Horizon Cloud erfordert die Verwendung von zwei Konten in Ihrer Active Directory (AD)-Domäne, die als Dienstkonten verwendet werden können. In diesem Thema werden die Anforderungen beschrieben, die diese beiden Konten erfüllen müssen.
Horizon Cloud erfordert, dass Sie zwei AD-Konten angeben, die als diese beiden Dienstkonten verwendet werden sollen.
-
Ein Domänendienstkonto, das zum Durchführen von Suchvorgängen in Ihrer AD-Domäne verwendet wird.
-
Der Benutzername für das Konto, das zum Hinzufügen von Computerkonten zur Domäne und zum Ausführen von Sysprep-Vorgängen verwendet wird.
Hinweis: Für Pods in Microsoft Azure verwendet das System dieses Domänenbeitrittskonto in Vorgängen, für die virtuelle Maschinen mit der Domäne verknüpft werden müssen. Dies ist beispielsweise beim Importieren eines Images vom Microsoft Azure Marketplace, beim Erstellen von Farm-RDSH-Instanzen, von VDI-Desktop-Instanzen usw. der Fall.
Sie müssen sicherstellen, dass die Active Directory-Konten, die Sie für diese Dienstkonten angeben, die folgenden Anforderungen erfüllen, die Horizon Cloud für seine Vorgänge benötigt. Nach dem Onboarding Ihres ersten Pods in Ihrem -Mandanten verwenden Sie die cloudbasierte Verwaltungskonsole, um die Anmeldedaten für diese Konten bereitzustellen.
Wichtiger Hinweis:
- Verwenden Sie diese Dienstkonten nur in der Horizon Cloud Active Directory-Domänenregistrierung in anderen Konfigurationen. Wenn Sie diese Dienstkonten in anderen Konfigurationen wiederverwenden, können unerwartete Ergebnisse auftreten. Verwenden Sie z. B. dasselbe Domänendienstkonto nicht in Ihren Access Connector-Konfigurationseinstellungen, da andernfalls unerwartete Benachrichtigungen über das Domänendienstkonto in der Horizon Universal Console angezeigt werden können.
- Sie müssen sicherstellen, dass Ihr Domänendienst- und Ihr Domänenbeitrittskonto weiterhin über die Berechtigungen verfügen, die hier für alle OEs und Objekte beschrieben sind, die Sie mit dem System verwenden oder voraussichtlich verwenden werden. Horizon Cloud kann die Active Directory-Gruppen, die Sie möglicherweise in der Umgebung verwenden möchten, nicht vorab auffüllen oder vorhersagen. Sie müssen Horizon Cloud mit dem Domänendienstkonto und dem Domänenbeitrittskonto über die Konsole konfigurieren.
VORSICHT:
Sie können die vollständige Kontrolle über die Konten festlegen, anstatt alle Berechtigungen separat festzulegen. Es wird jedoch empfohlen, die Berechtigungen separat festzulegen.
Domänendienstkonto – Erforderliche Eigenschaften
-
Das Domänendienstkonto kann nicht ablaufen, geändert oder gesperrt werden. Sie müssen diesen Typ der Kontokonfiguration verwenden, da das System das primäre Domänendienstkonto als Dienstkonto zur Abfrage von Active Directory verwendet. Wenn aus irgendeinem Grund nicht mehr auf das primäre Domänendienstkonto zugegriffen werden kann, wird das zusätzliche Domänendienstkonto verwendet. Wenn sowohl das primäre Domänendienstkonto als auch das zusätzliche Domänendienstkonto ablaufen oder nicht mehr zugänglich sind, können Sie sich nicht bei der cloudbasierten Konsole anmelden und die Konfiguration aktualisieren.
Wichtig: Wenn sowohl das primäre Domänendienstkonto als auch das zusätzliche Domänendienstkonto abgelaufen oder nicht mehr zugänglich ist, können Sie sich nicht bei der Konsole anmelden und die Konfiguration durch funktionierende Domänendienstkontoinformationen aktualisieren. Wenn Sie für das primäre Domänendienstkonto und das zusätzliche Domänendienstkonto nicht Läuft nie ab festlegen, sollten Sie für beide unterschiedliche Ablaufzeiten festlegen. Sie müssen dann auf die Ablaufzeit achten und die Daten Ihres Horizon Cloud-Domänendienstkontos aktualisieren, bevor die Ablaufzeit erreicht ist.
-
Das Domänendienstkonto benötigt das Attribut sAMAccountName. Das Attribut "sAMAccountName" darf höchstens 20 Zeichen lang sein und darf keines der folgenden Zeichen enthalten: "/ \ [ ] : ; | = , + * ? < \>
-
Dem Domänendienstkonto wird immer die Rolle "Superadministrator" zugewiesen, mit der alle Berechtigungen zum Durchführen von Verwaltungsaktionen in der Konsole erteilt werden. Sie sollten sicherstellen, dass Benutzer ohne Superadministratorberechtigungen nicht auf das Domänendienstkonto zugreifen können. Weitere Informationen zu den Rollen, die von der Konsole verwendet werden, finden Sie unter Best Practices bezüglich der beiden Rollentypen, die Sie Personen zuweisen, damit diese die Horizon Universal Console für die Arbeit in Ihrer Horizon Cloud-Umgebung verwenden können.
