オプションで、Horizon Cloud のユーザー アカウントに追加の Active Directory ドメインを登録できます。Active Directory ドメインを登録すると、そのドメインは、その Horizon Cloud 顧客アカウントに関連付けられているクラウド構成ドメインのセットに追加されます。ドメインがクラウド構成のドメインのセットにある場合、そのドメインのユーザー アカウントとグループがシステムが提供する機能を使用できるようにすることができます。たとえば、ヘルプ デスク管理者がヘルプ デスク機能を使用し、エンド ユーザーがデスクトップ関連の機能を使用するなどです。
重要: ドメイン バインドおよびドメイン参加アカウントに関連する バインド ユーザー名 および 参加ユーザー名 テキスト ボックスに、アカウント名自体( ouraccountname など)を指定します。これは、ドメイン名なしのユーザー ログイン名などです。
メモ: 配布グループは、セキュリティ グループの下にネストされていてもサポートされません。Active Directory グループを作成する場合は、グループ タイプ に セキュリティ を常に選択します。
テナントで Horizon Cloud on Microsoft Azure と LDAPS のサポートで説明されている機能を使用できるようになっている場合、手順 3 のコンソールの画面はここで説明する画面とは異なります。テナントにその有効化がある場合は、代わりにそのページに従ってください。
前提条件
ドメイン参加アカウントの手順が失敗しないようにするには、Active Directory インフラストラクチャが正確な時刻ソースと同期していることを確認します。このような障害が発生した場合は、Horizon Cloud のサポートにお問い合わせください。ドメイン バインドの手順は成功したが、ドメイン参加の手順に失敗した場合は、ドメインをリセットしてから、タイム ソースを調整する必要があるかどうかを調べることができます。ドメインをリセットするには、「 Active Directory ドメイン登録の削除」の手順を参照してください。
必要なプライマリおよび補助ドメイン バインド アカウントについて、 Horizon Cloud の運用に必要なサービス アカウントに記載されている要件を満たす 2 つの Active Directory ユーザー アカウントの情報があることを確認します。
注意：
偶発的なロックアウトによって、クラウドベースのコンソールにログインして Horizon Cloud 環境を管理できなくなるのを防ぐには、ドメイン バインド アカウントの期限切れ、変更、ロックアウトが発生しないようにする必要があります。このタイプのアカウント構成を使用する必要があります。これは、システムではプライマリ ドメイン バインド アカウントをサービス アカウントとして使用して Active Directory ドメインをクエリし、コンソールにログインするための認証情報を検証するためです。何らかの理由でプライマリ ドメイン バインド アカウントにアクセスできない場合、システムは補助ドメイン バインド アカウントを使用します。プライマリ/補助の両方のドメイン バインド アカウントが期限切れかアクセス不能になると、コンソールにログインして構成を更新し、アクセス可能なドメイン バインド アカウントを使用することができません。
プライマリおよび補助ドメイン バインド アカウントには常にスーパー管理者ロールが割り当てられます。これにより、コンソールで管理アクションを実行するためのすべての権限が付与されます。スーパー管理者権限を必要としないユーザーは、指定したドメイン バインド アカウントにアクセスできないようにする必要があります。
ドメイン参加アカウントの場合は、アカウントが Horizon Cloud の運用に必要なサービス アカウントに記載されている要件を満たしていることを確認します。
注意：
- スーパー管理者のロールが割り当てられている Active Directory グループが 1 つしかない場合は、そのグループを Active Directory サーバから削除しないでください。変更すると、以降のログインで問題が発生する可能性があります。
- ポッド フリートに 1600.0 より古いマニフェストを実行している Microsoft Azure の Horizon Cloud ポッドがある場合は、ドメイン参加アカウントにスーパー管理者ロールを付与する必要があります。2298 より前のマニフェストはサポート対象外であり、 KB86476 の説明に従って更新する必要があることに注意してください。
Active Directory ドメインの NetBIOS 名と DNS ドメイン名があることを確認します。これらの値は、このワークフローの最初のステップでコンソールの Active Directory の登録 ウィンドウに入力します。これらの値を見つける方法の例については、 Horizon Cloud の Active Directory 登録ワークフローの NETBIOS 名と DNS ドメイン名フィールドに必要な情報の検索を参照してください。
