Entra ID SSO の SSO 構成の追加

Microsoft Azure プロバイダ タイプで Horizon Cloud を使用する場合、Azure によってプロビジョニングされたデスクトップ仮想マシンは、Entra ID に参加したデスクトップのシングル サインオンをサポートします。

この機能は、Windows Horizon Client のリモート デスクトップおよびアプリケーションへのシングル サインオン (SSO) をサポートします。

**注：**この機能は、Mac、Linux、または Web クライアントではサポートされていません。また、Workspace One Access との連携もサポートされていません。

関連情報については、「Microsoft Azure Edge をデプロイするための要件チェックリスト」を参照してください。

前提条件

本項の執筆時点では、Azure がプロビジョニングされた参加済みデスクトップ仮想マシンに Entra ID SSO を構成するための前提条件は次のとおりです。時間が経過しても現在の精度を確保するには、「Horizon Cloud リリース ノート」と Omnissa の相互運用性マトリックスを参照して更新がないか確認してください。

• Omnissa Horizon Client バージョン 2512 以降（Windows クライアント）。
• クライアントのホスト OS は、以下の最小バージョン以上である必要があります。
• Windows 11 24H2 Enterprise の単一セッション（2025 年 10 月以降のセキュリティ累積アップデートをインストール済み）。
• Windows Server 2025（2026 年 1 月以降のセキュリティ累積アップデートをインストール済み）。
• Omnissa Horizon Agent バージョン 25.4.0 以降。
• HCS 管理ポータルからの IDP 登録。
• テナントごとの Entra ID の構成。
• マシン ID Microsoft Entra ID を使用してプロビジョニングされたプール。
• SSO が有効なプール グループ。
• Microsoft Entra ID P1 ライセンス。このライセンスは、シームレス SSO 用の信頼済みデバイス グループを作成および構成するために必要です。この要件が満たされない場合は、初回の起動中に 1 回限り同意を求めるプロンプトが表示されます。
• プロバイダ タイプが Microsoft Entra ID の IDP を登録します。IDP 統合プロセスにより、テナントで Omnissa リソース アプリケーション プリンシパル登録が確実に行われます。

PowerShell スクリプトの実行

Omnissa サポートは、この手順を自動化するための PowerShell スクリプトを提供できます。関連する情報については、「Workspace ONE Access を介した Microsoft Entra ID 参加済みデスクトップおよびアプリケーションへの SSO」を参照してください。

PostScript ファイルの要素は次のとおりです。

• グラフ アクセス トークンの構成：次の権限を有効にしてアプリケーション プリンシパルを使用してアクセス トークンを生成します。

  • Application-RemoteDesktopConfig.ReadWrite.All
  • Application.Read.All

  ./EntraID-ConfigureSSO.ps1 -Action getGraphAccessToken -TenantId "<AZURE_TENANT_ID>" -ClientId "<AZURE_APP_CLIENT_ID>" -ClientSecret "<AZURE_APP_CLIENT_SECRET>"

• SSO の確認：リソース アプリケーションとクライアント アプリケーションの現在の SSO 構成ステータスを確認します。必要に応じて、信頼済みデバイス グループの構成を確認します

  .\EntraID-ConfigureSSO.ps1 -Action checkSso -Token $env:token [-TrustedDeviceGroupObjectId <DEVICE_SECURITY_GROUP_OBJECT_ID>]

• SSO の構成：リソース アプリケーションとクライアント アプリケーションの SSO を構成します。必要に応じて、信頼済みデバイス グループを構成します。

  .\EntraID-ConfigureSSO.ps1 -Action configureSso -Token $env:token [-TrustedDeviceGroupObjectId <DEVICE_SECURITY_GROUP_OBJECT_ID>]

• サービス プリンシパルの削除：クリーンアップが必要な場合に、以前に登録したアプリケーションを削除するオプションの手順です。

  .\EntraID-ConfigureSSO.ps1 -Action removeServicePrincipal -AppId <RESOURCE_OR_CLIENT_APP_ID>

リソースに対する管理者の同意の付与

PowerShell コマンドを実行したら、Azure ポータルを開き、次のようにリソース アプリケーションに対する管理者の同意を手動で付与します。

1. Azure ポータルで、[Azure Active Directory] > [エンタープライズ アプリケーション] の順にクリックします。
2. クライアント リソース アプリケーションの Horizon Cloud Service クライアントを検索して見つけます。
3. [権限] タブで [管理者の同意を許可] をクリックします。

既知の考慮事項

• Entra SSO は、デバイスで Entra ID が完全に参加した後に機能します。場合によっては、プール仮想マシンがプロビジョニング済みとして表示され、使用可能として報告された後でも、このプロセスに数秒かかる場合があります。このようなシナリオでは、エンドユーザーに認証情報の入力が求められる場合があります。

• 信頼済みデバイス グループを使用した SSO 構成の場合、MSFT 動的グループの処理には数分かかる場合があります。このような場合、デバイス メンバーシップの更新が完了する前にデスクトップまたはアプリケーションにアクセスすると、エンドユーザーに 1 回限り同意を求めるプロンプトが表示されることがあります。