Horizon 8 en OpenShift

Descripción general

Horizon 8 admite Red Hat OpenShift Virtualization como proveedor de capacidad, lo que permite implementar y administrar grupos de escritorios de Horizon y granjas de RDSH en máquinas virtuales que se ejecutan en un clúster de OpenShift.

Las siguientes funcionalidades están confirmadas y validadas para esta versión:

• Integración de Connection Server con OpenShift, UAG (OpenShift nativo) y Edge (OpenShift nativo).
• Autenticación en el clúster de OpenShift, incluida la autenticación mediante ID/secreto de OAuth y mediante token de actualización, con detección automática de los endpoints de autenticación y API a partir de la dirección del servidor que se proporcione.
• Incorporación de un clúster de OpenShift como proveedor de capacidad, incluido el tratamiento de certificados que se describe más adelante.
• Grupos de escritorios automatizados, sin GPU y con GPU, compatibles tanto con cargas de trabajo persistentes como no persistentes.
  • Para los grupos de escritorios basados en GPU, el perfil de GPU y las licencias deben configurarse correctamente en la máquina virtual principal (imagen maestra) para que estén disponibles en las máquinas virtuales del grupo. Los perfiles NVIDIA GRID solo son compatibles si la GPU se agrega a la imagen maestra; a continuación, todas las máquinas virtuales clonadas del grupo heredan el perfil. No se admite cambiar el perfil de GPU durante la creación del grupo, por lo que la interfaz de usuario de creación de grupos no incluye opciones relacionadas con la GPU.
• Compatibilidad con vTPM no basado en hardware.
• Grupos de escritorios automatizados dedicados (1:1) y agrupados (1:N).
• Aprovisionamiento automatizado de granjas de RDSH para escritorios y aplicaciones publicadas en sistemas operativos Windows Server.

Los objetivos de escalabilidad de esta versión son de hasta 500 escritorios VDI flotantes de sesión única y no persistentes, y 500 sesiones RDSH de varias sesiones.

Para obtener más información sobre las funcionalidades disponibles en esta versión de disponibilidad limitada, consulte [KB ARTICLE LINK - TBD].

Requisitos de los certificados

Antes de registrar el proveedor de OpenShift en Horizon, asegúrese de que se cumplen los siguientes requisitos relativos a los certificados:

• Se puede acceder a la URL de OAuth de OpenShift desde Horizon Server (por ejemplo, https://oauth-openshift.apps.<cluster-domain>).
• Se puede acceder a la URL del servidor de API de OpenShift desde Horizon Server (por ejemplo, https://api.<cluster-domain>:6443).
• El endpoint de OAuth está configurado con un certificado firmado por una CA.
• El certificado de la CA emisora o de la CA raíz del endpoint de OAuth está disponible.
• Tiene acceso de administrador al Horizon Server de Windows.
• Servidor OAuth: se requiere un certificado firmado por una CA. Si el certificado de la CA emisora o de la CA raíz aún no es de confianza, debe importarse en cada instancia de Horizon Connection Server.
• Servidor de API: el flujo actual acepta tanto certificados firmados por una CA como certificados autofirmados. Si el servidor de API utiliza un certificado autofirmado, puede aceptarlo a través de la interfaz de usuario.

Obtener el certificado de la CA de OAuth de OpenShift

Puede obtener el certificado de la CA de OAuth de OpenShift mediante cualquiera de los siguientes métodos.

Opción 1: Exportar desde el navegador

1. Abra la URL de OAuth de OpenShift en un navegador.
2. Consulte la cadena de certificados.
3. Exporte el certificado de la CA emisora o el certificado de la CA raíz como un archivo .cer.

Opción 2: Obtener el certificado de la CA de OAuth desde la consola web de OpenShift

1. Inicie sesión en la consola web de OpenShift.
2. Vaya a Cargas de trabajo > Secretos.
3. Seleccione el espacio de nombres openshift-ingress-operator.
4. Abra el secreto router-ca.
5. En Detalles, busque tls.crt.
6. Utilice la opción Revelar para mostrar el contenido del certificado. Copie el contenido del certificado, incluidas las líneas -----BEGIN CERTIFICATE----- y -----END CERTIFICATE-----.
7. Guarde el contenido del certificado copiado como un archivo de certificado en Horizon Server para importarlo.

Importar el certificado de la CA en el almacén de certificados de confianza de Windows

Si el certificado del servidor OAuth de OpenShift aún no es de confianza para Horizon Server, siga este procedimiento:

1. Copie el archivo del certificado en Horizon Server.
2. En Horizon Server, ejecute certlm.msc para abrir la aplicación Administrar certificados de equipo.
3. En el árbol de navegación, en Certificados (equipo local), expanda Entidades de certificación raíz de confianza.
4. Haga clic con el botón derecho en Certificados y seleccione Todas las tareas > Importar.
5. En el Asistente para importar certificados, busque el archivo del certificado.
6. Seleccione Colocar todos los certificados en el siguiente almacén: Entidades de certificación raíz de confianza.
7. Complete el asistente y confirme que la importación del certificado se ha realizado correctamente.
8. Reinicie el servicio Omnissa Horizon Connection Server.

