このドキュメント トピックでは、ユーザーが Horizon Universal Console にログインして Horizon Cloud 環境で作業する場合に、ユーザーに付与する必要がある 2 種類のロールのベスト プラクティスについて説明します。ロールの 1 つは、Horizon Universal Console ユーザー インターフェイス自体のさまざまな部分を有効または無効にするために使用されます。もう 1 つのタイプのロールは、そのロールが割り当てられたユーザーが呼び出すことができるアクションを決定するために使用されます。特定のユーザーに付与する 2 つのロールの最終的な組み合わせが、そのユーザーに求められる結果を反映していることを確認する必要があります。
重要: 1 つのタイプのロールはユーザーがコンソールに表示できるものを管理し、もう 1 つのタイプのロールはアクションの呼び出しを制御するため、特定のユーザーが持つ 2 つのロールの全体的な組み合わせが、そのユーザーに求められる結果を反映していることを確認する必要があります。次のセクションでは、ベスト プラクティスの組み合わせについて説明します。これらのベスト プラクティスに従わないと、矛盾が生じる可能性があります。たとえば、割り当てられたロールがここで説明するガイダンスに従って一致しない場合、個人がコンソールにログインした後、実行してほしいアクションを実行できなかったり、実行してほしくないアクションを実行できたりする可能性があります。したがって、[ 全般設定 ] ページのアカウント領域での個人の役割を、[ 役割と許可 ] ページでその個人の Active Directory グループに割り当てられた役割と確実に一致させることが重要です。
次のセクションでは、一般的な組織の標準シナリオに基づいて使用する 2 種類のロールとベスト プラクティスの組み合わせについて説明します。
覚えておいてください:クラウドベースの Horizon Universal Console のツアーで説明されているように、第 1 世代のコンソールは動的であり、第 1 世代のテナント環境の最新の構成に適した機能を反映しています。このドキュメントで説明されている機能へのアクセスは、以下の要因(ただしこれらに限定されない)に依存する場合があります。
- 機能が最新の第 1 世代 Horizon Cloud ポッド マニフェスト、Horizon ポッドのバージョン、または Horizon Cloud Connector のバージョンでのみ使用可能なシステム コードに依存するかどうか。
- 機能が初登場したときに リリース ノート に記載されているように、機能へのアクセスが制限されているかどうか。
- 機能に特定のライセンスまたは SKU が必要かどうか。
このドキュメントに機能の記載があり、第 1 世代コンソールにその機能が表示されない場合は、まず リリース ノート を読み、その機能のアクセスが制限されているかどうか、およびテナントで有効化をリクエストする方法を確認します。または、このドキュメントに記載されている機能を使用する資格があるにもかかわらず、コンソールにその機能が表示されない場合は、Horizon Cloud の担当者に問い合わせるか、担当者がいない場合は、「 Customer Connect でサポート リクエストを発行する方法 (KB 2006985)」の説明に従って、Horizon Cloud チームにサービス リクエスト (SR) を発行することができます。
割り当てられたロールを持つ Active Directory グループ内のユーザーに対してコンソールのユーザー インターフェイスのさまざまな部分を有効または無効にするロール
これらのロールはシステムで事前に定義されており、Active Directory グループに関連します。個人が Horizon Cloud 環境に対して認証されると、コンソールは、個人のアカウントがどの Active Directory (AD) グループにあるかを検出します。また、コンソールは、コンソールの [役割と許可] ページで、これらのロールのどれが AD グループに割り当てられているかを識別します。次に、ユーザーがコンソールのユーザー インターフェイス ページ、タブ、およびウィンドウを移動すると、それらのアイテムは、ユーザーの AD グループに割り当てられたロールに応じて有効または無効として表示されます。
