EnglishFrançaisDeutschEspañolItaliano日本語한국어NederlandsPortuguês (Brasil)中文 (简体)中文 (繁體, 台灣)
Skip to main content

2026 年 5 月 8 日

Workspace ONE Access を介した Microsoft Entra ID 参加済みデスクトップおよびアプリケーションへの SSO

Horizon 8 2512 以降では、Omnissa Workspace ONE Access を介してアクセスする場合、Entra ID にのみ参加し、手動でプロビジョニングされた（手動プールの）Azure 仮想マシンへのシングル サインオン (SSO) がサポートされます。

Active Directory ソースのエンド ユーザーは Omnissa Access を介して認証されます。仮想マシン内で認証情報を再入力せずに、手動でプロビジョニングされた（手動プールの）Horizon デスクトップを起動できます。この機能により、Entra ID 上に構築された環境へのアクセスが効率化され、オンプレミス組織は Azure ベースの Horizon リソースの提供をよりスムーズに行うことができます。

SSO は、ユーザーが Workspace ONE Access を介して認証する場合にのみサポートされます。

**注：**Azure ポータルを使用した Microsoft GA のロールアウトを待機中（暫定：2026 年 1 月末まで）。

セットアップと構成の要件

Entra ID 専用 Azure 仮想マシンへの SSO は、次の構成でサポートされます。

  • Horizon 8 Server​ バージョン 2512 以降
  • Entra ID に参加していて、エージェント バージョン 2512 以降を使用して手動デスクトップ プールに展開されている Azure ホスト型エージェント マシン
  • Active Directory をソースとし、Microsoft Entra Connect Sync を使用して Entra ID に同期されたエンド ユーザー
  • Workspace ONE Access（ホスト型）を介して認証されるエンド ユーザー
  • パスワード ハッシュ同期または AD FS への委任を使用して、Microsoft Entra ID を ID プロバイダとして使用するように構成された Workspace ONE Access（ホスト型）
  • Blast プロトコル
  • Horizon Windows Client バージョン 2512 以降

次の構成はサポートされません。

  • Workspace ONE Access を使用しない Windows クライアントの直接起動
  • その他のタイプのクライアント（Windows クライアントのみサポートされます。）
  • PCoIP プロトコル

Workspace ONE Access ホスト型

Entra ID を使用して Omnissa Identity Service を構成するためのドキュメントについては、「Omnissa Identity Service の有効化」を参照してください。

Microsoft Entra ID を使用して構成された Omnissa Identity Service

次の手順では、ユーザー認証に Microsoft Entra ID を使用するように Omnissa Identity Service を構成する方法について説明します。

  1. Workspace ONE Access 管理コンソールにログインします。
  2. [ID とアクセス管理] > [ID プロバイダ] の順に移動します。
  3. [ID プロバイダを追加] を選択し、[SAML 2.0]（またはガイド付きセットアップ用の [Microsoft Entra ID]）を選択します。
  4. ID プロバイダを構成します。
    • [名前] と [説明] を設定します。
    • Microsoft Entra ID フェデレーション メタデータをアップロードまたは参照します。
    • Microsoft Entra ID で指定された [シングル サインオン URL] と [シングル ログアウト URL] を入力します。
  5. 必要な認証属性（userPrincipalName や email など）のみを構成します。
  6. ID プロバイダを保存します。
  7. ID プロバイダを適切なアクセス ポリシーに割り当てます。
  8. Entra ID アカウントを使用して Workspace ONE Access ユーザー ポータルにログインし、認証を確認します。 ​

オンプレミスの SCIM 属性マッピング

次の手順では、Microsoft Entra ID で SCIM プロビジョニングを構成して、ユーザー、グループ、およびその他の属性を Omnissa Identity Service と同期する方法について説明します。

  1. Microsoft Entra ID でエンタープライズ アプリケーションに移動します。

  2. [管理] > [プロビジョニング] に移動します。

  3. [管理] > [属性マッピング] に移動します。

  4. 次のいずれかを開きます。

    • [Microsoft Entra ID ユーザーのプロビジョニング] または
    • [Microsoft Entra ID グループのプロビジョニング]

  5. URL を変更して、スキーマ エディタを有効にします。

    • 次のクエリ パラメータを追加します。
      Microsoft_AAD_Connect_Provisioning_forceSchemaEditorEnabled=true

    クエリ パラメータが URL フラグメント # の前に表示されていることを確認します。

    • 古い URL 形式：
      https://aad.portal.azure.com/#view/Microsoft_AAD_Connect_Provisioning/…

    • 新しい URL 形式：
      https://aad.portal.azure.com/?Microsoft_AAD_Connect_Provisioning_forceSchemaEditorEnabled=true#view/Microsoft_AAD_Connect_Provisioning/…

  6. 更新された URL に移動します。

  7. [詳細オプションの表示] > [サポートされている属性] > [Microsoft Entra ID の属性リストの編集] に移動します。
    [Microsoft Entra ID グループ属性] で、[名前] が以下に設定されている新しい行を追加します。

    • onPremisesDistinguishedName
    • onPremisesUserPrincipalName

    [保存] > [はい] をクリックします。

  1. 次に移動します：
    [詳細オプションの表示] > [サポートされている属性] > [<your registered app name> の属性リストの編集]
    次の新しい行を追加します。

