このページは、第 1 世代の Horizon Cloud デプロイに適用されます。このページでは、第 1 世代の Horizon Universal Console 管理機能のロックを解除するために必要な Active Directory ドメイン情報を構成するための複数ステップのワークフローについて説明します。
ヒント: この Active Directory ドメイン登録を省略しても、クラウド接続された Horizon ポッドのデプロイは引き続きライセンスを受け取ります。コンソールの [はじめに - キャパシティ] 領域と [全般的なセットアップ] 領域で使用できる一部の機能を除き、少なくとも 1 つの Active Directory ドメインが構成されるまで、コンソールはロックされたままになります。
この登録フローを完了すると、第 1 世代テナントの環境に適したコンソールのすべての管理機能がロック解除されます。
目的
ベスト プラクティスは、最初のポッドがテナントのポッド フリートに追加された直後または直後に完了することです。そのポッドが Microsoft Azure 上の Horizon Cloud デプロイであるか、Horizon Cloud Connector を使用した Horizon ポッドのデプロイであるかにかかわらず、ベスト プラクティスです。
完了がベスト プラクティスである理由は、このワークフローによってコンソールの管理機能がロック解除されるためです。テナントに少なくとも 1 つの Active Directory ドメインが構成されるまで、コンソールの管理機能のほとんどすべてがグレーアウトされ、ロックされます。
概要
ドメイン登録ワークフロー全体には、この大まかな手順があります。
-
cloud.horizon.omnissa.com から、画面のプロンプトに従ってコンソールにログインします。次に、コンソールで Active Directory 構成ワークフローを開始します。
-
ドメイン バインドの手順では、テナントが Active Directory ドメインのクエリに使用できる Active Directory ドメインの名前関連情報、プロトコル関連情報、およびドメイン バインド サービス アカウントの認証情報を指定します。プライマリ アカウントと補助アカウントの両方を指定する必要があります。Horizon Cloud がそのドメイン バインド アカウントに何を必要とするかについては、 ドメイン バインド アカウント - 必須の特性を参照してください。
-
ドメイン参加情報は、Horizon Cloud on Microsoft Azure のデプロイに必要です。この手順では、サービスがテナントのマシン名を解決できるようにする DNS サーバの IP アドレス、ポッドでプロビジョニングされたマルチセッションおよび単一セッション マシン (VM) を作成するデフォルトの組織単位 (OU)、およびテナントがそれらの仮想マシンを Active Directory ドメインに参加させるために使用できるドメイン参加サービス アカウントの認証情報を指定します。このような仮想マシンには、インポートされた仮想マシン、ファーム RDSH インスタンス、VDI デスクトップ インスタンスなどが含まれます。テナントがそのドメイン参加アカウントに何を必要とするかについては、「 ドメイン参加アカウント - 必要な特性」を参照してください。
テナントの最初のポッドが Horizon Connection Server タイプのポッドである場合は、ドメイン参加アカウント情報の入力をスキップすることができ、そのようなポッドのクラウド プレーン サービスは正常に動作します。ただし、これを選択し、後でこの同じテナントに Horizon Cloud ポッド デプロイを追加し、そのポッドが同じドメイン内のエンド ユーザーにリソースをプロビジョニングする場合は、そのポッドをデプロイした後にドメイン参加情報を構成することを忘れないでください。Horizon Cloud ポッドをデプロイした後、ドメイン参加情報が構成解除されたことがコンソールから自動的に通知されることはありません。
-
ワークフローの最後の [管理者の追加] 手順では、Horizon Cloud スーパー管理者ロールを Active Directory ドメイン グループに割り当てます。
-
管理者情報を保存すると、コンソールによって自動的にログアウトされます。この手順により、前の手順で特定したドメイン グループの管理者のみがコンソールの管理機能にアクセスできるようになります。
1 つの Active Directory ドメインのワークフローが完了したら、後から組織のニーズに応じて追加の Active Directory ドメインを構成できます。
主な検討事項
- コンソールの他のページに移動する前に、少なくとも 1 つのドメインでこのワークフロー全体を完了する必要があります。これらのタスクを完了するまで、メイン サービスはロックされます。
