Horizon Client のセットアップでは、クライアント デバイスに Horizon Client for Chrome アプリケーションをインストールして、Omnissa Horizon Connection Server を構成し、必要なポートを開きます。
Horizon Connection Server の準備
エンド ユーザーがサーバに接続して、リモート デスクトップまたは公開アプリケーションにアクセスするには、管理者が Horizon Connection Server をインストールして設定する必要があります。
Omnissa Horizon Blast 外部 URL の構成
サーバがインストールされると、該当する Horizon Connection Server インスタンスの [Blast Secure Gateway] 設定が有効になります。また、該当する Horizon Connection Server インスタンスの Blast Secure Gateway で使用するように、[Blast 外部 URL] 設定が構成されます。
デフォルトでは、URL にはセキュアなトンネル外部 URL の FQDN およびデフォルトのポート番号 8443 が含まれます。URL には、Horizon Connection Server ホストに到達するためにクライアント システムで使用できる FQDN とポート番号を含める必要があります。
詳細については、『Omnissa Horizon 8 のインストールとアップグレード』の「Horizon Connection Server インスタンスの外部 URL の設定」を参照してください。
ファイアウォール ルールの構成
サードパーティのファイアウォールを使用する場合は、複製されたグループのすべての Horizon Connection Server のホストで TCP ポート 8443 へのインバウンド トラフィックを許可するようにルールを構成し、データセンターのリモート デスクトップの仮想マシンと RDS ホストの TCP ポート 22443 に（サーバからの）インバウンド トラフィックを許可するためのルールを構成します。
詳細については、「クライアント Web ブラウザ アクセスのファイアウォール ルール」セクションを参照してください。
ユーザー認証の設定
ユーザー認証を設定する場合は、次のチェック リストを使用します。
- それぞれの Horizon Connection Server インスタンスが、ユーザーが Web ブラウザで入力するホスト名を使用して完全に検証できる TLS 証明書を持つことを確認します。詳細については、『Horizon 8 のインストールとアップグレード』ドキュメントを参照してください。
- RSA SecurID または RADIUS 認証などの 2 要素認証を使用するには、Horizon Connection Server でこの機能が有効であることを確認してください。RADIUS 認証のログイン ページでラベルをカスタマイズできます。リモート セッションのタイムアウト後に行われる 2 要素認証を設定できます。詳細については、『Horizon 8 の管理』ドキュメントの 2 要素認証についてのトピックを参照してください。
- Horizon Client で [ドメイン] ドロップダウン メニューを非表示にするには、[クライアントのユーザー インターフェイスでドメイン リストを非表示] グローバル設定を有効にします。デフォルトでは、この設定は有効になっています。詳細については、『Horizon 8 の管理』ドキュメントを参照してください。
- Horizon Client にドメイン リストを送信するには、[ドメイン リストを送信] グローバル設定を有効にします。デフォルトでは、この設定は無効になっています。詳細については、『Horizon 8 の管理』ドキュメントを参照してください。
- 認証しなくても公開アプリケーションにアクセスできるようにするには、Horizon Connection Server でこの機能を有効にします。詳細については、『Horizon 8 の管理』ドキュメントを参照してください。
次の表に、「ドメイン リストを送信」と「クライアントのユーザー インターフェイスでドメイン リストを非表示」グローバル設定によって、Horizon Client からサーバへのログイン方法がどのように決まるかを示します。
| [ドメイン リストを送信] 設定 | [クライアントのユーザー インターフェイスでドメイン リストを非表示] 設定 | ユーザーのログイン方法 |
|---|---|---|
| 無効（デフォルト） | 有効（デフォルト） | [ドメイン] ドロップダウン メニューは表示されません。ユーザーは、[ユーザー名] テキスト ボックスに次のいずれかの値を入力する必要があります。
|
| 無効 | 無効 | クライアントでデフォルトのドメインが設定されている場合、デフォルトのドメインが [ドメイン] ドロップダウン メニューに表示されます。クライアントがデフォルトのドメインを認識していない場合は、[ドメイン] ドロップダウン メニューに *DefaultDomain* が表示されます。ユーザーは、[ユーザー名] テキスト ボックスに次のいずれかの値を入力する必要があります。
|
| アクティベーション済み | アクティベーション済み | [ドメイン] ドロップダウン メニューは表示されません。ユーザーは、[ユーザー名] テキスト ボックスに次のいずれかの値を入力する必要があります。
|
| アクティベーション済み | 無効 | ユーザーは、[ユーザー名] テキスト ボックスにユーザー名を入力して、[ドメイン] ドロップダウン メニューからドメインを選択できます。あるいは、[ユーザー名] テキスト ボックスに次のいずれかの値を入力できます。
|
クライアント Web ブラウザ アクセスのファイアウォール ルール
Horizon Connection Server インスタンス、リモート デスクトップ、公開アプリケーションに接続することをクライアント Web ブラウザに許可するには、ファイアウォールで特定の TCP ポートの受信トラフィックを許可する必要があります。
