このドキュメント トピックの目的は、第 1 世代の Horizon Cloud 環境を使用して Microsoft Azure サブスクリプションにポッドを作成し、続いて Microsoft Azure ポータルにログインしてポッド デプロイヤが作成した内容を確認したときに表示される内容を説明することです。Microsoft Azure へのポッドのデプロイの一環として、自動デプロイ プロセスは一連のネットワーク セキュリティ グループ (NSG) を作成し、それぞれをサービス制御ポッド関連の各仮想マシンにある特定の個別のネットワーク インターフェイス (NIC) に関連付けます。このようなポッド関連の仮想マシンは、ポッドのマネージャ仮想マシン、およびポッドが Unified Access Gateway で構成されている場合にデプロイされる仮想マシンです。
このページを読む前に
このページを読む前に、以下の点を考慮してください。
覚えておいてください:ナレッジベースの記事 KB92424 で説明されているように、第 1 世代の Horizon Cloud 制御プレーンの提供終了が発表されました。この発表に合わせて、第 1 世代の Horizon Cloud 製品ドキュメントが更新されました。
メモ:ナレッジベースの記事 KB93762 で説明されているように、Horizon インフラストラクチャの監視機能は廃止され、第 1 世代のテナントではこの機能を有効にしたり使用したりできなくなります。2023 年 10 月の時点で、廃止された機能に以前関連していたこのページの情報は、それに応じて更新されました。
注意: この情報は、第 1 世代の制御プレーンで第 1 世代のテナント環境にアクセスできる場合にのみ適用されます。KB-92424 で説明されているように、第 1 世代の制御プレーンは提供終了 (EOA) となりました。詳細については、その記事を参照してください。
2022 年 8 月の時点で、Horizon Cloud は一般公開され、 Horizon 制御プレーンの使用という独自のガイドを入手できます。
Horizon Cloud と第 1 世代のどちらの環境を使用しているかは、環境にログインして Horizon Universal Console ラベルが表示された後にブラウザの URL フィールドに表示されるパターンでわかります。Horizon Cloud環境の場合、コンソールの URL アドレスには /hcsadmin/ のような部分が含まれます。第 1 世代コンソールの URL には別のセクション (/horizonadmin/) があります。
概要
ポッド デプロイヤは、ポッドの Horizon Cloud の設計とアーキテクチャに従って、適切なデプロイヤによって作成された NSG を適切な NIC に関連付けます。これらの NSG は NIC レベルで使用され、特定のサービス管理対象アプライアンス上の各 NIC が、NIC に接続されたサブネット上で標準のサービスおよびポッド操作に対してサービス管理対象アプライアンスが受信すべきトラフィックを受信し、アプライアンスが受信する必要のないすべてのトラフィックをブロックできるようにします。各 NSG には、各 NIC との間で許可されるトラフィックを定義する一連のセキュリティ ルールが含まれています。
ここで説明する NSG は、Horizon Universal Console を使用してポッドを作成するときにポッドによってプロビジョニングされるベース仮想マシン、ファーム、および VDI デスクトップに使用される NSG とは異なります。これらの NSG には、異なる使用情報があります。これらの NSG の詳細については、次のトピックを参照してください。
- Horizon Cloud の [Marketplace からの仮想マシンのインポート] ウィザードによって作成されたネットワーク セキュリティ グループ (NSG)
- Horizon Cloud ポッドのネットワーク セキュリティ グループとファームについて
- Horizon Cloud ポッドのネットワーク セキュリティ グループと VDI デスクトップについて
警告: ここで説明するデプロイヤで作成された NSG ルールは、サービスの構成要件です。自動的に作成され、ポッド仮想マシンの NIC に関連付けられている Horizon Cloud NSG を削除または編集しないでください。この指示には、次のようなアクションが含まれます。
- これらの NSG または NSG ルールを Horizon Cloud で使用されるサブネットにコピーまたは移動する
- ポッド仮想マシンに関連付けられている NIC 間でこれらの NSG または NSG ルールをコピーまたは移動する。
Horizon Cloud によって作成された NSG とその内部のルールは、それらが接続されている特定の NIC および仮想マシンに固有であり、それらの NIC および仮想マシンを明示的に使用するためのものです。これらの NSG またはルールを変更したり、他の目的に使用しようとすると、それらの NIC が接続されている同じサブネット上であっても、接続先の NIC との間で必要なネットワーク トラフィックが中断される可能性が高くなります。その中断により、すべてのポッド操作が中断される可能性があります。これらの NSG のライフサイクルは Horizon Cloud によって管理され、それぞれに特定の理由があります。これらの理由は次のとおりです。
- クラウド制御プレーンがポッドと通信する機能。
- ポッドのインフラストラクチャの管理
- ポッドのライフサイクル操作
これらのデプロイヤで作成された NSG はサービスの構成要件であるため、Omnissa Cloud Service オファリングの サービス レベル アグリーメント に記載されているように、変更または移動を試みることは、サポートされていない Horizon Cloud の使用およびサービス提供の誤用と見なされます。
ただし、ポッドの仮想マシン用に Horizon Cloud によって自動作成および管理されるポッドのリソース グループ外のリソース グループ内に、独自の組織のルールを含む独自の NSG を作成できます。独自の NSG のルールは、ポッドの仮想マシンの管理および操作に関する Horizon Cloud の要件と競合しないようにする必要があります。このような NSG は、ポッドで使用される管理サブネット、テナント サブネット、および DMZ サブネットに接続する必要があります。Horizon Cloud によって管理されるリソース グループ内に独自の NSG を作成すると、それらのリソース グループの NSG が別のリソース グループにあるリソースに関連付けられている場合、Horizon Cloud によって管理されるリソース グループでの削除アクション中にエラーが発生します。