重要: これらのロールを個別の AD ユーザー アカウントではなくグループにのみ割り当てることができる点は、これらのロールの 2 つを同じ AD ドメイン グループに割り当てないようにする必要があることも意味します。これらのロールのうちの 2 つを同じ AD グループに付与し、そのグループのユーザーがログインした場合、両方のロールがそのユーザーのグループに割り当てられていることをコンソールが識別すると、ユーザー インターフェイス ページを移動すると、2 つのロールのいずれかがそれらのアイテムへのアクセスを妨げるため、非アクティブ化されたアイテムが表示される場合があります。
これらの各ロールは、Active Directory グループのレベルで適用します。これらは個人レベルではなくグループ レベルで適用されるため、同じ AD グループ内のすべての個人は、 コンソールの [役割と許可] ページを使用してその Active Directory グループに割り当てられたロールを受け取ります。Active Directory 環境の Active Directory グループに含まれる個人を制御します。したがって、AD 環境内の個人をある AD グループから別のグループに移動する場合は、他の割り当てられたロール(Customer Connect アカウントに割り当てられているロール)と引き続き一致するロールの 1 つを持つグループに移動する必要があります。ある AD グループから別のグループに個人を移動する場合は、個人の新しい AD グループに割り当てられたこのロール タイプのロールとの整合性を保つように、他のタイプのロール(個人の Customer Connect アカウントに割り当てられているロール)を調整する必要があるかどうかを確認する必要があります。
これらのロールの 1 つの例は、 Help Desk Read Only Administrator ロールです。[役割と許可] ページで AD グループにそのロールが割り当てられている場合、コンソールでは、そのグループの個人がエンド ユーザーのユーザー カードに移動して情報を表示できますが、デスクトップで操作を実行することはできません。
Customer Connect アカウントにロールが割り当てられているユーザーが呼び出すことができるアクションを決定するロール
他のロール タイプと同様に、これらのロールはシステムで事前定義されています。これらのロールは、[全般設定] ページのアカウント領域で構成されたアカウントに関連します。個人が Horizon Cloud 環境に対して認証されると、コンソールは、ログイン セッションの認証に使用された Customer Connect アカウントに割り当てられているロールを検出します。次に、ユーザーがコンソールでアクションを呼び出そうとすると、システムは、[全般設定] ページでログインしたユーザーのアカウントに割り当てられているこのロールに応じて、API 呼び出しの通過を許可または禁止します。
その結果、コンソールへの最初の認証後、この割り当てられたロールは、多くの場合、他のタイプの割り当てられたロールと連携して機能します。
- ユーザーがコンソールのユーザー インターフェイス ページ、タブ、およびウィンドウを移動すると、ユーザーの Active Directory グループに割り当てられたロールに応じて、ユーザー インターフェイス要素が有効または無効として表示されます。
- そのユーザーが API 呼び出しを呼び出してアクションを実行するボタンをクリックしたときに、Customer Connect アカウントに割り当てられたロールでそのアクションの実行が許可されていない場合、API 呼び出しは実行されず、アクションは完了しません。
重要: コンソールで、このロールがユーザーの AD グループに割り当てられたロールと連携して動作する場合 (後者はアクティブなコンソール要素を決定し、前者は要素がクリックされたときに完了できるアクションを決定します)、特定のユーザーが持つ 2 つのロールの全体的な組み合わせが、そのユーザーに求められる結果を反映していることを確認する必要があります。そうしないと、矛盾する結果が生じる可能性があります。ある AD グループから別のグループに個人を移動する場合は、Customer Connect アカウントのロールが新しい AD グループのロールと一致していることを確認し、必要に応じて調整します。次のセクションでは、標準的なベスト プラクティスの組み合わせについて説明します。
5 つの標準的なベスト プラクティスのロールの組み合わせ
次の表に従って個人の 2 つのロールが調整されていない場合、矛盾する動作が発生する可能性があるため、次の表に従って組織の個人に付与されたロールを調整することをお勧めします。システムは、AD グループ内の個人の Customer Connect アカウントに割り当てられたロールよりも制限の少ないロールをそのグループに割り当てることを妨げません。個人が複数の AD グループに属している場合は、[役割と許可] ページでそれらのグループに割り当てられているロールが相互に調整されていることを確認し、また、個人の Customer Connect アカウントのロールと一致していることを確認します。
