Disponibilidad limitada: configurar Horizon Agent, Horizon Console, permisos y funciones

Configurar Horizon Agent para macOS

Después de la instalación, modifique la configuración de Horizon Agent.

Archivo de configuración de Horizon Agent

Horizon Agent para macOS almacena su configuración en:

/private/etc/omnissa/horizonagent-config.txt

Edite este archivo para ajustar la configuración de Horizon Agent. Después de realizar cambios, reinicie el servicio de Horizon Agent para que surtan efecto.

Reiniciar el servicio de Horizon Agent

Para reiniciar el servicio de Horizon Agent:

sudo launchctl stop com.omnissa.horizon.coreagent
sudo launchctl start com.omnissa.horizon.coreagent

Para comprobar el estado actual del servicio de Horizon Agent:

sudo launchctl list | grep omnissa

Configurar los ajustes de Blast

Horizon Agent para macOS utiliza exclusivamente Horizon Blast Extreme. PCoIP no se admite.

Nota: La directiva de grupo es un mecanismo exclusivo de Windows y no se aplica en macOS. No configure los ajustes del protocolo Blast mediante la configuración de directivas de grupo de Horizon Agent en un equipo Mac con Horizon Agent.

Los ajustes del protocolo Blast para macOS, incluidas las preferencias de códec, el comportamiento del codificador, la frecuencia de fotogramas y el ancho de banda, se configuran mediante el archivo de configuración de Horizon Agent. Las entradas de configuración de Blast utilizadas para Horizon Agent para macOS son las mismas que se utilizan para Horizon Agent para Linux. Para consultar la lista de opciones de configuración de Blast y ejemplos de valores optimizados para distintos tipos de red, consulte Ejemplo de configuración de Blast para escritorios Linux.

Configurar los valores de visualización

Horizon Agent para macOS admite hasta 2 monitores. Horizon Client y Horizon Agent negocian la resolución de pantalla y el comportamiento de varios monitores durante el establecimiento de la sesión. No es necesario realizar ninguna configuración adicional en el agente para el funcionamiento estándar con varios monitores.

Configurar los permisos de privacidad y seguridad de macOS para Horizon Agent

macOS requiere la aprobación explícita del usuario o del administrador para los permisos de privacidad y seguridad que necesita Horizon Agent para las funciones de las sesiones remotas.

Los siguientes permisos de privacidad y seguridad deben configurarse en el equipo Mac con Horizon Agent. Cada permiso debe concederse a la aplicación de Horizon Agent correspondiente.

Aprobar los permisos manualmente en dispositivos no administrados

En los equipos que no estén inscritos en una solución MDM, el usuario de macOS deberá aprobar manualmente cada permiso:

1. Abra Configuración del sistema > Privacidad y seguridad.
2. Para cada categoría de permisos de la tabla anterior, busque la entrada de Omnissa Horizon Agent y active el botón de alternancia.
3. Cuando se le solicite, haga clic en Salir y volver a abrir para reiniciar el proceso del agente.
4. Repita el procedimiento para cada permiso.

Nota: Sin estos permisos, Horizon Agent no podrá funcionar. Si los permisos no están configurados previamente, se solicitará a los usuarios que los aprueben durante su primera sesión de inicio de sesión en Horizon.

En entornos de producción inscritos en Workspace ONE UEM, Jamf o Microsoft Intune, los administradores pueden preconfigurar y distribuir todos los permisos necesarios mediante perfiles MDM antes de que los usuarios se conecten. Este método elimina por completo las solicitudes de aprobación manual al usuario. Para conocer los pasos de configuración, consulte Administrar los permisos de macOS con MDM.

Configurar equipos macOS en Horizon Console

Agregue máquinas macOS físicas a Horizon Console y asígnelas a un grupo de escritorios manual antes de ponerlas a disposición de los usuarios finales.

Agregar máquinas macOS físicas

1. En Horizon Console, vaya a Configuración > Máquinas registradas > Otros para ver la máquina macOS registrada.
2. Como alternativa, los mismos datos también estarán disponibles en Inventario > Máquinas > Otros.
3. Confirme que la máquina aparece con el estado esperado después del registro.