Microsoft Azure ドキュメントで説明されているように、ネットワーク セキュリティ グループ (NSG) の目的は、セキュリティ ルールを使用して Microsoft Azure 環境のリソースとの間のネットワーク トラフィックをフィルタリングすることです。各ルールには、NSG が関連付けられているリソースに許可されるトラフィックを決定する、送信元、宛先、ポート、プロトコルなどの一連のプロパティがあります。Horizon Cloud が自動的に作成し、サービス制御ポッド仮想マシンの NIC に関連付ける NSG には、Horizon Cloud がポッドのサービス管理、進行中のポッド操作の適切な実行、およびポッドのライフサイクルの管理に必要と判断した特定のルールが含まれています。一般的に、これらの NSG で定義されている各ルールは、エンド ユーザーに仮想デスクトップを提供する VDI のユースケースなど、Horizon Cloud サブスクリプションの標準的なビジネス目的を実現するサービス フルフィルメントの一部であるポッド操作のポート トラフィックを提供することを目的としています。Horizon Cloud ポッドのポートとプロトコルの要件も参照してください。
以下のセクションでは、Horizon Cloud がこれらの NSG で定義する NSG ルールを一覧表示します。
これらの NSG に関する一般的な事実
このリストは、デプロイヤがポッド関連仮想マシンの特定の NIC に関連付ける、デプロイヤによって作成されたすべての NSG に適用されます。
-
これらのサービスで作成された NSG は、サービス制御ソフトウェア アプライアンスのセキュリティのためのものです。サービスによってサブスクリプションに新しいソフトウェアが追加され、追加のルールが必要になると、それらの新しいルールがこれらの NSG に追加されます。
-
Microsoft Azure ポータルでは、NSG の名前に
hcs-podUUIDという文字列が含まれています。podUUID はポッドの識別子です。ただし、専用の VNet にデプロイされる外部ゲートウェイ構成用の NSG は除きます。その場合、ゲートウェイの関連する NSG の名前には、hcs-IDという文字列が含まれます。ここで、ID はその外部ゲートウェイのデプロイ ID です。メモ: 外部ゲートウェイ構成が別のサブスクリプションにデプロイされ、そのサブスクリプションで事前に作成した既存のリソース グループにデプロイするオプションが使用されるシナリオの場合、ゲートウェイ コネクタの仮想マシンの管理 NIC の NSG には、
hcs-podUUIDパターンではなくリソース グループの名前に基づいたパターンで名前が付けられます。たとえば、そのリソース グループにhcsgatewaysという名前を付けた場合、そのリソース グループに Horizon Cloud はhcsgateways-mgmt-nsgという名前の NSG を作成し、その NSG をゲートウェイ コネクタ仮想マシンの管理 NIC に関連付けます。これらの識別子を見つけるには、管理コンソールの [キャパシティ] ページからポッドの詳細に移動します。
メモ: ポッドの外部Unified Access Gatewayでカスタム リソース グループを使用することを選択した場合、ゲートウェイ コネクタ仮想マシンのデプロイヤによって作成された NSG の名前には、パターン
hcs-IDではなく、そのカスタム リソース グループの名前が含まれます。たとえば、ポッドの外部ゲートウェイにourhcspodgatewayという名前のカスタム リソース グループを使用することを指定した場合、デプロイヤが作成してゲートウェイ仮想マシンの NIC に関連付ける NSG の名前はourhcspodgateway-mgmt-nsgになります。 -
NSG は、関連付けられている仮想マシンおよび NIC と同じリソース グループにあります。たとえば、外部 Unified Access Gateway 仮想マシンの NIC に関連付けられている NSG は、外部ゲートウェイがポッドの VNet にデプロイされ、デプロイヤによって作成されたリソース グループを使用している場合に、文字列
hcs-podUUID-uagを含むリソース グループにあります。「第 1 世代テナント - Microsoft Azure にデプロイされたポッド用に作成されたリソース グループ」も参照してください。 -
Horizon Cloud は、サービスの保守性を確保するために、必要に応じて新しいルールを追加したり、これらのルールを変更したりすることがあります。
-
ポッドの更新中、NSG とルールは保持されます。これらは削除されません。
-
Horizon Cloud ルールは優先度 1000 から始まり、優先度は通常 100 単位で増えます。Horizon Cloud ルールは、優先度 3000 のルールで終了します。
-
Microsoft Azure ドキュメントのトピック「IP アドレス 168.63.129.16 について」で説明するように、送信元 IP アドレス 168.63.129.16 に対する
AllowAzureInBoundルールは、NSG が Microsoft Azure プラットフォームからの受信通信を受け入れるためのものです。ポッドに関連するすべての仮想マシンは、Microsoft Azure の仮想マシンです。Microsoft Azure ドキュメントのトピックで説明されているように、IP アドレス 168.63.129.16 を使用すると、Microsoft Azure クラウド プラットフォームがクラウド内のすべての仮想マシンに対して実行するさまざまな仮想マシン管理タスクが容易になります。たとえば、この IP アドレスを使用すると、仮想マシン内にある仮想マシン エージェントが Microsoft Azure プラットフォームと通信して、仮想マシンが準備完了状態であることを通知できるようになります。 -
Unified Access Gateway インスタンスの NSG では、PCoIP トラフィックが 4173+ 範囲の可変ポート番号を使用しているため、