Nota: El certificado debe colocarse en el almacén de certificados raíz de confianza del equipo local (Cert:\LocalMachine\Root), no en el almacén del usuario actual. La importación del certificado de Windows es necesaria principalmente para establecer la confianza en el certificado del servidor OAuth. En el caso del servidor de API, si utiliza un certificado autofirmado, puede aceptarlo directamente a través de la interfaz de usuario durante el registro.

Importar el certificado de confianza a través de Horizon Console (recomendado)

En lugar de importar manualmente el certificado en el almacén de certificados de Windows, puede importar el certificado OAuth de OpenShift directamente a través de Horizon Console, desde la sección Certificados raíz de confianza de Administración de certificados. Este método es más sencillo y no requiere reiniciar el servidor de conexión. El método manual existente descrito anteriormente sigue funcionando y no se va a retirar.

Requisitos

• Debe tener preparado el archivo del certificado de la CA de OAuth de OpenShift (consulte la sección anterior, Obtener el certificado de la CA de OAuth de OpenShift).
• El rol de administrador debe incluir el privilegio Administrar certificados. Este privilegio es necesario para importar o eliminar un certificado raíz de confianza. Si su rol todavía no incluye este privilegio, consulte Agregar un rol personalizado en Horizon Console o Modificar los privilegios de un rol personalizado en Horizon Console para agregarlo.

Pasos

1. Inicie sesión en Horizon Console.
2. Vaya a Configuración > Administración de certificados.
3. Seleccione la pestaña Certificados raíz de confianza.
4. Haga clic en Importar.
5. Busque y seleccione el archivo del certificado que ha obtenido y, si lo desea, introduzca un nombre descriptivo para facilitar su identificación más adelante. Se admiten los tipos de archivo .pem, .crt, .cer y .der, con un tamaño máximo de 250 KB.
6. Haga clic en Importar para completar la carga.

Nota: El certificado pasa a ser de confianza inmediatamente después de importarlo. No es necesario reiniciar el servicio Omnissa Horizon Connection Server.

Si tiene varios servidores de conexión en el mismo pod, solo tendrá que realizar esta importación una vez. El certificado se aplica automáticamente a todos los demás servidores de conexión del pod, incluidas las réplicas que se agreguen posteriormente.

Una vez importado el certificado, puede proceder a registrar OpenShift como proveedor de capacidad. Si tiene un certificado firmado por una CA para el servidor de API, puede importarlo previamente aquí mediante la misma pestaña Certificados raíz de confianza. Si, por el contrario, el servidor de API utiliza un certificado autofirmado, puede aceptarlo directamente durante el paso Agregar proveedor de capacidad, sin necesidad de importarlo previamente.

Requisitos de OpenShift

• OpenShift Virtualization 4.19 o versiones posteriores instalado y habilitado.
• Almacenamiento compatible, según la matriz de compatibilidad de OpenShift.
• Nodos de computación suficientes con hardware compatible con KVM.
• Clúster de OpenShift con acceso al servidor de API para Horizon.
• Red: la red del pod de Horizon debe disponer de ancho de banda y latencia suficientes para el tráfico de Blast o PCoIP.
• Roles de cuenta de servicio: el rol de administrador gestiona todos los requisitos de integración; los roles personalizados se describen en Horizon 8 en OpenShift - Permisos de la cuenta de servicio.

Requisitos de la imagen maestra y del sistema operativo invitado

• Windows 10/11 Enterprise (versiones compatibles según la matriz de compatibilidad de Horizon 8).
• Horizon Agent instalado después de crear la máquina virtual a partir de la plantilla de OpenShift.
• Almacenamiento: se requieren controladores VirtIO.
• Redes: se requieren los controladores adecuados.
• OpenShift: ISO de controladores (se solicita durante la configuración).
• QEMU Guest Agent para la comunicación entre el host y el sistema operativo invitado (opcional).
• vTPM: debe configurarse como no persistente (OpenShift impide que se clonen los vTPM persistentes).
• Tipo de arranque: UEFI debe configurarse como no persistente (OpenShift impide que se clone el tipo de arranque persistente).
• Mecanismo de clonación: se basa en la clase de almacenamiento de la imagen maestra. Se admiten tanto ClonePrep como Sysprep.
• Deshabilite las actualizaciones de Windows en la imagen maestra.

Crear una máquina virtual en OpenShift

Horizon no documenta los pasos para cargar una imagen de arranque, crear una máquina virtual o instalar un sistema operativo invitado en OpenShift Virtualization, ya que estos procedimientos son responsabilidad de Red Hat, que se encarga de mantenerlos, y pueden cambiar independientemente de las versiones de Horizon. Para consultar estos pasos, consulte la documentación de OpenShift Virtualization de Red Hat:

• Creación de máquinas virtuales mediante la consola web: permite crear una máquina virtual a partir de una plantilla en la consola web de OpenShift.
• Creación de máquinas virtuales a partir de imágenes cargadas, incluidas las máquinas virtuales Windows: permite cargar una imagen de arranque (ISO, IMG o QCOW2) y crear una máquina virtual a partir de ella, incluido el procedimiento específico para cargar y clonar máquinas virtuales Windows.

Una vez creada la máquina virtual e instalado el sistema operativo invitado, continúe con los pasos específicos de Horizon que se indican a continuación.

Información complementaria