Diese Checkliste dient dazu, Sie über die erforderlichen Elemente für die Durchführung einer nativen Microsoft Azure-Bereitstellung mit der Horizon Control Plane zu informieren.
Hinweis: Eine Horizon Cloud on Microsoft Azure-Bereitstellung bezieht sich auf eine native Microsoft Azure-Infrastruktur.
Checklisten-Zielgruppe
Diese Checkliste gilt für Horizon Cloud-Kundenkonten, die noch nie eine Horizon Cloud on Microsoft Azure-Bereitstellung in ihrer Mandantenumgebung hatten. Solche Mandanten können als saubere oder neue Umgebungen bezeichnet werden.
Sie müssen einige der folgenden Elemente ausführen, bevor Sie Horizon Cloud bereitstellen. Sie können einige Elemente aufschieben, bis die Bereitstellung abgeschlossen ist und ausgeführt wird.
Anforderungen für Microsoft Azure-Abonnements
Informationen zu Grenzwerten für die Konfiguration finden Sie in Dimensionieren Ihrer Horizon Cloud-Bereitstellung. Dieses Kapitel enthält darüber hinaus Informationen zur Verwendung des Tools für die Maximalwerte für Konfigurationen. Wählen Sie auf der Seite „Maximalwerte für Konfigurationen“ die Option Grenzwerte anzeigen, Horizon Cloud, die aktuelle Version und die anzuzeigenden Kategorien aus.
| ☐ | Gültige Microsoft Azure-Abonnements in einer unterstützten Microsoft Azure-Umgebung. Wenn Sie Horizon Edge-Appliances, zu denen Horizon Edge Gateway- und Unified Access Gateway-Instanzen gehören, in einem eigenen dedizierten Anbieter (Microsoft Azure-Abonnement) bereitstellen möchten, müssen Sie ein weiteres gültiges Microsoft Azure-Abonnement erwerben, um Pools bereitzustellen.
Hinweis: Horizon Cloud unterstützt die meisten Microsoft Azure-Regionen. |
| ☐ | Gültige Microsoft Azure-Administrationsrechte in diesem Microsoft Azure-Abonnement, damit Sie das Microsoft Azure-Portal verwenden und die Schritte zur Vorbereitung der Horizon Cloud-Bereitstellung durchführen können. |
| ☐ | Stellen Sie sicher, dass weder eine Azure-Richtlinie noch Ressourcensperren vorhanden sind, die die Erstellung von Edge-Bereitstellungsressourcen verhindern könnten. Beispielsweise die Erstellung eines privaten Endpoints, die durch eine Richtlinie oder Ressourcensperre blockiert wird, wenn Sie Azure Private Link-Konnektivität auswählen. |
| ☐ | Erstellen Sie einen oder mehrere Dienstprinzipale in jedem Microsoft Azure-Abonnement, notieren Sie sich die Abonnement-ID, die Verzeichnis-ID und die Anwendungs-ID, und weisen Sie jedem Dienstprinzipal in Ihren Abonnements die entsprechende Rolle zu.
Wenn Sie mehrere Dienstprinzipale erstellen, nutzen diese die Abonnement-ID und die Verzeichnis-ID gemeinsam, aber jeder Dienstprinzipal verfügt über eine eigene Anwendungs-ID. |
| ☐ | Geben Sie den Typ des Microsoft Azure Edge-Formats an, das Sie bereitstellen möchten. Die folgenden Optionen sind verfügbar.
|
| ☐ | Erstellen Sie zur Bereitstellung eines Edge-Gateways (AKS) eine benutzerverwaltete Microsoft Azure-Identität. Ein Horizon Edge, der einen AKS-Cluster verwendet, erfordert eine benutzerverwaltete Identität mit der Rolle „Netzwerkmitwirkender“ im Bereich der Ressourcengruppe des Verwaltungs-VNets und der Rolle „Verwalteter Identitätsoperator“ im Bereich des Microsoft Azure-Abonnements. Weitere Informationen zur Verwaltung von vom Benutzer zugewiesenen verwalteten Identitäten finden Sie in der Microsoft-Dokumentation. Wenn Ihr Management-Subnetz über eine Routentabelle verfügt und die Ressourcengruppe dieser Routentabelle sich von der Ressourcengruppe des VNet unterscheidet, muss die Rolle Netzwerk-Contributor auch der Ressourcengruppe der Routentabelle zugewiesen werden. |
| ☐ | Registrieren Sie die erforderlichen Ressourcenanbieter für Ihr Microsoft Azure-Abonnement. Weitere Informationen finden Sie unter Überprüfen, ob die erforderlichen Ressourcenanbieter in Ihrem Microsoft Azure-Abonnement registriert sind. |
| ☐ | Erstellen Sie eine benutzerdefinierte Rolle, die Leseberechtigungen für die Azure Compute Galleries in Ihren Abonnements bietet, und weisen Sie diese benutzerdefinierte Rolle allen Dienstprinzipalen zu, die für einen bestimmten Horizon Edge konfiguriert sind. |
| ☐ | Wenn Ihr Azure-Abonnement erfordert, dass während der Bereitstellung bestimmte Tags auf Ressourcengruppen angewendet werden, halten Sie eine Liste dieser Azure-Ressourcen-Tags bereit, um sie bei der Bereitstellung Ihres Microsoft Azure Edge anzugeben. |
| ☐ | Wenn Sie die Verschlüsselung für eine Edge Gateway (AKS)-Bereitstellung verwenden möchten, aktivieren Sie die Verschlüsselung in Ihrem Microsoft Azure-Abonnement. Wenn die Funktionen vom Typ EncryptionAtHostSupported auf Abonnementebene aktiviert sind, wird die Festplattenverschlüsselung berücksichtigt. Zum Aktivieren dieser Funktion in Ihrem Azure-Abonnement führen Sie die Schritte im Abschnitt „Voraussetzungen“ unter Verwenden des Azure-Portals zum Aktivieren der End-to-End-Verschlüsselung mithilfe der Verschlüsselung am Host durch. |
Anforderungen an Microsoft Azure-Kapazität
Wenn sich die folgende Tabelle auf die Microsoft Azure-Kapazität bezieht, ist keine manuelle Installation erforderlich. Sofern die angegebenen Kapazitäten im Abonnement verfügbar sind, instanziiert der Bereitsteller automatisch die beschriebenen VMs.
