このチェックリストの目的は、Horizon Cloud の Horizon Control Plane を使用してネイティブの Amazon WorkSpaces Core デプロイを実行するために必要な要素をユーザーに通知することです。
チェックリストの目的
このチェックリストは、テナント環境に Horizon Cloud on Amazon WorkSpaces Core をデプロイしたことがない Horizon Cloud 顧客アカウントを対象としています。クリーンスレート環境またはグリーンフィールド環境と呼ばれるこのようなテナントについて聞いたことがあるかもしれません。
Horizon Cloud をデプロイする前に、以降のいくつかの項目を実行する必要があります。一部の項目は、デプロイが完了して実行状態になるまで延期できます。
AWS アカウントの要件
構成の制限については、「Horizon Cloud デプロイのサイジング」を参照してください。これには、構成の上限ツールの使用に関する情報が含まれています。「構成の上限」ページから、[制限の表示]、[Horizon Cloud]、最新バージョン、および表示するカテゴリを選択します。
Amazon Elastic Compute Cloud (Amazon EC2) の要件
| ☐ | サポートされている AWS リージョンの有効な Amazon Web Services アカウント。関連する AWS ドキュメントを参照してください。 注： Horizon Cloud は、ほとんどの Amazon WorkSpaces Core サポート リージョンをサポートします。 |
| ☐ | 各 Amazon Web Services アカウントの有効な AWS Identity and Access Management (IAM) ロール。AWS アカウントの作成に関する AWS ドキュメントを参照してください。 ロールは、Amazon WorkSpaces Core Edge のデプロイを実行するための要件です。「Amazon WorkSpaces Core Edge のデプロイ」を参照してください。 |
| ☐ | Horizon Edge デプロイ リソースの作成を妨げる AWS IAM ポリシーまたはリソース ロックが設定されていないことを確認します。 |
| ☐ | IAM 要件の実行
|
| ☐ | コアの Horizon Edge リソースをそのアカウントにデプロイするための Amazon EC2 キャパシティ。
|
| ☐ | 次の Amazon WorkSpaces Core デプロイ オプションを使用できます。 Edge Gateway (VM) = Edge Gateway 仮想マシン Edge Gateway (VM) は、高可用性を使用しない小規模なデプロイ向けです。 |
Amazon WorkSpaces Core のキャパシティ要件
次の表で Amazon WorkSpaces Core のキャパシティを参照している場合、手動インストールは必要ありません。指定されたキャパシティがサブスクリプションで使用可能である限り、デプロイヤは説明された仮想マシンを自動的にインスタンス化します。
| ☐ | BYOL (Bring-Your-Own-License) の前提条件が構成されました。 WorkSpaces で独自の Windows デスクトップ ライセンスを取得する方法に関する AWS ドキュメントを参照してください。 |
| ☐ | 構成された WorkSpaces Personal のアベイラビリティ ゾーン。 WorkSpaces Personal のアベイラビリティ ゾーンに関する AWS ドキュメントを参照してください。 |
ネットワーク要件
次のネットワーク要件には、Horizon Edge を正常にデプロイして運用するために必要な詳細が含まれます。詳細については、Amazon EC2 のネットワークに関する AWS ドキュメントを参照してください。
Edge Gateway のデプロイには、次の表を使用します。
Edge Gateway (VM) のネットワーク要件
| ☐ | 各 Horizon Edge Gateway について、ターゲット Amazon EC2 リージョンに作成された Amazon Virtual Private Cloud (VPC) で、必要なサブネットをカバーするための適切なアドレス空間が設定されます。 |
| ☐ |
次のサブネット要件が最小です。大規模な環境では、より大きなサブネットが必要になる場合があります。
|
| ☐ |
Unified Access Gatewayの場合は、内部マシン名と外部名の両方を解決できる有効な DNS サーバを参照するように Virtual Private Cloud (VPC) DNS サーバを構成します。「Horizon Edge Gateway と Unified Access Gateway のデプロイ後の DNS レコードの構成」を参照してください。
|
