この記事では、接続の FQDN または URL、2 要素認証、セッション タイムアウト、Horizon 機能ポリシーなど、Universal Broker 設定を構成するための詳細な手順について説明します。
Universal Broker 設定の構成の簡単な概要
エンドユーザー割り当てからのリソースの仲介に Universal Broker を使用するには、最初に特定の設定を構成する必要があります。
Universal Broker の初回セットアップでは、 Universal Broker セットアップの開始の説明に従って構成ウィザードが自動的に開きます。
その後、サービスの使用中に設定を修正する必要がある場合は、コンソールの [ブローカ] ページまたは [はじめに] ページから構成ウィザードを再度開くことができます。
- この構成ウィザードの 2 要素認証設定に関するいくつかの重要なポイント
- 設計上、Universal Broker が 2 要素認証設定で構成されている場合、認証要求を形成して外部の Unified Access Gateway インスタンスに渡し、そのインスタンスの設定で構成された実際の認証サーバと通信します。次に、Unified Access Gateway は認証サービスの応答を Universal Broker にリレーします。
- デフォルトの設計では、同じ Universal Broker の 2 要素認証設定がテナント全体に適用され、テナントのポッド フリート内のすべてのポッドに使用されます。Universal Broker に 2 要素認証を使用するには、まず、ポッド フリート内の参加しているすべてのポッド内の各外部 Unified Access Gateway インスタンスで適切な認証サービスを構成する必要があります。外部 Unified Access Gateway インスタンスの構成は、参加しているポッド内およびポッド間で同一である必要があります。
- たとえば、Horizon ポッドと Horizon Cloud ポッドの両方で構成される混合ポッド フリートがあり、RADIUS 認証を使用する場合は、これらすべての Horizon ポッドと Horizon Cloud ポッドにわたって、各外部 Unified Access Gateway インスタンスで RADIUS サービスを構成します。
前提条件
重要: エンド ユーザーがインターネットから接続する場合、または 2 要素認証を使用する場合は、ポッドにある外部 Unified Access Gateway インスタンスを削除しないでください。外部エンド ユーザーの場合、クライアントが Universal Broker で認証された後、エンド ユーザー クライアントから仮想デスクトップまたはリモート アプリケーションを正常に起動するには、外部 Unified Access Gateway が必要です。2 要素認証の場合、Universal Broker は 2 要素認証設定を外部 Unified Access Gateway と照合するため、外部 Unified Access Gateway 構成が必要です。
ポッドのタイプに応じて、必要なシステム コンポーネントを準備します。これらの前提条件の確認は、テナントが Universal Broker を初めてセットアップするためのウィザードを完了するときに特に重要です。
-
Horizon ポッド(Horizon Connection Server テクノロジー ベース)の場合:
- Horizon ポッド - Universal Broker の DNS、ポート、およびプロトコルの要件の説明に従って、必要なポートを構成します。
- Horizon ポッド - Connection Server に Universal Broker プラグインをインストールします。
- Horizon ポッド - Universal Broker で使用するための Unified Access Gateway の構成。Universal Broker で Horizon ポッドに 2 要素認証を使用する場合は、参加しているすべてのポッド内の各 Unified Access Gateway インスタンスで適切な 2 要素認証サービスを構成します。詳細については、 Universal Broker 環境で 2 要素認証を実装する際のベスト プラクティスを参照してください。
- 2 要素認証を外部ユーザーに対してのみ有効にし、内部ユーザーに対してはバイパスする場合は、 Universal Broker の内部ネットワーク範囲を定義します。
- Universal Broker セットアップの開始の説明に従って、Horizon ポッドのテナント全体のコネクション ブローカとして Universal Broker を選択します。
-
Horizon Cloud ポッド(Horizon Cloud ポッド マネージャ テクノロジー ベース)の場合:
- リージョンの Universal Broker インスタンスに必要な DNS 名が解決可能であり、アクセス可能であることを確認します。Microsoft Azure の Horizon Cloud ポッドの DNS 要件の「ポッドのデプロイと操作の DNS の要件」の表を参照してください。
- Horizon Cloud ポッド - ポートとプロトコルの要件の「Universal Broker で必要なポートとプロトコル」セクションの説明に従って、必要なポートとプロトコルを構成します。
- Universal Broker で Horizon Cloud ポッドに 2 要素認証を使用する場合は、参加しているすべてのポッドにある各外部 Unified Access Gateway インスタンスで同じタイプの認証サービスを構成します。Horizon Cloud ポッドのゲートウェイでの 2 要素認証の有効化およびUniversal Broker 環境で 2 要素認証を実装する際のベスト プラクティスを参照してください。
- 2 要素認証を外部ユーザーに対してのみ有効にし、内部ユーザーに対してはバイパスする場合は、 Universal Broker の内部ネットワーク範囲を定義します。
- Universal Broker の有効化 の開始の説明に従って、Horizon Cloud ポッドのテナント全体のコネクション ブローカとして Universal Broker を選択します。 重要: ウィザードの最後の手順を送信する前に、すべての Horizon Cloud ポッドがオンラインで、健全な状態で準備が整っている必要があります。設定の適用中、セットアップ プロセスを完了するために、Universal Broker サービスはポッドと通信し、ポッドでいくつかの構成手順を実行する必要があります。いずれかのポッドがオフラインまたは使用できない場合、Universal Broker のセットアップは失敗します。
手順
-
Universal Broker を設定するための構成ウィザードを開きます。
それ以外の場合は、 設定 > ブローカ の順にクリックし、鉛筆アイコンをクリックして構成を編集して、ウィザードを直接開くことができます。
-
Universal Broker セットアップの開始の手順の直後にこのウィザードを完了する場合
この場合、ウィザードを終了する前にキャンセルしない限り、コンソールには通常ウィザードがすでに表示されています。ウィザードを終了する前にキャンセルした場合は、 設定 > ブローカ に移動し、 セットアップ をクリックしてウィザードを直接開きます。
-
保存されている構成を修正する場合
設定 > ブローカ の順に移動し、その構成の横にある鉛筆アイコンをクリックして、ウィザードを直接開きます。
Universal Broker の構成ウィザードが表示されます。現在のリリースでは、ウィザード セクションは FQDN、認証、およびクライアント セッションに適用可能な一部のデフォルト設定に対応しています。
-
-
ウィザードの FQDN ページで、Universal Broker サービスの完全修飾ドメイン名 (FQDN) の設定を構成します。これらの設定は、エンド ユーザーが Universal Broker によって仲介されるリソースにアクセスするために使用する専用接続アドレスまたは URL を定義します。
メモ: サブドメインまたは FQDN 設定を変更すると、すべての DNS サーバで変更が有効になるまでに時間がかかることがあります。
-
タイプ で、目的の FQDN タイプのユーザー インターフェイス ボタンを選択します。
-
選択した FQDN タイプの追加設定を指定します。
-
Omnissa 提供
設定 説明 サブドメイン 会社または組織を表すネットワーク構成内の有効なサブドメインの一意の DNS 名を入力します。このサブドメインは、仲介の FQDN を形成するためにシステム提供のドメインの先頭に付けられます。 注: 一部の文字列は、システムによって禁止または予約されています。この文字列のカテゴリには、 bookなどの一般的な単語、gmailなどの有名な企業所有の用語、および protocol. coding などの一般的な用語、phpやsqlなどのオープンソース用語が含まれます。また、システムは、mail0、mail1、mail2などの文字列のパターンのカテゴリも許可しません。 ただし、許可されていない名前をこのフィールドに入力すると、システムはその時点で入力を検証しません。ウィザードの最終サマリ手順に到達したときにのみ、システムはここで入力した名前を検証し、入力が禁止された名前のいずれかと一致する場合はエラーを表示します。その場合は、より一意の名前をここに入力します。ブローカ URL この読み取り専用フィールドには、構成済みの FQDN が表示されます。FQDN は https://your-sub-domain.firstgen.omnissahorizon.comの形式を使用します。 この FQDN をエンド ユーザーに提供して、エンド ユーザーが Horizon Client を使用して Universal Broker サービスに接続できるようにします。Universal Broker は、この FQDN の DNS および SSL 検証を管理します。 -
