Horizon Universal Console から [Horizon Edge を追加] ユーザー インターフェイスを使用して、Horizon Edge を Microsoft Azure サブスクリプションに追加およびデプロイできます。Horizon Edge は、シン Edge クラウド インフラストラクチャです。Microsoft Azure デプロイの場合、Azure サブスクリプションはプロバイダです。
注：Horizon Edge は、従来のシングル テナント デプロイ、またはマルチテナント デプロイとして定義できます。
環境が少なくとも 1 つの Active Directory ドメインと ID プロバイダで構成されると、Horizon Universal Console によって [Horizon Edge を追加] ユーザー インターフェイス ワークフローが使用可能になります。
**注：**Edge 仮想マシンをデプロイした後、その IP アドレスを変更することはできません。これを試みると、Kubernetes クラスタが動作を停止し、再初期化する必要があるため、Edge Gateway のダウンタイムが発生します。デプロイされた Edge 仮想マシンの IP アドレスの変更はサポートされていません。
マルチテナント デプロイの概要
シングル テナントは、Horizon Cloud の任意のキャパシティ タイプの Horizon Edge の従来のデプロイ方法ですが、Horizon Cloud on Microsoft Azure プロバイダ タイプではマルチテナント デプロイを使用できます。
シングル テナント方法で Edge を作成するか、マルチテナント方法を使用するかを指定する構成オプションは、[Horizon Edge の追加] ユーザー インターフェイス ページの手順に従って Edge 作成フローで使用できます。
Horizon Cloud で、Omnissa 管理対象エンタープライズ アプリケーション登録タイプ（マルチテナント方法とも呼ばれる）として Microsoft Azure 用 Horizon Edge を作成すると、管理者は Omnissa が管理する認証情報を使用して Azure サブスクリプションにアクセスできるため、ユーザーがサービス プリンシパル シークレットやキー ローテーションを手動で管理する必要がなくなります。
マルチテナント環境では、組織が当社の同意リンクを承認すると、Omnissa がテナントにサービス プリンシパルを作成します。アプリケーション ID とシークレット キーは、Omnissa が組織に代わって所有および管理するようになります。Horizon Cloud でこの方法を使用するには、Microsoft Azure ポータルを介してサブスクリプションへのアクセス権を Omnissa のサービス プリンシパル（アプリケーション ID）に付与する必要があります。このプロセスは、以下の「手順」セクションで説明するように、Horizon Edge 作成プロセスに組み込まれています。
注：Horizon Cloud でマルチテナント アプリケーションを削除する場合は、Microsoft Azure ポータルからも削除する必要があります。
Omnissa 管理方法（Omnissa 管理対象エンタープライズ アプリケーション登録タイプ）では、お客様の組織に代わって Omnissa がサービス プリンシパルのプライベート キーを維持する責任を担います。これにより、Omnissa にプライベート キー情報を提供する必要がないため、組織のセキュリティが強化されます。
Horizon Cloud on Microsoft Azure の従来のシングル テナント方法（手動エンタープライズ アプリケーション登録タイプ）による Horizon Edge のデプロイは、引き続き利用可能です。
Omnissa 管理方法（Omnissa 管理対象エンタープライズ アプリケーション登録タイプ）が推奨される方法です。
マルチテナントの前提条件
マルチテナント アプリケーションへの同意の付与に関する前提条件については、Microsoft 製品ドキュメントの「アプリケーションに対してテナント全体の管理者の同意を付与する」を参照してください。
Horizon Edge Gateway のデプロイに関する考慮事項
[Horizon Edge の追加] ユーザー インターフェイス ステッパー ページの [Horizon Edge Gateway] セクションに移動すると、Horizon Edge Gateway を指定するための構成オプションを利用できます。
管理者は、Horizon Edge Gateway を Microsoft Azure に単一の仮想マシンとして、または Azure Kubernetes サービス (AKS) としてデプロイするように指定できます。優先モードは AKS です。
初期セットアップ中に Horizon Edge Gateway を単一の仮想マシンとしてデプロイすることを選択した場合は、後でデプロイを AKS に変更することもできます。ただし、Edge Gateway が AKS モードで正常にデプロイされると、単一の仮想マシン モードに戻すことはできません。この変更ワークフロー中に AKS のデプロイに失敗した場合は、エラー メッセージを確認し、ワークフローをやり直して AKS に移動するか、単一の仮想マシン モードに戻すことができます。
