El propósito de esta lista de comprobación es informar los elementos necesarios para una implementación nativa de Amazon WorkSpaces Core mediante Horizon Control Plane en Horizon Cloud.
Destinatarios de la lista de comprobación
Esta lista de comprobación se utiliza para cuentas de cliente de Horizon Cloud que nunca hayan tenido una implementación de Horizon Cloud on Amazon WorkSpaces Core en su entorno de inquilino. Posiblemente haya oído hablar de estos inquilinos como entornos limpios o entornos nuevos.
Debe llevar a cabo algunos puntos que se detallan a continuación antes de implementar Horizon Cloud. Puede aplazar algunos puntos hasta que finalice y se ejecute la implementación.
Requisitos de cuenta de AWS
Para conocer los límites de configuración, consulte Considerar el tamaño de la implementación de Horizon Cloud, que incluye información sobre el uso de la herramienta Valores máximos de configuración. En la página Valores máximos de configuración, seleccione Ver límites, Horizon Cloud, la versión más reciente y las categorías que desee ver.
Requisitos de Amazon Elastic Compute Cloud (Amazon EC2)
| ☐ | Cuenta válida de Amazon Web Services en una región de AWS compatible. Consulte la documentación relacionada con AWS. Nota: Horizon Cloud admite la mayoría de las regiones compatibles con Amazon WorkSpaces Core. |
| ☐ | Roles válidas de administración de identidades y acceso (IAM) de AWS en cada cuenta de Amazon Web Services. Consulte la documentación de AWS para crear una cuenta de AWS. Los roles son un requisito para realizar la implementación de Edge en Amazon WorkSpaces Core. Consulte Implementaciones de Edge en Amazon WorkSpaces Core. |
| ☐ | Asegúrese de que no haya ninguna directiva de AWS IAM ni bloqueos de recursos que impidan crear los recursos necesarios para implementar Horizon Edge. |
| ☐ | Realice los requisitos de IAM
|
| ☐ | Capacidad de Amazon EC2 para los artefactos recursos principales de Horizon Edge que se implementarán en esa cuenta. Edge Gateway (VM): cuota suficiente para una sola máquina virtual.
|
| ☐ | La siguiente opción de implementación de Amazon WorkSpaces Core está disponible: Edge Gateway (VM) = Edge Gateway Virtual Machine Edge Gateway (VM) es para implementaciones más pequeñas sin alta disponibilidad. |
Requisitos de capacidad de Amazon WorkSpaces Core
En los casos en los que la siguiente tabla hace referencia a una capacidad de Amazon WorkSpaces Core, no se necesita una instalación manual. Siempre que las capacidades indicadas estén disponibles en la suscripción, el implementador creará automáticamente instancias de las máquinas virtuales descritas.
| ☐ | Requisito de Bring-Your-Own-License (BYOL) configurado. Consulte la documentación de AWS para incorporar sus propias licencias de escritorio Windows en WorkSpaces. |
| ☐ | Zonas de disponibilidad de WorkSpaces Personal configuradas. Consulte la documentación de AWS para obtener información sobre las zonas de disponibilidad de WorkSpaces Personal. |
Requisitos de red
Los siguientes requisitos de red incluyen los detalles necesarios para implementar y operar correctamente Horizon Edge. Para obtener más información, consulte la documentación de AWS para redes en Amazon EC2.
Utilice la siguiente tabla para una implementación de Edge Gateway.
Requisitos de red para Edge Gateway (VM)
| ☐ | Para cada instancia de Horizon Edge Gateway, una VPC (Virtual Private Cloud) de Amazon creada en la región Amazon EC2 de destino con el espacio de direcciones aplicable para cubrir las subredes requeridas. |
| ☐ |
Los siguientes requisitos de subred son mínimos. Para entornos más grandes, es posible que se requieran subredes más grandes.