お客様が提供
設定 説明 仲介の FQDN エンド ユーザーが Universal Broker サービスへのアクセスに使用するカスタムの FQDN を入力します。カスタム FQDN は、 サービスへの接続を完了する自動生成されたシステム提供の FQDN のエイリアスとして機能します。 カスタム FQDN で指定されたドメイン名の所有者であり、そのドメインを検証できる証明書を提供する必要があります。 注: カスタム FQDN は、接続 URL とも呼ばれ、会社または組織を表します。このカスタム FQDN を使用するための適切な権限があることを確認します。 注: カスタム FQDN は一意で、ポッド内のすべての Unified Access Gateway インスタンスの FQDN とは異なるものにする必要があります。 重要: カスタム FQDN を Universal Broker サービスの内部接続アドレスを表すシステム提供の FQDN にマッピングする CNAME レコードを DNS サーバに作成する必要があります。たとえば、レコードは vdi.examplecompany.comauto-generated-string.firstgen.omnissahorizon.comにマッピングできます。証明書 参照 をクリックし、仲介の FQDN を検証する証明書(パスワード保護された PFX 形式)をアップロードします。証明書は次の基準をすべて満たす必要があります。 - 証明書は 90 日以上有効である必要があります
- 証明書は信頼できる CA によって署名されている必要があります
- 証明書の共通名 (CN) またはそのサブジェクトの別名 (SAN) のいずれかが FQDN と一致する必要があります
- 証明書の内容は標準の X.509 形式に準拠している必要があります
*.mycompany.comが含まれている場合、一致ルールにより、vdi.mycompany.comを有効な仲介 FQDN として許可します。ただし、test.vdi.mycompany.com参照識別子と一致しないため、許可されません。パスワード PFX 証明書ファイルのパスワードを入力します。 指定された FQDN この読み取り専用フィールドには、仲介サービス用に自動的に生成されるシステム提供の FQDN が表示されます。FQDN の形式は https://auto-generated-string.firstgen.omnissahorizon.comです。 この指定された FQDN はエンド ユーザーには表示されず、Universal Broker サービスの内部接続アドレスを表します。カスタム FQDN は、システム提供の FQDN のエイリアスとして機能します。 重要: カスタム FQDN をシステム提供の FQDN にマッピングする CNAME レコードを DNS サーバに作成して、エイリアスの関連付けを設定する必要があります。たとえば、レコードはvdi.examplecompany.comauto-generated-string.firstgen.omnissahorizon.comにマッピングできます。
-
-
FQDN 設定の構成が完了したら、 次へ をクリックしてウィザードの次のページに進みます。
-
-
(オプション)ウィザードの 認証 ページで、2 要素認証を構成します。
デフォルトでは、Universal Broker は Active Directory のユーザー名とパスワードのみを使用してユーザーを認証します。追加の認証方法を指定することで、2 要素認証を実装できます。詳細については、 Universal Broker 環境で 2 要素認証を実装する際のベスト プラクティスを参照してください。
設定 説明 2 要素認証 2 要素認証を使用するには、このトグルを有効にします。 トグルを有効にすると、2 要素認証を構成するための追加オプションが表示されます。 ユーザー名を維持 Universal Broker への認証中にユーザーの Active Directory ユーザー名を維持するには、このトグルを有効にします。有効にすると、次のようになります。 - ユーザーは、Universal Broker に対する Active Directory 認証の場合と同じユーザー名認証情報を追加の認証方法で使用する必要があります。
- ユーザーは、クライアントのログイン画面でユーザー名を変更できません。