AllowPcoipUdpInBoundルールがすべてのポートに設定されます。そのため、トラフィックを特定のポート セットに制限することはできません。 -
Microsoft Azure は、各 NSG が作成されると、いくつかのデフォルト ルールを自動的に作成します。作成されるすべての NSG で、Microsoft Azure は優先度 65000 以上の受信ルールと送信ルールをいくつか作成します。このような Microsoft Azure のデフォルト ルールは Microsoft Azure によって自動的に作成されるため、このドキュメントのトピックでは説明しません。これらのデフォルト ルールの詳細については、Microsoft Azure ドキュメントの トピック「デフォルトのセキュリティ ルール」を参照してください。
-
これらの NSG で定義されている各ルールは、エンド ユーザーに仮想デスクトップを提供する VDI のユースケースなど、Horizon Cloud サブスクリプションの標準的なビジネス目的を実現するサービス フルフィルメントの一部であるポッド操作のポート トラフィックを提供することを目的としています。Horizon Cloud ポッドのポートとプロトコルの要件も参照してください。
-
ポッドを編集してファームおよび VDI デスクトップ割り当てで使用する追加のテナント サブネットを指定すると、ポッド マネージャ仮想マシンおよび Unified Access Gateway 仮想マシンの NIC 上のテナント サブネット関連の NSG のルールが更新され、追加のテナント サブネットが含まれるようになります。
-
サポート リクエストを開いて、Horizon Cloud サポート チームがそのリクエストを処理する方法が一時的なジャンプ ボックス仮想マシンをデプロイすることであると判断した場合、この一時ジャンプ ボックスには一時ジャンプ ボックス リソース グループに NSG があります。この NSG は、サポート チームが終了したときにジャンプ ボックスのリソース グループが削除されると削除されます。
ポッド マネージャ仮想マシンのデプロイヤによって作成された NSG
ポッド マネージャ仮想マシンには 2 つの NIC があり、1 つは管理サブネットに接続され、もう 1 つはテナント サブネットに接続されています。デプロイヤは、これら 2 つの NIC それぞれに特定の NSG を作成し、各 NSG を適切な NIC に関連付けます。
- 管理 NIC に、名前に
hcs-podUUID-mgmt-nsgという文字列が含まれる NSG がある。 - テナント NIC の名前に
hcs-podUUID-tenant-nsgという文字列が含まれる NSG がある。
Microsoft Azure 環境では、これらの NSG は、名前に文字列 hcs-podUUID が含まれるポッドのリソース グループにあります。
| ディレクション | 優先度 | 名前 | ポート | プロトコル | ソース | 宛先 | 操作 | ルールの目的 |
|---|---|---|---|---|---|---|---|---|
| 受信 | 1000 | AllowSshInBound | 22 | 任意 | 管理 | 任意 | 許可 | 定常状態の運用中にサポート リクエストを発行し、Horizon Cloud サポート チームがそのリクエストのトラブルシューティング方法はポッドのマネージャ仮想マシンへの SSH 通信用のジャンプ ボックス仮想マシンをデプロイすることだと判断した場合、この NSG ルールはそのユースケースをサポートします。緊急アクセスの前に、お客様に許可をいただく必要があります。有効期間の短いジャンプ ボックス仮想マシンは、仮想マシンのポート 22 への SSH 接続を使用してポッド マネージャ仮想マシンと通信します。日常的なポッド操作では、ポッド マネージャ仮想マシン上でポート 22 が使用可能である必要はありません。 |
| 受信 | 1100 | AllowAzureInBound | 任意 | 任意 | 168.63.129.16 | 任意 | 許可 | 前の「一般的な事実」セクションおよび Microsoft Azure ドキュメントのトピック IP アドレス 168.63.129.16 についての説明に従って、仮想マシンが Microsoft Azure プラットフォームからの受信通信を受け入れるようにするため。 |
| 受信 | 1200 | AllowHttpsInBound | 443 | 任意 | 管理 | 任意 | 許可 | クラウド制御プレーンがポッド マネージャの REST API エンドポイントと安全に通信するため。 |
| 受信 | 1300 | AllowApacheGeodeInBound | 10334 - 10336, 41000-41002, 41100-41102, 42000-42002 | 任意 | 管理 | 任意 | 許可 | これらのポートは、ポッド マネージャ仮想マシン間でユーザー セッションおよび FileShare 関連の情報を複製するために使用されます。 |
| 受信 | 1400 | AllowTelegrafInBound | 9172 | 任意 | 管理 | 任意 | 許可 | 廃止されました。この NSG は Horizon インフラストラクチャの監視機能で使用されていましたが、 ナレッジベースの記事 KB93762に記載されているように廃止されました。 |
| 受信 | 1500 | AllowAgentJmsInBound | 4001, 4002 | 任意 | 管理 | 任意 | 許可 | 廃止されました。この NSG は Horizon インフラストラクチャの監視機能で使用されていましたが、 ナレッジベースの記事 KB93762に記載されているように廃止されました。 |
| 受信 | 3000 | DenyAllInBound | 任意 | 任意 | 任意 | 任意 | 拒否 | この NIC の受信トラフィックを前の行のアイテムに制限するためにデプロイヤによって追加されました。 |
| ディレクション | 優先度 | 名前 | ポート | プロトコル | ソース | 宛先 | 操作 | 目的 |
|---|---|---|---|---|---|---|---|---|
