Requisitos previos para migrar un pod de Horizon Cloud (primera generación)

En esta página se describen las áreas que se deben evaluar, preparar y actualizar según sea necesario antes de iniciar la primera migración de pods.

Introducción

La mayoría de estas evaluaciones y pasos de preparación se pueden realizar en cualquier momento antes de iniciar sesión en el nuevo entorno de Horizon Cloud y ver la interfaz de usuario de migración.

Algunos de estos pasos de evaluaciones y preparación incluyen el entorno de suscripción de Microsoft Azure y la red en la que se implementa el pod de primera generación. En ese caso, es posible que necesite ayuda del equipo de TI que controla ese entorno.

Recuerde: A partir de la publicación de este documento, la elegibilidad para migrar un pod de primera generación es una implementación progresiva para los inquilinos de la primera generación. Cuando sea apto, recibirá una comunicación directa del equipo de Comunicaciones de migración de Horizon.

Terminología

El servicio Horizon Cloud usa nuevos conceptos y terminología. En el servicio Horizon Cloud, una implementación se denomina Horizon Edge (en lugar del término pod).

La migración de autoservicio está diseñada para implementar una instancia de Horizon Edge de Microsoft Azure en la misma suscripción de Microsoft Azure que se utiliza para migrar el pod de primera generación y con la misma información de suscripción y las mismas redes virtuales y subredes.

A medida que se migra cada pod, el proceso reutiliza los siguientes elementos de forma predeterminada desde el pod:

• ID de suscripción de Microsoft Azure, ID de directorio, y clave secreta e ID de aplicación de entidad de servicio.

• VNet

• Subred de administración, subred de inquilino y subred de zona perimetral (Demilitarized Zone, DMZ).

• La información de dominio de Active Directory y las cuentas de servicio de enlace de dominio y unión a dominio que están registradas en el inquilino de primera generación (usuarios de unión a dominio y enlace de dominio, usuarios de enlace de dominio auxiliar y usuarios de unión a dominio).

  Cuando se programa la migración del primer pod, el sistema copia toda la información del dominio y de la cuenta de servicio registrada del inquilino de Active Directory de primera generación y registra la misma información en el entorno de Horizon Cloud.

Algunos elementos del pod de primera generación no se reutilizan. Para algunos de ellos, debe configurar nuevos recursos adicionales.

Por lo tanto, debe evaluar las siguientes áreas y prepararse según sea necesario para cumplir los requisitos de Horizon Cloud.

Nota: Para los pods que tienen algunas características especiales, el proceso de migración puede requerir el uso de una nueva red virtual y una subred de administración diferentes a las del pod de primera generación. Este caso especial se describe en la sección de esta página.

Tabla de requisitos previos

Las secciones que siguen a esta tabla proporcionan los detalles de cada uno de estos requisitos previos. Esta tabla se incluye como esquema facilitador.

Obtener un nuevo FQDN y certificado para Unified Access Gateway de Horizon Cloud

Nota: El FQDN de la implementación de Unified Access Gateway de Horizon Cloud debe ser diferente del FQDN que ya se usa en la implementación de primera generación que se va a migrar. Para poder revertir a la implementación de primera generación en el caso excepcional de que se produzcan problemas tras la migración, el FQDN de la puerta de enlace de la implementación de primera generación y su certificado SSL deben mantener la configuración que tienen en la implementación de primera generación. El certificado SSL y el FQDN de la implementación de puerta de enlace de Horizon Cloud solo se pueden actualizar cuando finaliza la migración.

La interfaz de usuario del asistente de programación requiere que se especifique este FQDN en el asistente y que se proporcione el certificado SSL basado en ese FQDN.

Para el entorno de Horizon Cloud, el certificado SSL puede estar en formato PEM o PFX.

El nombre común o FQDN establecido en el certificado debe coincidir con el FQDN que tiene previsto introducir en el asistente de programación. El asistente valida que los datos del certificado coincidan con el FQDN introducido en el asistente.