| ☐ | Horizon Edge デプロイに対して使用している VPC 上のアウトバウンド インターネット アクセスでは、特定のポートとプロトコルを使用して特定の DNS 名を解決し到達する必要があります。これは、デプロイおよび継続的な運用に必要です。DNS 名とポートのリストについては、「Amazon WorkSpaces Core での Horizon Cloud デプロイのためのポートとプロトコルの要件」を参照してください。 |
| ☐ | 任意。プロキシ サーバ情報（Virtual Private Cloud (VPC) での外部へのインターネット アクセスに必要な場合）。Horizon Cloud 環境のデプロイおよび継続的な運用で使用されます。 |
| ☐ | 任意。Virtual Private Cloud (VPC) とオンプレミスの企業のネットワーク間のネットワークが必要な場合は、AWS VPN を構成します。 |
| ☐ | プロキシ - 構成されたすべてのプロキシ設定を、システム レベルでワークスペースのコア イメージに追加します。 |
ポートとプロトコルの要件
| ☐ | デプロイと Horizon Cloud 環境の継続的な運用には特定のポートとプロトコルが必要です。「Amazon WorkSpaces Core での Horizon Cloud デプロイのためのポートとプロトコルの要件」を参照してください。 |
Unified Access Gateway の要件
Unified Access Gateway 仮想マシンのクラスタがプールに関連付けられているため、クライアントはそのプール内の仮想マシンへの信頼された Horizon Web Client 接続を確立できます。
Horizon Universal Console を使用して Horizon Cloud に Unified Access Gateway を構成します。以下の項目は、そのタイプの構成に必要です。
| ☐ |
すべての構成タイプで、次のエンドポイント名への送信インターネット アクセスが必要です。 *.horizon.omnissa.com 企業のネットワーク経由の内部アクセスの許可 が Unified Access Gateway アクセス タイプ である場合、ユーザー定義のルーティングまたは NAT ゲートウェイのいずれかを 管理サブネット に適用して、送信トラフィックを許可できます。 外部の Unified Access Gateway タイプの場合、および外部と内部の両方の Unified Access Gateway タイプの場合は、インターネット ゲートウェイが VPC に存在し、DMZ サブネットからのトラフィックがインターネット ゲートウェイにルーティングされている必要があります。 |
| ☐ | Unified Access Gateway 構成時に選択したアクセス タイプに応じて、内部 FQDN、外部 FQDN、またはそれらの両方が必要になります。
|
| ☐ | FQDN に一致する PEM または PFX 形式の Unified Access Gateway の証明書。 注：この目的で提供する 1 つまたは複数の証明書が、特定の DNS 名を参照する CRL（証明書失効リスト）または OCSP（オンライン証明書ステータス プロトコル）の設定を使用する場合、次に、それらの DNS 名への Virtual Private Cloud (VPC) 上のアウトバウンド インターネット アクセスが解決可能で到達可能であることを確認する必要があります。Unified Access Gateway 構成で提供された証明書を構成するときに、Unified Access Gateway ソフトウェアはこれらの DNS 名にアクセスして、証明書の失効ステータスを確認します。これらの DNS 名にアクセスできない場合、デプロイは失敗します。これらの名前は、証明書の取得に使用した CA に大きく依存します。 |
| ☐ | Unified Access のデプロイモードに応じて、適切なサブネット ガイドラインに従います。 基本モード：
詳細モード：
|
ユーザー ID とマシン ID について
Horizon Cloud は、ID の処理方法が他の環境とは異なります。Horizon Cloud では、サービスはユーザー ID とマシン ID を区別し、クライアントとリモート デスクトップまたはアプリケーション間の安全な接続を確立するときに両方のタイプの ID に依存します。
**注：**第 1 世代の Horizon Cloud 環境や Horizon 8 オンプレミス環境など、単一の ID プロバイダを使用してユーザーとマシンの両方の ID を認証する環境に慣れている場合は、ユーザー ID とマシン ID の区別を行うのは初めてかもしれません。
Horizon Cloud では、ユーザー ID を認証するための ID プロバイダとマシン ID を認証するための ID プロバイダで構成される ID 構成を設定する必要があります。
-
ユーザー ID
Horizon Cloud では、ユーザー ID プロバイダを登録する必要があります。サービスは、この ID プロバイダを使用して、リモート デスクトップおよびアプリケーションにアクセスしようとするクライアント ユーザーを認証します。
