制限付き提供：Horizon Agent、Horizon Console、権限、機能の構成

Horizon Agent for macOS の構成

インストール後、Horizon Agent の構成を変更します。

Horizon Agent 構成ファイル

Horizon Agent for macOS は、構成を次の場所に保存します。

/private/etc/omnissa/horizonagent-config.txt

このファイルを編集してエージェントの設定を調整します。変更を行ったら、Horizon Agent サービスを再起動して変更を有効にします。

Horizon Agent サービスの再起動

Horizon Agent サービスを再起動するには：

sudo launchctl stop com.omnissa.horizon.coreagent
sudo launchctl start com.omnissa.horizon.coreagent

エージェント サービスの現在のステータスを確認するには：

sudo launchctl list | grep omnissa

Blast の構成

Horizon Agent for macOS は、Horizon Blast Extreme のみを使用します。PCoIP はサポートされていません。

注： グループ ポリシーは Windows 専用のメカニズムです。macOS には適用されません。Mac Agent マシンでは、Horizon Agent グループ ポリシー設定を使用して Blast プロトコルを設定しないでください。

コーデックの設定、エンコーダの動作、フレーム レート、帯域幅など、macOS の Blast プロトコル設定は Horizon Agent 構成ファイルで行います。Horizon Agent for macOS に使用される Blast 構成エントリは、Horizon Agent for Linux で使用されるエントリと同じです。さまざまなネットワーク タイプに合わせて調整された Blast 構成オプションと値の例については、「Linux デスクトップの Blast 設定の例」を参照してください。

ディスプレイの構成

Horizon Agent for macOS は、最大 2 台のモニターをサポートします。Horizon Client と Horizon Agent は、セッションの確立中にディスプレイの解像度とマルチモニターの動作についてネゴシエートします。標準のマルチモニター操作の場合、エージェント側で追加の設定を行う必要はありません。

Horizon Agent に対する macOS のプライバシーとセキュリティ権限の構成

macOS では、Horizon Agent がリモート セッション機能で必要とするプライバシーとセキュリティ権限に対して、ユーザーまたは管理者の明示的な承認が必要です。

Mac Agent マシンで、次のプライバシーとセキュリティ権限を構成する必要があります。各権限は、対応する Horizon Agent アプリケーションに付与する必要があります。

管理外デバイスに対する権限の手動承認

MDM ソリューションに登録されていないマシンでは、macOS ユーザーは各権限を手動で承認する必要があります。

1. [システム設定] > [プライバシーとセキュリティ] を開きます。
2. 上の表の各権限カテゴリについて、Omnissa Horizon Agent のエントリを見つけて、トグルを有効にします。
3. プロンプトが表示されたら、[終了して再度開く] をクリックして、エージェント プロセスを再起動します。
4. この手順を権限ごとに繰り返します。

注： これらの権限がないと、Horizon Agent は機能しません。権限が事前に構成されていない場合、ユーザーは最初の Horizon ログイン セッションで権限の承認を求められます。

Workspace ONE UEM、Jamf、または Microsoft Intune に登録している本番環境では、ユーザーが接続する前に、管理者は MDM プロファイルを使用して必要なすべての権限を事前構成し、プッシュすることができます。このアプローチにより、ユーザーがプロンプトに応答して手動で承認する必要がなくなります。構成手順については、「MDM を使用した macOS 権限の管理」を参照してください。

Horizon Console での macOS マシンの構成

macOS 物理マシンを Horizon Console に追加し、手動デスクトップ プールを割り当ててからエンドユーザーに公開します。

macOS 物理マシンの追加

1. Horizon Console で、[設定] > [登録済みのマシン] > [その他] の順に移動し、登録済みの macOS マシンを表示します。
2. 同じ情報は、[インベントリ] > [マシン] > [その他] でも確認できます。
3. 登録後のマシンが予期したステータスになっていることを確認します。