注意：
追加の Active Directory ドメインを登録する場合は、クラウド接続されたすべてのポッドがそのドメインを認識できることを確認してください。同じ顧客アカウント レコードのすべてのポッドは、そのアカウントに登録されている同じクラウド構成の Active Directory ドメインのセットに到達できる必要があります。すべてのポッドは同じ Active Directory サーバに到達できる必要があります。また、DNS 構成でこれらのクラウド構成の Active Directory ドメインをすべて解決する必要があります。
手順
-
コンソールで、 設定 > Active Directory を選択します。
-
登録 をクリックします。
-
[Active Directory の登録] ダイアログ ボックスで、必要な登録情報を入力します。
重要: 前提条件の説明に従って、プライマリおよび補助ドメイン バインド アカウントのガイドラインに準拠する Active Directory アカウントを使用します。
オプション 説明 NETBIOS 名 - クラウド接続された Horizon ポッドがある場合、このステップでは、Horizon ポッドが認識できるすべての Active Directory ドメインの名前が入力された選択メニューが表示されます。最初に登録する Active Directory ドメインを選択します。
- クラウド接続されたポッドのみが Microsoft Azure にある場合、このステップではテキスト ボックスが表示されます。登録する Active Directory ドメインの NetBIOS 名を入力します。通常、この名前にはピリオドは含まれません。Active Directory ドメイン環境から使用する値を見つける方法の例については、 NETBIOS 名と DNS ドメイン名情報の取得を参照してください。
ドメイン名 - クラウド接続された Horizon ポッドがある場合、システムは NETBIOS 名 に選択された Active Directory ドメインの完全修飾ドメイン名を自動的に表示します。
- クラウド接続されたポッドのみが Microsoft Azure にある場合、テキスト ボックスが表示されます。NETBIOS 名 に指定した Active Directory ドメインの完全修飾 DNS ドメイン名を入力します。Active Directory ドメイン環境から使用する値を見つける方法の例については、 NETBIOS 名と DNS ドメイン名情報の取得を参照してください。
プロトコル サポートされているプロトコル LDAPが自動的に表示されます。バインド ユーザー名 プライマリ LDAP バインド アカウントとして使用するドメイン内のユーザー アカウント。 注: ユーザー名のみを指定します。ここにドメイン名を含めないでください。 バインド パスワード バインド ユーザー名 テキスト ボックスの名前に関連付けられているパスワード。 補助アカウント #1 バインド ユーザー名 フィールドと バインド パスワード フィールドに、補助 LDAP バインド アカウントとして使用するドメイン内のユーザー アカウントとそれに関連付けられたパスワードを入力します。 注: ユーザー名のみを指定します。ここにドメイン名を含めないでください。 -
ドメイン バインド をクリックします。
ドメイン バインドの手順が成功すると、[ドメイン参加] ダイアログ ボックスが表示され、次の手順を続行できます。
-
[ドメイン参加] ダイアログ ボックスで、必要な情報を入力します。
メモ: 前提条件に説明されているドメイン参加アカウントのガイドラインに準拠した Active Directory アカウントを使用します。
オプション 説明 プライマリ DNS サーバの IP アドレス Horizon Cloud でマシン名を解決するために使用するプライマリ DNS サーバの IP アドレス。 Microsoft Azure のポッドの場合、この DNS サーバは、Microsoft Azure クラウド内のマシン名、および外部名を解決できる必要があります。 セカンダリ DNS サーバの IP アドレス (オプション)セカンダリ DNS サーバの IP アドレス デフォルトの組織単位 (OU) インポートされた仮想マシン、ファーム RDSH 仮想マシン、VDI デスクトップ インスタンスなど、ポッドのデスクトップ関連の仮想マシンで使用する Active Directory 組織単位 (OU)。Active Directory OU の形式は、 OU=NestedOrgName, OU=RootOrgName,DC=DomainComponentのようになります。システムのデフォルトはCN=Computersです。必要に応じて、CN=myexampleのようにデフォルトを変更できます。 注: ネストされた組織名の説明については、 ネストされた Active Directory ドメイン組織単位の使用に関する考慮事項を参照してください。入力した個々の OU は、エントリのOU=の部分を除いて、64 文字以内である必要があります。Microsoft は、個々の OU を 64 文字以下に制限しています。64 文字を超える OU パスで、個々の OU が 64 文字を超えないパスが有効です。ただし、個々の OU はそれぞれ 64 文字以内である必要があります。参加ユーザー名 コンピュータをその Active Directory ドメインに参加させる権限を持つ Active Directory のユーザー アカウント。 注: ユーザー名のみを指定します。ここにドメイン名を含めないでください。 参加パスワード 参加ユーザー名 テキスト ボックスの名前に関連付けられているパスワード。 -