| ☐ | Microsoft Azure-Kapazität für die Horizon Edge-Kernressourcen, die in diesem Abonnement bereitgestellt werden sollen. Beachten Sie, dass die Kapazitätsanforderungen je nach bereitgestelltem Microsoft Azure Edge-Format (Edge-Gateway (AKS) oder Edge-Gateway (VM)) variieren.
|
Netzwerkanforderungen
Die folgenden Netzwerkanforderungen enthalten die Details, die für die erfolgreiche Bereitstellung und den Betrieb eines Horizon Edge erforderlich sind. Die beiden folgenden Tabellen sind ähnlich, weisen aber Unterschiede auf. Verwenden Sie die Tabelle, die auf den bereitzustellenden Microsoft Azure Edge-Formattyp (Edge-Gateway (VM) oder Edge-Gateway (AKS)) zutrifft.
-
Edge-Gateway (VM)
Verwenden Sie die folgende Tabelle für eine Edge-Gateway(VM)-Bereitstellung.
Netzwerkanforderungen für ein Edge-Gateway (VM)
| ☐ | Virtuelles Microsoft Azure-Netzwerk (VNet), das in der gewünschten Microsoft Azure-Region mit dem anwendbaren Adressbereich zur Abdeckung der erforderlichen Subnetze erstellt wurde. Weitere Informationen finden Sie unter Konfigurieren von Netzwerkeinstellungen für Microsoft Azure-Regionen. |
| ☐ |
Die folgenden Subnetzanforderungen sind Mindestanforderungen. Für größere Umgebungen sind möglicherweise größere Subnetze erforderlich.
Wenn Sie einen dedizierten Anbieter für die Bereitstellung von Horizon Gateway-Appliances (Horizon Edge Gateway und Unified Access Gateway) verwenden möchten, müssen Sie Backend-Subnetze beim Anbieter erstellen, über den Desktops bereitgestellt werden. |
| ☐ | Vergewissern Sie sich, dass sich Ihre internen Netzwerke nicht mit den folgenden von Kubernetes verwendeten Werten überschneiden, die innerhalb des Bereitstellungstyps Edge Gateway (VM) ausgeführt werden.
|
| ☐ | Konfigurieren Sie den DNS-Server des VNet (virtuellen Netzwerks), der auf einen gültigen DNS-Server verweist, der sowohl interne Computernamen als auch externe Namen auflösen kann. Weitere Informationen finden Sie unter Konfigurieren der erforderlichen DNS-Einträge nach der Bereitstellung von Horizon Edge Gateway und Unified Access Gateway. Für interne Endpoints ist der AD-Server ein Beispiel. Für externe Endpoints muss der ausgehende Internetzugriff auf den VNets, die Sie für die Bereitstellung des Gateways verwenden, bestimmte DNS-Namen auflösen und über bestimmte Ports und Protokolle erreichen können. Dies ist für die Bereitstellung und den laufenden Betrieb erforderlich. |
| ☐ | Ausgehender Internetzugriff auf den VNets, die Sie für die Horizon Edge-Bereitstellung verwenden, muss bestimmte DNS-Namen auflösen und über bestimmte Ports und Protokolle erreichen können. Dies ist für die Bereitstellung und den laufenden Betrieb erforderlich. Eine Liste der DNS-Namen und -Ports finden Sie unter Erreichbarmachen geeigneter Ziel-URLs für die Bereitstellung eines Horizon Edge Gateway in einer Microsoft Azure-Umgebung. |
| ☐ | Optional. Proxy-Serverinformationen bei Bedarf für ausgehenden Internetzugriff auf dem VNet, das während der Bereitstellung und des laufenden Betriebs der Horizon Cloud-Umgebung verwendet wird. |
| ☐ | Optional. Microsoft Azure VPN/Express Route konfiguriert, wenn Sie ein Netzwerk zwischen dem VNet und Ihrem lokalen Unternehmensnetzwerk herstellen möchten. |
-
Edge-Gateway (AKS)
Verwenden Sie die folgende Tabelle für eine Bereitstellung vom Typ „Edge-Gateway (AKS)“. Diese Anforderungen umfassen Unterstützung für die Konfiguration von Horizon Edge Gateway unter Verwendung eines AKS-Clusters. Wenn Sie Horizon Edge Gateway mithilfe eines AKS-Clusters konfigurieren, erhalten Sie eine leichter skalierbare Lösung.