-
マシン ID
Horizon Cloud では、マシン ID プロバイダも登録する必要があります。サービスは、この ID プロバイダを使用して、リモート デスクトップとアプリケーションを提供する仮想マシンのマシン ID を確立します。
マシン ID プロバイダを介して、サービスはリモート デスクトップとリモート アプリケーションの仮想マシン ソースを、クライアント ユーザーがアクセスする資格が付与されている信頼できるネットワーク ドメインに参加させます。
サポートされている ID 構成
Horizon Cloud では、ユーザー ID プロバイダとマシン ID プロバイダで構成される ID 構成を登録する必要があります。機能は、構成に含まれる特定の ID プロバイダによって異なる場合があります。
Horizon Cloud は、次の ID 構成をサポートしています。
Horizon Cloud でサポートされる ID 構成
| ID 構成 | ユーザー ID プロバイダ | マシン ID プロバイダ | 機能に関する注意事項 |
|---|---|---|---|
| A | Microsoft Entra ID Commercial または Microsoft Entra ID Government | Active Directory |
|
| B | Microsoft Entra ID Commercial または Microsoft Entra ID Government | Microsoft Entra ID |
|
| C | Workspace ONE Access クラウドまたはオンプレミスの Workspace ONE Access | Active Directory |
|
| D | Omnissa Identity Service | Active Directory |
|
次のセクションでは、サポートされている各ユーザー ID プロバイダとマシン ID プロバイダの要件について説明します。
ユーザー ID の要件
以下の準備情報では、ID 構成で使用するユーザー ID プロバイダの要件について説明します。Horizon Cloud は、ユーザー ID のプロバイダとして Microsoft Entra ID と Workspace ONE Access をサポートします。
このセクションで説明する要件に加えて、機能の考慮事項と各ユーザー ID プロバイダとともに使用できるマシン ID プロバイダについては、「サポートされている ID 構成」を参照してください。Horizon Cloud が ID を管理する方法の概要については、「ユーザー ID とマシン ID について」を参照してください。
-
Microsoft Entra ID
☐ Microsoft Entra ID Commercial または Microsoft Entra ID Government がユーザー ID プロバイダの場合、Microsoft Entra ID のグローバル管理者権限を持つユーザーは次の操作を行う必要があります。 - 要求された権限を承認する。
- 組織全体の同意書を提供する。
-
Workspace ONE Access
☐ Workspace ONE Access Cloud または Workspace ONE Access On Premises がユーザー ID プロバイダの場合、管理者権限を持つユーザーは次の操作を行う必要があります。 - ID プロバイダを統合します。
- Horizon Cloud 統合に必要な前提条件を構成します。
-
Omnissa Identity Service
☐ Omnissa Identity Service がユーザー ID プロバイダの場合、管理者権限を持つユーザーは次の操作を行う必要があります。 - ID プロバイダを統合します。
- Omnissa Identity Service で使用する Horizon Cloud を選択します。
マシン ID の要件
以下の準備情報では、ID 構成で使用するマシン ID プロバイダの要件について説明します。Horizon Cloud は、マシン ID のプロバイダとして Microsoft Entra ID と Active Directory をサポートします。
このセクションで説明する要件に加えて、機能の考慮事項と各マシン ID プロバイダとともに使用できるユーザー ID プロバイダについては、「サポートされている ID 構成」を参照してください。Horizon Cloud が ID を管理する方法の概要については、「ユーザー ID とマシン ID について」を参照してください。
- Active Directory
☐ Horizon Edge Gateway インスタンスとデスクトップ サブネットを認識できる Active Directory サーバ。次に例を示します。 - VPN/ExpressRoute を介して接続されたオンプレミス Active Directory サーバ。
