vSphere Edge をデプロイするための要件チェックリスト

このチェックリストの目的は、Horizon Control Plane を使用して vSphere Edge デプロイを実行するために必要な要素をユーザーに通知することです。

チェックリストの目的

このチェックリストは、テナント環境に Horizon Cloud on vSphere をデプロイしたことがない Horizon Cloud 顧客アカウントを対象としています。このようなテナントは、クリーンスレート環境またはグリーンフィールド環境と呼ばれる場合があります。

Horizon Cloud をデプロイする前に、以降のいくつかの項目を実行する必要があります。一部の項目は、デプロイが完了して実行状態になるまで延期できます。

マシン ID の要件

オンプレミス Active Directory はサポートされており、マシン ID に必要です。VDI デスクトップは、Active Directory ドメインに参加します。デスクトップをデプロイするネットワークからドメイン コントローラにアクセスできる必要があります。

次の考慮事項に注意して、プライマリ ドメイン参加アカウントと補助ドメイン参加アカウントを作成します。

• Active Directory ドメイン参加アカウントは、システムが Sysprep 操作を実行し、コンピュータをドメインに参加させるために使用します。
• アカウント パスワードを「無期限」に設定します。
• アカウントには、次の Active Directory 権限が必要です：すべてのプロパティの読み取り、パスワードのリセット、コンピュータ オブジェクトの作成、コンピュータ オブジェクトの削除、およびすべてのプロパティの書き込み。

以下の準備情報では、ID 構成で使用するマシン ID プロバイダの要件について説明します。Horizon Cloud は、マシン ID のプロバイダとして Microsoft Entra ID と Active Directory をサポートします。

