Disponibilité limitée : configurer Horizon Agent, Horizon Console, les autorisations et les fonctionnalités

Configurer Horizon Agent pour macOS

Après l'installation, modifiez les paramètres de configuration d'Horizon Agent.

Fichier de configuration d'Horizon Agent

Horizon Agent pour macOS stocke sa configuration à l'emplacement suivant :

/private/etc/omnissa/horizonagent-config.txt

Modifiez ce fichier pour ajuster les paramètres de l'agent. Redémarrez le service Horizon Agent après les modifications pour que celles-ci prennent effet.

Redémarrer le service Horizon Agent

Pour redémarrer le service Horizon Agent :

sudo launchctl stop com.omnissa.horizon.coreagent
sudo launchctl start com.omnissa.horizon.coreagent

Pour vérifier l'état actuel du service de l'agent :

sudo launchctl list | grep omnissa

Configurer les paramètres Blast

Horizon Agent pour macOS utilise exclusivement Horizon Blast Extreme. Le protocole PCoIP n'est pas pris en charge.

Remarque : la stratégie de groupe est un mécanisme Windows uniquement et n'est pas appliquée sur macOS. Ne configurez pas les paramètres du protocole Blast via des paramètres de stratégie de groupe Horizon Agent sur une machine Mac Agent.

Les paramètres du protocole Blast pour macOS, y compris les préférences de codec, le comportement du codeur, la fréquence d'images et la bande passante, sont configurés via le fichier de configuration d'Horizon Agent. Les entrées de configuration Blast utilisées pour Horizon Agent pour macOS sont les mêmes que celles utilisées pour Horizon Agent pour Linux. Pour obtenir la liste des options de configuration de Blast et des exemples de valeurs réglés pour différents types de réseaux, reportez-vous à la section Exemples de paramètres Blast pour des postes de travail Linux.

Configurer les paramètres d'affichage

Horizon Agent pour macOS prend en charge jusqu'à 2 moniteurs. Horizon Client et Horizon Agent négocient la résolution d'affichage et le comportement à plusieurs moniteurs lors de l'établissement de la session. Aucune configuration supplémentaire côté agent n'est requise pour un fonctionnement standard sur plusieurs moniteurs.

Configurer les autorisations de confidentialité et de sécurité de macOS pour Horizon Agent

macOS nécessite l'approbation explicite de l'utilisateur ou de l'administrateur pour les autorisations de confidentialité et de sécurité qu'Horizon Agent requiert pour la fonctionnalité de session distante.

Les autorisations de confidentialité et de sécurité suivantes doivent être configurées sur la machine Mac Agent. Chaque autorisation doit être accordée à l'application Horizon Agent correspondante.

Approuver manuellement les autorisations sur les terminaux non gérés

Sur les machines qui ne sont pas inscrites dans une solution MDM, l'utilisateur macOS doit approuver manuellement chaque autorisation :

1. Ouvrez Paramètres système > Confidentialité et sécurité.
2. Pour chaque catégorie d'autorisation dans le tableau ci-dessus, localisez l'entrée Omnissa Horizon Agent et activez le bouton bascule.
3. Lorsque vous y êtes invité, cliquez sur Quitter et rouvrir pour redémarrer le processus de l'agent.
4. Répétez cette opération pour chaque autorisation.

Remarque : sans ces autorisations, Horizon Agent ne peut pas fonctionner. Les utilisateurs seront invités à approuver les autorisations lors de leur première session de connexion à Horizon si elles ne sont pas préconfigurées.

Dans les environnements de production enrôlés dans Workspace ONE UEM, Jamf ou Microsoft Intune, les administrateurs peuvent préconfigurer et transférer toutes les autorisations requises via des profils MDM avant que les utilisateurs ne se connectent. Cette approche élimine complètement les invites manuelles d'approbation de l'utilisateur. Pour connaître les étapes de configuration, reportez-vous à la section Gérer les autorisations macOS avec MDM.

Configurer des machines macOS dans Horizon Console

Ajoutez des machines macOS physiques à Horizon Console et attribuez-les à un pool de postes de travail manuel avant de les rendre disponibles aux utilisateurs finaux

Ajouter des machines macOS physiques

1. Dans Horizon Console, accédez à Paramètres > Machines enregistrées > Autres pour afficher la machine macOS enregistrée.
2. Les mêmes détails sont également disponibles sous Inventaire > Machines > Autres.
3. Vérifiez que la machine s'affiche avec l'état attendu après l'enregistrement.

