最初に Horizon Cloud ポッドをゲートウェイなしで、または 1 つのタイプのゲートウェイのみを使用して Microsoft Azure にデプロイした場合、[ポッドを編集] ワークフローを使用して後でゲートウェイ構成をポッドに追加できます。このワークフローは、ポッドの詳細ページから起動します。
ヒント: コンソールは動的です。ポッドの現在の構成と環境全体の構成に基づいて、意味のある適切なワークフロー、トグル、およびフィールドのみがユーザー インターフェイスで利用できるようになります。
Horizon Cloud on Microsoft Azure のデプロイで説明されているように、ポッドには外部ゲートウェイ構成、内部ゲートウェイ構成、またはその両方を含めることができます。このワークフローを使用して、ポッドにまだないタイプを追加できます。ポッドを編集してゲートウェイ構成を追加するのと同時に、そのゲートウェイに 2 要素認証設定を指定することもできます。
重要: これらの手順を使用してポッドを変更する場合は、次の点に注意してください。
- 外部ゲートウェイのロード バランサの IP 設定は、外部ゲートウェイ構成を最初に設定した後は変更できないことに注意してください。外部ゲートウェイ構成を追加するときに、ゲートウェイのロード バランサにパブリック IP アドレスではなくプライベート IP アドレスを使用するように選択できます。デフォルトでは、パブリック IP が使用されます。
- テナントが Universal Broker を使用するように構成され、ブローカの設定で 2 要素認証が有効になっている場合は、フリート内のすべてのポッドの外部ゲートウェイで同じ 2 要素認証タイプを設定する必要があります。
- システムがポッドの構成を変更している場合、変更が完了するまでは、次の制限が適用されます。
- ポッドで管理タスクを実行することはできません。
- ポッドによって提供されるデスクトップまたはリモート アプリケーションにセッションを接続していないエンド ユーザーは、接続を試みると失敗します。
- ポッドによってサービスが提供されるセッションを接続しているエンド ユーザーに対して、それらのアクティブなセッションが切断されることになります。データの損失は発生しません。構成の変更が完了すると、これらのユーザーは再接続できます。
前提条件
メモ: ポッドで高可用性が有効になっていて、ポッド マネージャ仮想マシンの 1 つがオフラインの場合、システムはポッドへのゲートウェイの追加を防止します。保存して終了 をクリックすると、メッセージが表示されます。ゲートウェイを追加するには、Microsoft Azure ポータルを使用してオフラインのポッド マネージャ仮想マシンをオンラインに戻す必要があります。
Microsoft Azure の既存のポッドにゲートウェイ構成を追加する場合、[ポッドの編集] ウィザードのフィールドに入力するには、 Unified Access Gateway 構成の前提条件の説明に従って情報を提供する必要があります。ゲートウェイを追加するときに 2 要素認証の設定も指定する場合は、「 2 要素認証構成でデプロイする際の前提条件」に記載されている情報を提供する必要があります。外部ゲートウェイ構成を追加し、独自のサブスクリプションを使用する場合は、そのサブスクリプション情報も必要になり、そのゲートウェイに使用する VNet が VNet 要件を満たしていることを確認します。これらの VNet 要件については、「 Microsoft Azure での必要な仮想ネットワークの構成」を参照してください。
重要: 証明書チェーン内のすべての証明書には、有効期間が設定されている必要があります。Unified Access Gateway 仮想マシンでは、中間証明書を含むチェーン内のすべての証明書の有効期間が設定されている必要があります。チェーン内のいずれかの証明書が期限切れの場合、後で証明書が Unified Access Gateway 構成にアップロードされるときに予期しない障害が発生する可能性があります。
手順
-
コンソールで、 設定 > キャパシティ に移動し、ポッドの名前をクリックしてその詳細ページを開きます。
-
ポッドの詳細ページで、 編集 をクリックします。
-
サブスクリプション の手順で、外部ゲートウェイ構成を追加し、ポッドとは別のサブスクリプションを使用する場合は、 外部ゲートウェイに別のサブスクリプションを使用 を有効にして、サブスクリプション情報を入力します。
-
ゲートウェイ設定 の手順に到達するまで、次へ をクリックします。
この手順には、外部ゲートウェイ構成のセクションと内部ゲートウェイ構成のセクションが含まれます。ユーザー インターフェイスには、ポッドの現在の構成とすでに存在するゲートウェイ設定が反映されます。