Nota: Si su pod de primera generación tiene una configuración de Unified Access Gateway externa y otra interna, la instancia de Unified Access Gateway de Edge posterior a la migración tendrá el tipo de acceso establecido en Acceso interno y externo con el FQDN externo y el FQDN interno establecidos en el mismo FQDN de forma predeterminada (el FQDN introducido en el asistente de programación). Si después de la migración desea utilizar un FQDN diferente para el acceso interno, en ese momento edite los detalles de la instancia de Unified Access Gateway de Edge para cambiar su FQDN interno por el que desea utilizar y configure los rangos de redes para los usuarios internos de la forma adecuada. Tenga en cuenta que el certificado cargado debe incluir tanto el FQDN externo como el FQDN interno en la información del certificado (como tener el FQDN interno en los datos del nombre alternativo del firmante).

Evaluar las versiones de agente y pod de primera generación, y actualizarlas según sea necesario

Antes de poder migrar un pod, las versiones del pod y del agente deben cumplir estos criterios:

• Los pods de Azure de Horizon Cloud deben ejecutar el manifiesto del pod 5041.0 o una versión posterior. Si ejecuta un manifiesto anterior, inicie una solicitud de servicio para actualizar el pod.
• Los escritorios VDI dedicados del pod deben ejecutar Horizon Agents Installer 24.2.0 o una versión posterior.

Asegurarse de que todas las imágenes que se deben migrar sean válidas

Para evitar problemas durante la fase previa a la compilación de la migración, asegúrese de que todas las imágenes de primera generación que se van a migrar estén en estado Publicado y sus máquinas virtuales e instantáneas estén intactas en Microsoft Azure.

Determinar si la red virtual o las redes conectadas del pod contienen direcciones IP restringidas por AKS

Importante: El resultado de la determinación proporcionará instrucciones sobre el tipo de implementación de Horizon Edge Gateway que se utilizará para la migración. Los tipos se describen en la siguiente sección titulada Decidir el tipo de implementación de Edge Gateway.

Determine si las redes, la red virtual o la subred de administración del pod de primera generación, a las que está conectada la red virtual (como la red local conectada a través de ExpressRoute) contienen direcciones IP de los rangos restringidos de AKS que se enumeran aquí:

• 169.254.0.0/16
• 172.30.0.0./16
• 172.31.0.0/16
• 192.0.2.0/24

En caso afirmativo, para migrar el pod, es necesario que a continuación evalúe si el tipo de implementación Máquina virtual única puede satisfacer sus necesidades o si tiene requisitos que solo puede cumplir el tipo de implementación AKS.

• Puede utilizar el tipo de implementación Máquina virtual única para migrar el pod, o bien

• Si los requisitos indican que se utiliza el tipo de implementación AKS, debe configurar una nueva red virtual y una subred de administración de un CIDR de /26 como mínimo en esa red virtual dentro de la suscripción del pod y emparejar esa nueva red virtual con la red virtual existente del pod. El CIDR de /26 como mínimo es una recomendación segura para el tipo de implementación AKS.

  Asegúrese de que nada en la nueva red virtual contenga o utilice direcciones IP de los rangos restringidos. Con la nueva red virtual y la subred de administración, puede utilizar el tipo de implementación AKS que proporciona para HA.

Consulte la siguiente sección sobre cómo decidir el tipo de implementación de Edge Gateway para obtener instrucciones detalladas.

El motivo por el cual esos rangos específicos son rangos restringidos por AKS se debe a que Microsoft impone esta regla con respecto a sus clústeres del Servicio Kubernetes de Azure (AKS) que se utilizan para el tipo AKS de implementación de Horizon Edge Gateway.

Si estas direcciones IP restringidas se encuentran en la red virtual o la subred de administración del pod, o se encuentran en la red local conectada a la red virtual, el proceso de migración mediante el tipo de AKS no puede volver a utilizar la red virtual existente del pod.

Decidir el tipo de implementación y cumplir sus requisitos

En la migración de un pod de primera generación al entorno de Horizon Cloud, el sistema implementa lo que se denomina Horizon Edge Gateway en la suscripción de Microsoft Azure del pod.

La implementación se ofrece en dos tipos: tipo de Máquina virtual única o tipo de Servicio Kubernetes de Azure (AKS).

El sistema permite especificar el tipo que se utilizará para la migración de cada pod.