Netzwerkanforderungen für ein Edge-Gateway (AKS)
| ☐ | Virtuelles Microsoft Azure-Netzwerk (VNet), das in der gewünschten Microsoft Azure-Region mit dem anwendbaren Adressbereich zur Abdeckung der erforderlichen Subnetze erstellt wurde. Weitere Informationen finden Sie unter Konfigurieren von Netzwerkeinstellungen für Microsoft Azure-Regionen. |
| ☐ |
Die folgenden Subnetzanforderungen sind Mindestanforderungen. Für größere Umgebungen sind möglicherweise größere Subnetze erforderlich.
Wenn Sie einen dedizierten Anbieter für die Bereitstellung von Horizon Gateway-Appliances (Horizon Edge Gateway und Unified Access Gateway) verwenden möchten, müssen Sie Backend-Subnetze beim Anbieter erstellen, über den Desktops bereitgestellt werden. |
| ☐ | Wenn Sie ein Edge-Gateway (AKS) bereitstellen und bei der Edge-Erstellung den Wert „NAT-Gateway“ als Typ des ausgehenden Clusters auswählen, konfigurieren Sie ein NAT-Gateway im Verwaltungs-Subnetz, um ausgehende Konnektivität für das Horizon Edge Gateway zu ermöglichen. Wenn Sie den Wert für ausgehenden Cluster zum Zeitpunkt der Edge-Erstellung als Wert für ausgehenden Cluster als Benutzerdefinierte Routen auswählen, konfigurieren Sie eine Routentabelle im Verwaltungs-Subnetz mit der Standardroute 0.0.0.0/0, die auf einen nächsten Hop vom Typ VirtualAppliance oder VirtualNetworkGateway verweist. |
| ☐ | Sammeln Sie die folgenden CIDR-IP-Adressbereiche, die Sie zum Konfigurieren des Horizon Edge Gateway während der Bereitstellung benötigen.
Hinweis: Stellen Sie sicher, dass diese Bereiche nicht mit anderen in Ihrer Umgebung verwendeten Bereichen in Konflikt stehen.
|
| ☐ | Konfigurieren Sie den DNS-Server des VNet (virtuellen Netzwerks), der auf einen gültigen DNS-Server verweist, der sowohl interne Computernamen als auch externe Namen auflösen kann. Weitere Informationen finden Sie unter Konfigurieren der erforderlichen DNS-Einträge nach der Bereitstellung von Horizon Edge Gateway und Unified Access Gateway. Für interne Endpoints ist der AD-Server ein Beispiel. Für externe Endpoints muss der ausgehende Internetzugriff auf den VNets, die Sie für die Bereitstellung des Gateways verwenden, bestimmte DNS-Namen auflösen und über bestimmte Ports und Protokolle erreichen können. Dies ist für die Bereitstellung und den laufenden Betrieb erforderlich. |
| ☐ | Ausgehender Internetzugriff auf den VNets, die Sie für die Horizon Edge-Bereitstellung verwenden, muss bestimmte DNS-Namen auflösen und über bestimmte Ports und Protokolle erreichen können. Dies ist für die Bereitstellung und den laufenden Betrieb erforderlich. Eine Liste der DNS-Namen und -Ports finden Sie unter Erreichbarmachen geeigneter Ziel-URLs für die Bereitstellung eines Horizon Edge Gateway in einer Microsoft Azure-Umgebung. |
| ☐ | Optional. Proxy-Serverinformationen bei Bedarf für ausgehenden Internetzugriff auf dem VNet, das während der Bereitstellung und des laufenden Betriebs der Horizon Cloud-Umgebung verwendet wird. |
| ☐ | Optional. Microsoft Azure VPN/Express Route konfiguriert, wenn Sie ein Netzwerk zwischen dem VNet und Ihrem lokalen Unternehmensnetzwerk herstellen möchten. |
| ☐ | Wenn Sie ein Edge-Gateway (AKS) bezüglich eines Horizon Edge mit einem AKS-Cluster bereitstellen und das VNet, das Sie für die Horizon Edge-Bereitstellung verwenden, über einen benutzerdefinierten DNS-Server verfügt, müssen Sie die Microsoft Azure DNS-IP-Adresse 168.63.129.16 als DNS-Weiterleitung für die Auflösung externer Namen hinzufügen. |
Port- und Protokollanforderungen
| ☐ | Bestimmte Ports und Protokolle sind für die Bereitstellung und den laufenden Betrieb Ihrer Horizon Cloud-Umgebung erforderlich. Weitere Informationen finden Sie unter Horizon Cloud-Port- und -Protokollanforderungen für Ihre Bereitstellung in Microsoft Azure. |
Anforderungen für Unified Access Gateway
Ein Cluster aus Unified Access Gateway-VMs ist einem Pool zugeordnet, mit der Clients vertrauenswürdige Horizon Web Client-Verbindungen zu den VMs in diesem Pool herstellen können.