Horizon Client for Chrome との接続では HTTPS を使用する必要があります。HTTP 接続は許可されません。
デフォルトでは、Horizon Connection Server インスタンスをインストールする場合、ファイアウォールが TCP ポート 8443 へのインバウンド トラフィックを許可するように構成するため、Windows ファイアウォールで Horizon View Horizon Connection Server (Blast-In) ルールが有効になります。
| 送信元 | デフォルトの送信元ポート | プロトコル | 送信先 | デフォルトの送信先ポート | 注 |
|---|---|---|---|---|---|
| クライアント Web ブラウザ | すべての TCP | HTTPS | Horizon Connection Server インスタンス | TCP 443 | 最初に接続するために、クライアント デバイスの Web ブラウザは、TCP ポート 443 で Horizon Connection Server インスタンスに接続します。 |
| クライアント Web ブラウザ | すべての TCP | HTTPS | Blast Secure Gateway | TCP 8443 | 最初の接続が行われた後、クライアント デバイスの Web ブラウザは、TCP ポート 8443 で Blast Secure Gateway に接続します。この第 2 の接続を許可するためには、Blast Secure Gateway を Horizon Connection Server インスタンスで有効にする必要があります。 |
| Blast Secure Gateway | すべての TCP | HTTPS | Horizon Web Client Agent | TCP 22443 | Blast Secure Gateway が有効になっている場合、ユーザーがリモート デスクトップまたは公開アプリケーションを選択すると、Blast Secure Gateway はリモート デスクトップ仮想マシンまたは RDS ホストの TCP ポート 22443 で Horizon Web Client Agent に接続します。このエージェント コンポーネントは、Horizon Agent のインストールに含まれています。 |
| クライアント Web ブラウザ | すべての TCP | HTTPS | Horizon Web Client Agent | TCP 22443 | Blast Secure Gateway が有効になっていない場合、ユーザーがリモート デスクトップまたは公開アプリケーションを選択すると、クライアント デバイスの Web ブラウザはデスクトップ仮想マシンまたは RDS ホストの TCP ポート 22443 で Horizon Web Client Agent に直接接続します。このエージェント コンポーネントは、Horizon Agent のインストールに含まれています。 |
Horizon Client for Chrome のインストールまたはアップグレード
Horizon Client for Chrome は Chrome アプリケーションで、他の Chrome アプリケーションと同じ方法でインストールします。
前提条件
クライアント デバイスが Horizon Client for Chrome のシステム要件を満たしていることを確認します。「Horizon Client for Chrome のシステム要件」セクションを参照してください。
手順
- Chrome デバイスにログインします。
- Chrome Web ストアから Horizon Client for Chrome をダウンロードして、インストールします。
Google 管理コンソールでの登録済みの Chrome デバイスの設定
Google 管理コンソールを使用して、登録済みの Chrome デバイスに Horizon Connection Server の設定を行うことができます。
Horizon Connection Server インスタンス、デフォルトの Horizon Connection Server インスタンス、特定のサーバ機能とクライアント機能のリストを設定できます。
サーバのリストを設定すると、サーバが Horizon Client にショートカットとして表示されます。デフォルトのサーバを設定すると、Horizon Client がそのサーバに自動的に接続します。
これらの設定は、JSON 構成ファイルに指定します。Chrome 管理者は、Google 管理コンソールを使用して、Horizon Client アプリケーションの JSON 構成ファイルをアップロードする必要があります。Google 管理コンソールの使用方法については、G Suite 管理者のヘルプを参照してください。
Horizon Connection Server インスタンスのリスト
server-list セクションのプロパティを使用して、サーバ リストの設定を行います。
| プロパティ | 説明 |
|---|---|
server | サーバの IP アドレスまたはホスト名。 |
username | （オプション）サーバの使用資格が付与されたユーザーの名前。 |
domain | （オプション）username プロパティで指定したユーザーのドメイン。 |
description | （オプション）サーバの説明。 |
次の JSON 構成ファイルの例では、サーバのリストを設定しています。
{
"broker_list": {
"Value": {
"settings": {
"server-list": [{
"server": "viewserver0.mydomain.com",
"default": false,
"description": "View Server 0",
"username": "User0",