    • urn:ietf:params:scim:schemas:extension:ws1b:2.0:User:onPremisesUserPrincipalName
    • urn:ietf:params:scim:schemas:extension:ws1b:2.0:User:distinguishedName
    • urn:ietf:params:scim:schemas:extension:ws1b:2.0:User:userPrincipalName
    • urn:ietf:params:scim:schemas:extension:ws1b:2.0:User:onPremisesSecurityIdentifier

    [保存] > [はい] をクリックします。

属性マッピング

新しく追加された属性を次のようにマッピングします。

SCIM 属性 Entra 属性
externalId objectId（WS1 の一般要件）
urn:ietf:params:scim:schemas:extension:ws1b:2.0:User:onPremisesUserPrincipalName onPremisesUserPrincipalName
urn:ietf:params:scim:schemas:extension:ws1b:2.0:User:distinguishedName onPremisesDistinguishedName
urn:ietf:params:scim:schemas:extension:ws1b:2.0:User:userPrincipalName userPrincipalName
urn:ietf:params:scim:schemas:extension:ws1b:2.0:User:onPremisesSecurityIdentifier onPremisesSecurityIdentifier

Horizon 8 Server

Connection Server ドメインの要件：

  • 各 Horizon Connection Server は、ユーザー ドメインを検索できるドメインに参加する必要があります。
  • ユーザーが別のドメインに存在する場合、ドメインの信頼を確立する必要があります。
  • Workspace ONE Access を介して認証されたすべてのドメインでユーザー検索が成功することを確認します。

Workspace ONE モードで構成された SAML 認証子

次の手順では、SAML を使用して認証を Workspace ONE Access に委任するように Horizon を構成する方法について説明します。

  1. Horizon Console にログインします。
  2. [設定] > [認証] > [SAML 2.0] の順に移動します。
  3. SAML 認証子を追加または編集します。
  4. 認証子モードを Workspace ONE に設定します。
  5. Workspace ONE Access URL を指定します。
  6. 構成を保存します。
  7. [設定] > [サーバ] > [Connection Server] の順に移動します。
  8. 各 Connection Server を編集し、SAML 認証を有効にします。
  9. 変更を保存します。

Horizon Windows エージェント

Horizon Windows Client

特別な構成は必要ありません。

AD FS

AD FS の設定手順の詳細については、Microsoft のドキュメントを参照してください。

Entra ID Connect Sync

Entra ID Connect Sync の設定方法については、Microsoft のドキュメントを参照してください。

Horizon Enterprise リソースおよびクライアント アプリケーションの Entra ID テナントの有効化

Horizon Enterprise リソースとクライアント アプリケーションを Entra ID テナントに追加し、管理者の同意を付与する必要があります。この手順は、Azure ポータルを介してリモート デスクトップ セキュリティを構成するための前提条件です。

この有効化プロセスでは、以下を実行します。

  • Entra ID テナント内の Horizon Enterprise および Horizon Enterprise Client アプリケーションのサービス プリンシパルを作成します。
  • Horizon Enterprise アプリケーションに対して管理者の同意を付与します。
  • Horizon Enterprise Client アプリケーションに対して管理者の同意を付与します。

アプリケーション ID

Horizon Enterprise アプリケーション ID は次のように定義されます。

  • Horizon Enterprise：7ca77652-da87-4868-b1f2-1e858d1653f1
  • Horizon Windows Client：507b8294-17f2-4e93-b950-32883747b3c5

Omnissa サポートは、この手順を自動化するための PowerShell スクリプトのサンプルを提供できます。​ ​

Azure ポータルを介したリモート デスクトップ セキュリティの構成

Microsoft の GA ロールアウト保留中（暫定：2026 年 1 月末まで）

次の手順では、Microsoft Entra 管理センターで Horizon Enterprise アプリケーションのリモート接続構成を設定する方法について説明します。

  1. Microsoft Entra 管理センターを開きます。
  2. [デバイス] に移動します。
  3. URL を変更してクエリ パラメータを追加し、リモート接続構成のプレビュー機能を有効にします。 feature.enableRccExperience=true

クエリ パラメータが URL フラグメント # の前に表示されていることを確認します。

  • 古い URL 形式：
    https://entra.microsoft.com/#view/Microsoft_AAD_Devices/DevicesMenuBlade/~/Overview/menuId/Overview

  • 新しい URL 形式：
    https://entra.microsoft.com/?feature.enableRccExperience=true#view/Microsoft_AAD_Devices/DevicesMenuBlade/~/Overview/menuId/Overview

  1. 更新された URL に移動します。
  2. Horizon Enterprise アプリケーションを選択します。
  3. [リモート デバイスに対してユーザーを認証するために Microsoft Entra ID 認証プロトコルを有効にする] トグルを有効にします。
  4. [SSO を有効にするターゲット デバイス グループ] オプションで、SSO を有効にするすべてのデバイスを含む動的デバイス グループを選択します。
  5. [ターゲット サーバ リソースに接続するクライアント アプリケーション] オプションで、[Horizon Enterprise Client] アプリケーションを選択します。

クライアント アプリケーションの承認

この構成では、Windows クライアント アプリケーションが SSO のためのリソース アプリケーションと通信することを明示的に承認し、安全で信頼できる通信を確保します。

信頼済みデバイス グループの有効化

この構成により、既知の/信頼されたデバイスに対して認証同意プロンプトが繰り返し表示されなくなり、ユーザー エクスペリエンスが向上し、摩擦が軽減されます。

このページは役に立ちましたか?

このトピックについてフィードバックを送信

このトピックは役に立ちましたか?

個人情報や機密情報は入力しないでください。

リンクを生成しています…