- コンソールの機能をサポートするには、スーパー管理者ロールを Active Directory ドメイン グループに割り当てるワークフロー手順を完了する必要があります。この手順を完了する前にウィザードをキャンセルした場合は、コンソールの [はじめに] ページの [構成 ] ボタンをクリックして [Active Directory の登録] ウィザードを再度開き、ロールの割り当てを完了します。
- v2202 サービス リリース以降、Horizon Cloud on Microsoft Azure のデプロイで LDAPS の使用がサポートされます。そのためには、テナントを明示的に有効にし、テナントの最初のポッドと後続のポッドが v2201 リリース マニフェスト レベルを実行している必要があります。詳細については、 Horizon Cloud on Microsoft Azure と LDAPS のサポート を参照してください。
- 配布グループは、セキュリティ グループの下にネストされていてもサポートされません。Active Directory グループを作成する場合は、グループ タイプ に セキュリティ を常に選択します。
- プライマリおよび補助ドメイン バインド アカウントには常にスーパー管理者ロールが割り当てられます。これにより、コンソールで管理アクションを実行するためのすべての権限が付与されます。スーパー管理者権限を必要としないユーザーは、指定したドメイン バインド アカウントにアクセスできないようにする必要があります。
- Active Directory サーバのクロック スキューが 4 分未満であることを確認します。マニフェスト 2474.x 以降では、システムは登録済みの Active Directory サーバのクロック スキューが 4 分未満かどうかを確認します。このスキューが 4 分を超えると、「クロック スキューが大きすぎます」という例外が発生し、システムのドメイン サーバの検出に失敗します。システムのドメイン サーバの検出に失敗すると、エンド ユーザーのデスクトップ接続要求が影響を受ける可能性があります。
- 今後の検討のために、後でこのテナントのポッド フリートにポッドのデプロイを追加する予定がある場合、それらのポッドを接続またはデプロイするときに、それらのポッドはこの同じ Active Directory ドメインとの通信路を確立している必要があることに注意してください。
- また、既知の問題により、Horizon Cloud Connector を使用して Horizon ポッドを接続するときに、この最初のポッドの Active Directory ドメイン登録プロセスを完了せずに後続のポッドのコネクタのクラウド ペアリング ワークフローを実行しようとすると、予期しない結果が発生する可能性があります。クラウド ペアリング ワークフローは、Horizon Cloud への最初の Active Directory ドメイン登録を完了する前に複数のポッドに対して実行することができますが、最初のドメイン登録を完了する前に次のポッドでそのクラウド ペアリング プロセスを実行しようとすると、このドメイン登録プロセスが失敗することがあります。その場合、最初に Horizon Cloud Connector 構成ポータルで 接続 解除 を使用し、クラウド接続されたポッドが 1 つになるまでそれらのクラウド接続された各ポッド間の接続を解除する必要があります。次に、 失敗した Active Directory 登録を削除し、そのクラウド接続された単一のポッドのドメイン登録プロセスを完了して、後続のポッドで Horizon Cloud Connector ワークフローを再実行します。
コンソールでワークフローを実行する前に
- 最初のポッドが正常にデプロイされていることを確認します。コンソールの [はじめに] ウィザードでは、最初のポッドが正常にデプロイされたことを緑色のチェックマーク アイコンで示します(
)。 - 登録しているドメインの Active Directory ドメインの NetBIOS 名と DNS ドメイン名を取得します。これらの値は、このワークフローの最初のステップでコンソールの Active Directory の登録 ウィンドウに入力します。これらの値を見つける方法の例については、 NETBIOS 名と DNS ドメイン名の情報を取得するを参照してください。ドメイン名なしのユーザー ログイン名のように、
ouraccountnameなどのアカウント名自体をフィールドに入力することに注意してください。 - 必要なプライマリおよび補助ドメイン バインド アカウントとドメイン参加アカウントの、コンソールの必須フィールドに入力する準備ができている有効な情報を取得します。これらのアカウントがドメインに存在し、 Horizon Cloud の運用に必要なサービス アカウントに記載されている要件に準拠していることを確認します。コンソールのワークフローの一部として、サービスは入力したアカウント情報を検証します。