Créer un pool de postes de travail manuel

Horizon Agent pour macOS requiert un pool de postes de travail manuel. Les pools automatisés et Instant Clone ne sont pas pris en charge :

1. Dans Horizon Console, accédez à Inventaire > Pools de postes de travail.

2. Cliquez sur Ajouter.

3. Sélectionnez Pool de postes de travail manuel.

4. Sélectionnez Autres comme source de machine.

5. Configurez les paramètres du pool, notamment le protocole d'affichage à distance (sélectionnez Horizon Blast).

6. Sélectionnez la machine macOS enregistrée auprès du broker.

   Remarque : PCoIP n'est pas pris en charge pour les postes de travail macOS. Les connexions utilisant PCoIP échoueront.

7. Fermez l'assistant de création du pool.

Autoriser les utilisateurs et les groupes

1. Dans Horizon Console, accédez aux pools de postes de travail que vous avez créés.
2. Cliquez sur Autorisations > Ajouter une autorisation.
3. Ajoutez les utilisateurs ou les groupes Active Directory devant avoir accès aux postes de travail macOS.

Remarque : SSO n'est pas pris en charge par les postes de travail macOS. Une fois que l'utilisateur AD autorisé se connecte, il doit s'authentifier à nouveau dans la session macOS à l'aide des informations d'identification du compte local sur la machine cible.

Gérer les autorisations macOS avec MDM

Horizon Agent pour macOS nécessite plusieurs autorisations de confidentialité et de sécurité macOS pour fonctionner. Omnissa recommande aux administrateurs de déployer ces autorisations via la gestion de terminaux mobiles (MDM) pour éliminer les invites manuelles d'approbation utilisateur dans les environnements de production.

Workspace ONE UEM est la plate-forme MDM recommandée pour les déploiements d'Omnissa Horizon. Jamf Pro et Microsoft Intune peuvent également déployer les profils PPPC (Privacy Preferences Policy Control) requis.

Aperçu des autorisations requises

Accordez les autorisations suivantes au processus Horizon Agent :

Paramètres d'accès

La valeur Accès n'est pas Allow pour toutes les autorisations. Utilisez les éléments suivants :

Remarque : Apple bloque l'autorisation silencieuse pour la capture d'écran et l'événement d'écoute. Ces autorisations doivent être définies sur Autoriser uniquement l'utilisateur standard à définir le service système afin que l'utilisateur reçoive une invite à la première utilisation.

Déployer les autorisations requises via Workspace ONE UEM

Procédure

1. Connectez-vous à Workspace ONE UEM Console.

2. Accédez à Ressources > Profils et lignes de base > Profils.

3. Cliquez sur Ajouter > Ajouter un profil > macOS.

4. Sélectionnez Profil de terminal.

5. Dans la charge utile générale, entrez un nom de profil, par exemple, Horizon Agent Privacy.

6. Ajoutez la charge utile Contrôle de la stratégie des préférences de confidentialité (PPPC).

7. Ajoutez une entrée d'application pour chaque autorisation, en utilisant l'identifiant de bundle correct dans le tableau ci-dessus.

   • Pour Identifiant, entrez l'identifiant de bundle qui correspond à l'autorisation : com.omnissa.horizon.blastworker pour Accessibilité et surveillance d'entrée, com.omnissa.horizon.agent pour Enregistrement audio de l'écran et du système ou com.omnissa.horizon.jre pour Surveillance d'entrée.

   • Pour Type d'identificateur, sélectionnez bundleID.

   • Pour Exigence de code, entrez les exigences de signature de code pour le fichier binaire d'Horizon Agent correspondant. Pour récupérer cette valeur, exécutez la commande codesign sur chaque fichier binaire sur une machine de référence sur laquelle Horizon Agent est déjà installé. Reportez-vous à la section Récupération des exigences de signature de code.

   • Pour Service, sélectionnez le service approprié : ScreenCapture, Accessibility ou ListenEvent.

   • Pour Accès, définissez la valeur en fonction du tableau Paramètres d'accès ci-dessus. Sélectionnez Autoriser pour l'accessibilité. Sélectionnez Autoriser uniquement l'utilisateur standard à définir le service système pour la capture d'écran et l'événement d'écoute.

