Horizon Cloud on OpenStack Edge をデプロイするための要件チェックリスト

このチェックリストの目的は、キャパシティ プロバイダとして OpenStack（ユーザー デプロイまたは Platform9 Private Cloud Director (PCD)）を使用し、Horizon Control Plane を使用して、Horizon Cloud on OpenStack Edge デプロイを作成するために必要な要素を通知することです。

**注：**Horizon Cloud on OpenStack は現在、制限付き可用性 (LA) モードでのみ使用できます。

このチェックリストは、テナント環境に Horizon Cloud on OpenStack をデプロイしたことがない Horizon Cloud 顧客アカウントを対象としています。このようなテナントは、クリーンスレート環境またはグリーンフィールド環境と呼ばれる場合があります。

Horizon Cloud をデプロイする前に、以降のいくつかの項目を実行する必要があります。一部の項目は、デプロイが完了して実行状態になるまで延期できます。

ポートとプロトコルの要件

デプロイと Horizon Cloud 環境の継続的な運用には特定のポートとプロトコルが必要です。詳細については、「Horizon Cloud on OpenStack Edge のポートとプロトコルの要件」を参照してください。

Microsoft Windows オペレーティング システムのライセンス

Horizon Cloud は、Horizon Cloud ワークフローで使用する Microsoft Windows オペレーティング システムに必要なゲスト OS ライセンスを提供していません。ユーザーは、Horizon Cloud 環境で使用するために選択した Windows ベースのデスクトップ仮想マシンおよび RDSH 仮想マシンの作成、ワークフロー実行、および操作を行う資格が付与される有効で適格な Microsoft ライセンスを所有していなければなりません。必要なライセンスは、使用目的によって異なります。

Unified Access Gateway の要件

Unified Access Gateway 仮想マシンのクラスタがプールに関連付けられているため、クライアントはそのプール内の仮想マシンへの信頼された Horizon Web Client 接続を確立できます。Horizon Universal Console を使用して Horizon Cloud に Unified Access Gateway を構成します。

Horizon Cloud on OpenStack の場合、FQDN に一致する PEM または PFX 形式の Omnissa Unified Access Gateway (UAG) の証明書が必要です。

Unified Access Gateway を使用して Horizon Cloud を構成するには、次の項目が必要です。関連するネットワーク情報については、『Horizon Cloud の使用と管理』の「Horizon Cloud on OpenStack Edge デプロイのネットワーク設定の構成」を参照してください。

ユーザー ID とマシン ID の要件

Horizon Cloud は、ID の処理方法が他の環境とは異なります。Horizon Cloud では、サービスはユーザー ID とマシン ID を区別し、クライアントとリモート デスクトップまたはアプリケーション間の安全な接続を確立するときに両方のタイプの ID に依存します。

**注：**第 1 世代の Horizon Cloud 環境や Horizon 8 オンプレミス環境など、単一の ID プロバイダを使用してユーザーとマシンの両方の ID を認証する環境に慣れている場合は、ユーザー ID とマシン ID の区別を行うのは初めてかもしれません。

Horizon Cloud では、ユーザー ID を認証するための ID プロバイダとマシン ID を認証するための ID プロバイダで構成される ID 構成を設定する必要があります。

ユーザー ID の要件

Horizon Cloud では、ユーザー ID プロバイダを登録する必要があります。サービスは、この ID プロバイダを使用して、リモート デスクトップおよびアプリケーションにアクセスしようとするクライアント ユーザーを認証します。

Horizon Cloud は外部 ID プロバイダに依存しており、現在、Microsoft Entra ID (Azure Active Directory) と Omnissa Workspace ONE Access をサポートしています。Horizon Cloud で構成した ID プロバイダは、ユーザーがデスクトップにアクセスするときに必要な認証を実行します。

Microsoft Entra ID または Workspace ONE Access の場合は、オンプレミスの Active Directory を外部 ID プロバイダに接続する必要があります。

選択した ID プロバイダの構成の詳細については、「ID プロバイダの設定」を参照してください。

マシン ID の要件

Horizon Cloud では、マシン ID プロバイダも登録する必要があります。サービスは、この ID プロバイダを使用して、リモート デスクトップとアプリケーションを提供する仮想マシンのマシン ID を確立します。

マシン ID プロバイダを介して、サービスはリモート デスクトップとリモート アプリケーションの仮想マシン ソースを、クライアント ユーザーがアクセスする資格が付与されている信頼できるネットワーク ドメインに参加させます。

以下の前提条件を満たす必要があります。

• オンプレミス Active Directory はサポートされており、マシン ID に必要です。VDI デスクトップはこの Active Directory ドメインに参加するため、デスクトップをデプロイするネットワークからドメイン コントローラにアクセスできる必要があります。