タイプ Active Directory のユーザー名とパスワードに加えて、Universal Broker がエンド ユーザーで使用する認証方法を指定します。ユーザー インターフェイスには、 RADIUS と RSA SecurID の 2 つの選択肢が表示されます。 この設定は、テナント全体に適用されます。エンドユーザー クライアントの動作は、次のように、テナントのポッド フリートの構成と、ポッドのゲートウェイで構成されている 2 要素認証タイプによって異なります。 - Horizon ポッドのみ - ここで選択するタイプは、クライアントで使用されるタイプです。
- ポッドのみHorizon Cloud - ポッドの外部ゲートウェイで構成されているタイプと一致するタイプを選択します。
- Horizon ポッドと Microsoft Azure デプロイ上のHorizon Cloudの混在 - 混合フリートでは、ここで RADIUS を選択すると、両方のポッド タイプのUnified Access Gateway インスタンスを介してユーザーのRADIUS認証要求が試行されます。
混合フリートでは、ここで RSA SecurID を選択すると、クライアントの動作は、Microsoft Azure デプロイの Horizon Cloud が外部ゲートウェイの RSA SecurID で構成されているかどうかによって異なります。
Horizon Cloud on Microsoft Azure デプロイのゲートウェイに RSA SecurID タイプが構成されておらず、ここで RSA SecurID が選択されている場合、ユーザーの RSA 認証要求は、Horizon ポッドの Unified Access Gateway インスタンスを介してのみ試行されます。Active Directory のユーザー名とパスワードの認証要求は、Horizon ポッドまたは Horizon Cloud ポッドのいずれかの Unified Access Gateway インスタンスを介して試行されます。
Horizon Cloud on Microsoft Azure デプロイで RSA SecurID タイプが構成されている場合、ユーザーの RSA 認証要求は両方のポッド タイプの Unified Access Gateway インスタンスを介して試行されます。
ヒント テキストを表示 RADIUS タイプに適用されます。このトグルを有効にすると、クライアントのログイン画面に表示されるテキスト文字列を構成して、ユーザーに追加の認証方法の認証情報の入力を求めることができます。 カスタム ヒントのテキスト このフィールドは、ヒント テキストの表示を選択した場合に使用できます。RADIUS タイプに適用されます。 クライアントのログイン画面に表示するテキスト文字列を入力します。指定されたヒントは、エンド ユーザーに DisplayHint のユーザー名とパスワードを入力してくださいとして表示されます。ここで、DisplayHint はこのテキスト ボックスに入力するテキスト文字列です。 注: Universal Broker では、カスタム ヒント テキストに次の文字を含めることはできません:& < > ' "ヒント テキストにこれらの許可されていない文字のいずれかが含まれていると、Universal Broker FQDN へのユーザー接続が失敗します。 このヒントは、ユーザーが正しい認証情報を入力するのに役立ちます。たとえばCompany user name and domain password below forというフレーズを入力すると、エンド ユーザーにEnter your Company user name and domain password below for user name and passwordというプロンプトが表示されます。2 要素認証をスキップ Universal Broker サービスに接続している内部ネットワーク ユーザーの 2 要素認証をバイパスするには、このトグルを有効にします。 - When this toggle is enabled, internal users must enter only their Active Directory credentials to authenticate to the Universal Broker service. External users must enter both their Active Directory credentials and their credentials for the additional authentication service.
- When this toggle is turned off, both internal and external users must enter their Active Directory credentials and their credentials for the additional authentication service.
