このページは、Horizon Cloud の一般的な Horizon Cloud on Amazon WorkSpaces Core デプロイ内の通信に使用されるすべてのポートとプロトコルのリファレンスです。以下の表を使用して、ネットワーク構成とファイアウォールで正常なデプロイと日常操作に必要な通信トラフィックが可能になるようにします。
デプロイの詳細
特定のデプロイに必要な特定のポートとプロトコルは、Horizon Cloud on Amazon WorkSpaces Core デプロイに使用する機能によって一部異なります。特定のコンポーネントまたはプロトコルを使用しない場合、その必要な通信トラフィックはユーザーの目的には不要であり、そのコンポーネントに関連付けられているポートは無視してもかまいません。
**重要：**ここで説明するポートとプロトコルに加えて、Horizon Edge デプロイと対応する日常の操作には、特定の DNS 要件があります。詳細については、「Amazon WorkSpaces Core 環境に Horizon Edge Gateway をデプロイするために適切な宛先 URL をアクセス可能にする」を参照してください。
Horizon Edge で必要なポートとプロトコル
Horizon Infrastructure Monitoring を有効にすると、関連付けられたサブスクリプションに Horizon Edge がデプロイされ、構成されます。以下の表には、有効化プロセスの実行中に必要となるポートとプロトコルが記載されています。このプロセスでは、アプライアンスをデプロイし、アプライアンスがそれらのコンポーネントから設計に従って収集する監視データを収集できるようにマネージャ仮想マシンを構成します。またこの表には、設計に従って収集すべきデータを収集する定常状態の運用中に必要なポートとプロトコルも記載されています。
| ソース | ターゲット | ポート | プロトコル | 目的 |
|---|---|---|---|---|
| Horizon Edge | Unified Access Gateway 仮想マシン | 9443 | HTTPS | このポートは、Edge の Unified Access Gateway 構成を設定するために、管理サブネット上の Edge 仮想マシンによって使用されます。このポート要件は、Unified Access Gateway 構成を最初にデプロイする場合、および Edge を編集して Unified Access Gateway 構成を追加する場合、またはその Unified Access Gateway 構成を更新する場合に適用されます。また、Unified Access Gateway からのセッション統計情報を監視する場合にも適用されます。 |
| Horizon Edge | ドメイン コントローラ | Kerberos：88 LDAP：389、3268 LDAPS：636、3269 | TCP UDP | Horizon Cloud をドメインに登録し、SSO ログインとドメイン コントローラの定期的な検出を行います。 LDAP/LDAPS がそのワークフローで指定される場合、これらのポートは LDAP または LDAPS サービスに必要です。LDAP は、ほとんどのテナントでデフォルトです。 ターゲットは、Active Directory 構成内のドメイン コントローラのロールが含まれているサーバです。 |
| Horizon Edge | AD 証明書サービス | 135 および 49152 ～ 65535 の範囲内のポート | TCP (RPC) | Microsoft Enterprise Certificate Authority (AD CS) に接続して、True SSO の一時的な証明書を取得します。Horizon Edge は、最初の RPC 通信に TCP ポート 135 を使用し、次に 49152 ～ 65535 の範囲内のポートを使用して AD CS (Active Directory Certificate Services) と通信します。 |
| Horizon Edge | DNS サーバ | 53 および 853 | TCP UDP | DNS サービス。 |
| Horizon Edge |
| 443 | TCP | Azure Blob Storage へのプログラム アクセス、および必要に応じて Horizon Edge ログをアップロードするために使用されます。 Docker イメージをダウンロードして、監視、SSO、UAG の更新などに役立つ必要な Horizon Edge モジュールを作成するために使用されます。 |
| Horizon Edge | horizonedgeprod.azurecr.io | 443 | TCP | Docker イメージをダウンロードして、監視、SSO、UAG の更新などに役立つ必要な Horizon Edge モジュールを作成する際の認証に使用されます。 |
| Horizon Edge | *.azure-devices.net | 443 | TCP | クラウド制御プレーンとの通信、アプライアンスのモジュールの構成のダウンロード、アプライアンスのモジュールのランタイム ステータスの更新に使用されるアプライアンス。現在の具体的なエンドポイントは次のとおりです。 北米：
|
| Horizon Edge | *.data.workspaceone.com | 443 | TCP | イベントまたはメトリックを Workspace ONE Intelligence に送信してデータを監視します。
Workspace ONE Intelligence 製品ドキュメントを参照してください。
具体的なエンドポイントは次のとおりです。
