OpenShift での Horizon 8

概要

Horizon 8 はキャパシティ プロバイダとして Red Hat OpenShift Virtualization をサポートしているため、OpenShift クラスタで実行されている仮想マシンに Horizon デスクトップ プールと RDSH ファームをデプロイして管理することができます。

このリリースでは、次の機能が確認され、検証されています。

• Connection Server と OpenShift、UAG（ネイティブ OpenShift）、Edge（ネイティブ OpenShift）の連携。
• 指定したサーバ アドレスから自動的に検出された認証および API エンドポイントを使用した、OAuth ID/シークレットおよびリフレッシュ トークンベースの認証を含む OpenShift クラスタに対する認証。
• 以下で説明する証明書の処理を含む、キャパシティ プロバイダとしての OpenShift クラスタのオンボーディング。
• 自動化された非 GPU と GPU デスクトップ プール。永続的なワークロードと非永続的なワークロードの両方をサポートします。
  • GPU ベースのデスクトップ プールの場合、プールの仮想マシンで使用できるようにするには、親（ゴールド イメージ）仮想マシンで GPU プロファイルとライセンスを正しく設定する必要があります。NVIDIA GRID プロファイルは、GPU がゴールド イメージに追加されている場合にのみサポートされます。その後、プロファイルはプールのすべてのクローンに継承されます。プールの作成中に GPU プロファイルは変更できないため、プール作成ユーザー インターフェイスに GPU 関連のオプションはありません。
• 非ハードウェアベースの vTPM サポート。
• 専用 (1:1) およびプール (1:N) 自動デスクトップ プール。
• Windows Server OS 上のデスクトップおよび公開アプリケーションの RDSH ファームの自動プロビジョニング。

このリリースのスケール ターゲットは、最大 500 の単一セッション フローティング/非パーシステント VDI デスクトップと 500 のマルチセッション RDSH セッションです。

この制限付きで利用可能なリリースで使用可能な機能の詳細については、[KB 記事のリンク - TBD] を参照してください。

証明書の前提条件

OpenShift プロバイダを Horizon に登録する前に、次の証明書の前提条件を満たしていることを確認します。

• OpenShift OAuth URL に Horizon Server からアクセスできる（例：https://oauth-openshift.apps.<cluster-domain>）。
• OpenShift API サーバ URL に Horizon Server からアクセスできる（例：https://api.<cluster-domain>:6443）。
• OAuth エンドポイントに CA 署名付き証明書が構成されている。
• OAuth エンドポイントの発行 CA またはルート CA 証明書を使用できる。
• Windows Horizon Server への管理者アクセス権がある。
• OAuth サーバ：CA 署名付き証明書が必要です。発行 CA またはルート CA 証明書がまだ信頼されていない場合は、各 Horizon Connection Server にインポートする必要があります。
• API サーバ：現在のフローは、CA 署名付き証明書と自己署名証明書の両方を受け入れます。API サーバが自己署名証明書を使用している場合は、ユーザー インターフェイスを使用して受け入れることができます。

OpenShift OAuth CA 証明書の取得

次のいずれかの方法で OpenShift OAuth CA 証明書を取得できます。

オプション 1：ブラウザからエクスポートする

1. ブラウザで OpenShift OAuth URL を開きます。
2. 証明書チェーンを表示します。
3. 発行 CA 証明書またはルート CA 証明書を .cer ファイルとしてエクスポートします。

オプション 2：OpenShift Web コンソールから OAuth CA 証明書を取得する

1. OpenShift Web コンソールにログインします。
2. [Workloads] > [Secrets] の順に移動します。
3. openshift-ingress-operator 名前空間を選択します。
4. router-ca シークレットを開きます。
5. [Details] で tls.crt を見つけます。
6. [Reveal] オプションを使用して、証明書の内容を表示します。-----BEGIN CERTIFICATE----- 行と -----END CERTIFICATE----- 行を含む証明書の内容をコピーします。
7. インポートのために、コピーした証明書の内容を証明書ファイルとして Horizon Server に保存します。

CA 証明書を Windows トラスト ストアにインポートします。

OpenShift OAuth サーバ証明書が Horizon Server によってまだ信頼されていない場合は、次の手順を実行します。

1. 証明書ファイルを Horizon Server にコピーします。
2. Horizon Server で certlm.msc を実行して、コンピュータ証明書の管理アプリケーションを開きます。
3. ナビゲーション ツリーの [証明書 - ローカル コンピュータ] で、[信頼されたルート証明機関] を展開します。
4. 証明書を右クリックし、[すべてのタスク] > [インポート] を選択します。
5. [証明書のインポート] ウィザードで、プロンプトに従って証明書ファイルを検索して開きます。
6. [すべての証明書を次のストアに配置：信頼されたルート証明機関] を選択します。
7. ウィザードを完了し、証明書が正常にインポートされたことを確認します。
8. Omnissa Horizon Connection Server サービスを再起動します。