Sie verwenden die Horizon Universal Console, um Horizon Cloud mit dem Unified Access Gateway zu konfigurieren. Die folgenden Elemente sind für diese Art der Konfiguration erforderlich.
| ☐ |
Für alle Konfigurationstypen ist ausgehender Internetzugriff auf den folgenden Endpoint-Namen erforderlich: *.horizon.omnissa.com Wenn Internen Zugriff über ein Unternehmensnetzwerk zulassen als Unified Access Gateway-Zugriffstyp fungiert, kann entweder benutzerdefiniertes Routing oder NAT Gateway auf das Management-Subnetz angewendet werden, um ausgehenden Datenverkehr zuzulassen. Wenn der Unified Access Gateway-Zugriffstyp extern mit einem DMZ-Netzwerk konfiguriert ist, muss externer Zugriff auf den folgenden Endpoint-Namen im DMZ-Netzwerk konfiguriert werden: *.horizon.omnissa.com |
| ☐ | Je nach dem während der Konfiguration des Unified Access Gateway ausgewählten Zugriffstyp sind ein interner FQDN, ein externer FQDN oder beide erforderlich.
|
| ☐ | Zertifikat oder Zertifikate für das Unified Access Gateway im PEM- oder PFX-Format, die dem FQDN entsprechen. Hinweis: Wenn das Zertifikat oder die Zertifikate, die Sie für diesen Zweck bereitstellen, CRLs (Zertifikatsperrlisten) oder OCSP-Einstellungen (Online Certificate Status Protocol) verwenden, die sich auf bestimmte DNS-Namen beziehen, müssen Sie sicherstellen, dass der ausgehende Internetzugriff aus dem VNet diese DNS-Server auflösen und erreichen kann. Während der Konfiguration Ihres bereitgestellten Zertifikats in der Unified Access Gateway-Konfiguration greift die Unified Access Gateway-Software auf diese DNS-Namen zu, um den Sperrstatus des Zertifikats zu überprüfen. Wenn diese DNS-Namen nicht erreichbar sind, schlägt die Bereitstellung fehl. Diese Namen hängen in hohem Maße von der Zertifizierungsstelle ab, die Sie für den Erhalt der Zertifikate verwendet haben. |
| ☐ | Befolgen Sie abhängig vom Unified Access-Bereitstellungsmodus die entsprechenden Subnetzrichtlinien: Basismodus:
Erweiterter Modus:
|
Grundlegendes zur Benutzer- und Maschinenidentität
Horizon Cloud unterscheidet sich von anderen Umgebungen in der Identitätsverarbeitung. In Horizon Cloud unterscheidet der Dienst zwischen Benutzer- und Maschinenidentität und stützt sich beim Aufbau einer sicheren Verbindung zwischen einem Client und einem Remote-Desktop oder einer Anwendung auf beide Identitätstypen.
Hinweis: Diese Unterscheidung zwischen Benutzer- und Maschinenidentität ist für Sie möglicherweise neu, wenn Sie eher mit Umgebungen vertraut sind, in denen ein einziger Identitätsanbieter zur Authentifizierung der Benutzer- und Maschinenidentität verwendet wird, wie z. B. der First-Gen-Horizon Cloud-Umgebung oder einer lokalen Horizon 8-Umgebung.
In Horizon Cloud müssen Sie eine Identitätskonfiguration einrichten, die aus einem Identitätsanbieter zur Authentifizierung der Benutzeridentität und einem Identitätsanbieter zur Authentifizieren der Maschinenidentität besteht.
-
Benutzeridentität
Für Horizon Cloud müssen Sie einen Benutzeridentitätsanbieter registrieren. Der Dienst verwendet diesen Identitätsanbieter zur Authentifizierung von Clientbenutzern, die auf Remote-Desktops und -anwendungen zuzugreifen möchten.
-
Maschinenidentität
Für Horizon Cloud ist auch die Registrierung eines Maschinenidentitätsanbieters erforderlich. Der Dienst verwendet diesen Identitätsanbieter, um die Maschinenidentität von virtuellen Maschinen festzulegen, die Remote-Desktops und -anwendungen bereitstellen.
Der Dienst verbindet über den Maschinenidentitätsanbieter Remote-Desktops und die VM-Quellen für Remoteanwendungen mit der Domäne des vertrauenswürdigen Netzwerks, auf die Clientbenutzer zugreifen können.
Unterstützte Identitätskonfigurationen
Horizon Cloud erfordert, dass Sie eine Identitätskonfiguration registrieren, die aus einem Benutzeridentitätsanbieter und einem Maschinenidentitätsanbieter besteht. Die Funktionen können je nach den in der Konfiguration enthaltenen Identitätsanbietern variieren.
Horizon Cloud unterstützt die folgenden Identitätskonfigurationen.