8. Attribuez le profil au Smart Group du terminal qui contient vos machines macOS enrôlées.

9. Publiez le profil.

Une fois le profil déployé, l'utilisateur lance une session VDI à partir d'Horizon Client. Lors du premier lancement uniquement, macOS invite l'utilisateur à approuver chacune des autorisations suivantes :

• BlastWorker pour la surveillance de l'entrée
• HorizonJRE pour la surveillance de l'entrée
• CaptureAgent pour l'enregistrement de l'écran et de l'audio du système

L'utilisateur clique sur Autoriser à chaque invite. Aucune autre action n'est requise dans les paramètres système. macOS affiche automatiquement ces invites la première fois que l'agent demande chaque autorisation.

Récupération des exigences de signature de code

La commande codesign doit être exécutée sur chaque fichier binaire individuel, et non sur le niveau supérieur .app :

codesign --display -r - /path/to/BlastWorker
codesign --display -r - /path/to/CaptureAgent
codesign --display -r - /path/to/HorizonJRE

Déployer avec Jamf Pro

Jamf Pro déploie des profils PPPC via sa charge utile de contrôle des politiques de préférences de confidentialité. Utilisez les mêmes champs de configuration, les mêmes valeurs d'identifiant de bundle et les mêmes paramètres d'accès décrits ci-dessus. Reportez-vous à la documentation Jamf Pro pour connaître les étapes spécifiques à la création et au déploiement d'un profil de configuration.

Déployer avec Microsoft Intune

Microsoft Intune peut déployer des profils de configuration personnalisés sur des terminaux macOS à l'aide de charges utiles de liste de propriétés (plist). Utilisez la clé de charge utile com.apple.TCC.configuration-profile-policy pour configurer les préférences de confidentialité. Pour connaître les étapes spécifiques, reportez-vous à la documentation de Microsoft Intune.

Valider la configuration

Après le déploiement des profils MDM, validez la configuration :

1. Enrôlez une machine macOS de test dans votre solution MDM.
2. Appliquez le profil PPPC.
3. Ouvrez une session Horizon Client sur le poste de travail macOS.
4. Confirmez les points suivants :
   • La session distante s'affiche sans invite d'autorisation d'enregistrement d'écran.
   • La saisie au clavier et à la souris fonctionne sans invite d'autorisation d'accessibilité.
   • Les autorisations sont conservées après la déconnexion et la reconnexion.
5. Pour vos enregistrements de déploiement, documentez la différence de comportement attendue entre une machine gérée par UEM et une machine non gérée.

Utiliser les fonctionnalités d'Horizon sous macOS

Redirection du Presse-papiers

La redirection du Presse-papiers est une fonctionnalité qui permet aux utilisateurs de copier et coller des données entre leur périphérique local et une session de poste de travail distante.

Configuration côté agent

Les paramètres de redirection du Presse-papiers sont lus à partir du fichier de configuration d'Horizon Agent. L'agent recherche les emplacements suivants par ordre de priorité et applique la première valeur trouvée :

1. /Users/<user>/Library/Preferences/Omnissa Horizon Agent/config
2. /Users/<user>/.omnissa/config
3. /usr/lib/omnissa/config
4. /etc/omnissa/config

Spécifiez chaque entrée de configuration sur une ligne distincte en utilisant le format suivant :

Identifier.SettingName=Value

Paramètres de Presse-papiers pris en charge

• Clipboard.Direction

  Contrôle la direction autorisée de la redirection du Presse-papiers entre le client et Horizon Agent.
  
  Exemple :
  
  ```
  Clipboard.Direction=1
  ```
  
  | Valeur | Description |
  |---|---|
  | 0 | Désactivé (désactive la redirection du Presse-papiers) |
  | 1 | Bidirectionnel (Client ↔ Agent) |
  | 2 | Client vers agent uniquement (par défaut) |
  | 3 | Agent vers client uniquement |
  

• mksvchan.clipboardSize

  Définit la taille maximale de la charge utile du Presse-papiers que la redirection du Presse-papiers peut transférer.
  
  Exemple :
  
  ```
  mksvchan.clipboardSize=4096
  ```
  
  Cet exemple autorise des transferts de Presse-papiers jusqu'à 4 096 Ko (4 Mo).
  

Redirection audio

Horizon Agent pour macOS prend uniquement en charge la redirection de sortie audio (haut-parleurs et écouteurs) dans les sessions distantes.

Prise en charge de plusieurs moniteurs

Horizon Agent pour macOS prend en charge jusqu'à 2 moniteurs simultanément. Horizon Client et Horizon Agent négocient la disposition du moniteur au démarrage de la session. Aucune configuration supplémentaire côté agent n'est requise pour un fonctionnement standard sur plusieurs moniteurs.