- 外部ゲートウェイを追加するには、 外部 UAG を有効にしますか? トグルをオンに切り替えて、 外部 UAG セクションのフィールドに入力します。
| オプション | 説明 |
|---|---|
| 外部ゲートウェイを有効にしますか? | ポッドに外部ゲートウェイ構成があるかどうかを制御します。外部 構成を使用すると、企業のネットワークの外部にいるユーザーがデスクトップおよびアプリケーションにアクセスできます。ポッドには、このアクセスを提供するための Microsoft Azure ロード バランサ リソースと Unified Access Gateway インスタンスが含まれています。 注: デフォルトの [有効] のままにしておくことをお勧めします。 このトグルをオフにすると、クライアントはコネクタ アプライアンスがポッド マネージャに直接統合された Omnissa Access を介して接続するか、クライアントがポッド マネージャのロード バランサに直接接続するか、内部ゲートウェイ構成を介して接続する必要があります。前者の 2 つのシナリオ(ポッドに統合された Access を介してクライアントが接続する、またはクライアントがロード バランサに直接接続する場合)では、デプロイ後にいくつかの手順が必要になります。これらのシナリオでは、ポッドがデプロイされた後、 ポッド マネージャ仮想マシンでの SSL 証明書の直接構成の手順に従って、SSL 証明書をポッド マネージャ仮想マシンにアップロードします。 |
| の FQDN | 必要な完全修飾ドメイン名 (FQDN)( ourOrg.example.com など)を入力します。これは、ゲートウェイの Unified Access Gateway インスタンスの構成でポッド デプロイヤによって指定されます。そのドメイン名を所有し、その FQDN を検証できる PEM 形式の証明書を持っている必要があります。
Horizon Cloud は、外部ゲートウェイ構成に指定されたこの FQDN がパブリックに解決可能であると想定します。ファイアウォールまたは NAT 設定から IP アドレスを指定するために パブリック IP アドレスを有効にしますか トグルをオフにした場合は、ファイアウォールまたは NAT 設定でこの FQDN がその IP アドレスに割り当てられていることを確認する必要があります。この FQDN は、ゲートウェイへの PCoIP 接続に使用されます。 重要: この FQDN にアンダースコアを含めることはできません。このリリースでは、FQDN にアンダースコアが含まれていると、Unified Access Gateway インスタンスへの接続に失敗します。 |
| addresses | オプションで、Unified Access Gateway が名前解決に使用できる追加の DNS サーバのアドレスをカンマ区切りで入力します。
Unified Access Gateway インスタンスがデプロイされる VNet トポロジの外部にある 2 要素認証サーバで 2 要素認証を使用するようにこの外部 Unified Access Gateway 構成を構成する場合は、その認証サーバのホスト名を解決できる DNS サーバのアドレスを指定します。たとえば、2 要素認証がオンプレミスにある場合、その認証サーバの名前を解決できる DNS サーバを入力します。 デプロイの前提条件で説明されているように、Horizon Cloud on Microsoft Azure デプロイに使用される VNet トポロジは、Unified Access Gateway インスタンスのデプロイ中およびその継続的な操作のために、外部の名前解決を提供する DNS サーバと通信できる必要があります。 デフォルトでは、インスタンスがデプロイされる VNet で構成されている DNS サーバが使用されます。 DNS アドレス でアドレスを指定すると、デプロイされた Unified Access Gateway インスタンスは、VNet の構成の DNS サーバ情報に加えて、それらのアドレスを使用します。 |
| ルート | オプションで、デプロイされた Unified Access Gateway インスタンスがエンド ユーザー アクセスのネットワーク ルーティングを解決するために使用する、追加のゲートウェイへのカスタム ルートを指定します。指定されたルートは、Unified Access Gateway が 2 要素認証サーバとの通信などのネットワーク ルーティングを解決できるようにするために使用されます。
