Horizon Cloud 環境で使用するための True SSO の構成

Horizon Cloud 環境に Active Directory ドメインを登録し、環境を Omnissa Access に統合したら、True SSO を構成できます。True SSO は Access と統合され、Windows オペレーティング システムに Active Directory 認証情報を入力しなくても、Horizon Cloud によって提供される仮想 Windows デスクトップおよびアプリケーションにユーザーがシングル サインオンできるようにする機能です。環境に True SSO が構成されている場合、エンド ユーザーは、使用資格が付与されたデスクトップおよびアプリケーションにアクセスするために指定されたアクセス URL で認証されます。認証されると、ユーザーは Active Directory 認証情報を求められることなく、資格のあるデスクトップまたはアプリケーションを起動できます。

重要: True SSO 構成は、テナント全体のタイプの構成です。True SSO 構成は、Microsoft Azure のすべてのポッド フリートの Horizon Cloud ポッドに適用されます。その結果、Horizon Cloud テナントで初めて True SSO を正常に構成した後、自動ポッド デプロイ ウィザードを使用して追加の Horizon Cloud ポッドを Microsoft Azure サブスクリプションにデプロイすると、システムはこれらすべてのポッドに同じ True SSO 構成を送信し、それらのポッドに対して同じ True SSO 構成を検証しようとします。

環境で使用するための True SSO の構成は、複数の手順からなるプロセスです。概要レベルでは、手順は次のとおりです。

1. 以下を含む True SSO が動作するために必要なインフラストラクチャを設定します。以下を実行します。 a. Microsoft Windows Server 認証局 (CA) をエンタープライズ CA としてインストールおよび構成する。このセクションの手順は、Microsoft Windows Server 2012 R2 の場合の手順です。この機能での使用がサポートされている他の Microsoft Windows Server バージョンでも、同様の手順に従うことができます。 b. 認証局 (CA) での証明書テンプレートの設定。

   重要: True SSO テンプレートの名前には ASCII 文字のみを使用します。既知の問題により、True SSO テンプレート名に非 ASCII 文字または拡張 ASCII 文字が含まれていると、Horizon Cloud 環境で True SSO を正しく構成できません。

   c. Horizon Cloud Console の [Active Directory] ページから Horizon Cloud ペアリング バンドルをダウンロードする。ペアリング バンドルは、登録サーバを設定するときに使用されます。

   d. 登録サーバの設定。

   重要: 登録サーバを設定したら、「 第 1 世代テナント - Horizon Cloud on Microsoft Azure のデプロイ - ホスト名解決の要件、DNS 名」で説明されている登録サーバのポート要件を満たしていることを確認します。

2. Horizon Universal Console の [Active Directory] ページに登録サーバ情報を追加する。

構成が完了すると、エンタープライズ CA と登録サーバが連携して、資格が付与されたデスクトップおよびアプリケーションにユーザーをログインさせるための一時的な証明書を発行します。Horizon Cloud ポッドは登録サーバに対して、資格が付与された特定のユーザーの証明書を要求します。登録サーバは、要求された証明書を生成する CA に問い合わせて、証明書を Horizon Cloud ポッドに返します。

End-to-End の True SSO セットアップの前提条件

True SSO を構成する前に、Horizon Cloud 環境で少なくとも 1 つの Access 環境が構成されている必要があります。ドキュメントのトピック 「Omnissa Access およびオプションの True SSO 機能での Horizon Cloud 環境の使用について 」を参照し、Horizon Cloud 環境の構成に適した統合手順に従います。

Microsoft Windows Server システムを使用したエンタープライズ認証局の設定

True SSO 機能を使用するために必要な要素は、Microsoft 認証局 (CA) です。認証局 (CA) をまだ設定していない場合は、Active Directory 証明書サービス (AD CS) ロールを Microsoft Windows Server に追加し、そのサーバをエンタープライズ CA として構成する必要があります。この手順を実行するには、Service Manager ウィザードを使用します。

Microsoft CA を設定する標準的な手順は次のとおりです。このトピックでは、ラボ環境で使用するのに適した簡単なフォームで手順を説明しますが、実際の本稼動システムでは業界のベスト プラクティスに従って認証局 (CA) を設定することをお勧めします。

CA の設定に関する詳細なガイダンスが必要な場合は、標準の Microsoft テクニカル リファレンスである『Active Directory Certificate Services Step-by-Step Guide』および『Install a Root Certification Authority』を参照してください。