| 受信 | 1000 | AllowHttpsInBound | 80 443 | TCP | 仮想ネットワーク | 任意 | 許可 | このルールは、(VPN 経由など、企業ネットワーク上の)内部エンド ユーザーに、ポッドの Microsoft Azure ロード バランサにマッピングした FQDN にクライアント接続を行うように指示する、一般的ではないシナリオを提供します。このシナリオは、直接ポッド接続と呼ばれることもあります。ポッド マネージャへのログイン認証要求の場合、Horizon Client と Horizon Web Client はポート 443 を使用します。HTTPS の代わりに HTTP をクライアントに入力する可能性があるユーザーのために、簡単なリダイレクトをサポートするため、そのトラフィックはポート 80 に到着し、自動的にポート 443 にリダイレクトされます。 |
| 受信 | 1100 | AllowAgentHttpsInBound | 3443 8443 | TCP | テナント サブネット | 任意 | 許可 | この NIC の受信ポート 3443 は、ベース仮想マシン、デスクトップ仮想マシン、ファーム RDSH 仮想マシンの App Volumes Agent によって使用され、ポッド マネージャで実行されている App Volumes Manager サービスにアクセスします。 この NIC の受信ポート 8443 は、Unified Access Gateway インスタンスがポッド マネージャに確認するために使用されます。ゲートウェイ インスタンスは、このエンドポイントを使用して、ポッド マネージャへの新しいクライアント接続要求の送信を確認します。 |
| 受信 | 1110 | AllowGatewayBrokeringHttpsInBound | 8443 | TCP | 仮想ネットワーク | 任意 | 許可 | コードの一貫性とメンテナンスの容易さのために、ポッド デプロイヤは常にこのルールをこの NSG に書き込みます。 ポッドの外部ゲートウェイがポッドとは別の専用の VNet にデプロイされているデプロイでは、このルールは、ポッド マネージャに確認するために外部ゲートウェイの Unified Access Gateway インスタンスからの受信トラフィックをサポートします。ゲートウェイ インスタンスは、このエンドポイントを使用して、ポッド マネージャへの新しいクライアント接続要求の送信を確認します。 |
| 受信 | 1120 | AllowUagHttpsInBound | 8443 | TCP | 管理 | 任意 | 許可 | このルールは、今後のサービス リリースで使用される予定です。 |
| 受信 | 1200 | AllowAgentJmsInBound | 4001 4002 | TCP | テナント サブネット | 任意 | 許可 | ベース仮想マシン、デスクトップ仮想マシン、およびファーム RDSH 仮想マシンの Horizon Agent はこれらのポートを使用します。 ポート 4001 は Java Message Service(JMS、非 SSL)用で、仮想マシンのエージェントが証明書のサムプリント検証の一部としてポッドと通信するために使用され、ポッドへの SSL 接続を保護するために交換されます。 キーがネゴシエートされ、仮想マシンとポッド マネージャの間で交換された後、エージェントはポート 4002 を使用してセキュアな SSL 接続を作成します。 注: 定常状態の動作には、4001 と 4002 の両方が必要です。場合によっては、エージェントがポッドで再キー化する必要があります。 |
| 受信 | 1210 | AllowRouterJmsInBound | 4101 | TCP | テナント サブネット | 任意 | 許可 | ポッドで高可用性 (HA) が有効になっている場合、このトラフィックはポッド マネージャ仮想マシン(node-1 と node-2)間の JMS ルーティングです |
| 受信 | 1300 | AllowAgentUdpInBound | 5678 | UDPの | テナント サブネット | 任意 | 許可 | マニフェスト 1600 以降のポッドでは廃止されました。サービスの 2019 年 9 月のリリースでは、DaaS Agent はポッド マニフェスト 1600 時点の Horizon Agent に組み込まれました。以前は、このポート 5678 と UDP プロトコルを使用して DaaS Agent の使用をサポートしていました。 |
| 受信 | 1400 | AllowAzureInBound | 任意 | 任意 | 168.63.129.16 | 任意 | 許可 | 前の「一般的な事実」セクションおよび Microsoft Azure ドキュメントのトピック IP アドレス 168.63.129.16 についての説明に従って、仮想マシンが Microsoft Azure プラットフォームからの受信通信を受け入れるようにするため。 |
| 受信 | 3000 | DenyAllInBound | 任意 | 任意 | 任意 | 任意 | 拒否 | この NIC の受信トラフィックを前の行のアイテムに制限するためにデプロイヤによって追加されました。 |
外部 Unified Access Gateway 仮想マシンのデプロイヤが作成した NSG
外部 Unified Access Gateway 構成用の各仮想マシンには 3 つの NIC があり、それぞれ、管理サブネット、テナント サブネット、および DMZ サブネットに接続されています。デプロイヤは、これら 3 つの NIC それぞれに特定の NSG を作成し、各 NSG を適切な NIC に関連付けます。
- 管理 NIC に、名前に
hcs-ID-uag-management-nsgという文字列が含まれる NSG がある。 - テナント NIC の名前に
hcs-ID-uag-tenant-nsgという文字列が含まれる NSG がある。 - DMZ NIC の名前に
hcs-ID-uag-dmz-nsgという文字列が含まれる NSG がある。
Microsoft Azure 環境では、これらの NSG の名前には文字列 hcs-ID-uag が含まれます。ここで、ID はコンソールのポッドの詳細ページに表示されるポッドの ID です。ただし、外部ゲートウェイがポッドの VNet とは別の専用の VNet にデプロイされている場合を除きます。外部ゲートウェイが専用の VNet にデプロイされている場合、ID はポッドの詳細ページに表示される デプロイ ID の値です。
| ディレクション | 優先度 | 名前 | ポート | プロトコル | ソース | 宛先 | 操作 | 目的 |
|---|---|---|---|---|---|---|---|---|
