App Volumes は、Horizon Cloud 環境用に構成された ID プロバイダと統合し、アプリケーションへのアクセスと資格を管理します。Microsoft Entra ID を ID プロバイダとして使用する場合、ID とアクセスの処理方法は、Active Directory を使用する環境と比較して重要な相違点があります。
大まかなワークフロー
Horizon Cloud の App Volumes で Microsoft Entra ID を使用するには、以下の大まかな手順を実行します。
-
Horizon Cloud で Microsoft Entra ID を ID プロバイダとして構成します。詳細については、「ID プロバイダの接続」を参照してください。
-
必要な Microsoft Graph API 権限を付与し、管理者の同意が提供されていることを確認します。詳細については、「Microsoft Entra ID 参加マシンの管理を Horizon Cloud に許可する権限の適用」および「アプリケーションに対してテナント全体の管理者の同意を付与する」 (Microsoft Learn) を参照してください。
-
Microsoft Entra ID と Azure RBAC を使用して、ユーザーおよび管理者に対して適切なアクセス権と権限を構成します。詳細については、「Azure 組み込みロール」 (Microsoft Learn) および「Horizon Cloud アプリケーション登録にカスタム ロールを使用する」を参照してください。
-
必要に応じて、Microsoft Entra ID を ID プロバイダとして使用し、デスクトップ プールを作成または構成します。詳細については、「プールの作成」を参照してください。
-
Horizon Universal Console を使用して、Microsoft Entra ID のユーザーまたはグループに App Volumes アプリケーションを割り当てます。
-
プライベート エンドポイントや適切なストレージ アクセス構成を含む、App Volumes パッケージの配信用に Azure ストレージ アクセスが正しく構成されていることを確認します。詳細については、「App Volumes アプリケーション ストレージ アカウントの Azure プライベート エンドポイント」を参照してください。
**注：**ストレージ構成は、Microsoft Entra ID (HID) が ID プロバイダとして使用されているかどうかに依存しません。この要件は、Entra ID と非 Entra ID 環境の両方に適用されます。
ID と資格
App Volumes アプリケーションの資格は、Microsoft Entra ID から取得されたユーザーおよびグループに割り当てられます。
-
ユーザーおよびグループの管理
-
ユーザーとグループは、Microsoft Entra ID で管理されます。
-
デスクトップにアクセスするには、適切なアクセス グループおよび仮想マシン ユーザー ログインなどのロールにユーザーを割り当てる必要があります。
-
管理ユニットは、スコープを指定した委任に使用できます。
-
-
アプリケーションに対する資格
-
アプリケーション資格は、Horizon Universal Console を介して割り当てられます。
-
資格は、ユーザー ログイン時に App Volumes Agent によって評価されます。
-
Horizon 管理ロールは適切に構成する必要があります。 詳細については、「Horizon Universal Console ユーザーへの管理ロールの割り当て」を参照してください。
-
-
トークンとセッションの動作
-
ユーザーまたはグループ メンバーシップの変更の反映は、トークンの更新およびセッションのライフサイクルに依存します。
-
通常、資格の更新にはログアウトとログインが必要です。 グループ管理の詳細については、「Microsoft Entra グループとグループ メンバーシップの管理」 (Microsoft Learn) を参照してください。
-
-
ID プロバイダの統合
- Microsoft Entra ID ID プロバイダが正しく構成され、アクティブなままであることを確認します。詳細については、「ID プロバイダの接続」を参照してください。
Active Directory ベースの環境との違い
Microsoft Entra ID を使用する環境における ID およびアクセス管理は、従来の Active Directory ベースの環境と比べて次のような相違点があります。
-
組織単位 (OU) はなし
-
組織単位 (OU) は、ID またはリソースの整理には使用されません。
-
代わりに、Microsoft Entra ID はユーザーとリソースの管理にグループ（動的グループを含む）を使用します。詳細については、「Microsoft Entra グループで動的メンバーシップ グループのルールを管理する」 (Microsoft Learn) を参照してください。
-
-
ロール ベースのアクセス制御 (RBAC)
-
ID とアクセス制御は、従来の Active Directory 構造ではなく、ロールベースのアクセス制御 (RBAC) に依存します。
-