メモ: このプロセスを説明するために、このトピックの具体的な手順は、Windows Server 2012 R2 の使用に基づいています。他の Windows サーバ システムでも、同様の手順を実行することができます。この認証局 (CA) をホストするシステムと同じシステムに登録サーバをインストールする場合は、登録サーバでサポートされている Windows サーバ バージョンのいずれかを使用してください。登録サーバの設定を参照してください。

手順

1. Server Manager ダッシュボードで、 ロールと機能の追加 をクリックしてウィザードを開き、 次へ をクリックします。

2. [インストール タイプの選択] ページで、ロールベースまたは機能ベースのインストールを選択し、 次へ をクリックします。

3. [サーバの選択] ページでは、デフォルトのまま 次へ をクリックします。

4. [サーバ ロール] ページで、次の手順を実行します。

   1. Active Directory 証明書サービス を選択します。

   2. ダイアログで、管理ツールを含める を選択し(該当する場合)、 機能の追加 をクリックします。

   3. [次へ] をクリックします。

5. [機能] ページで、 次へ をクリックします。

6. [AD CS] ページで、 次へ をクリックします。

7. [ロール サービス] ページで、認証局 を選択し、 次へ をクリックします。

8. [確認] ページで、必要に応じて自動的にターゲット サーバを再起動する を選択し、 インストール をクリックします。

インストールの進行状況が表示されます。インストールが完了すると URL リンクが表示され、新しくインストールされた CA をターゲット サーバで「Active Directory 証明書サービスの構成」として構成できます。

9. 構成リンクをクリックして、構成ウィザードを起動します。

10. 認証情報 ページで、エンタープライズ管理者グループのユーザー認証情報を入力し、 次へ をクリックします。

11. [ロール サービス] ページで CA を選択し、 次へ をクリックします。

12. セットアップ タイプ 画面で、エンタープライズ CA を選択し、 次へ をクリックします。

13. [CA タイプ] ページで、必要に応じて [ルート CA] または [下位 CA] を選択し(この例では [ルート CA])、 次へ をクリックします。

14. [プライベート キー] ページで、新しいプライベート キーを作成 を選択し、 次へ をクリックします。

15. [暗号化] ページで、次の情報を入力します。

    フィールド	説明
    暗号化プロバイダ	RSA#Microsoft Software Key Storage Provider
    キーの長さ	4096(または別の長さの方)
    ハッシュ アルゴリズム	SHA256(または別の SHA アルゴリズム)

16. [CA 名] ページで、必要に応じて構成するか、デフォルトを受け入れて 次へ をクリックします。

17. 有効期間 画面で、必要に応じて を構成し、 次へ をクリックします。

18. 証明書データベース ページで、 次へ をクリックします。

19. 確認 画面で情報を確認し、 構成 をクリックします。

20. 次のタスクを実行して、構成プロセスを完了します(すべてのコマンドはコマンド プロンプトから実行します)。

    1. 非パーシステント証明書を処理するための認証局 (CA) の構成

       certutil –setreg DBFlags 
       +DBFLAGS_ENABLEVOLATILEREQUESTS
       

    2. オフライン CRL エラーを無視するように認証局 (CA) を構成する

       certutil –setreg ca\CRLFlags 
       +CRLF_REVCHECK_IGNORE_OFFLINE
       

    3. CA サービスを再起動します。

       net stop certsvc
       net start certsvc
       

21. 次のセクション「 認証局での証明書テンプレートの設定 」の手順に従って、認証局で証明書テンプレートを設定します。

Horizon Cloud - True SSO - CA での証明書テンプレートの設定

認証局 (CA) で証明書テンプレートを構成する必要があります。証明書テンプレートは、CA が生成する証明書の基盤となります。

前提条件

前述の「Microsoft Windows Server システムを使用したエンタープライズ認証局の設定」に記載されている手順を実行します。

手順

1. 新しいユニバーサル セキュリティ グループを作成します。

   このグループを作成すると、ユーザーに代わって証明書を発行するために必要な権限を単一のセキュリティ グループに割り当てることができます。登録サーバがインストールされているすべてのコンピュータは、このグループのメンバーになることで、これらの権限を継承できます。

