2026 年 9 月 2 日

Microsoft Azure Edge をデプロイするための要件チェックリスト

このチェックリストの目的は、Horizon Control Plane を使用してネイティブの Microsoft Azure デプロイを実行するために必要な要素をユーザーに通知することです。

**注：**Horizon Cloud on Microsoft Azure デプロイは、ネイティブの Microsoft Azure インフラストラクチャを指します。

チェックリストの目的

このチェックリストは、テナント環境に Horizon Cloud on Microsoft Azure をデプロイしたことがない Horizon Cloud 顧客アカウントを対象としています。このようなテナントは、クリーンスレート環境またはグリーンフィールド環境と呼ばれる場合があります。

Horizon Cloud をデプロイする前に、以降のいくつかの項目を実行する必要があります。一部の項目は、デプロイが完了して実行状態になるまで延期できます。

Microsoft Azure サブスクリプションの要件

構成の制限については、「Horizon Cloud デプロイのサイジング」を参照してください。これには、構成の上限ツールの使用に関する情報が含まれています。「構成の上限」ページから、[制限の表示]、[Horizon Cloud]、最新バージョン、および表示するカテゴリを選択します。

☐	サポートされている Microsoft Azure 環境で有効な Microsoft Azure サブスクリプション。Horizon Edge Gateway および Unified Access Gateway インスタンスを含む Horizon Edge アプライアンスを独自の専用プロバイダ（Microsoft Azure サブスクリプション）にデプロイする場合は、プールをデプロイするために別の有効な Microsoft Azure サブスクリプションを取得します。注：Horizon Cloud は、ほとんどの Microsoft Azure リージョンをサポートします。
☐	Microsoft Azure ポータルを使用して、Microsoft Azure Edge デプロイの準備手順を実行するための各 Microsoft Azure サブスクリプションで有効な Microsoft Azure 管理者権限。
☐	Edge デプロイリソースの作成を妨げる Azure ポリシーまたはリソースロックが設定されていないことを確認します。たとえば、Azure プライベートリンク接続を選択した場合に作成されるポリシーまたはリソースロックによって、プライベートエンドポイントの作成がブロックされるような場合です。
☐	Microsoft Azure サブスクリプション ID とディレクトリ ID をメモします。 Horizon Cloud で Omnissa が管理するエンタープライズアプリケーション登録タイプ（マルチテナントとも呼ばれます）を使用して Horizon Edge を作成する場合は、「エンタープライズアプリケーション登録による Edge：Microsoft Azure サブスクリプションの将来のサービスプリンシパルロールの計画」を参照してください。この方法では、ユーザーの組織が当社の同意リンクを承認すると、Omnissa がユーザーのテナント上にサービスプリンシパルを作成し、アプリケーション ID とプライベートキーは Omnissa がユーザーの組織に代わって所有および管理します。これは推奨される方法です。 Horizon Cloud で手動エンタープライズアプリケーション登録タイプ（従来のシングルテナントとも呼ばれます）を使用して Horizon Edge を作成する場合は、「手動アプリケーション登録による Edge：Microsoft Azure サブスクリプションのサービスプリンシパルの作成」を参照してください。この方法では、Horizon Edge を定義する前にサービスプリンシパルを作成します。サービスプリンシパルにカスタムロールを使用するには、「Horizon Cloud アプリケーション登録にカスタムロールを使用する」を参照してください。注：必要に応じて、追加のサービスプリンシパルを作成できます。複数のサービスプリンシパルがある場合、それらは同じディレクトリ ID を共有しますが、各サービスプリンシパルには独自のアプリケーション ID があります。各サービスプリンシパルに同じロールを使用します。
☐	デプロイする Microsoft Azure Edge 形式のタイプを決定します。次のオプションを使用できます。 Edge Gateway (VM) = Edge Gateway 仮想マシン Edge Gateway (VM) は、高可用性を使用しない小規模なデプロイ向けです。 Edge Gateway (AKS) = Edge Gateway Azure Kubernetes サービス Edge Gateway (AKS) は高可用性を提供します。
☐	Edge Gateway (AKS) をデプロイするには、Microsoft Azure ユーザー管理 ID を作成します。 AKS クラスタを使用する Horizon Edge には、管理 VNet のリソースグループスコープでのネットワークコントリビュータロール、および Microsoft Azure サブスクリプションスコープでの管理対象 ID オペレータロールを持つユーザー管理 ID が必要です。ユーザー割り当ての管理対象 ID の管理に関する Microsoft のドキュメントを参照してください。管理サブネットにルートテーブルがあり、そのルートテーブルのリソースグループが VNet のリソースグループと異なる場合は、ネットワークコントリビュータロールもルートテーブルのリソースグループに割り当てる必要があります。
☐	Microsoft Azure サブスクリプションに必要なリソースプロバイダを登録します。「必要なリソースプロバイダが Microsoft Azure サブスクリプションに登録されていることの確認」を参照してください。
☐	サブスクリプション内の Azure Compute Gallery に読み取り権限を付与するカスタムロールを作成し、そのカスタムロールを特定の Horizon Edge 用に構成されたすべてのサービスプリンシパルに割り当てます。
☐	Azure サブスクリプションで、デプロイ中に特定のタグを適用するためにリソースグループが必要な場合は、Microsoft Azure Edge のデプロイ中に提供できる Azure リソースタグのリストを用意します。
☐	Edge Gateway (AKS) デプロイに暗号化を使用する場合は、Microsoft Azure サブスクリプションで暗号化を有効にします。サブスクリプションレベルで `EncryptionAtHostSupported` 機能を有効にすると、ディスク暗号化が適用されます。 Azure サブスクリプションでこの機能を有効にするには、「Azure portal を使用して、ホストでの暗号化を使用した End-to-End の暗号化を有効にする」の「前提条件」セクションの手順に従います。

