Microsoft Azure サブスクリプションのサービス プリンシパルの作成

Horizon Cloud on Microsoft Azure のデプロイの場合、サービスは API 呼び出しを使用してリソースを Microsoft Azure サブスクリプションにデプロイし、それらのリソースを管理します。Microsoft Azure サブスクリプションで API 呼び出しを使用する機能を Horizon Cloud に提供するには、Microsoft Entra ID にアプリケーション登録と呼ばれるサービス プリンシパルを作成します。

プロバイダのメイン サービス プリンシパルに加えて、プロバイダに対して 4 つの追加の一意のサービス プリンシパルを作成できます。合計 5,000 台の仮想マシンをサポートするには、4 つのサービス プリンシパルを追加します。複数のサービス プリンシパルがある場合、それらはサブスクリプション ID とディレクトリ ID を共有しますが、各サービス プリンシパルには独自のアプリケーション ID があります。

**重要：**各サービス プリンシパルに同じロールを使用します。

Horizon Cloud のために Microsoft Azure サブスクリプションのキャパシティにアクセスして使用するには、サービス プリンシパルを作成します。Microsoft Azure サブスクリプション ID、ディレクトリ ID、およびアプリケーション ID とキーは、Horizon Cloud で使用されます。

**注：**Microsoft Azure ポータルでこのセクションのタスクを実行します。構成の詳細については、Microsoft のドキュメントの「リソースにアクセスできる Azure Active Directory アプリケーションとサービス プリンシパルをポータルで作成する」を参照してください。Microsoft はサービス プリンシパルに証明書ベースの認証を使用することを推奨していますが、ここではサービス プリンシパルにキー/シークレット ベースの認証を要求します。

Horizon Cloud Service プリンシパルには、サブスクリプションに割り当てられたロールが必要です。通常、Horizon Cloud はサブスクリプションに組み込みの Contributor ロールを使用します。

Contributor ロールを使用するのは、Horizon Cloud がサブスクリプション内で実行する必要があるすべての API 呼び出しをカバーするためです。ロールの割り当ては直接割り当てである必要があります。ロールのグループベースの割り当ての使用（ロールがグループに割り当てられ、サービス プリンシパルがそのグループのメンバーとなる）は、サポートされていません。

組織がサブスクリプションで Contributor ロールの使用を避けたい場合は、Horizon Cloud は代わりにカスタム ロールの使用をサポートします。使用する場合、カスタム ロールは、Horizon Cloud が使用する必要がある特定の API 呼び出しを提供する必要があります。詳細については、「Horizon Cloud アプリケーション登録にカスタム ロールを使用する」を参照してください。

注：Microsoft Entra ID に参加しているプールまたは仮想マシンを削除する場合、サービス プリンシパルには Microsoft Entra ID からデバイス エントリを削除する権限が必要です。

権限は次のとおりです。

範囲：https://graph.microsoft.com/

権限：Device.ReadWrite.All Read and write devices

管理者の同意：Yes

権限を付与するには、次の場所に移動します。

[サブスクリプション] > [Azure Active Directory] > [アプリケーションの登録] > 権限を付与する必要があるアプリケーションを選択 > [API 権限] > [Microsoft GRAPH] を選択 > [Device.ReadWriteAll] を選択

次の手順では、Horizon Cloud 環境で使用する設定を示します。

手順

• サブスクリプションに最大 4 つのサービス プリンシパルとクライアント シークレットを構成します。

  1. クライアント シークレットの有効期間を、24 Months など適切な長さに設定します。

  2. 後で参照できるように、クライアント シークレットのコピーを保存します。

  3. 各サービス プリンシパルに適切なロールを割り当て、サービス プリンシパルがサブスクリプション内のリソースを管理できるようにします。

次の手順

必要なリソース プロバイダを登録します。「必要なリソース プロバイダが Microsoft Azure サブスクリプションに登録されていることの確認」を参照してください。