- AWS Managed Microsoft Active Directory。Managed Microsoft AD に関する AWS のドキュメントを参照してください。
☐ LDAPS を使用して Active Directory に接続する場合は、Active Directory ドメインの PEM でエンコードされたルート CA 証明書と中間 CA 証明書を収集します。 Horizon Universal Console を使用して Active Directory ドメインを設定すると、その時点で、PEM エンコードされたルート CA 証明書と中間 CA 証明書をアップロードするように求められます。 ☐ サポートされる Microsoft Windows Active Directory Domain Services (AD DS) のドメイン機能レベル。 - Windows Server 2016
- Windows Server 2012 R2
- Windows Server 2012
- Windows Server 2022
- Windows Server 2019
- Windows Server 2016
- Windows Server 2012 R
☐ - ドメイン バインド アカウント
sAMAccountName 属性を持つ Active Directory ドメイン バインド アカウント（読み取りアクセス権限を持つ標準ユーザー）。sAMAccountName 属性は 20 文字以下にする必要があります。また、次の文字を含めることはできません："/ \ [ ] : ; | = , + * ? < >。
アカウントは、以下の権限を持つ必要があります。
- コンテンツの一覧表示
- すべてのプロパティの読み取り
- アクセス許可の読み取り
- tokenGroupsGlobalAndUniversal の読み取り（[すべてのプロパティの読み取り] により暗黙に含まれる）
また、アカウントのパスワードを [無期限] に設定して、Horizon Cloud 環境にログインするために引き続きアクセスできるようにします。
- Horizon オンプレミス サービスに精通している場合、上記の権限は、Horizon オンプレミス サービスの 2 番目の認証情報アカウントに必要なセットと同じです。
- ドメイン バインド アカウントには、Microsoft Active Directory デプロイで認証されたユーザーに通常付与される、デフォルトの特別な設定は不要の読み取りアクセス関連の権限が付与されています。ただし、組織の Active Directory 管理者が通常ユーザーの読み取りアクセス権に関連する権限をロックダウンすることを選択した場合は、それらの Active Directory 管理者に、Horizon Cloud に使用するドメイン バインド アカウントの認証済みユーザーの標準デフォルト設定を保持するように要求する必要があります。
☐ - 補助ドメイン バインド アカウント
メインのドメイン バインド アカウントとは別にする必要があります。ユーザー インターフェイスでは、両方のフィールドで同じアカウントを再利用することはできません。 sAMAccountName 属性を持つ Active Directory ドメイン バインド アカウント（読み取りアクセス権限を持つ標準ユーザー）。sAMAccountName 属性は 20 文字以下にする必要があります。また、次の文字を含めることはできません："/ \ [ ] : ; | = , + * ? < >。アカウントは、以下の権限を持つ必要があります。- コンテンツの一覧表示
- すべてのプロパティの読み取り
- アクセス許可の読み取り
- tokenGroupsGlobalAndUniversal の読み取り（[すべてのプロパティの読み取り] により暗黙に含まれる）
- Horizon オンプレミス サービスに精通している場合、上記の権限は、Horizon オンプレミス サービスの 2 番目の認証情報アカウントに必要なセットと同じです。
- ドメイン バインド アカウントには、Microsoft Active Directory デプロイで認証されたユーザーに通常付与される、デフォルトの特別な設定は不要の読み取りアクセス関連の権限が付与されています。ただし、組織の Active Directory 管理者が通常ユーザーの読み取りアクセス権に関連する権限をロックダウンすることを選択した場合は、それらの Active Directory 管理者に、Horizon Cloud に使用するドメイン バインド アカウントの認証済みユーザーの標準デフォルト設定を保持するように要求する必要があります。
☐ - ドメイン参加アカウント