Por lo tanto, debe decidir qué tipo utilizar, en función de las calidades que necesite, según la tabla siguiente.

• Dos preguntas para la siguiente tabla de toma de decisiones:
  1. ¿Tiene requisitos para más de 5000 sesiones o tiene la experiencia de inicio de sesión SSO y la recopilación de datos de supervisión bien resueltos con servicios con capacidad de conmutación por error completa en caso de error?
  2. ¿Tiene alguno de los rangos de IP restringidos por AKS incluidos en la subred de administración del pod, la red virtual del pod o en uso por parte de equipos conocidos para esa red virtual conectados a la red local?

Determinar si la suscripción de Microsoft Azure del pod tiene directivas en torno a etiquetas de grupo de recursos

En el momento de publicarse este documento, el proceso de implementación de Horizon Edge requiere que la suscripción de Microsoft Azure permita la creación de grupos de recursos que no tienen etiquetas.

Inmediatamente después de programar el día y la hora de la ventana de mantenimiento de la migración, el sistema crea grupos de recursos para las instancias de Horizon Edge Gateway y Unified Access Gateway.

Por lo tanto, si la suscripción del pod tiene directivas de Microsoft Azure que bloquean la creación de grupos de recursos sin etiquetar, o si la suscripción tiene algún tipo de requisito de etiqueta de recurso, se producirá un error en el proceso de migración poco después de ese paso de programación.

Si la suscripción tiene esa directiva, puede administrar este requisito realizando un plan para que esa directiva de Azure esté desactivada justo antes de que se complete el asistente de programación de migración y dejar la directiva desactivada hasta que las instancias de Horizon Edge Gateway y Unified Access Gateway se implementen en la suscripción. Cuando vea que las instancias de Horizon Edge Gateway y Unified Access Gateway se implementan correctamente, se puede volver a habilitar la directiva de Azure para requerir etiquetas al crear grupos de recursos sin que esto afecte a las actividades de migración.

Redes: evaluar la configuración existente para el tráfico de red y actualizar según sea necesario

Evalúe si la configuración actual del firewall permite la conectividad con los endpoints, puertos y protocolos requeridos por Horizon Edge de Horizon Cloud.

Es probable que las URL y los puertos de endpoint requeridos por el servicio Horizon Cloud sean diferentes de los que el equipo de red ya ha permitido para el pod de primera generación.

Para obtener la lista de endpoints, puertos y protocolos requeridos, consulte las siguientes páginas de la guía Uso de Horizon Cloud y determine los cambios que se deben realizar en el entorno del pod de primera generación.

• Hacer que las URL de destino adecuadas sean accesibles para implementar Horizon Edge Gateway en un entorno de Microsoft Azure
• Requisitos de puertos y protocolos de Horizon Cloud para la implementación en Microsoft Azure

Para las situaciones en las que no es posible usar direcciones URL, consulte el artículo 6000374 de la base de conocimientos sobre direcciones IP para componentes de servicio.

Cuando un pod de primera generación está configurado con un proxy, los grupos migrados heredan la configuración del proxy. Durante la migración, los grupos de escritorios dedicados deben conectarse directamente a direcciones URL específicas a través de Internet omitiendo el proxy. Si existe un firewall para la conectividad saliente desde la subred VDI de escritorio, estas URL deben permitirse durante el proceso de migración. Una vez finalizada la migración, puede eliminar estas URL de la lista de permitidos.

Comprobar que la clave secreta de la aplicación asociada al pod sigue siendo válida

Inicie sesión en Azure Portal para la implementación del pod y compruebe que la clave de aplicación utilizada por el pod no haya caducado.

Azure Portal utiliza el término "clave secreta de cliente", en el área de registro de la aplicación. Busque el registro de la aplicación asociado con el pod.

Red virtual: evaluar el enrutamiento para el acceso interno a los escritorios

Según el enrutamiento que haya implementado para el pod de primera generación y el acceso interno a los escritorios, es posible que deba ajustar ese enrutamiento para que siga funcionando con el acceso interno a los escritorios en la instancia de Horizon Edge de Horizon Cloud.