"desktopId": "RDS2012R2DC",
"domain": "TestDomain0"
},{
"server": "viewserver1.mydomain.com",
"description": "View Server 1",
"username": "User1",
"domain": "TestDomain1",
"default": false
}, {
"server": "123.456.1.2",
"description": "View Server 2",
"username": "User2",
"default": false,
"domain": "TestDomain2"
}, {
"server": "123.456.1.3",
"description": "View Server 3",
"username": "User3",
"default": false,
"domain": "TestDomain3"
}, {
"server": "viewserver4.mydomain.com",
"description": "View Server 4",
"username": "User4",
"default": false,
"domain": "TestDomain4"
}]}
}
}
}
デフォルトの Horizon Connection Server インスタンス
default プロパティを使用して、server-list セクションでデフォルトのサーバを指定できます。有効な値は、true と false です。
次の JSON 構成ファイルの例では、デフォルトのサーバを指定しています。
{
"broker_list": {
"Value": {
"settings": {
"server-list": [{
"server": "viewserver0.mydomain.com",
"default": true,
"description": "View Server 0",
"username": "User0",
"desktopId": "RDS2012R2DC",
"domain": "TestDomain0"
}]}
}
}
}
クライアント機能
特定の Horizon Client 機能を構成するには、common-setting セクションの設定を使用します。editable プロパティには、ユーザーによる変更が可能な設定かどうかを指定します。次の表のアスタリスクは、編集可能リストで構成できる設定であることを示しています。
**注：**変更された設定を有効にするには、ユーザーが Horizon Client を再起動する必要があります。
| 設定 | 説明 |
|---|---|
editable | Horizon Client の設定のリストを構成し、ユーザーが特定の common settings を変更できるかどうかを指定します。通常、設定の値は各サーバのポリシーによって決まります。この表でアスタリスク (*) のある任意のクライアント機能を追加できます。
editable プロパティに表示されている設定の値が false の場合、その設定は使用できません。ユーザーはこの設定を変更できません。ユーザー インターフェイスが灰色で表示されます。変更を行うため、システム管理者はサーバで設定されたポリシーを更新できます。
editable プロパティが true に設定されている場合、その設定はユーザー インターフェイスで使用できます。ユーザーは変更を行うことができます。
注：最初の使用時に、クライアントはポリシーの設定を適用します。その後は、設定が編集可能で、ユーザーによって変更されていれば、クライアントはその設定を使用します。注： Google 管理コンソールの BCR 設定は editable をサポートしていません。 |
allowDataSharing* | データ共有機能を構成します。値を設定して、共有を有効または無効にします。有効な値は、true（有効）と false（無効）です。 |
allowFileDownload |
ユーザーがファイル転送機能を使用してリモート デスクトップからクライアント デバイスにファイルをダウンロードできるかどうかを構成します。値を設定して、ファイルのダウンロードを有効にするかブロックします。
有効な値は、true（有効）と false（ブロック）です。デフォルト値は true です。
注：ファイル転送機能を使用したファイルのダウンロードを有効にするには、クライアント側で allowFileDownload を有効にし、Configure file transfer GPO 設定を使用してエージェント側でファイルのダウンロードを許可する必要があります。『Horizon リモート デスクトップの機能と GPO』を参照してください。 |
allowFileUpload |
ユーザーがファイル転送機能を使用してクライアント デバイスからリモート デスクトップにファイルをアップロードできるかどうかを構成します。値を設定して、ファイルのアップロードを有効にするか、ブロックします。
有効な値は、true（有効）と false（ブロック）です。デフォルト値は true です。
注：ファイル転送機能を使用したファイルのアップロードを有効にするには、クライアント側で allowFileUpload を有効にし、Configure file transfer GPO 設定を使用してエージェント側でファイルのアップロードを許可する必要があります。『Horizon リモート デスクトップの機能と GPO』を参照してください。 |
autoForwardUSB* | USB の自動リダイレクトを有効または無効にします。この値は、USB 自動リダイレクトを有効にするか無効にするかを指定します。editable プロパティには、ユーザーが [設定] ウィンドウで USB の自動接続の設定を変更できるかどうかを指定します。両方のプロパティの有効値は true と false です。 |
bcrEnabled | ブラウザ コンテンツ リダイレクト機能を有効にします。 |
