手動アプリケーション登録による Edge：Microsoft Azure サブスクリプションのサービス プリンシパルの作成

Horizon Cloud on Microsoft Azure のデプロイの場合、サービスは API 呼び出しを使用してリソースを Microsoft Azure サブスクリプションにデプロイし、それらのリソースを管理します。Microsoft Azure サブスクリプションで API 呼び出しを使用する機能を Horizon Cloud に提供するには、Microsoft Entra ID にアプリケーション登録と呼ばれるサービス プリンシパルを作成します。

**注：**この情報は、従来の手動エンタープライズ アプリケーション登録タイプ（シングル テナントとも呼ばれます）を使用して Horizon Edge を作成する場合のシナリオを対象にしています。このシナリオでは、Horizon Cloud で Horizon Edge for Microsoft Azure の追加とデプロイを開始する前に、ここで説明するようにサービス プリンシパルとサブスクリプション ID を作成する必要があります。ただし、Horizon Cloud で Omnissa が管理するエンタープライズ アプリケーション登録タイプ（マルチテナントとも呼ばれます）として Horizon Edge for Microsoft Azure を作成する場合、Omnissa はサービス プリンシパルを作成し、ユーザーは Edge 定義プロセスの一部としてサブスクリプション アクセスを割り当てます。マルチテナント方式を使用して Horizon Edge を作成する場合は、「エンタープライズ アプリケーション登録による Edge - ロールの準備」を参照してください。これら 2 つの方法の関連情報については、「Microsoft Azure Edge の追加およびデプロイ」の「手順」セクションを参照してください。

プロバイダのメイン サービス プリンシパルに加えて、プロバイダに対して 4 つの追加の一意のサービス プリンシパルを作成できます。合計 5,000 台の仮想マシンをサポートするには、4 つのサービス プリンシパルを追加します。複数のサービス プリンシパルがある場合、それらはサブスクリプション ID とディレクトリ ID を共有しますが、各サービス プリンシパルには独自のアプリケーション ID があります。

**重要：**各サービス プリンシパルに同じロールを使用します。

Horizon Cloud のために Microsoft Azure サブスクリプションのキャパシティにアクセスして使用するには、サービス プリンシパルを作成します。Microsoft Azure サブスクリプション ID、ディレクトリ ID、およびアプリケーション ID とキーは、Horizon Cloud で使用されます。

**注：**Microsoft Azure ポータルでこのセクションのタスクを実行します。構成の詳細については、Microsoft のドキュメントの「リソースにアクセスできる Azure Active Directory アプリケーションとサービス プリンシパルをポータルで作成する」を参照してください。Microsoft はサービス プリンシパルに証明書ベースの認証を使用することを推奨していますが、ここではサービス プリンシパルにキー/シークレット ベースの認証を要求します。

Horizon Cloud Service プリンシパルには、サブスクリプションに割り当てられたロールが必要です。通常、Horizon Cloud はサブスクリプションに組み込みの Contributor ロールを使用します。

Contributor ロールを使用するのは、Horizon Cloud がサブスクリプション内で実行する必要があるすべての API 呼び出しをカバーするためです。ロールの割り当ては直接割り当てである必要があります。ロールのグループベースの割り当ての使用（ロールがグループに割り当てられ、サービス プリンシパルがそのグループのメンバーとなる）は、サポートされていません。

組織がサブスクリプションで Contributor ロールの使用を避けたい場合は、Horizon Cloud は代わりにカスタム ロールの使用をサポートします。使用する場合、カスタム ロールは、Horizon Cloud が使用する必要がある特定の API 呼び出しを提供する必要があります。詳細については、「Horizon Cloud アプリケーション登録にカスタム ロールを使用する」を参照してください。

注：Microsoft Entra ID に参加しているプールまたは仮想マシンを削除する場合、サービス プリンシパルには Microsoft Entra ID からデバイス エントリを削除する権限が必要です。

権限は次のとおりです。

範囲：https://graph.microsoft.com/

権限：Device.ReadWrite.All Read and write devices

管理者の同意：Yes

権限を付与するには、次の場所に移動します。

[サブスクリプション] > [Azure Active Directory] > [アプリケーションの登録] > 権限を付与する必要があるアプリケーションを選択 > [API 権限] > [Microsoft GRAPH] を選択 > [Device.ReadWriteAll] を選択

次の手順では、Horizon Cloud 環境で使用する設定を示します。

手順

• サブスクリプションに最大 4 つのサービス プリンシパルとクライアント シークレットを構成します。

  1. クライアント シークレットの有効期間を、24 Months など適切な長さに設定します。

  2. 後で参照できるように、クライアント シークレットのコピーを保存します。

  3. 各サービス プリンシパルに適切なロールを割り当て、サービス プリンシパルがサブスクリプション内のリソースを管理できるようにします。

次の手順

必要なリソース プロバイダを登録します。「必要なリソース プロバイダが Microsoft Azure サブスクリプションに登録されていることの確認」を参照してください。