Evaluar las cuotas de la familia de vCPU de Microsoft Azure y aumentarlas según sea necesario

Según las cuotas de la familia de vCPU actuales en la suscripción de Microsoft Azure del pod de primera generación, es posible que deba aumentar la cuota de las familias de vCPU específicas para admitir el proceso de migración.

El proceso de migración implementa una instancia de Horizon Edge que consta, como mínimo, una instancia de Horizon Edge Gateway y dos de Unified Access Gateway.

Una instancia de Horizon Edge implementada en Microsoft Azure tiene una instancia de Horizon Edge Gateway de tipo de implementación Máquina virtual única o de tipo de implementación AKS.

El usuario decide qué tipo se utilizará para la migración del pod, como se describe en Decidir el tipo de implementación de Edge Gateway.

Comprobar que las directivas de Azure permitan el aprovisionamiento de cuentas de almacenamiento y recursos compartidos de archivos

Antes de programar la migración, verifique con el propietario de la suscripción de Azure del pod que las directivas de Microsoft Azure en el nivel de suscripción o en el grupo de recursos del pod no bloqueen, denieguen ni restrinjan el aprovisionamiento de cuentas de almacenamiento ni recursos compartidos de archivos en el grupo de recursos del pod de primera generación.

Si va a migrar un pod a una instancia de Horizon Edge existente, asegúrese de que las directivas de Microsoft Azure en la suscripción y en el grupo de recursos de Horizon Edge existentes no bloqueen, denieguen ni restrinjan el aprovisionamiento de cuentas de almacenamiento ni recursos compartidos de archivos.

La correcta implementación de Horizon Edge Gateway requiere el aprovisionamiento de la cuenta de almacenamiento de App Volumes y los recursos compartidos de archivos.

Cuando el pod de primera generación tiene aplicaciones de App Volumes, comprobar que sus directivas Azure permiten alternar el acceso a la red en las cuentas de almacenamiento

Si el pod de primera generación tiene aplicaciones de App Volumes, compruebe con el propietario de la suscripción de Azure del pod que las directivas de Microsoft Azure en el nivel de suscripción o en el grupo de recursos del pod no bloqueen, denieguen ni restrinjan la capacidad de alternar el acceso a la red pública.

La migración del sistema de las aplicaciones de App Volumes implica copiar esos recursos de la cuenta de almacenamiento de Azure del pod a la cuenta de almacenamiento de Horizon Edge Gateway.

Para facilitar esta copia, el proceso de migración necesita acceder a ambas cuentas de almacenamiento. Durante la migración, el sistema activará temporalmente el acceso a la red pública en las cuentas de almacenamiento y, una vez completada la copia, lo desactivará.

Si una directiva de Azure impide que el proceso de migración active el acceso de red pública en las cuentas de almacenamiento antes de comenzar a copiar las aplicaciones de App Volumes, se producirá un error en la migración. El sistema necesita poder activar y desactivar el acceso a la red durante la fase de compilación de la migración y durante la ventana de mantenimiento.

Si tiene una IP pública para el equilibrador de carga de Unified Access Gateway

Cuando su pod de primera generación utiliza una IP pública para el equilibrador de carga de la configuración de Unified Access Gateway externo, el sistema implementará la instancia de Horizon Edge de Horizon Cloud con una dirección IP pública para la configuración de Unified Access Gateway de Horizon Edge.

En este caso, la suscripción del pod necesitará una dirección IP pública adicional. Por lo tanto, antes de programar la migración, asegúrese de que la suscripción tenga capacidad para proporcionar esta dirección IP pública adicional.

Si tiene una IP privada para el equilibrador de carga de Unified Access Gateway

Si el equilibrador de carga de la implementación de Unified Access Gateway externo de primera generación utiliza una IP privada, obtenga la dirección IP pública que se debe enrutar al equilibrador de carga de la implementación de Horizon Cloud.

Si la configuración de puerta de enlace externa de primera generación que se va a migrar utiliza una IP privada en su equilibrador de carga, con una IP pública enrutada a esa IP privada, el sistema detectará esta configuración cuando comience a programar la migración.