   1. スタート をクリックし、dsa.msc と入力します。

   Active Directory ユーザーとコンピュータ ウィンドウが表示されます。

   2. ツリーで、ドメイン コントローラの ユーザー フォルダを右クリックし、 新規> グループ を選択します。

   新規オブジェクト - グループ ウィンドウが表示されます。

   3. グループ名 フィールドに、新しいグループの名前を入力します。たとえば、True SSO 登録サーバなどです。

   4. 次の値を設定します。

      設定	値
      グループ範囲	ユニバーサル
      グループ E	セキュリティ

   5. [OK] をクリックします。

   新しいグループが [Active Directory ユーザーとコンピュータ] ウィンドウのツリーに表示されます。

   6. グループを右クリックし、 プロパティ を選択します。

   7. [次のメンバー] タブで、登録サーバをインストールするすべてのコンピュータを追加し、[ OK] をクリックします。

   8. 登録サーバをインストールするすべてのコンピュータを再起動します。

2. 証明書テンプレート

   1. コントロール パネル > 管理ツール > 認証局 を選択します。

   2. ツリーで、ローカル CA 名を展開します。

   3. 証明書テンプレート フォルダを右クリックし、 管理 を選択します。

   証明書テンプレート コンソールが表示されます。

   4. スマートカード ログイン テンプレートを右クリックし、 テンプレートの複製 を選択します。

   新しいテンプレートのプロパティ ウィンドウが表示されます。

   5. 次のように、ウィンドウのタブに情報を入力します。

      タブ	設定
      互換性	Show resulting changes チェック ボックスを選択します。 認証局 - Windows オペレーティング システムを選択します 証明書の受信者 - Windows オペレーティング システムを選択します。
      全般	重要: True SSO テンプレートの名前には ASCII 文字のみを使用します。既知の問題により、True SSO テンプレート名に非 ASCII 文字または拡張 ASCII 文字が含まれていると、Horizon Cloud 環境で True SSO を正しく構成できません。 テンプレート表示名 - 任意の名前。たとえば、True SSO テンプレートなどです。 テンプレート名 - 任意の名前。たとえば、True SSO テンプレートなどです。 有効期間 - 1 時間 更新期間 - 0 週間
      要求処理	目的 - 署名とスマートカード ログイン スマート カード証明書の自動更新の場合. チェック ボックスを選択します。 登録時にユーザーにプロンプトを表示 ラジオ ボタンを選択します
      暗号化	プロバイダ カテゴリ - キー ストレージ プロバイダ アルゴリズム名 - RSA 最小キー サイズ - 2048 Requests can use any provider available . . . . ラジオ ボタンを選択します。 要求ハッシュ - SHA256
      サブジェクト名	このActive Directory情報からビルド ラジオ ボタンを選択します。 サブジェクト名の形式 - 完全識別名 ユーザー プリンシパル名 (UPN) チェック ボックスを選択します。
      サーバ	CA データベースに証明書と要求を保存しない チェック ボックスをオンにします
      発行要件	登録には以下が必要 - この数の承認された署名 を選択し、 1 と入力します。 署名に必要なポリシー タイプ - アプリケーション ポリシー アプリケーション ポリシー - 証明書要求エージェント 加入には以下が必要 - 有効な既存の証明書
      セキュリティ	上部のタブで、作成した新しいグループを選択します。次に、タブの下部で、読み取り権限と登録権限に 許可 を選択します。

   6. [OK] をクリックします。

3. True SSO のテンプレートを発行します。

   1. 証明書テンプレート フォルダをもう一度右クリックして 、新規>発行する証明書テンプレート を選択します。

   証明書テンプレートを有効にする ウィンドウが表示されます。

   2. TrueSsoTemplate を選択し、 OK をクリックします。

4. 登録エージェント テンプレートを発行します。

   1. 証明書テンプレート フォルダをもう一度右クリックして 、新規>発行する証明書テンプレート を選択します。

   証明書テンプレートを有効にする ウィンドウが表示されます。

   2. 登録エージェント コンピュータを選択し、 OK をクリックします。

   メモ: このテンプレートには、前の手順で発行されたテンプレートと同じセキュリティ設定が必要です。

   これで、認証局 (CA) が設定され、True SSO での使用に適した証明書テンプレートを使用して構成されました。

5. 次のセクション Horizon Cloud ペアリング バンドルのダウンロードの手順に従って、Horizon Cloud ペアリング バンドルをダウンロードします。

Horizon Cloud - True SSO - Horizon Cloud ペアリング バンドルのダウンロード

Horizon Cloud 環境を True SSO 用に構成するときに、登録サーバのセットアップ手順を完了するには、このペアリング バンドルが必要です。Horizon Universal Console の [Active Directory] ページからペアリング バンドルをダウンロードします。

重要: True SSO 構成は、テナント全体のタイプの構成です。True SSO 構成は、Microsoft Azure のすべてのポッド フリートの Horizon Cloud ポッドに適用されます。その結果、Horizon Cloud テナントで初めて True SSO を正常に構成した後、自動ポッド デプロイ ウィザードを使用して追加の Horizon Cloud ポッドを Microsoft Azure サブスクリプションにデプロイすると、システムはこれらすべてのポッドに同じ True SSO 構成を送信し、それらのポッドに対して同じ True SSO 構成を検証しようとします。

