Omnissa Horizon Advisor

Horizon Advisor est un outil de gestion basé sur PowerShell pour les environnements Omnissa Horizon. Utilisez cet outil pour valider votre environnement avant d'installer ou de mettre à niveau des dispositifs Horizon Server, effectuer la maintenance AD LDS et gérer les services Secure Gateway, le tout à partir d'une interface de console interactive.

Conditions préalables

Tableau des conditions requises

Remarque : Horizon Advisor doit être exécuté directement sur le système sur lequel la vérification préalable doit être effectuée.

Lancement de l'outil

Ouvrez une console PowerShell et accédez au dossier dans lequel Horizon Advisor a été extrait.
Exécutez ensuite :

.\Start-HorizonAdvisor.ps1

Le menu principal interactif s'ouvre.

Important : chaque fois que vous exécutez Start-HorizonAdvisor.ps1, les certificats TLS précédemment acceptés sont effacés. Vous serez invité à accepter les certificats non approuvés ou auto-signés à chaque nouvelle exécution.

Présentation du menu principal

Après le lancement, le menu suivant s'affiche :

================================================================
            Welcome to Omnissa Horizon Advisor
         Your Comprehensive Horizon Management Tool
================================================================
Main Menu - Please select an option:
  1. Pre-Check Operations for Horizon Server Install / Upgrade
  2. AD LDS Operations
  3. Manage Secure Gateway Service
  4. Exit

Sélectionnez une option numérotée et appuyez sur Entrée.

Opérations de vérification préalable

La vérification préalable valide votre environnement par rapport aux exigences publiées d'Omnissa pour une version cible d'Horizon. Elle permet de vérifier les paramètres d'Active Directory, les connexions vCenter, les conditions préalables du serveur et la connectivité LDAP/API, puis produit un rapport HTML détaillé et éventuellement un rapport PDF.

Types de validation

Lorsque vous sélectionnez des opérations de vérification préalable, les choix suivants s'offrent à vous :

Remarque : la validation de la configuration requise pour LDAP n'est disponible que sur Horizon Server 2412 et versions ultérieures.

Exécution interactive de validations

Après avoir sélectionné un type de validation, l'outil vous invite à saisir les informations requises :

Validation d'Active Directory

• Nom de domaine complet d'Active Directory (par exemple, dc.corp.example.com)
• Version cible d'Horizon (par exemple, 2503)

Validation de vCenter

• Nom de domaine complet de vCenter (par exemple, vcenter.corp.example.com)
• Version de vCenter (par exemple, 8.0.2)
• Version cible d'Horizon

Validation du serveur

• Version cible d'Horizon

Validation LDAP

• Nom d'utilisateur d'Horizon Administrator
• Domaine Horizon
• Mot de passe d'Horizon Administrator (entré de manière sécurisée : l'entrée est masquée)

Exécuter toutes les validations

• Toutes les entrées ci-dessus sont collectées avant le début de l'exécution.

Invite de certificat TLS

Pour les validations LDAP et API, Horizon Advisor se connecte à Horizon Connection Server sur HTTPS. Si le serveur utilise un certificat TLS auto-signé ou non approuvé, l'invite suivante s'affiche :

Untrusted TLS certificate detected for https://<server>/rest/...
Subject   : CN=<server>
Issuer    : CN=<server>
Thumbprint: XXXX...
Valid From: ...
Valid To  : ...
Certificate appears to be self-signed.
Press '1' to accept this certificate for this run only
Press '2' to reject and stop the request
Select an option (1-2):

Appuyez sur 1 pour accepter et continuer. Le certificat est approuvé pendant la durée de cette exécution uniquement.

Appuyez sur 2 pour refuser. La connexion est interrompue et la validation ne pourra pas se poursuivre.

Cette invite s'affiche à chaque exécution. Les certificats acceptés ne sont jamais définitivement stockés.

Présentation des rapports

Une fois la validation terminée, un rapport HTML (et PDF si un navigateur pris en charge est disponible) est automatiquement généré. Le rapport comprend les éléments suivants :

Section Résumé

Tableau des résultats détaillés

Les couleurs des lignes du rapport correspondent à l'état :

• Vert : RÉUSSITE
• Jaune/Orange : AVERTISSEMENT
• Rouge : ÉCHEC
• Bleu : IGNORER

Pour les éléments marqués ÉCHEC ou AVERTISSEMENT, consultez toujours la colonne Recommandé pour connaître la mesure corrective nécessaire avant de poursuivre votre installation ou mise à niveau d'Horizon.

Emplacement des rapports

Les rapports sont enregistrés dans :

%ProgramData%\Omnissa\Horizon\logs\HorizonAdvisor\PreCheckReports\

Conventions de dénomination de fichiers

Une fois le rapport généré, l'outil affiche le chemin d'accès complet aux fichiers HTML et PDF. Vous pouvez ouvrir le fichier HTML dans n'importe quel navigateur Web.

Si Microsoft Edge ou Google Chrome n'est pas installé, le PDF ne sera pas généré, mais le rapport HTML sera toujours créé.