注：証明書は、現在のユーザー ストアではなく、ローカル コンピュータの信頼されたルート ストア (Cert:\LocalMachine\Root) に配置する必要があります。Windows 証明書のインポートは、主に OAuth サーバ証明書の信頼に必要です。API サーバが自己署名証明書を使用している場合は、登録時にユーザー インターフェイスを使用して直接受け入れることができます。

Horizon Console での信頼された証明書のインポート（推奨）

証明書を Windows 証明書ストアに手動でインポートする代わりに、[証明書の管理] の [信頼されたルート証明書] セクションを使用して、Horizon Console から直接 OpenShift OAuth 証明書をインポートできます。この方法は簡単で、Connection Server を再起動する必要がありません。前述の既存の手動による方法も引き続き使用できます。この機能は削除されていません。

前提条件

• OpenShift OAuth CA 証明書ファイルの準備ができている（前述の「OpenShift OAuth CA 証明書の取得」を参照）。
• 管理者ロールに証明書の管理権限が含まれている。この権限は、信頼できるルート証明書をインポートまたは削除するために必要です。この権限がロールにまだ含まれていない場合は、「Horizon Console でのカスタム ロールの追加」または「 Horizon Console でのカスタム ロールの権限の変更」を参照して、権限を追加します。

ステップ

1. Horizon Console にログインします。
2. [設定] > [証明書の管理] に移動します。
3. [信頼されたルート証明書] タブを選択します。
4. [インポート] をクリックします。
5. 取得した証明書ファイルを検索して選択します。必要に応じて、後で識別しやすいようにフレンドリ名を入力します。サポートされるファイル タイプは、.pem、.crt、.cer、および .der で、サイズは最大 250 KB です。
6. [インポート] をクリックして、アップロードを完了します。

注：証明書はインポート後すぐに信頼されます。Omnissa Horizon Connection Server サービスを再起動する必要はありません。

同じポッドに複数の Connection Server がある場合、このインポートは 1 回だけ実行する必要があります。証明書は、後で追加されたレプリカを含め、ポッド内の他のすべての Connection Server に自動的に適用されます。

インポートが完了したら、OpenShift をキャパシティ プロバイダとして登録できます。API サーバに CA 署名付き証明書がある場合、同じ [信頼されたルート証明書] タブを使用して、ここに事前にインポートできます。API サーバが自己署名証明書を使用している場合は、最初にここにインポートせずに、キャパシティ プロバイダの追加手順で直接受け入れることができます。

OpenShift の要件

• OpenShift Virtualization 4.19 以降がインストールされ、有効になっている。
• OpenShift のサポート マトリックスに基づくサポート対象のストレージ。
• KVM 対応のハードウェアを備えた適切なコンピューティング ノード。
• Horizon への API サーバ アクセス権を持つ OpenShift クラスタ。
• ネットワーク：Blast または PCoIP トラフィックに十分な帯域幅と待機時間がある Horizon ポッド ネットワーク。
• サービス アカウント ロール：管理者ロールがすべての統合要件を処理します。カスタム ロールの詳細については、「OpenShift での Horizon 8 - サービス アカウントの権限」を参照してください。

ゴールド イメージとゲスト OS の要件

• Windows 10/11 Enterprise（Horizon 8 互換性マトリックスでサポートされるバージョン）。
• OpenShift テンプレートから仮想マシンが作成された後にインストールされた Horizon Agent。
• ストレージ：VirtIO ドライバが必要です。
• ネットワーク：適切なドライバが必要です。
• OpenShift：ドライバ ISO（セットアップ中に要求されます）。
• ホストとゲスト OS 間の通信用の QEMU ゲスト エージェント（オプション）。
• vTPM：非パーシステントに設定します（OpenShift は、パーシステント vTPM のクローン作成をブロックします）。
• 起動タイプ：UEFI を非パーシステントに設定します（OpenShift は、パーシステント起動タイプのクローン作成をブロックします）。
• クローン作成メカニズム：ゴールド イメージのストレージ クラスに基づきます。ClonePrep と Sysprep の両方がサポートされます。
• ゴールド イメージで Windows Update を無効にします。

OpenShift での仮想マシンの作成

起動イメージのアップロード、仮想マシンの作成、OpenShift Virtualization でのゲスト OS のインストールの手順は Red Hat が所有および保守しており、Horizon のリリースとは関係なく変更される可能性があるため、Horizon ではこの手順について説明しません。これらの手順については、Red Hat の OpenShift Virtualization のドキュメントを参照してください。

• Web コンソールを使用した仮想マシンの作成 - OpenShift Web コンソールでテンプレートから仮想マシンを作成します。
• Windows 仮想マシンを含む、アップロードされたイメージからの仮想マシンの作成 - 起動イメージ（ISO、IMG、または QCOW2）をアップロードし、そこから仮想マシンを作成します（Windows 固有のアップロードとクローン作成の手順を含む）。

仮想マシンが作成され、ゲスト OS がインストールされたら、以下の Horizon 固有の手順に進みます。

次の記事