|
| ☐ |
Para Unified Access Gateway, configure el servidor DNS de la VPC (Virtual Private Cloud) para que se señale a un servidor DNS válido que puede resolver los nombres máquinas internos y externos. Consulte Configurar los registros de DNS necesarios después de implementar Horizon Edge Gateway y Unified Access Gateway
|
| ☐ | El acceso saliente a Internet en las VPC que está utilizando para la implementación de Horizon Edge debe resolver y alcanzar nombres DNS específicos mediante protocolos y puertos específicos. Esto es necesario para la implementación y las operaciones en curso. Para obtener la lista de nombres DNS y puertos, consulte Hacer que las URL de destino adecuadas sean accesibles para implementar Horizon Edge Gateway en un entorno de Amazon WorkSpaces Core. |
| ☐ | Opcional. Información del servidor proxy si se requiere para el acceso a Internet saliente en la VPC (Virtual Private Cloud)que se utiliza durante la implementación y las operaciones en curso del entorno de Horizon Cloud. |
| ☐ | Opcional. VPN de AWS configurada, cuando desee establecer una conexión de red entre la VPC (Virtual Private Cloud ) y su red corporativa local. |
| ☐ | Proxy: Agregue todos los ajustes de proxy configurados en las imágenes de WorkSpaces Core en el nivel del sistema. |
Requisitos de puertos y protocolos
| ☐ | Se requieren puertos y protocolos específicos para la implementación y las operaciones en curso del entorno de Horizon Cloud. Consulte Requisitos de puertos y protocolos para la implementación de Horizon Cloud en Amazon WorkSpaces Core. |
Requisitos de Unified Access Gateway
Un clúster de máquinas virtuales de Unified Access Gateway está asociado a un grupo, lo cual permite a los clientes tener conexiones de Horizon Web Client de confianza con las máquinas virtuales de ese grupo.
Horizon Universal Console permite configurar Horizon Cloud con Unified Access Gateway. Los siguientes elementos son obligatorios para ese tipo de configuración.
| ☐ |
Para todos los tipos de configuración, se requiere acceso saliente a través de Internet al siguiente nombre de endpoint: *.horizon.omnissa.com Cuando Permitir acceso interno a través de una red corporativa es Tipo de acceso de Unified Access Gateway, se puede aplicar tanto un enrutamiento definido por el usuario como una puerta de enlace NAT en Subred de administración para permitir el tráfico saliente. Para los tipos de Unified Access Gateway externo e interno, debe haber una puerta de enlace de Internet en la VPC y el tráfico de la subred DMZ debe estar enrutado a la puerta de enlace de Internet. |
| ☐ | Se requieren un FQDN interno, un FQDN externo o ambos en función del tipo de acceso que seleccione durante la configuración del Unified Access Gateway.
|
| ☐ | Certificado o certificados para Unified Access Gateway en formato PEM o PFX que coincide con el FQDN. Nota: Si el certificado o los certificados que proporciona para este propósito usan ajustes de CRL (Lista de revocación de certificados) o OCSP (Protocolo de estado de certificados en línea) que hacen referencia a nombres de DNS específicos, debe asegurarse de que el acceso a Internet saliente en la VPC (Virtual Private Cloud) se pueda resolver y que se pueda acceder a ellos. Durante la configuración del certificado proporcionado en la configuración de Unified Access Gateway, el software de Unified Access Gateway accederá a esos nombres DNS para comprobar el estado de revocación del certificado. Si no se puede acceder a esos nombres DNS, se produce un error en la implementación. Estos nombres dependen en gran medida de la entidad de certificación que se utilizó para obtener los certificados. |
| ☐ | Siga las instrucciones adecuadas para la subred en función del modo de implementación de Unified Access: Modo básico:
Modo avanzado:
|
Información sobre la identidad del usuario y la identidad de las máquinas
Horizon Cloud se diferencia de otros entornos en cuanto a cómo gestiona la identidad. En Horizon Cloud, el servicio distingue entre la identidad del usuario y la identidad de la máquina, y se basa en ambos tipos de identidad al establecer una conexión segura entre un cliente y una aplicación o escritorio remotos.
Nota: Es posible que no conozca anteriormente esta distinción entre la identidad del usuario y la identidad de la máquina si está más familiarizado con los entornos que utilizan un único proveedor de identidades para autenticar la identidad del usuario y de la máquina, como el entorno de Horizon Cloud (primera generación) o un entorno local de Horizon 8.
En Horizon Cloud, debe establecer una configuración de identidad compuesta por un proveedor de identidad para autenticar la identidad del usuario y un proveedor de identidad para autenticar la identidad de la máquina.