display* | クライアントで使用できるローカル モニターの使用を構成します。この設定では、クライアント ウィンドウのサイズを指定できます。この設定は、リモート デスクトップの起動時に有効になります。
使用可能なオプション：
displayが editable プロパティのリストにないか、false に設定されている場合にロックされます。editable プロパティで true に設定すると、ユーザーは設定を変更できます。 |
enableAdvancedTouch |
詳細なタッチスクリーン ジェスチャのサポートを有効または無効にします。詳細については、「タッチパッド、タッチスクリーン、キーパッド、マウス ジェスチャ」セクションを参照してください。
有効な値は、true（有効）と false（無効）です。デフォルト値は true です。 |
enableAnonymousLogin* | 設定ダイアログ ボックスで、[認証されていないアクセスを使用して匿名ログイン] として表示される非認証アクセス機能を構成します。value プロパティには、機能を有効にするか無効にするかを指定します。有効な値は、true と false です。 |
enableFileAssociation |
「ファイルの関連付けの設定」セクションに記載されているファイル関連付け機能の有効化状態を構成します。有効な値は以下のとおりです。
enableFileAssociation が構成されていない場合、ファイル関連付けはデフォルトで有効になります。 |
enableHighResolution* | 高解像度モード機能を構成します。value プロパティには、機能を有効にするか無効にするかを指定します。editable プロパティには、ユーザーが Horizon Client で [高解像度モード] の設定を変更できるかどうかを指定します。両方のプロパティの有効値は true と false です。 |
enableMediaStream |
クライアント ユーザーが Chrome クライアントのブラウザ リダイレクト機能および Microsoft Teams のメディア最適化機能のカメラとマイクの権限を構成できるかどうかを決定します。有効な値は以下のとおりです。
true です。詳細については、『Horizon リモート デスクトップの機能と GPO』で「ブラウザ リダイレクトの構成」セクションと「Microsoft Teams のメディア最適化」セクションを参照してください。 |
enableMultiMonitor | マルチモニター機能を構成します。value プロパティを使用して、機能をオンにするかオフにするかを指定します。有効な値は、true と false です。 |
enableH264 | レンダリング方法で H.264 ビデオ モードを使用するかどうかを指定します。クライアントは H.264 ビデオ モードを有効にします。有効な値は、true と false です。
注：
このオプションは、比率が 100% を超える通常のディスプレイを使用していて、管理者が機能を無効にしていない場合にのみ、設定ウィンドウに表示されます。 |
enableRTAVH264Codec |
Real-Time Audio-Video の H.264 コーデックを有効または無効にします。有効な値は、true（H.264 を有効にする）と false（H.264 を無効にする）です。
デフォルト値は true です。
詳細については、「Web カメラ、マイク、スピーカーでの Real-Time Audio-Video 機能の使用」セクションを参照してください。 |
forcePrivateMode | Horizon Cloud on Azure next-gen でプライバシー モードを有効にします。この設定は、エンド ユーザーのプライバシー モードを強制的に有効にする場合に使用します。この設定を有効にした場合、ユーザーはログイン認証を行う必要があります。Horizon Client を閉じるか、現在のサーバとの接続が切れると、ユーザーはブラウザのログアウト ページに移動します。未構成の場合、この設定は無効になります。 |
enableNetworkIndicator |
ネットワーク通知機能を有効または無効にします。有効な値は、true（機能が有効）と false（機能が無効）です。このクライアント設定が有効になるかどうかは、「ネットワーク通知メッセージの表示の構成」で説明されているように、いくつかの要因によって決まります。
値を false に設定すると、[設定] ウィンドウから [ネットワーク状態の表示を無効にする] オプションが削除されます。
デフォルト値は true です。 |
enableLogoutTriggeredQuit | ログアウト時にクライアントが終了するようにトリガします。ポリシー オプションが有効になっている場合、ユーザーがログアウトに成功すると、ポリシー オプションによってクライアントが終了します。
このオプションは、true または false タイプのブール値を受け入れます。 |
enableDisconnectionTriggeredQuit | アクティブ状態の最後のデスクトップまたはアプリケーションから切断したときにクライアントが終了するようにトリガします。ポリシー オプションが有効になっている場合、アクティブ状態の最後のデスクトップまたはアプリケーションから切断したときに、ポリシー オプションによってクライアントが終了します。
このオプションは、true または false タイプのブール値を受け入れます。 |
enableScreenSharing* |
公開アプリケーションの使用時に、ユーザーがローカル画面のコンテンツを共有することを許可または禁止します。有効な値は、true（許可）と false（禁止）です。
editable プロパティは、ユーザーが [設定] ウィンドウから画面共有権限を制御できるかどうかを指定します。 |
enableWebRTCRedirection* |
WebRTC ベースのアプリケーションのメディア最適化機能を有効または無効にします。
