このトピックでは、Universal Broker で使用するために Horizon ポッド内の Unified Access Gateway インスタンスを構成する方法について説明します。Universal Broker に必要なトンネル サーバとプロトコルのリダイレクトをサポートするように、各 Unified Access Gateway インスタンスで JSON Web Token 設定を構成する手順に従います。
メモ: 次の手順は、Horizon Connection Server テクノロジー ベースの Horizon ポッド内の Unified Access Gateway インスタンスにのみ必要です。Microsoft Azure の Horizon Cloud ポッドの場合、JSON Web トークン設定はポッドのデプロイ時に自動的に構成されます。Horizon Cloud ポッド(Horizon Connection Server テクノロジー ベースではない)内の Unified Access Gateway インスタンスの JSON Web トークンの構成を追加で行う必要はありません。
デフォルトの設計では、Universal Broker は、テナントのポッド フリート内のすべてのポッドでまったく同じ 2 要素認証設定を使用することを想定しています。また、設計上、Universal Broker が 2 要素認証設定で構成されている場合、認証要求を形成して外部の Unified Access Gateway インスタンスに渡し、そのインスタンスの設定で構成されている認証サーバと通信して、特定の認証アクションを処理します。次に、Unified Access Gateway は認証サービスの応答を Universal Broker にリレーします。
したがって、Universal Broker と 2 要素認証を組み合わせた認証が必要な場合は、テナントのポッド フリート内のすべてのポッドのすべての外部 Unified Access Gateway インスタンスで同じ認証サービスを構成する必要があります。Horizon ポッドのみで構成されるフリートの場合、Universal Broker は、すべての Unified Access Gateway インスタンスで RADIUS サービスまたは RSA SecurID サービスの使用をサポートできます。
ただし、テナントに Horizon ポッドと Horizon Cloud ポッドの両方で構成される混合ポッド フリートがある場合、使用可能なオプションは、Horizon Cloud on Microsoft Azure のデプロイが RSA SecurID オプションを使用可能にする条件を満たしているかどうかによって異なります。すべての Horizon Cloud ポッドがマニフェスト 3139.x 以降で、[ポッドを編集] ウィザードに RSA SecurID オプションが表示されている場合は、RSA SecurID タイプを使用するようにすべてのポッドを構成するオプションがあります。それ以外の場合は、RADIUS を使用して、すべてのポッド フリートで同一の認証サービスを使用する要件を満たす必要があります。
前提条件
- サポートするエンド ユーザーのユースケースに応じて、テナントのポッド フリート内の各 Horizon ポッドで適切な Unified Access Gateway アプライアンスのセットが構成されていることを確認します。ユースケースの簡単な説明については、 Horizon ポッドの Universal Broker システム要件を参照してください。
- これらの Unified Access Gateway アプライアンスがバージョン 3.8 以降を実行しており、 Horizon ポッドの Universal Broker システム要件で説明されている他のすべての関連する Unified Access Gateway 要件を満たしていることを確認します。
- 各 Unified Access Gateway インスタンスとそれぞれのポッドとのペアリングを検証するには、Unified Access Gateway インスタンスに直接接続し、仮想デスクトップにアクセスできることを確認します。
手順
-
Unified Access Gateway 管理コンソールにログインします。
-
手動構成 セクションで、選択 をクリックします。
-
詳細設定 で、JWT 設定 のギアボックスをクリックします。
-
ギアボックスをクリックした後:
- Unified Access Gateway ソフトウェアが 2209 より前のバージョンである場合は、 追加 をクリックします。
- Unified Access Gateway ソフトウェアが 2209 以降の場合は、 JWT コンシューマの追加 をクリックします。Unified Access Gateway 管理ユーザー インターフェイスは、バージョン 2209 で初めて変更されました。
-
表示されるユーザー インターフェイス ボックスで、設定を指定します。