- ドメイン参加アカウントの手順が失敗しないようにするには、Active Directory インフラストラクチャが正確な時刻ソースと同期していることを確認します。このような障害が発生した場合は、Horizon Cloud のサポートにお問い合わせください。ドメイン バインドの手順は成功したが、ドメイン参加の手順に失敗した場合は、ドメインをリセットしてから、タイム ソースを調整する必要があるかどうかを調べることができます。ドメインをリセットするには、「 Active Directory ドメイン登録の削除」の手順を参照してください。
メモ: テナントの最初のポッド デプロイが Horizon Connection Server および Horizon Cloud Connector デプロイ タイプで、このワークフローの実行中に問題が発生した場合は、デプロイでサポートされているバージョンの Horizon Connection Server および Horizon Cloud Connector が実行されていることを確認してください。
ログインとワークフローの開始
-
Horizon Universal Console ポータル URL (https://cloud.horizon.omnissa.com/) に移動して、コンソールにログインし ます。
この URL は、次のスクリーンショットに示すように、Cloud Services ログイン画面にリダイレクトされます。Horizon Cloud テナントに関連付けられている認証情報を使用してログインします。画面上のフローに従います。
これまでにこれらの認証情報を使用してサービスの利用条件に同意していない場合は、 ログイン ボタンをクリックした後にサービスの利用条件に関する通知ボックスが表示されます。利用規約に同意して続行します。
ログインが正常に認証されると、コンソールが開き、[はじめに] ページが表示されます。
-
[はじめに] ページで、[ 全般的なセットアップ ] セクションがまだ展開されていない場合は展開します。
-
[Active Directory] で、 構成 をクリックします。
コンソールには、Active Directory 登録ワークフローの開始ウィンドウが表示されます。このウィンドウの外観は、テナントが Horizon Connection Server タイプのポッドで開始するのか、Horizon Cloud on Microsoft Azure デプロイで開始するのかによって異なります。
ドメイン バインド - Horizon Connection Server ポッド
コンソール ウィンドウで必要な情報を入力し、 ドメイン バインド をクリックして保存します。各バインド アカウント名を入力する場合は、ドメイン名を含まないアカウント名(ouraccountname などのユーザー ログイン名など)を入力します。
| フィールド | 説明 |
|---|---|
| NETBIOS 名 | コンソールには、Horizon ポッドが認識できるすべての Active Directory ドメインの名前が入力された選択メニューが表示されます。最初に登録する Active Directory ドメインを選択します。 |
| ドメイン名 | 読み取り専用です。コンソールには、 NETBIOS Name に選択した Active Directory ドメインの完全修飾 DNS ドメイン名が自動的に表示されます。 |
| プロトコル | このポッド タイプでサポートされているプロトコル LDAP が自動的に表示されます。 |
| バインド ユーザー名 および バインド パスワード | 選択したドメインで使用するサービスのドメイン バインド サービス アカウントの認証情報を指定します。 |
| 補助アカウント #1 | バインド ユーザー名 フィールドと バインド パスワード フィールドに、補助 LDAP バインド アカウントとして使用するドメイン内のユーザー アカウントとそれに関連付けられたパスワードを入力します。 |
| 詳細プロパティ | デフォルト値を変更しない限り、サービスはコンソールに表示されるデフォルト値を使用します。
|
ドメイン バインド - Horizon Cloud on Microsoft Azure のデプロイ
コンソール ウィンドウで必要な情報を入力し、 ドメイン バインド をクリックして保存します。各バインド アカウント名を入力する場合は、ドメイン名を含まないアカウント名(ouraccountname などのユーザー ログイン名など)を入力します。
| フィールド | 説明 |
|---|---|
| NETBIOS 名 | テキスト ボックスが表示されます。ポッドが通信路を確立している Active Directory ドメインの NetBIOS 名を入力します。通常、この名前にはピリオドは含まれません。Active Directory ドメイン環境から使用する値を見つける方法の例については、 NETBIOS 名と DNS ドメイン名情報の取得を参照してください。 |
