HTML Access 用に Horizon 8 環境を設定する場合、HTML Access コンポーネントを Connection Server にインストールし、特定の TCP ポートでのインバウンド トラフィックを許可します。
エンド ユーザーは、サポートされているブラウザを開いてサーバの URL を入力することで、リモート デスクトップまたは公開アプリケーションにアクセスします。エンド ユーザーがサーバに接続すると、Horizon Web ポータル ページが表示されます。Horizon Web ポータル ページの外観を構成できます。また、グループ ポリシーを設定して、画質、使用されるポート、その他の設定を制御できます。
Connection Server の準備
エンド ユーザーがサーバに接続して、リモート デスクトップまたは公開アプリケーションにアクセスするには、管理者が Connection Server をインストールして設定する必要があります。
Connection Server への HTML Access コンポーネントのインストール
Connection Server の複製グループを含む 1 台以上のサーバで、[HTML Access のインストール] の設定を使用して Connection Server をインストールします。この設定により、HTML Access コンポーネントがインストールされます。インストーラで、この設定はデフォルトで選択されます。詳細については、『Horizon 8 のインストールとアップグレード』ドキュメントを参照してください。
Blast 外部 URL の構成
サーバがインストールされると、該当する Connection Server インスタンスの [Blast Secure Gateway] 設定が有効になります。また、該当する Connection Server インスタンスの Blast Secure Gateway で使用するように、[Blast 外部 URL] 設定を構成します。
デフォルトでは、URL にはセキュアなトンネル外部 URL の FQDN およびデフォルトのポート番号 8443 が含まれます。URL には、Connection Server ホストに到達するためにクライアント システムで使用できる FQDN とポート番号を含める必要があります。
詳細については、『Horizon 8 のインストールとアップグレード』の「Horizon Connection Server インスタンスの外部 URL の設定」を参照してください。
ファイアウォール ルールの構成
サードパーティのファイアウォールを使用する場合は、複製されたグループのすべての Connection Server のホストで TCP ポート 8443 へのインバウンド トラフィックを許可するようにルールを構成し、データセンターのリモート デスクトップの仮想マシンと RDS ホストの TCP ポート 22443 に（サーバからの）インバウンド トラフィックを許可するためのルールを構成します。
詳細については、「クライアント Web ブラウザ アクセスのファイアウォール ルール」セクションを参照してください。
ユーザー認証の設定
ユーザー認証を設定する場合は、次のチェック リストを使用します。
-
それぞれの Connection Server インスタンスが、ユーザーが Web ブラウザで入力するホスト名を使用して完全に検証できる TLS 証明書を持つことを確認します。詳細については、『Horizon 8 のインストールとアップグレード』ドキュメントを参照してください。
-
RSA SecurID または RADIUS 認証などの 2 要素認証を使用するには、Connection Server でこの機能が有効であることを確認してください。RADIUS 認証のログイン ページでラベルをカスタマイズできます。リモート セッションのタイムアウト後に行われる 2 要素認証を設定できます。詳細については、『Horizon 8 の管理』ドキュメントの 2 要素認証についてのトピックを参照してください。
-
HTML Access で [ドメイン] ドロップダウン メニューを非表示にするには、[クライアントのユーザー インターフェイスでドメイン リストを非表示] グローバル設定を有効にします。デフォルトでは、この設定は有効になっています。詳細については、『Horizon 8 の管理』ドキュメントを参照してください。
-
HTML Access にドメイン リストを送信するには、[ドメイン リストを送信] グローバル設定を有効にします。デフォルトでは、この設定は無効になっています。詳細については、『Horizon 8 の管理』ドキュメントを参照してください。
-
認証しなくても公開アプリケーションにアクセスできるようにするには、Connection Server でこの機能を有効にします。詳細については、『Horizon 8 の管理』ドキュメントを参照してください。
次の表に、[ドメイン リストを送信] と [クライアントのユーザー インターフェイスでドメイン リストを非表示] グローバル設定によって、HTML Access からサーバへのログイン方法がどのように決まるかを示します。