|
| Horizon Edge | login.microsoftonline.com | 443 | TCP | 一般的に Microsoft Azure サービスに対して認証を行うためにアプリケーションによって使用されます。 |
| Horizon Edge |
リージョン固有： *.horizon.omnissa.com US
| 443 | TCP | クラウド制御プレーンとの通信および Day 2 運用に使用されるアプライアンス。 |
| Horizon Edge Gateway（単一の仮想マシン タイプ） | NTP サーバ | 123 | UDP | NTP サービス |
Unified Access Gateway 仮想マシンのポートとプロトコルの要件
上記の表に記載されたプライマリ ポートとプロトコルの要件に加え、以下の表のポートとプロトコルは、デプロイ後の継続的な運用のために動作するように構成したゲートウェイに関連しています。
Unified Access Gateway インスタンスで構成されている接続では、Unified Access Gateway インスタンスと以下の表に記載されたターゲットとの間でトラフィックを許可する必要があります。
注：
- このガイダンスは、Unified Access Gateway ドキュメントに記載されています。これらのサービスがデプロイされた Unified Access Gateway インスタンスの場合、UDP ポートでは、転送と応答の両方の UDP データグラムを許可する必要があります。たとえば、Unified Access Gateway サービスは DNS を使用してホスト名を解決します。インスタンスへの DNS 要求は UDP ポート 53 で行われるため、外部ファイアウォールがこれらの要求または応答をブロックしないことが重要です。
- Unified Access Gateway は、マルチ NIC 構成にデプロイされます。以下の表の送信元ネットワーク列は、トラフィックの送信元ネットワークの詳細を示します。
Unified Access Gateway インスタンスからのトラフィックに関するポートの要件
| ソース | ターゲット | ポート | ソース ネットワーク | プロトコル | 目的 |
|---|---|---|---|---|---|
| Unified Access Gateway | *.horizon.omnissa.com | 443 | DMZ ネットワーク | TCP UDP | Unified Access Gateway は、これらのアドレスをいつでも解決できる必要があります。解決できない場合、ユーザーはセッションを起動できません。これは、Unified Access Gateway が cloud-sg-<region>-r-<DC>.horizon.omnissa.com から JWK セットを取得するためです。 エンドポイントは次のとおりです。
|
| Unified Access Gateway | DNS サーバ | 53 および 853 | 任意 | TCP UDP | DNS サービス。 |
| Unified Access Gateway | デスクトップまたはファーム RDSH 仮想マシン内の Horizon Agent | 22443 | テナント ネットワーク | TCP UDP | Blast Extreme デフォルトでは、Blast Extreme を使用する場合、クライアント ドライブ リダイレクト (CDR) トラフィックおよび USB トラフィックはこのポート内でサイド チャネルされます。好みに応じて、CDR トラフィックは TCP 9427 ポート上で、USB リダイレクト トラフィックは TCP 32111 ポート上で分離できます。 |
| Unified Access Gateway | デスクトップまたはファーム RDSH 仮想マシン内の Horizon Agent | 9427 | テナント ネットワーク | TCP | CDR とマルチ メディア リダイレクト (MMR) トラフィックでは省略できます。 |
| Unified Access Gateway | デスクトップまたはファーム RDSH 仮想マシン内の Horizon Agent | 32111 | テナント ネットワーク | TCP | USB リダイレクト トラフィックでは省略できます。 |
| Unified Access Gateway | NTP サーバ デフォルト値は time.google.com です。ただし、この値は自由に変更できます。 | 123 | DMZ ネットワーク | UDP | NTP サービス |
| Unified Access Gateway | *.blob.core.windows.net *.blob.storage.azure.net | 443 | DMZ ネットワーク | TCP | Azure BLOB ストレージへのプログラム アクセス、および必要に応じて Unified Access Gateway ログをアップロードするために使用されます。 |
App Volumes のポートとプロトコル
Horizon Cloud on Amazon WorkSpaces Core で使用する App Volumes 機能をサポートするには、テナント（デスクトップ）サブネットへの TCP プロトコル トラフィック用にポート 445 を構成する必要があります。ポート 445 は、Microsoft Windows の SMB ファイル共有にアクセスするための標準の SMB ポートです。AppStack は、ポッド マネージャ仮想マシンと同じリソース グループにある SMB ファイル共有に保存されます。
