クラウドベースの管理コンソールに対する認証プロセスでは、最初のログイン画面に対して認証した後、環境に登録した Active Directory ドメインに応じて、組織の個人が 2 番目のログイン画面に Active Directory ユーザー アカウントの認証情報を入力します。システムには、さまざまな Active Directory グループに割り当てることができる事前定義済みのロールが用意されています。これらの Active Directory ドメイン関連のロールは、ログインしたユーザーがコンソール内を移動するときに、コンソールのどの領域を表示および有効にするか、または表示して無効にするかを制御します。組織の適切な Active Directory グループにロールを割り当てて、そのグループのユーザーがコンソールを使用して必要な作業アクティビティを実行できるようにする必要があります。
覚えておいてください:クラウドベースの Horizon Universal Console のツアーで説明されているように、第 1 世代のコンソールは動的であり、第 1 世代のテナント環境の最新の構成に適した機能を反映しています。このドキュメントで説明されている機能へのアクセスは、以下の要因(ただしこれらに限定されない)に依存する場合があります。
- 機能が最新の第 1 世代 Horizon Cloud ポッド マニフェスト、Horizon ポッドのバージョン、または Horizon Cloud Connector のバージョンでのみ使用可能なシステム コードに依存するかどうか。
- 機能が初登場したときに リリース ノート に記載されているように、機能へのアクセスが制限されているかどうか。
- 機能に特定のライセンスまたは SKU が必要かどうか。
このドキュメントに機能の記載があり、第 1 世代コンソールにその機能が表示されない場合は、まず リリース ノート を読み、その機能のアクセスが制限されているかどうか、およびテナントで有効化をリクエストする方法を確認します。または、このドキュメントに記載されている機能を使用する資格があるにもかかわらず、コンソールにその機能が表示されない場合は、Horizon Cloud の担当者に問い合わせるか、担当者がいない場合は、 https://customerconnect.omnissa.com にログインした後、Customer Connect アカウントから Horizon Cloud チームにサービス リクエスト (SR) を発行することができます。
この手順を使用して割り当てるロールは、ユーザーの認証済みセッションでそのユーザーがコンソールに表示できるものと、コンソールに表示されたものに対して実行できるアクションの両方を決定するためにコンソールが使用する 2 種類のロールのいずれかです。
標準のログイン ワークフローでは、コンソールの最初のログイン画面で Customer Connect アカウントが使用されます。これらは、[全般設定] ページを使用してロールに関連付けられています。
2 番目のログイン画面では、この [役割と許可] ページを使用してロールに関連付けられている Active Directory (AD) 認証情報が使用されます。これらの Active Directory ドメイン関連のロールは、コンソールの機能と要素の可視性を決定します。このロールは、ユーザーがコンソールを移動するときに無効と表示されるユーザー インターフェイス要素も決定します。
たとえば、 割り当て管理者 ロールが割り当てられている AD グループのユーザーは、エンド ユーザーの割り当てとファームの管理に関連する操作を実行できますが、他のタイプの操作は実行できません。ヘルプ デスク読み取り専用管理者 ロールが割り当てられている AD グループのユーザーは、エンド ユーザーのユーザー カードに移動して情報を表示できますが、ユーザー セッションでトラブルシューティング操作を実行することはできません。一方、 ヘルプ デスク管理者 ロールが割り当てられている AD グループのユーザーは、ユーザー カードに移動して情報を表示したり、ユーザー セッションでトラブルシューティング操作を実行したりできます。ヘルプ デスク管理者ロールの場合は、AD グループが実行できるトラブルシューティング操作の範囲を制限することもできます。
これらの AD ドメイン関連のロールは、組織内のユーザーが標準のログイン ワークフローを使用してログインする際に使用する Customer Connect アカウントのロールと連動します。したがって、個人が組織内の異なる職位や AD グループに移動した場合でも、2 つのロールの全体的な組み合わせが特定の個人に求められる結果を継続して反映するようにする必要があります。2 つのタイプのロールの詳細と、ロール割り当てのベスト プラクティスの組み合わせについては、 Horizon Universal Console を使用して Horizon Cloud 環境で作業するためにユーザーに付与する 2 種類のロールに関するベスト プラクティスを参照してください。