オンプレミス認証サーバで 2 要素認証を使用するようにこのポッドを構成する場合は、Unified Access Gateway インスタンスがそのサーバに到達するために使用できる正しいルートを入力する必要があります。たとえば、オンプレミスの認証サーバが IP アドレスとして 10.10.60.20 を使用している場合は、10.10.60.0/24 とデフォルト ルートのゲートウェイ アドレスをカスタム ルートとして入力します。デフォルト ルートのゲートウェイ アドレスは、この Horizon Cloud on Microsoft Azure デプロイに使用している Express Route または VPN 構成から取得します。 カスタム ルートをカンマ区切りリストとして |
| ポッドの NTP サーバの継承 | このトグルはデフォルトで有効になっていて、Unified Access Gateway インスタンスはポッド マネージャ インスタンスに指定されているのと同じ NTP サーバを使用します。このトグルを有効にしておくことを強くお勧めします。
ポッド マネージャ インスタンス、Unified Access Gateway インスタンス、および Active Directory サーバに同じ NTP サーバを使用することがベスト プラクティスです。これらのインスタンスが異なる NTP サーバを使用すると、タイム スキューが発生する可能性があります。このようなタイム スキューにより、後でゲートウェイがデスクトップおよびアプリケーションへのエンド ユーザー セッションの認証を試みるときに、エラーが発生する可能性があります。 このトグルが有効で、外部ゲートウェイをポッドの VNet とは別の専用の VNet にデプロイする場合は、ポッド マネージャ インスタンスに指定された NTP サーバに、外部ゲートウェイのデプロイ用に選択した仮想ネットワークからアクセスできることを確認します。 |
| 仮想マシン モデル | Unified Access Gateway インスタンスに使用するモデルを選択します。このポッドに指定した Microsoft Azure サブスクリプションが、選択したモデルの 2 台の仮想マシンにキャパシティを提供できることを確認する必要があります。
重要: 現在のサービス リリースでは、サブスクリプションにゲートウェイ構成がデプロイされた後、これらのインスタンスで使用される仮想マシン モデルを簡単に変更することはできません。デプロイ後に仮想マシン モデルを変更するには、ゲートウェイ構成を削除して再デプロイする必要があります。ポッドあたりのセッション数が 2,000 にまで拡張されると予想される場合は、 |
| 証明書 | Microsoft Azure で実行されている Unified Access Gateway インスタンスへの接続をクライアントが信頼できるようにするために Unified Access Gateway で使用される PEM 形式の証明書をアップロードします。入力した FQDN に基づく証明書で、信頼できる CA によって署名されている必要があります。PEM ファイルには、SSL 証明書の中間証明書、ルート CA 証明書、プライベート キーを含む、完全な証明書チェーンが含まれている必要があります。 |
| Blast Extreme TCP ポート | Unified Access Gateway 構成内の Blast Extreme TCP 設定で使用する TCP ポートを選択します。この設定は、クライアントによって送信されるデータ トラフィックの Unified Access Gateway 上の Blast Secure Gateway 経由の Blast Extreme に関連しています。ポート 8443 は、より効率的でパフォーマンスが向上し、Unified Access Gateway インスタンスでのリソース使用率が低いため、推奨されます。これらの理由から、ウィザードのデフォルト値は 8443 です。もう 1 つの選択肢である 443 は、効率とパフォーマンスが低下し、インスタンスで CPU 輻輳を引き起こし、エンドユーザー クライアントで目に見えるトラフィック遅延を引き起こす可能性があります。443 の選択肢は、組織でクライアント側の制限が設定されている場合(組織で 443 送信のみが許可されているなど)にのみ使用してください。 注: Blast Extreme に使用される UDP ポートはこの設定の影響を受けず、常に UDP 8443 です。 |