Microsoft Azure のキャパシティの要件

次の表で Microsoft Azure のキャパシティを参照している場合、手動インストールは必要ありません。指定されたキャパシティがサブスクリプションで使用可能である限り、デプロイヤは説明された仮想マシンを自動的にインスタンス化します。

☐

Microsoft Azure のキャパシティの要件。

Azure サブスクリプションには、デプロイされる Horizon Edge のコアリソースのための十分なキャパシティが必要です。

キャパシティ要件は、デプロイする Edge の形式（Edge Gateway (AKS) または Edge Gateway (VM)）によって異なります。

Edge Gateway (AKS) – Edge Gateway (AKS) のデプロイでは、Azure Kubernetes Service (AKS) クラスタを使用します。サブスクリプションには、サポートされている仮想マシンサイズの 5 台のノード（通常のクラスタ操作用の 4 台のノード、およびアップグレード時にのみ使用される 1 台の追加の一時ノード）の割り当てが必要です。

Horizon Cloud は、以下にリストされているサポート対象の SKU ファミリから、使用可能な最適な仮想マシンサイズを自動的に選択します。各 SKU パターンのすべての新しいバージョンが自動的に考慮されます。選択は、次の優先順位に従います。

1. AMD SKU は、コスト最適化のために Intel SKU よりも優先されます。
2. 新しい SKU バージョンは、古いバージョンよりも優先されます。
3. プレミアム I/O をサポートする SKU は、サポートしない SKU よりも優先されます。
```
 サポートされている少なくとも 1 つの仮想マシン サイズにサブスクリプションとリージョンで使用可能な割り当てがあり、使用制限がない場合、Edge Gateway (AKS) のデプロイが受け入れられます。サポートされている仮想マシン サイズにこれらの基準を満たすものがない場合、デプロイは拒否されます。 
 
 サポートされている SKU ごとに、2 つの vCPU と 8 GB のメモリが提供されます。 

 サポートされている SKU パターンは次のとおりです。
 <ul> 	 
 <li>Standard_D2ads_v[version]
	 </li>
 <li>Standard_D2as_v[version]
	 </li>
	 <li>Standard_D2ds_v[version]
	 </li>
	 <li>Standard_D2d_v[version]
	 </li> 
	 <li>Standard_D2a_v[version]
	 </li>
	 <li>Standard_D2s_v[version]
 	 </li> 
 </ul>

</li>
```
Edge Gateway (VM) – Edge Gateway (VM) のデプロイでは、単一の仮想マシンを使用します。サブスクリプションには、サポートされている仮想マシンサイズの 1 台の仮想マシンの割り当てが必要です。

Horizon Cloud は、以下にリストされているサポート対象の SKU ファミリから、使用可能な最適な仮想マシンサイズを自動的に選択します。各 SKU パターンのすべての新しいバージョンが自動的に考慮されます。選択は、次の優先順位に従います。

1. AMD SKU は、コスト最適化のために Intel SKU よりも優先されます。
2. 新しい SKU バージョンは、古いバージョンよりも優先されます。
3. プレミアム I/O をサポートする SKU は、サポートしない SKU よりも優先されます。
```
 サポートされている少なくとも 1 つの仮想マシン サイズにサブスクリプションとリージョンで使用可能な割り当てがあり、使用制限がない場合、Edge Gateway (VM) のデプロイが受け入れられます。サポートされている仮想マシン サイズにこれらの基準を満たすものがない場合、デプロイは拒否されます。 
 
 サポートされている SKU ごとに、4 つの vCPU と 16 GB のメモリが提供されます。 

 サポートされている SKU パターンは次のとおりです。
 <ul> 	 
 <li>Standard_D4as_v[version]
	 </li>
 <li>Standard_D4a_v[version]
	 </li>
	 <li>Standard_D4s_v[version]
	 </li>
	 <li>Standard_D4_v[version]
	 </li> 
 </ul>

</li>
```
コマンドを実行して、Microsoft Azure 仮想マシンモデルの可用性を確認し、リージョン CPU 出力を確認します。「Microsoft Azure 仮想マシンモデルの可用性の確認」を参照してください。

Unified Access Gateway インスタンス – 次のサポートされるサイズの 2 倍以上。デフォルトおよび推奨サイズは Standard_F8s_v2 です。
- Standard_A4_v2
- Standard_D8s_v4
- Standard_D16s_v4
- Standard_F8s_v2
- Standard_F16s_v2
注：A4_v2 仮想マシンモデルが十分に機能するのは、Horizon Edge でのアクティブなセッション数が 1,000 を超えないことが分かっている PoC（事前検証）環境、パイロット環境、または小規模な環境のみとなります。

Horizon Edge インスタンスを使用する準備ができたら、Microsoft Azure クラウドのキャパシティは、インポートされた仮想マシン、イメージ、プール仮想マシン、およびその Horizon Edge インスタンスで作成する App Volumes アプリキャプチャ仮想マシンにも対応する必要があります。「イメージ管理システムの要件」セクションを参照してください。

ネットワーク要件

次のネットワーク要件には、Horizon Edge を正常にデプロイして運用するために必要な詳細が含まれます。

次の 2 つの表は似ていますが、異なります。デプロイを計画している Microsoft Azure Edge 形式のタイプ（Edge Gateway (VM) または Edge Gateway (AKS)）に適用される表を使用してください。