-
Identidad del usuario
Horizon Cloud requiere que registre un proveedor de identidad de usuario. El servicio utiliza este proveedor de identidades para autenticar a los usuarios cliente que intentan acceder a aplicaciones y escritorios remotos.
-
Identidad de la máquina
Horizon Cloud también requiere que registre un proveedor de identidad de máquina. El servicio utiliza este proveedor de identidades para establecer la identidad de las máquinas virtuales que proporcionan aplicaciones y escritorios remotos.
A través del proveedor de identidad de la máquina, el servicio une los escritorios remotos y los orígenes de las máquinas virtuales para las aplicaciones remotas al dominio de red de confianza para el que los usuarios del cliente tienen autorización.
Configuraciones de identidad admitidas
Horizon Cloud requiere que registre una configuración de identidad compuesta por un proveedor de identidad de usuario y un proveedor de identidad de máquina. Las capacidades de las funciones pueden variar en función de los proveedores de identidades específicos incluidos en la configuración.
Horizon Cloud es compatible con las siguientes configuraciones de identidad.
Configuraciones de identidad compatibles con Horizon Cloud
| Configuración de identidad | Proveedor de identidad del usuario | Proveedor de identidad de máquina | Consideraciones sobre funciones |
|---|---|---|---|
| A | Microsoft Entra ID Commercial o Microsoft Entra ID Government | Active Directory |
|
| B | Microsoft Entra ID Commercial o Microsoft Entra ID Government | Microsoft Entra ID |
|
| C | Workspace ONE Access Cloud o Workspace ONE Access On Premises | Active Directory |
|
| D | Omnissa Identity Service | Active Directory |
|
En las siguientes secciones se describen los requisitos para cada proveedor de identidad de usuario y proveedor de identidad de máquina compatible.
Requisitos de identidad del usuario
En esta sección se describen los requisitos del proveedor de identidad de usuario que decide utilizar en la configuración de identidad. Horizon Cloud admite Microsoft Entra ID y Workspace ONE Access como proveedores de identidad de usuario.
Además de los requisitos descritos en esta sección, consulte la sección Configuraciones de identidad admitidas para obtener información sobre consideraciones de funciones y sobre los proveedores de identidad de máquina que puede utilizar con cada proveedor de identidad de usuario. Para obtener una descripción general de cómo Horizon Cloud administra la identidad, consulte la sección Información sobre la identidad del usuario y la identidad de las máquinas.
-
Microsoft Entra ID
☐ Cuando Microsoft Entra ID Commercial o Microsoft Entra ID Government es su proveedor de identidad de usuarios, un usuario con privilegios de administrador global de Microsoft Entra ID deberá hacer lo siguiente: - Apruebe los permisos solicitados.
- Proporcione el consentimiento de toda la organización.
-
Workspace ONE Access
☐ Cuando Workspace ONE Access (versión local o en la nube) es el proveedor de identidad de usuarios, un usuario con privilegios de administrador deberá hacer lo siguiente: - Integre el proveedor de identidades.
- Configure los requisitos necesarios para la integración de Horizon Cloud.
-
Omnissa Identity Service
☐ Cuando Omnissa Identity Service es su proveedor de identidad de usuarios, un usuario con privilegios de administrador debe hacer lo siguiente: - Integre el proveedor de identidades.
- Seleccione la instancia de Horizon Cloud que se utilizará con Omnissa Identity Service.
Requisitos de identidad de máquina
En esta sección se describen los requisitos del proveedor de identidad de máquina que decide utilizar en la configuración de identidad. Horizon Cloud admite Microsoft Entra ID y Active Directory como proveedores de identidad de máquina.
Además de los requisitos descritos en esta sección, consulte la sección Configuraciones de identidad admitidas para obtener información sobre consideraciones de funciones y sobre los proveedores de identidad de usuario que puede utilizar con cada proveedor de identidad de máquina. Para obtener una descripción general de cómo Horizon Cloud administra la identidad, consulte la sección Información sobre la identidad del usuario y la identidad de las máquinas.
- Active Directory
☐ Servidor de Active Directory con visibilidad de las instancias de Horizon Edge Gateway y las subredes de escritorio. Por ejemplo: - Un servidor de Active Directory local conectado a través de VPN/Express Route.