Unterstützte Identitätskonfigurationen für Horizon Cloud
| Identitätskonfiguration | Benutzeridentitätsanbieter | Maschinenidentitätsanbieter | Überlegungen zu Funktionen |
|---|---|---|---|
| A | Microsoft Entra ID Commercial oder Microsoft Entra ID Government | Active Directory |
|
| B | Microsoft Entra ID Commercial oder Microsoft Entra ID Government | Microsoft Entra-ID |
|
| C | Workspace ONE Access Cloud oder Workspace ONE Access On Premises | Active Directory |
|
| D | Omnissa Identity Service | Active Directory |
|
In den nächsten Abschnitten werden die Anforderungen für jeden unterstützten Benutzeridentitätsanbieter und Maschinenidentitätsanbieter beschrieben.
Anforderungen an die Benutzeridentität
In diesem Abschnitt werden die Anforderungen für den Benutzeridentitätsanbieter beschrieben, den Sie in Ihrer Identitätskonfiguration verwenden möchten. Horizon Cloud unterstützt Microsoft Entra ID und Workspace ONE Access als Anbieter von Benutzeridentitäten.
Zusätzlich zu den in diesem Abschnitt beschriebenen Anforderungen finden Sie im Abschnitt Unterstützte Identitätskonfigurationen Informationen zu den Überlegungen für Funktionen und den Maschinenidentitätsanbietern, die Sie mit jedem Benutzeridentitätsanbieter verwenden können. Eine Übersicht über die Verwaltung von Identitäten mithilfe von Horizon Cloud finden Sie im Abschnitt Grundlegendes zur Benutzer- und Maschinenidentität.
-
Microsoft Entra-ID
☐ Wenn Microsoft Entra ID Commercial oder Microsoft Entra ID Government als Ihr Benutzeridentitätsanbieter fungiert, muss ein Benutzer mit globalen Microsoft Entra ID-Administratorrechten folgende Schritte ausführen. - Die angeforderten Berechtigungen genehmigen.
- Die Zustimmung für die gesamte Organisation erteilen.
-
Workspace ONE Access
☐ Wenn Workspace ONE Access Cloud oder Workspace ONE Access On Premises als Ihr Identitätsanbieter fungiert, muss ein Benutzer mit Administratorrechten folgende Schritte ausführen. - Integrieren Sie den Identitätsanbieter.
- Konfigurieren Sie die erforderlichen Voraussetzungen für die Horizon Cloud-Integration.
-
Omnissa Identity Service
☐ Wenn Omnissa Identity Service als Ihr Identitätsanbieter fungiert, muss ein Benutzer mit Administratorrechten folgende Schritte ausführen. - Integrieren Sie den Identitätsanbieter.
- Wählen Sie die Horizon Cloud-Instanz aus, die mit Omnissa Identity Service verwendet werden soll.
Anforderungen an die Maschinenidentität
In diesem Abschnitt werden die Anforderungen für den Maschinenidentitätsanbieter beschrieben, den Sie in Ihrer Identitätskonfiguration verwenden möchten. Horizon Cloud unterstützt Microsoft Entra ID und Active Directory als Anbieter von Maschinenidentitäten.
Zusätzlich zu den in diesem Abschnitt beschriebenen Anforderungen finden Sie im Abschnitt Unterstützte Identitätskonfigurationen Informationen zu den Überlegungen für Funktionen und den Benutzeridentitätsanbietern, die Sie mit jedem Maschinenidentitätsanbieter verwenden können. Eine Übersicht über die Verwaltung von Identitäten mithilfe von Horizon Cloud finden Sie im Abschnitt Grundlegendes zur Benutzer- und Maschinenidentität.
-
Microsoft Entra-ID
☐ Um das Löschen eines Pools oder einer VM zu aktivieren, stellen Sie sicher, dass der Dienstprinzipal über Berechtigungen zum Löschen des Geräteeintrags aus Microsoft Entra ID verfügt. Die Berechtigungen lauten wie folgt: - Geltungsbereich: https://graph.microsoft.com
- Berechtigung: Device.ReadWrite.All
- Geräte lesen und schreiben
- Administratorzustimmung: Ja
☐ Um die Konfiguration von Verwaltungseinheiten für einen mit Microsoft Entra ID verbundenen Pool zuzulassen, stellen Sie sicher, dass der Dienstprinzipal über die folgenden Berechtigungen verfügt: - Geltungsbereich: https://graph.microsoft.com
- Berechtigung: AdministrativeUnit.ReadWrite.All
- Verwaltungseinheiten lesen und schreiben.
- Administratorzustimmung: Ja
- Geltungsbereich: https://graph.microsoft.com
- Berechtigungen: RoleManagement.Read.Directory
- Alle RBAC-Einstellungen des Verzeichnisses lesen. Diese Berechtigung ist erforderlich, um Zuweisungen der Dienstprinzipalrolle zu validieren.
