シングルポッド仲介タイプ用に構成された本番システムでは、Horizon Cloud ポッドのマネージャ仮想マシンで SSL 証明書を構成するための主な使用事例は、Access をポッドに統合することです。Access Connector は、ポッド マネージャ仮想マシンへの SSL 接続を信頼できる必要があります。これが、これらのポッドと Access の統合の仕組みです。Access Connector と統合するこの特定のユースケースでは、ポッドのマネージャ仮想マシンに SSL 証明書を直接設定する必要があります。
ポッドがシングルポッド仲介環境にある場合、Access と Microsoft Azure の Horizon Cloud ポッドの統合で重要となるのは、ポッドでプロビジョニングされたデスクトップおよびリモート アプリケーションを使用するために Access で設定した Horizon Cloud 仮想アプリケーションのコレクションを同期するように Access Connector を構成することです。Access Connector は、この同期を行うためにポッド マネージャ仮想マシンと通信する必要があります。したがって、ポッドは、Access Connector が証明書を信頼するように、有効な SSL 証明書を提示する必要があります。この統合の詳細については、 シングルポッド仲介を使用した Horizon Cloud 環境 — Microsoft Azure の環境の Horizon Cloud ポッドと Access の統合を参照してください。
ポッドの詳細ページの [ポッド マネージャのロード バランサの IP アドレス] フィールドと Access Connector の SSL 証明書の要件との関係
ポッドの詳細ページの ポッド マネージャのロード バランサの IP アドレス ラベルの横に表示される数値の IP アドレスは、ポッド マネージャ仮想マシンで構成可能な有効な信頼された SSL 証明書を作成するために必要な情報の重要部分です。次のスクリーンショットは、デプロイされたポッドの詳細ページで ポッド マネージャのロード バランサの IP アドレス ラベルが表示される場所を示しています。
信頼される SSL 証明書は、DNS サーバでそのフィールドに表示される IP アドレスにマッピングする完全修飾ドメイン名 (FQDN) に基づいている必要があります。このマッピングは、その FQDN を使用するように構成されたエンド ユーザーのクライアントがポッドへの信頼された接続を確立できるようにするために必要です。
では、その数値の IP アドレスに関連するものは何でしょうか。これは、ポッドのテナント サブネットからのプライベート IP アドレスであり、ポッドのポッド マネージャ仮想マシンの Azure ロード バランサに関連付けられます。
ポッド マネージャのロード バランサの IP アドレスについて
現在サポートされているすべてのポッド マニフェストについて、 ポッド マネージャのロード バランサの IP アドレス ラベルに表示される数値の IP アドレスは、ポッドの Azure ロード バランサ リソースの、数値のプライベート IP アドレスです。ポッド アーキテクチャには、ポッドのテナント サブネットからのプライベート IP アドレスを持つポッドの Azure ロード バランサが含まれています。そのポッドの Azure ロード バランサは、その Azure ロード バランサの背後に存在するポッド マネージャ仮想マシンへの SSL 通信のポイントです。
高可用性が有効になっているポッドの場合、管理コンソールで 証明書のアップロード をクリックして SSL 証明書ファイルをアップロードすると、Horizon Cloud はアクティブなポッド マネージャ仮想マシンで構成を実行し、証明書の構成を他のポッド マネージャ仮想マシンにコピーします。
高可用性が有効になっていないポッドの場合(典型的ではないケース)、そのポッドには Azure ロード バランサの背後に単一のポッド マネージャ仮想マシンがあります。この場合、コンソールで 証明書のアップロード をクリックすると、Horizon Cloud はそのポッド マネージャ仮想マシンで証明書を構成します。
次のスクリーンショットは、ポッドの Azure ロード バランサのプライベート IP アドレスが、上記の例のコンソールのポッドの詳細ページにある ポッド マネージャのロード バランサの IP アドレス ラベルの横に表示される IP アドレスと同じであることを示しています。
ポッドのマネージャ仮想マシンで SSL 証明書を構成する方法