| [全般設定] ページでのユーザーの Customer Connect アカウントに対するロール | [役割と許可] ページでのユーザーの Active Directory グループのロール | 説明 |
|---|---|---|
| 顧客管理者 | スーパー管理者 | コンソールのすべての領域を表示し、コンソールですべてのアクションを実行するためのフル アクセス。 |
| 顧客割り当て管理者 | 割り当て管理者 | コンソールのすべての領域を表示し、エンドユーザーの割り当てとファームの変更と管理に関連するアクションを実行する機能。 |
| 顧客管理者(読み取り専用) | デモ管理者 | コンソールのすべての領域を表示し、設定を表示し、オプションを選択して追加の選択肢を表示する機能が、アイテムの削除など、環境を変更するアクションを呼び出す機能はありません。この組み合わせの使用例は、システムへの変更を回避しながら、組織内のユーザーがログインしてシステムの機能を他のユーザーにデモンストレーションできるようにすることです。 |
| カスタマー ヘルプデスク | ヘルプ デスク管理者 | コンソールのヘルプデスク関連領域を表示し、コンソールが提供するすべてのヘルプデスク関連アクションを実行するためのアクセス。この組み合わせの目的は、ユーザーがユーザー カード機能を使用してエンド ユーザー セッションのステータスを確認し、セッションでトラブルシューティング操作を実行することです。 |
| カスタマー ヘルプデスク (読み取り専用) | ヘルプ デスク読み取り専用管理者 | コンソールのヘルプデスク関連の領域を表示し、ユーザー カードでエンド ユーザー セッションのステータスを確認するためのアクセス。ヘルプデスク関連のアクションを呼び出す機能は使用できません。 |
ユーザーを読み取り専用に制限し、コンソールのすべての領域でコンソールへのアクセスを表示する
個人がコンソールのすべてのユーザー インターフェイス ページを参照し、ダイアログを開いてレポートを表示できるようにする一方で、テナント環境で何かを変更するアクションを呼び出すことを制限する場合は、次の両方の条件が満たされていることを確認する必要があります。
- [全般設定] ページのアカウント領域で、
Customer Administrator Read-Onlyロールを Customer Connect アカウントに割り当てます。その個人のアカウントに別の役割がリストされている場合は、そのアカウントのセクションからその行を削除してから、今度はCustomer Administrator Read-Only役割を指定して再び追加できます。 - [役割と許可] ページで、
Demo Administratorロールをその個人のActive Directory グループに割り当てます。
これらの条件が両方とも満たされると、個人はコンソールにログインし、コンソールのすべてのページに移動し、ページを参照し、ダイアログを開き、レポートを表示できるようになります。また、環境で何かを変更するアクションの呼び出しも制限されます。
メモ: [役割と許可] ページは、個々のアカウント レベルではなく AD グループ レベルで機能するため、組織の要件に応じて、AD グループに適切な個人アカウントが含まれていることを確認する必要があります。
ユーザーがコンソールのヘルプ デスク機能にアクセスできるように制限し、ユーザー カードでアクションを実行できるようにする場合
個人がコンソールにログインして、コンソールのすべての領域ではなく、ヘルプデスク関連の機能にのみアクセスできるようにしながら、ヘルプデスク関連のアクションを実行できるようにする場合は、次の両方の条件が満たされていることを確認する必要があります。
- [全般設定] ページのアカウント領域で、
Customer Helpdeskロールを Customer Connect アカウントに割り当てます。その個人のアカウントに別の役割がリストされている場合は、そのアカウントのセクションからその行を削除してから、今度はCustomer Helpdesk役割を指定して再び追加できます。 - [役割と許可] ページで、
Help Desk Administratorロールをその個人のActive Directory グループに割り当てます。