この機能を有効にすると、リモート デスクトップ内の WebRTC ベースのアプリケーションからのオーディオ、ビデオ、スクリーン共有ストリームが最適化されます。この機能により、仮想会議や電話会議でのユーザーの全体的なオーディオ ビジュアル エクスペリエンスが向上します。
有効な値は、true（機能が有効）と false（機能が無効）です。
editableプロパティには、[設定] ウィンドウから WebRTC メディア最適化の有効化状態をユーザーが制御できるかどうかを指定します。 |
enableWindowsKey* | リモート デスクトップの Windows キーを有効または無効にします。value には、機能を有効にするか無効にするかを指定します。editable プロパティには、ユーザーが Horizon Client で [デスクトップで Windows キーを有効にします] の設定を変更できるかどうかを指定します。両方のプロパティの有効値は true と false です。 |
enhBcrEnabled | 拡張モードでブラウザ コンテンツ リダイレクト機能を有効にします。これを有効にするには、ブラウザ コンテンツ リダイレクトを有効にする必要があります。
拡張 BCR を設定する場合、<all_urls> はその |
hardwareAccelerationOption |
Real-Time Audio-Video のクライアント側の GPU ハードウェア アクセラレーションを構成します。詳細については、「Web カメラ、マイク、スピーカーでの Real-Time Audio-Video 機能の使用」セクションを参照してください。
有効な値は以下のとおりです。
|
hideSecondaryServer |
Horizon Client がプライマリ サーバとセカンダリ サーバの両方のホスト名のサーバ アイコンを表示するか、プライマリ サーバのホスト名のみを表示するかを構成します。
有効な値は true（プライマリ ホスト名のアイコンのみを表示）と false です。
true です。 |
ignoreCertErrors |
ブラウザ リダイレクト機能が SSL またはセキュリティ証明書エラーを含むページを表示するかどうかを構成します。有効な値は以下のとおりです。
false です。詳細については、「ブラウザ リダイレクトの構成」セクションを参照してください。 |
ignoreCertErrorsBcr | 「ブラウザ コンテンツ リダイレクトの証明書エラーを無視する」を有効にします。 |
ignoreCertErrorsEnhBcr | 「拡張ブラウザ コンテンツ リダイレクトの証明書エラーを無視する」を有効にします。 |
networkStateConfig |
Horizon Client がネットワーク品質スコアを計算し、ネットワークの安定性を判断するために使用するしきい値パラメータを指定します。Horizon Client でこれらのパラメータを使用する方法の詳細については、「Horizon Client によるネットワーク品質の判断方法のカスタマイズ」を参照してください。 この設定には、次のプロパティが含まれます。
|
powerSetting | リモート セッションでユーザーが非アクティブになった場合、デバイスがスリープ状態にならないようにします。デフォルトでは、Chrome デバイスは 10 分後にスリープ モードになります。powerSetting を構成すると、最後のリモート セッションが終了するまで、デバイスはスリープ状態になりません。
keepAwakeLevel プロパティには、電源ポリシーのレベルを指定します。keepAwakeLevel プロパティでは、次の値が有効です。
|
splitUSB |
「複合 USB デバイスの分割」セクションの説明に従って、USB デバイスの分割リダイレクトの動作を指定します。
この設定には、次のプロパティが含まれます。
|
urlFiltering |
クライアントの URL コンテンツ リダイレクト ルールを構成します。URL コンテンツ リダイレクト機能を使用するには、エージェント側でも設定が必要です。詳細については、『Horizon リモート デスクトップの機能と GPO』の「URL コンテンツ リダイレクトを使用するための要件」セクションおよび「URL コンテンツ リダイレクトの構成」セクションを参照してください。
注： 変更したルールを有効にするには Horizon Client を再起動する必要があります。 注：Horizon Connection Server インスタンスで
agentRules に使用するルールの構文によって異なる場合があります。
|
useAssetIdReplaceMachineName |
対応する Horizon 環境変数にクライアント アセット ID（物理コンピュータ名）を渡す方法を構成します。詳細については、Omnissa のナレッジベースの記事 KB92513 を参照してください。
有効な値は以下のとおりです。
false です。 |
ws1WebviewMode |
Unified Access Gateway や Omnissa Workspace ONE によって管理されるアプリケーションなど、管理対象アプリケーションとして実行されている Horizon Client に対してユーザーが認証を行うことができるかどうかを構成します。有効な値は以下のとおりです。
secure-webview です。 |
次の JSON 構成ファイルの例は、編集可能なプロパティの共通の設定と使用方法を示しています。この例では、最適なユーザー エクスペリエンスを実現するためにパフォーマンスと効率を最大化するための推奨設定を示します。
{
"broker_list": {
"Value": {
"settings": {
"server-list": [
{
"server": "viewserver0.mydomain.com",
"default": true,
"description": "View Server 0",
"username": "User0",
"domain": "TestDomain0"
