Eine Horizon Cloud-Umgebung mit Einzel-Pod-Brokering – Integrieren der Horizon Cloud-Pods der Umgebung in Microsoft Azure mit Omnissa Access

Sie verwenden diese Schritte, wenn Ihre Horizon Cloud-Mandantenumgebung für die Verwendung von Einzel-Pod-Brokering konfiguriert ist und Sie Omnissa Access damit verwenden möchten. Durch die Integration Ihrer Horizon Cloud on Microsoft Azure-Bereitstellung in die cloudgehostete Access-Umgebung können Sie Ihren Endbenutzern die Möglichkeit bieten, sich über einen einzigen einheitlichen Katalog in Access bei ihren berechtigten über den Pod bereitgestellten Desktops und Anwendungen zu authentifizieren.

Horizon Cloud unterstützt die Integration mit dem cloudgehosteten Access.

Um diese Integration zu erreichen, muss der Access Connector bereitgestellt werden, der Ihre Access-Umgebung mit dem Pod verbindet. Dieser Konnektor bietet Ihnen die Möglichkeit, die Endbenutzerberechtigungen des Pods auf Access zu synchronisieren.

Hinweis: Die Screenshots in der Access-Dokumentation sehen möglicherweise anders aus als die Elemente der Benutzeroberfläche, die Sie in Ihrer spezifischen Access-Umgebung sehen.

Hintergrundinformationen und Terminologie

• Sie konfigurieren wie gewohnt Desktop- und Remoteanwendungszuweisungen für Ihre Benutzer und Gruppen in der Horizon Universal Console.

• Nachdem Sie die Schritte zum Integrieren Ihres Pods in Ihre Access-Umgebung abgeschlossen haben, synchronisieren Sie die Zuweisungsinformationen des Pods mit Access.

• Anschließend werden die Desktops und Anwendungen in der Access-Verwaltungskonsole angezeigt, und Ihre Endbenutzer können sich über Access bei ihren zugewiesenen Ressourcen authentifizieren.

• Sie können einen regelmäßigen Synchronisierungszeitplan einrichten, um die Zuweisungsinformationen von Horizon Cloud mit Ihrer Access-Umgebung zu synchronisieren.

• Access hieß früher Identity Manager. Früher hieß der Konnektor Identity Manager Connector. Möglicherweise finden Sie weiterhin Verweise auf den früheren Namen in den Produkt-, Dokumentations- und KB-Artikeln, insbesondere wenn Sie ältere Connector-Versionen verwenden.

• In der Access-Dokumentation wird der Begriff Berechtigungen verwendet, wenn es um die Synchronisierung des Connectors vom Pod zu Access geht.

  In Horizon Cloud stellt eine Zuweisung die Kombination aus einer Ressource und einer Berechtigung dar.

  In der Horizon Universal Console erteilt das Hinzufügen eines Benutzers zu einer Zuweisung diesem Benutzer die Berechtigung für die vom Pod bereitgestellte Ressource der Zuweisung, beispielsweise beim Erstellen einer dedizierten VDI-Desktop-Zuweisung.

• Die Access-Konsole wurde mit einem Assistenten aktualisiert, der den Begriff "Horizon Cloud-Sammlung" verwendet. In der Access-Dokumentation und in der Horizon Cloud-Dokumentation werden möglicherweise beide Begriffe angezeigt: Sammlung virtueller Apps und Horizon Cloud-Sammlung.

Überblick über die Schlüsselkomponenten

Wenn Ihre Horizon Cloud-Mandantenumgebung für die Verwendung von Einzel-Pod-Brokering konfiguriert ist, integrieren Sie jeden einzelnen Pod in Microsoft Azure in Access, um die Access-Funktionen mit den von jedem Pod bereitgestellten Endbenutzerressourcen zu verwenden.

Die Integration eines Pods in Microsoft Azure in Access umfasst die folgenden Schlüsselkonzepte.