- Active Directory de Microsoft gestionado por AWS. Consulte la documentación de AWS sobre Microsoft AD administrado.
☐ Si tiene pensado conectar Active Directory mediante LDAPS, recopile certificados de CA intermedios y raíz con codificación PEM para el dominio de Active Directory. Cuando se utiliza Horizon Universal Console para configurar el dominio de Active Directory, se le solicita en ese momento que cargue los certificados de CA raíz e intermedio con codificación PEM. ☐ Niveles funcionales de dominios de Active Directory Domain Services (AD DS) de Microsoft Windows admitidos. - Windows Server 2016
- Windows Server 2012 R2
- Windows Server 2012
- Windows Server 2022
- Windows Server 2019
- Windows Server 2016
- Windows Server 2012 R
☐ - Cuenta de enlace de dominio
Cuenta de enlace de dominio de Active Directory (usuario estándar con acceso de lectura) que tiene el atributo sAMAccountName. El atributo sAMAccountName debe tener 20 caracteres o menos, y no puede contener ninguno de los siguientes caracteres: "/ \ [ ] : ; | = , + * ? < >.
La cuenta debe tener los siguientes permisos:
- Mostrar contenido
- Leer todas las propiedades
- Permisos de lectura
- Leer tokenGroupsGlobalAndUniversal (implícito en Leer todas las propiedades)
Establezca la contraseña de la cuenta en Nunca caducar para garantizar el acceso continuado al inicio de sesión en el entorno de Horizon Cloud.
- Si está familiarizado con las opciones de Horizon local, puede ver que los permisos anteriores constituyen el mismo conjunto que se requiere para las cuentas de credenciales secundarias de dicha versión.
- Se concede a las cuentas de enlace de dominio los permisos de acceso de lectura predeterminados que se conceden normalmente a los usuarios autenticados en una implementación de Microsoft Active Directory. Sin embargo, si los administradores de AD de su organización han decidido bloquear los permisos relacionados con el acceso de lectura para los usuarios normales, debe solicitar que los administradores de AD conserven los valores predeterminados estándar de los usuarios autenticados para las cuentas de enlace de dominio que utilizará para Horizon Cloud.
☐ - Cuenta auxiliar de enlace de dominio
Debe ser independiente de la cuenta de enlace de dominio principal. La interfaz de usuario impedirá que se vuelva a utilizar la misma cuenta en ambos campos. Cuenta de enlace de dominio de Active Directory (usuario estándar con acceso de lectura) que tiene el atributo sAMAccountName. El atributo sAMAccountName debe tener 20 caracteres o menos, y no puede contener ninguno de los siguientes caracteres: "/ \ [ ] : ; | = , + * ? < >. La cuenta debe tener los siguientes permisos:- Mostrar contenido
- Leer todas las propiedades
- Permisos de lectura
- Leer tokenGroupsGlobalAndUniversal (implícito en Leer todas las propiedades)
- Si está familiarizado con las opciones de Horizon local, puede ver que los permisos anteriores constituyen el mismo conjunto que se requiere para las cuentas de credenciales secundarias de dicha versión.
- Se concede a las cuentas de enlace de dominio los permisos de acceso de lectura predeterminados que se conceden normalmente a los usuarios autenticados en una implementación de Microsoft Active Directory. Sin embargo, si los administradores de AD de su organización han decidido bloquear los permisos relacionados con el acceso de lectura para los usuarios normales, debe solicitar que los administradores de AD conserven los valores predeterminados estándar de los usuarios autenticados para las cuentas de enlace de dominio que utilizará para Horizon Cloud.