Public IP Ranges This field is visible when Skip Two-Factor Authentication is enabled. When one or more public IP ranges are already specified on the Broker page's Network Ranges tab, this field is read-only and lists those IP ranges. When the Broker page's Network Ranges tab does not have public IP ranges already specified, you can use this field to specify the public IP ranges that represent your internal network, for the purpose of skipping the two-factor authentication prompts for traffic coming from those ranges. Universal Broker considers any user connecting from an IP address within one of these ranges to be an internal user. For more details about the purpose of specifying these ranges, see Universal Brokerの内部ネットワーク範囲の定義の説明に従って、内部ネットワークに属するパブリック IP アドレス範囲が指定されていることを確認します。 次のスクリーンショットは、RADIUS タイプの 2 要素認証設定が入力された構成ウィザードの例を示しています。  選択が完了したら、 **次へ** をクリックしてウィザードの次のページに進みます。5. 構成ウィザードの 設定 ページで、Horizon Client の 期間 設定を構成します。
これらのタイムアウト設定は、Universal Broker によって割り当てられたデスクトップと Horizon Client 間の接続セッションに適用されます。これらの設定は、割り当てられたデスクトップのゲスト OS へのユーザーのログイン セッションには適用されません。Universal Broker は、これらの設定で指定されたタイムアウト条件を検出すると、ユーザーの Horizon Client 接続セッションを終了します。 <table> <thead> <tr> <th>設定</th> <th>説明</th> </tr> </thead> <tbody> <tr> <td><strong>クライアントのハートビート間隔</strong></td> <td>Horizon Client ハートビートの間隔(分単位)とユーザーの Universal Broker への接続状態を制御します。これらのハートビートは、Horizon Client 接続セッション中に経過したアイドル時間を Universal Broker に報告します。 アイドル時間は、Horizon Client を実行しているエンドポイント デバイスとの対話式処理がない場合に測定されます。このアイドル時間は、ユーザーに割り当てられたデスクトップの基盤となるゲスト OS へのログイン セッションが非アクティブ状態であることの影響を受けません。 大規模なデスクトップ展開では、 <strong>Client ハートビート間隔</strong> を増やすと、ネットワーク トラフィックが減少し、パフォーマンスが向上する場合があります。</td> </tr> <tr> <td><strong>クライアント アイドル ユーザー</strong></td> <td>Horizon Client と Universal Broker 間の接続セッションで許可される最大アイドル時間 (分単位)。 最大時間に達すると、ユーザーの認証期間が期限切れになり、Universal Broker はアクティブなすべての Horizon Client セッションを閉じます。接続セッションを再度開くには、ユーザーは Universal Broker ログイン画面で認証情報を再入力する必要があります。 <strong>注:</strong> 割り当てられたデスクトップからユーザーが予期せず切断されないようにするには、 <strong>Client アイドル ユーザー</strong> タイムアウトを <strong>Client ハートビート間隔</strong>の少なくとも 2 倍の値に設定します。</td> </tr> <tr> <td><strong>クライアント ブローカ セッション</strong></td> <td>ユーザーの認証の有効期限が切れるまでに Horizon Client 接続セッションに許可される最大時間(分)。この時間は、ユーザーが Universal Broker に対して認証される時点から開始します。セッション タイムアウトが発生しても、ユーザーは割り当てられたデスクトップで作業を続行できます。ただし、Universal Broker との通信を必要とするアクション(設定の変更など)を実行すると、Horizon Client は Universal Broker 認証情報を再入力するように求めます。 <strong>注:</strong><strong>Client ブローカ セッション</strong> のタイムアウトは <strong>Client ハートビート間隔</strong> 値と <strong>Client アイドル ユーザー</strong> のタイムアウトの合計以上にする必要があります。</td> </tr> <tr> <td><strong>クライアント認証情報のキャッシュ タイムアウト</strong></td> <td> この設定は、Horizon Connection Server の <strong>その他のクライアント という設定と比較可能なUniversal Brokerとして意図されています。