Domänendienstkonto – Erforderliche Active Directory-Berechtigungen
Das Domänendienstkonto muss über Leseberechtigungen verfügen, um die Active Directory-Konten für alle AD-Organisationseinheiten (OEs) zu suchen, die Sie in den von Horizon Cloud bereitgestellten Desktop-as-a-Service-Vorgängen verwenden, z. B. das Zuweisen von Desktop-VMs zu Ihren Endbenutzern. Das Domänendienstkonto muss Objekte aus Ihrem Active Directory aufzählen können. Das Domänendienstkonto erfordert die folgenden Berechtigungen für alle OEs und Objekte, die Sie mit Horizon Cloud verwenden möchten:
- Inhalt auflisten
- Alle Eigenschaften lesen
- Berechtigungen lesen
- tokenGroupsGlobalAndUniversal lesen (implizit enthalten in der Berechtigung "Alle Eigenschaften lesen")
Wichtig: Im Allgemeinen sollten den Domänendienstkonten die standardmäßigen, vorkonfigurierten Berechtigungen für den Lesezugriff gewährt werden, die in der Regel Authentifizierte Benutzer in einer Microsoft Active Directory-Bereitstellung erhalten. In einer Out-of-the-Box-Bereitstellung von Microsoft Active Directory bieten diese Standardeinstellungen, die in der Regel authentifizierten Benutzern gewährt werden, einem standardmäßigen Domänenbenutzerkonto normalerweise die Möglichkeit, die erforderliche Enumeration durchzuführen, die Horizon Cloud für das Domänendienstkonto benötigt. Wenn sich die AD-Administratoren Ihrer Organisation jedoch dafür entschieden haben, schreibgeschützte Berechtigungen für reguläre Benutzer zu sperren, müssen Sie diese AD-Administratoren bitten, die Standardeinstellungen für Authentifizierte Benutzer für die Domänendienstkonten beizubehalten, die Sie für Horizon Cloud verwenden werden.
Domänenbeitrittskonto – Erforderliche Eigenschaften
-
Das Domänenbeitrittskonto kann nicht geändert oder gesperrt werden.
-
Der Benutzername des Kontos darf keine Leerzeichen enthalten. Wenn der Name ein Leerzeichen enthält, kommt es zu unerwarteten Ergebnissen in den Systemvorgängen, die auf dieses Konto angewiesen sind.
-
Das Domänenbeitrittskonto benötigt das Attribut sAMAccountName. Das Attribut "sAMAccountName" darf höchstens 20 Zeichen lang sein und darf keines der folgenden Zeichen enthalten: "/ \ [ ] : ; | = , + * ? < \>
-
Stellen Sie sicher, dass mindestens eines der folgenden Kriterien erfüllt ist:
- Legen Sie in Ihrem Active Directory für das Domänenbeitrittskonto Läuft nie ab fest.
- Alternativ können Sie ein zusätzliches Domänenbeitrittskonto konfigurieren, das zu einem anderen Zeitpunkt abläuft, als das erste Domänenbeitrittskonto. Wenn Sie diese Methode auswählen, stellen Sie sicher, dass das zusätzliche Domänenbeitrittskonto die gleichen Anforderungen erfüllt, wie das primäre Domänenbeitrittskonto, das Sie in der Konsole konfigurieren.
VORSICHT:
Wenn das Domänenbeitrittskonto abläuft und Sie kein funktionierendes zusätzliches Domänenbeitrittskonto konfiguriert haben, schlagen Horizon Cloud-Vorgänge für das Versiegeln von Images und die Bereitstellung von Farm-RDSH- und VDI-Desktop-VMs fehl.
Wichtig: Wenn Ihr Mandant über Horizon Cloud-Pods in Microsoft Azure verfügt, auf denen Manifeste vor 1600.0 ausgeführt werden, müssen Sie sicherstellen, dass das Domänenbeitrittskonto, das Sie bei der Registrierung der Domäne eingeben, auch zu einer der Active Directory-Gruppen gehört, denen Sie die Horizon Cloud-Rolle "Superadministrator" zuweisen. Die Vorgänge des Systems mit diesen Pods, auf denen diese alten Manifestversionen ausgeführt werden, hängen davon ab, ob das Domänenbeitrittskonto über die Berechtigungen verfügt, die über die Horizon Cloud-Rolle "Superadministrator" erteilt werden. Eine Beschreibung der Vorgehensweise zum Zuweisen der Rolle zu einer Gruppe finden Sie unter Zuweisen von Rollen zu Active Directory-Gruppen, die steuern, welche Bereiche der Horizon Universal Console für Einzelpersonen in diesen Gruppen aktiviert sind, nachdem sie sich bei Ihrer Horizon Cloud-Mandantenumgebung authentifizieren.