☐ - Cuenta de unión de dominio
Cuenta de unión de dominio de Active Directory que puede utilizar el sistema para realizar operaciones de Sysprep y unir los equipos virtuales al dominio. Por lo general, es una nueva cuenta que se crea para este propósito explícito. (Una cuenta de usuario de unión de dominio) La cuenta debe tener el atributo sAMAccountName. El atributo sAMAccountName debe tener 20 caracteres o menos, y no puede contener ninguno de los siguientes caracteres: "/ \ [ ] : ; | = , + * ? < >. Actualmente no se admite el uso de espacios en blanco en el nombre de usuario de la cuenta. Establezca la contraseña de la cuenta en Nunca caducar para garantizar que Horizon Cloud pueda seguir realizando las operaciones de Sysprep y unir los equipos virtuales al dominio. Esta cuenta requiere los siguientes permisos de Active Directory, aplicados a la unidad organizativa Equipos o a la unidad organizativa que introducirá en la interfaz de usuario de unión al dominio de la consola.- Leer todas las propiedades: Solo este objeto
- Crear objetos de equipo: Este objeto y todos los descendientes
- Eliminar objetos de equipo: Este objeto y todos los descendientes
- Escribir todas las propiedades: Objetos de equipo descendientes
- Restablecer contraseña: Objetos de equipo descendientes
Para obtener más información sobre cómo crear y reutilizar cuentas de unión a dominio, consulte Crear cuentas de unión de dominio y enlace de dominio de Active Directory.
En Microsoft Active Directory, cuando se crea una nueva unidad organizativa, el sistema puede establecer automáticamente el atributoPrevent Accidental Deletion, que aplica unDenyal permiso para eliminar todos los objetos secundarios para la unidad organizativa recién creada y todos los objetos descendientes. Como resultado, si asigna de forma explícita el permiso para eliminar objetos de equipo a la cuenta de unión al dominio, en el caso de una unidad organizativa recién creada, Active Directory podría haber aplicado un reemplazo al permiso para eliminar objetos de equipo asignado explícitamente. Dado que borrar la marca para Evitar la eliminación accidental no borra automáticamente elDenyque Active Directory aplicó al permiso para eliminar todos los objetos secundarios, en el caso de una unidad organizativa recién agregada, es posible que tenga que verificar y borrar manualmente el conjunto de permisosDenypara eliminar todos los objetos secundarios en la unidad organizativa y todas las unidades organizativas secundarias antes de usar la cuenta de unión al dominio en Horizon Cloud Console.
☐ - Cuenta de unión de dominio auxiliar opcional
Cuenta de unión de dominio de Active Directory que puede utilizar el sistema para realizar operaciones de Sysprep y unir los equipos virtuales al dominio. Por lo general, es una nueva cuenta que se crea para este propósito explícito (una cuenta de usuario de unión de dominio).
La cuenta debe tener el atributo sAMAccountName. El atributo sAMAccountName debe tener 20 caracteres o menos, y no puede contener ninguno de los siguientes caracteres: "/ \ [ ] : ; | = , + * ? < >.
Actualmente, no se admite el uso de espacios en blanco en el nombre de usuario de la cuenta.
Establezca la contraseña de la cuenta en Nunca caducar para garantizar la capacidad permanente de Horizon Cloud para realizar las operaciones de Sysprep y unir los equipos virtuales al dominio.
Esta cuenta requiere los siguientes permisos de Active Directory, que se aplican a la unidad organizativa Equipos o a la unidad organizativa que se especifique en la interfaz de usuario de unión de dominio de la consola.- Leer todas las propiedades: Solo este objeto
- Crear objetos de equipo: Este objeto y todos los descendientes
- Eliminar objetos de equipo: Este objeto y todos los descendientes
- Escribir todas las propiedades: Objetos de equipo descendientes
- Restablecer contraseña: Objetos de equipo descendientes
En Microsoft Active Directory, cuando se crea una nueva unidad organizativa, el sistema puede establecer automáticamente el atributoPrevent Accidental Deletion, que aplica unDenyal permiso para eliminar todos los objetos secundarios para la unidad organizativa recién creada y todos los objetos descendientes. Como resultado, si asigna de forma explícita el permiso para eliminar objetos de equipo a la cuenta de unión al dominio, en el caso de una unidad organizativa recién creada, Active Directory podría haber aplicado un reemplazo al permiso para eliminar objetos de equipo asignado explícitamente. Dado que borrar la marca para Evitar la eliminación accidental no borra automáticamente elDenyque Active Directory aplicó al permiso para eliminar todos los objetos secundarios, en el caso de una unidad organizativa recién agregada, es posible que tenga que verificar y borrar manualmente el conjunto de permisosDenypara eliminar todos los objetos secundarios en la unidad organizativa y todas las unidades organizativas secundarias antes de usar la cuenta de unión al dominio en Horizon Cloud Console.
☐ - Unidad organizativa (OU) o unidades organizativas (OU) de Active Directory para escritorios virtuales y aplicaciones publicadas o escritorios basados en sesiones RDS, o ambos.