Edge Gateway (VM)

Edge Gateway (VM) のデプロイには、次の表を使用します。

Edge Gateway (VM) のネットワーク要件

☐	必要なサブネットをカバーする適切なアドレス空間を使用して、ターゲットの Microsoft Azure リージョンに Microsoft Azure 仮想ネットワーク (VNet) が作成済みであること。「Microsoft Azure リージョンのネットワーク設定の構成」を参照してください。
☐	次のサブネット要件が最小です。大規模な環境では、より大きなサブネットが必要になる場合があります。管理サブネット - /26 以上デスクトップ（テナント）サブネット - プライマリ - /27 以上。ただしデスクトップと RDS サーバの数に基づいて適切なサイズを設定します。必要に応じてサブネットを追加できます。 DMZ サブネット - Unified Access Gateway インスタンスのクラスタの /27 以上（内部 Unified Access Gateway アクセスタイプには不要）。前提条件として、VNet でサブネットを手動で作成する必要があります。「Microsoft Azure リージョンのネットワーク設定の構成」を参照してください。ベストプラクティスとして、他のリソースをサブネットに接続しないでください。専用プロバイダを使用して Horizon Gateway アプライアンス（Horizon Edge Gateway および Unified Access Gateway）をデプロイする場合は、デスクトップのデプロイ元となるプロバイダにバックエンドサブネットを作成する必要があります。
☐	内部ネットワークが、Edge Gateway (VM) デプロイタイプ内で実行される Kubernetes で使用される次の値と重複しないことを確認します。サービス CIDR:192.168.236.0/23 ポッド CIDR:192.168.240.0/21
☐	内部マシン名と外部名の両方を解決できる有効な DNS サーバを参照するように VNet (仮想ネットワーク) DNS サーバを構成していること。「Horizon Edge Gateway と Unified Access Gateway のデプロイ後の DNS レコードの構成」を参照してください。内部エンドポイントの場合、Active Directory サーバは 1 つの例です。外部エンドポイントの場合、ゲートウェイのデプロイに対して使用している VNet 上のアウトバウンドインターネットアクセスでは、特定のポートとプロトコルを使用して特定の DNS 名を解決し、その名前にアクセスする必要があります。これは、デプロイおよび継続的な運用に必要です。注：異なる VNet にあるデスクトップおよび Unified Access Gateway (UAG) サブネットに対してハブ - スポークネットワークトポロジーを利用できます。これにより、直接 VNet ピアリングが組織ポリシーで優先されない、または必要とされない環境に対して代替手段が提供されます。Microsoft Azure のハブおよびスポークアーキテクチャの詳細については、「Azure のハブスポークネットワークトポロジー」を参照してください。
☐	Horizon Edge デプロイに対して使用している VNet 上のアウトバウンドインターネットアクセスでは、特定のポートとプロトコルを使用して特定の DNS 名を解決し到達する必要があります。これは、デプロイおよび継続的な運用に必要です。DNS 名とポートのリストについては、「Microsoft Azure での Horizon Cloud デプロイのためのポートとプロトコルの要件」を参照してください。
☐	任意。プロキシサーバ情報（VNet での外部へのインターネットアクセスに必要な場合）。Horizon Cloud 環境のデプロイおよび継続的な運用で使用されます。
☐	任意。VNet とオンプレミスの企業のネットワーク間のネットワークが必要な場合は、Microsoft Azure VPN/Express Route を構成します。

Edge Gateway (AKS)

Edge Gateway (AKS) のデプロイには、次の表を使用します。これらの要件には、AKS クラスタを使用した Horizon Edge Gateway の構成のサポートが含まれています。AKS クラスタを使用して Horizon Edge Gateway を構成すると、より簡単に拡張可能なソリューションが提供されます。