これらの条件が両方とも満たされると、個人はコンソールにログインし、ヘルプデスク関連の機能を確認し、ヘルプデスク関連のアクションを実行できるようになります。
メモ: [役割と許可] ページは、個々のアカウント レベルではなく AD グループ レベルで機能するため、組織の要件に応じて、AD グループに適切な個人アカウントが含まれていることを確認する必要があります。
ユーザーのアクセスをコンソールのヘルプ デスク機能に対する読み取り専用アクセスに制限する場合
個人がコンソールにログインし、ヘルプデスク関連の機能にのみ読み取り専用でアクセスできるようにし、ヘルプデスク関連のアクションの実行を制限できるようにするには、次の両方の条件が満たされていることを確認する必要があります。
- [全般設定] ページのアカウント領域で、
Customer Helpdesk Read-Onlyロールを Customer Connect アカウントに割り当てます。その個人のアカウントに別のロールがリストされている場合は、[アカウント] セクションからその行を削除して、今度はロールを指定して再度追加Customer Helpdesk Read-Only。 - [役割と許可] ページで、
Help Desk Read Only Administratorロールをその個人のActive Directory グループに割り当てます。
これらの条件が両方とも満たされると、個人はコンソールにログインし、ヘルプデスク関連の機能を読み取り専用で使用できるようになります。
メモ: [役割と許可] ページは、個々のアカウント レベルではなく AD グループ レベルで機能するため、組織の要件に応じて、AD グループに適切な個人アカウントが含まれていることを確認する必要があります。
コンソールの割り当ておよびファーム関連の機能へのアクセスをユーザーに制限する場合
個人がコンソールにアクセスしてエンドユーザーの割り当てとファームの管理に関連する操作を実行し、コンソールの他のすべての領域への読み取り専用アクセスを行えるようにする場合は、次の両方の条件が満たされていることを確認します。
- [全般設定] ページのアカウント領域で、
Customer Assignment Administratorロールを Customer Connect アカウントに割り当てます。その個人のアカウントに別のロールがリストされている場合は、[アカウント] セクションからその行を削除して、今度はロールを指定して再度追加Customer Assignment Administrator。 - [役割と許可] ページで、
Assignment Administratorロールをその個人のActive Directory グループに割り当てます。
これらの条件が両方とも満たされると、個人はコンソールにログインし、コンソールのすべてのページに移動して表示し、エンドユーザーの割り当てとファームを作成、変更、または削除するアクションを呼び出すことができます。また、仮想マシンの構成、電源管理、リモート アプリケーションの構成など、割り当てとファームの管理に関連する操作を実行することもできます。
メモ: [役割と許可] ページは、個々のアカウント レベルではなく AD グループ レベルで機能するため、組織の要件に応じて、AD グループに適切な個人アカウントが含まれていることを確認する必要があります。
コンソールのすべての領域とアクションに対するフル アクセスをユーザーに許可する場合
個人にコンソールへのフル アクセスを許可して、コンソールのすべての領域を表示し、テナント環境で何かを変更するアクションを呼び出す場合は、次の両方の条件が満たされていることを確認します。
- [全般設定] ページのアカウント領域で、
Customer Administratorロールを Customer Connect アカウントに割り当てます。その個人のアカウントに別のロールがリストされている場合は、[アカウント] セクションからその行を削除して、今度はロールを指定して再度追加Customer Administrator。 - [役割と許可] ページで、
Super Administratorロールをその個人のActive Directory グループに割り当てます。
これらの条件が両方とも満たされると、個人はコンソールにログインし、コンソールのすべてのページに移動して、環境で何かを変更するアクションを実行できるようになります。
メモ: [役割と許可] ページは、個々のアカウント レベルではなく AD グループ レベルで機能するため、組織の要件に応じて、AD グループに適切な個人アカウントが含まれていることを確認する必要があります。
このページは役に立ちましたか?