注：Horizon Edge Gateway のデプロイ モードを変更（単一の仮想マシンから AKS に）する際は、ネットワーク接続タイプを変更（インターネットから Azure プライベート リンクに）することはできません。一度にサポートされる操作は 1 つだけです。
必要な品質に基づいて、使用する Horizon Edge Gateway のデプロイ タイプを決定します。
| デプロイ タイプ | 主な品質 | 詳細 |
|---|---|---|
| Azure Kubernetes サービス (AKS) |
| AKS は、Microsoft Azure データセンターのエンタープライズ クラウド ネイティブ アプリケーションの Microsoft Azure 標準です。 AKS タイプは、クラスタ化されたアーキテクチャの Edge Gateway を提供し、SSO ログイン エクスペリエンスと監視データ収集をサポートする複製されたサービスを提供します。AKS では、高可用性 (HA) も可能になります。 |
| 単一の仮想マシン |
|
AKS タイプよりも前提条件が少ないため、単一の仮想マシン タイプのデプロイがより簡単ですが、デプロイされた仮想マシンが使用できなくなった場合は、次のようになります。
|
全般的な前提条件
[Horizon Edge の追加] ユーザー インターフェイス ステッパー ページで項目を選択すると、システムは特定の要件が満たされていることを確認しようとします。これらの要件が満たされていない場合は、ユーザー インターフェイスの手順を完了できません。たとえば、AKS タイプをデプロイする場合、[クラスタ送信タイプ] で選択した NAT ゲートウェイが選択した [管理サブネット] に接続されていない場合、[デプロイ] をクリックすると、ユーザー インターフェイスにメッセージが表示され、それ以上の手順に進むことはできません。その時点で、ユーザー インターフェイス ステップを終了し、NAT ゲートウェイを管理サブネットに接続する要件を満たしてから、ユーザー インターフェイス ステップを最初からやり直す必要があります。
Horizon Edge の作成を開始する前に、お客様または IT チームが次の前提条件を完了していることを確認してください。
-
「Microsoft Azure Edge をデプロイするための要件チェックリスト」を確認し、それらの要件が満たされていることを確認します。従来のシングル テナント（手動）とマルチテナントの要件は、若干異なることに注意してください。
-
「Microsoft Azure Edge のデプロイ」ページにある、ハイパーリンク付きのページで説明されている準備項目を確認し、それらの項目が完了していることを確認します。
-
Omnissa コミュニティ フォーラムの記事「Understanding Omnissa Horizon Edge Gateway: Purpose, Architecture & Best Practices」を参照してください。
-
Azure サブスクリプション情報、ネットワーク情報、FQDN、および関連する項目を確認し、ウィザードのフィールドとリストで指定できるようにします。
-
必要な送信ポートが許可されていることを確認します。「Microsoft Azure 環境に Horizon Edge Gateway をデプロイするために適切な宛先 URL をアクセス可能にする」を参照してください。
-
トラフィックのルーティングにプロキシ サーバを使用する場合は、Edge の管理サブネットからアクセスできる必要があります。
-
この Horizon Edge のプライマリ プロバイダを Horizon Edge Gateway および Unified Access Gateway インスタンス専用にするか、プライマリ プロバイダがエンドユーザーのデスクトップとアプリケーションも提供するようにするかを決定します。プライマリ プロバイダをこの Horizon Edge のゲートウェイ アプライアンス専用にする場合は、デスクトップとアプリケーションのセカンダリ プロバイダを指定するユーザー インターフェイスの手順で Azure サブスクリプション情報が必要になります。
UAG 詳細モードを構成するための前提条件
[Horizon Edge の追加] ユーザー インターフェイス ステッパー ページの [Unified Access Gateway] セクションに移動すると、Horizon Unified Access Gateway を指定するための構成オプションを利用できます。Horizon Edge の追加を開始する前に、次の前提条件を満たしていることを確認してください。
-
（UAG 詳細モードが構成されている）Edge に接続しているすべての Horizon Client が最新の Horizon HAI エージェントにアップグレードされていることを確認します。HAI エージェントのバージョン要件に関する関連情報については、Horizon Cloud のリリース ノートを参照してください。
-
UAG 詳細モードは、ネイティブ デスクトップ、モバイル、Web Client を含む、サポートされているすべてのプラットフォームで利用できます。
-