• Fehler beim Bereitstellen des Pods in Microsoft Azure.
• Ihre Access-Mandantenumgebung
• Ein gültiges SSL-Zertifikat, das auf die Manager-VMs des Pods hochgeladen wurde. Dieses SSL-Zertifikat ermöglicht dem Access Connector die vertrauenswürdige Verbindung mit dem Pod, wenn der Connector die Berechtigungen und die vom Pod bereitgestellten Ressourcen für die in Access definierte Horizon Cloud Sammlung virtueller Apps synchronisiert.
• Der Access Connector ist installiert, und die Einstellungen für die Synchronisierung mit werden eingerichtet. Greifen Sie auf die Informationen zu den folgenden Ressourcen zu:
  • Die Active Directory-Benutzer und -Gruppen
  • Die Zuweisungen des Pods (die vom Pod bereitgestellten Ressourcen und die Berechtigungen für diese Ressourcen)
• Konfigurationseinstellungen in der Horizon Universal Console zum Einrichten des SAML-Artefakts, mit dem Access die SAML-Kommunikation mit dem Pod durchführen kann.

Überblick über den Integrationsprozess

Die folgende Liste ist eine allgemeine Zusammenfassung der End-to-End-Schritte, damit sich Ihre Endbenutzer über Access bei ihren vom Pod bereitgestellten Desktops und Anwendungen authentifizieren können.

Vor diesen Schritten müssen Sie den Pod bereits in Microsoft Azure bereitgestellt haben, Ihren Horizon Cloud-Mandanten für die Verwendung von Einzel-Pod-Brokering konfiguriert haben und über Ihren Access Cloud-Mandanten verfügen.

1. Ordnen Sie auf Ihrem DNS-Server die IP-Adresse des Azure Load Balancer des Pod-Managers einem vollqualifizierten Domänennamen (FQDN) zu, z. B mypod1.example.com. Sie finden diese IP-Adresse auf der Detailseite des Pods. Unter Übersicht über das Konfigurieren von SSL-Zertifikaten auf den Pod Manager-VMs finden Sie Informationen dazu, wo sich diese IP-Adresse auf der Detailseite des Pods befindet.

   Hinweis: Vor der vierteljährlichen Dienstversion vom Juli 2020 wurde diese IP-Adresse auf der Detailseite des Pods als IP-Adresse der Mandanten-Appliance bezeichnet. Die aktuelle Bezeichnung lautet IP-Adresse des Lastenausgleichsdienstes des Pod-Managers. Pods aktueller Manifeste enthalten einen Microsoft Azure-Lastausgleichsdienst, der standardmäßig für die Pod-Manager-Instanz bereitgestellt wird, und die aktuelle Bezeichnung spiegelt diese Pod-Architektur wider. Auch wenn für Pods mit Manifesten unter 1600 kein Microsoft Azure-Lastausgleichsdienst für die Pod-Manager-VM bereitgestellt wurde, ist die IP-Adresse, die Sie für diese Kopplungsaufgabe verwenden müssen, die IP-Adresse, die neben dieser Bezeichnung auf der Detailseite des Pods angezeigt wird.

2. Rufen Sie ein vertrauenswürdiges SSL-Zertifikat ab, das auf diesem FQDN basiert. Weitere Informationen dazu, was erforderlich ist, finden Sie in den folgenden Themen:

   • Übersicht über das Konfigurieren von SSL-Zertifikaten auf den Pod Manager-VMs
   • Voraussetzungen für die Konfiguration von SSL-Zertifikaten auf den Pod Manager-VMs Hinweis: Die Zertifikatsdateiformate, die für das Hochladen eines SSL-Zertifikats auf den Pod erforderlich sind, unterscheiden sich von dem PEM-Dateiformat, das von den Pod-Gateway-Konfigurationen verwendet wird.

3. Laden Sie dieses SSL-Zertifikat auf die Pod-Manager-VMs hoch, wie unter Konfigurieren von SSL-Zertifikaten direkt auf den Pod-Manager-VMs beschrieben.