| ドメイン名 | NETBIOS 名 に指定した Active Directory ドメインの完全修飾 DNS ドメイン名を入力します。 |
| プロトコル | このポッド タイプでサポートされているプロトコル LDAP が自動的に表示されます。 |
| バインド ユーザー名 および バインド パスワード | 選択したドメインで使用するサービスのドメイン バインド サービス アカウントの認証情報を指定します。 |
| 補助アカウント #1 | バインド ユーザー名 フィールドと バインド パスワード フィールドに、補助 LDAP バインド アカウントとして使用するドメイン内のユーザー アカウントとそれに関連付けられたパスワードを入力します。 |
| 詳細プロパティ | オプション。デフォルト値を変更しない限り、サービスはコンソールに表示されるデフォルト値を使用します。
|
次のスクリーンショットは、最初のクラウド接続ポッドが Microsoft Azure にある場合の [Active Directory の登録] ウィンドウを示しています。フィールドには、NetBIOS 名が ENAUTO 、DNS ドメイン名が ENAUTO.com のサンプル Active Directory ドメインの値があります。
![サンプル値が入力された [Active Directory の登録] ウィンドウのスクリーンショット。](images/GUID-C9162EF6-D627-4FD9-92A9-05C2F931FFDF-low.png "サンプル値が入力された [Active Directory の登録] ウィンドウのスクリーンショット。")
ドメイン
ドメイン バインドの手順が成功すると、コンソールに [ドメイン参加] ダイアログ ボックスが自動的に表示されます。アカウントの認証情報には、前提条件に説明されているドメイン参加アカウントのガイドラインに準拠した Active Directory アカウントを使用します。
ベスト プラクティスとして、このウィザード手順の必須フィールドに入力します。このリリースでは、ドメイン参加アカウントは主に Microsoft Azure のポッドにある仮想マシンを含むシステム操作に使用されますが、この手順を完了すると、コンソールでスーパー管理者ロールを付与する次の手順を完了するように求められます。
重要: ドメイン バインドの手順が失敗し、ドメイン参加アカウントの追加に進み、システムがスーパー管理者ロールの手順に進む場合は、システムが次の手順に進んだとしても、登録プロセスは完全には完了しません。この状況が発生した場合は、「 Active Directory ドメイン登録の削除 」の手順に従ってから、ドメイン バインド フローを再度開始します。
-
[ドメイン参加] ダイアログ ボックスで、必要な情報を入力します。
オプション 説明 プライマリ DNS サーバの IP アドレス Horizon Cloud でマシン名を解決するために使用するプライマリ DNS サーバの IP アドレス。 Microsoft Azure のポッドの場合、この DNS サーバは、Microsoft Azure クラウド内のマシン名、および外部名を解決できる必要があります。 セカンダリ DNS サーバの IP アドレス (オプション)セカンダリ DNS サーバの IP アドレス デフォルトの組織単位 (OU) インポートされた仮想マシン、ファーム RDSH 仮想マシン、VDI デスクトップ インスタンスなど、ポッドのデスクトップ関連の仮想マシンで使用する Active Directory 組織単位 (OU)。Active Directory OU の形式は、 OU=NestedOrgName, OU=RootOrgName,DC=DomainComponentのようになります。システムのデフォルトはCN=Computersです。必要に応じて、CN=myexampleのようにデフォルトを変更できます。 注: ネストされた組織名の説明については、 ネストされた Active Directory ドメイン組織単位の使用に関する考慮事項を参照してください。入力した個々の OU は、エントリのOU=の部分を除いて、64 文字以内である必要があります。Microsoft は、個々の OU を 64 文字以下に制限しています。64 文字を超える OU パスで、個々の OU が 64 文字を超えないパスが有効です。ただし、個々の OU はそれぞれ 64 文字以内である必要があります。参加ユーザー名 および 参加パスワード コンピュータをその Active Directory ドメインに参加させる権限を持つ Active Directory のユーザー アカウント。ユーザー名とそれに関連付けられたパスワードを入力します。 注: ユーザー名のみを指定します。ここにドメイン名を含めないでください。 補助参加ユーザー名補助参加パスワード オプション。補助ドメイン参加アカウントを指定します。 