• プライマリおよび補助ドメイン参加アカウントを作成する必要があります。

• システムが Sysprep 操作を実行し、コンピュータをドメインに参加させるために使用できる Active Directory ドメイン参加アカウントが必要です。

• アカウント パスワードを「無期限」に設定します。

• アカウントには、次の Active Directory 権限が必要です：すべてのプロパティの読み取り、パスワードのリセット、コンピュータ オブジェクトの作成、コンピュータ オブジェクトの削除、およびすべてのプロパティの書き込み。

詳細については、このトピックの後半の Active Directory 表の行を参照してください。

API の最小要件

次の表に、各サービスに必要な API バージョンおよびマイクロバージョンの最小値と最大値を示します。マイクロバージョン制約のないサービスでは、指定された基本 API バージョンのみが必要です。API バージョンが一覧表示されていないサービスは登録されていますが、バージョンの詳細はまだ定義されていません。

サポートされている ID 構成

Horizon Cloud では、ユーザー ID プロバイダとマシン ID プロバイダで構成される ID 構成を登録する必要があります。機能は、構成に含まれる特定の ID プロバイダによって異なる場合があります。

Horizon Cloud は、次の ID 構成をサポートしています。

次のセクションでは、サポートされている各ユーザー ID プロバイダとマシン ID プロバイダの要件について説明します。

ユーザー ID の要件

以下の準備情報では、ID 構成で使用するユーザー ID プロバイダの要件について説明します。Horizon Cloud は、ユーザー ID のプロバイダとして Microsoft Entra ID と Workspace ONE Access をサポートします。

このセクションで説明する要件に加えて、機能の考慮事項と各ユーザー ID プロバイダとともに使用できるマシン ID プロバイダについては、「サポートされている ID 構成」を参照してください。Horizon Cloud が ID を管理する方法の概要については、「ユーザー ID とマシン ID について」を参照してください。

• Microsoft Entra ID

  ☐	Microsoft Entra ID Commercial または Microsoft Entra ID Government がユーザー ID プロバイダの場合、Microsoft Entra ID のグローバル管理者権限を持つユーザーは次の操作を行う必要があります。 要求された権限を承認する。 組織全体の同意書を提供する。

• Workspace ONE Access

  ☐	Workspace ONE Access Cloud または Workspace ONE Access On Premises がユーザー ID プロバイダの場合、管理者権限を持つユーザーは次の操作を行う必要があります。 ID プロバイダを統合します。 Horizon Cloud 統合に必要な前提条件を構成します。

• Omnissa Identity Service

  ☐	Omnissa Identity Service がユーザー ID プロバイダの場合、管理者権限を持つユーザーは次の操作を行う必要があります。 ID プロバイダを統合します。 Omnissa Identity Service で使用する Horizon Cloud を選択します。

マシン ID の要件

以下の準備情報では、ID 構成で使用するマシン ID プロバイダの要件について説明します。Horizon Cloud は、マシン ID のプロバイダとして Microsoft Entra ID と Active Directory をサポートします。

このセクションで説明する要件に加えて、機能の考慮事項と各マシン ID プロバイダとともに使用できるユーザー ID プロバイダについては、「サポートされている ID 構成」を参照してください。Horizon Cloud が ID を管理する方法の概要については、「ユーザー ID とマシン ID について」を参照してください。