システムが Sysprep 操作を実行し、仮想コンピュータをドメインに参加させるために使用できる Active Directory ドメイン参加アカウント。通常は、この明確な目的のために作成する新しいアカウントです。（ドメイン参加ユーザー アカウント） このアカウントには、sAMAccountName 属性が必須です。sAMAccountName 属性は 20 文字以下にする必要があります。また、次の文字を含めることはできません："/ \ [ ] : ; | = , + * ? < >。 アカウントのユーザー名に空白を使用することは、現在サポートされていません。 Horizon Cloud が Sysprep 操作を実行し、仮想コンピュータをドメインに参加させる機能を継続的に利用できるようにするために、アカウントのパスワードを [無期限] に設定してください。 このアカウントには、コンピュータ OU、またはコンソールのドメイン参加ユーザー インターフェイスに入力する OU に適用される次の Active Directory 権限が必要です。- すべてのプロパティの読み取り：このオブジェクトのみ
- コンピュータ オブジェクトの作成：このオブジェクトとすべての子孫オブジェクト
- コンピュータ オブジェクトの削除：このオブジェクトとすべての子孫オブジェクト
- すべてのプロパティの書き込み：子孫コンピュータ オブジェクト
- パスワードのリセット：子孫コンピュータ オブジェクト
ドメイン参加アカウントの作成と再利用の詳細については、「Active Directory ドメイン バインドおよびドメイン参加アカウントの作成」を参照してください。
Microsoft Active Directory では、新しい組織単位 (OU) を作成するときに、システムは、新しく作成された OU およびすべての子孫オブジェクトの [すべての子オブジェクトの削除] 権限にDenyを適用するPrevent Accidental Deletion属性を自動的に設定する場合があります。その結果、ドメイン参加アカウントに [コンピュータ オブジェクトの削除] 権限を明示的に割り当てた場合、新しく作成された OU の場合、Active Directory は、明示的に割り当てられた [コンピュータ オブジェクトの削除] 権限に上書きを適用した可能性があります。[誤削除の防止] フラグをオフにしても、Active Directory が [すべての子オブジェクトの削除] 権限に適用したDenyが自動的にオフにならない場合があるため、新しく追加された OU の場合、Horizon Cloud Console でドメイン参加アカウントを使用する前に、OU およびすべての子 OU の [すべての子オブジェクトの削除] に対して設定したDeny権限を確認して手動でクリアする必要がある場合があります。
☐ - オプションの補助ドメイン参加アカウント
システムが Sysprep 操作を実行し、仮想コンピュータをドメインに参加させるために使用できる Active Directory ドメイン参加アカウント。通常は、この明確な目的のために作成する新しいアカウントです（ドメイン参加ユーザー アカウント）。
このアカウントには、sAMAccountName 属性が必須です。sAMAccountName 属性は 20 文字以下にする必要があります。また、次の文字を含めることはできません："/ \ [ ] : ; | = , + * ? < >。
アカウントのユーザー名に空白を使用することは、現在サポートされていません。
Horizon Cloud が Sysprep 操作を実行し、仮想コンピュータをドメインに参加させる機能を継続的に利用できるようにするために、アカウントのパスワードを [無期限] に設定してください。
このアカウントには、コンピュータ OU、またはコンソールのドメイン参加ユーザー インターフェイスに入力する OU に適用される次の Active Directory 権限が必要です。- すべてのプロパティの読み取り：このオブジェクトのみ
- コンピュータ オブジェクトの作成：このオブジェクトとすべての子孫オブジェクト
- コンピュータ オブジェクトの削除：このオブジェクトとすべての子孫オブジェクト
- すべてのプロパティの書き込み：子孫コンピュータ オブジェクト
- パスワードのリセット：子孫コンピュータ オブジェクト
Microsoft Active Directory では、新しい組織単位 (OU) を作成するときに、システムは、新しく作成された OU およびすべての子孫オブジェクトの [すべての子オブジェクトの削除] 権限にDenyを適用するPrevent Accidental Deletion属性を自動的に設定する場合があります。その結果、ドメイン参加アカウントに [コンピュータ オブジェクトの削除] 権限を明示的に割り当てた場合、新しく作成された OU の場合、Active Directory は、明示的に割り当てられた [コンピュータ オブジェクトの削除] 権限に上書きを適用した可能性があります。[誤削除の防止] フラグをオフにしても、Active Directory が [すべての子オブジェクトの削除] 権限に適用したDenyが自動的にオフにならない場合があるため、新しく追加された OU の場合、Horizon Cloud Console でドメイン参加アカウントを使用する前に、OU およびすべての子 OU の [すべての子オブジェクトの削除] に対して設定したDeny権限を確認して手動でクリアする必要がある場合があります。