| [ドメイン リストを送信] 設定 | [クライアントのユーザー インターフェイスでドメイン リストを非表示] 設定 | ユーザーのログイン方法 |
|---|---|---|
| 無効（デフォルト） | 有効（デフォルト） | [ドメイン] ドロップダウン メニューは表示されません。ユーザーは、[ユーザー名] テキスト ボックスに次のいずれかの値を入力する必要があります。
|
| 無効 | 無効 | クライアントでデフォルトのドメインが設定されている場合、デフォルトのドメインが [ドメイン] ドロップダウン メニューに表示されます。クライアントがデフォルトのドメインを認識していない場合は、[ドメイン] ドロップダウン メニューに *DefaultDomain* が表示されます。ユーザーは、[ユーザー名] テキスト ボックスに次のいずれかの値を入力する必要があります。
|
| アクティベーション済み | アクティベーション済み | [ドメイン] ドロップダウン メニューは表示されません。ユーザーは、[ユーザー名] テキスト ボックスに次のいずれかの値を入力する必要があります。
|
| アクティベーション済み | 無効 | ユーザーは、[ユーザー名] テキスト ボックスにユーザー名を入力して、[ドメイン] ドロップダウン メニューからドメインを選択できます。あるいは、[ユーザー名] テキスト ボックスに次のいずれかの値を入力できます。
|
Workspace ONE で HTML Access を使用
オプションで、Workspace ONE で HTML Access を使用できます。Workspace ONE のインストールと Connection Server で使用するための構成の詳細については、 Workspace ONE のドキュメンテーションを参照してください。
Connection Server を SAML 認証サーバとペアにする詳細については、『Horizon 8 の管理』を参照してください。
クライアント Web ブラウザ アクセスのファイアウォール ルール
Connection Server インスタンス、リモート デスクトップ、公開アプリケーションに接続することをクライアント Web ブラウザに許可するには、ファイアウォールで特定の TCP ポートの受信トラフィックを許可する必要があります。
HTML Access 接続では HTTPS を使用する必要があります。HTTP 接続は許可されません。
デフォルトでは、Connection Server インスタンスをインストールする場合、ファイアウォールが TCP ポート 8443 へのインバウンド トラフィックを許可するように構成するため、Windows ファイアウォールで Horizon View Connection Server (Blast-In) ルールが有効になります。
| 送信元 | デフォルトの送信元ポート | プロトコル | 送信先 | デフォルトの送信先ポート | 注 |
|---|---|---|---|---|---|
| クライアント Web ブラウザ | すべての TCP | HTTPS | Connection Server インスタンス | TCP 443 | 最初に接続するために、クライアント デバイスの Web ブラウザは、TCP ポート 443 で Connection Server インスタンスに接続します。 |
| クライアント Web ブラウザ | すべての TCP | HTTPS | Blast Secure Gateway | TCP 8443 | 最初の接続が行われた後、クライアント デバイスの Web ブラウザは、TCP ポート 8443 で Blast Secure Gateway に接続します。この第 2 の接続を許可するためには、Blast Secure Gateway を Connection Server インスタンスで有効にする必要があります。 |
| Blast Secure Gateway | すべての TCP | HTTPS | HTML Access Agent | TCP 22443 | Blast Secure Gateway が有効になっている場合、ユーザーがリモート デスクトップまたは公開アプリケーションを選択すると、Blast Secure Gateway はリモート デスクトップ仮想マシンまたは RDS ホストの TCP ポート 22443 で HTML Access Agent に接続します。このエージェント コンポーネントは、Horizon Agent のインストールに含まれています。 |
| クライアント Web ブラウザ | すべての TCP | HTTPS | HTML Access Agent | TCP 22443 | Blast Secure Gateway が有効になっていない場合、ユーザーがリモート デスクトップまたは公開アプリケーションを選択すると、クライアント デバイスの Web ブラウザはリモート デスクトップ仮想マシンまたは RDS ホストの TCP ポート 22443 で HTML Access Agent に直接接続します。このエージェント コンポーネントは、Horizon Agent のインストールに含まれています。 |
新しい TLS 証明書を使用するための HTML Access Agent の構成