手動デスクトップ プールの作成

Horizon Agent for macOS では、手動デスクトップ プールが必要です。自動およびインスタント クローン プールはサポートされていません。

1. Horizon Console で、[インベントリ] > [デスクトップ] の順に移動します。

2. [追加] をクリックします。

3. [手動デスクトップ プール] を選択します。

4. マシンのソースとして [その他] を選択します。

5. プールの設定を行います。たとえば、リモート表示プロトコルに Horizon Blast を選択します。

6. ブローカに登録されている macOS マシンを選択します。

   **注：**macOS デスクトップでは PCoIP はサポートされていません。PCoIP を使用して接続すると失敗します。

7. プールの作成ウィザードを完了します。

ユーザーおよびグループへの資格の付与

1. Horizon Console で、作成したデスクトップ プールに移動します。
2. [資格] > [資格を付与] の順にクリックします。
3. macOS デスクトップへのアクセスを許可する Active Directory ユーザーまたはグループを追加します。

**注：**macOS デスクトップでは SSO はサポートされていません。資格が付与された Active Directory ユーザーが接続した後、ターゲット マシンのローカル アカウントの認証情報を使用して、macOS セッションでそのユーザーの認証を行う必要があります。

MDM を使用した macOS 権限の管理

Horizon Agent for macOS が機能するには、いくつかの macOS のプライバシーおよびセキュリティ権限が必要です。Omnissa では、本番環境でユーザーが手動で承認する必要がないように、モバイル デバイス管理 (MDM) を使用してこれらの権限を展開することを推奨しています。

Workspace ONE UEM は、Omnissa Horizon 環境に推奨される MDM プラットフォームです。Jamf Pro と Microsoft Intune では、必要なプライバシー環境設定ポリシー制御 (PPPC) プロファイルを展開することもできます。

必要な権限の概要

Horizon Agent プロセスに次の権限を付与します。

アクセス設定

[アクセス] の値は、すべての権限で「Allow」にできません。以下を使用します。

注： Apple は、スクリーン キャプチャとイベントのリッスンに対するサイレント許可をブロックします。初回使用時にプロンプトが表示されるようにするには、これらの権限を「標準ユーザーにシステム サービスの設定のみを許可する」に設定する必要があります。

Workspace ONE UEM を使用した必要な権限の展開

手順

1. Workspace ONE UEM Console にログインします。

2. [リソース] > [プロファイルとベースライン] > [プロファイル] の順に選択します。

3. [追加] > [プロファイルを追加] > [macOS] をクリックします。

4. デバイス プロファイル を選択します。

5. [全般] ペイロードで、プロファイル名を入力します（例：Horizon Agent Privacy）。

6. プライバシー環境設定ポリシー制御 (PPPC) ペイロードを追加します。

7. 上記の表の正しいバンドル ID を使用して、各権限のアプリケーション エントリを追加します。

   • [ID] には、権限に対応するバンドル ID を入力します。アクセシビリティと入力監視の場合は com.omnissa.horizon.blastworker、画面とシステム オーディオの記録場合は com.omnissa.horizon.agent、入力監視の場合は com.omnissa.horizon.jre です。

   • [ID タイプ] で [bundleID] を選択します。

   • [コード要件] には、対応する Horizon Agent バイナリのコード署名要件を入力します。この値を取得するには、Horizon Agent がすでにインストールされている参照マシンの各バイナリに対して codesign コマンドを実行します。「コード署名要件の取得」を参照してください。

   • [サービス] には、適切なサービス（ScreenCapture、Accessibility、または ListenEvent）を選択します。

   • [アクセス] には、上記の「アクセス設定」表に従って値を設定します。[アクセシビリティ] で [許可] を選択します。スクリーン キャプチャとイベントのリッスンには [標準ユーザーにシステム サービスの設定のみを許可する] を選択します。

8. 登録済みの macOS マシンを含むデバイス スマート グループにプロファイルを割り当てます。

9. プロファイルを公開します。

プロファイルの展開後、ユーザーは Horizon Client から VDI セッションを開始します。初回起動時のみ、macOS はユーザーに次の権限の承認を求めます。