メモ: Horizon Cloud プラットフォームを使用して( connect.omnissa.com Cloud Services を介して行ったロールの変更は、Horizon Universal Console に表示されません。以下の説明に従って、Horizon Universal Console で直接ロールを変更する必要があります。
注意：
スーパー管理者ロールは、どの Active Directory ユーザー アカウントが Horizon Cloud テナント アカウントにログインしてコンソールで管理操作を実行できるかを管理することに注意してください。これには、Active Directory グループにロールを割り当てるこの手順も含まれます。スーパー管理者の役割に割り当てられている Active Directory グループが 1 つしかない場合は、このスーパー管理者の役割に別の管理者グループを追加するまで、その管理者グループを Active Directory システムから削除したり、Active Directory システムに表示される GUID を変更したりしないでください。グループを Active Directory システムから削除するか、Active Directory システムの GUID が変更されるような変更を行った場合、その変更は Horizon Cloud 制御プレーンに伝達されず、スーパー管理者の役割を持つ Active Directory グループに関する Horizon Cloud の認識が失われます。そのグループがスーパー管理者ロールに割り当てた唯一のグループである場合、以前はスーパー管理者アクセス レベルでログインできていた Active Directory アカウントは、ログインして管理操作を実行することができなくなる可能性があります。これには、役割を Active Directory グループに割り当てて、スーパー管理者アクセス権を持つ Active Directory アカウントのセットを再確立する操作も含まれます。ドメイン バインド アカウントには常にスーパー管理者ロールが割り当てられます。スーパー管理者ロールに割り当てられている単一の Active Directory グループを削除し、ドメインバインド アカウントがそのグループに含まれていない場合は、ドメイン バインド アカウントの認証情報を使用してコンソールにログインし、スーパー管理者ロールを新しい Active Directory グループに割り当てる手順を実行してみることができます。ただし、ドメイン バインド アカウントを使用して正常にログインできない場合は、Horizon Cloud サポートに連絡して、テナント アカウントへの管理アクセスの回復を依頼する必要があります。
重要: これらの Horizon Cloud ロールは、グループにのみ割り当てることができます。システムでは、ロールごとに個別の Active Directory ユーザー アカウントを選択する方法は提供されません。
ロールを個別のアカウントではなくグループにのみ割り当てることができる点は、同じ Active Directory グループに 2 つのロールを割り当てることを避ける必要があることを意味します。スーパー管理者ロールは、コンソールですべての管理アクションを実行するためのすべての権限を付与することを目的としたもので、デモ管理者ロールは読み取り専用ロールです。これらの両方のロールを同じ Active Directory グループに付与すると、そのグループ内のすべてのユーザーはスーパー管理者ロールの権限を受け取りません。コンソールでのアクションが制限されているため、環境全体を管理できない場合があります。
デフォルトでは、次の事前定義済みロールが用意されています。事前定義ロールは変更できません。
| ロール | 説明 |
|---|---|
| スーパー管理者 | Active Directory ドメイン内の少なくとも 1 つのグループ、およびオプションでその他のグループに割り当てる必要がある必須のロール。このロールは、コンソールのすべての領域にアクセスし、コンソールで管理アクションを実行するためのすべての権限を付与します。 プライマリおよび補助ドメイン バインド アカウントには常にスーパー管理者ロールが割り当てられます。これにより、コンソールで管理アクションを実行するためのすべての権限が付与されます。スーパー管理者権限を必要としないユーザーは、指定したドメイン バインド アカウントにアクセスできないようにする必要があります。 注: ポッド フリートに 1600.0 より古いマニフェストを実行しているポッドがある場合は、ドメイン参加アカウントがスーパー管理者ロールを付与するグループのいずれかに属していることを確認する必要があります。詳細については、 Horizon Cloud の運用に必要なサービス アカウントを参照してください。 |