デプロイされた Horizon Edge を編集するときに、デプロイ タイプが基本から詳細、または詳細から基本に変更された場合、Edge のデプロイ ユーザー インターフェイス ページの [Unified Access Gateway] セクションにあるロード バランサの IP アドレスが変更されることがあります。ロード バランサの IP アドレスが変更された場合は、DNS レコードを新しい IP アドレスで更新する必要があります。
-
Unified Access Gateway ロード バランサに DMZ または仮想マシン サブネットから割り当てられたプライベート フロントエンド IP アドレスがある場合、デプロイ タイプを基本や詳細に変更するときに別のサブネットを選択すると、ロード バランサの IP アドレスが変更されます。詳細については、「Unified Access Gateway デプロイ タイプの更新とロード バランサ IP アドレスへの影響」を参照してください。
Azure Marketplace の外部に UAG をデプロイするための前提条件
UAG をデプロイするときに、Azure サブスクリプションが Azure China の場合、Horizon Cloud は新しいリソース グループにストレージ アカウントを自動的に作成し、UAG VHD をインポートします。次に、Azure サブスクリプションでその VHD からイメージを作成します。イメージ バージョンは、作成、スケールアウト、スケールイン、およびアップグレードの操作に有効です。自動生成されたリソース グループの名前は hcsappimg-{providerInstanceId}-rg です。ストレージ アカウント名は、すべての Azure で一意である必要があるため、ランダムに生成されます。Horizon Cloud が新しいリソース グループまたは新しいストレージ アカウントを自動的に作成 しないようにするには、Omnissa Customer Connect に連絡し、既存のリソース グループまたはストレージ アカウントの 1 つについてストレージ アカウント ID をサポート担当に提供する必要があります。これにより、事前に API を実行して VHD を既存のストレージ アカウントにインポートし、既存のリソース グループにイメージを作成できます。現在、この機能は Azure China プロバイダでのみ使用できます。
Microsoft Azure 用の Horizon Edge の作成手順
この手順では、Microsoft Azure 上の Horizon Edge のさまざまな構成を選択します。これには、シングル テナント方法とマルチテナント方法のどちらでデプロイするかなどの選択が含まれます。
Horizon Cloud の Horizon Universal Console では、[Horizon Edge を追加] ユーザー インターフェイス ページをさまざまなエントリ ポイントから使用できます。コンソールでのこの手順の開始点は通常、環境が新規であるか、既存の Horizon Edge デプロイが存在するかによって異なります。
-
Horizon Edge がまだない - 環境に Horizon Edge がない場合は、[デプロイの開始] をクリックしてウィザードを開始できます。または、[キャパシティ] をクリックし、[開始] > [Microsoft Azure] をクリックして、ユーザー インターフェイス ステッパーを開くことができます。
-
少なくとも 1 台の Horizon Edge：Microsoft Azure 用の 1 台以上の Horizon Edge が Horizon Cloud 環境にすでに作成およびデプロイされている場合は、Horizon Universal Console の [キャパシティ] > [Horizon Edge] > [追加] > [Horizon Cloud] > [Microsoft Azure] をクリックして、[Horizon Edge を追加] ステッパー ページを開きます。
-
Horizon Universal Console にログインします。「Horizon Cloud へのログイン」を参照してください。
-
左側のペインのナビゲーションで [キャパシティ] > [Horizon Edge] をクリックします。
-
[Horizon Edge] タブで [追加] をクリックし、ドロップダウン メニューから [Horizon Cloud] > [Microsoft Azure] を選択します。
-
以下の説明に従って、以降のすべてのユーザー インターフェイス ステッパー ページに応答します。
全般情報
この Horizon Edge をコンソールに表示される他の Edge と区別する一意の [Horizon Edge 名] を入力します。オプションで説明を追加できます。[次へ] をクリックして続行します。
プライマリ プロバイダ
[プライマリ プロバイダ] ページで項目を入力し、[次へ] をクリックして続行します。
-
Azure サブスクリプションの場合、環境の既存のプロバイダの 1 つを選択するか、[新規追加] を使用して新しいプロバイダ サブスクリプション情報を提供します。既存の Azure サブスクリプションを選択すると、以下のフィールドが自動的に入力され、編集は不可となります。
新しいプロバイダ サブスクリプション情報を追加する場合は、次の情報を指定します。
-