Crear un grupo de escritorios manual

Horizon Agent para macOS requiere un grupo de escritorios manual. Los grupos de clones instantáneos y automatizados no son compatibles.

1. En Horizon Console, vaya a Inventario > Grupos de escritorios.

2. Haga clic en Agregar.

3. Seleccione Grupo de escritorios manual.

4. Seleccione Otros como origen de las máquinas.

5. Configure los ajustes del grupo, incluido el Protocolo de visualización remota (seleccione Horizon Blast).

6. Seleccione la máquina macOS registrada con el agente.

   Nota: PCoIP no es compatible con los escritorios macOS. Las conexiones mediante PCoIP producirán un error.

7. Complete el asistente de creación del grupo de escritorios.

Autorizar usuarios y grupos

1. En Horizon Console, vaya al grupo de escritorios que ha creado.
2. Haga clic en Autorizaciones > Agregar autorización.
3. Agregue usuarios o grupos de Active Directory que deban tener acceso a los escritorios macOS.

Nota: El SSO no es compatible con los escritorios macOS. Después de que el usuario de AD autorizado se conecte, deberá autenticarse de nuevo en la sesión de macOS utilizando las credenciales de la cuenta local de la máquina de destino.

Administrar los permisos de macOS con MDM

Horizon Agent para macOS requiere varios permisos de privacidad y seguridad de macOS para funcionar. Omnissa recomienda que los administradores distribuyan estos permisos mediante la administración de dispositivos móviles (MDM) para eliminar las solicitudes de aprobación manual al usuario en los entornos de producción.

Workspace ONE UEM es la plataforma MDM recomendada para las implementaciones de Omnissa Horizon. Jamf Pro y Microsoft Intune también pueden distribuir los perfiles de Control de las preferencias de privacidad (PPPC) necesarios.

Descripción general de los permisos necesarios

Conceda los siguientes permisos al proceso de Horizon Agent:

Ajustes de acceso

El valor de Acceso no es Allow para todos los permisos. Utilice los siguientes valores:

Nota: Apple bloquea la opción de permitir silenciosamente Captura de pantalla y Escucha de eventos. Estos permisos deben configurarse como Only Allow Standard User to Set System Service para que se solicite al usuario que los conceda la primera vez que se utilicen.

Implementar los permisos necesarios mediante Workspace ONE UEM

Procedimiento

1. Inicie sesión en Workspace ONE UEM Console.

2. Desplácese a Recursos > Perfiles y líneas base > Perfiles.

3. Haga clic en Agregar > Agregar perfil > macOS.

4. Seleccione Perfil del dispositivo.

5. En la carga útil General, introduzca un nombre para el perfil, por ejemplo, Horizon Agent Privacy.

6. Agregue la carga útil Control de las preferencias de privacidad (PPPC).

7. Agregue una entrada de aplicación para cada permiso, utilizando el identificador de paquete correcto de la tabla anterior.

   • En Identificador, introduzca el identificador de paquete correspondiente al permiso: com.omnissa.horizon.blastworker para Accesibilidad y Supervisión de entrada, com.omnissa.horizon.agent para Grabación de pantalla y audio del sistema, o com.omnissa.horizon.jre para Supervisión de entrada.

   • En Tipo de identificador, seleccione bundleID.

   • En Requisito de código, introduzca el requisito de firma de código correspondiente al binario de Horizon Agent. Para obtener este valor, ejecute el comando codesign en cada binario desde un equipo de referencia en el que Horizon Agent ya esté instalado. Consulte Obtener los requisitos de firma de código.

   • En Servicio, seleccione el servicio adecuado: ScreenCapture, Accessibility o ListenEvent.

   • En Acceso, establezca el valor según la tabla Ajustes de acceso anterior. Seleccione Allow para accesibilidad. Seleccione Only Allow Standard User to Set System Service para Captura de pantalla y Escucha de eventos.

8. Asigne el perfil al grupo inteligente de dispositivos que contiene las máquinas macOS inscritas.

9. Publique el perfil.

Después de implementar el perfil, el usuario iniciará una sesión de VDI desde Horizon Client. Solo durante el primer inicio, macOS solicitará al usuario que apruebe cada uno de los siguientes permisos:

• BlastWorker para Supervisión de entrada
• HorizonJRE para Supervisión de entrada
• CaptureAgent para Grabación de pantalla y audio del sistema

El usuario deberá hacer clic en Allow en cada solicitud. No será necesario realizar ninguna otra acción en Ajustes del Sistema. macOS mostrará estas solicitudes automáticamente la primera vez que el agente solicite cada permiso.