**注：**オンプレミスまたはクラウド上の 自己管理型の Active Directory を使用して ID とデバイスを管理する場合は、FSx for Windows ファイル サーバのファイル システムを Active Directory ドメインに追加できます。「自己管理型 Microsoft Active Directory の使用」に関する AWS のドキュメントを参照してください。
App Volumes のポート要件
| ソース | ターゲット | ポート | プロトコル | 目的 |
|---|---|---|---|---|
| ベースのインポートされた仮想マシン、ゴールド イメージ、デスクトップ仮想マシン、ファーム RDSH 仮想マシンの App Volumes Agent | Windows ファイル サーバの Amazon FSx の IP アドレス | 445 | TCP | VDI マシン上の App Volumes アプリケーションの仮想化と VDI マシン上のアプリケーション パッケージのキャプチャは、ファイル共有へのアクセスに依存します。 |
VDI ポートおよびプロトコルの要件
次の表に、環境で構成されたデスクトップ（VDI またはテナント）サブネットに必要なポートとプロトコルを示します。
VDI ポートおよびプロトコルの要件
| ソース | ターゲット | ポート | プロトコル | 目的 |
|---|---|---|---|---|
| デスクトップ（テナント）サブネット | *.horizon.omnissa.com | 443 | TCP MQTT | エージェント関連の操作（たとえば、仮想マシン ハブを使用した証明書の署名や更新など）用。現在の具体的なエンドポイントは次のとおりです。 US：
|
| デスクトップ（テナント）サブネット | ドメイン コントローラ | 88 | TCP UDP | Kerberos サービス。ターゲットは、Active Directory 構成内のドメイン コントローラのロールが含まれているサーバです。Active Directory への Edge の登録が必要です。 |
| デスクトップ（テナント）サブネット | ドメイン コントローラ | Kerberos：88 LDAP：389、3268 LDAPS：636、3269 | TCP UDP | これらのポートは、仮想マシンからドメイン コントローラへの接続のための LDAP または LDAPS サービスに必要です。VDI がドメイン コントローラにアクセスできない場合、セッションを起動できません。 |
| デスクトップ（テナント）サブネット | DNS サーバ | 53 および 853 | TCP UDP | DNS サービス |
| デスクトップ（テナント）サブネット | NTP サーバ | 123 | UDP | NTP サービス |
| デスクトップ（テナント）サブネット | *.blob.core.windows.net | 443 | TCP | DCT ログ バンドルのアップロード。顧客管理者が要求の処理後に任意の仮想マシンの DCT ログ収集をクリックすると、バンドルが VDI から BLOB にアップロードされ、そのバンドルが Horizon Universal Console からダウンロードできるようになります。 |
| デスクトップ（テナント）サブネット | Horizon Edge | 31883 | TCP MQTT UDP | 仮想マシンで実行されている Horizon Agent から Edge で実行されている MQTT へ。 |
| デスクトップ（テナント）サブネット | Horizon Edge | 32443 | TCP | Amazon WorkSpaces Core Edge のシングル サインオン。 |
| デスクトップ（テナント）サブネットと管理サブネット | softwareupdate.omnissa.com | 443 | TCP | ソフトウェア パッケージ サーバ。システムのイメージに関連する操作および自動化されたエージェント更新プロセスで使用されているエージェントに関連するソフトウェアの更新をダウンロードするために使用します。 注 イメージのインポートと公開に管理サブネットを使用する場合にのみ、softwareupdate ターゲットに管理サブネットが必要です。 |
| デスクトップ（テナント）サブネット | プライベート リンク エンドポイント | 443 | TCP | クラウド制御プレーンの接続サービスへのデスクトップ接続。 |
| デスクトップ（テナント）サブネットと管理サブネット | AD 証明書サービス | 135、445 および 49152 ～ 65535 の範囲内のポート | TCP (RPC) | デスクトップをドメインに追加する。 |
| デスクトップ（テナント）サブネット | CRL 配布ポイント (CDP) 例： または
| 80 | TCP | 仮想マシンのブートストラップ プロセスでは、Horizon Cloud エンドポイントに HTTP POST 要求を送信します。安全な接続を確立するために、証明書失効リスト (CRL) チェックが実行されます。このチェックがインターネット経由で許可されていない場合、仮想マシンのカスタマイズは失敗します。 |
| デスクトップ（テナント）サブネット |
| 443 | TCP | Omnissa Intelligence にデータを送信するために Digital Employee Experience (DEX) テレメトリ エージェントによって使用されます。これは、DEX が有効なデスクトップでのみ必要です。 |
| デスクトップ（テナント）サブネット |