コンソールに表示される他のプロバイダと区別する一意の [プロバイダ名]。
-
Microsoft Azure ポータルからの Microsoft Azure サブスクリプション ID。
-
その Microsoft Azure サブスクリプション ID に適用可能な Azure クラウド タイプ、Azure リージョン、ディレクトリ ID を選択します。
-
この目的のために、Microsoft Azure ポータルで作成したサービス プリンシパルの情報（アプリケーション ID、アプリケーション キー、有効期限）を指定します。
サービス プリンシパル アプリケーション キーの有効期限に関する関連情報については、「通知の監視および管理」を参照してください。
-
-
[エンタープライズ アプリ登録タイプ] では、画面上のヘルプの説明に従って、従来のシングル テナント方法の場合は [手動] を、マルチテナント方法の場合は [Omnissa 管理 (推奨)] のいずれかを選択します。
-
必要に応じて、[Horizon ゲートウェイ アプライアンス専用にする] チェックボックスをオンにして、このプロバイダを Horizon Edge Gateway および Unified Access Gateway インスタンス専用にします。エンド ユーザーが資格を持つリソースの配信には、別のプロバイダを使用します。選択しない場合、このプロバイダはエンドユーザーに資格が付与されたリソースも提供します。
エンタープライズ アプリ登録
[エンタープライズ アプリ登録] ページで項目を入力し、[次へ] をクリックして続行します。オプションは、[プライマリ プロバイダ] ページで [手動] または [Omnissa 管理 (推奨)] のどちらを選択したかによって異なります。
-
前のステッパーで [Omnissa 管理 (推奨)] を指定した場合は、画面上のヘルプの説明に従って、アクセス権が付与されているサブスクリプション ID にマルチテナント アプリケーションを追加（または使用可能なマルチテナント アプリケーションを選択）できます。オプションで、[すべての Horizon Edge、UAG、イメージ、およびプールに伝播] チェックボックスをオンにすることもできます。
-
[追加] をクリックし、ページの [マルチテナント アプリ] セクションで新しいマルチテナント アプリケーションを追加するか、テーブルから既存のマルチテナント アプリケーションを選択します。
-
特定のマルチテナント アプリケーション行の [ステータス] 列で、ステータスが [同意が付与されていません] と表示されることに注意してください。
-
特定のマルチテナント アプリケーション行の [アクション] 列で [同意リンク] をクリックして、権限要求ページを開きます。
-
注：外部リンク（[同意リンク] など）のクリックが許可されていない場合は、[同意リンク] を使用しない別の同意プロセスを実行できます。[同意リンク] を使用せずに同意するには、Microsoft Graph、Azure CLI、または Microsoft Graph PowerShell を使用して、マルチテナント アプリケーションのサービス プリンシパルを作成します。最も簡単な方法は、Azure CLI を使用して次のコマンドを実行することです。
az login --tenant <your-tenant-id> az ad sp create --id <omnissa-application-id>-
Microsoft の [要求されているアクセス許可] ページで、[承諾] をクリックします。このテナントのサービス プリンシパルが作成されたこと、およびその名前が [同意リンク] を選択した行のアプリケーション名と一致することを示すメッセージが表示されます。その後、Microsoft Azure ポータルにリダイレクトされます。
-
サービス プリンシパルへのアクセス権限を付与するプロセスは、Microsoft Azure ポータルの [アクセス制御 (IAM)] アプリケーションで行われます。必要な最小ロールの割り当ては**[共同作成者]**です。アクセス権限の割り当ての詳細については、Microsoft 製品ドキュメントの「Azure ポータルを使用して Azure ロールを割り当てる」などのトピックを参照してください。
-
サービス プリンシパルに権限を付与したら、Microsoft Azure ポータルを終了し、[Horizon Edge の追加] ユーザー インターフェイス ページを更新して、[ステータス] 列のエントリが [同意が付与されていません] から [ロールが割り当てられていません] に変更されたことを確認してください。
-
-
前のステッパーで [手動] を指定し、従来のシングル テナント デプロイの作成を選択した場合は、画面上のヘルプの説明に従い、サービス プリンシパルの [アプリケーション ID]、[アプリケーション キー]、および [有効期限] を指定するように求められます。必要に応じて、追加のサービス プリンシパルを追加できます。
-
（オプション）：[追加のサービス プリンシパル] セクションで、[追加] をクリックして、サービス プリンシパルを追加します。