ペアリング バンドルには、Horizon Cloud 環境の Microsoft Azure にデプロイされた各 Horizon Cloud ポッドの証明書ファイルが含まれています。True SSO を構成する対象となるポッドについては、それらのポッドの証明書ファイルを登録サーバにアップロードします。ポッドが 1 つの場合、バンドルには CRT 形式の 1 つの証明書ファイルが含まれます。複数のポッドがある場合、バンドルにはポッドごとに 1 つずつ、複数の CRT ファイルが含まれています。各 CRT ファイルの名前は、次のパターンに従います。

podID_truesso.crt

ここで、podID は、ポッドの [サマリ] ページに表示されるポッドの ID です。

手順

1. コンソールで、 設定 > Active Directory の順に移動します。

2. True SSO の設定 領域で、ペアリング トークンのダウンロード をクリックして pairing_bundle.7z ファイルを取得します。

3. 内容を抽出できる場所にファイルを保存します。

4. True SSO を構成する対象となるポッドについては、ポッドの CRT ファイルをペアリング バンドルから、登録サーバを設定するときに取得できる場所に抽出します。

ペアリング バンドルには、環境内の各ポッドの証明書ファイルが含まれています。各 CRT ファイルの名前は、パターン podID_truesso.crt に従います。ここで podID はポッドの ID 値です。

5. 次のセクション 「登録サーバの設定」の手順に従って、登録サーバを設定します。

登録サーバ

このドキュメント ページでは、第 1 世代の Horizon Cloud on Microsoft Azure デプロイで使用するために登録サーバを設定する方法について説明します。

登録サーバ (ES) は、True SSO のインフラストラクチャを設定する最後の手順として Windows Server マシンにインストールする Horizon Cloud on Microsoft Azure コンポーネントです。登録エージェント(コンピュータ)証明書をサーバに展開することにより、この ES が登録エージェントとして機能し、ユーザーに代わって証明書を生成することを承認します。

注意: 第 1 世代テナントのフリートに複数の Horizon Cloud on Microsoft Azure デプロイがある場合、登録サーバを設定するときに、これらのすべてのデプロイのポッド マネージャ インスタンスから登録サーバにアクセスできることを確認する必要があります。そうしないと、最後のペアリング手順が失敗します( 完了手順 が失敗します)。

このページの上部にある「Horizon Cloud 環境で使用するための True SSO の構成」で説明したように、True SSO 構成はテナント全体の構成です。****システムは、テナントのフリート内のすべてのポッドに同じ True SSO 構成を送信し、それらすべてで同じ True SSO 構成を検証しようとします。登録サーバを立ち上げて Pod-A と連携させ、さらに別の登録サーバを立ち上げて Pod-B と連携させる場合は、それらの登録サーバの両方が Pod-A と Pod-B の両方からアクセスできる必要があります。

前提条件

Microsoft Windows Server システムを使用したエンタープライズ認証局の設定、CA での証明書テンプレートの設定、および Horizon Cloud ペアリング バンドルのダウンロードの手順を完了していることを確認します。

メモ: このページに記載されている手順の [証明書登録] ウィザードに適切な項目を表示するには、エンタープライズ CA を設定する必要があります。

登録サーバ ソフトウェアをインストールするシステムで、このインストールでサポートされているオペレーティング システム(Windows Server 2012 R2、Windows Server 2016、Windows Server 2019)のいずれかが実行されていることを確認します。システムには 4GB 以上のメモリが必要です。

メモ: Windows Server 2022 の使用は、第 1 世代の Horizon Cloud on Microsoft Azure デプロイでの登録サーバの使用のサポートには適していません。

次の手順のラベルは、Windows Server 2016 システムでの手順の実行を反映しています。

手順

1. 登録サーバをシステムにインストールします。

   1. Customer Connect の Horizon Cloud on Microsoft Azure ページからEnrollment Server.exe ファイルをダウンロードします。ファイル名は HorizonCloud-TruessoEnrollmentServer-x86_64-7.3.0-xxxxx.exe のようになります。