| 受信 | 1000 | AllowHttpsInBound | 9443 | TCP | 管理 | 任意 | 許可 | サービスが管理インターフェイスを使用してゲートウェイの管理設定を構成するため。Unified Access Gateway 製品ドキュメントで説明されているように、その管理インターフェイスはポート 9443/TCP にあります。 |
| 受信 | 1100 | AllowAzureInBound | 任意 | 任意 | 168.63.129.16 | 任意 | 許可 | 前の「一般的な事実」セクションおよび Microsoft Azure ドキュメントのトピック IP アドレス 168.63.129.16 についての説明に従って、仮想マシンが Microsoft Azure プラットフォームからの受信通信を受け入れるようにするため。 |
| 受信 | 1200 | AllowSshInBound | 22 | 任意 | 管理 | 任意 | 許可 | トラブルシューティングに必要な場合、Horizon Cloud サポート チームが仮想マシンへの緊急アクセスを実行するため。緊急アクセスの前に、お客様に許可をいただく必要があります。 |
| 受信 | 3000 | DenyAllInBound | 任意 | 任意 | 任意 | 任意 | 拒否 | この NIC の受信トラフィックを前の行のアイテムに制限するためにデプロイヤによって追加されました。 |
| アウトバウンド | 3000 | DenyAllOutBound | 任意 | 任意 | 任意 | 任意 | 拒否 | この NIC からの送信トラフィックを拒否するためにデプロイヤによって追加されました。 |
| ディレクション | 優先度 | 名前 | ポート | プロトコル | ソース | 宛先 | 操作 | 目的 |
|---|---|---|---|---|---|---|---|---|
| 受信 | 1000 | AllowAzureInBound | 任意 | 任意 | 168.63.129.16 | 任意 | 許可 | 前の「一般的な事実」セクションおよび Microsoft Azure ドキュメントのトピック IP アドレス 168.63.129.16 についての説明に従って、仮想マシンが Microsoft Azure プラットフォームからの受信通信を受け入れるようにするため。 |
| 受信 | 1400 | AllowPcoipUdpInBound | 任意 | UDPの | テナント サブネット | 任意 | 許可 | このルールは、Horizon Agent と連携する Unified Access Gateway に使用される標準構成をサポートします。デスクトップ仮想マシンとファーム仮想マシンの Horizon Agent は、UDP を使用して PCoIP データを Unified Access Gateway インスタンスに送信します。 |
| 受信 | 3000 | DenyAllInBound | 任意 | 任意 | 任意 | 任意 | 拒否 | この NIC の受信トラフィックを前の行のアイテムに制限するためにデプロイヤによって追加されました。 |
| アウトバウンド | 1000 | AllowHttpsOutBound | 443 8443 | TCP | 任意 | テナント サブネット | 許可 | このルールは、ポッド マネージャへの新しいクライアント接続要求の目的でポッド マネージャ仮想マシンと通信する Unified Access Gateway インスタンスをサポートします。 |
| アウトバウンド | 1100 | AllowBlastOutBound | 22443 | 任意 | 任意 | テナント サブネット | 許可 | このルールは、デスクトップ仮想マシンまたはファーム仮想マシンの Horizon Agent への Horizon Client Blast Extreme セッションのユースケースをサポートします。 |
| アウトバウンド | 1200 | AllowPcoipOutBound | 4172 | 任意 | 任意 | テナント サブネット | 許可 | このルールは、デスクトップ仮想マシンの Horizon Agent への Horizon Client PCoIP セッションのユースケースをサポートします。 |
| アウトバウンド | 1300 | AllowUsbOutBound | 32111 | TCP | 任意 | テナント サブネット | 許可 | このルールは、USB リダイレクト トラフィックのユースケースをサポートします。USB リダイレクトは、デスクトップ仮想マシンまたはファーム仮想マシンのエージェント オプションです。そのトラフィックは、デスクトップ仮想マシンまたはファーム仮想マシンの Horizon Agent へのエンドユーザー クライアント セッションにポート 32111 を使用します。 |
| アウトバウンド | 1400 | AllowMmrOutBound | 9427 | TCP | 任意 | テナント サブネット | 許可 | このルールは、マルチメディア リダイレクト (MMR) およびクライアント ドライバ リダイレクト (CDR) トラフィックの使用事例をサポートします。これらのリダイレクションは、デスクトップ仮想マシンまたはファーム仮想マシンのエージェント オプションです。そのトラフィックは、デスクトップ仮想マシンまたはファーム仮想マシンの Horizon Agent へのエンドユーザー クライアント セッションにポート 9427 を使用します。 |
| アウトバウンド | 1500 | AllowAllOutBound | 任意 | 任意 | 任意 | テナント サブネット | 許可 | 複数のユーザー セッションをサポートする仮想マシンで実行する場合、Horizon Agent はセッションの PCoIP トラフィックに使用する異なるポートを選択します。これらのポートは事前に決定できないため、そのトラフィックを許可する特定のポートに名前を付ける NSG ルールを事前に定義することはできません。したがって、優先度 1200 のルールと同様に、このルールは、このような仮想マシンとの複数の Horizon Client PCoIP セッションのユースケースをサポートします。 |
| アウトバウンド | 3000 | DenyAllOutBound | 任意 | 任意 | 任意 | 任意 | 拒否 | この NIC の送信トラフィックを前の行のアイテムに制限するためにデプロイヤによって追加されました。 |