プロバイダのメイン サービス プリンシパルに加えて、プロバイダに対して 4 つの追加の一意のサービス プリンシパルを作成できます。合計 5,000 台の仮想マシンをサポートするには、4 つのサービス プリンシパルを追加します。複数のサービス プリンシパルがある場合、それらはサブスクリプション ID とディレクトリ ID を共有しますが、各サービス プリンシパルには独自のアプリケーション ID があります。
**重要：**各サービス プリンシパルに同じロールを使用する必要があります。
-
（オプション）：必要に応じて [詳細] ノードを展開し、Azure リソース タグを追加します。関連情報については、「Azure リソース タグの使用」を参照してください。
セカンダリ プロバイダ
[セカンダリ プロバイダ] ページで項目を入力し、[次へ] をクリックして続行します。
オプションで、画面上のヘルプの説明に従ってセカンダリ プロバイダを追加できますが、セカンダリ プロバイダはプライマリ プロバイダと同じ Azure リージョン内にある必要があります。
ネットワーク
[ネットワーク] ページで、プライマリおよびセカンダリ プロバイダに使用するテナント（デスクトップ）サブネットを選択し、[次へ] をクリックして続行します。
注：後の段階でサブネットを選択できます。ただし、Horizon Edge に少なくとも 1 つのテナント サブネットが関連付けられるまで、システムはリソースをプロバイダにデプロイしないようにします。
サイト
[サイト] ページで、環境内の既存のサイトから選択するか、[新規追加] を選択して新しいサイト情報を追加します。新しいサイトの場合は、一意の名前と、必要に応じて説明を入力します。[次へ] をクリックして続行します。
接続
[接続] ページで項目を入力し、[次へ] をクリックして続行します。
-
[接続] セクションで、画面上のヘルプの説明に従って、この Horizon Edge の [ネットワーク接続タイプ] として、[Azure Private Link (推奨)] または [インターネット] を選択します。
関連情報については、「Microsoft Azure Edge をデプロイするための要件チェックリスト」を参照してください。
注：Microsoft Azure Government サブスクリプションは Azure プライベート リンクをサポートしていないため、[プライマリ プロバイダ] ページで [Azure クラウド のタイプ] として [Azure - US Government] を選択した場合、接続タイプは [インターネット] に固定されます。
-
[App Volumes アプリケーション ストレージ] セクションで、後述の表の説明に従って、Azure プライベート エンドポイント用の [プライベート エンドポイント サブネット] を [Edge Gateway 管理サブネットを使用] または [カスタム サブネットの構成] のいずれかから選択し、[次へ] をクリックして続行します。
**注：**プライベート エンドポイントを構成した後、ユーザーは仮想マシンからログアウトし、再度ログインする必要があります。
オプション 説明 Edge Gateway 管理サブネットの使用 プライベート エンドポイント リソースが作成される Edge Gateway 管理サブネット。 このデフォルト オプションを使用することをお勧めします。 カスタム サブネットの構成 前提条件が設定されていることを確認します。これらの前提条件の詳細については、「App Volumes アプリケーション ストレージ アカウントの Azure プライベート エンドポイント」を参照してください。 - 確認チェック ボックスを選択します。
- [プライベート エンドポイントの vNet] ドロップダウンから仮想ネットワークを選択します。
- [サブネット] ドロップダウンから対応するサブネットを選択します。
Horizon Edge がデプロイされ、プライベート エンドポイントが正常に作成されると、プライベート エンドポイントのステータスが [構成済み] になります。ステータスが [構成されていません] の場合は、Horizon Edge の [App Volumes アプリケーション ストレージ] セクションの [プライベート エンドポイントの構成] オプションを使用して、プライベート エンドポイントを再度構成できます。このオプションの使用方法の詳細については、「Horizon Edge の詳細の表示」の「App Volumes アプリケーション ストレージ アカウントのプライベート エンドポイントの構成」セクションを参照してください。
既存のデスクトップ プールとファイル共有の間にアプリケーションの提供に影響を与える接続の問題があり、これらの問題をトラブルシューティングするまでストレージ アカウントのパブリック ネットワーク アクセスに戻す場合は、[プライベート エンドポイントの削除] オプションを使用できます。このオプションは、構成済みのプライベート エンドポイントを削除し、Azure ポータルのストレージ アカウントのパブリック ネットワーク アクセスを自動的に有効にします。問題を修正したら、[プライベート エンドポイントの構成] オプションを使用してプライベート エンドポイントを構成できます。
Horizon Edge Gateway
[Horizon Edge Gateway] ページで項目を入力し、[次へ] をクリックして続行します。