指定したプライマリ ドメイン参加アカウントにアクセスできない場合、システムは、Microsoft Azure のポッドで、イメージ仮想マシンのインポート、ファーム RDSH インスタンスの作成、VDI デスクトップ インスタンスの作成など、ドメインに参加する必要がある操作に補助ドメイン参加アカウントを使用します。 前提条件に説明されているプライマリ ドメイン参加アカウントの同じガイドラインに準拠した Active Directory アカウントを使用します。両方のアカウントに 無期限 が設定されていない限り、この補助ドメイン参加アカウントの有効期限はプライマリ ドメイン参加アカウントと異なるようにします。プライマリと補助の両方のドメイン参加アカウントの有効期限が同時に切れると、ファーム RDSH 仮想マシンと VDI デスクトップ仮想マシンのプロビジョニングやイメージのシーリングなどのシステム操作が失敗します。 この時点で補助ドメイン参加アカウントを追加しない場合、後で追加できます。ここで追加した場合は、後で更新または削除することができます。追加できる補助ドメイン参加アカウントは 1 つのみです。 -
[保存] をクリックします。
ドメイン参加の手順が成功すると、[管理者の追加] ダイアログ ボックスが表示されます。この手順を続行して、Active Directory ドメインの管理者グループにスーパー管理者ロールを追加する必要があります。
重要: ドメイン参加の手順が失敗した場合、登録プロセスは完了していません。この状況が発生した場合は、「 Active Directory ドメイン登録の削除 」の手順を実行してから、手順 4 を再開します。
Active Directory グループへのスーパー管理者ロールの追加
- [管理者の追加] ダイアログ ボックスで、Active Directory 検索機能を使用し、このコンソールを使用して環境で管理アクションを実行する Active Directory 管理者グループを選択します。この顧客アカウントの Active Directory ドメインが設定されたので、この割り当てにより、少なくとも 1 つの Active Directory ドメインのユーザー アカウントに、このコンソールにログインするための権限が付与されます。
- [保存] をクリックします。
保存 をクリックすると、システムは自動的にログアウトします。ポッドを Active Directory ドメインに登録すると、Customer Connect アカウントの認証情報とともに Active Directory アカウントの使用を強制するために、再度ログインするように求められます。たとえば、今回は Customer Connect アカウントの認証情報を使用してログインし、次にスーパー管理者ロールを割り当てた Active Directory グループ内のユーザーの Active Directory アカウントの認証情報を使用してログインします。
重要: Active Directory グループをスーパー管理者ロールに割り当てた後は、このスーパー管理者ロールに別の管理者グループを追加していない限り、Active Directory システムから指定された管理者グループを削除したり、Active Directory システムに表示される GUID を変更したりしないでください。詳細については、「 Horizon Universal Console のどの部分を認証後にそのグループの個人に対して有効にするかを制御する Active Directory グループへの役割の割り当て」を参照してくださいを Horizon Cloud テナント環境に展開します。このスーパー管理者ロールは、どの Active Directory ユーザー アカウントが Horizon Cloud テナント アカウントにログインしてコンソールで管理操作を実行できるかを管理します。Active Directory システムからグループを削除したり、Active Directory システムでグループの GUID を変更したりしても、その変更は Horizon Cloud 制御プレーンに伝達されず、スーパー管理者の役割を持つ Active Directory グループに関する Horizon Cloud の認識が失われます。そのグループがこのスーパー管理者ロールに割り当てられている唯一のグループである場合、以前はスーパー管理者アクセス権を持っていた Active Directory アカウントは、管理操作を実行するためのアクセス権を使用して Horizon Cloud テナント アカウントにログインできなくなります。その時点で、ログインしてスーパー管理者ロールにグループを追加するために使用できるのは、ドメイン バインド アカウントと補助ドメイン バインド アカウントの認証情報のみです。
プロセスを完了した結果
ウィザードのすべての手順が完了すると、次の項目が配置されます。
- Active Directory ドメインは、この Horizon Cloud 顧客アカウントに関連付けられた最初のクラウド構成の Active Directory ドメインとしてクラウド プレーンに構成されます。