業界またはセキュリティの規制に準拠するために、HTML Access Agent が生成するデフォルトの TLS 証明書を認証局 (CA) が署名した証明書に置き換えることができます。
HTML Access Agent をリモート デスクトップにインストールすると、HTML Access Agent サービスはデフォルトの自己署名証明書を作成します。サービスは、HTML Access を使用するブラウザにデフォルトの証明書を提示します。
**注：**デスクトップ仮想マシンのゲスト OS で、このサービスは Blast サービスと呼ばれます。
デフォルトの証明書を CA から取得する署名された証明書に置き換えるには、証明書を各リモート デスクトップの Windows ローカル コンピュータ証明書ストアにインポートする必要があります。また、HTML Access Agent が新しい証明書を使用できるようにするレジストリ値も設定する必要があります。
デフォルトの HTML Access Agent 証明書を CA 署名付き証明書に置き換える場合は、各リモート デスクトップで一意の証明書を構成します。親仮想マシンまたはデスクトップ プールを作成するために使用するテンプレートに CA が署名した証明書を構成しないでください。この方法では、数百または数千台のリモート デスクトップが同じ証明書を持つことになります。
リモート デスクトップの MMC への証明書スナップインの追加
Windows ローカル コンピュータ証明書ストアに証明書を追加するには、HTML Access Agent がインストールされているリモート デスクトップの Microsoft 管理コンソール (MMC) に証明書スナップインを追加する必要があります。
前提条件
MMC および証明書のスナップインが、HTML Access Agent がインストールされている Windows ゲスト OS で使用できることを確認します。
手順
-
リモート デスクトップで、[スタート] をクリックして
mmc.exeを入力します。 -
[MMC] ウィンドウで、[ファイル] > [スナップインの追加と削除] に移動します。
-
[スナップインの追加と削除] ウィンドウで、[証明書] を選択し、[追加] をクリックします。
-
[証明書スナップイン] ウィンドウで、[コンピュータ アカウント] を選択し、[次へ] をクリックし、[ローカル コンピュータ] を選択し、[終了] をクリックします。
-
[スナップインの追加と削除] ウィンドウで、[OK] をクリックします。
次の手順
SSL 証明書を Windows ローカル コンピュータの証明書ストアにインポートします。「Windows Certificate Store への HTML Access Agent 証明書のインポート」セクションを参照してください。
Windows Certificate Store への HTML Access Agent 証明書のインポート
デフォルトの HTML Access Agent の証明書を認証局 (CA) 署名付き証明書で置き換えるには、認証局 (CA) 署名付き証明書を Windows ローカル コンピュータの証明書ストアへインポートする必要があります。HTML Access Agent がインストールされている各リモート デスクトップでこの手順を実行します。
前提条件
- HTML Access Agent がリモート デスクトップにインストールされていることを確認します。
- CA によって署名された証明書がリモート デスクトップにコピーされたことを確認します。
- 証明書のスナップインが MMC に追加されたことを確認します。「リモート デスクトップの MMC への証明書スナップインの追加」セクションを参照してください。
手順
-
リモート デスクトップの MMC ウィンドウで、[証明書 (ローカル コンピュータ)] ノードを拡張して [個人] フォルダを選択します。
-
[操作] ペインで、[その他のアクション] > [すべてのタスク] > [インポート] に移動します。
-
[Certificate Import（証明書のインポート）] ウィザードで、[次へ] をクリックして証明書が格納されている場所を参照します。
-
証明書ファイルを選択して [開く] をクリックします。
証明書ファイルのタイプを表示するには、[ファイル名] ドロップダウン メニューからそのファイル形式を選択できます。
-
証明書ファイルに含まれるプライベート キーのパスワードを入力します。
-
[この鍵をエクスポート可能にマークする] を選択します。
-
[すべての拡張可能なプロパティを含む] を選択します。
-
[次へ] をクリックして [終了] をクリックします。
結果：新しい証明書が [証明書（ローカル コンピュータ）] > [個人] > [証明書] フォルダに表示されます。
-
新しい証明書にプライベート キーが含まれていることを確認します。
a. [証明書（ローカル コンピュータ）] > [個人] > [証明書] フォルダで、新しい証明書をダブルクリックします。
b. [証明書情報] ダイアログ ボックスの [全般] タブで、「