- [Horizon Edge Gateway] セクションで、画面上のヘルプの説明に従って、デプロイ タイプ（[Azure Kubernetes サービス] または [単一の仮想マシン]）を選択します。
-
[Azure Kubernetes サービス] - このオプションは Edge Gateway (AKS) 用です。次のスクリーンショットは、[Azure Kubernetes サービス] デプロイ タイプを選択したときに表示される情報および要求される情報のタイプを示しています。通常、このデプロイ タイプは本番環境で使用されます。
-
[単一の仮想マシン] - このオプションは Edge Gateway（仮想マシン）用です。次のスクリーンショットは、[単一の仮想マシン] デプロイ タイプを選択したときに表示される情報および要求される情報のタイプを示しています。通常、このデプロイ タイプは、シンプルな環境または POC（事前検証）環境で使用されます。
**注：**ユーザー インターフェイスには、選択したデプロイ タイプに基づいて [高可用性] 文字列が表示されます。[単一の仮想マシン] デプロイ タイプのについては、表示される文字列は、仮想マシンが使用できない場合、エンド ユーザーに SSO ログイン エクスペリエンスなしでログイン フローが表示され、仮想マシンが使用できない場合はデスクトップの監視データが記録されないことを意味します。Azure Kubernetes サービスの展開タイプの場合、表示される文字列は、SSO ログイン エクスペリエンスと監視データ収集が、これらの機能の完全なフェイルオーバーを可能にする複製されたサービスを介して処理されることを意味します。
**注：**前述のように、最初に [単一の仮想マシン] デプロイ タイプを使用して Edge をデプロイし、後で [Azure Kubernetes サービス (AKS)] デプロイ タイプに変更できます。ただし、正常にデプロイされた Edge を、[Azure Kubernetes サービス (AKS)] デプロイ タイプから [単一の仮想マシン] デプロイ タイプに変更することはできません。
- デプロイ タイプを選択したら、次のように、その特定のデプロイ タイプの手順を使用して Horizon Edge Gateway 設定を構成します。選択したデプロイ タイプについて表示されるユーザー インターフェイス フィールドへの入力が完了したら、画面のプロンプトに従います。
| デプロイ タイプ | 手順 |
|---|---|
| Azure Kubernetes サービス (AKS) |
Azure Kubernetes サービス オプションの場合
|
| 単一の仮想マシン |
単一の仮想マシン オプションの場合
|
Unified Access Gateway (UAG)
[Unified Access Gateway] ページで項目を入力し、[保存 ] をクリックして Edge を作成します。
[詳細] デプロイ タイプを使用する場合は、上記の「UAG 詳細モードを構成するための前提条件」セクションを参照してください。
UAG 出力を指定する際のプロキシ オプションの詳細については、「Microsoft Azure での Horizon Cloud デプロイのためのポートとプロトコルの要件」を参照してください。
Azure Marketplace を使用せずに UAG をデプロイする方法については、ページ上部の「Azure Marketplace の外部に UAG をデプロイするための前提条件」セクションを参照してください。
-
[デプロイ] セクションで、[デプロイ タイプ] として [基本] または [詳細] を選択します。デプロイ タイプの設定では、ロード バランサのディストリビューションが source-ip-affinity またはハッシュのいずれかを使用することを指定します。
- [基本] - source-ip-affinity を使用するロード バランサのシナリオで使用します。Azure ロード バランシングの前面に NAT ゲートウェイまたはファイアウォールが構成されている場合は、各 Horizon Edge で最大 2,000 の接続をサポートします。
- [詳細] - ハッシュベースのアフィニティを使用するロード バランサのシナリオで使用します。各 Horizon Edge で最大 18,000 の接続をサポートします。このオプションを使用するには、サブネット マスクが /28 の新しい管理サブネットを使用する必要があります。この UAG 管理サブネットは、Edge 管理サブネットと同じ vNet またはピアリングされた vNet に配置する必要があります。新しい UAG 管理サブネットには、リストから選択した /28 サブネット マスクを指定する必要があります。
たとえば、基本/source-ip-affinity UAG が有効になっている Azure ロード バランサの前面に NAT ゲートウェイまたはファイアウォールをデプロイするシナリオでは、各 Horizon Edge で 2,000 の接続のみがサポートされます。詳細/ハッシュ UAG のデプロイを有効にすると、各 Horizon Edge で最大 18,000 の接続をサポートできます。
[保存] をクリックして UAG 詳細モードを構成すると、UAG 詳細モード構成が進行中であることを示すメッセージが表示されます。UAG 詳細モードの構成が完了するまでに最大 15 分かかる場合があります。