• Active Directory

  ☐	vSphere Edge のみをデプロイする場合は、オンプレミスの Active Directory サーバが必要です。ただし、同じデプロイで Microsoft Azure Edge と vSphere Edge を使用する場合は、次の点が適用されます。 Horizon Edge Gateway インスタンスとデスクトップ サブネットを認識できる Active Directory サーバ。 VPN/ExpressRoute を介して接続されたオンプレミス Active Directory サーバ Microsoft Azure にある Active Directory サーバ
  ☐	LDAPS を使用して Active Directory に接続する場合は、Active Directory ドメインの PEM でエンコードされたルート CA 証明書と中間 CA 証明書を収集します。 Horizon Universal Console を使用して Active Directory ドメインを設定すると、その時点で、PEM エンコードされたルート CA 証明書と中間 CA 証明書をアップロードするように求められます。
  ☐	サポートされる Microsoft Windows Active Directory Domain Services (AD DS) のドメイン機能レベル。 Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 サポートされる Microsoft Windows Active Directory Domain Services (AD DS) の OS バージョン。 Windows Server 2022 Windows Server 2019 Windows Server 2016 Windows Server 2012 R
  ☐	ドメイン バインド アカウント sAMAccountName 属性を持つ Active Directory ドメイン バインド アカウント（読み取りアクセス権限を持つ標準ユーザー）。sAMAccountName 属性は 20 文字以下にする必要があります。また、次の文字を含めることはできません："/ \ [ ] : ; | = , + * ? < >。 アカウントは、以下の権限を持つ必要があります。 コンテンツの一覧表示 すべてのプロパティの読み取り アクセス許可の読み取り tokenGroupsGlobalAndUniversal の読み取り（[すべてのプロパティの読み取り] により暗黙に含まれる） また、アカウントのパスワードを [無期限] に設定して、Horizon Cloud 環境にログインするために引き続きアクセスできるようにします。 Horizon オンプレミス サービスに精通している場合、上記の権限は、Horizon オンプレミス サービスの 2 番目の認証情報アカウントに必要なセットと同じです。 ドメイン バインド アカウントには、Microsoft Active Directory デプロイで認証されたユーザーに通常付与される、デフォルトの特別な設定は不要の読み取りアクセス関連の権限が付与されています。ただし、組織の Active Directory 管理者が通常ユーザーの読み取りアクセス権に関連する権限をロックダウンすることを選択した場合は、それらの Active Directory 管理者に、Horizon Cloud に使用するドメイン バインド アカウントの認証済みユーザーの標準デフォルト設定を保持するように要求する必要があります。
  ☐	補助ドメイン バインド アカウント メインのドメイン バインド アカウントとは別にする必要があります。ユーザー インターフェイスでは、両方のフィールドで同じアカウントを再利用することはできません。 sAMAccountName 属性を持つ Active Directory ドメイン バインド アカウント（読み取りアクセス権限を持つ標準ユーザー）。sAMAccountName 属性は 20 文字以下にする必要があります。また、次の文字を含めることはできません："/ \ [ ] : ; | = , + * ? < >。アカウントは、以下の権限を持つ必要があります。 コンテンツの一覧表示 すべてのプロパティの読み取り アクセス許可の読み取り tokenGroupsGlobalAndUniversal の読み取り（[すべてのプロパティの読み取り] により暗黙に含まれる） また、アカウントのパスワードを [無期限] に設定して、Horizon Cloud 環境にログインするために引き続きアクセスできるようにします。 Horizon オンプレミス サービスに精通している場合、上記の権限は、Horizon オンプレミス サービスの 2 番目の認証情報アカウントに必要なセットと同じです。 ドメイン バインド アカウントには、Microsoft Active Directory デプロイで認証されたユーザーに通常付与される、デフォルトの特別な設定は不要の読み取りアクセス関連の権限が付与されています。ただし、組織の Active Directory 管理者が通常ユーザーの読み取りアクセス権に関連する権限をロックダウンすることを選択した場合は、それらの Active Directory 管理者に、Horizon Cloud に使用するドメイン バインド アカウントの認証済みユーザーの標準デフォルト設定を保持するように要求する必要があります。
  ☐	ドメイン参加アカウント システムが Sysprep 操作を実行し、仮想コンピュータをドメインに参加させるために使用できる Active Directory ドメイン参加アカウント。通常は、この明確な目的のために作成する新しいアカウントです。（ドメイン参加ユーザー アカウント） このアカウントには、sAMAccountName 属性が必須です。sAMAccountName 属性は 20 文字以下にする必要があります。また、次の文字を含めることはできません："/ \ [ ] : ; | = , + * ? < >。 アカウントのユーザー名に空白を使用することは、現在サポートされていません。 Horizon Cloud が Sysprep 操作を実行し、仮想コンピュータをドメインに参加させる機能を継続的に利用できるようにするために、アカウントのパスワードを [無期限] に設定してください。 このアカウントには、コンピュータ OU、またはコンソールのドメイン参加ユーザー インターフェイスに入力する OU に適用される次の Active Directory 権限が必要です。 すべてのプロパティの読み取り：このオブジェクトのみ コンピュータ オブジェクトの作成：このオブジェクトとすべての子孫オブジェクト コンピュータ オブジェクトの削除：このオブジェクトとすべての子孫オブジェクト すべてのプロパティの書き込み：子孫コンピュータ オブジェクト パスワードのリセット：子孫コンピュータ オブジェクト プールに使用するターゲット組織単位 (OU) については、このアカウントには、そのターゲット組織単位 (OU) のすべての子孫オブジェクトに対する「すべてのプロパティの書き込み」という名前の Active Directory 権限も必要です。 ドメイン参加アカウントの作成と再利用の詳細については、「Active Directory ドメイン バインドおよびドメイン参加アカウントの作成」を参照してください。 Microsoft Active Directory では、新しい組織単位 (OU) を作成するときに、システムは、新しく作成された OU およびすべての子孫オブジェクトの [すべての子オブジェクトの削除] 権限に Deny を適用する Prevent Accidental Deletion 属性を自動的に設定する場合があります。その結果、ドメイン参加アカウントに [コンピュータ オブジェクトの削除] 権限を明示的に割り当てた場合、新しく作成された OU の場合、Active Directory は、明示的に割り当てられた [コンピュータ オブジェクトの削除] 権限に上書きを適用した可能性があります。[誤削除の防止] フラグをオフにしても、Active Directory が [すべての子オブジェクトの削除] 権限に適用した Deny が自動的にオフにならない場合があるため、新しく追加された OU の場合、Horizon Cloud Console でドメイン参加アカウントを使用する前に、OU およびすべての子 OU の [すべての子オブジェクトの削除] に対して設定した Deny 権限を確認して手動でクリアする必要がある場合があります。
  ☐	オプションの補助ドメイン参加アカウント システムが Sysprep 操作を実行し、仮想コンピュータをドメインに参加させるために使用できる Active Directory ドメイン参加アカウント。通常は、この明確な目的のために作成する新しいアカウントです（ドメイン参加ユーザー アカウント）。 このアカウントには、sAMAccountName 属性が必須です。sAMAccountName 属性は 20 文字以下にする必要があります。また、次の文字を含めることはできません："/ \ [ ] : ; | = , + * ? < >。 アカウントのユーザー名に空白を使用することは、現在サポートされていません。 Horizon Cloud が Sysprep 操作を実行し、仮想コンピュータをドメインに参加させる機能を継続的に利用できるようにするために、アカウントのパスワードを [無期限] に設定してください。 このアカウントには、コンピュータ OU、またはコンソールのドメイン参加ユーザー インターフェイスに入力する OU に適用される次の Active Directory 権限が必要です。 すべてのプロパティの読み取り：このオブジェクトのみ コンピュータ オブジェクトの作成：このオブジェクトとすべての子孫オブジェクト コンピュータ オブジェクトの削除：このオブジェクトとすべての子孫オブジェクト すべてのプロパティの書き込み：子孫コンピュータ オブジェクト パスワードのリセット：子孫コンピュータ オブジェクト プールに使用するターゲット組織単位 (OU) については、このアカウントには、そのターゲット組織単位 (OU) のすべての子孫オブジェクトに対する「すべてのプロパティの書き込み」という名前の Active Directory 権限も必要です。 Microsoft Active Directory では、新しい組織単位 (OU) を作成するときに、システムは、新しく作成された OU およびすべての子孫オブジェクトの [すべての子オブジェクトの削除] 権限に Deny を適用する Prevent Accidental Deletion 属性を自動的に設定する場合があります。その結果、ドメイン参加アカウントに [コンピュータ オブジェクトの削除] 権限を明示的に割り当てた場合、新しく作成された OU の場合、Active Directory は、明示的に割り当てられた [コンピュータ オブジェクトの削除] 権限に上書きを適用した可能性があります。[誤削除の防止] フラグをオフにしても、Active Directory が [すべての子オブジェクトの削除] 権限に適用した Deny が自動的にオフにならない場合があるため、新しく追加された OU の場合、Horizon Cloud Console でドメイン参加アカウントを使用する前に、OU およびすべての子 OU の [すべての子オブジェクトの削除] に対して設定した Deny 権限を確認して手動でクリアする必要がある場合があります。
  ☐	仮想デスクトップおよび RDS セッションベースのデスクトップまたは公開アプリケーション、またはその両方の Active Directory 組織単位 (OU)。 Microsoft Active Directory では、新しい組織単位 (OU) を作成するときに、システムは、新しく作成された OU およびすべての子孫オブジェクトの [すべての子オブジェクトの削除] 権限に Deny を適用する Prevent Accidental Deletion 属性を自動的に設定する場合があります。その結果、ドメイン参加アカウントに [コンピュータ オブジェクトの削除] 権限を明示的に割り当てた場合、新しく作成された OU の場合、Active Directory は、明示的に割り当てられた [コンピュータ オブジェクトの削除] 権限に上書きを適用した可能性があります。[誤削除の防止] フラグをオフにしても、Active Directory が [すべての子オブジェクトの削除] 権限に適用した Deny が自動的にオフにならない場合があるため、新しく追加された OU の場合、Horizon Cloud Console でドメイン参加アカウントを使用する前に、OU およびすべての子 OU の [すべての子オブジェクトの削除] に対して設定した Deny 権限を確認して手動でクリアする必要がある場合があります。