| 暗号スイート | ほとんどの場合、デフォルト設定を変更する必要はありませんが、Unified Access Gateway は、クライアントと Unified Access Gateway アプライアンス間の通信を暗号化するために使用される暗号化アルゴリズムをオプションで指定するための機能を提供します。 画面上のリストから少なくとも 1 つの暗号スイートを選択する必要があります。画面上のリストには、Horizon Cloud on Microsoft Azure のデプロイで許可されている暗号スイートが表示されます。 |
このゲートウェイの Microsoft ロード バランサの設定を指定します。
| オプション | 説明 |
|---|---|
| パブリック IP アドレスを有効にしますか? | このゲートウェイのロード バランシング タイプをプライベートまたはパブリックのどちらに構成するかを制御します。オンに切り替えると、デプロイされた Microsoft Azure ロード バランサ リソースがパブリック IP アドレスで構成されます。オフに切り替えると、Microsoft Azure ロード バランサ リソースはプライベート IP アドレスで構成されます。
重要: このリリースでは、外部ゲートウェイのロード バランシング タイプを後でパブリックからプライベートに、またはプライベートからパブリックに変更することはできません。この変更を行う唯一の方法は、デプロイされたポッドからゲートウェイ構成を完全に削除してから、ポッドを編集して逆の設定で追加することです。 このトグルをオフに切り替えると、 Horizon FQDN のパブリック IP アドレス フィールドが表示されます。 |
| Horizon FQDN のパブリック IP アドレス | デプロイされた Microsoft Azure ロード バランサをパブリック IP アドレスで構成しないことを選択した場合は、 FQDN フィールドで指定した FQDN を割り当てる IP アドレスを指定する必要があります。エンド ユーザーの Horizon Client は、ゲートウェイへの PCoIP 接続にこの FQDN を使用します。この IP アドレスは、デプロイヤが Unified Access Gateway 構成で構成します。 |
外部ゲートウェイのネットワーク設定を指定します。
| オプション | 説明 |
|---|---|
| 別の仮想ネットワークを使用 | このトグルは、外部ゲートウェイをポッドの VNet とは別の専用の VNet にデプロイするかどうかを制御します。
次の行では、さまざまなケースについて説明します。
注: ウィザードの最初のステップで外部ゲートウェイに別のサブスクリプションを使用するように指定した場合、このトグルはデフォルトで有効になっています。その場合は、ゲートウェイの VNet を選択する必要があります。 このトグルがオンに切り替えられ、 ポッドの NTP サーバの継承 トグルがオンになっている場合は、ポッド マネージャ インスタンスに指定された NTP サーバに、外部ゲートウェイのデプロイ用に選択した仮想ネットワークからアクセスできることを確認します。 |
| 別の仮想ネットワークを使用 — オフ | トグルをオフに切り替えると、外部ゲートウェイがポッドの VNet にデプロイされます。この場合は、DMZ サブネットを指定する必要があります。
|
| 別の仮想ネットワークを使用 — 有効 | トグルを有効にすると、外部ゲートウェイは専用の VNet にデプロイされます。この場合、使用する VNet を選択してから、必要な 3 つのサブネットを指定する必要があります。既存のサブネットを使用 トグルを有効にして、指定した VNet で事前に作成したサブネットから選択します。それ以外の場合は、サブネットを CIDR 表記で指定します。
重要: 接続されている他のリソースがない空のサブネットを選択します。サブネットが空でない場合、デプロイ プロセス中またはポッドの操作中に予期しない結果が発生する可能性があります。 この場合、ゲートウェイの VNet とポッドの VNet がピアリングされます。ベスト プラクティスは、サブネットを事前に作成し、ここで CIDR エントリを使用しないことです。ポッドの VNet またはサブスクリプションとは別の専用の VNet またはサブスクリプションを使用して外部 Unified Access Gateway 構成でデプロイする場合の前提条件を参照してください。
|
- デプロイ セクションで、トグルを使用して、必要に応じて、デプロイヤが外部ゲートウェイ構成のリソースをデプロイする既存のリソース グループを選択します。
このトグルは、ウィザードの最初のステップで外部ゲートウェイに別のサブスクリプションを使用するように指定した場合に表示されます。トグルを有効にすると、リソース グループを検索して選択できるフィールドが表示されます。