Domänenbeitrittskonto – Erforderliche Active Directory-Berechtigungen
Das Domänenbeitrittskonto wird auf Mandantenebene konfiguriert. Das System verwendet dasselbe Domänenbeitrittskonto, das in der Active Directory-Registrierung für alle zugehörigen Domänenbeitrittsvorgänge mit allen Pods in der Flotte Ihres Mandanten konfiguriert ist.
Das System führt explizite Berechtigungsprüfungen für das Domänenbeitrittskonto innerhalb der OE durch, die Sie im Workflow für die Active Directory-Registrierung (im Textfeld Standard-OE in diesem Workflow) angeben, sowie innerhalb der OEs, die Sie in den Farmen angeben, und für die von Ihnen erstellten VDI-Desktop-Zuweisungen, wenn die Textfelder Computer-OE für Farm und VDI-Desktop-Zuweisung von der Standard-OE in der Active Directory-Registrierung abweichen.
Um auch die Fälle abzudecken, in denen Sie möglicherweise eine untergeordnete OE verwenden, empfiehlt es sich, diese erforderlichen Berechtigungen so festzulegen, dass sie auf alle nachfolgenden Objekte der Computer-OE angewendet werden.
Wichtiger Hinweis:
- Einige der AD-Berechtigungen in der Liste werden Konten in der Regel von Active Directory standardmäßig zugewiesen. Wenn Sie jedoch die Sicherheitsberechtigung in Ihrem Active Directory eingeschränkt haben, müssen Sie sicherstellen, dass das Domänenbeitrittskonto über diese Berechtigungen für OEs und Objekte verfügt, die Sie mit Horizon Cloud verwenden möchten.
- Wenn Sie in Microsoft Active Directory eine neue OE erstellen, legt das System möglicherweise automatisch das
Prevent Accidental DeletionAttribut fest, das für die neu erstellte OE und alle abgeleiteten Objekte aufDenydie Berechtigung "Alle untergeordneten Objekte löschen" anwendet. Wenn Sie dem Domänenbeitrittskonto explizit die Berechtigung "Computerobjekte löschen" zugewiesen haben, hat Active Directory im Fall einer neu erstellten Organisationseinheit möglicherweise eine Außerkraftsetzung auf diese explizit zugewiesene Berechtigung zum Löschen von Computerobjekten angewendet. Da durch das Löschen des Flags Versehentliches Löschen verhindern das von Active Directory auf die Berechtigung "Alle untergeordneten Objekte löschen" angewendete möglicherweise nicht automatisch gelöschtDenywird, müssen Sie im Fall einer neu hinzugefügten OE möglicherweise dieDenyBerechtigung zum Löschen aller untergeordneten Objekte in der OE und allen untergeordneten OEs überprüfen und manuell löschen, bevor Sie das Domänenbeitrittskonto in der Horizon Cloud-Konsole verwenden.
Tipp: Für Pod-Manifeste von 2474.0 und höher wird der Satz der erforderlichen Active Directory-Berechtigungen für die Domänenbeitrittskonten gegenüber dem vorherigen Satz reduziert, um mehr Flexibilität für Mandanten bereitzustellen. Da das Domänenbeitrittskonto jedoch auf Mandantenebene konfiguriert ist, verwendet das System dieselben Domänenbeitrittskonten für Domänenbeitrittsvorgänge mit allen Pods in der Flotte Ihres Mandanten. Wenn Ihre Flotte Pods mit Manifesten vor 2474.0 enthält, müssen Sie daher sicherstellen, dass Ihre Domänenbeitrittskonten über den vorherigen Satz von Berechtigungen verfügen, die für diese Pods erforderlich sind. Wenn alle Ihre Horizon-Pods in Microsoft Azure auf das Pod-Manifest 2474.0 oder höher aktualisiert wurden, können Sie den neueren, reduzierten Satz an Active Directory-Berechtigungen für Ihre Domänenbeitrittskonten übernehmen.
| Zugriff | Gültig für |
|---|---|
| Alle Eigenschaften lesen | Nur dieses Objekt |
| Computer erstellen | Dieses Objekt und alle abgeleiteten Objekte |
| Computer löschen | Dieses Objekt und alle abgeleiteten Objekte |
| Alle Eigenschaften schreiben | Untergeordnete Computerobjekte |
| Kennwort zurücksetzen | Untergeordnete Computerobjekte |
| Zugriff | Gültig für |
|---|---|
| Inhalt auflisten | Dieses Objekt und alle abgeleiteten Objekte |
| Alle Eigenschaften lesen | Dieses Objekt und alle abgeleiteten Objekte |
| Computer erstellen | Dieses Objekt und alle abgeleiteten Objekte |
| Computer löschen | Dieses Objekt und alle abgeleiteten Objekte |
| Alle Eigenschaften schreiben | Alle abgeleiteten Objekte |
| Berechtigungen lesen | Dieses Objekt und alle abgeleiteten Objekte |
| Kennwort zurücksetzen | Untergeordnete Computerobjekte |
War diese Seite hilfreich?