UAG 詳細モードを正常に構成した後、UAG ロード バランサの IP アドレスが変更されることがあります。その場合は、新しい IP アドレスで DNS レコードを更新することが必要になる場合があります。
**注：**Unified Access Gateway ロード バランサに DMZ または仮想マシン サブネットから割り当てられたプライベート フロントエンド IP アドレスがある場合、デプロイ タイプを基本や詳細に変更するときに別のサブネットを選択すると、ロード バランサの IP アドレスが変更されます。詳細については、「Unified Access Gateway デプロイ タイプの更新とロード バランサ IP アドレスへの影響」を参照してください。Azure Load Balancer 関連の情報については、Microsoft のドキュメントにある「Azure Load Balancer 分散モード」を参照してください。
[詳細] を選択した場合は、次の操作を 1 つ以上実行できます。
- UAG を Blast Extreme としてデプロイする場合は、ポート 8443 またはポート 443 のいずれかを使用するように指定できます。
- デプロイヤ サービスは UAG 管理 NSG で 8445 受信 UDP ポートを自動的に有効にします。
- NTP サーバとプロキシの情報は指定できます。これは、これらのオプションについて表示される画面上のヘルプで説明されています。
- 必要に応じて Azure リソース タグを管理できます。これには、継承されたタグの表示、既存のタグの編集と削除、この Unified Access Gateway に固有のリソース グループに適用するタグの追加が含まれます。関連情報については、「Azure リソース タグの使用」を参照してください。
[詳細] を選択すると、[暗号スイート] オプションも表示されます。暗号スイートは、ネットワークを介した通信を保護するために使用される標準化された暗号化アルゴリズムのセットです。デフォルトでは、すべての暗号スイートが有効になっています。次の画面上のリストから、1 つ以上の暗号スイートを無効または有効にできます。
- TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
- TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
- TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
- TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
**注：**選択した暗号スイートの少なくとも 1 つは GCM 暗号スイートにする必要があります。
-
[ゲートウェイ アクセス] セクションで、次のオプションから [アクセス タイプ] を選択します。
- [企業のネットワーク経由の内部アクセス] - イントラネット（社内ネットワーク）経由でのみ仮想マシンにアクセスする場合。レイヤー 4 ロード バランサは、デスクトップ ネットワークにフロントエンドを使用してデプロイされます。
- [インターネット経由の外部アクセス] - インターネット経由で仮想マシンにアクセスする場合。レイヤー 4 ロード バランサは、パブリック IP アドレスを使用してデプロイされます。
- [内部および外部アクセス] - 内部および外部の両方のアクセスを許可します。
注：3 つのすべてのオプションで、
*.horizon.omnissa.comへの送信インターネット アクセスが引き続き必要です。[企業のネットワーク経由の内部アクセス] を使用する場合、ユーザー定義のルーティングまたは NAT ゲートウェイのいずれかを [管理サブネット] に適用して送信トラフィックを許可できます。外部アクセスが DMZ ネットワークを使用して外部に構成されている場合は、DMZ ネットワーク上で*.horizon.omnissa.comへの外部アクセスを構成する必要があります。サポートされている Horizon Edge バージョンを使用している場合は、HTTP ではなく HTTPS を使用するプロキシを使用して UAG をデプロイすることも、信頼できる証明書を提供する必要なくプロキシを使用して UAG をデプロイすることもできます。これらのオプションを有効にするには、Omnissa Customer Connect にお問い合わせください。
-
[アクセス設定] セクションで、トグルをオンに切り替えて Unified Access Gateway の自動パブリック IP アドレスを有効にするか、手動でパブリック IP アドレスを使用する場合はオフに切り替えます。
トグルはデフォルトでオンになっています。手動のカスタム IP アドレスが選択されている場合、外部 Unified Access Gateway は DMZ ネットワーク上にプライベート フロントエンド IP アドレスを使用してデプロイされます。次に、このプライベート IP アドレスからユーザーが提供したパブリック IP アドレスへのルーティングを行う必要があります。
-
[アクセス構成 FQDN] セクションで、Unified Access Gateway デプロイの FQDN を指定します。FQDN にアクセスできる必要があります。