- 内部ゲートウェイを追加するには、 内部 UAG を有効にしますか? トグルをオンに切り替えて、 内部 UAG セクションのフィールドに入力します。
| オプション | 説明 |
|---|---|
| 内部ゲートウェイを有効にしますか? | ポッドに内部ゲートウェイ構成があるかどうかを制御します。内部 構成は、企業ネットワークの内部にいるユーザーが Horizon Web Client (Blast) でデスクトップおよびアプリケーションに接続するための信頼できるアクセスを提供します。ポッドには、このアクセスを提供するための Azure ロード バランサ リソースと Unified Access Gateway インスタンスが含まれています。デフォルトでは、このゲートウェイのロード バランシング タイプはプライベートです。ロード バランサは、プライベート IP アドレスで構成されます。 |
| の FQDN | エンド ユーザーが サービスにアクセスするために使用する、 ourOrg.example.com などの必要な完全修飾ドメイン名 (FQDN) を入力します。そのドメイン名を所有し、その FQDN を検証できる PEM 形式の証明書を持っている必要があります。
重要: この FQDN にアンダースコアを含めることはできません。このリリースでは、FQDN にアンダースコアが含まれていると、Unified Access Gateway インスタンスへの接続に失敗します。 |
| addresses | オプションで、Unified Access Gateway が名前解決に使用できる追加の DNS サーバのアドレスをカンマ区切りで入力します。
Unified Access Gateway インスタンスがデプロイされる VNet トポロジの外部にある 2 要素認証サーバで 2 要素認証を使用するようにこの内部 Unified Access Gateway 構成を構成する場合は、その認証サーバのホスト名を解決できる DNS サーバのアドレスを指定します。たとえば、2 要素認証がオンプレミスにある場合、その認証サーバの名前を解決できる DNS サーバを入力します。
デプロイの前提条件で説明されているように、Horizon Cloud on Microsoft Azure デプロイに使用される VNet トポロジは、Unified Access Gateway インスタンスのデプロイ中およびその継続的な操作のために、外部の名前解決を提供する DNS サーバと通信できる必要があります。 デフォルトでは、インスタンスがデプロイされる VNet で構成されている DNS サーバが使用されます。 DNS アドレス でアドレスを指定すると、デプロイされた Unified Access Gateway インスタンスは、VNet の構成の DNS サーバ情報に加えて、それらのアドレスを使用します。 |
| ルート | オプションで、デプロイされた Unified Access Gateway インスタンスがエンド ユーザー アクセスのネットワーク ルーティングを解決するために使用する、追加のゲートウェイへのカスタム ルートを指定します。指定されたルートは、Unified Access Gateway が 2 要素認証サーバとの通信などのネットワーク ルーティングを解決できるようにするために使用されます。
オンプレミス認証サーバで 2 要素認証を使用するようにこのポッドを構成する場合は、Unified Access Gateway インスタンスがそのサーバに到達するために使用できる正しいルートを入力する必要があります。たとえば、オンプレミスの認証サーバが IP アドレスとして 10.10.60.20 を使用している場合は、10.10.60.0/24 とデフォルト ルートのゲートウェイ アドレスをカスタム ルートとして入力します。この環境で使用している Express ルートまたは VPN 構成からデフォルト ルートのゲートウェイ アドレスを取得します。
カスタム ルートをカンマ区切りリストとして ipv4-network-address/bits ipv4-gateway-address の形式で指定します。たとえば、 192.168.1.0/24 192.168.0.1, 192.168.2.0/24 192.168.0.2 のようになります。 |