   Wichtig: Wenn der Pod nicht über ein SSL-Zertifikat verfügt, das wie beschrieben so konfiguriert ist, dass es dem Access Connector präsentiert wird, der versucht, eine Verbindung mit ihm herzustellen, schlägt der Versuch des Connectors, eine Verbindung mit dem Pod herzustellen, um die Berechtigungen und Ressourcen zu synchronisieren, fehl, da der Connector keine Verbindung mit einem nicht vertrauenswürdigen Netzwerk herstellt. Das SSL-Zertifikat des Pods muss vom Connector als vertrauenswürdig eingestuft werden, damit dieser erfolgreich eine Verbindung mit dem Pod herstellen kann. Solange Sie kein SSL-Zertifikat auf den Pod hochgeladen haben, das die Kriterien erfüllt, können Sie Access nicht erfolgreich in den Pod integrieren.

4. Stellen Sie die Access Connector-Appliance in einem Netzwerk bereit, das sowohl mit dem Horizon Cloud-Pod als auch mit Ihrer Active Directory-Umgebung kommunizieren kann. Der Connector dient sowohl zur Synchronisierung von Ressourcen und Berechtigungen aus dem Pod als auch zur Synchronisierung von Benutzern und Gruppen aus Ihrer Active Directory-Umgebung.

   Lesen Sie alle Voraussetzungen im Zusammenhang mit dem Konnektor, beginnend mit dem folgenden Abschnitt mit dem Titel Was Sie brauchen, bevor Sie mit den Integrationsschritten beginnen beginnen.

   Wichtig: Sie müssen auch sicherstellen, dass die autoritative Zeitquelle, die Sie in diesem Connector konfigurieren, mit dem NTP-Server übereinstimmt, der für den Pod konfiguriert ist. Wenn die Zeitquellen nicht übereinstimmen, können Synchronisierungsprobleme auftreten. Auf der Detailseite des Pods wird der konfigurierte NTP-Server des Pods angezeigt. Sie können die Detailseite des Pods über die Seite "Kapazität" der Horizon Universal Console öffnen.

5. Stellen Sie sicher, dass die Access-Voraussetzungen für die Integration erfüllt sind, wie in der für Ihre Situation geeigneten Access-Produktdokumentation beschrieben. Weitere Informationen finden Sie im folgenden Abschnitt mit dem Titel Was Sie benötigen, bevor Sie mit den Integrationsschritten beginnen.

   Weitere Informationen finden Sie in der Access-Dokumentation im Handbuch Einrichten von Ressourcen unter Voraussetzungen für die Integration mit Horizon Cloud.

6. Aktivieren Sie die Desktops aus Ihrer Horizon Cloud-Umgebung in der Access-Umgebung, wie in den Access-Produktinformationen dokumentiert.

   Weitere Informationen finden Sie in der Access-Dokumentation auf der Seite Konfigurieren des Horizon Cloud-Mandanten in Access.

   • Beachten Sie diese wichtigen Punkte, wenn Sie die Schritte in der Access-Dokumentation ausführen

     • Synchronisieren Sie die Sammlung erst, nachdem Sie den unten aufgeführten Schritt 8 der Konfiguration Ihres Pods für den Zugriffszugriff abgeschlossen haben.
     • Geben Sie auf dem Bildschirm "Zugriff" für die Eingabe der Horizon Cloud-Mandanteninformationen im Feld Host auf diesem Bildschirm den FQDN an, den Sie auf Ihrem DNS-Server der IP-Adresse des Azure Load Balancer des Pod-Managers zugeordnet haben, um die Pod-Manager-VMs zu erreichen.

     Dieser FQDN muss mit dem SSL-Zertifikat übereinstimmen, das Sie direkt auf den Pod hochgeladen haben, wie unter Konfigurieren von SSL-Zertifikaten direkt auf den Pod Manager-VMs beschrieben.

7. Geben Sie die Einstellungen ein, mit denen Ihre konfigurierte Access-Umgebung als Identitätsverwaltungsanbieter für den Pod verwendet werden kann. Weitere Informationen finden Sie unter Schritte zum Konfigurieren eines Horizon Cloud-Pods mit den relevanten Zugriffsmandanteninformationen.

8. Synchronisieren Sie in Ihrem Access Cloud-Mandanten die Sammlung manuell, damit Sie sie im nächsten Schritt überprüfen können. Suchen Sie in der Access-Verwaltungskonsole die Sammlung und klicken Sie auf Synchronisieren.

