Amazon WorkSpaces Core のネットワーク設定の構成

Horizon Cloud では、デプロイには Amazon WorkSpaces Core リージョンでのサブネット サポートが必要です。これには、そのリージョンに Virtual Private Cloud (VPC) が存在する必要があります。

必要なサブネットと NAT IP アドレスに適用可能なアドレス空間を持つ Amazon WorkSpaces Core リージョンに VPC 作成します。

管理サブネット、テンタント サブネット、および DMZ サブネットを作成する手順

VPC に、クラスレス インタードメイン ルーティング (CIDR) 形式の重複しないサブネット アドレス範囲を 3 つ作成します。次のサブネット要件が最小です。大規模な環境では、より大きなサブネットが必要になる場合があります。

1. 管理サブネット（/26 以上）を作成します。

   Edge Gateway をデプロイし、送信接続タイプとして NAT ゲートウェイを使用する場合は、NAT ゲートウェイを構成します。また、管理サブネットが次の IP アドレス範囲と競合しないことを確認します。

   • 169.254.0.0/16
   • 172.30.0.0/16
   • 172.31.0.0/16
   • 192.0.2.0/24

2. 2 つの異なるアベイラビリティ ゾーンに 2 つのデスクトップ（テナント）サブネットを作成します。

   プライマリ デスクトップ（テナント）サブネットの場合は、/27 の最小サブネットを作成しますが、デスクトップと RDS サーバの数に基づいて適切なサイズを設定します。必要に応じてサブネットを追加できます。

   **注：**内部ロード バランサを使用している場合は、デスクトップ仮想マシンのすべての仮想マシン サブネットが RFC1918 で説明されている IP アドレス範囲に含まれることを確認します。

3. DMZ サブネットを作成します。

   Unified Access Gateway のクラスタ用に /27 の最小サブネットを作成します。

   **注：**Unified Access Gateway をデプロイするには、3 つのサブネットが必要です。各 Unified Access Gateway 仮想マシンには、各サブネットから 1 つずつ、合計 3 つの NIC があります。外部ロード バランサ バックエンド プールは DMZ サブネット NIC に接続されます。内部ロード バランサ バックエンド プールは、デスクトップ サブネット NIC に接続されます。インターネットから DMZ ネットワークへの入力方向をブロックするネットワーク セキュリティ グループ (NSG) またはファイアウォール ルールがないことを確認します。Omnissa がデプロイする NSG は、（サブネットではなく）NIC に接続されている NSG のみであり、デフォルトで入力方向が許可されます。インターネットから DMZ NIC への受信トラフィックをブロックするファイアウォールまたは NSG ルールがあると、外部ロード バランサ経由で Unified Access Gateway に接続しようとしたときに問題が発生します。

設定で Amazon Workspaces Core のエージェント ペアリングと AWS IP アドレス範囲を指定する手順

Horizon Cloud では、仮想マシンで実行されているエージェントがより安全な方法でデータを送信できるように、すべての仮想マシンが Horizon Control Plane に安全に接続されます。このプロセスはエージェント ペアリングと呼ばれます。Amazon Workspaces Core の場合は、必要に応じて、[全般設定] のユーザー インターフェイス シーケンスを使用して、このエージェント ペアリングに使用する許可された NAT ゲートウェイ IP アドレス範囲を指定できます。指定した IP アドレス範囲は、内部仮想 IP アドレス ネットワークの一方向トラフィックの接続に外部アドレスを検証して許可するために使用されます。

複数の NAT ゲートウェイ IP アドレス範囲を指定できます。この設定の使用はオプションで、セキュリティを強化できます。

ここで少なくとも 1 つの NAT ゲートウェイ IP アドレス範囲を指定すると、検証が実行され、その IP 範囲内から送信されない要求が行われた場合、アクセスは拒否されます。ここでネットワーク範囲を指定しない場合、どの NAT ゲートウェイ IP アドレスからもアクセスが許可されます。

1. Horizon Universal Console で、[設定] をクリックした後、[全般設定] タイルの [管理] をクリックします。

   

2. ネットワーク範囲の追加セクションで [追加] をクリックし、許可された NAT ゲートウェイ IP アドレス範囲を入力します。

3. AWS IP アドレスの範囲セクションで [追加] をクリックして、CIDR、単一の IP アドレス、および IP アドレス範囲を指定することもできます。