| ポッドの NTP サーバの継承 | このトグルはデフォルトで有効になっていて、Unified Access Gateway インスタンスはポッド マネージャ インスタンスに指定されているのと同じ NTP サーバを使用します。このトグルを有効にしておくことを強くお勧めします。 ポッド マネージャ インスタンス、Unified Access Gateway インスタンス、および Active Directory サーバに同じ NTP サーバを使用することがベスト プラクティスです。これらのインスタンスが異なる NTP サーバを使用すると、タイム スキューが発生する可能性があります。このようなタイム スキューにより、後でゲートウェイがデスクトップおよびアプリケーションへのエンド ユーザー セッションの認証を試みるときに、エラーが発生する可能性があります。 |
| 仮想マシン モデル | Unified Access Gateway インスタンスに使用するモデルを選択します。このポッドに指定した Microsoft Azure サブスクリプションが、選択したモデルの 2 台の仮想マシンにキャパシティを提供できることを確認する必要があります。
重要: 現在のサービス リリースでは、サブスクリプションにゲートウェイ構成がデプロイされた後、これらのインスタンスで使用される仮想マシン モデルを簡単に変更することはできません。デプロイ後に仮想マシン モデルを変更するには、ゲートウェイ構成を削除して再デプロイする必要があります。ポッドあたりのセッション数が 2,000 にまで拡張されると予想される場合は、 F8s_v2 を選択します。Horizon Cloud on Microsoft Azure サービス制限で述べたように、A4_v2 仮想マシン モデルが十分に機能するのは、ポッドでのアクティブなセッション数が 1,000 を超えないことが分かっている PoC(事前検証)環境、パイロット環境、または小規模な環境のみです。 |
| 証明書 | Microsoft Azure で実行されている Unified Access Gateway インスタンスへの接続をクライアントが信頼できるようにするために Unified Access Gateway で使用される PEM 形式の証明書をアップロードします。入力した FQDN に基づく証明書で、信頼できる CA によって署名されている必要があります。PEM ファイルには、SSL 証明書の中間証明書、ルート CA 証明書、プライベート キーを含む、完全な証明書チェーンが含まれている必要があります。 |
| Blast Extreme TCP ポート | Unified Access Gateway 構成内の Blast Extreme TCP 設定で使用する TCP ポートを選択します。この設定は、クライアントによって送信されるデータ トラフィックの Unified Access Gateway 上の Blast Secure Gateway 経由の Blast Extreme に関連しています。ポート 8443 は、より効率的でパフォーマンスが向上し、Unified Access Gateway インスタンスでのリソース使用率が低いため、推奨されます。これらの理由から、ウィザードのデフォルト値は 8443 です。もう 1 つの選択肢である 443 は、効率とパフォーマンスが低下し、インスタンスで CPU 輻輳を引き起こし、エンドユーザー クライアントで目に見えるトラフィック遅延を引き起こす可能性があります。443 の選択肢は、組織でクライアント側の制限が設定されている場合(組織で 443 送信のみが許可されているなど)にのみ使用してください。 注: Blast Extreme に使用される UDP ポートはこの設定の影響を受けず、常に UDP 8443 です。 |
| 暗号スイート | ほとんどの場合、デフォルト設定で十分ですが、Unified Access Gateway は、クライアントと Unified Access Gateway アプライアンス間の通信を暗号化するために使用される暗号化アルゴリズムを指定するためにこの機能を提供します。 画面上のリストから少なくとも 1 つの暗号スイートを選択する必要があります。画面上のリストには、Horizon Cloud on Microsoft Azure のデプロイで許可されている暗号スイートが表示されます。 |
-
追加しているいずれかのゲートウェイのセクションで、オプションで 2 要素認証を使用するようにエンド ユーザーのデスクトップを構成する場合は、 Horizon Cloud ポッドのゲートウェイで 2 要素認証を有効にするの手順に従います。
-
Azure リソース タグ セクションで、ポッドの他のリソース グループで指定されたものとは異なるゲートウェイ関連のリソース グループのリソース タグを指定する場合は、ポッド タグの継承 トグルを無効にして、表示されるフィールドにタグを指定します。
