エンド ユーザーに Horizon Cloud 使用時のデスクトップおよびアプリケーションへのシングル サインオン (SSO) アクセスを提供するには、対応する Horizon Edge Gateway インスタンスで SSO を管理します。
この手順により、エンド ユーザーは認証情報を一度入力した後でデスクトップおよびアプリケーションにアクセスできます。
Omnissa CA の構成に関する背景情報については、「Horizon Cloud での SSO のための Omnissa CA の使用」を参照してください。
この手順を完了するには、必要に応じて Microsoft のドキュメントを参照してください。たとえば、エンタープライズ CA をインストールする場合は、「認証局のインストール」を参照してください。
前提条件
-
Horizon Universal Console を使用して、認証局 (CA) バンドルを作成してダウンロードします。「Horizon Cloud への Omnissa CA 向けの SSO 構成の追加」を参照してください。
-
Omnissa CA バンドルから抽出された PowerShell スクリプトを実行するには、この手順で説明するように、適切な権限があることを確認します。
この手順では、Omnissa PowerShell スクリプトを実行する必要があります。Enterprise Admins グループのメンバーとしてスクリプトを実行するなど、PowerShell スクリプトを実行するためのオプションがいくつかあります。次のガイダンスでは、強力でない権限を使用することが示されますが、Enterprise Admins グループのメンバーとしてスクリプトを実行できます。ここでは、次の権限があることを確認することをお勧めします。
- Active Directory の「パブリック キー サービス」コンテナに対するフル コントロールの権限。
- Active Directory の「SubCA」証明書テンプレートに対する登録権限。
手順
-
ドメイン メンバー マシンに接続し、Omnissa CA バンドル ファイルをサーバにアップロードして、ファイルの内容を解凍します。
適切な権限があれば、任意のドメイン メンバー マシンから Omnissa PowerShell スクリプトを実行できます。
-
PowerShell を開き、コマンドを実行して、次のサブステップの説明に従ってプロンプトに応答します。
**重要：**環境が複数のドメイン コントローラで構成されている場合、またはリモート マシンからバンドルをインストールする場合、CA 証明書をすべてのドメイン コントローラに伝達するのに数時間かかる場合があります。すべてのドメイン コントローラ インスタンスで
'gpupdate.exe /Target:Computer /Force'を実行することで、実行時間を短縮できます。-
次のコマンドを実行します。
Unblock-File -Path Path to ps1 file -
CA バンドルから抽出された
ps1PowerShell スクリプトを実行し、プロンプトに応答します。例：
PS C:\ca\AuthEngine-CA_1> .\AuthEngine-CA_1.ps1SSO 構成を中間 CA として追加した場合は、Omnissa CA CSR に署名するための MSFT エンタープライズ CA を選択するように求められます。ルートまたは中間 MSFT エンタープライズ CA を選択して、Omnissa CA CSR を処理できます。該当する場合は、適切なエンタープライズ CA を選択します。選択したエンタープライズ CA の [Subordinate Certification Authority] テンプレートを有効にする必要があります。
次に示すように、必要な確認プロンプトに
Yで応答します。Confirmation required Do you want to publish to AD?N] No [Y] Yes [?] Help (default is "N"):``Y
-
結果
想定される結果は、スクリプトがエラーなしで実行されることです。ただし、次のタイプのエラーが発生した場合は、提案されるトラブルシューティングの手順を実行してください。
2022-03-22T15:35:39 [INFO ] [AuthEngine-CA-62351bb62ff3dd5966ad3575-1.ps1,67] certutil.exe -dspublish -f C:\SSO-C\
AuthEngine-CA-62351bb62ff3dd5966ad3575-1.crl
error : 2022-03-22T15:35:39 [ERROR][-2147016563][] Failed to publish base CRL
At C:\SSO-C\AuthEngine-CA-62351bb62ff3dd5966ad3575-1.ps1:303 char:5
+ error $retCode "Failed to publish base CRL"
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : NotSpecified: (:) [Write-Error], WriteErrorException
+ FullyQualifiedErrorId : Microsoft.PowerShell.Commands.WriteErrorException,error
次の Get-ADRootDSE コマンドを実行し、出力を確認して、SSO 構成の作成に使用される CA 構成ドメイン名が、configurationNamingContext プロパティから返されるものと一致するかどうかを確認します。
C:>
Get-ADRootDSE -Server dnsDomainName
例：C:\> Get-ADRootDSE -Server horizonv2.local
出力：
configurationNamingContext : "CN=Configuration,DC=horizonv2,DC=local"
...other
output fields...
CA 構成ドメイン名が出力と一致しない場合は、Horizon Universal Console を使用して SSO 構成を編集します。特に CA 構成ドメイン名を修正できます。SSO 構成へのアクセスの詳細については、「Horizon Cloud への Omnissa CA 向けの SSO 構成の追加」を参照してください。SSO 構成を編集するには、SSO 構成の横にある縦に並んだ 3 つのドットをクリックし、[編集] を選択します。ドメイン名を修正したら、更新された CA バンドルをダウンロードして公開できます。
次の手順
Horizon Edge Gateway をデプロイしたら、SSO 構成ステータスが適切に設定されていることを確認します。Horizon Universal Console で、[キャパシティ] をクリックし、構成した Horizon Edge Gateway インスタンスの名前を選択し、構成を編集して [SSO を使用] オプションを有効にします。SSO 構成を選択して、Horizon Edge Gateway に関連付けます。保存してステータスが READY_TO_SERVE に設定されていることを確認します。これは、SSO がエンド ユーザーに対して機能していることを示します。
Active Directory からの公開バンドルの削除
バンドルのクリーンアップをサポートするために、Active Directory 管理者は dspublish スクリプトの次のコマンド ライン オプションを使用して、Active Directory から以前にインストールした CA バンドルをアンインストールできます。これらのオプションを使用するには、Active Directory 管理者がバンドルのアンインストールを確認するために CA 証明書サムプリントを入力する必要があります。ただし、コマンド ライン オプションでは、バンドルをアンインストールする前に使用中かどうかは確認されません。アンインストール コマンドを実行する前に、コマンド ライン オプションでは確認が行われないため、バンドルが使用中でないことを必ず確認してください。
-uninstallAll
-uninstall
両方のオプションに対応したコマンド ラインの例を以下に示します。
-.\AuthEngine-CA-653a8ec615d61616b629de15-1.ps1 -Uninstall
-.\AuthEngine-CA-653a8ec615d61616b629de15-1.ps1 -UninstallAll
PS スクリプト名（653a8ec615d61616b629de15-1 など）は、ユーザーごとに異なります。
このページは役に立ちましたか?