| ディレクション | 優先度 | 名前 | ポート | プロトコル | ソース | 宛先 | 操作 | 目的 |
|---|---|---|---|---|---|---|---|---|
| 受信 | 1000 | AllowHttpsInBound | 80 443 | TCP | インターネット | 任意 | 許可 | このルールは、Horizon Client および Horizon Web Client からの外部エンド ユーザーの受信トラフィックがポッド マネージャへのログイン認証要求を要求することを規定します。デフォルトでは、Horizon Client と Horizon Web Client はこの要求にポート 443 を使用します。HTTPS の代わりに HTTP をクライアントに入力する可能性があるユーザーのために、簡単なリダイレクトをサポートするため、そのトラフィックはポート 80 に到着し、自動的にポート 443 にリダイレクトされます。 |
| 受信 | 1100 | AllowBlastInBound | 443 8443 | 任意 | インターネット | 任意 | 許可 | このルールは、外部エンド ユーザーの Horizon Client から Blast トラフィックを受信する Unified Access Gateway インスタンスをサポートします。 |
| 受信 | 1200 | AllowPcoipInBound | 4172 | 任意 | インターネット | 任意 | 許可 | このルールは、外部エンド ユーザーの Horizon Client から PCoIP トラフィックを受信する Unified Access Gateway インスタンスをサポートします。 |
| 受信 | 1300 | AllowAzureInBound | 任意 | 任意 | 168.63.129.16 | 任意 | 許可 | 前の「一般的な事実」セクションおよび Microsoft Azure ドキュメントのトピック IP アドレス 168.63.129.16 についての説明に従って、仮想マシンが Microsoft Azure プラットフォームからの受信通信を受け入れるようにするため。 |
| 受信 | 3000 | DenyAllInBound | 任意 | 任意 | 任意 | 任意 | 拒否 | この NIC の受信トラフィックを前の行のアイテムに制限するためにデプロイヤによって追加されました。 |
内部 Unified Access Gateway 仮想マシンのデプロイヤが作成した NSG
内部 Unified Access Gateway 構成用の各仮想マシンには 2 つの NIC があり、それぞれ、管理サブネットとテナント サブネットに接続されています。デプロイヤは、これら 2 つの NIC それぞれに特定の NSG を作成し、各 NSG を適切な NIC に関連付けます。
- 管理 NIC に、名前に
hcs-podUUID-uag-management-nsgという文字列が含まれる NSG がある。 - テナント NIC の名前に
hcs-podUUID-uag-tenant-nsgという文字列が含まれる NSG がある。
Microsoft Azure 環境では、これらの NSG は、名前に文字列 hcs-podUUID-uag-internal が含まれるポッドのリソース グループにあります。
| ディレクション | 優先度 | 名前 | ポート | プロトコル | ソース | 宛先 | 操作 | 目的 |
|---|---|---|---|---|---|---|---|---|
| 受信 | 1000 | AllowHttpsInBound | 9443 | TCP | 管理 | 任意 | 許可 | サービスが管理インターフェイスを使用してゲートウェイの管理設定を構成するため。Unified Access Gateway 製品ドキュメントで説明されているように、その管理インターフェイスはポート 9443/TCP にあります。 |
| 受信 | 1100 | AllowAzureInBound | 任意 | 任意 | 168.63.129.16 | 任意 | 許可 | 前の「一般的な事実」セクションおよび Microsoft Azure ドキュメントのトピック IP アドレス 168.63.129.16 についての説明に従って、仮想マシンが Microsoft Azure プラットフォームからの受信通信を受け入れるようにするため。 |
| 受信 | 1200 | AllowSshInBound | 22 | 任意 | 管理 | 任意 | 任意 | トラブルシューティングに必要な場合、Horizon Cloud サポート チームが仮想マシンへの緊急アクセスを実行するため。緊急アクセスの前に、お客様に許可をいただく必要があります。 |
| 受信 | 3000 | DenyAllInBound | 任意 | 任意 | 任意 | 任意 | 拒否 | この NIC の受信トラフィックを前の行のアイテムに制限するためにデプロイヤによって追加されました。 |
| アウトバウンド | 3000 | DenyAllOutBound | 任意 | 任意 | 任意 | 任意 | 拒否 | この NIC からの送信トラフィックを拒否するためにデプロイヤによって追加されました。 |
| ディレクション | 優先度 | 名前 | ポート | プロトコル | ソース | 宛先 | 操作 | 目的 |
|---|---|---|---|---|---|---|---|---|
| 受信 | 1000 | AllowAzureInBound | 任意 | 任意 | 168.63.129.16 | 任意 | 許可 | 前の「一般的な事実」セクションおよび Microsoft Azure ドキュメントのトピック IP アドレス 168.63.129.16 についての説明に従って、仮想マシンが Microsoft Azure プラットフォームからの受信通信を受け入れるようにするため。 |
| 受信 | 1100 | AllowHttpsInBound | 80 443 | TCP | 仮想ネットワーク | 任意 | 許可 | このルールは、Horizon Client および Horizon Web Client からの内部エンド ユーザーの受信トラフィックが、ポッド マネージャにログイン認証要求を要求することを規定します。デフォルトでは、Horizon Client と Horizon Web Client はこの要求にポート 443 を使用します。HTTPS の代わりに HTTP をクライアントに入力する可能性があるユーザーのために、簡単なリダイレクトをサポートするため、そのトラフィックはポート 80 に到着し、自動的にポート 443 にリダイレクトされます。 |