• BlastWorker (入力監視)
• HorizonJRE (入力監視)
• CaptureAgent (画面とシステム オーディオの記録)

ユーザーは、各プロンプトで [許可] をクリックします。システム設定では、これ以上の操作は必要ありません。macOS では、エージェントが各権限を初めて要求したときに、これらのプロンプトが自動的に表示されます。

コード署名要件の取得

codesignコマンドは、トップレベルの .app ではなく、個々のバイナリに対して実行する必要があります。

codesign --display -r - /path/to/BlastWorker
codesign --display -r - /path/to/CaptureAgent
codesign --display -r - /path/to/HorizonJRE

Jamf Pro を使用した展開

Jamf Pro は、プライバシー環境設定ポリシー制御ペイロードを介して PPPC プロファイルを展開します。上記と同じ構成フィールド、バンドル ID の値、アクセス設定を使用します。構成プロファイルを作成および展開する特定の手順については、Jamf Pro のドキュメントを参照してください。

Microsoft Intune を使用した展開

Microsoft Intune は、プロパティ リスト (plist) ペイロードを使用して、カスタム構成プロファイルを macOS デバイスに展開できます。com.apple.TCC.configuration-profile-policy ペイロード キーを使用して、プライバシー環境設定を構成します。具体的な手順については、Microsoft Intune のドキュメントを参照してください。

構成の検証

MDM プロファイルを展開した後、構成を検証します。

1. テスト用の macOS マシンを MDM ソリューションに登録します。
2. PPPC プロファイルを適用します。
3. macOS デスクトップとの Horizon Client セッションを開きます。
4. 以下を確認します。
   • リモート セッションは、「画面記録」の許可を求めることなく表示されます。
   • キーボードとマウスの入力は、アクセシビリティ権限のプロンプトが表示されなくても機能します。
   • ログアウトして再度ログインした後も、権限は維持されます。
5. 展開の記録として、UEM 管理対象マシンと管理対象外マシンの予期される動作をドキュメントに記録します。

macOS での Horizon 機能の使用

クリップボード リダイレクト

クリップボード リダイレクトは、ローカル デバイスとリモート デスクトップ セッション間でのデータのコピー アンド ペーストをユーザーに許可する機能です。

エージェント側の構成

クリップボード リダイレクトの設定は、Horizon Agent 構成ファイルから読み取られます。エージェントは以下の場所を優先度順に検索し、最初に見つかった値を適用します。

1. /Users/<user>/Library/Preferences/Omnissa Horizon Agent/config
2. /Users/<user>/.omnissa/config
3. /usr/lib/omnissa/config
4. /etc/omnissa/config

各構成項目は、次の形式で別々の行に指定します。

Identifier.SettingName=Value

サポートされるクリップボード設定

• Clipboard.Direction

  クライアントと Horizon Agent 間で許可されるクリップボード リダイレクトの方向を制御します。
  
  例：
  
  ```
  Clipboard.Direction=1
  ```
  
  | 値 | 説明 |
  |---|---|
  | 0 | 無効（クリップボード リダイレクトを無効にします）
  | 1 | 双方向（クライアント ↔ エージェント）
  | 2 | クライアントからエージェントの方向のみ（デフォルト）
  | 3 | エージェントからクライアントの方向のみ |
  

• mksvchan.clipboardSize

  クリップボード リダイレクトで転送可能なクリップボード ペイロードの最大サイズを定義します。
  
  例：
  
  ```
  mksvchan.clipboardSize=4096
  ```
  
  この例では、最大 4,096 KB (4 MB) のクリップボード転送を許可します。
  

オーディオ リダイレクト

Horizon Agent for macOS は、リモート セッションでのオーディオ出力（スピーカーとヘッドフォン）のリダイレクトのみをサポートしています。

マルチモニター サポート

Horizon Agent for macOS は、最大 2 台のモニターを同時にサポートします。Horizon Client と Horizon Agent は、セッション開始時にモニター レイアウトをネゴシエートします。標準のマルチモニター操作の場合、エージェント側で追加の設定を行う必要はありません。