• Active Directory

  ☐	Horizon Edge Gateway インスタンスとデスクトップ サブネットを認識できる Active Directory サーバ。次に例を示します。 VPN/ExpressRoute を介して接続されたオンプレミス Active Directory サーバ Microsoft Azure にある Active Directory サーバ
  ☐	LDAPS を使用して Active Directory に接続する場合は、Active Directory ドメインの PEM でエンコードされたルート CA 証明書と中間 CA 証明書を収集します。 Horizon Universal Console を使用して Active Directory ドメインを設定すると、その時点で、PEM エンコードされたルート CA 証明書と中間 CA 証明書をアップロードするように求められます。
  ☐	サポートされる Microsoft Windows Active Directory Domain Services (AD DS) のドメイン機能レベル。 Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 サポートされる Microsoft Windows Active Directory Domain Services (AD DS) の OS バージョン。 Windows Server 2022 Windows Server 2019 Windows Server 2016 Windows Server 2012 R
  ☐	ドメイン バインド アカウント sAMAccountName 属性を持つ Active Directory ドメイン バインド アカウント（読み取りアクセス権限を持つ標準ユーザー）。sAMAccountName 属性は 20 文字以下にする必要があります。また、次の文字を含めることはできません："/ \ [ ] : ; | = , + * ? < >。 アカウントは、以下の権限を持つ必要があります。 コンテンツの一覧表示 すべてのプロパティの読み取り アクセス許可の読み取り tokenGroupsGlobalAndUniversal の読み取り（[すべてのプロパティの読み取り] により暗黙に含まれる） また、アカウントのパスワードを [無期限] に設定して、Horizon Cloud 環境にログインするために引き続きアクセスできるようにします。 Horizon オンプレミス サービスに精通している場合、上記の権限は、Horizon オンプレミス サービスの 2 番目の認証情報アカウントに必要なセットと同じです。 ドメイン バインド アカウントには、Microsoft Active Directory デプロイで認証されたユーザーに通常付与される、デフォルトの特別な設定は不要の読み取りアクセス関連の権限が付与されています。ただし、組織の Active Directory 管理者が通常ユーザーの読み取りアクセス権に関連する権限をロックダウンすることを選択した場合は、それらの Active Directory 管理者に、Horizon Cloud に使用するドメイン バインド アカウントの認証済みユーザーの標準デフォルト設定を保持するように要求する必要があります。 参照：Active Directory ドメイン バインドおよびドメイン参加アカウントの作成
  ☐	補助ドメイン バインド アカウント メインのドメイン バインド アカウントとは別にする必要があります。ユーザー インターフェイスでは、両方のフィールドで同じアカウントを再利用することはできません。 sAMAccountName 属性を持つ Active Directory ドメイン バインド アカウント（読み取りアクセス権限を持つ標準ユーザー）。sAMAccountName 属性は 20 文字以下にする必要があります。また、次の文字を含めることはできません："/ \ [ ] : ; | = , + * ? < >。アカウントは、以下の権限を持つ必要があります。 コンテンツの一覧表示 すべてのプロパティの読み取り アクセス許可の読み取り tokenGroupsGlobalAndUniversal の読み取り（[すべてのプロパティの読み取り] により暗黙に含まれる） また、アカウントのパスワードを [無期限] に設定して、Horizon Cloud 環境にログインするために引き続きアクセスできるようにします。 Horizon オンプレミス サービスに精通している場合、上記の権限は、Horizon オンプレミス サービスの 2 番目の認証情報アカウントに必要なセットと同じです。 ドメイン バインド アカウントには、Microsoft Active Directory デプロイで認証されたユーザーに通常付与される、デフォルトの特別な設定は不要の読み取りアクセス関連の権限が付与されています。ただし、組織の Active Directory 管理者が通常ユーザーの読み取りアクセス権に関連する権限をロックダウンすることを選択した場合は、それらの Active Directory 管理者に、Horizon Cloud に使用するドメイン バインド アカウントの認証済みユーザーの標準デフォルト設定を保持するように要求する必要があります。
  ☐	ドメイン参加アカウント システムが Sysprep 操作を実行し、仮想コンピュータをドメインに参加させるために使用できる Active Directory ドメイン参加アカウント。通常は、この明確な目的のために作成する新しいアカウントです。（ドメイン参加ユーザー アカウント） このアカウントには、sAMAccountName 属性が必須です。sAMAccountName 属性は 20 文字以下にする必要があります。また、次の文字を含めることはできません："/ \ [ ] : ; | = , + * ? < >。 アカウントのユーザー名に空白を使用することは、現在サポートされていません。 Horizon Cloud が Sysprep 操作を実行し、仮想コンピュータをドメインに参加させる機能を継続的に利用できるようにするために、アカウントのパスワードを [無期限] に設定してください。 このアカウントには、コンピュータ OU、またはコンソールのドメイン参加ユーザー インターフェイスに入力する OU に適用される次の Active Directory 権限が必要です。 