Obtener los requisitos de firma de código

El comando codesign debe ejecutarse en cada binario individual, no en el archivo .app de nivel superior:

codesign --display -r - /path/to/BlastWorker
codesign --display -r - /path/to/CaptureAgent
codesign --display -r - /path/to/HorizonJRE

Implementar mediante Jamf Pro

Jamf Pro implementa perfiles PPPC mediante su carga útil Control de las preferencias de privacidad. Utilice los mismos campos de configuración, valores de identificador de paquete y ajustes de acceso descritos anteriormente. Consulte la documentación de Jamf Pro para conocer los pasos específicos para crear y implementar un perfil de configuración.

Implementar mediante Microsoft Intune

Microsoft Intune puede implementar perfiles de configuración personalizados a dispositivos macOS mediante cargas útiles de listas de propiedades (plist). Utilice la clave de carga útil com.apple.TCC.configuration-profile-policy para configurar las preferencias de privacidad. Consulte la documentación de Microsoft Intune para conocer los pasos específicos.

Validar la configuración

Después de implementar los perfiles MDM, valide la configuración:

1. Inscriba una máquina macOS de prueba en su solución MDM.
2. Aplique el perfil PPPC.
3. Abra una sesión de Horizon Client en el escritorio macOS.
4. Confirme lo siguiente:
   • La sesión remota se mostrará sin que aparezca una solicitud de permiso de Grabación de pantalla.
   • La entrada del teclado y el mouse funcionará sin que aparezca una solicitud de permiso de Accesibilidad.
   • Los permisos se conservarán después de cerrar sesión y volver a iniciarla.
5. Documente en los registros de la implementación la diferencia de comportamiento esperada entre una máquina administrada mediante UEM y una máquina no administrada.

Usar las funciones de Horizon en macOS

Redireccionamiento del portapapeles

El redireccionamiento del portapapeles es una función que permite a los usuarios copiar y pegar datos entre su dispositivo local y una sesión de escritorio remoto.

Configuración en el agente

Los ajustes de redireccionamiento del portapapeles se toman del archivo de configuración de Horizon Agent. El agente busca las siguientes ubicaciones en orden de precedencia y aplica el primer valor que encuentra:

1. /Users/<user>/Library/Preferences/Omnissa Horizon Agent/config
2. /Users/<user>/.omnissa/config
3. /usr/lib/omnissa/config
4. /etc/omnissa/config

Especifique cada entrada de configuración en una línea independiente con el siguiente formato:

Identifier.SettingName=Value

Ajustes del portapapeles compatibles

• Clipboard.Direction

  Controla la dirección permitida del redireccionamiento del portapapeles entre el cliente y Horizon Agent.
  
  Ejemplo:
  
  ```
  Clipboard.Direction=1
  ```
  
  | Valor | Descripción |
  |---|---|
  | 0 | Deshabilitado (deshabilita el redireccionamiento del portapapeles) |
  | 1 | Bidireccional (cliente ↔ agente) |
  | 2 | Solo del cliente al agente (predeterminado) |
  | 3 | Solo del agente al cliente |
  

• mksvchan.clipboardSize

  Define el tamaño máximo de la carga útil del portapapeles que puede transferirse mediante el redireccionamiento del portapapeles.
  
  Ejemplo:
  
  ```
  mksvchan.clipboardSize=4096
  ```
  
  Este ejemplo permite transferencias del portapapeles de hasta 4096 KB (4 MB).
  

Redireccionamiento de audio

Horizon Agent para macOS solo admite el redireccionamiento de la salida de audio (altavoces y auriculares) en las sesiones remotas.

Compatibilidad con varios monitores

Horizon Agent para macOS admite hasta 2 monitores simultáneamente. Horizon Client y Horizon Agent negociarán la disposición de los monitores al iniciar la sesión. No es necesario realizar ninguna configuración adicional en el agente para el funcionamiento estándar con varios monitores.