Este escenario se utilizaba en las implementaciones de primera generación cuando se tenía un firewall o NAT configurado frente al equilibrador de carga de Azure de la configuración de puerta de enlace externa. Así se controlaba el tráfico basado en Internet antes de permitir el acceso a los dispositivos Unified Access Gateway de la configuración de puerta de enlace externa.

El sistema detecta la configuración de primera generación durante el proceso de análisis cuando determina el estado Ready to migrate.

Cuando el sistema detecta esa configuración, la interfaz de usuario del asistente Programar migración muestra el campo IP pública. En ese campo, deberá introducir la dirección IP pública que desea utilizar para la implementación de Unified Access Gateway de Horizon Cloud.

Nota: Esta IP pública debe ser diferente de la IP pública que ya se utiliza en la puerta de enlace del pod que se va a migrar para poder revertir al estado de implementación de primera generación si es preciso.

Por lo tanto, si tiene esta configuración, obtenga una nueva dirección IP pública para utilizarla, diferente de la que se usa actualmente para la puerta de enlace externa del pod de primera generación.

Evaluar la capacidad de iniciar sesión en el nuevo entorno de Horizon Cloud y consultar Horizon Universal Console de Horizon Cloud.

Intente iniciar sesión en connect.omnissa.com y, después de iniciar sesión, compruebe si ve una tarjeta con la etiqueta Workspace ONE Cloud en la interfaz de usuario de servicios. La siguiente captura de pantalla es un ejemplo.

1. En primer lugar, compruebe si ve una tarjeta etiquetada como Workspace ONE Cloud en la interfaz de usuario de servicios. La siguiente captura de pantalla es un ejemplo.

   

2. Si ve esa tarjeta, haga clic en el vínculo Iniciar servicio y, a continuación, compruebe si ve una tarjeta etiquetada como Horizon Cloud. Esta captura de pantalla muestra la tarjeta dentro de los servicios. El conjunto específico de tarjetas puede diferir.

   

   Al hacer clic en esa tarjeta de Horizon Cloud, se abrirá Horizon Universal Console de Horizon Cloud.

   • Si se incorporó previamente al entorno de Horizon Cloud, verá Horizon Universal Console de Horizon Cloud con la pantalla Migración disponible.
   • Si no completó previamente la incorporación al entorno de Horizon Cloud, el sistema mostrará la interfaz de usuario de selección de región, como se describe en la sección Selección de región de nube, y podrá realizar los pasos descritos allí para completar la incorporación y ver la consola con la pantalla Migración disponible.

Si al realizar los pasos anteriores no se muestra Horizon Universal Console de Horizon Cloud y ya está en el proceso con el equipo de migraciones de Horizon, póngase en contacto con la persona de ese equipo con la que esté trabajando. Si aún no está en contacto con el equipo de migraciones de Horizon, solicite ayuda al servicio de soporte global para realizar la migración a Horizon Cloud.

La siguiente captura de pantalla muestra cómo se ve la parte superior de navegación de Horizon Cloud Console al final del paso 2 anterior. El área principal puede mostrar o no el contenido de bienvenida que se muestra en esta captura de pantalla. El área principal puede mostrar automáticamente la pantalla Migración. Si ve este tipo de navegación, significa que está en Horizon Cloud Console.

Decidir el proveedor de identidad y sincronizar usuarios y grupos de AD con él

En el entorno de Horizon Cloud, el servicio se basa en el uso de un proveedor de identidad externo y un dominio de Active Directory.

Fondo

En el inquilino de primera generación, los dominios de Active Directory registrados se utilizaron para la identidad de la máquina y la identidad del usuario, a fin de autenticar el acceso de los usuarios finales a los escritorios y las aplicaciones publicadas.

En el entorno de Horizon Cloud, se proporciona al servicio un proveedor de identidad externo para completar la parte de identidad del usuario.

El uso de un proveedor de identidad externo permite la integración con soluciones de terceros para proporcionar capacidades como la autenticación multifactor.

En la migración de un pod de primera generación a una instancia de Horizon Edge de Horizon Cloud, esa instancia de Horizon Edge posterior a la migración utilizará el dominio de Active Directory para la identidad de la máquina, al igual que en el entorno de primera generación. Los escritorios virtuales migrados y las máquinas virtuales que proporcionan aplicaciones (remotas) publicadas se unen al dominio de Active Directory.

