: Der statische IP-Bereich muss genauso groß sein wie die beiden anderen Netzwerke. Bis zu 10 IPs sind zulässig.
Sie müssen auch die folgenden Netzwerkvoraussetzungen erfüllen:
-
Eine statische IP-Adresse aus dem festgelegten Verwaltungsnetzwerk und einen auflösbaren FQDN (der A-Datensatz in der DNS-Infrastruktur), damit die Desktop-VMs mit FQDN auf die Edge-VM zugreifen können. Sie benötigen mindestens einen für jede Mandantenorganisation und einen für Ihre Partnerorganisation.
-
Ein für den UAG-FQDN erstellter DNS-Eintrag, der im Falle einer Bereitstellung mit mehreren UAG in die Lastausgleichsdienst-VIP aufgelöst wird. Sie benötigen einen für jede UAG-Bereitstellung für jede Mandantenorganisation.
-
Stellen Sie sicher, dass alle erforderlichen Ports und Protokolle, die unter Port- und Protokollanforderungen für die Bereitstellung eines vSphere Edge aufgeführt sind, in dem Ordner verfügbar sind, der für Sie freigegeben ist, und dass sie ordnungsgemäß in der Positivliste aufgeführt sind, wie in der Produktdokumentation Erste Schritte mit Horizon Cloud beschrieben.
Weitere Informationen zu Netzwerkanforderungen finden Sie unter Konfigurieren von Netzwerkeinstellungen für vSphere Edge-Bereitstellungen.
Port- und Protokollanforderungen
Bestimmte Ports und Protokolle sind für die Bereitstellung und den laufenden Betrieb Ihrer Horizon Cloud-Umgebung erforderlich. Weitere Informationen finden Sie unter Port- und Protokollanforderungen für die Bereitstellung von vSphere Edge.
Zertifikatanforderungen
Die Zertifikatsanforderungen lauten wie folgt:
-
Zertifikat oder Zertifikate für das Unified Access Gateway (UAG) im PEM- oder PFX-Format, die dem FQDN entsprechen.
-
Ein selbstsigniertes SSL-Zertifikat. Sie können ein selbstsigniertes SSL-Zertifikat mithilfe von OpenSSL erstellen. Beispielskripts finden Sie unten.
Beispiel: CSR und KEY generieren
openssl req -new -newkey rsa:2048 -nodes -keyout uag.key -out uag.csrBeispiel: PEM generieren und selbstsignieren mit KEY
openssl x509 -req -sha256 -days 365 -in uag.csr -signkey uag.key -out uag.pemBeispiel: zu PEM kombinieren
cat uag.pem uag.key > uag_cert.pem
War diese Seite hilfreich?