}
],
"common-setting": {
"allowDataSharing": true,
"allowFileDownload": true,
"allowFileUpload": true,
"autoForwardUSB": true,
"autoForwardUSBPolicy": [
{
"desktop": "HorizonAutoUsbAll",
"autoConnectAllOnStart": true,
"autoConnectAllOnInsert": true
}
],
"browserRedir": {
"bcrEnabled": true,
"enhBcrEnabled": true,
"enableMediaStream": true,
"ignoreCertErrorsBcr": false,
"ignoreCertErrorsEnhBcr": true
},
"enableAdvancedTouch": true,
"enableAnonymousLogin": false,
"enableDisconnectionTriggeredQuit": true,
"enableFileAssociation": false,
"enableH264": true,
"enableHighResolution": false,
"enableLogoutTriggeredQuit": true,
"enableMediaStream": false,
"enableNetworkIndicator": true,
"enableRTAVH264Codec": true,
"enableScreenSharing": true,
"enableWindowsKey": true,
"display": "multipleMonitors",
"forcePrivateMode": true,
"hardwareAccelerationOption": "no-preference",
"hideSecondaryServer": true,
"ignoreCertErrors": false,
"useAssetIdReplaceMachineName": false,
"ws1WebviewMode": "secure-webview",
"networkStateConfig": {
"networkStateTcpRttMSLow": 2,
"networkStateTcpRttMSHigh": 400,
"networkStateQualityScoreTcpThresholdGood": 85,
"networkStateQualityScoreTcpThresholdPoor": 40,
"networkStateRttCheckPeriodMs": 15000
},
"splitUSB": {
"allowList": [
{
"device": "0554:1001",
"excludedInterface": [
"00",
"01",
"02"
]
}
]
},
"urlFiltering": {
"protocols": [
{
"brokerHostname": "10.117.24.28",
"protocol": "http",
"remoteItem": "win2022_RDSH",
"agentRules": ".*example1.com"
},
{
"brokerHostname": "10.117.161.109",
"protocol": "https",
"remoteItem": "win10_VDI",
"agentRules": ".*example2.com"
}
]
},
"editable": {
"allowDataSharing": true,
"autoForwardUSB": true,
"enableAnonymousLogin": true,
"enableHighResolution": true,
"enableH264": true,
"enableWebRTCRedirection": true,
"enableScreenSharing": true,
"display": true
}
}
}
}
}
}
新しい TLS 証明書を使用するように Horizon Web Client Agent を構成する
業界の規制やセキュリティ規制を遵守するため、証明書認証局 (CA) が署名した証明書と Horizon Web Client Agent が生成するデフォルトの TLS 証明書を置き換えることができます。
リモート デスクトップに Horizon Web Client Agent をインストールすると、Horizon Web Client Agent サービスがデフォルトの自己署名の証明書を作成します。このサービスは、Horizon Client for Chrome を使用するブラウザにデフォルトの証明書を提示します。
**注：**デスクトップ仮想マシンのゲスト OS で、このサービスは Omnissa Horizon Blast サービスと呼ばれます。
デフォルトの証明書を CA から取得する署名された証明書に置き換えるには、証明書を各リモート デスクトップの Windows ローカル コンピュータ証明書ストアにインポートする必要があります。また、Horizon Web Client Agent が新しい証明書を使用できるようにするレジストリ値も設定する必要があります。
デフォルトの Horizon Web Client Agent 証明書を CA が署名した証明書に置き換える場合、各リモート デスクトップで一意の証明書を構成します。親仮想マシンまたはデスクトップ プールを作成するために使用するテンプレートに CA が署名した証明書を構成しないでください。この方法では、数百または数千台のリモート デスクトップが同じ証明書を持つことになります。
リモート デスクトップの MMC への証明書スナップインの追加
Windows ローカル コンピュータ証明書ストアに証明書を追加する前に、Horizon Web Client Agent がインストールされるリモート デスクトップで Microsoft Management Console (MMC) に証明書のスナップインを追加する必要があります。