  ユーザー ID の要件

  Horizon Cloud は外部 ID プロバイダに依存しており、現在、Microsoft Entra ID (Azure Active Directory) と Omnissa Workspace ONE Access をサポートしています。Horizon Cloud で構成した ID プロバイダは、ユーザーがデスクトップにアクセスするときに必要な認証を実行します。

  Microsoft Entra ID または Workspace ONE Access の場合は、オンプレミスの Active Directory を外部 ID プロバイダに接続する必要があります。

  必要なセットアップ情報については、「ID プロバイダの設定」を参照してください。

  vCenter の要件

  Horizon Cloud は、オールイン（単一/共通）SDDC モデルを使用し、管理ワークロードに個別の vCenter を必要としません。vSphere または SDDC の vCenter 要件は次のとおりです。

  • • 仮想マシン CRUD 操作（vSphere 8.0 以降）の管理者認証情報を持つ vCenter インスタンス。[vSphere タグ付け] 権限グループのすべての権限を有効にする必要があります。認証情報に必要な最小限の権限については、「Horizon Cloud の vCenter Server ユーザーの構成」を参照してください。

  • 使用するクラスタでの DRS および HA の有効化。クラスタの一部であるすべてのホストで、vSphere 固有の機能 CBRC を有効にする必要があります。

  • クラスタの一部であるすべてのホストで有効にする CBRC。

  • 少なくとも 1 つの、次のようなデータセンター。

    • 少なくとも 3 台の ESXi ホストを持つ 1 つ以上のクラスタ。クラスタは、[ホストおよびクラスタ] フォルダ内ではなく [データセンター] フォルダの直下に配置する必要があります。

    • IOPS で識別され、Horizon Edge、UAG、およびデスクトップ仮想マシンをホストするためのキャパシティを持つ、1 つ以上のデータストア（vSAN または VMFS）。