You have a private key that corresponds to this certificate」というメッセージが表示されていることを確認します。
次の手順
必要に応じて、ルート証明書と中間証明書を Windows 証明書ストアにインポートします。「HTML Access Agent のルートおよび中間証明書のインポート」セクションを参照してください。
適切なレジストリ キーを証明書サムプリントで構成します。「Windows レジストリへの証明書サムプリントの設定」を参照してください。
HTML Access Agent のルートおよび中間証明書のインポート
HTML Access Agent 用にインポートした SSL 証明書によって証明書チェーンのルート証明書と中間証明書がインポートされていない場合は、これらの証明書を Windows ローカル コンピュータの証明書ストアへインポートする必要があります。
手順
-
リモート デスクトップの MMC コンソールで、[証明書（ローカル コンピュータ）] ノードを展開して [信頼されたルート証明機関] > [証明書] フォルダに移動します。
- ルート証明書がこのフォルダにあり、中間証明書が証明書チェーンにない場合は、この手順を省略します。
- ルート証明書がこのフォルダになければ、手順 2 に進みます。
-
[信頼されたルート証明機関] > [証明書] フォルダを右クリックし、[すべてのタスク] > [インポート] をクリックします。
-
[証明書のインポート] ウィザードで、[次へ] をクリックしてルート CA 証明書が保存されている場所を参照します。
-
ルート CA 証明書ファイルを選択し、[開く] をクリックします。
-
[次へ] をクリックし、[次へ] をクリックし、そして [終了] をクリックします。
-
サーバ証明書に中間 CA が署名している場合は、証明書チェーンのすべての中間証明書を Windows ローカル コンピュータの証明書ストアにインポートします。
a. [証明書（ローカル コンピュータ）] > [中間認証局] > [証明書] フォルダに移動します。
b. インポートする各中間証明書に対して、手順 3 から 6 を繰り返します。
次の手順
適切なレジストリ キーを証明書サムプリントで構成します。「Windows レジストリへの証明書サムプリントの設定」を参照してください。
Windows レジストリでの証明書サムプリントの設定
HTML Access Agent が、Windows 証明書ストアにインポートされた CA 署名付き証明書を使用できるようにするには、Windows レジストリ キーで証明書サムプリントを構成する必要があります。デフォルト証明書を CA 署名の証明書に交換する各リモート デスクトップでこの手順を実行する必要があります。
前提条件
CA によって署名された証明書が Windows 証明書ストアにインポートされていることを確認します。「Windows Certificate Store への HTML Access Agent 証明書のインポート」セクションを参照してください。
手順
-
HTML Access Agent がインストールされているリモート デスクトップの MMC ウィンドウで、[証明書（ローカル コンピュータ）] > [個人] > [証明書] フォルダの順に移動します。
-
Windows 証明書ストアへインポートした認証局 (CA) 署名付き証明書をダブルクリックします。
-
[証明書] ダイアログ ボックスで、[詳細] タブをクリックし、スクロール ダウンして、[サムプリント] アイコンを選択します。
-
選択したサムプリントをテキスト ファイルへコピーします。例：
31 2a 32 50 1a 0b 34 b1 65 46 13 a8 0a 5e f7 43 6e a9 2c 3e**注：**サムプリントをコピーする場合は、先頭にあるスペースを含めないでください。サムプリントとともに先頭にあるスペースをレジストリ キー（手順 7）へ誤って貼り付けると、証明書が正常に設定されない場合があります。先頭にあるスペースがレジストリの値テキスト ボックスに表示されなくても、この問題が発生する場合があります。
-
HTML Access Agent がインストールされているデスクトップで、Windows レジストリ エディタを起動します。
-
Blast\Configレジストリ キーに移動します。 -
SslHash値を修正して、テキスト ボックスに証明書サムプリントを貼り付けます。 -
Windows を再起動します。
結果
ユーザーが HTML Access を介してリモート デスクトップに接続すると、HTML Access Agent は CA 署名付き証明書をユーザーのブラウザに提示します。
特定の暗号化スイートを使用するために HTML Access Agent を構成する
HTML Access Agent を構成して、デフォルトの暗号化セットではなく特定の暗号化スイートを使用できます。
デフォルトでは、HTML Access Agent は、ネットワークの盗聴や偽造に対して強力な保護を提供する特定の暗号に基づいて暗号化を使用するために、受信 TLS 接続を必要とします。HTML Access Agent で使用する別の暗号リストを構成できます。許可される暗号化のセットは OpenSSL 形式で表記されます。暗号リストの形式を表示するには、Web ブラウザで openssl cipher string を検索します。
