Configurar el dominio de Active Directory

En Horizon Cloud, complete los siguientes pasos en Horizon Universal Console para registrar el primer dominio de Active Directory en el servicio o registrar dominios de Active Directory adicionales.

Como se describe en Administración de accesos e identidades, el servicio usa la instancia registrada de Active Directory para la identidad de la máquina para los escritorios virtuales y las aplicaciones remotas.

Requisitos

• Requisitos de Active Directory

  El asistente Registro de dominio de la consola requiere la introducción de información específica. Antes de realizar estos pasos en la consola, compruebe que usted o su equipo de TI hayan cumplido los requisitos relacionados con Active Directory, tal y como se describe en la sección de requisitos de Active Directory en la lista de verificación correspondiente a su tipo de capacidad:

  • Lista de comprobación de requisitos para implementar Edge en Microsoft Azure
  • Lista de requisitos para implementar una instancia de Edge en Amazon WorkSpaces Core
  • Lista de comprobación de requisitos para implementar vSphere Edge

• Puntos clave y requisitos específicos de LDAPS

  Si tiene pensado utilizar LDAPS en su implementación, tenga en cuenta los siguientes requisitos y puntos clave.

  • Los certificados de CA intermedios y raíz con codificación PEM deben estar listos para la carga.

  • No se admiten certificados autofirmados.

  • El servicio requiere que el DNS tenga registros SRV de los dominios configurados para usar LDAPS. Si se decanta por utilizar LDAPS con un dominio, esto conlleva implícitamente el uso de registros SRV.

  • Recomendamos encarecidamente que el entorno de AD esté configurado para forzar el uso de enlaces de canal. Forzar el uso de enlaces de canal es fundamental para proteger LDAPS correctamente, sobre todo a la hora de evitar ataques de intermediarios (del inglés man-in-the-middle, MITM).

  • La configuración del firewall debe permitir las conexiones salientes desde Horizon Edge Gateway a los controladores de dominio, con los siguientes puertos y protocolos, tal y como se describe en los requisitos de puertos y protocolos de su tipo de capacidad:

    • Requisitos de puertos y protocolos para una implementación de Horizon Cloud on Microsoft Azure
    • Requisitos de puertos y protocolos para la implementación de Horizon Cloud en Amazon WorkSpaces Core
    • Requisitos de puertos y protocolos para implementar vSphere Edge

  • Puerto 88/TCP: Autenticación Kerberos

  • Puertos 636/TCP y 3269/TCP: Comunicación de LDAPS

  • Debe tener un endpoint de revocación HTTP definido para todos los certificados de la cadena de confianza (excepto para el certificado raíz) y debe poder accederse al endpoint a través de HTTP. Este requisito conlleva los siguientes aspectos:

  • El servicio realizará comprobaciones de revocación usando las URL HTTP de OCSP o CRL definidas en los certificados.

  • El servicio no puede realizar una comprobación de revocación si un certificado no define un extremo de OCSP o CRL para el protocolo HTTP. En ese caso, se produce un error en la conectividad LDAPS.

  • La revocación directa debe estar disponible para los endpoints. Los firewalls no deben bloquear el tráfico saliente hasta el endpoint de revocación a través de HTTP.

Procedimiento

1. Haga clic en Integraciones, en el panel de la izquierda, y en el mosaico Identidad y acceso, haga clic en Administrar.

