Appliquer des autorisations pour autoriser Horizon Cloud à gérer des machines jointes à Microsoft Entra ID pour un abonnement Azure

Vous pouvez fournir les autorisations en accédant au locataire Microsoft Entra ID auquel l'abonnement Azure utilisé pour Horizon Cloud est lié et en procédant comme suit.

Vérifiez les descriptions d'autorisation suivantes avant de continuer :

• Device.ReadWrite.All : cette autorisation est requise si le pool joint à Entra ID doit être créé ou modifié sans sélectionner une unité administrative. Elle est requise pour la gestion du cycle de vie des machines, ce qui permet à Horizon Cloud d'enregistrer de nouvelles VM et de supprimer correctement les entrées de terminaux d'Entra ID lorsqu'un pool ou une VM est démonté(e). Cette autorisation peut également être attribuée comme alternative à microsoft.directory/devices/delete permission si le pool doit être créé ou modifié en sélectionnant une unité d'administration.

• AdministrativeUnit.ReadWrite.All : cette autorisation est requise si le pool joint à Entra ID doit être créé ou modifié en sélectionnant une unité administrative. Elle est requise si vous organisez ou limitez vos comptes de machines joints à Entra ID dans des unités d'administration (AU) spécifiques.

• RoleManagement.Read.Directory : cette autorisation est requise pour valider les attributions de rôles de principal de service. Elle permet à Horizon Cloud de lire les attributions de rôles d'annuaire pour vérifier la conformité de la configuration nécessaire.

• Device.Read.All : cette autorisation est utilisée par Horizon Control Plane pour interroger et valider des objets de machines existants dans le locataire.

• microsoft.directory/devices/delete : si le pool doit être créé ou modifié en sélectionnant une unité administrative, cette autorisation peut être attribuée comme alternative à l'autorisation Device.ReadWrite.All afin de limiter la portée de la capacité de suppression de terminaux à une unité administrative spécifique. Cette autorisation doit être attribuée au principal de service avec la portée au niveau de l'annuaire ou de l'unité d'administration. Elle permet de supprimer les terminaux de Microsoft Entra ID.

  Remarque : si vous ne souhaitez pas accorder les autorisations Device.ReadWrite.All complètes d'Horizon Cloud dans l'ensemble de l'annuaire, vous pouvez également accorder l'autorisation au niveau de l'annuaire Azure Active Directory spécifique en utilisant microsoft.directory/devices/delete pour limiter l'accès uniquement à la portée de l'unité d'administration spécifique dans laquelle résident vos postes de travail Horizon Cloud.

Les informations associées sont disponibles dans la section Configuration requise pour l'identité de machine du document Liste de vérification des conditions requises pour le déploiement d'un dispositif Microsoft Azure Edge. Des informations supplémentaires sont disponibles dans la Référence sur les autorisations Microsoft Graph dans la documentation du produit Microsoft.

Procédure

1. Dans le portail Microsoft Azure, accédez à Microsoft Entra ID.

2. Sélectionnez Gérer > Enregistrements d'applications dans le volet de navigation de gauche.

3. Sélectionnez le principal de service dans lequel vous souhaitez modifier les autorisations.

4. Sélectionnez Gérer > Autorisations d'API.

5. Cliquez sur Ajouter une autorisation.

6. Cliquez sur Microsoft GRAPH.

7. Cliquez sur Autorisations de l'application.

8. Effectuez une recherche à l'aide de l'autorisation exacte, telle que Device.ReadWrite.All, AdministrativeUnit.ReadWrite.All, RoleManagement.Read.Directory ou Device.Read.All.

9. Sélectionnez l'autorisation requise dans la liste des résultats de la recherche.

10. Cliquez sur Ajouter des autorisations.