- Administratorzustimmung: Ja
- Geltungsbereich: https://graph.microsoft.com
- Berechtigung: Device.Read.All
- Alle Geräte im Verzeichnis lesen. Diese Berechtigung ist erforderlich, um die Informationen des mit Entra ID verbundenen Pool-VM-Geräts zu lesen und das Gerät zur Pool-Verwaltungseinheit hinzuzufügen.
- Administratorzustimmung: Ja
Wenn Sie bei der Verwendung von Verwaltungseinheiten die Berechtigung „Device.ReadWrite.All“ nicht bereitstellen möchten, können Sie die folgende Berechtigung mit dem entsprechenden Geltungsbereich entweder auf der Verzeichnisebene oder auf der Ebene der Verwaltungseinheit anwenden:- Geltungsbereich: Gesamtes Verzeichnis oder bestimmte Verwaltungseinheiten
- Berechtigung: microsoft.directory/devices/delete
- Geräte aus Microsoft Entra ID löschen.
- Administratorzustimmung: Ja
☐ Konfigurieren Sie rollenbasierte Zugriffssteuerung (Role-based Access Control, RBAC) in Microsoft Entra ID. Mit dieser Konfiguration wird sichergestellt, dass sich nur die Benutzer oder Benutzergruppen mit der Rolle VM-Administratoranmeldung oder VM-Benutzeranmeldung bei Ihren Berechtigungen anmelden können.
-
Active Directory
☐ Active Directory Server mit Sichtverbindung zu den Horizon Edge Gateway-Instanzen und Desktop-Subnetzen. Beispiel: - Ein lokaler Active Directory-Server, der über VPN/Express-Route verbunden ist
- Ein Active Directory-Server in Microsoft Azure
☐ Wenn Sie planen, Ihr Active Directory über LDAPS zu verbinden, sammeln Sie PEM-codierte Root- und Zwischen-CA-Zertifikate für Ihre Active Directory-Domäne. Wenn Sie Ihre Active Directory-Domäne über die Horizon Universal Console einrichten, werden Sie zu diesem Zeitpunkt aufgefordert, die PEM-codierten Root- und Zwischen-CA-Zertifikate hochzuladen. ☐ Unterstützte Domänenfunktionsebenen von Microsoft Windows Active Directory Domain Services (AD DS). - Windows Server 2016
- Windows Server 2012 R2
- Windows Server 2012
- Windows Server 2022
- Windows Server 2019
- Windows Server 2016
- Windows Server 2012 R
☐ - Domänendienstkonto
Active Directory-Domänendienstkonto (ein Standardbenutzer mit Lesezugriff), das das Attribut sAMAccountName hat. Das Attribut „sAMAccountName“ darf höchstens 20 Zeichen lang sein und darf keines der folgenden Zeichen enthalten: "/ \ [ ] : ; | = , + * ? < >.
Das Konto muss über die folgenden Berechtigungen verfügen:
- Inhalt auflisten
- Alle Eigenschaften lesen
- Berechtigungen lesen
- tokenGroupsGlobalAndUniversal lesen (implizit enthalten in „Alle Eigenschaften lesen“)
Legen Sie das Kennwort für das Konto auf „Läuft nie ab“ fest, um dauerhaften Zugriff auf die Anmeldung bei Ihrer Horizon Cloud-Umgebung zu gewährleisten.
- Wenn Sie mit dem lokalen Horizon-Angebot vertraut sind, sind die oben genannten Berechtigungen derselbe Satz, der für die sekundären Anmeldekonten des lokalen Horizon-Angebots erforderlich sind.
- Domänendienstkonten erhalten die Standardberechtigungen für den Lesezugriff, die in der Regel authentifizierten Benutzern in einer Microsoft Active Directory-Bereitstellung gewährt werden. Wenn sich die AD-Administratoren Ihrer Organisation jedoch dafür entschieden haben, schreibgeschützte Berechtigungen für reguläre Benutzer zu sperren, müssen Sie diese AD-Administratoren bitten, die Standardeinstellungen der authentifizierten Benutzer für die Domänendienstkonten beizubehalten, die Sie für Horizon Cloud verwenden.
☐ - Zusätzliches Domänendienstkonto
Muss vom Hauptdomänendienstkonto getrennt sein. Die Benutzeroberfläche verhindert, dass dasselbe Konto in beiden Feldern erneut verwendet wird. Active Directory-Domänendienstkonto (ein Standardbenutzer mit Lesezugriff) mit dem Attribut „sAMAccountName“. Das Attribut „sAMAccountName“ darf höchstens 20 Zeichen lang sein und darf keines der folgenden Zeichen enthalten: "/ \ [ ] : ; | = , + * ? < >. Das Konto muss über die folgenden Berechtigungen verfügen:- Inhalt auflisten
- Alle Eigenschaften lesen
- Berechtigungen lesen
- tokenGroupsGlobalAndUniversal lesen (implizit enthalten in „Alle Eigenschaften lesen“)
- Wenn Sie mit dem lokalen Horizon-Angebot vertraut sind, sind die oben genannten Berechtigungen derselbe Satz, der für die sekundären Anmeldekonten des lokalen Horizon-Angebots erforderlich sind.