Azure リソース タグ フィールドの説明については、第 1 世代テナント - Horizon Cloud ポッドのゲートウェイ構成の指定を参照してください。ポッド上の両方のタイプのゲートウェイに同じタグのセットが使用されます。
- 保存して終了 をクリックします。
確認メッセージが表示され、ワークフローの開始を確認するよう求められます。
- はい をクリックしてワークフローを開始します。
タスクの結果
システムがゲートウェイの要素のデプロイを完了するまで、ポッドのサマリ ページのその構成タイプのセクションには 保留中 ステータスが表示されます。また、システムがゲートウェイをデプロイするアクションを完了するまで、追加の [ポッドを編集] ワークフロー関連のアクティビティを実行することはできません。
ワークフローが完了すると、ステータスに 準備完了 と表示され、ロード バランサの FQDN がページに表示されます。
メモ: Microsoft Azure China のポッドに対してこのワークフローを実行する場合、プロセスが完了するまでに 1 時間以上かかることがあります。このプロセスは地理的なネットワークの問題の影響を受け、バイナリがクラウド制御プレーンからダウンロードされるときにダウンロード速度が低下する可能性があります。
次のタスク
重要: エンド ユーザーが新しく追加されたゲートウェイの使用を開始できるようにするには、次のタスクを実行する必要があります。
-
新しく追加されたゲートウェイ構成の場合、構成でデプロイされたロード バランサをデプロイ ウィザードで入力した FQDN にマッピングする CNAME レコードが DNS サーバにあることを確認します。詳細については 、DNS サーバでマッピングする Horizon Cloud ポッドのゲートウェイのロード バランサ情報の取得方法 を参照してください。
-
追加されたゲートウェイに 2 要素認証を指定した場合は、次のタスクを実行する必要があります。
-
ポッドの外部ゲートウェイに 2 要素認証が構成されていて、ゲートウェイの Unified Access Gateway インスタンスがデプロイされているのと同じ VNet トポロジ内で 2 要素認証サーバにアクセスできない場合は、外部ゲートウェイのロード バランサの IP アドレスからの通信を許可するようにその 2 要素認証サーバを構成します。
このシナリオでは、ゲートウェイのデプロイと同じ VNet トポロジ内で 2 要素認証サーバにアクセスできないため、Unified Access Gateway インスタンスは、そのロード バランサ アドレスを使用してそのサーバとの接続を試みます。その通信トラフィックを許可するには、その外部ゲートウェイのリソース グループにあるロード バランサ リソースの IP アドレスが、2 要素認証サーバの構成でクライアントまたは登録済みエージェントとして指定されていることを確認します。その通信を許可する方法の詳細については、2 要素認証サーバのドキュメントを参照してください。
- 同じ VNet トポロジ内で 2 要素認証サーバにアクセスできる場合は、Microsoft Azure でのデプロイの Unified Access Gateway インスタンス用に作成された適切な NIC からの通信を許可するように 2 要素認証サーバを構成します。
ネットワーク管理者は、展開に使用される Azure VNet トポロジとそのサブネットに対する 2 要素認証サーバのネットワーク可視性を決定します。2 要素認証サーバは、ネットワーク管理者が 2 要素認証サーバにネットワーク可視性を与えたサブネットに対応する Unified Access Gateway インスタンスの NIC の IP アドレスからの通信を許可する必要があります。
Microsoft Azure のゲートウェイのリソース グループには、そのサブネットに対応する 4 つの NIC があり、そのうち 2 つが 2 つの Unified Access Gateway インスタンスに対して現在アクティブです。もう 2 つはアイドル状態で、ポッドとそのゲートウェイが更新を完了した後にアクティブになります。
実行中のポッド操作のため、および各ポッドの更新後のために、ゲートウェイと 2 要素認証サーバ間の通信トラフィックをサポートするには、これら 4 つの NIC の IP アドレスがそのサーバの構成でクライアントまたは登録エージェントとして指定されていることを確認します。その通信を許可する方法の詳細については、2 要素認証サーバのドキュメントを参照してください。
これらの IP アドレスを取得する方法については、 必要な Horizon Cloud ポッド ゲートウェイ情報を使用した 2 要素認証システムの更新を参照してください。
このページは役に立ちましたか?