   2. システムが前述の前提条件を満たしていることを確認します。

   3. インストーラを実行し、ウィザードに従います。

2. 登録サーバで、証明書スナップインを MMC (Microsoft 管理コンソール) に追加します。

   1. MMC を開き、 ファイル > スナップインの追加と削除 を選択します。

   2. [使用可能なスナップイン] で 証明書 を選択し、追加 をクリックします。

   3. 証明書スナップイン ウィンドウで、 コンピュータ アカウント を選択し、 次へ をクリックします。

   4. コンピュータの選択 ウィンドウで、 デフォルトの ローカル コンピュータ を選択したままにして、 終了 をクリックします。

   5. [スナップインの追加と削除] ウィンドウに戻り、 OK をクリックして証明書スナップインの追加を完了します。

3. この登録サーバに登録エージェント証明書をデプロイします。

   1. MMC で、前の手順で追加した 証明書(ローカル コンピュータ) を展開し、 個人 フォルダを右クリックして、 すべてのタスク > 新しい証明書の要求 を選択します。

      証明書登録ウィザードが起動します。

   2. 証明書登録ウィザードを続行し、 証明書の要求 手順に到達するまでデフォルト値を受け入れます。

   3. ウィザードの 証明書の要求 の手順で、 登録エージェント (コンピュータ) チェック ボックスを選択し、 登録 をクリックします。

   4. ウィザードを続行し、残りの手順のデフォルト値を受け入れ、最後の手順で 終了 をクリックします。

4. True SSO を構成するポッドについて、 pairing_bundle.7z ファイルから抽出されたポッドの証明書 CRT ファイルをインポートします。

   ペアリング バンドルには、環境内の各ポッドの証明書ファイルが含まれています。各 CRT ファイルの名前は、パターン podID_truesso.crt に従います。ここで podID はポッドの ID 値です。

   1. MMC で、Horizon View登録サーバの信頼されたルート フォルダの下の 証明書 サブフォルダを右クリックし、すべてのタスク > インポート を選択します。

   2. 証明書のインポート ウィザードで、プロンプトに従って、 pairing_bundle.7z バンドルから証明書ファイルを抽出した場所を参照します。

   ポッドが 1 つのみの場合、バンドルに含まれる CRT ファイルは 1 つだけです。複数のポッドがある場合は、バンドルには各ポッドの CRT ファイルが含まれています。

   3. 構成しているポッドの数に応じて、1 つまたは複数の証明書ファイルをインポートします。

   4. 次へ をクリックし、終了 をクリックします。

5. 次のセクション「 Horizon Cloud 環境の True SSO の構成を完了する」で説明する残りの構成手順を完了します。

Horizon Cloud - True SSO - Horizon Cloud 環境の True SSO の構成を完了する

登録サーバが設定されたら、Horizon Universal Console の [Active Directory] ページに情報を入力します。

前提条件

前の登録 サーバの設定を完了します。

第 1 世代テナント - Horizon Cloud on Microsoft Azure のデプロイ - ホスト名解決の要件、DNS 名の説明に従って、ポッドのマネージャ仮想マシンと登録サーバのネットワーク トラフィックのポートとプロトコルの要件を満たしていることを確認します。適切なポートでトラフィックが許可されていない場合、登録サーバのペアリングは失敗します。

手順

1. コンソールで、 設定 > Active Directory の順に移動します。

2. True SSO の設定 の横にある 追加 をクリックします。

[True SSO Config] ダイアログが表示されます。

メモ: 登録サーバはすでに構成されているため、このダイアログの ペアリング トークンのダウンロード リンクは無視してかまいません。

3. 登録サーバの完全修飾ドメイン名 (FQDN) を プライマリ登録サーバ フィールドに入力し、フィールドの横にある ペアリングのテスト ボタンをクリックします。

その他の必須フィールドは自動的に入力されます。

4. [保存] をクリックします。

5. 高可用性のためにセカンダリ登録サーバを構成するには、次の手順を実行します。

   1. 「2 台目のマシンで 登録サーバを設定する」 で説明されているプロセスを繰り返します。

   2. True SSO の設定を編集し、セカンダリ登録サーバ フィールドに 2 番目の ES アドレスを追加して、ペアリングをテストします。

   3. 構成ファイルを保存します。

タスクの結果

構成情報が [Active Directory] ページの [True SSO の設定] の下に表示されます。

重要: True SSO 構成は、テナント全体のタイプの構成です。True SSO 構成は、Microsoft Azure のすべてのポッド フリートの Horizon Cloud ポッドに適用されます。その結果、Horizon Cloud テナントで初めて True SSO を正常に構成した後、自動ポッド デプロイ ウィザードを使用して追加の Horizon Cloud ポッドを Microsoft Azure サブスクリプションにデプロイすると、システムはこれらすべてのポッドに同じ True SSO 構成を送信し、それらのポッドに対して同じ True SSO 構成を検証しようとします。