9. Überprüfen Sie den Endbenutzerzugriff auf Desktops und Anwendungen, indem Sie sich als Endbenutzer bei Access anmelden und einen Desktop und eine Anwendung aus dem Katalog starten. Weitere Informationen finden Sie unter Bestätigen des Endbenutzerzugriffs auf Desktop-Zuweisungen in Access.

Nachdem Sie sich vergewissert haben, dass die Integration funktioniert, können Sie optional erzwingen, dass sich Endbenutzer authentifizieren und auf ihre Desktops und Anwendungen über Access zugreifen. Weitere Informationen finden Sie unter Erzwingen des Zugriffs durch Endbenutzer.

Was Sie vor Beginn der Integrationsschritte benötigen

Um die Integration von Ende zu Ende bis hin zur Überprüfung des Endbenutzerzugriffs auf die vom Pod bereitgestellten Desktops oder RDS-basierten Remoteanwendungen mithilfe von Access vollständig abzuschließen, müssen Sie sicherstellen, dass Sie über die folgenden Elemente verfügen.

• Wie unter Übersicht über das Konfigurieren von SSL-Zertifikaten auf den Pod Manager-VMs und Voraussetzungen für das Konfigurieren von SSL-Zertifikaten auf den Pod Manager-VMs beschrieben, benötigen Sie einen Eintrag in Ihrem DNS-Server, der die Azure Load Balancer-IP-Adresse des Pod-Managers einem vollqualifizierten Domänennamen (FQDN) zuordnet.

  Sie möchten, dass der FQDN, den Sie im SSL-Zertifikat verwenden, in die IP-Adresse aufgelöst wird, die auf der Detailseite des Pods in der Horizon Universal Console neben der Bezeichnung IP-Adresse des Lastenausgleichsdienstes für den Pod-Manager angezeigt wird.

  Nehmen wir als Beispiel an, Sie haben den Pod, der im folgenden Screenshot dargestellt ist, und Sie möchten einen FQDN von mypod-a.example.com als FQDN dieses Pods zum Zwecke der Zugriffsverbindung auf den Pod verwenden.

  

  In diesem Beispiel würden Sie in Ihrem DNS der abgebildeten IP-Adresse 192.168.21.4 zuordnen mypod-a.example.com .

  mypod-a.example.com    192.168.21.4
  

  Wenn Sie die Schritte auf dem Bildschirm "Zugriff" zum Eingeben der Horizon Cloud-Mandanteninformationen ausführen, geben Sie diesen FQDN für das Feld Host auf diesem Zugriffsbildschirm an.

• Ein vollständig konfigurierter Pod mit einem vertrauenswürdigen und gültigen SSL-Zertifikat, das Sie über die Seite "Pod-Details" auf die Pod-Manager selbst hochgeladen haben. Weitere Informationen zum Hochladen des Zertifikats finden Sie unter Übersicht über die Konfiguration von SSL-Zertifikaten auf den Pod Manager-VMs.

• Konfigurierte VDI-Desktop-Zuweisungen, Sitzungs-Desktop-Zuweisungen oder Remoteanwendungszuweisungen für den Pod.

• Zugriff auf den konfigurierten Access Cloud-Mandanten Ihrer Organisation.

  Wenn Sie den in der Cloud gehosteten Access verwenden, ist die Access Connector-Appliance erforderlich, um Ihren Pod mit diesem Mandanten zu integrieren. Dieser Konnektor sendet die Informationen zu Benutzer- und Gruppenberechtigungen für die virtuellen Desktops und Anwendungen an Ihren Access-Mandanten. Sie müssen die Connector-Appliance in Ihrem Active Directory-Netzwerk installieren. Führen Sie die Schritte aus, die in der Access Cloud-Dokumentation dokumentiert und in Bereitstellungsszenario für die Integration von Horizon Cloud in Access beschrieben werden. Informationen zur Connector-Version, die für diese Version erforderlich ist, finden Sie in den Produkt-Interoperabilitätstabellen.

  Stellen Sie sicher, dass die konfigurierte autoritative Zeitquelle des Connectors mit dem NTP-Server übereinstimmt, der für den Pod konfiguriert ist.

  Hinweis: Wenn Sie über eine vorhandene Integration und Access Connector-Appliance verfügen, empfiehlt es sich, den Connector zu aktualisieren, bevor Sie den Pod auf die aktuellste Pod-Software aktualisieren.