Nota: El proveedor de identidad que elija para el entorno de Horizon Cloud debe estar conectado a los dominios de Active Directory de los pods de primera generación, los registrados en el inquilino de primera generación.

Decidir el proveedor de identidad que se utilizará

El proveedor de identidad que decida registrar con el servicio Horizon Cloud debe cumplir los requisitos de Horizon Cloud.

En el momento de redactarse este documento:

• Solo se puede utilizar un proveedor de identidad con el entorno de Horizon Cloud.
• Los tipos admitidos son:
  • Microsoft Entra ID Commercial (para entornos de Azure Commercial) y Microsoft Entra ID Government (para entornos de Azure US Government). Cuando el pod de primera generación se implemente en entornos de Azure US Government, se utilizará Microsoft Entra ID Government.
  • Omnissa Access (local o en la nube)

Consulte Conectar su proveedor de identidad en la documentación de Horizon Cloud.

Requisitos previos: Microsoft Entra ID Commercial o Microsoft Entra ID Government

Deberá ejecutar un asistente en Horizon Universal Console de Horizon Cloud para configurar los ajustes de Horizon Cloud de forma que utilicen Microsoft Entra ID.

Necesitará los siguientes elementos para completar ese asistente.

Requisitos previos: Omnissa Access local o en la nube

Deberá ejecutar un asistente en Horizon Universal Console de Horizon Cloud para configurar los ajustes de Horizon Cloud de forma que utilicen Access.

Necesitará los siguientes elementos para completar ese asistente.

Sincronizar los usuarios y los grupos de Active Directory (AD) con el proveedor de identidad

Antes de seleccionar los pods que desea migrar, compruebe que todos los usuarios y los grupos de AD autorizados para escritorios y aplicaciones de dichos pods están sincronizados con el proveedor de identidad elegido.

Durante las comprobaciones previas a la validación del sistema, el sistema obtiene el conjunto de usuarios y grupos de AD de las asignaciones de aplicaciones y escritorios del pod de primera generación, y comprueba el proveedor de identidad registrado en el entorno de Horizon Cloud para esos usuarios y grupos de AD. Si el sistema no encuentra uno de esos usuarios o grupos de AD en el proveedor de identidades registrado, se producirá un error en el paso de validación previa. El informe de errores que se obtiene de la interfaz de usuario informará sobre el grupo o el usuario de AD que falta.

Evaluar el uso de usuarios o grupos integrados de Active Directory y actualizar según sea necesario

Si su implementación de Horizon Cloud on Microsoft Azure (primera generación) está configurada para utilizar Azure Active Directory (Azure AD), tiene que actualizar siempre que haya especificado grupos integrados o usuarios integrados antes de migrar y cambiar a grupos y usuarios no integrados.

El sistema analiza los pods de primera generación para determinar si cumplen los criterios de migración y, posteriormente, recopila la información sobre los usuarios y los grupos que se especifican para cada asignación e intenta crear la configuración equivalente en el proveedor de identidades configurado del entorno de Horizon Cloud. Si tiene Microsoft Azure AD como proveedor de identidad en el entorno de Horizon Cloud, Microsoft Azure AD Connect sincronizará el dominio de Active Directory con Microsoft Azure AD.

Sin embargo, como se indica en la documentación de Microsoft, la sincronización de Microsoft Azure AD Connect que controla la sincronización de un grupo de Active Directory con Azure AD excluye los grupos de seguridad integrados de su sincronización de directorios. Como resultado, cuando el sistema intenta crear en ese proveedor de identidades la configuración equivalente de primera generación en la que se utilizaron grupos integrados y usuarios integrados, el sistema no encuentra ninguna entidad equivalente en Azure AD, ya que esos componentes integrados nunca se sincronizan. El sistema informará de que los pods en los que están involucrados los usuarios y los grupos integrados no se pueden migrar.