手順
- HTML Access Agent がインストールされているデスクトップで、Windows レジストリ エディタを起動します。
Blast\Configレジストリ キーに移動します。- 新しい文字列 (REG_SZ) の値 SslCiphers を追加して、OpenSSL 形式で暗号化リストをテキスト ボックスに貼り付けます。
- 変更を有効にするには、Blast サービスを再起動します。Windows ゲスト OS では、HTML Access Agent のサービスは Blast と呼ばれます。
結果
デフォルトの暗号化リストを使用するように戻すには、SslCiphers 値を削除して、Blast サービスを再起動します。HTML Access Agent は OpenSSL 暗号リスト形式の定義に従ってすべての暗号を許容できない暗号として扱うため、値のデータ部分を単に削除しないでください。
HTML Access Agent が起動すると、Blast サービスのログ ファイルに暗号定義が書き込まれます。SslCiphers 値が Windows レジストリで構成されていない状態で Blast サービスが起動するときに、ログを調査して現在のデフォルトの暗号化リストを把握できます。
HTML Access Agent のデフォルトの暗号定義は、セキュリティを強化するためにリリース間で変更される場合があります。
CA 署名証明書を使用するための iOS の構成
iOS デバイスでHTML Access を使用するには、認証局 (CA) によって署名された TLS 証明書をインストールする必要があります。Connection Server または HTML Access Agent が生成するデフォルトの TLS 証明書は使用できません。
詳細については、『Horizon 8 のインストールとアップグレード』の「ルート証明書と中間証明書を信頼するための Horizon Client for iOS の構成」セクションを参照してください。
Unified Access Gateway での CA 署名付き証明書の使用
Unified Access Gateway アプライアンスを使用する場合は、Subject Alternative Names (SAN) が設定された CA 署名付き証明書をインストールする必要があります。
SAN が構成されていない CA 署名付き証明書または自己署名証明書を使用している場合、ユーザーは「接続がプライベートではありません」というエラーを受け取り、HTML Access に接続できません。
注：
Connection Server インスタンスを使用する場合は、[ip-address にアクセスする（安全ではありません）] リンクをクリックして接続できます。
証明書のインストールと構成の詳細については、『Horizon 8 インストールとアップグレード』ドキュメントを参照してください。TLS 証明書を使用するように HTML Access Agent を構成する方法については、「新しい TLS 証明書を使用するための HTML Access Agent の構成」セクションを参照してください。
HTML Access のアップグレード
HTML Access のアップグレードでは、Connection Server のアップグレードも行います。
HTML Access アップグレードする場合は、複製されたグループ内のすべての インスタンスに対応するバージョンの Connection Server がインストールされていることを確認します。
Connection Server をアップグレードすると、HTML Accessが自動的にインストールまたはアップグレードされます。
HTML Access コンポーネントがインストールされていることを確認するには、Windows オペレーティング システムの プログラムのアンインストール アプレットを開き、リストでHTML Access を探します。
Connection Server からの HTML Access コンポーネントのアンインストール
他の Windows ソフトウェアを削除するために使用するのと同じ方法で HTML Access コンポーネントを削除できます。
手順
- HTML Access がインストールされている Connection Server インスタンスで、Windows コントロール パネルの [プログラムのアンインストール] を開きます。
- [Horizon HTML Access] を選択して [アンインストール] をクリックします。
- **（オプション）**そのホストの Windows ファイアウォールで、TCP ポート 8443 がインバウンド トラフィックを許可しないことを確認します。
次の手順
該当する場合は、サードパーティ ファイアウォールでルールを変更して、この Connection Server インスタンスで TCP ポート 8443 に対するインバウンド トラフィックを非許可にします。
このページは役に立ちましたか?