| 443 | TCP | Omnissa Intelligence で認証するために Digital Employee Experience (DEX) テレメトリ エージェントによって使用されます。これは、DEX が有効なデスクトップでのみ必要です。 |
| デスクトップ（テナント）サブネット | *.horizon.omnissa.com | 443 | TCP UDP | WorkSpaces Core デスクトップを Horizon Cloud に正常に登録します。 |
エンドユーザーの接続トラフィックのポートとプロトコルの要件
エンド ユーザーが Horizon Edge 仮想アプライアンスで使用する可能性のあるさまざまな Horizon Client の詳細については、Horizon Client 製品ドキュメントを参照してください。エンド ユーザーの接続によるトラフィックで、仮想デスクトップおよびリモート アプリケーションにアクセスするためにどのポートが開かれていなければならないかは、エンド ユーザーが接続する方法に関する選択内容によって異なります。
エンドユーザーの接続トラフィックのポートとプロトコル
| ソース | ターゲット | ポート | プロトコル | 目的 |
|---|---|---|---|---|
| Horizon Client | これらの Unified Access Gateway インスタンスの AWS ロード バランサ | 443 | TCP | CDR、MMR、USB リダイレクト、およびトンネリングされた RDP トラフィックを伝送します。 SSL（HTTPS アクセス）は、デフォルトでクライアント接続に対して有効にされています。ポート 80（HTTP アクセス）は、いくつかの場合に使用できます。 |
| Horizon Client | これらの Unified Access Gateway インスタンスの AWS ロード バランサ | 8443 または 443 | TCP | Horizon Client からのデータ トラフィック用の Unified Access Gateway 上の Blast Secure Gateway を介した Blast Extreme。使用されるポート 8443 または 443 は、Horizon Edge Gateway のデプロイ時に定義されます。 |
| Horizon Client | これらの Unified Access Gateway インスタンスの AWS ロード バランサ | 443 | UDP | データ トラフィック用の Unified Access Gateway を介した Blast Extreme。 |
| Horizon Client | これらの Unified Access Gateway インスタンスの AWS ロード バランサ | 8443 | UDP | データ トラフィック用の Unified Access Gateway 上の Blast Secure Gateway を介した Blast Extreme（アダプティブ トランスポート）。 |
| ブラウザ | これらの Unified Access Gateway インスタンスの AWS ロード バランサ | 443 | TCP | CDR、MMR、USB リダイレクト、およびトンネリングされた RDP トラフィックを伝送します。 SSL（HTTPS アクセス）は、デフォルトでクライアント接続に対して有効にされています。ポート 80（HTTP アクセス）は、いくつかの場合に使用できます。 |
| ブラウザ | これらの Unified Access Gateway インスタンスの AWS ロード バランサ | 8443 または 443 | TCP | Horizon Web Client からのデータ トラフィック用の Unified Access Gateway 上の Blast Secure Gateway を介した Blast Extreme。 |
| Horizon Client/ブラウザ | *.horizon.omnissa.com | 443 | TCP | 「 Amazon WorkSpaces Core 環境に Horizon Edge Gateway をデプロイするために適切な宛先 URL をアクセス可能にする」のテナント サブネットの URL の許可 - リージョン仮想マシン ハブ DNS ホスト名の表を参照してください。 この表に一覧表示されている URL に関して、ログインして起動項目を一覧表示した後、エンド ユーザーがクリックしてデスクトップを起動すると、指定した仮想マシンが配置されているリージョンに基づいて、それらの URL の 1 つから Unified Access Gateway へのプロトコル トラフィックのリダイレクトが実行されます。 デスクトップとアプリケーションの配信元となるグローバル リージョンに基づいて、その表にリストされている URL を許可リストに登録する必要があります。 この表では、クライアントは、次のように関連する各リージョンの Service Gateway URL にアクセスする必要があります： |
| Horizon Client/ブラウザ | cloud.omnissahorizon.com | 443 | TCP | ネットワークが制限されている場合は、エンド ユーザーがアプリケーションおよびデスクトップにアクセスできるように、適切な URL を許可リストに登録する必要があります。「Horizon Client を使用したデスクトップの起動」を参照してください。 Horizon Universal Console で「クライアント設定の構成」の説明に従ってクライアント アクセス URL をカスタマイズした場合はカスタム URL も許可リストに追加されていることを確認します。 |
このページは役に立ちましたか?