En este escenario, creará grupos de Active Directory normales que tengan las mismas pertenencias que los grupos integrados y los usuarios integrados, y, dondequiera que haya especificado los grupos integrados y los usuarios integrados para recibir aplicaciones remotas o escritorios, actualice esa configuración para utilizar los grupos de Active Directory normales.

Evaluar el uso de asignaciones de aplicaciones de App Volumes

Si el inquilino de primera generación tiene asignaciones de aplicaciones de App Volumes, compruebe que el entorno de Horizon Cloud tenga una suscripción de licencia de App Volumes válida.

Durante las comprobaciones previas a la validación del sistema, el sistema comprueba el entorno de Horizon Cloud en busca de una suscripción de licencia de App Volumes válida.

Si no la encuentra, el sistema impide programar la migración del pod y muestra un error.

En Horizon Cloud Console, puede comprobar la presencia de licencias en el entorno de Horizon Cloud siguiendo los pasos descritos en Usar Horizon Universal Console para realizar un seguimiento de las licencias de Horizon.

Caso especial: si el registro de aplicaciones del pod de primera generación utiliza una función personalizada

Si el pod de primera generación está configurado para utilizar una función personalizada para el registro de aplicaciones de Horizon Cloud de su suscripción, un requisito previo de migración es actualizar esa función personalizada con los permisos necesarios en un entorno de Horizon Cloud.

El uso de una función personalizada es atípico. La mayoría de las implementaciones de pods de primera generación utilizan la función Contributor para el registro de aplicaciones de la entidad de servicio de Horizon Cloud.

Cuando implementó el pod de primera generación, es posible que utilizara una función personalizada, como se describe en la página de documentación de primera generación Cuando la organización prefiere utilizar una función personalizada.

Si el pod se encuentra en este escenario, la función personalizada existente debe actualizarse para incluir los permisos requeridos por el entorno de Horizon Cloud para realizar las llamadas de API requeridas.

En la suscripción del pod de primera generación, confirme que se permitan las siguientes operaciones en la función personalizada del registro de aplicaciones de Horizon Cloud, el registro de aplicaciones que utiliza el pod.

Algunas de estas son las mismas que se requerían para una implementación de pods de primera generación. En la tabla se indican las que se requieren además para el entorno de Horizon Cloud.

Importante: No elimine las operaciones que ya están permitidas en la función personalizada.

Permisos obligatorios de Horizon Cloud

Microsoft.ContainerService/managedClusters/delete
Microsoft.ContainerService/managedClusters/read
Microsoft.ContainerService/managedClusters/write
Microsoft.ContainerService/managedClusters/commandResults/read
Microsoft.ContainerService/managedClusters/runcommand/action
Microsoft.ContainerService/managedClusters/upgradeProfiles/read

Microsoft.ManagedIdentity/userAssignedIdentities/*/assign/action
Microsoft.ManagedIdentity/userAssignedIdentities/*/read

Microsoft.ResourceGraph/*

Microsoft.Resources/subscriptions/read

Microsoft.Network/privateEndpoints/read
Microsoft.Network/privateEndpoints/write
Microsoft.Network/privateEndpoints/delete
Microsoft.Network/locations/availablePrivateEndpointTypes/read

Permisos opcionales

Aunque los siguientes permisos no son obligatorios para la implementación de Horizon Edge de Horizon Cloud en Microsoft Azure, las funciones del servicio que dependen de estos permisos opcionales no funcionarán si no los incluye.

Microsoft.Network/natGateways/join/action
Microsoft.Network/natGateways/read

Microsoft.Network/privateEndpoints/write 
Microsoft.Network/privateEndpoints/read

Microsoft.Network/routeTables/join/action
Microsoft.Network/routeTables/read

Nota: Esta información se agrega para mayor comodidad, de cara al entorno de Horizon Cloud posterior a la migración. Cuando actualice los permisos antes de la migración del pod, es posible que considere la posibilidad de incluir este permiso al mismo tiempo.

Este escenario se produce cuando el proveedor de identidad para el entorno de Horizon Cloud es Microsoft Entra ID y quiere utilizarlo para la identidad de la máquina.

Para obtener más información, consulte la Nota sobre Microsoft Entra ID en la página de documentación de Horizon Cloud.