Edge Gateway (AKS) のネットワーク要件

☐	必要なサブネットをカバーする適切なアドレス空間を使用して、ターゲットの Microsoft Azure リージョンに Microsoft Azure 仮想ネットワーク (VNet) が作成済みであること。「Microsoft Azure リージョンのネットワーク設定の構成」を参照してください。
☐	次のサブネット要件が最小です。大規模な環境では、より大きなサブネットが必要になる場合があります。管理サブネット - /26 以上 Edge Gateway (AKS) をデプロイする場合は、AKS クラスタを使用する Horizon Edge は送信接続用の NAT ゲートウェイを必要とするため、管理サブネットの NAT ゲートウェイを構成します。デスクトップ（テナント）サブネット - プライマリ - /27 以上。ただしデスクトップと RDS サーバの数に基づいて適切なサイズを設定します。必要に応じてサブネットを追加できます。 DMZ サブネット - Unified Access Gateway インスタンスのクラスタの /27 以上（内部 Unified Access Gateway アクセスタイプには不要）。前提条件として、VNet でサブネットを手動で作成する必要があります。「Microsoft Azure リージョンのネットワーク設定の構成」を参照してください。ベストプラクティスとして、他のリソースをサブネットに接続しないでください。専用プロバイダを使用して Horizon Gateway アプライアンス（Horizon Edge Gateway および Unified Access Gateway）をデプロイする場合は、デスクトップのデプロイ元となるプロバイダにバックエンドサブネットを作成する必要があります。 AKS Edge 管理サブネットにカスタムルートテーブルが添付されている場合は、AKS Edge デプロイ用に選択されたユーザー管理 ID がカスタムルートテーブルでルートの作成と更新を許可されていることを確認します。また、ID によるルートの追加または更新をブロックする Azure ポリシーがないことを確認します。Azure では、Kubernetes AKS クラスタネットワークをサポートするために、ルートテーブルにルート（AKS クラスタノードごとに 1 つのルート）を追加または更新する機能が必要です。また、Azure は AKS クラスタのユーザー管理 ID を使用してルートを追加および更新します。 AKS Edge 管理サブネットにルートテーブルが添付されていない場合、Azure は AKS Edge 管理サブネットのルートテーブルを自動的に作成し、ルートテーブルにルートを追加したり、含まれるルートを更新したりします。
☐	Edge Gateway (AKS) をデプロイし、Edge の作成時にクラスタ送信タイプの値として NAT ゲートウェイを選択する場合は、管理サブネットで NAT ゲートウェイを構成して、Horizon Edge Gateway の送信接続を有効にします。Edge の作成時にクラスタ送信タイプの値としてユーザー定義ルートを選択した場合は、デフォルトルート 0.0.0.0/0 がタイプ VirtualAppliance または VirtualNetworkGateway のネクストホップを指しているルートテーブルを管理サブネット上に構成します。
☐	デプロイ時に Horizon Edge Gateway を構成するために必要な、次の CIDR IP アドレス範囲を収集します。注：これらの範囲が環境内で使用されている他の範囲と競合しないようにしてください。サービス CIDR - /27 以上ポッド CIDR - /21 以上 Edge Gateway (AKS) をデプロイする場合、AKS クラスタを正常に展開するには、次の Microsoft Azure 要件に準拠する必要があります。Horizon Universal Console を使用して Horizon Edge をデプロイするときは、管理サブネットの VNet のサービス CIDR、ポッド CIDR、およびアドレス空間が次の IP アドレス範囲と競合していないことを確認します。 169.254.0.0/16 172.30.0.0/16 172.31.0.0/16 192.0.2.0/24
☐	内部マシン名と外部名の両方を解決できる有効な DNS サーバを参照するように VNet (仮想ネットワーク) DNS サーバを構成していること。「Horizon Edge Gateway と Unified Access Gateway のデプロイ後の DNS レコードの構成」を参照してください。内部エンドポイントの場合、Active Directory サーバは 1 つの例です。外部エンドポイントの場合、ゲートウェイのデプロイに対して使用している VNet 上のアウトバウンドインターネットアクセスでは、特定のポートとプロトコルを使用して特定の DNS 名を解決し、その名前にアクセスする必要があります。これは、デプロイおよび継続的な運用に必要です。
☐	Horizon Edge デプロイに対して使用している VNet 上のアウトバウンドインターネットアクセスでは、特定のポートとプロトコルを使用して特定の DNS 名を解決し到達する必要があります。これは、デプロイおよび継続的な運用に必要です。DNS 名とポートのリストについては、「Microsoft Azure での Horizon Cloud デプロイのためのポートとプロトコルの要件」を参照してください。
☐	任意。プロキシサーバ情報（VNet での外部へのインターネットアクセスに必要な場合）。Horizon Cloud 環境のデプロイおよび継続的な運用で使用されます。
☐	任意。VNet とオンプレミスの企業のネットワーク間のネットワークが必要な場合は、Microsoft Azure VPN/Express Route を構成します。
☐	Edge Gateway (AKS) をデプロイする場合、AKS クラスタを使用する Horizon Edge に関して、Horizon Edge のデプロイに使用している VNet にカスタム DNS サーバがある場合は、Microsoft Azure DNS IP アドレス 168.63.129.16 を、外部名解決用の DNS フォワーダとして追加する必要があります。

ポートとプロトコルの要件

☐	デプロイと Horizon Cloud 環境の継続的な運用には特定のポートとプロトコルが必要です。「Microsoft Azure での Horizon Cloud デプロイのためのポートとプロトコルの要件」を参照してください。

Unified Access Gateway の要件

Unified Access Gateway 仮想マシンのクラスタがプールに関連付けられているため、クライアントはそのプール内の仮想マシンへの信頼された Horizon Web Client 接続を確立できます。

Horizon Universal Console を使用して Horizon Cloud に Unified Access Gateway を構成します。以下の項目は、そのタイプの構成に必要です。