SSO 認証情報を破棄します</strong>。 したがって、この設定に関するここでの説明は、Horizon Connection Server 設定の説明およびコンソールのこの設定のツールチップの説明と一致するように記述されています。 この設定は、アプリケーションのリモート処理をサポートしていないクライアント用です。指定した時間(分)が経過すると、SSO 認証情報が破棄されます。クライアント デバイスでのユーザー アクティビティに関係なく、指定した時間 (分) が経過した後にデスクトップに接続するには、ユーザーは再度ログインする必要があります。デフォルトは 15 分です。</td> </tr> </tbody> </table>6. 構成ウィザードの 設定 ページで、 ポリシーの詳細 を構成します。
[ポリシーの詳細] は、エンド ユーザーが特定の Horizon 機能(デスクトップとクライアントで使用可能な場合)にアクセスできるかどうかを制御します。 <table> <thead> <tr> <th>設定</th> <th>説明</th> </tr> </thead> <tbody> <tr> <td><strong>マルチメディア リダイレクト (MMR)</strong></td> <td>この機能がデスクトップとクライアントで使用可能な場合、エンド ユーザーがマルチメディア リダイレクト機能にアクセスできるようにするには、このトグルを有効にします。</td> </tr> <tr> <td><strong>USB アクセス</strong></td> <td>USB リダイレクト機能がデスクトップとクライアントで使用可能な場合、エンド ユーザーはこの機能を使用できるようにするには、このトグルを有効にします。</td> </tr> <tr> <td><strong>タブを閉じるときに Horizon Web Client 認証情報をクリーンアップする</strong></td> <td> この設定を有効にすると、ユーザーが Horizon Web Client でリモート デスクトップに接続するタブまたはデスクトップの選択ページに接続するタブを閉じるときに、キャッシュからユーザーの認証情報が削除されます。 この設定を有効にすると、次の Horizon Web Client のシナリオでも認証情報がキャッシュから削除されます。 <ul> <li>ユーザーがデスクトップの選択ページまたはリモート セッション ページを更新する。 </li> <li>サーバが自己署名証明書を提示し、ユーザーがリモート デスクトップを起動し、セキュリティ警告が表示されたらユーザーが証明書を受け入れます。 </li> <li>ユーザーは、リモート セッションを含むタブで URI コマンドを実行します。 </li> </ul> この設定をオフにすると、認証情報はキャッシュに残ります。</td> </tr> <tr> <td><strong>クライアントがパワーオフ状態の仮想マシンを待機することを許可</strong></td> <td>この設定を有効にすると、Horizon Client は現在使用できないリモート デスクトップへの接続要求を再試行できます。 たとえば、クライアント ユーザーは、現在パワーオフ状態のデスクトップを要求することがあります。この設定を有効にすると、デスクトップがパワーオンされて使用可能になったときに、Horizon Client は接続要求を再送信して接続セッションを確立できます。</td> </tr> </tbody> </table> ポリシーの詳細の構成が完了したら、 **次へ** をクリックしてウィザードの次の手順に進みます。7. [サマリ] ページで設定を確認し、終了 をクリックして構成を保存して適用します。
システムとネットワークの状態にもよりますが、DNS レコードはすべてのグローバル リージョンの DNS サーバ間で伝達されるため、通常、Universal Broker サービスで構成設定が完全に有効になるまでに少なくとも数分から最大で 30 分かかります。この間、Universal Broker サービスは使用できません。セットアップが正常に完了すると、[はじめに] ページの [ブローカ] セクションに **完了** ステータスが表示され、[ **設定** ] \> **[ブローカ** ] ページに **有効** ステータスが緑色のドットで表示されます。 ![Universal Broker が有効になっている [ブローカ] ページ](images/GUID-67116750-F476-41A1-9FE5-EEF03B644F5E-low.png) **重要:** Universal Brokerのセットアップに失敗すると、 **設定** \> **ブローカ** ページに赤のアラート アイコンで **エラー** ステータスが表示されます。構成エラーを修正して Universal Broker サービスを設定するには、 [ナレッジベース \(KB\) の記事 2006985](https://kb.omnissa.com/s/article/2006985) の説明に従って、Horizon Cloud サポートにお問い合わせください。次のタスク
- Horizon ポッドに Universal Broker を構成している場合は、ポッドを管理対象状態に変更する手順に進みます。Horizon Universal Console を使用してクラウド接続された Horizon ポッドを管理対象状態に変更するを参照してください。
- Microsoft Azure の Horizon Cloud ポッドに Universal Broker を構成している場合は、これ以上の構成は必要ありません。コンソールを使用してマルチポッド イメージを作成し、それらのイメージに基づいてエンド ユーザー割り当てを作成できます。
このページは役に立ちましたか?