- Horizon Cloud には、Horizon Cloud ポッド用に、仮想マシンをドメインに参加させるシステム操作に必要なドメイン参加アカウントがあります。
- コンソールでの管理アクティビティにアクセスできるようになりました。
- コンソールにログインするときのログイン フローが変更され、Horizon Cloud テナントには最初に登録された Active Directory ドメインが含まれるようになりました。ログイン フローの概要については、 Horizon Cloud テナント環境への認証についてを参照してください。
- スーパー管理者ロールが付与されたグループ内のユーザーは、関連付けられた Customer Connect アカウントの認証情報を使用してログインすると、コンソールにアクセスして管理アクティビティを実行できます。これらの管理者が自分の Customer Connect アカウントの認証情報を使用して Horizon Cloud で認証できるようにするには、 Horizon Universal Console を使用して Horizon Cloud テナント環境にログインし、アクションを実行するための管理ロールを組織内の個人に付与するで説明されている手順を実行します。
- 登録済みの Active Directory ドメインのユーザー アカウントは、Microsoft Azure のポッドからのリソースを含む割り当てに対して選択できます。
- コンソールのヘルプ デスク機能は、その登録済みの Active Directory ドメインのユーザー アカウントで使用できます。
次の手順
この時点から、通常は次のタスクを実行します。
- 追加の補助バインド アカウントをこの Active Directory ドメイン構成に追加します。指定したプライマリ アカウントと最初のバインド アカウントがアクセス不可になった場合、システムは次の補助バインド アカウントを使用して Active Directory に接続します。プライマリ バインド アカウントが Active Directory ドメインでアクセス不可になった場合に、補助バインド アカウントを持つことにより、管理者ユーザーがコンソールからロックアウトされないようになります。Horizon Cloud でのクラウド構成の Active Directory ドメインの補助バインド アカウントの追加を参照してください。
- 環境を管理するために追加のユーザーにアクセス権を付与します。まず、関連付けられた Horizon Cloud ロールを持つ Customer Connect アカウントを追加してから、それらの Active Directory アカウントに適切な Horizon Cloud ロールを付与します。Horizon Universal Console を使用して Horizon Cloud テナント環境にログインし、アクションを実行するための管理ロールを組織内の個人に付与するおよびActive Directory テナント環境への認証後に、そのグループの個人に対して Horizon Universal Console のどの部分を有効にするかを制御するロールをその Active Directory グループに割り当てるを参照してください。
- [はじめに] ウィザードの手順を続行します。Horizon Cloud の「はじめに」ウィザード - 概要を参照してください。
- コンソールのダッシュボードおよびその他の領域に移動して、他の管理タスクを確認または実行します。第 1 世代テナント - 第 1 世代 Horizon Universal Console のツアーを参照してください。
- コンソールへの管理アクセス権を付与するユーザー、または割り当てを提供するエンド ユーザーがいる追加の Active Directory ドメインがある場合は、これらの Active Directory ドメインも登録できます。追加の Active Directory ドメインをクラウド構成の Active Directory ドメインとして Horizon Cloud テナント環境に登録するを参照してください。
- コンソールへの読み取り専用アクセス権を付与するこのドメイン内のユーザーにデモ管理者ロールを割り当てます。コンソールを使用して Horizon Cloud 環境で作業するためにユーザーに付与する 2 種類のロールに関するベスト プラクティスおよびActive Directory グループ内の個人が Horizon Cloud テナント環境に対して認証された後、その個人に対してコンソールのどの部分を有効にするかを制御するロールをそのグループに割り当てるを参照してください。
注意：
スーパー管理者のロールが割り当てられている Active Directory グループが 1 つしかない場合は、そのグループを Active Directory サーバから削除しないでください。変更すると、以降のログインで問題が発生する可能性があります。
このページは役に立ちましたか?