• Stellen Sie sicher, dass Ihre konfigurierte Access-Umgebung alle Voraussetzungen für die Integration mit Horizon Cloud-Ressourcen erfüllt, wie auf der Access-Dokumentationsseite Voraussetzungen für die Integration beschrieben.

Konfigurieren eines Horizon Cloud-Pods in Microsoft Azure mit den entsprechenden Informationen zum Zugriffsmandanten

Um einen Pod in Microsoft Azure in Access zu integrieren, müssen Sie den Pod mit den entsprechenden Zugriffsinformationen konfigurieren. Sie verwenden die Horizon Universal Console, um diese Informationen zu konfigurieren.

Voraussetzungen

Stellen Sie sicher, dass ein auf diesem FQDN basierendes SSL-Zertifikat auf die Pod-Manager-VMs hochgeladen wird, wie unter Konfigurieren von SSL-Zertifikaten direkt auf den Pod-Manager-VMs beschrieben. Dieses SSL-Zertifikat muss auf dem FQDN basieren, den Sie der IP-Adresse des Azure Load Balancer des Pod-Managers auf Ihrem DNS-Server zugeordnet haben.

Stellen Sie sicher, dass Ihre Access-Umgebung mit diesem FQDN konfiguriert ist, um die vom Pod bereitgestellten Endbenutzerressourcen und Berechtigungen für Access zu synchronisieren.

Stellen Sie sicher, dass Sie über die folgenden Informationen verfügen:

• Die Metadaten-URL des SAML-Identitätsanbieters (IdP) aus Ihrem Access-Mandanten.

  Sie erhalten die SAML-IdP-Metadaten-URL der Umgebung über die SAML-Metadaten der Access-Verwaltungskonsole.

  Weitere Informationen finden Sie auf der Access Cloud-Dokumentationsseite Konfigurieren der SAML-Authentifizierung im Horizon Cloud-Mandanten.

  Wenn Sie auf dieser Seite auf den Link zu den Identitätsanbieter-Metadaten klicken , wird in der Adressleiste Ihres Browsers die URL angezeigt. Sie hat in der Regel das Format https://AccessFQDN/SAAS/API/1.0/GET/metadata/idp.xml, wobei AccessFQDN der vollqualifizierte Domänenname (FQDN) Ihrer Access-Umgebung ist.

• Der FQDN, den Sie Ihren Endbenutzern mitteilen, um eine Verbindung mit Horizon Cloud herzustellen.