前提条件
MMC および証明書のスナップインが、Horizon Web Client Agent がインストールされている Windows ゲスト OS で使用できることを確認します。
前提条件
-
リモート デスクトップで、[スタート] をクリックして
mmc.exeを入力します。 -
[MMC] ウィンドウで、[ファイル] > [スナップインの追加と削除] に移動します。
-
[スナップインの追加と削除] ウィンドウで、[証明書] を選択し、[追加] をクリックします。
-
[証明書スナップイン] ウィンドウで、[コンピュータ アカウント] を選択し、[次へ] をクリックし、[ローカル コンピュータ] を選択し、[終了] をクリックします。
-
[スナップインの追加と削除] ウィンドウで、[OK] をクリックします。
次の手順
SSL 証明書を Windows ローカル コンピュータの証明書ストアにインポートします。「Windows 証明書ストアへの Horizon Web Client Agent 証明書のインポート」トピックを参照してください。
Windows 証明書ストアへの Horizon Web Client Agent 証明書のインポート
デフォルトの Horizon Web Client Agent の証明書を認証局 (CA) 署名付き証明書で置き換えるには、認証局 (CA) 署名付き証明書を Windows ローカル コンピュータの証明書ストアへインポートする必要があります。Horizon Web Client Agent がインストールされている各リモート デスクトップでこの手順を実行します。
前提条件
- リモート デスクトップで Horizon Web Client Agent がインストールされていることを確認します。
- CA によって署名された証明書がリモート デスクトップにコピーされたことを確認します。
- 証明書のスナップインが MMC に追加されたことを確認します。「リモート デスクトップの MMC への証明書スナップインの追加」セクションを参照してください。
手順
-
リモート デスクトップの MMC ウィンドウで、[証明書 (ローカル コンピュータ)] ノードを拡張して [個人] フォルダを選択します。
-
[操作] ペインで、[その他のアクション] > [すべてのタスク] > [インポート] に移動します。
-
[Certificate Import（証明書のインポート）] ウィザードで、[次へ] をクリックして証明書が格納されている場所を参照します。
-
証明書ファイルを選択して [開く] をクリックします。
証明書ファイルのタイプを表示するには、[ファイル名] ドロップダウン メニューからそのファイル形式を選択できます。
-
証明書ファイルに含まれるプライベート キーのパスワードを入力します。
-
[この鍵をエクスポート可能にマークする] を選択します。
-
[すべての拡張可能なプロパティを含む] を選択します。
-
[次へ] をクリックして [終了] をクリックします。
新しい証明書が、[証明書（ローカル コンピュータ）] > [個人] > [証明書] フォルダに表示されます。
-
新しい証明書にプライベート キーが含まれていることを確認します。
a. [証明書（ローカル コンピュータ）] > [個人] > [証明書] フォルダで、新しい証明書をダブルクリックします。
b. [証明書情報] ダイアログ ボックスの [全般] タブで、「
You have a private key that corresponds to this certificate」というメッセージが表示されていることを確認します。
次の手順
必要に応じて、ルート証明書と中間証明書を Windows 証明書ストアにインポートします。詳細については、「Horizon Web Client Agent のルートおよび中間証明書のインポート」を参照してください。
適切なレジストリ キーを証明書サムプリントで構成します。詳細については、「Windows レジストリへの証明書サムプリントの設定」を参照してください。
Horizon Web Client Agent のルート証明書と中間証明書のインポート
証明書チェーンのルート証明書と中間証明書が、Horizon Web Client Agent にインポートした SSL 証明書と共にインポートされていない場合、Windows ローカル コンピュータ証明書ストアにこれらの証明書をインポートする必要があります。
-
リモート デスクトップの MMC コンソールで、[証明書（ローカル コンピュータ）] ノードを展開して [信頼されたルート証明機関] > [証明書] フォルダに移動します。
- ルート証明書がこのフォルダにあり、中間証明書が証明書チェーンにない場合は、この手順を省略します。
- ルート証明書がこのフォルダになければ、手順 2 に進みます。
-
[信頼されたルート証明機関] > [証明書] フォルダを右クリックし、[すべてのタスク] > [インポート] をクリックします。
-
[証明書のインポート] ウィザードで、[次へ] をクリックしてルート CA 証明書が保存されている場所を参照します。
-
ルート CA 証明書ファイルを選択し、[開く] をクリックします。
-
[次へ] をクリックし、[次へ] をクリックし、そして [終了] をクリックします。
-
サーバ証明書に中間 CA が署名している場合は、証明書チェーンのすべての中間証明書を Windows ローカル コンピュータの証明書ストアにインポートします。
a. [証明書（ローカル コンピュータ）] > [中間認証局] > [証明書] フォルダに移動します。
b. インポートする各中間証明書に対して、手順 3 から 6 を繰り返します。
次の手順
適切なレジストリ キーを証明書サムプリントで構成します。詳細については、「Windows レジストリへの証明書サムプリントを設定する」を参照してください。
Windows レジストリへの証明書サムプリントの設定する