En Microsoft Active Directory, cuando se crea una nueva unidad organizativa, el sistema puede establecer automáticamente el atributoPrevent Accidental Deletion, que aplica unDenyal permiso para eliminar todos los objetos secundarios para la unidad organizativa recién creada y todos los objetos descendientes. Como resultado, si asigna de forma explícita el permiso para eliminar objetos de equipo a la cuenta de unión al dominio, en el caso de una unidad organizativa recién creada, Active Directory podría haber aplicado un reemplazo al permiso para eliminar objetos de equipo asignado explícitamente. Dado que borrar la marca para Evitar la eliminación accidental no borra automáticamente elDenyque Active Directory aplicó al permiso para eliminar todos los objetos secundarios, en el caso de una unidad organizativa recién agregada, es posible que tenga que verificar y borrar manualmente el conjunto de permisosDenypara eliminar todos los objetos secundarios en la unidad organizativa y todas las unidades organizativas secundarias antes de usar la cuenta de unión al dominio en Horizon Cloud Console.
Requisitos de Image Management System (IMS)
La cuenta de Amazon WorkSpaces Core debe incluir los siguientes requisitos según los tipos de imágenes que desee aprovisionar desde la instancia de Horizon Edge implementada.
☐ Base para la imagen. Una o varias de las configuraciones de modelo de hardware de Amazon WorkSpaces Core admitidas.
Asegúrese de no superar las limitaciones de cuota de Amazon WorkSpaces. Consulte la documentación de AWS sobre las cuotas de Amazon WorkSpaces. Los siguientes tipos de modelo son los predeterminados y recomendados.
Sin GPU:- Value: 1 vCPU, 2 GB de memoria
- Standard: 2 vCPU, 4 GB de memoria
- Performance: 2 vCPU, 8 GB de memoria
- Performance: 4 vCPU, 16 GB de memoria
- PowerPro: 8 vCPU, 32 GB de memoria
- GeneralPurpose.4xlarge: 16 vCPU, 64 GB de memoria
- GeneralPurpose.8xlarge: 32 vCPU, 128 GB de memoria
- Graphics.g4dn: 4 vCPU, 16 GiB de memoria, 1 GPU, 16 GiB de memoria de vídeo, 125 GB de almacén de instancias locales
- GraphicsPro.g4dn: 16 vCPU, 64 GiB de memoria, 1 GPU, 16 GiB de memoria de vídeo, 225 GB de almacén de instancias locales
Requisitos de máquina virtual de grupo
Su cuenta de Amazon WorkSpaces Core debe incluir los siguientes requisitos según los tipos de máquinas virtuales de grupo que desee aprovisionar desde la instancia de Horizon Edge implementada.
☐ Selección de modelo para las máquinas virtuales en los grupos: cualquiera de las configuraciones de modelos de hardware de Amazon WorkSpaces Core disponibles en la región de Amazon WorkSpaces Core, excepto aquellas que no son compatibles con las operaciones de escritorio de Horizon Cloud.
Tenga en cuenta los siguientes detalles al seleccionar un modelo de máquina virtual.- La decisión de seleccionar entre un tipo de modelo habilitado para GPU y un tipo de modelo sin GPU depende de la máquina virtual seleccionada durante la creación de la imagen.
- Para crear un grupo multisesión, seleccione una imagen creada con un sistema operativo multisesión.
- Para los entornos de producción, las pruebas de escala recomiendan el uso de modelos que tengan un mínimo de 2 CPU o más.
- Consulte la documentación de AWS sobre los precios de Amazon WorkSpaces Core para obtener información sobre la compatibilidad de los distintos tipos y tamaños de modelo de hardware de Amazon WorkSpaces Core con Horizon Cloud.
Requisitos de Horizon Client y Horizon Web Client
☐ Asegúrese de que los usuarios finales utilicen un cliente compatible para acceder a los recursos proporcionados por el servicio. Consulte la lista en las Notas de la versión, sección Soporte de clientes
Sugerencia: Cuando los usuarios finales se conectan a Horizon Cloud mediante un navegador, sus conexiones utilizarán automáticamente la versión más reciente de Horizon Web Client.
¿Le resultó útil esta página?