Opérations AD LDS

Ce module fournit des opérations de maintenance pour la partition AD LDS (Active Directory Lightweight Directory Services) d'Horizon sur le Serveur de connexion.

Remarque : à partir de la version 2606, le programme d'installation du serveur de connexion s'arrête et désactive automatiquement Active Directory Web Services (ADWS) par défaut, car ADWS n'est pas requis pour le fonctionnement normal du serveur de connexion. Si votre environnement repose sur ADWS pour la maintenance AD LDS ou à d'autres fins, vous pouvez le réactiver temporairement à partir de ce menu.

Opérations disponibles

Utilisation de l'opération de nettoyage

1. Sélectionnez l'option 2 dans le menu Opérations AD LDS (ou exécutez directement le script de nettoyage).
   L'outil affiche le DN de partition Horizon détecté.
   

2. Choisissez votre opération :

   • Option 1 : affichez le nombre d'entrées périmées (aucune suppression) - aperçu sécurisé
   • Option 2 : supprimer les entrées périmées - effectue le nettoyage réel

3. Entrez le seuil d'obsolescence :

   • Indiquez le nombre de mois pendant lesquels les données sont considérées comme périmées
   • Appuyez sur Enter pour accepter la valeur par défaut de 3 mois
   • Seules les données non modifiées pendant cette période seront affectées

4. Vérifiez le nombre d'entrées périmées :

   • L'outil analyse AD LDS et affiche le nombre d'objets périmés trouvés
   • Si l'option 1 a été sélectionnée, l'opération se termine ici sans suppression

5. Confirmer la suppression (option 2 uniquement) :

   • Vérifiez le nombre d'entrées à supprimer
   • Tapez 1 pour confirmer la suppression.
   • Tapez autre chose ou appuyez sur Échap pour annuler l'opération.

6. Processus de suppression :

   • L'outil supprime les objets correspondants par lots (2 000 par lot).
   • La progression est signalée après chaque lot :

7. Opération terminée :

   • Le nombre total d'objets supprimés s'affiche

   • Le rapport de suppression affiche :

     • Nombre total d'objets supprimés
     • État de fin du nettoyage

Attention : cette opération supprime définitivement les données de préférences utilisateur d'AD LDS. Avant de procéder à la suppression :

• Vérifiez qu'il existe une sauvegarde de votre base de données AD LDS
• Confirmez auprès de votre équipe que les anciennes préférences peuvent être supprimées en toute sécurité
• Exécutez d'abord l'option 1 pour afficher l'aperçu
• Pensez à l'exécuter pendant une fenêtre de maintenance avec une activité utilisateur minimale

Utilisation de la gestion de l'état ADWS

Accéder à la gestion de l'état ADWS

1. Ouvrez Horizon Advisor.

2. Sélectionnez Opérations AD LDS

3. Sélectionnez Gestion de l'état ADWS

4. Sélectionnez le niveau de portée, puis choisissez l'action requise.

Sélectionner le niveau de portée (obligatoire)

Avant d'exécuter l'action Vérifier, Activer ou Désactiver, choisissez une portée :

• Espace unique

  - Cible les serveurs de connexion uniquement dans l'espace sélectionné.
  - Utilisez **Sélectionner un espace** pour choisir l'espace spécifique.
  

• Niveau de cluster (fédération CPA)

  - Cible tous les espaces détectés dans la fédération CPA.
  - À utiliser lorsque la modification doit s'appliquer à l'échelle de la fédération.
  

Si un seul espace est détecté, le comportement au niveau du cluster ne s'applique pas et les opérations s'exécutent sur la portée de l'espace disponible.

Option 1 : vérifier l'état ADWS

Fonctionnement

• Vérifie l'état ADWS sur les serveurs de connexion détectés.
• Affiche l'état actuel du service, le type de démarrage, l'état du pare-feu et l'indicateur de registre ADWS.
• N'apporte aucune modification à la configuration.

Quand l'utiliser ?

• Avant d'activer ou de désactiver ADWS.
• Après avoir apporté des modifications, pour confirmer l'état final.

Étapes

1. Sélectionnez un espace unique ou un niveau de cluster (fédération CPA).

2. Si l'option Espace unique est sélectionnée, choisissez l'espace cible dans Sélectionner l'espace.

3. Sélectionnez Vérifier l'état ADWS.

4. Attendez la fin de la détection et de la collecte d'état.

5. Examinez le tableau de sortie de chaque serveur :

   • État du service
   • Type de démarrage
   • État du pare-feu
   • Valeur EnableADWS

Option 2 : activer ADWS

Fonctionnement

• Définit le démarrage du service ADWS sur Automatique.
• Démarre le service ADWS s'il n'est pas en cours d'exécution.
• Active ou crée la règle de pare-feu entrant ADWS (TCP 9389).
• Définit la valeur de registre EnableADWS sur 1.

Avertissement de sécurité

• ADWS est désactivé par défaut pour réduire l'exposition de sécurité.
• Activez ADWS uniquement lorsque cela est nécessaire pour effectuer une tâche spécifique (par exemple, un dépannage ou une intégration héritée).
• Une fois la tâche terminée, désactivez ADWS manuellement.