☐	すべての構成タイプで、次のエンドポイント名への送信インターネットアクセスが必要です。 .horizon.omnissa.com 企業のネットワーク経由の内部アクセスの許可* が Unified Access Gateway アクセスタイプである場合、ユーザー定義のルーティングまたは NAT ゲートウェイのいずれかを管理サブネットに適用して、送信トラフィックを許可できます。 [Unified Access Gateway アクセスタイプ] が DMZ ネットワークを使用して外部に構成されている場合は、DMZ ネットワーク上で次のエンドポイント名への外部アクセスを構成する必要があります。 *.horizon.omnissa.com
☐	Unified Access Gateway 構成時に選択したアクセスタイプに応じて、内部 FQDN、外部 FQDN、またはそれらの両方が必要になります。エンドユーザーに内部アクセス権のみを付与する場合は、単一の FQDN が必要です。エンドユーザーに外部アクセス権のみを付与する場合は、単一の FQDN が必要です。エンドユーザーに内部アクセスと外部アクセスの両方を提供する場合は、単一の共通 FQDN または 2 つの個別の FQDN を構成できます。内部アクセスと外部アクセスの両方を分離する場合は、個別の URL を構成します。それ以外の場合は、内部アクセスと外部アクセスの両方に同じ FQDN を構成できます。
☐	FQDN に一致する PEM または PFX 形式の Unified Access Gateway の証明書。証明書にはサーバ認証 EKU のみを含める必要があり、クライアント認証 EKU を含めないようにする必要があります。注：この目的で提供する 1 つまたは複数の証明書が、特定の DNS 名を参照する CRL（証明書失効リスト）または OCSP（オンライン証明書ステータスプロトコル）の設定を使用する場合、次に、それらの DNS 名への VNet 上のアウトバウンドインターネットアクセスが解決可能で到達可能であることを確認する必要があります。Unified Access Gateway 構成で提供された証明書を構成するときに、Unified Access Gateway ソフトウェアはこれらの DNS 名にアクセスして、証明書の失効ステータスを確認します。これらの DNS 名にアクセスできない場合、デプロイは失敗します。これらの名前は、証明書の取得に使用した CA に大きく依存します。
☐	Unified Access のデプロイモードに応じて、適切なサブネットガイドラインに従います。基本モード：管理サブネット - /26 以上。Horizon Edge に使用されるのと同じ管理サブネットを使用できますデスクトップ（テナント）サブネット - プライマリ - /27 以上。ただしデスクトップと RDS サーバの数に基づいて適切なサイズを設定します。必要に応じてサブネットを追加できます。 DMZ サブネット - インスタンスのクラスタの /27 以上（内部 Unified Access Gateway アクセスタイプには不要）。詳細モード：管理サブネット - /28 のみ。管理サブネットを使用 - /28 のみ。Horizon Edge に使用される管理サブネットとは異なる管理サブネットを使用します。デスクトップ（テナント）サブネット - プライマリ - /27 以上。ただしデスクトップと RDS サーバの数に基づいて適切なサイズを設定します。必要に応じてサブネットを追加できます。 DMZ サブネット - インスタンスのクラスタの /27 以上（内部 Unified Access Gateway アクセスタイプには不要）。

ユーザー ID とマシン ID について

Horizon Cloud は、ID の処理方法が他の環境とは異なります。Horizon Cloud では、サービスはユーザー ID とマシン ID を区別し、クライアントとリモートデスクトップまたはアプリケーション間の安全な接続を確立するときに両方のタイプの ID に依存します。

**注：**第 1 世代の Horizon Cloud 環境や Horizon 8 オンプレミス環境など、単一の ID プロバイダを使用してユーザーとマシンの両方の ID を認証する環境に慣れている場合は、ユーザー ID とマシン ID の区別を行うのは初めてかもしれません。

Horizon Cloud では、ユーザー ID を認証するための ID プロバイダとマシン ID を認証するための ID プロバイダで構成される ID 構成を設定する必要があります。

ユーザー ID

Horizon Cloud では、ユーザー ID プロバイダを登録する必要があります。サービスは、この ID プロバイダを使用して、リモートデスクトップおよびアプリケーションにアクセスしようとするクライアントユーザーを認証します。
マシン ID

Horizon Cloud では、マシン ID プロバイダも登録する必要があります。サービスは、この ID プロバイダを使用して、リモートデスクトップとアプリケーションを提供する仮想マシンのマシン ID を確立します。

マシン ID プロバイダを介して、サービスはリモートデスクトップとリモートアプリケーションの仮想マシンソースを、クライアントユーザーがアクセスする資格が付与されている信頼できるネットワークドメインに参加させます。

サポートされている ID 構成

Horizon Cloud では、ユーザー ID プロバイダとマシン ID プロバイダで構成される ID 構成を登録する必要があります。機能は、構成に含まれる特定の ID プロバイダによって異なる場合があります。

Horizon Cloud は、次の ID 構成をサポートしています。

Horizon Cloud でサポートされる ID 構成

ID 構成	ユーザー ID プロバイダ	マシン ID プロバイダ	機能に関する注意事項
A	Microsoft Entra ID Commercial または Microsoft Entra ID Government	Active Directory	リモートデスクトップおよびアプリケーションへの SSO をサポート。 Workspace ONE UEM との統合をサポート。
B	Microsoft Entra ID Commercial または Microsoft Entra ID Government	Microsoft Entra ID	Windows Horizon Client のリモートデスクトップおよびアプリケーションへのシングルサインオン (SSO) をサポート。 Workspace ONE UEM との統合をサポート。 Mac、Linux、または Web クライアントの Entra ID SSO をサポートしない。
C	Workspace ONE Access クラウドまたはオンプレミスの Workspace ONE Access	Active Directory	リモートデスクトップおよびアプリケーションへの SSO をサポート。 Workspace ONE UEM との統合をサポート。 Just-in-Time ディレクトリはサポートされていません。
D	Omnissa Identity Service	Active Directory	リモートデスクトップおよびアプリケーションへの SSO をサポート。 Windows 365 は現在、この構成ではサポートされていません。

次のセクションでは、サポートされている各ユーザー ID プロバイダとマシン ID プロバイダの要件について説明します。

ユーザー ID の要件

以下の準備情報では、ID 構成で使用するユーザー ID プロバイダの要件について説明します。Horizon Cloud は、ユーザー ID のプロバイダとして Microsoft Entra ID と Workspace ONE UEM をサポートします。

このセクションで説明する要件に加えて、機能の考慮事項と各ユーザー ID プロバイダとともに使用できるマシン ID プロバイダについては、「サポートされている ID 構成」を参照してください。Horizon Cloud が ID を管理する方法の概要については、「ユーザー ID とマシン ID について」を参照してください。