| 割り当て管理者 | テナント環境でこの機能が有効になっている場合は、オプションでこのロールを 1 つ以上のグループに割り当てることができます。このロールを持つ Active Directory グループは、コンソールにアクセスして、エンドユーザーの割り当てとファームを作成、変更、および削除できます。このロールを持つグループは、仮想マシンの構成、電源管理、リモート アプリケーションの構成など、割り当てとファームの管理に関連する操作を実行することもできます。 |
| ヘルプ デスク管理者 | オプションで 1 つ以上のグループに割り当てることができるロール。このロールの目的は、このロールがある AD グループがユーザー カードの機能を使用して次の操作を実行できるように、コンソールへのアクセスを提供することです。
|
| ヘルプ デスク読み取り専用管理者 | 必要に応じて 1 つ以上のグループに割り当てることができるロール。このロールの目的は、このロールを持つ AD グループがユーザー カードの機能を使用してエンド ユーザー セッションのステータスを確認できるように、コンソールへのアクセスを提供することです。 |
| デモ管理者 | オプションで 1 つ以上のグループに割り当てることができるロール。Customer Connect アカウントの 顧客管理者の読み取り専用ロールと組み合わせると、このグループのユーザーは設定を表示し、オプションを選択してコンソールに追加の選択肢を表示できますが、選択によって構成設定が変更されることはありません。 |
前提条件
-
既存の Active Directory グループにロールを割り当てる前に、Active Directory グループのユーザー アカウント メンバーシップを確認して、ユーザー アカウントがこれらの Horizon Cloud ロールの 1 つのみを受け取るようにします。必要に応じて、特定の Active Directory グループを作成します。これらの役割は Active Directory グループのレベルで割り当てられるため、ユーザーの Active Directory アカウントが 2 つの Active Directory グループに属していて、各グループに異なる役割が割り当てられている場合は、予期しない結果が発生する可能性があります。コンソールの機能は、次の優先順位に従って表示されます。
- スーパー管理者
- 割り当て管理者
- ヘルプ デスク管理者
- デモ管理者
- ヘルプ デスク読み取り専用管理者 この優先順位の結果として、ADGroup1 と ADGroup2 の両方の Active Directory グループにユーザーの Active Directory アカウントが属していて、ADGroup1 に スーパー管理者 の役割を、ADGroup2 に ヘルプ デスク読み取り専用管理者 の役割をそれぞれ割り当てる場合は、コンソールには スーパー管理者 の役割に従ってすべての機能が表示されます。 (スーパー管理者 ロールが優先されるため)。
-
また、グループのメンバーの Customer Connect アカウントに割り当てられているロールを確認し、それらのロールが Active Directory グループに割り当てているロールと一致していることを確認します。Horizon Universal Console を使用してHorizon Cloud環境で作業するためにユーザーに付与する 2 種類のロールに関するベスト プラクティスで説明されている組み合わせのベスト プラクティスに従ってください。
重要: システムは、Horizon Cloud の事前定義されたすべてのロールに対して、最大 64 個の一意の Active Directory グループの割り当てをサポートします。
手順
-
コンソールで、 設定 > 役割と許可 に移動します。
-
事前定義済みのロールの 1 つを選択し、 編集 をクリックします。
-
検索ボックスを使用して、Active Directory グループを検索し、選択します。
検索結果が表示されるためには、少なくとも 3 文字を検索ボックスに入力する必要があります。
選択したグループのセットにグループが追加されます。
-
[保存] をクリックします。
重要: 保存アクションの結果、すべてのロールにわたって割り当てることができる Active Directory グループがシステムでサポートされている最大数を超える場合、システムは選択したグループをロールに保存しないようにします。サポートされる最大値は、このドキュメント トピックの「前提条件」セクションに記載されています。
次のタスク
ドメイン グループのユーザーに Customer Connect アカウントに対する適切なロールが付与されていることを確認します。Horizon Universal Console を使用してHorizon Cloud環境で作業するためにユーザーに付与する 2 種類のロールに関するベスト プラクティスと、Horizon Universal Console を使用して Horizon Cloud テナント環境でログインしてアクションを実行するための管理ロールを組織内の個人に付与するを参照してください。
このページは役に立ちましたか?