  • 管理仮想マシンおよびデスクトップ仮想マシンをデプロイするための仮想マシン フォルダ。

  • 管理仮想マシンおよびデスクトップ仮想マシンをデプロイするために必要なリソース プールを作成します。テナント組織ごとに少なくとも 1 つのセットを使用することをお勧めします。

  • 管理仮想マシンおよびデスクトップ仮想マシンをデプロイするために必要な仮想マシン フォルダを作成します。テナント組織ごとに少なくとも 1 つのセットを使用することをお勧めします。

  ネットワーク要件

  次のネットワーク前提条件が必須です。3 つのネットワーク（DMZ、管理、およびデスクトップ）とそのポート グループには、それぞれ対応する VLAN 上の静的 IP アドレスまたは予約済み IP アドレスが必要です。最小要件は /30 です。テナント組織ごとに少なくとも 1 つのセットがあり、パートナー組織に対して 1 つのセットがあります。

  • DMZ ネットワーク

    • UAG の DMZ ネットワーク インターフェイスが接続されるポート グループ。これは、エンド ユーザーが接続するネットワークからアクセスできる必要があります。
    • 静的 IP アドレス範囲の最小要件は 2 つの連続する IP アドレスです。たとえば、UAG クラスタの 10 への拡張をサポートするには、10.202.155.30-10.202.155.39 が必要です。
    • 高度な UAG：他の 2 つのネットワークと同じサイズの固定 IP アドレス範囲にする必要があります。最大 10 個の IP アドレスが許可されます。

  • 管理ネットワーク

    • UAG の管理ネットワーク インターフェイスが接続されるポート グループ。これは、Edge 仮想マシンがデプロイされるポート グループでもあります。
    • 静的 IP アドレス範囲の最小要件は 2 つの連続する IP アドレスです。たとえば、UAG クラスタの 10 への拡張をサポートするには、172.20.241.30-172.202.155.39 が必要です。
    • 高度な UAG：他の 2 つのネットワークと同じサイズの固定 IP アドレス範囲にする必要があります。最大 10 個の IP アドレスが許可されます。

  • デスクトップ ネットワーク

    • UAG のデスクトップ ネットワーク インターフェイスが接続されるポート グループ。これは、デスクトップ仮想マシンがデプロイされるポート グループです。デスクトップ仮想マシンは、Edge 仮想マシンと Active Directory インフラストラクチャにアクセスできる必要があります。
    • 静的 IP アドレス範囲の最小要件は 2 つの連続する IP アドレスです。たとえば、UAG クラスタの 10 への拡張をサポートするには、192.168.240.30-192.168.240.39 が必要です。
    • 高度な UAG：他の 2 つのネットワークと同じサイズの固定 IP アドレス範囲にする必要があります。最大 10 個の IP アドレスが許可されます。

  また、次のネットワーク前提条件を満たす必要があります。

  • Edge 仮想マシンに対して識別された管理ネットワークからの 1 つの静的 IP アドレスと、解決可能な FQDN（DNS インフラストラクチャの A レコード）。これにより、デスクトップ仮想マシンは FQDN を使用して Edge 仮想マシンにアクセスできます。テナント組織ごとに少なくとも 1 つ、パートナー組織に対して 1 つ必要です。

  • UAG FQDN 用に作成された DNS エントリ。複数の UAG デプロイの場合にロード バランサの仮想 IP アドレスに解決されます。各テナント組織の UAG デプロイごとに 1 つ必要です。

  • 「vSphere Edge をデプロイするためのポートとプロトコルの要件」にリストされているすべての必要なポートとプロトコルが、自分と共有されているフォルダで使用でき、『Horizon Cloud スタート ガイド』の説明に従って適切に許可リストに登録されていることを確認します。

  ネットワーク要件の関連情報については、「vSphere Edge デプロイのネットワーク設定の構成」を参照してください。

  ポートとプロトコルの要件

  デプロイと Horizon Cloud 環境の継続的な運用には特定のポートとプロトコルが必要です。詳細については、「vSphere Edge をデプロイするためのポートとプロトコルの要件」を参照してください。

  証明書の要件

  証明書の要件は次のとおりです。

  • FQDN に一致する PEM または PFX 形式の Unified Access Gateway (UAG) の証明書。

  • 自己署名 SSL 証明書。OpenSSL を使用して自己署名 SSL 証明書を作成することができます。スクリプトの例を以下に示します。

  例：CSR とキーの生成

  openssl req -new -newkey rsa:2048 -nodes -keyout uag.key -out uag.csr

  例：PEM の生成と、キーを使用した自己署名

  openssl x509 -req -sha256 -days 365 -in uag.csr -signkey uag.key -out uag.pem

  例：PEM への結合

  cat uag.pem uag.key > uag_cert.pem