- Domänendienstkonten erhalten die Standardberechtigungen für den Lesezugriff, die in der Regel authentifizierten Benutzern in einer Microsoft Active Directory-Bereitstellung gewährt werden. Wenn sich die AD-Administratoren Ihrer Organisation jedoch dafür entschieden haben, schreibgeschützte Berechtigungen für reguläre Benutzer zu sperren, müssen Sie diese AD-Administratoren bitten, die Standardeinstellungen der authentifizierten Benutzer für die Domänendienstkonten beizubehalten, die Sie für Horizon Cloud verwenden.
☐ - Domänenbeitrittskonto
Active Directory-Domänenbeitrittskonto, das vom System zum Durchführen von Sysprep-Vorgängen und zum Hinzufügen der virtuellen Computer zur Domäne verwendet werden kann. In der Regel ein neues Konto, das Sie für diesen ausdrücklichen Zweck erstellen. (Ein Benutzerkonto für den Domänenbeitritt) Das Konto muss das Attribut sAMAccountName haben. Das Attribut „sAMAccountName“ darf höchstens 20 Zeichen lang sein und darf keines der folgenden Zeichen enthalten: "/ \ [ ] : ; | = , + * ? < >. Die Verwendung von Leerzeichen im Benutzernamen des Kontos wird derzeit nicht unterstützt. Legen Sie das Kontokennwort auf „Läuft nie ab“ fest, um sicherzustellen, dass Horizon Cloud weiterhin Systemvorbereitungsvorgänge ausführen und die virtuellen Computer der Domäne hinzufügen kann. Dieses Konto erfordert die folgenden Active Directory-Berechtigungen, die auf die Organisationseinheit „Computer“ oder auf die Organisationseinheit angewendet werden, die Sie in die UI der Konsole für den Domänenbeitritt eingeben.- Alle Eigenschaften lesen – nur dieses Objekt
- Computerobjekte erstellen – dieses Objekt und alle abgeleiteten Objekte
- Computerobjekte löschen – dieses Objekt und alle abgeleiteten Objekte
- Alle Eigenschaften schreiben – Abgeleitete Computerobjekte
- Kennwort zurücksetzen – abgeleitete Computerobjekte
Weitere Informationen zum Erstellen und Wiederverwenden von Domänenbeitrittskonten finden Sie unter Erstellen von Active Directory-Domänendienst- und -Domänenbeitrittskonten.
Wenn Sie in Microsoft Active Directory eine neue OE erstellen, legt das System möglicherweise automatisch das AttributPrevent Accidental Deletionfest, das für die neu erstellte OE und alle abgeleiteten Objekte für die Berechtigung „Alle untergeordneten Objekte löschen“Denyanwendet. Wenn Sie daher dem Domänenbeitrittskonto explizit die Berechtigung „Computerobjekte löschen“ zugewiesen haben, hat Active Directory im Fall einer neu erstellten OE möglicherweise eine Außerkraftsetzung auf die explizit zugewiesene Berechtigung „Computerobjekte löschen“ angewendet. Da durch das Löschen des Flags Versehentliches Löschen verhindern das von Active Directory auf die Berechtigung „Alle untergeordneten Objekte löschen“ angewendeteDenymöglicherweise nicht automatisch gelöscht wird, müssen Sie im Fall einer neu hinzugefügten OE die zum Löschen aller untergeordneten Objekte in der OE und aller untergeordneten OEs festgelegte BerechtigungDenymöglicherweise prüfen und manuell löschen, bevor Sie das Domänenbeitrittskonto in der Horizon Cloud Console verwenden.
☐ - Optionales Hilfsdomänenbeitrittskonto
Active Directory-Domänenbeitrittskonto, das vom System zum Durchführen von Sysprep-Vorgängen und zum Hinzufügen der virtuellen Computer zur Domäne verwendet werden kann. In der Regel ein neues Konto, das Sie für diesen ausdrücklichen Zweck erstellen (Ein Benutzerkonto für den Domänenbeitritt).
Das Konto muss das Attribut sAMAccountName haben. Das Attribut „sAMAccountName“ darf höchstens 20 Zeichen lang sein und darf keines der folgenden Zeichen enthalten: "/ \ [ ] : ; | = , + * ? < >.
Die Verwendung von Leerzeichen im Benutzernamen des Kontos wird derzeit nicht unterstützt.
Legen Sie das Kontokennwort auch auf „Läuft nie ab“ fest, um sicherzustellen, dass Horizon Cloud die Sysprep-Vorgänge weiterhin ausführen und die virtuellen Computer zur Domäne hinzufügen kann.