2. En la pestaña Dominios, inicie el asistente Registro de dominios de la consola haciendo clic en Agregar.

3. En el primer paso del asistente, proporcione la información indicada

   Campo	Descripción
   Nombre	El nombre del dominio de Active Directory.
   Descripción	Descripción opcional.
   Nombre de dominio DNS	El nombre completo de este dominio de Active Directory (por ejemplo, our-ad.example.com).
   UO predeterminada	Escriba una unidad organizativa predeterminada adecuada. Esta OU es la unidad organizativa de Active Directory que desea que el servicio utilice como predeterminada cuando agregue las identidades de máquina que crea para los escritorios virtuales y las aplicaciones remotas. Escriba el nombre distintivo completo de la unidad organizativa (por ejemplo, OU=MyOrg,DC=our-ad,DC=example,DC=com). Nota: Si desea utilizar el valor predeterminado de CN=Computers, debe escribirlo en el campo. A pesar de que puede ver que la interfaz de usuario muestra este valor predeterminado en el campo, el asistente no hará que el botón Siguiente esté disponible a menos que lo escriba directamente en este campo.
   Cuentas de enlace de dominio	Proporcione los nombres de usuario y las contraseñas de las dos cuentas de servicio que usted o su equipo de TI hayan configurado para este fin, tal y como se describe en la sección de requisitos de Active Directory en la lista de verificación correspondiente a su tipo de capacidad: Lista de comprobación de requisitos para implementar Edge en Microsoft Azure Lista de requisitos para implementar una instancia de Edge en Amazon WorkSpaces Core Lista de verificación de requisitos para implementar vSphere Edge Estas cuentas de servicio se utilizan para realizar búsquedas en el dominio de Active Directory. La primera cuenta introducida es la principal que utiliza el servicio para este fin. La cuenta auxiliar es una copia de seguridad de la principal. Asegúrese de que las cuentas introducidas aquí cumplen los requisitos detallados en la lista de comprobación de requisitos.
   Cuentas de unión de dominio	Proporcione los nombres de usuario y las contraseñas de las dos cuentas de servicio que usted o su equipo de TI hayan configurado para este fin, tal y como se describe en la sección de requisitos de Active Directory en la lista de verificación correspondiente a su tipo de capacidad: Lista de comprobación de requisitos para implementar Edge en Microsoft Azure Lista de requisitos para implementar una instancia de Edge en Amazon WorkSpaces Core Lista de verificación de requisitos para implementar vSphere Edge Estas cuentas de servicio se utilizan para unir las identidades de máquina al dominio de Active Directory y para realizar operaciones de Sysprep. La primera cuenta introducida es la principal que utiliza el servicio para este fin. La cuenta auxiliar es una copia de seguridad de la principal. Asegúrese de que las cuentas introducidas aquí cumplen los requisitos detallados en la lista de comprobación de requisitos.
   Protocolo	Seleccione el protocolo, LDAP o LDAPS, que se utilizará para conectar Active Directory a Horizon Edge Gateway. Si selecciona LDAPS, utilice la función Examinar para cargar los certificados de CA intermedios y raíz con codificación PEM, a los que se hace referencia en los requisitos para esta tarea.

   Cuando haya introducido toda la información necesaria, el sistema hace que el botón Siguiente esté disponible.

4. Para continuar con el siguiente paso del asistente, haga clic en Siguiente.

   En este punto, el asistente pone a su disposición la acción Guardar para completar el guardado de la información del dominio en el sistema.

   • Si no tiene pensado utilizar SSO, puede completar el asistente de interfaz de usuario en este momento haciendo clic en Guardar.
   • Si tiene pensado utilizar la función True SSO, continúe con el siguiente paso de esta página. El uso de la función True SSO requiere una entidad de certificación empresarial de Microsoft, tal y como se describe en Tipos de entidad de certificación compatibles para usar SSO con una instancia de Horizon Edge.
   • Si tiene pensado utilizar SSO basado en la CA de Horizon Cloud o entidades de certificación distintas de una CA empresarial de Microsoft, puede completar el asistente de la interfaz de usuario en este punto haciendo clic en Guardar. Más adelante, podrá completar la configuración de SSO mediante los pasos descritos en Agregar una configuración de SSO para una CA de Horizon Cloud.

5. (Opcional) Si tiene pensado utilizar True SSO con los escritorios virtuales y las aplicaciones remotas de los usuarios finales, en la sección Cuenta de servicio de inscripción de dominio del asistente, active la opción Usar cuenta del servicio de inscripción.

   Cuando esta opción está activada, la interfaz de usuario muestra campos para que pueda introducir las credenciales de cuenta de las cuentas de inscripción de dominio que requiere la función True SSO. Proporcione esa información.

   Atención: Si, alternativamente, planea utilizar SSO dependiente de la CA de Horizon Cloud, puede omitir este paso de introducir la información de la cuenta de inscripción del dominio.

   Una cuenta de inscripción de dominio es una cuenta de servicio de inscripción que la función True SSO utiliza para obtener certificados a corto plazo de Microsoft AD CS (Servicios de certificados de Active Directory). True SSO utiliza los certificados para la autenticación, para evitar solicitar a las credenciales de Active Directory. Es posible que observe que en Horizon Universal Console se utilizan indistintamente los términos cuenta de inscripción de dominio, cuenta de servicio de inscripción y servicio de inscripción de dominio.

   Después de completar los campos, el asistente pone a disposición la acción Guardar para completar el guardado de la información del dominio en el sistema.

   Haga clic en Guardar para terminar de guardar toda la información proporcionada en el asistente.

Resultados

Se completó la configuración de Active Directory con Horizon Edge.

Qué hacer a continuación

Al finalizar los pasos anteriores, el servicio tiene la información de dominio de Active Directory que requiere para una implementación de Horizon Cloud.

Para obtener información sobre cómo agregar la capacidad de que los usuarios finales tengan inicio de sesión único (SSO) al acceder a sus escritorios y aplicaciones, consulte Tipos de entidad de certificación compatibles para usar SSO con Horizon Edge.