☐ - 仮想デスクトップおよび RDS セッションベースのデスクトップまたは公開アプリケーション、またはその両方の Active Directory 組織単位 (OU)。
Microsoft Active Directory では、新しい組織単位 (OU) を作成するときに、システムは、新しく作成された OU およびすべての子孫オブジェクトの [すべての子オブジェクトの削除] 権限にDenyを適用するPrevent Accidental Deletion属性を自動的に設定する場合があります。その結果、ドメイン参加アカウントに [コンピュータ オブジェクトの削除] 権限を明示的に割り当てた場合、新しく作成された OU の場合、Active Directory は、明示的に割り当てられた [コンピュータ オブジェクトの削除] 権限に上書きを適用した可能性があります。[誤削除の防止] フラグをオフにしても、Active Directory が [すべての子オブジェクトの削除] 権限に適用したDenyが自動的にオフにならない場合があるため、新しく追加された OU の場合、Horizon Cloud Console でドメイン参加アカウントを使用する前に、OU およびすべての子 OU の [すべての子オブジェクトの削除] に対して設定したDeny権限を確認して手動でクリアする必要がある場合があります。
イメージ管理システムの要件
Amazon WorkSpaces Core アカウントは、デプロイされた Horizon Edge からプロビジョニングするイメージの種類に応じて、次の要件を満たす必要があります。
☐ イメージの基本。サポートされている 1 つ以上の Amazon WorkSpaces Core ハードウェア モデル構成。
Amazon WorkSpaces の割り当て制限を超えないようにしてください。Amazon WorkSpaces 割り当てに関する AWS のドキュメントを参照してください。次のモデル タイプはデフォルトであり、推奨されます。
非 GPU：- 値 – 1 個の vCPU、2 GB のメモリ
- Standard – 2 個の vCPU、4 GB のメモリ
- Performance – 2 個の vCPU、8 GB のメモリ
- Power – 4 個の vCPU、16 GB のメモリ
- PowerPro – 8 個の vCPU、32 GB のメモリ
- GeneralPurpose.4xlarge – 16 個の vCPU、64 GB のメモリ
- GeneralPurpose.8xlarge – 32 個の vCPU、128 GB のメモリ
- Graphics.g4dn - 4 個の vCPU、16GiB メモリ、1GPU、16 GiB ビデオ メモリ、125 GB のローカル インスタンス ストア
- GraphicsPro.g4dn - 16 個の vCPU、64GiB メモリ、1GPU、16 GiB ビデオ メモリ、225 GB のローカル インスタンス ストア
プール仮想マシンの要件
Amazon WorkSpaces Core は、デプロイされた Horizon Edge からプロビジョニングするプール仮想マシンの種類に応じて、次の要件を満たす必要があります。
☐ プールの仮想マシンのモデル選択 - Amazon WorkSpaces Core リージョンで使用可能な Amazon WorkSpaces Core ハードウェア モデル構成のいずれか（Horizon Cloud デスクトップ操作と互換性のないものを除く）。
仮想マシン モデルを選択するときは、次の詳細について考慮します。- GPU 対応モデル タイプと非 GPU モデル タイプの選択は、イメージの作成時に選択した仮想マシンによって決まります。
- マルチセッション プールを作成するには、マルチセッション オペレーティング システムを使用して作成されたイメージを選択します。
- 本番環境では、スケール テストでは、2 個以上の CPU を搭載したモデルを使用することをお勧めします。
- さまざまな Amazon WorkSpaces Core ハードウェア モデルのタイプおよびサイズと、Horizon Cloud との互換性については、Amazon WorkSpaces Core の価格設定に関する AWS ドキュメントを参照してください。
Horizon Client および Horizon Web Client の要件
☐ エンド ユーザーがサポートされているクライアントを使用して、サービス提供のリソースにアクセスしていることを確認します。詳細については、リリース ノートの「クライアント サポート」セクションのリストを参照してください。
ヒント：エンド ユーザーがブラウザを使用して Horizon Cloud に接続すると、接続で Horizon Web Client の最新バージョンが自動的に使用されます。
このページは役に立ちましたか?