Azure サブスクリプションの Microsoft Entra ID 参加マシンの管理を Horizon Cloud に許可する権限の適用

権限を指定するには、Horizon Cloud に使用される Azure サブスクリプションがリンクされている Microsoft Entra ID テナントに移動し、次の手順を実行します。

続行する前に、次の権限の説明を確認してください。

• Device.ReadWrite.All - この権限は、管理ユニットを選択せずに Entra ID に参加したプールを作成または編集する場合に必要です。これは、マシンのライフサイクル管理に必要です。これにより、プールまたは仮想マシンが破棄されたときに、Horizon Cloud が新しい仮想マシンを登録し、Entra ID からデバイス エントリをクリーンに削除できます。管理ユニットを選択してプールを作成または編集する場合は、この権限を microsoft.directory/devices/delete 権限の代わりに割り当てることもできます。

• AdministrativeUnit.ReadWrite.All - この権限は、管理ユニットを選択して Entra ID に参加したプールを作成または編集する場合に必要です。これは、特定の管理ユニット (AU) 内で Entra ID に参加したマシン アカウントを整理または制限する場合に必要です。

• RoleManagement.Read.Directory - この権限は、サービス プリンシパル ロールの割り当てを検証するために必要です。これにより、Horizon Cloud はディレクトリ ロールの割り当てを読み取り、必要な構成コンプライアンスを確認できます。

• Device.Read.All - この権限は、テナント内の既存のマシン オブジェクトのクエリと検証のために Horizon Control Plane によって使用されます。

• microsoft.directory/devices/delete - 管理ユニットを選択してプールを作成または編集する場合は、デバイス削除機能の範囲を特定の管理ユニットに限定するために、この権限を Device.ReadWrite.All 権限の代わりに割り当てることができます。この権限は、ディレクトリ レベルまたは管理ユニット レベルのいずれかの範囲を持つサービス プリンシパルに割り当てる必要があります。これにより、Microsoft Entra ID からデバイスを削除できるようになります。

  **注：**Horizon Cloud にディレクトリ全体にわたる完全な Device.ReadWrite.All 権限を付与したくない場合は、microsoft.directory/devices/delete を使用して特定の Azure Active Directory ディレクトリ レベルの権限を付与し、Horizon Cloud デスクトップが存在する特定の管理ユニット範囲のみにアクセスを制限することができます。

関連情報は、「Microsoft Azure Edge をデプロイするための要件チェックリスト」の「マシン ID の要件」セクションにあります。詳細については、Microsoft 製品ドキュメントの「Microsoft Graph 権限リファレンス」を参照してください。

手順

1. Microsoft Azure ポータルで、[Microsoft Entra ID] に移動します。

2. 左側のナビゲーション ペインで [管理] > [アプリケーション登録] を選択します。

3. 権限を変更するサービス プリンシパルを選択します。

4. [管理] > [API 権限] の順に選択します。

5. [権限の追加] をクリックします。

6. [Microsoft GRAPH] をクリックします。

7. [アプリケーション権限] をクリックします。

8. Device.ReadWrite.All、AdministrativeUnit.ReadWrite.All、RoleManagement.Read.Directory、Device.Read.All などの正確な権限を使用して検索します。

9. 表示される検索結果から必要な権限を選択します。

10. [権限の追加] をクリックします。