Vorgehensweise

1. Navigieren Sie in der Horizon Universal Console zu Einstellungen > Identitätsverwaltung und klicken Sie auf Neu.

2. Konfigurieren Sie die folgenden Optionen.

   Einstellung	Beschreibung
   Auf Metadaten-URL zugreifen	Geben Sie die Metadaten-URL des SAML-Identitätsanbieters (IdP) aus Ihrem Access-Mandanten ein. Diese Metadaten-URL hat in der Regel das Format https://WS1AccessFQDN/SAAS/API/1.0/GET/metadata/idp.xml , wobei WS1AccessFQDN der FQDN Ihrer Access-Umgebung ist.
   Zeitüberschreitung – SSO-Token	Geben Sie die Zeitspanne in Minuten ein, nach der das SSO-Token ablaufen soll. Der vorab ausgefüllte Systemstandardwert ist Null (0).
   Standort	Wählen Sie einen Ihrer Speicherorte aus, um das Dropdown-Menü Pod nach den Pods zu filtern, die mit diesem Speicherort verknüpft sind.
   Pod	Wählen Sie den Pod aus, für den diese Konfiguration gilt.
   Datencenter	Im Dropdown-Menü wird eine Zahl angezeigt, die sich auf die Horizon Cloud-Pod-Manifestversion bezieht. Behalten Sie die Standardeinstellungen bei.
   FQDN für den Clientzugriff:	Geben Sie den FQDN ein, mit dem Ihre Endbenutzer ihre Verbindungen herstellen sollen, um eine Verbindung mit Horizon Cloud herzustellen.
   Workspace ONE-Umleitung	Wenn Sie außerdem so konfiguriert sind, dass der Endbenutzerzugriff über Access erzwungen wird, können Sie diesen Schalter auf JA setzen, damit die Clients der Endbenutzer automatisch zu ihrer Access-Umgebung umgeleitet werden. Weitere Informationen zum Festlegen der Optionen zum Erzwingen des Endbenutzerzugriffs über Access finden Sie unter Erzwingen des Endbenutzerzugriffs. Wenn die automatische Umleitung in den Endbenutzer-Clients auf JA gesetzt ist, der Client versucht, eine Verbindung mit Horizon Cloud herzustellen, und Sie die erzwungene Authentifizierung über Access konfiguriert haben, wird der Client automatisch zur Access-Umgebung umgeleitet, die in den Pod integriert ist. Wenn der Schalter auf NEIN festgelegt ist, ist die automatische Umleitung nicht aktiviert. Wenn die automatische Umleitung nicht aktiviert und erzwungener Zugriff konfiguriert ist, zeigen die Clients stattdessen eine Informationsmeldung für den Benutzer an. Weitere Informationen finden Sie unter Erzwingen des Endbenutzerzugriffs. Hinweis: Sie können die Zugriffsumleitung nur für einen der Identitätsverwaltungsanbieter aktivieren, die hier konfiguriert sind. Wenn die Umschaltoption bereits für eine andere Konfiguration auf JA gesetzt ist und Sie versuchen, die Umschaltoption auf JA zu setzen, wird eine Fehlermeldung angezeigt.

3. Klicken Sie auf Speichern.

Ergebnisse

Ein grüner Status zeigt an, dass die Konfiguration erfolgreich war.

Nächster Schritt

Synchronisieren Sie in Ihrem Access Cloud-Mandanten die berechtigten Desktops und Anwendungen manuell. Suchen Sie in der Access-Verwaltungskonsole die für diesen Horizon Cloud-Pod definierte Sammlung und klicken Sie auf Synchronisieren.

Wichtiger Hinweis:

• Jedes Mal, wenn sich Ressourcen oder Berechtigungen in Horizon Cloud ändern, ist eine Synchronisierung erforderlich, um die Änderungen an Access weiterzugeben.
• Sie müssen auch sicherstellen, dass die autoritative Zeitquelle, die Sie in diesem Connector konfigurieren, mit dem NTP-Server übereinstimmt, der für den Pod konfiguriert ist. Wenn die Zeitquellen nicht übereinstimmen, können Synchronisierungsprobleme auftreten. Auf der Detailseite des Pods wird der konfigurierte NTP-Server des Pods angezeigt. Sie können die Detailseite des Pods über die Seite "Kapazität" der Horizon Universal Console öffnen.

Bestätigen des Endbenutzerzugriffs auf Desktop-Zuweisungen in Access

Nachdem Sie Ihre Horizon Cloud-Umgebung in Ihre Access-Umgebung integriert haben, können Sie mit diesen Schritten bestätigen, dass Endbenutzer Remote-Zugriff auf ihre vom Pod bereitgestellten virtuellen Desktops und Remoteanwendungen haben.

Voraussetzungen

Stellen Sie sicher, dass die folgenden Schritte abgeschlossen sind:

• Schließen Sie den Integrationsprozess wie in den vorhergehenden Konfigurationsschritten beschrieben ab.
• Führen Sie die Konfigurationsschritte aus.
• Konfigurieren Sie die Zugriffsmethoden, die Sie Endbenutzern für den Zugriff auf ihre Desktops über Access zur Verfügung stellen möchten.
• Stellen Sie sicher, dass die berechtigten Desktops aus dem integrierten Horizon Cloud-Pod mit Ihrer Access-Umgebung synchronisiert werden. Navigieren Sie in der Access-Verwaltungskonsole zur Seite "Konfiguration virtueller Apps" und synchronisieren Sie die Horizon Cloud-Sammlung.

Vorgehensweise

1. Verwenden Sie die Zugriffs-URL Ihrer Organisation, um sich bei Access anzumelden.

2. Starten Sie berechtigte Horizon Cloud-Desktops und Remoteanwendungen aus dem Portal.