すべてのプロパティの読み取り：このオブジェクトのみ コンピュータ オブジェクトの作成：このオブジェクトとすべての子孫オブジェクト コンピュータ オブジェクトの削除：このオブジェクトとすべての子孫オブジェクト すべてのプロパティの書き込み：子孫コンピュータ オブジェクト パスワードのリセット：子孫コンピュータ オブジェクト プールに使用するターゲット組織単位 (OU) については、このアカウントには、そのターゲット組織単位 (OU) のすべての子孫オブジェクトに対する「すべてのプロパティの書き込み」という名前の Active Directory 権限も必要です。 ドメイン参加アカウントの作成と再利用の詳細については、「Active Directory ドメイン バインドおよびドメイン参加アカウントの作成」を参照してください。 Microsoft Active Directory では、新しい組織単位 (OU) を作成するときに、システムは、新しく作成された OU およびすべての子孫オブジェクトの [すべての子オブジェクトの削除] 権限に Deny を適用する Prevent Accidental Deletion 属性を自動的に設定する場合があります。その結果、ドメイン参加アカウントに [コンピュータ オブジェクトの削除] 権限を明示的に割り当てた場合、新しく作成された OU の場合、Active Directory は、明示的に割り当てられた [コンピュータ オブジェクトの削除] 権限に上書きを適用した可能性があります。[誤削除の防止] フラグをオフにしても、Active Directory が [すべての子オブジェクトの削除] 権限に適用した Deny が自動的にオフにならない場合があるため、新しく追加された OU の場合、Horizon Cloud Console でドメイン参加アカウントを使用する前に、OU およびすべての子 OU の [すべての子オブジェクトの削除] に対して設定した Deny 権限を確認して手動でクリアする必要がある場合があります。
  ☐	オプションの補助ドメイン参加アカウント システムが Sysprep 操作を実行し、仮想コンピュータをドメインに参加させるために使用できる Active Directory ドメイン参加アカウント。通常は、この明確な目的のために作成する新しいアカウントです（ドメイン参加ユーザー アカウント）。 このアカウントには、sAMAccountName 属性が必須です。sAMAccountName 属性は 20 文字以下にする必要があります。また、次の文字を含めることはできません："/ \ [ ] : ; | = , + * ? < >。 アカウントのユーザー名に空白を使用することは、現在サポートされていません。 Horizon Cloud が Sysprep 操作を実行し、仮想コンピュータをドメインに参加させる機能を継続的に利用できるようにするために、アカウントのパスワードを [無期限] に設定してください。 このアカウントには、コンピュータ OU、またはコンソールのドメイン参加ユーザー インターフェイスに入力する OU に適用される次の Active Directory 権限が必要です。 すべてのプロパティの読み取り：このオブジェクトのみ コンピュータ オブジェクトの作成：このオブジェクトとすべての子孫オブジェクト コンピュータ オブジェクトの削除：このオブジェクトとすべての子孫オブジェクト すべてのプロパティの書き込み：子孫コンピュータ オブジェクト パスワードのリセット：子孫コンピュータ オブジェクト プールに使用するターゲット組織単位 (OU) については、このアカウントには、そのターゲット組織単位 (OU) のすべての子孫オブジェクトに対する「すべてのプロパティの書き込み」という名前の Active Directory 権限も必要です。 Microsoft Active Directory では、新しい組織単位 (OU) を作成するときに、システムは、新しく作成された OU およびすべての子孫オブジェクトの [すべての子オブジェクトの削除] 権限に Deny を適用する Prevent Accidental Deletion 属性を自動的に設定する場合があります。その結果、ドメイン参加アカウントに [コンピュータ オブジェクトの削除] 権限を明示的に割り当てた場合、新しく作成された OU の場合、Active Directory は、明示的に割り当てられた [コンピュータ オブジェクトの削除] 権限に上書きを適用した可能性があります。[誤削除の防止] フラグをオフにしても、Active Directory が [すべての子オブジェクトの削除] 権限に適用した Deny が自動的にオフにならない場合があるため、新しく追加された OU の場合、Horizon Cloud Console でドメイン参加アカウントを使用する前に、OU およびすべての子 OU の [すべての子オブジェクトの削除] に対して設定した Deny 権限を確認して手動でクリアする必要がある場合があります。
  ☐	仮想デスクトップおよび RDS セッションベースのデスクトップまたは公開アプリケーション、またはその両方の Active Directory 組織単位 (OU)。 Microsoft Active Directory では、新しい組織単位 (OU) を作成するときに、システムは、新しく作成された OU およびすべての子孫オブジェクトの [すべての子オブジェクトの削除] 権限に Deny を適用する Prevent Accidental Deletion 属性を自動的に設定する場合があります。その結果、ドメイン参加アカウントに [コンピュータ オブジェクトの削除] 権限を明示的に割り当てた場合、新しく作成された OU の場合、Active Directory は、明示的に割り当てられた [コンピュータ オブジェクトの削除] 権限に上書きを適用した可能性があります。[誤削除の防止] フラグをオフにしても、Active Directory が [すべての子オブジェクトの削除] 権限に適用した Deny が自動的にオフにならない場合があるため、新しく追加された OU の場合、Horizon Cloud Console でドメイン参加アカウントを使用する前に、OU およびすべての子 OU の [すべての子オブジェクトの削除] に対して設定した Deny 権限を確認して手動でクリアする必要がある場合があります。

  ネットワークとロード バランシングの要件

  ネットワークとロード バランシングの要件については、『Horizon Cloud の使用と管理』の「Horizon Cloud on OpenStack Edge デプロイのネットワーク設定の構成」を参照してください。