内部アクセスと外部アクセスを構成するときに、同じ FQDN を使用する場合は、[外部 FQDN] と [内部 FQDN] の両方のフィールドに同じ FQDN を入力します。
-
[ゲートウェイ仮想マシン] セクションの [証明書タイプ] フィールドで、ドロップダウン メニューから [PEM] または [PFX] を選択します。
-
[ゲートウェイ仮想マシン] セクションの [証明書] フィールドで、クライアントが Microsoft Azure の Unified Access Gateway との接続を信頼できる証明書をアップロードします。
自己署名証明書はサポートされます。
「SHA256withRSA」署名アルゴリズムがサポートされており、必須です。
証明書にはサーバ認証 EKU のみを含める必要があり、クライアント認証 EKU は含めないでください。
-
[ゲートウェイ仮想マシン] セクションで、使用可能な仮想マシン モデルのリストから、UAG に使用する [仮想マシン モデル] を選択します。
-
[ゲートウェイ仮想 マシン] セクションで、[UAG 仮想マシン] フィールドに必要なゲートウェイ仮想マシンの数を入力します。
-
[ネットワーク] セクションで、画面上のヘルプを使用して、仮想ネットワーク、仮想マシン サブネット、UAG 管理サブネット、および DMZ サブネットの情報を指定します。
-
（オプション）[詳細] オプションを展開し、画面上のヘルプおよび以下の説明に従って、Blast Extreme TCP ポート、NTP サーバ、アウトバウンド プロキシ、および Azure リソース タグの情報を指定します。
必要に応じて Azure リソース タグを管理できます。これには、継承されたタグの表示、既存のタグの編集と削除、この Unified Access Gateway に固有のリソース グループに適用するタグの追加が含まれます。
Azure China でデプロイする場合、UAG の Azure Marketplace イメージはサポートされません。このシナリオでは、デプロイの一環として、Unified Access Gateway が、自動作成された Azure ストレージ アカウントにコピーされます。この機能は、UAG のデプロイで Azure China プロバイダが使用されている場合に自動的にトリガされます。ただし、このワークフローをサポートするには、サービス原則にストレージ Blob データ コントリビュータのロールも追加する必要があります。
UAG をデプロイするときに、Azure サブスクリプションが Azure China の場合、Horizon Cloud は新しいリソース グループにストレージ アカウントを自動的に作成し、UAG VHD をインポートします。次に、Azure サブスクリプションでその VHD からイメージを作成します。イメージ バージョンは、作成、スケールアウト、スケールイン、およびアップグレードの操作に有効です。リソース グループ、ストレージ アカウント コンテナ、イメージ名にはすべて hcs-app-img というプリフィックスが付きます。自動生成されたリソース グループの名前は hcs-app-img-{providerInstanceId}-rg です。ストレージ アカウント名はランダムに生成され、ダッシュ (-) 文字を含めることはできません。つまり、名前は hcsappimg{random-suffix} 命名規則に従います。
代わりに、このプロセスに既存のリソース グループまたはストレージ アカウントを指定するには、ページ上部の「Azure Marketplace の外部に UAG をデプロイするための前提条件」セクションの説明に従って、Omnissa Customer Connect のサポートにお問い合わせください。
-
[保存] をクリックします。
次の手順
この手順を完了したら、Unified Access Gateway インスタンスに対して入力した FQDN に一致する DNS レコードを作成します。「Horizon Edge Gateway と Unified Access Gateway のデプロイ後の DNS レコードの構成」を参照してください。
Horizon Cloud デプロイを完了し、デスクトップまたはアプリケーションの使用資格をエンド ユーザーに付与したら、次の Unified Access Gateway の動作が Horizon Web Client を使用するエンド ユーザーに与える影響について理解しておく必要があります。Unified Access Gateway インスタンスがメンテナンス モードまたは健全でない状態になってアクセス不能になると、Horizon Web Client を使用するエンド ユーザーの進行中のセッションは、健全な Unified Access Gateway インスタンスに再接続します。再接続には数分かかることがあります。Unified Access Gateway の SSL 証明書を更新すると、エンド ユーザー セッションが終了します。
注：Horizon Cloud でマルチテナント アプリケーションを削除する場合は、Microsoft Azure ポータルからも削除する必要があります。
デプロイの監視の詳細については、「環境の監視」を参照してください。
このページは役に立ちましたか?