Microsoft Entra ID

☐	Microsoft Entra ID Commercial または Microsoft Entra ID Government がユーザー ID プロバイダの場合、Microsoft Entra ID のグローバル管理者権限を持つユーザーは次の操作を行う必要があります。要求された権限を承認する。組織全体の同意書を提供する。

Workspace ONE UEM

☐	Workspace ONE UEM Cloud または Workspace ONE UEM On Premises がユーザー ID プロバイダの場合、管理者権限を持つユーザーは次の操作を行う必要があります。 ID プロバイダを統合します。 Horizon Cloud 統合に必要な前提条件を構成します。

Omnissa Identity Service

☐	Omnissa Identity Service がユーザー ID プロバイダの場合、管理者権限を持つユーザーは次の操作を行う必要があります。 ID プロバイダを統合します。 Omnissa Identity Service で使用する Horizon Cloud を選択します。

マシン ID の要件

以下の準備情報では、ID 構成で使用するマシン ID プロバイダの要件について説明します。Horizon Cloud は、マシン ID のプロバイダとして Microsoft Entra ID と Active Directory をサポートします。

このセクションで説明する要件に加えて、機能の考慮事項と各マシン ID プロバイダとともに使用できるユーザー ID プロバイダについては、「サポートされている ID 構成」を参照してください。Horizon Cloud が ID を管理する方法の概要については、「ユーザー ID とマシン ID について」を参照してください。

Microsoft Entra ID

☐

プールまたは仮想マシンの削除を可能にする場合、サービスプリンシパルに Microsoft Entra ID からデバイスエントリを削除する権限があることを確認します。権限は次のとおりです。

範囲：https://graph.microsoft.com
権限：Device.ReadWrite.All
デバイスの読み取りおよび書き込み
管理者の同意：はい

必要な権限を付与する方法については、「[Azure サブスクリプションの Microsoft Entra ID 参加マシンの管理を Horizon Cloud に許可する権限の適用](ApplyPermissionstoAllowHorizonCloudtoManageMicrosoftEntraIDJoinedMachines.md)」を参照してください。

☐

Microsoft Entra ID に参加したプールの管理ユニットの構成を許可するには、サービスプリンシパルに次の権限があることを確認します。

範囲：https://graph.microsoft.com
権限：AdministrativeUnit.ReadWrite.All
管理ユニットの読み取りおよび書き込み。
管理者の同意：はい

および

範囲：https://graph.microsoft.com
権限：RoleManagement.Read.Directory
すべてのディレクトリ RBAC 設定を読み取る。この権限は、サービスプリンシパルロールの割り当てを検証するために必要です。
管理者の同意：はい

および

範囲：https://graph.microsoft.com
権限：Device.Read.All
ディレクトリ内のすべてのデバイスを読み取る。この権限は、Entra ID に参加しているプール仮想マシンのデバイス情報を読み取り、そのデバイスをプール管理ユニットに追加するために必要です。
管理者の同意：はい

管理ユニットの使用を計画するときに、Device.ReadWrite.All 権限を指定しない場合は、ディレクトリレベルまたは管理ユニットレベルで次の権限を適切な範囲で適用できます。

範囲：ディレクトリ全体または特定の管理ユニット
権限：microsoft.directory/devices/delete
Microsoft Entra ID からデバイスを削除する。
管理者の同意：はい

必要な権限を付与する方法については、「[Microsoft Entra ID 参加マシンの管理を Horizon Cloud に許可する権限の適用](ApplyPermissionstoAllowHorizonCloudtoManageMicrosoftEntraIDJoinedMachines.md)」を参照してください。

☐

Microsoft Entra ID で Role-based Access Control (RBAC) を構成します。

この構成により、仮想マシン管理者ログイン または 仮想マシンユーザーログイン ロールを持つユーザーまたはユーザーグループのみが資格にログインできるようになります。