| 受信 | 1200 | AllowBlastInBound | 443 8443 | 任意 | 仮想ネットワーク | 任意 | 許可 | このルールは、内部エンド ユーザーの Horizon Client から Blast トラフィックを受信する Unified Access Gateway インスタンスをサポートします。 |
| 受信 | 1300 | AllowPcoipInBound | 4172 | 任意 | 仮想ネットワーク | 任意 | 許可 | このルールは、内部エンド ユーザーの Horizon Client から PCoIP トラフィックを受信する Unified Access Gateway インスタンスをサポートします。 |
| 受信 | 1400 | AllowPcoipUdpInBound | 任意 | UDPの | テナント サブネット | 任意 | 許可 | このルールは、Horizon Agent と連携する Unified Access Gateway に使用される標準構成をサポートします。デスクトップ仮想マシンとファーム仮想マシンの Horizon Agent は、UDP を使用して PCoIP データを Unified Access Gateway インスタンスに送信します。 |
| 受信 | 3000 | DenyAllInBound | 任意 | 任意 | 任意 | 任意 | 拒否 | この NIC の受信トラフィックを前の行のアイテムに制限するためにデプロイヤによって追加されました。 |
| アウトバウンド | 1000 | AllowHttpsOutBound | 443 8443 | TCP | 任意 | テナント サブネット | 許可 | このルールは、ポッドへの新しいクライアント接続要求の目的でポッド マネージャ仮想マシンと通信する Unified Access Gateway インスタンスをサポートします。 |
| アウトバウンド | 1100 | AllowBlastOutBound | 22443 | 任意 | 任意 | テナント サブネット | 許可 | このルールは、デスクトップ仮想マシンまたはファーム仮想マシンの Horizon Agent への Horizon Client Blast Extreme セッションのユースケースをサポートします。 |
| アウトバウンド | 1200 | AllowPcoipOutBound | 4172 | 任意 | 任意 | テナント サブネット | 許可 | このルールは、デスクトップ仮想マシンの Horizon Agent への Horizon Client PCoIP セッションのユースケースをサポートします。 |
| アウトバウンド | 1300 | AllowUsbOutBound | 32111 | TCP | 任意 | テナント サブネット | 許可 | このルールは、USB リダイレクト トラフィックのユースケースをサポートします。USB リダイレクトは、デスクトップ仮想マシンまたはファーム仮想マシンのエージェント オプションです。そのトラフィックは、デスクトップ仮想マシンまたはファーム仮想マシンの Horizon Agent へのエンドユーザー クライアント セッションにポート 32111 を使用します。 |
| アウトバウンド | 1400 | AllowMmrOutBound | 9427 | TCP | 任意 | テナント サブネット | 許可 | このルールは、マルチメディア リダイレクト (MMR) およびクライアント ドライバ リダイレクト (CDR) トラフィックの使用事例をサポートします。これらのリダイレクションは、デスクトップ仮想マシンまたはファーム仮想マシンのエージェント オプションです。そのトラフィックは、デスクトップ仮想マシンまたはファーム仮想マシンの Horizon Agent へのエンドユーザー クライアント セッションにポート 9427 を使用します。 |
| アウトバウンド | 1500 | AllowAllOutBound | 任意 | 任意 | 任意 | テナント サブネット | 許可 | 複数のユーザー セッションをサポートする仮想マシンで実行する場合、Horizon Agent はセッションの PCoIP トラフィックに使用する異なるポートを選択します。これらのポートは事前に決定できないため、そのトラフィックを許可する特定のポートに名前を付ける NSG ルールを事前に定義することはできません。したがって、優先度 1200 のルールと同様に、このルールは、このような仮想マシンとの複数の Horizon Client PCoIP セッションのユースケースをサポートします。 |
| アウトバウンド | 3000 | DenyAllOutBound | 任意 | 任意 | 任意 | 任意 | 拒否 | この NIC の送信トラフィックを前の行のアイテムに制限するためにデプロイヤによって追加されました。 |
外部ゲートウェイが専用の VNet にデプロイされている場合のゲートウェイ コネクタ仮想マシンのデプロイヤによって作成された NSG
ゲートウェイ コネクタ仮想マシンには単一の NIC があります。この NIC は、外部ゲートウェイの VNet の管理サブネットに接続されます。デプロイヤは単一の NSG を作成し、その NSG をその NIC と関連付けます。デフォルトでは、ゲートウェイ コネクタの管理 NIC 用にデプロイヤで作成された NSG には、ポッド マネージャ仮想マシン用にデプロイヤで作成された NSG と同じルールがあります。
| ディレクション | 優先度 | 名前 | ポート | プロトコル | ソース | 宛先 | 操作 | 目的 |
|---|---|---|---|---|---|---|---|---|
| 受信 | 1000 | AllowSshInBound | 22 | 任意 | 管理 | 任意 | 許可 | 定常状態の運用中にサポート リクエストを発行し、Horizon Cloud サポート チームがそのリクエストのトラブルシューティング方法は、SSH 通信用のジャンプ ボックス仮想マシンをこのゲートウェイ コネクタ仮想マシンにデプロイすることであると判断した場合、この NSG ルールはそのユースケースをサポートします。緊急アクセスの前に、お客様に許可をいただく必要があります。有効期間の短いジャンプ ボックス仮想マシンは、仮想マシンのポート 22 への SSH 接続を使用して、このゲートウェイ コネクタ仮想マシンと通信します。日常的なポッド操作では、ゲートウェイ コネクタ仮想マシン上でポート 22 が使用可能である必要はありません。 |