管理コンソールを使用して、ポッド マネージャ仮想マシンで SSL 証明書を構成します。詳細な手順については 、Access Connector アプライアンスを Microsoft Azure の Horizon Cloud ポッドと統合する場合など、ポッド マネージャ仮想マシンで SSL 証明書を直接構成して、Connector がポッド マネージャ仮想マシンへの接続を信頼できるようにするを参照してください。これらの手順を実行する前の前提条件については、 Horizon Universal Console のポッド証明書のアップロード ワークフローを実行して、Horizon Cloud ポッドのマネージャ仮想マシンで SSL 証明書を構成するための前提条件を参照してください。
ポッドのマネージャ仮想マシンで SSL 証明書の構成が必要になる一般的なシナリオ
これらのシナリオは事前検証に適している場合がありますが、本番環境では使用しないことをお勧めします。本番システムでは、ポッドでプロビジョニングされたリソースへのエンドユーザー接続をサポートする内部および外部ゲートウェイ構成の Horizon Cloud 機能を活用する必要があります。VPN 経由など、企業のネットワーク内部のエンドユーザー接続の場合は、ポッドに内部 Unified Access Gateway 構成が必要です。インターネット経由のエンドユーザー接続の場合は、ポッドに外部 Unified Access Gateway 構成が必要です。これらの構成をポッドに追加する手順については、 デプロイされた Horizon Cloud ポッドへのゲートウェイ構成の追加を参照してください。
| シナリオ | 説明 |
|---|---|
| 外部ゲートウェイ構成のみでデプロイされ、内部 Unified Access Gateway 構成なしでデプロイされたポッド | このシナリオでは、インターネットを介したエンド ユーザーは、デプロイされた外部ゲートウェイ構成を介してポッドでプロビジョニングされたリソースに到達しますが、企業のネットワークの内部のユーザーがポッドでプロビジョニングされたリソースに到達するために使用するパラレルの内部ゲートウェイ構成はありません。内部 Unified Access Gateway 構成がない場合、これらの内部ユーザーはクライアント接続がポッドに直接到達するようにポイントする必要があります。ポッドに直接アクセスするには、ポッドの詳細ページの ポッド マネージャのロード バランサの IP アドレス ラベルの横に表示されている IP アドレス、または DNS でその表示されている IP アドレスにマッピングする FQDN にクライアントをポイントします。 |
| ゲートウェイ構成なしでポッドがデプロイされる(Unified Access Gateway 仮想マシンがゼロ) | このシナリオでは、ポッドがプロビジョニングされたリソースへのすべてのエンド ユーザー接続で、オペレーティング システム固有の Horizon Client のいずれかを使用してポッドに直接アクセスする必要があります。ポッドに直接アクセスするには、ポッドの詳細ページの ポッド マネージャのロード バランサの IP アドレス ラベルの横に表示されている IP アドレス、または DNS でその表示されている IP アドレスにマッピングする FQDN にクライアントをポイントします。 注意: オペレーティング システム固有の Horizon Client のいずれかを使用する場合とは異なり、ブラウザをポッドに直接ポイントすると、コンソールで 証明書のアップロード アクションを使用してポッドのマネージャ仮想マシンで SSL 証明書を構成した場合でも、そのブラウザ接続は信頼されていない接続として動作します。ブラウザにポッドの FQDN を直接入力すると、ブラウザは Horizon Web Client (Blast) 接続タイプを使用して接続されます。また、Horizon Web Client (Blast) の動作方法により、ブラウザはポッドに直接接続する際に一般的な信頼されていない証明書エラーを表示します。信頼されていない証明書のエラーが表示されるのを回避するには、ポッドでゲートウェイを構成し、それらのブラウザ接続が適切なゲートウェイ構成を通過できるようにする必要があります。すなわち、企業ネットワークの外側にいるエンド ユーザーの場合は外部ゲートウェイ構成、企業ネットワークの内側にいるエンド ユーザーの場合は内部ゲートウェイ構成です。FQDN をインターネットに公開したくない場合は、内部ゲートウェイ構成を使用します。内部ゲートウェイ構成では、企業のネットワーク内にいるエンド ユーザーが接続できる Microsoft 内部ロード バランサを使用します。デプロイされた Horizon Cloud ポッドへのゲートウェイ構成の追加を参照してください。 |
このページは役に立ちましたか?