Für dieses Konto sind die folgenden Active Directory-Berechtigungen erforderlich, die auf die Computer-OE oder auf die OE angewendet werden, die Sie in die Benutzeroberfläche für den Domänenbeitritt der Konsole eingeben.- Alle Eigenschaften lesen – nur dieses Objekt
- Computerobjekte erstellen – dieses Objekt und alle abgeleiteten Objekte
- Computerobjekte löschen – dieses Objekt und alle abgeleiteten Objekte
- Alle Eigenschaften schreiben – Abgeleitete Computerobjekte
- Kennwort zurücksetzen – abgeleitete Computerobjekte
Wenn Sie in Microsoft Active Directory eine neue OE erstellen, legt das System möglicherweise automatisch das AttributPrevent Accidental Deletionfest, das für die neu erstellte OE und alle abgeleiteten Objekte für die Berechtigung „Alle untergeordneten Objekte löschen“Denyanwendet. Wenn Sie daher dem Domänenbeitrittskonto explizit die Berechtigung „Computerobjekte löschen“ zugewiesen haben, hat Active Directory im Fall einer neu erstellten OE möglicherweise eine Außerkraftsetzung auf die explizit zugewiesene Berechtigung „Computerobjekte löschen“ angewendet. Da durch das Löschen des Flags Versehentliches Löschen verhindern das von Active Directory auf die Berechtigung „Alle untergeordneten Objekte löschen“ angewendeteDenymöglicherweise nicht automatisch gelöscht wird, müssen Sie im Fall einer neu hinzugefügten OE die zum Löschen aller untergeordneten Objekte in der OE und aller untergeordneten OEs festgelegte BerechtigungDenymöglicherweise prüfen und manuell löschen, bevor Sie das Domänenbeitrittskonto in der Horizon Cloud Console verwenden.
☐ - Active Directory-Organisationseinheit (OU) bzw. -einheiten (OUs) für virtuelle Desktops und RDS-sitzungsbasierte Desktops oder veröffentlichte Anwendungen oder beides.
Wenn Sie in Microsoft Active Directory eine neue OE erstellen, legt das System möglicherweise automatisch das AttributPrevent Accidental Deletionfest, das für die neu erstellte OE und alle abgeleiteten Objekte für die Berechtigung „Alle untergeordneten Objekte löschen“Denyanwendet. Wenn Sie daher dem Domänenbeitrittskonto explizit die Berechtigung „Computerobjekte löschen“ zugewiesen haben, hat Active Directory im Fall einer neu erstellten OE möglicherweise eine Außerkraftsetzung auf die explizit zugewiesene Berechtigung „Computerobjekte löschen“ angewendet. Da durch das Löschen des Flags Versehentliches Löschen verhindern das von Active Directory auf die Berechtigung „Alle untergeordneten Objekte löschen“ angewendeteDenymöglicherweise nicht automatisch gelöscht wird, müssen Sie im Fall einer neu hinzugefügten OE die zum Löschen aller untergeordneten Objekte in der OE und aller untergeordneten OEs festgelegte BerechtigungDenymöglicherweise prüfen und manuell löschen, bevor Sie das Domänenbeitrittskonto in der Horizon Cloud Console verwenden.
Systemanforderungen für die Image-Verwaltung
Ihr Microsoft Azure-Abonnement muss die folgenden Anforderungen erfüllen, je nachdem, welche Arten von Images Sie über den bereitgestellten Horizon Edge zur Verfügung stellen möchten.
☐ Basis für das Image. Mindestens eine der unterstützten Microsoft Azure-VM-Konfigurationen. - Microsoft Azure-VMs der Generationen 1 und 2 werden unterstützt.
Nicht-GPU:- Standard_DS2_v2
- Standard_NV12s_v3
Anforderungen für Pool-VMs
Ihr Microsoft Azure-Abonnement muss die folgenden Anforderungen erfüllen, je nachdem, welche Arten von Pool-VMs Sie über den bereitgestellten Horizon Edge zur Verfügung stellen möchten.
☐ Modellauswahl für die VMs in Pools – eine beliebige der in der Microsoft Azure-Region verfügbaren VM-Konfigurationen von Microsoft Azure, mit Ausnahme derjenigen, die nicht mit Horizon Cloud-Desktopvorgängen kompatibel sind.
Beachten Sie bei der Auswahl eines VM-Modells die folgenden Details.- Die Verwendung des Modelltyps „GPU-fähig“ oder „Nicht-GPU“ richtet sich nach der während der Image-Erstellung ausgewählten VM.
- Zum Erstellen eines Mehrfachsitzungspools wählen Sie ein Image aus, das mit einem Mehrfachsitzungs-Betriebssystem erstellt wurde.
- Für Produktionsumgebungen empfehlen Skalierungstests die Verwendung von Modellen mit mindestens 2 CPUs.
- Weitere Informationen zur Kompatibilität verschiedener Microsoft Azure-VM-Typen und -Größen mit Horizon Cloud finden Sie unter Microsoft Azure-VM-Typen und -Größen für Horizon Cloud (89090).
- Microsoft Azure VMs der Generation 1 und 2 werden in Pools unterstützt.
Horizon Client- und Horizon Web Client-Anforderungen
☐ Stellen Sie sicher, dass Ihre Endbenutzer einen unterstützten Client verwenden, um auf die vom Dienst bereitgestellten Ressourcen zuzugreifen. Weitere Informationen finden Sie in der Liste unter Versionshinweise – Abschnitt „Client-Support“
Tipp: Wenn Endbenutzer über einen Browser eine Verbindung mit Horizon Cloud herstellen, verwenden die Verbindungen automatisch die aktuelle Version des Horizon Web Client.
War diese Seite hilfreich?