設定 説明 名前 構成セットのわかりやすい名前を入力します。 発行者 Horizon Console に表示される Horizon ポッドのクラスタ名を入力します。 注意: このフィールドは、Unified Access Gateway 管理ユーザー インターフェイスでは大文字と小文字が区別されます。 クラスタ名は、Horizon Console から取得したとおりに正確に入力する必要があります。 Unified Access Gateway ユーザー インターフェイスでは、フィールドの大文字と小文字が区別されていても警告は表示されず、大文字と小文字が区別されても検証されません。 この大文字と小文字の区別は、Horizon Consoleに表示される Cluster という単語にも適用されます。 Horizon Consoleに大文字の C と小文字の luster という単語が表示されている場合は、この 発行者 フィールドに正確に一致させ、この 発行者 フィールドに Clusterと入力する必要があります。 Horizon Consoleに表示される名前と完全に一致する 発行者 フィールドに大文字と小文字が区別される正確な名前が入力されていないことを確認すると、Universal Brokerのダウンストリームで問題が発生し、エンド ユーザーは Universal Broker FQDN を使用してデスクトップとアプリケーションを起動できなくなります。 Horizon Consoleでポッドのクラスタ名を見つけるには、Horizon Consoleの ダッシュボード 領域に移動し、ユーザー インターフェイスの上部の垂直領域を確認します。 以下は、Horizon Console でのポッドのクラスタ名の場所を示しています。 表示名の クラスタ の部分が、先頭の大文字と小文字の組み合わせになっていることに注目してください。 Unified Access Gateway 管理ユーザー インターフェイスのこの 発行者 フィールドに表示された名前を正確に入力する必要があります。発行者 フィールドには、名前が正しく入力されているかどうかの検証は行われません。
動的パブリック キー URL ここで入力する値は、ポッドの Connection Server ホスト名、Connection Server FQDN、またはローカルのロード バランサ(ポッドに複数のゲートウェイ インスタンスがある場合)から取得します。 https://<Horizon ポッドの FQDN>/broker/publicKey/protocolredirectionと入力します。ここで<Horizon ポッドの FQDN> はポッドの一意の FQDN(完全修飾ドメイン名)に置き換えられます。通常、FQDN は次のように定義されます。- ポッドに Unified Access Gateway インスタンスが 1 つしかない場合は、そのインスタンスのペアリングされた Connection Server のアドレスを FQDN として指定します。
- ポッドに複数の Unified Access Gateway インスタンスがある場合は、ローカル ロード バランサのアドレスを FQDN として指定します。
パブリック キー URL のサムプリント このフィールドは、認証にパブリック キーの URL を使用することを指定します。 ポッドの Connection Server 証明書を認証に使用するには、前述の 動的パブリック キー URL に使用した Connection Server の Horizon ポッドの Connection Server 証明書の SHA1 サムプリントを入力します。 注: 認証には パブリック キー URL のサムプリント または 信頼できる証明書 のいずれかを構成できます。両方のオプションを構成する必要はありません。 信頼されている証明書 Horizon ポッドの証明書以外の証明書を認証に使用するには、(+) アイコンをクリックして、信頼されている証明書を追加します。 注: 認証には 信頼できる証明書 または パブリック キー URL サムプリント のいずれかを構成できます。両方のオプションを構成する必要はありません。 パブリック キーの更新間隔 最適な結果を得るには、 900と入力します。この値は、更新間隔を 900 秒(つまり 15 分)に設定します。静的パブリック キー このオプションはデフォルト値のままにします。 -
保存 をクリックし、閉じる をクリックします。
-
Universal Broker に 2 要素認証を使用する場合は、認証設定 の 表示 トグルを有効にします。次に、Universal Broker でサポートされている 2 要素認証サービスの 1 つの設定を有効にして構成します。現在サポートされているサービスは、RADIUS と RSA SecurID の 2 つです。
メモ: 参加しているすべてのポッドの外部 Unified Access Gateway インスタンスで適切な 2 要素認証サービスを構成する必要があります。参加しているポッド内のすべての外部 Unified Access Gateway インスタンスの構成は互いに一致する必要があり、他のすべての参加しているポッドの外部 Unified Access Gateway インスタンスの構成と同じである必要があります。そうしないと、Universal Broker サービスへの認証が失敗します。
たとえば、Universal Broker で構成された Horizon ポッドに RADIUS 認証を使用する場合は、参加しているすべての Horizon ポッドのすべての外部 Unified Access Gateway インスタンスで同じ RADIUS サービスを構成する必要があります。一部の参加しているポッドで RADIUS を構成し、他の参加しているポッドで RSA SecurID を構成することはできません。
このページは役に立ちましたか?