Horizon Web Client Agent が、Windows 証明書ストアへインポートされた CA 署名の証明書を使用できるように、Windows レジストリ キーの証明書サムプリントを構成する必要があります。デフォルト証明書を CA 署名の証明書に交換する各リモート デスクトップでこの手順を実行する必要があります。
前提条件
CA によって署名された証明書が Windows 証明書ストアにインポートされていることを確認します。「Windows 証明書ストアへの Horizon Web Client Agent 証明書のインポート」を参照してください。
手順
-
Horizon Web Client Agent がインストールされているリモート デスクトップの MMC ウィンドウで、[証明書（ローカル コンピュータ）] > [個人] > [証明書] フォルダの順に移動します。
-
Windows 証明書ストアへインポートした認証局 (CA) 署名付き証明書をダブルクリックします。
-
[証明書] ダイアログ ボックスで、[詳細] タブをクリックし、スクロール ダウンして、[サムプリント] アイコンを選択します。
-
選択したサムプリントをテキスト ファイルへコピーします。
例：
31 2a 32 50 1a 0b 34 b1 65 46 13 a8 0a 5e f7 43 6e a9 2c 3e**注：**サムプリントをコピーする場合は、先頭にあるスペースを含めないでください。サムプリントとともに先頭にあるスペースをレジストリ キー（手順 7）へ誤って貼り付けると、証明書が正常に設定されない場合があります。先頭にあるスペースがレジストリの値テキスト ボックスに表示されなくても、この問題が発生する場合があります。
-
Horizon Web Client Agent がインストールされたデスクトップで Windows レジストリ エディタを起動します。
-
HKEY_LOCAL_MACHINE\SOFTWARE\Omnissa\Horizon\Blast\Configレジストリ キーに移動します。 -
SslHash値を修正して、テキスト ボックスに証明書サムプリントを貼り付けます。 -
Windows を再起動します。
結果
ユーザーが Horizon Client for Chrome を介してリモート デスクトップへ接続する場合、HTML Access Agent はユーザーのブラウザに CA 署名の証明書を提供します。
特定の暗号化スイートを使用するための Horizon Web Client の構成
デフォルトの暗号化セットではなく特定の暗号化スイートを使用するように、Horizon Web Client Agent を構成できます。
デフォルトでは、Horizon Web Client Agent は、ネットワークからのデータの盗み出しや偽装に対して、強力な保護を提供する特定の暗号化に基づいた暗号を使用するために、TLS 接続の受信を必要とします。Horizon Web Client Agent が使用する暗号化の代替リストを構成できます。許可される暗号化のセットは OpenSSL 形式で表記されます。暗号リストの形式を表示するには、Web ブラウザで openssl cipher string を検索します。
手順
-
Horizon Web Client Agent がインストールされているデスクトップで、Windows レジストリ エディタを起動します。
-
HKEY_LOCAL_MACHINE\SOFTWARE\Omnissa\Horizon\Blast\Configレジストリ キーに移動します。 -
新しい文字列 (REG_SZ) の値
SslCiphersを追加して、OpenSSL 形式で暗号化リストをテキスト ボックスに貼り付けます。 -
変更を有効にするには、Omnissa Horizon Blast サービスを再起動します。
Windows ゲスト OS では、Horizon Web Client Agent のサービスは、Horizon Blast と呼ばれます。
結果
デフォルトの暗号化リストを使用するように戻すには、SslCiphers 値を削除して、Horizon Blast サービスを再起動します。値のデータ部分を単に削除しないでください。データ部分を削除すると、Horizon Web Client Agent は、OpenSSL 暗号化リスト形式の定義に従って、すべての暗号化を許可しなくなります。
Horizon Web Client Agent が起動すると、Horizon Blast サービスのログ ファイルに暗号化の定義を書き込みます。SslCiphers 値が Windows レジストリで構成されていない状態で Horizon Blast サービスが起動するときに、ログを調査して現在のデフォルトの暗号化リストを把握できます。
Horizon Web Client Agent のデフォルトの暗号定義は、セキュリティを向上するためにリリースごとに変更される場合があります。
Unified Access Gateway での CA 署名付き証明書の使用
Unified Access Gateway アプライアンスを使用する場合は、Subject Alternative Names (SAN) が設定された CA 署名付き証明書をインストールする必要があります。
SAN が設定されていない CA 署名付き証明書または自己署名証明書を使用すると、接続がプライベートではないエラーが発生し、Horizon Client for Chrome で接続できません。
**注：**Horizon Connection Server インスタンスを使用する場合は、Proceed to ip-address (unsafe) をクリックして接続できます。
証明書のインストールと構成の詳細については、『Horizon 8 インストールとアップグレード』ドキュメントを参照してください。Chrome に証明書をインストールする方法については、Google Chrome のドキュメンテーションを参照してください。
このページは役に立ちましたか?