RBAC は、仮想マシンへのアクセスと Horizon Cloud 操作を制御するために使用されます。詳細については、「Azure ロールベースのアクセス制御 (Azure RBAC) とは」(Microsoft Learn) を参照してください。
-
-
ポリシーベースの認証
-
認証は、条件付きアクセスなどの Microsoft Entra ID ポリシーによって管理されます。
-
これらのポリシーは、ユーザーがアプリケーションとデスクトップにアクセスできる方法とタイミングを定義します。詳細については、「条件付きアクセスとは」(Microsoft Learn) を参照してください。
-
-
ID モデル
-
ID は、SID ベースではなく属性ベース（UPN など）に基づいています。
-
これは、サービス全体でのユーザーの識別と管理方法に影響します。詳細については、「Microsoft Entra とは」(Microsoft Learn) を参照してください。
-
権限モデルの概要
Horizon Cloud on Azure で App Volumes を使用してアプリケーションを配信するには、3 つの権限レイヤー間での整合性が必要です。
-
ID 権限 (Microsoft Entra ID/Microsoft Graph)
-
ID 統合には Microsoft Graph API の権限が必要です。
-
これらの権限により、Horizon Cloud は資格マッピングのためにユーザーおよびグループを読み取ることが可能になります。詳細については、「Microsoft Entra ID 参加マシンの管理を Horizon Cloud に許可する権限の適用」を参照してください。
-
これらの権限を有効にするには、管理者の同意が付与されている必要があります。詳細については、「アプリケーションに対してテナント全体の管理者の同意を付与する」 (Microsoft Learn) を参照してください。
-
-
プラットフォーム権限 (Azure RBAC)
Azure RBAC は、コンピューティング リソースおよび Horizon Cloud 操作へのアクセスを制御します。
ユーザーおよび管理者がリソースにアクセスして管理できるようにするには、適切なスコープ（サブスクリプションまたはリソース グループ）で権限を割り当てる必要があります。
**注：**必要なロールおよび権限は、デプロイの構成とサポートされている機能によって異なります。詳細については、「Horizon Cloud アプリケーション登録にカスタム ロールを使用する」を参照してください。
-
ストレージ アクセス（プライベート エンドポイントとストレージ構成）
App Volumes アプリケーション パッケージは Azure ストレージ アカウントに保存されます。
ストレージ アクセスは、Horizon Cloud およびセッション ホストがアプリケーション パッケージにアクセスできるように構成する必要があります。これには、次のものが含まれる場合があります。
-
ネットワーク アクセスの構成（Azure プライベート エンドポイントなど）
-
ストレージ リソースにアクセスするための適切な権限の確認
Azure Private Endpoints can be used to:
-
トラフィックがプライベート ネットワーク内に維持されるようにする
-
ストレージ リソースへのアクセスを制限する
注：
-
ストレージ アクセスの構成は、ID プロバイダ（Microsoft Entra ID など）に依存しません。
-
特定の権限モデルとアクセス メカニズムは、プラットフォームの機能によって異なる場合があります。現在のデプロイ環境では、明示的なロールの割り当てが不要な場合があります。
詳細については、「App Volumes アプリケーション ストレージ アカウントの Azure プライベート エンドポイント」を参照してください。
-
サマリ
App Volumes における Microsoft Entra ID の使用には、ID、プラットフォーム、およびストレージの各レイヤー全体で適切な構成が必要です。
-
アプリケーション アクセスは、Microsoft Entra ID のユーザーおよびグループを介して管理されます。
-
ID 権限、プラットフォームのアクセス制御、およびストレージ アクセスは、デプロイ モデルとサポートされている機能に基づいて適切に構成する必要があります。
-
Microsoft Graph API の権限により、Horizon Cloud は資格マッピングのためのユーザーおよびグループ情報を読み取ることが可能になります。
-
Azure RBAC は、デスクトップおよびプラットフォーム操作へのアクセスを制御するために使用されます。
-
プライベート エンドポイントや適切なアクセス構成を含むストレージ構成により、App Volumes アプリケーション パッケージの配信が確実に行われます。
-
トークンのライフサイクルおよびセッションの動作は、資格の変更が反映されるタイミングに影響を与える可能性があります。
**注：**これらの領域のいずれかで構成に不備があると、ユーザーがデスクトップにアクセスできなくなったり、割り当てられたアプリケーションを受信できなくなったりする可能性があります。
このページは役に立ちましたか?