Active Directory

☐	Horizon Edge Gateway インスタンスとデスクトップサブネットを認識できる Active Directory サーバ。次に例を示します。 VPN/ExpressRoute を介して接続されたオンプレミス Active Directory サーバ Microsoft Azure にある Active Directory サーバ
☐	LDAPS を使用して Active Directory に接続する場合は、Active Directory ドメインの PEM でエンコードされたルート CA 証明書と中間 CA 証明書を収集します。 Horizon Universal Console を使用して Active Directory ドメインを設定すると、その時点で、PEM エンコードされたルート CA 証明書と中間 CA 証明書をアップロードするように求められます。
☐	サポートされる Microsoft Windows Active Directory Domain Services (AD DS) のドメイン機能レベル。 Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 サポートされる Microsoft Windows Active Directory Domain Services (AD DS) の OS バージョン。 Windows Server 2022 Windows Server 2019 Windows Server 2016 Windows Server 2012 R
☐	ドメインバインドアカウント sAMAccountName 属性を持つ Active Directory ドメインバインドアカウント（読み取りアクセス権限を持つ標準ユーザー）。sAMAccountName 属性は 20 文字以下にする必要があります。また、次の文字を含めることはできません："/ \ [ ] : ; \| = , + * ? < >。アカウントは、以下の権限を持つ必要があります。コンテンツの一覧表示すべてのプロパティの読み取りアクセス許可の読み取り tokenGroupsGlobalAndUniversal の読み取り（[すべてのプロパティの読み取り] により暗黙に含まれる）また、アカウントのパスワードを [無期限] に設定して、Horizon Cloud 環境にログインするために引き続きアクセスできるようにします。 Horizon オンプレミスサービスに精通している場合、上記の権限は、Horizon オンプレミスサービスの 2 番目の認証情報アカウントに必要なセットと同じです。ドメインバインドアカウントには、Microsoft Active Directory デプロイで認証されたユーザーに通常付与される、デフォルトの特別な設定は不要の読み取りアクセス関連の権限が付与されています。ただし、組織の Active Directory 管理者が通常ユーザーの読み取りアクセス権に関連する権限をロックダウンすることを選択した場合は、それらの Active Directory 管理者に、Horizon Cloud に使用するドメインバインドアカウントの認証済みユーザーの標準デフォルト設定を保持するように要求する必要があります。参照：Active Directory ドメインバインドおよびドメイン参加アカウントの作成
☐	補助ドメインバインドアカウントメインのドメインバインドアカウントとは別にする必要があります。ユーザーインターフェイスでは、両方のフィールドで同じアカウントを再利用することはできません。 sAMAccountName 属性を持つ Active Directory ドメインバインドアカウント（読み取りアクセス権限を持つ標準ユーザー）。sAMAccountName 属性は 20 文字以下にする必要があります。また、次の文字を含めることはできません："/ \ [ ] : ; \| = , + * ? < >。アカウントは、以下の権限を持つ必要があります。コンテンツの一覧表示すべてのプロパティの読み取りアクセス許可の読み取り tokenGroupsGlobalAndUniversal の読み取り（[すべてのプロパティの読み取り] により暗黙に含まれる）また、アカウントのパスワードを [無期限] に設定して、Horizon Cloud 環境にログインするために引き続きアクセスできるようにします。 Horizon オンプレミスサービスに精通している場合、上記の権限は、Horizon オンプレミスサービスの 2 番目の認証情報アカウントに必要なセットと同じです。ドメインバインドアカウントには、Microsoft Active Directory デプロイで認証されたユーザーに通常付与される、デフォルトの特別な設定は不要の読み取りアクセス関連の権限が付与されています。ただし、組織の Active Directory 管理者が通常ユーザーの読み取りアクセス権に関連する権限をロックダウンすることを選択した場合は、それらの Active Directory 管理者に、Horizon Cloud に使用するドメインバインドアカウントの認証済みユーザーの標準デフォルト設定を保持するように要求する必要があります。
☐	ドメイン参加アカウントシステムが Sysprep 操作を実行し、仮想コンピュータをドメインに参加させるために使用できる Active Directory ドメイン参加アカウント。通常は、この明確な目的のために作成する新しいアカウントです。（ドメイン参加ユーザーアカウント）このアカウントには、sAMAccountName 属性が必須です。sAMAccountName 属性は 20 文字以下にする必要があります。また、次の文字を含めることはできません："/ \ [ ] : ; \| = , + * ? < >。アカウントのユーザー名に空白を使用することは、現在サポートされていません。 Horizon Cloud が Sysprep 操作を実行し、仮想コンピュータをドメインに参加させる機能を継続的に利用できるようにするために、アカウントのパスワードを [無期限] に設定してください。このアカウントには、コンピュータ OU、またはコンソールのドメイン参加ユーザーインターフェイスに入力する OU に適用される次の Active Directory 権限が必要です。すべてのプロパティの読み取り：このオブジェクトのみコンピュータオブジェクトの作成：このオブジェクトとすべての子孫オブジェクトコンピュータオブジェクトの削除：このオブジェクトとすべての子孫オブジェクトすべてのプロパティの書き込み：子孫コンピュータオブジェクトパスワードのリセット：子孫コンピュータオブジェクトプールに使用するターゲット組織単位 (OU) については、このアカウントには、そのターゲット組織単位 (OU) のすべての子孫オブジェクトに対する「すべてのプロパティの書き込み」という名前の Active Directory 権限も必要です。ドメイン参加アカウントの作成と再利用の詳細については、「Active Directory ドメインバインドおよびドメイン参加アカウントの作成」を参照してください。 Microsoft Active Directory では、新しい組織単位 (OU) を作成するときに、システムは、新しく作成された OU およびすべての子孫オブジェクトの [すべての子オブジェクトの削除] 権限に `Deny` を適用する `Prevent Accidental Deletion` 属性を自動的に設定する場合があります。その結果、ドメイン参加アカウントに [コンピュータオブジェクトの削除] 権限を明示的に割り当てた場合、新しく作成された OU の場合、Active Directory は、明示的に割り当てられた [コンピュータオブジェクトの削除] 権限に上書きを適用した可能性があります。[誤削除の防止] フラグをオフにしても、Active Directory が [すべての子オブジェクトの削除] 権限に適用した `Deny` が自動的にオフにならない場合があるため、新しく追加された OU の場合、Horizon Cloud Console でドメイン参加アカウントを使用する前に、OU およびすべての子 OU の [すべての子オブジェクトの削除] に対して設定した `Deny` 権限を確認して手動でクリアする必要がある場合があります。
☐	オプションの補助ドメイン参加アカウントシステムが Sysprep 操作を実行し、仮想コンピュータをドメインに参加させるために使用できる Active Directory ドメイン参加アカウント。通常は、この明確な目的のために作成する新しいアカウントです（ドメイン参加ユーザーアカウント）。このアカウントには、sAMAccountName 属性が必須です。sAMAccountName 属性は 20 文字以下にする必要があります。また、次の文字を含めることはできません："/ \ [ ] : ; \| = , + * ? < >。アカウントのユーザー名に空白を使用することは、現在サポートされていません。 Horizon Cloud が Sysprep 操作を実行し、仮想コンピュータをドメインに参加させる機能を継続的に利用できるようにするために、アカウントのパスワードを [無期限] に設定してください。このアカウントには、コンピュータ OU、またはコンソールのドメイン参加ユーザーインターフェイスに入力する OU に適用される次の Active Directory 権限が必要です。すべてのプロパティの読み取り：このオブジェクトのみコンピュータオブジェクトの作成：このオブジェクトとすべての子孫オブジェクトコンピュータオブジェクトの削除：このオブジェクトとすべての子孫オブジェクトすべてのプロパティの書き込み：子孫コンピュータオブジェクトパスワードのリセット：子孫コンピュータオブジェクトプールに使用するターゲット組織単位 (OU) については、このアカウントには、そのターゲット組織単位 (OU) のすべての子孫オブジェクトに対する「すべてのプロパティの書き込み」という名前の Active Directory 権限も必要です。 Microsoft Active Directory では、新しい組織単位 (OU) を作成するときに、システムは、新しく作成された OU およびすべての子孫オブジェクトの [すべての子オブジェクトの削除] 権限に `Deny` を適用する `Prevent Accidental Deletion` 属性を自動的に設定する場合があります。その結果、ドメイン参加アカウントに [コンピュータオブジェクトの削除] 権限を明示的に割り当てた場合、新しく作成された OU の場合、Active Directory は、明示的に割り当てられた [コンピュータオブジェクトの削除] 権限に上書きを適用した可能性があります。[誤削除の防止] フラグをオフにしても、Active Directory が [すべての子オブジェクトの削除] 権限に適用した `Deny` が自動的にオフにならない場合があるため、新しく追加された OU の場合、Horizon Cloud Console でドメイン参加アカウントを使用する前に、OU およびすべての子 OU の [すべての子オブジェクトの削除] に対して設定した `Deny` 権限を確認して手動でクリアする必要がある場合があります。
☐	仮想デスクトップおよび RDS セッションベースのデスクトップまたは公開アプリケーション、またはその両方の Active Directory 組織単位 (OU)。 Microsoft Active Directory では、新しい組織単位 (OU) を作成するときに、システムは、新しく作成された OU およびすべての子孫オブジェクトの [すべての子オブジェクトの削除] 権限に `Deny` を適用する `Prevent Accidental Deletion` 属性を自動的に設定する場合があります。その結果、ドメイン参加アカウントに [コンピュータオブジェクトの削除] 権限を明示的に割り当てた場合、新しく作成された OU の場合、Active Directory は、明示的に割り当てられた [コンピュータオブジェクトの削除] 権限に上書きを適用した可能性があります。[誤削除の防止] フラグをオフにしても、Active Directory が [すべての子オブジェクトの削除] 権限に適用した `Deny` が自動的にオフにならない場合があるため、新しく追加された OU の場合、Horizon Cloud Console でドメイン参加アカウントを使用する前に、OU およびすべての子 OU の [すべての子オブジェクトの削除] に対して設定した `Deny` 権限を確認して手動でクリアする必要がある場合があります。