Étapes

1. Sélectionnez un espace unique ou un niveau de cluster (fédération CPA).

2. Si l'option Espace unique est sélectionnée, choisissez l'espace cible dans Sélectionner l'espace.

3. Cliquez sur Activer ADWS.

4. Vérifiez l'onglet Sécurité.

5. Confirmez l'action à l'invite correspondante.

6. Attendez la fin de l'exécution sur tous les serveurs accessibles.

7. Exécutez Vérifier l'état ADWS pour confirmer qu'ADWS est activé comme prévu.

Option 3 : désactiver ADWS

Fonctionnement

• Arrêtez le service ADWS.
• Définit le type de démarrage ADWS sur Désactivé.
• Désactive la règle de pare-feu entrant ADWS.
• Définit la valeur de registre EnableADWS sur 0.

Quand l'utiliser ?

• Après avoir terminé la tâche temporaire qui nécessitait ADWS.
• Pour revenir à la position sécurisée par défaut.

Étapes

1. Sélectionnez un espace unique ou un niveau de cluster (fédération CPA).

2. Si l'option Espace unique est sélectionnée, choisissez l'espace cible dans Sélectionner l'espace.

3. Sélectionnez Désactiver ADWS.

4. Confirmez l'action à l'invite correspondante.

5. Attendez la fin de l'exécution.

6. Exécutez Vérifier l'état ADWS pour confirmer qu'ADWS est désactivé.

Gérer le service Secure Gateway

Ce module active ou désactive les services PCoIP Secure Gateway et Blast Secure Gateway sur une instance d'Horizon Connection Server.

Opérations disponibles

La gestion de Secure Gateway doit être exécutée directement sur l'instance d'Horizon Connection Server sur laquelle les services de passerelle sont installés. L'outil confirmera qu'une installation d'Horizon Connection Server est détectée avant de poursuivre.

Mode de ligne de commande (non interactif)

Horizon Advisor prend en charge l'exécution non interactive pour une utilisation dans des scripts ou des pipelines d'automatisation. Transmettez les paramètres directement à Start-HorizonAdvisor.ps1 à partir de la ligne de commande.

Syntaxe

.\Start-HorizonAdvisor.ps1 -Flow precheck -Validation <type> -TargetHorizonVersion <version> [options]

Paramètres

Exemples

Exécuter la validation du serveur :

.\Start-HorizonAdvisor.ps1 -Flow precheck -Validation server -TargetHorizonVersion '2503'

Exécuter la validation d'Active Directory

.\Start-HorizonAdvisor.ps1 -Flow precheck -Validation activedirectory -AdFqdn 'dc.corp.example.com' -TargetHorizonVersion '2503'

Exécuter la validation de vCenter :

.\Start-HorizonAdvisor.ps1 -Flow precheck -Validation vcenter -VCenterFqdn 'vcenter.corp.example.com' -VCenterVersion '8.0.2' -TargetHorizonVersion '2503'

Exécutez la validation LDAP : le mot de passe est demandé en toute sécurité au moment de l'exécution :

.\Start-HorizonAdvisor.ps1 -Flow precheck -Validation ldap -HorizonAdminUsername 'admin' -HorizonDomain 'corp'

Exécutez la validation LDAP et acceptez un certificat auto-signé sans y être invité :

.\Start-HorizonAdvisor.ps1 -Flow precheck -Validation ldap -HorizonAdminUsername 'admin' -HorizonDomain 'corp' -AcceptSelfSignedCertificate

Exécutez toutes les validations : le mot de passe est demandé en toute sécurité au moment de l'exécution :

.\Start-HorizonAdvisor.ps1 -Flow precheck -Validation all -AdFqdn 'dc.corp.example.com' -VCenterFqdn 'vcenter.corp.example.com' -VCenterVersion '8.0.2' -TargetHorizonVersion '2503' -HorizonAdminUsername 'admin' -HorizonDomain 'corp'

Gestion des mots de passe pour les exécutions automatisées/scriptées

Lors de l'exécution d'Horizon Advisor dans le cadre d'une tâche planifiée ou d'un pipeline d'automatisation pour lequel aucune invite interactive n'est possible, vous devez fournir le mot de passe à l'avance à l'aide du paramètre -HorizonAdminPassword en tant que PowerShell SecureString.

La manière dont vous provisionnez SecureString dépend des pratiques de sécurité de votre organisation, par exemple : à partir d'un gestionnaire de secrets, d'un coffre d'informations d'identification, d'un fichier chiffré ou de toute autre méthode. La seule condition requise est que la valeur transmise à -HorizonAdminPassword doit être une SecureString.

Exemple : transmission d'un SecureString pour une exécution automatisée :

# Obtain a SecureString by whatever method suits your environment
$securePassword = <your SecureString here>
.\Start-HorizonAdvisor.ps1 -Flow precheck -Validation ldap `
    -HorizonAdminUsername 'admin' -HorizonDomain 'corp' `
    -HorizonAdminPassword $securePassword

Obtention de l'aide

Pour afficher l'utilisation de la ligne de commande et des exemples directement depuis la console :

.\Start-HorizonAdvisor.ps1 -Help