リモート デスクトップおよびアプリケーションを Omnissa Workspace ONE Access から起動するか、サードパーティ製ロード バランサまたはゲートウェイを通じてリモート デスクトップおよびアプリケーションを接続するには、Horizon Console で SAML 認証子を作成する必要があります。SAML 認証子には、Horizon 8 とクライアントが接続するデバイス間での信頼とメタデータの交換が含まれます。
SAML 認証子を Connection Server インスタンスと関連付けます。導入環境に複数の Connection Server インスタンスが含まれる場合は、各インスタンスに別の SAML 認証子を関連付ける必要があります。
1 つの静的認証子と複数の動的認証子を一度にライブにすることができます。vIDM（動的）および Unified Access Gateway（静的）の認証子を構成して、これらをアクティブ状態に保持できます。これらの認証子のいずれかを通じて接続を行うことができます。
Connection Server に複数の SAML 認証子を構成して、すべての認証子を同時にアクティブにできます。ただし、Connection Server で構成される各 SAML 認証子のエンティティ ID は異なっている必要があります。
SAML 認証子は本質的に静的な事前定義済みメタデータであるため、ダッシュボードでのステータスは常に緑色です。ステータスが赤色と緑色の間で切り替わるのは、動的認証子のみです。
Omnissa Unified Access Gateway アプライアンスの SAML 認証子の構成については、「Unified Access Gateway およびサードパーティの ID プロバイダ統合のための認証方法」を参照してください。
前提条件
-
Workspace ONE、Omnissa Workspace ONE Access またはサードパーティ製のゲートウェイまたはロード バランサがインストールされて構成されていることを確認します。該当製品のインストール ガイドを参照してください。
-
Connection Server ホストに、SAML サーバ証明書用の認証局 (CA) が署名したルート証明書がインストールされていることを確認します。Omnissa では、自己署名の証明書を使用するように SAML 認証子を構成することは推奨されません。証明書認証の詳細については、『Horizon 8 のインストールとアップグレード』を参照してください。
-
Workspace ONE サーバ、Omnissa Workspace ONE Access サーバ、または外部に接しているロード バランサの FQDN または IP アドレスを書き留めます。
-
Workspace ONE または Omnissa Workspace ONE Access を使用している場合、コネクタ Web インターフェイスの URL を書き留めます。
-
SAML メタデータを生成して静的認証子を作成する必要のある Unified Access Gateway アプライアンスまたはサードパーティ製アプライアンスの認証子を作成する場合、デバイスで SAML メタデータを生成する手順を実行し、そのメタデータをコピーします。
手順
-
Horizon Console で、[設定] > [グローバル設定] の順に移動します。
-
[認証子] タブで、[追加] をクリックし、ドロップダウン メニューから [SAML 認証子を追加] を選択します。
-
[SAML 認証子を追加] ダイアログ ボックスで SAML 認証子を構成します。
オプション 説明 タイプ Unified Access Gateway アプライアンスまたはサードパーティ製デバイスの場合、[静的] を選択します。Omnissa Workspace ONE Access の場合、[動的] を選択します。動的認証子の場合、メタデータ URL および管理 URL を指定できます。静的認証子の場合、Unified Access Gateway アプライアンスまたはサードパーティ製デバイスでメタデータを生成し、メタデータをコピーして [SAML メタデータ] テキスト ボックスに貼り付けます。 ラベル SAML 認証子を識別する一意の名前。 説明 SAML 認証子の簡単な説明。この値はオプションです。 メタデータ URL （動的認証子の場合）SAML ID プロバイダと Connection Server インスタンス間で SAML 情報を交換するために必要な情報すべてを取得するための URL。URL https://<YOUR HORIZON SERVER NAME>/SAAS/API/1.0/GET/metadata/idp.xmlで [<YOUR HORIZON SERVER NAME>] をクリックし、Omnissa Workspace ONE Access サーバまたは外部に接するロード バランサ（サードパーティ製デバイス）の FQDN または IP アドレスに置き換えます。True SSO トリガ モード （動的認証子の場合）SAML 認証子の TrueSSO を有効または無効にします。 SAML メタデータ （静的認証子の場合）Unified Access Gateway アプライアンスまたはサードパーティ製デバイスから生成およびコピーしたメタデータ テキスト。 暗号化アサーションが必要（Horizon 2412 以降） 暗号化アサーションのサポートが必要な場合は、このチェックボックスをオンにします。IDP が暗号化されたアサーションを送信できない場合は、このフラグをオフのままにします（デフォルト）。デフォルトの Connection Server は、IDP からの暗号化されていない SAML アサーションを許可します。IDP が暗号化アサーションを送信すると、Connection Server は [暗号化されたアサーションが必要] オプションがオフになっていても、暗号化されたアサーションを許可します。 **注：**SAML 認証子の追加/編集機能では、このオプションがデフォルトで選択されています。 Workspace ONE モード 有効にすると、この SAML 認証子を Workspace ONE 認証子としてマークします。デフォルトでは、Connection Server は認証子を Workspace ONE 認証子とは見なしません。 IDP が毎回ユーザーを認証する必要がある 有効にすると、SAML セッションが特定のユーザーに対してアクティブになっている場合でも、IDP（ID プロバイダ）は再認証する必要があります。デフォルトでは、ユーザー セッションがすでにアクティブな場合、IDP はユーザーに再認証を要求しません。 -
[OK] をクリックして SAML 認証子の構成を保存します。
-
認証子を選択して、選択したすべての Connection Server の認証の委任設定を有効にします。
オプション 説明 許可する SAML 認証が有効です。リモート デスクトップとアプリケーションは、Horizon Client と Omnissa Workspace ONE Access の両方またはサードパーティ製デバイスから起動できます。 必須 SAML 認証が有効です。リモート デスクトップとアプリケーションは、Omnissa Workspace ONE Access またはサードパーティ製デバイスからのみ起動できます。デスクトップまたはアプリケーションを、Horizon Client から手動で起動できません。 -
メタデータの設定を構成します。
-
メタデータの設定では、CPA 環境内で SAML メタデータを共有および設定する方法を制御できます。CPA レベルで共通 SAML メタデータを有効にするには、この構成をポッドごとに個別に完了する必要があります。
-
メタデータ設定には、次の構成フィールドが含まれています。
フィールド 説明 クラスタ GUID ポッド クラスタの一意の識別子。CPA 環境内の特定のポッド インスタンスを識別します。 キー共有を有効にする SAML 署名キーと暗号化キーをポッド間で共有するかどうかを制御します。 エンティティ共有を有効にする SAML エンティティ ID をポッド間で共有するかどうかを制御し、ポッドが ID プロバイダに共通の ID を提供するかどうかを決定します。 共有エンティティ ID エンティティ ID の共有が有効な場合に使用される共通 SAML エンティティ ID。デフォルトではクラスタ GUID がポピュレートされます。
次のステップ
Connection Server のメタデータの有効期間を延長して、リモート セッションが 24 時間経過後に終了されないようにします。「Connection Server でのサービス プロバイダ メタデータの有効期間の変更」を参照してください。
-
このページは役に立ちましたか?