イメージ管理システムの要件

Microsoft Azure サブスクリプションは、デプロイされた Horizon Edge からプロビジョニングするイメージの種類に応じて、次の要件を満たす必要があります。

☐

イメージの基本。1 つ以上のサポートされている Microsoft Azure 仮想マシン構成。

Microsoft Azure 第 1 世代および第 2 世代の仮想マシンがサポートされています。

ベース仮想マシンに使用するモデルに十分な割り当てがあることを確認します。次のモデルタイプはデフォルトであり、推奨されます。

非 GPU：

Standard_DS2_v2

GPU 対応：

Standard_NV12s_v3

リストされている 非 GPU および GPU 対応 タイプ以外のモデルタイプもサポートされていますが、これらは必ずしも検証されているわけではありません。これらのモデルのいずれかを選択する場合は、サブスクリプションに十分な割り当てがあることを確認します。

プール仮想マシンの要件

Microsoft Azure サブスクリプションは、デプロイされた Horizon Edge からプロビジョニングするプール仮想マシンの種類に応じて、次の要件を満たす必要があります。

☐

プールの仮想マシンのモデル選択 - Microsoft Azure リージョンで使用可能な Microsoft Azure 仮想マシン構成のいずれか（Horizon Cloud デスクトップ操作と互換性のないものを除く）。

仮想マシンモデルを選択するときは、次の詳細について考慮します。

GPU 対応モデルタイプと非 GPU モデルタイプの選択は、イメージの作成時に選択した仮想マシンによって決まります。
マルチセッションプールを作成するには、マルチセッションオペレーティングシステムを使用して作成されたイメージを選択します。
本番環境では、スケールテストでは、2 個以上の CPU を搭載したモデルを使用することをお勧めします。
Horizon Cloud 向けの Microsoft Azure 仮想マシンのタイプとサイズ (89090) を参照し、さまざまなタイプやサイズの Microsoft Azure 仮想マシンと Horizon Cloud との互換性を確認してください。
Microsoft Azure の第 1 世代および第 2 世代の仮想マシンは、プールでサポートされています。

Horizon Client および Horizon Web Client の要件

☐	エンドユーザーがサポートされているクライアントを使用して、サービス提供のリソースにアクセスしていることを確認します。詳細については、リリースノートの「クライアントサポート」セクションのリストを参照してください。ヒント：エンドユーザーがブラウザを使用して Horizon Cloud に接続すると、接続で Horizon Web Client の最新バージョンが自動的に使用されます。

このページは役に立ちましたか?