| 受信 | 1100 | AllowAzureInBound | 任意 | 任意 | 168.63.129.16 | 任意 | 許可 | 前の「一般的な事実」セクションおよび Microsoft Azure ドキュメントのトピック IP アドレス 168.63.129.16 についての説明に従って、仮想マシンが Microsoft Azure プラットフォームからの受信通信を受け入れるようにするため。 |
| 受信 | 1200 | AllowHttpsInBound | 443 | 任意 | 管理 | 任意 | 許可 | クラウド制御プレーンがゲートウェイ コネクタの REST API エンドポイントと安全に通信するため。 |
| 受信 | 1300 | AllowApacheGeodeInBound | 10334 - 10336, 41000-41002, 41100-41102, 42000-42002 | 任意 | 管理 | 任意 | 許可 | これらのポートは、ポッド マネージャ仮想マシンとゲートウェイ コネクタ仮想マシン間でユーザー セッションとファイル共有関連情報を複製するために使用されます。 |
| 受信 | 1400 | AllowTelegrafInBound | 9172 | 任意 | 管理 | 任意 | 許可 | 廃止されました。この NSG は Horizon インフラストラクチャの監視機能で使用されていましたが、 ナレッジベースの記事 KB93762に記載されているように廃止されました。 |
| 受信 | 1500 | AllowAgentJmsInBound | 4001, 4002 | 任意 | 管理 | 任意 | 許可 | 廃止されました。この NSG は Horizon インフラストラクチャの監視機能で使用されていましたが、 ナレッジベースの記事 KB93762に記載されているように廃止されました。 |
| 受信 | 3000 | DenyAllInBound | 任意 | 任意 | 任意 | 任意 | 拒否 | この NIC の受信トラフィックを前の行のアイテムに制限するためにデプロイヤによって追加されました。 |
一時ジャンプ ボックス仮想マシンのデプロイヤによって作成された NSG
サポート リクエストを開いて、Horizon Cloud サポート チームがそのリクエストを処理する方法が一時的なジャンプ ボックス仮想マシンをデプロイすることであると判断した場合、この一時ジャンプ ボックスには一時ジャンプ ボックス リソース グループに NSG があります。この NSG は、サポート チームがそのような作業を完了したときにジャンプ ボックスのリソース グループが削除されると削除されます。緊急アクセスの前に、お客様に許可をいただく必要があります。
| ディレクション | 優先度 | 名前 | ポート | プロトコル | ソース | 宛先 | 操作 | 目的 |
|---|---|---|---|---|---|---|---|---|
| 受信 | 100 | AllowSSHInBound | 22 | 任意 | 管理 | 管理 | 許可 | サービス リクエストに対する Horizon Cloud サポート チームの調査に関与するサービス管理対象アプライアンスへの SSH 通信用。有効期間の短いジャンプ ボックス仮想マシンは、SSH とポート 22 を使用して通信します。 注: クラウド制御プレーンがポッドへのアクセスを失った場合、サポート チームはパブリック IP アドレスを持つ緊急ジャンプ ボックスをデプロイしてポッドへのアクセスを確立する場合があります。このシナリオでは、このルールに Source=Any および Destination=Any を設定する必要があります。 |
| アウトバウンド | 100 | AllowSSHOutbound | 22 | TCP | 管理 | 管理 | 許可 | ジャンプ ボックス仮想マシンが設計された機能を実行するため。 |
| アウトバウンド | 101 | AllowHttpsOutbound(HTTPS 送信を許可) | 443 | TCP | 管理 | 任意 | 許可 | ジャンプ ボックス仮想マシンが、Microsoft Azure CLI(コマンド ライン インターフェイス)など、外部に配置された特定のソフトウェア コンポーネントをダウンロードして、設計された機能を実行するため。 |
| アウトバウンド | 102 | AllowHttpOutbound | 80 | TCP | 管理 | 任意 | 許可 | ジャンプ ボックス仮想マシンが、Ubuntu ソフトウェア アップデートなど、外部に配置された特定のソフトウェア コンポーネントをダウンロードして、設計された機能を実行するため。 |
| アウトバウンド | 103 | Uag 送信を許可 | 9443 | TCP | 管理 | 管理 | 許可 | ジャンプ ボックス仮想マシンがゲートウェイの管理インターフェイスを使用して、ゲートウェイ管理設定に関連する設計された機能を実行するため。 |
| アウトバウンド | 104 | AllowDnsOutbound(DNS 送信の許可) | 53 | 任意 | 管理 | 任意 | 許可 | ジャンプ ボックス仮想マシンが DNS サービスにアクセスするため。 |
| アウトバウンド | 105 | AllowHttpProxyOutbound | 任意 | TCP | 任意 | 任意 | 許可 | ポッドのデプロイが 80 以外のプロキシ ポートを持つプロキシを使用するように構成されている場合、一時的なジャンプ ボックス デプロイヤはこの NSG にこのルールを作成します。このルールは、このようなプロキシ環境で一時的なジャンプ ボックスをサポートします。 ポッド デプロイの構成でプロキシが指定されていないか、プロキシ ポート 80 で指定されている場合、このルールはこの NSG に表示されません。 |
| アウトバウンド | 1000 | DenyAllOutBound | 任意 | TCP | 任意 | 任意 | 拒否 | この TCP を使用する NIC の送信トラフィックを前の行のアイテムに制限します。 |
このページは役に立ちましたか?