補助ドメイン参加アカウントを指定します。
指定したプライマリ ドメイン参加アカウントにアクセスできない場合、システムは、Microsoft Azure のポッドで、イメージ仮想マシンのインポート、ファーム RDSH インスタンスの作成、VDI デスクトップ インスタンスの作成など、ドメインに参加する必要がある操作に補助ドメイン参加アカウントを使用します。
注：
- 前提条件に説明されているプライマリ ドメイン参加アカウントの同じガイドラインに準拠した Active Directory アカウントを使用します。両方のアカウントに 無期限 が設定されていない限り、この補助ドメイン参加アカウントの有効期限はプライマリ ドメイン参加アカウントとは異なるようにします。プライマリと補助の両方のドメイン参加アカウントの有効期限が同時に切れると、ファーム RDSH 仮想マシンと VDI デスクトップ仮想マシンのプロビジョニングやイメージのシーリングなどのシステム操作が失敗します。
- Horizon Cloud に登録する Active Directory ごとに、補助ドメイン参加アカウントを 1 つだけ追加できます。
- この時点で補助ドメイン参加アカウントを追加しない場合は、後でコンソールを使用して追加できます。
- このアカウントは後で更新または削除できます。
- システムがその仮想マシンで補助ドメイン参加アカウントを使用するには、デスクトップ関連仮想マシン(シールド イメージ、ファーム RDSH インスタンス、または VDI デスクトップ インスタンスなど)のエージェント関連ソフトウェアがバージョン 18.1 以降である必要があります。
オプション 説明 補助参加ユーザー名 システムをその Active Directory ドメインに参加させる権限を持つ Active Directory のユーザー アカウント。 重要: このフィールドには ouraccountnameなどのアカウント名のみを指定します。これは、ドメイン名なしのユーザー ログイン名などです。スラッシュまたはアットマークを入力すると、エラーが表示されます。補助参加パスワード 補助参加ユーザー名 テキスト ボックスの名前に関連付けられているパスワード。 -
[保存] をクリックします。
この時点で、ドメイン参加の手順が成功すると、[管理者の追加] ダイアログ ボックスが表示され、次の手順を続行できます。
-
[スーパー管理者の追加] ダイアログ ボックスで、Active Directory 検索機能を使用し、コンソールを使用して環境で管理アクションを実行する Active Directory 管理者グループを選択します。
この顧客アカウントの Active Directory ドメインが設定されたので、この割り当てにより、少なくとも 1 つの Active Directory ドメインのユーザー アカウントに 、標準のログイン ワークフロー を使用してログインするための権限が付与されます。
重要: ポッド フリートに 1600.0 より古いマニフェストを実行している Microsoft Azure の Horizon Cloud ポッドがある場合は、前提条件の説明に従って、ドメイン参加アカウントを含む Active Directory グループをスーパー管理者ロールに追加する必要があります。ポッド フリートにこれらの古いマニフェストで実行されているポッドがある場合、ドメイン参加アカウントがスーパー管理者ロールを持つどの Active Directory グループにも属していない場合、それらのポッドで仮想マシンのインポート ワークフローを使用すると失敗する可能性があります。
-
[保存] をクリックします。
タスクの結果
これで、次の項目が配置されました。
- Active Directory ドメインは、この Horizon Cloud ユーザー アカウントに関連付けられているクラウド構成の Active Directory ドメインの 1 つです。
- Microsoft Azure のポッドの場合、Horizon Cloud には、デスクトップ関連の仮想マシンをドメインに参加させるシステム操作に必要なドメイン参加アカウントがあります。
- Customer Connect 認証情報を使用して Horizon Cloud にログインした後、Active Directory ログイン ウィンドウで、Horizon Cloud ロールが割り当てられた Active Directory 内のユーザーは、Active Directory アカウントに対応するドメインを選択できます。
- スーパー管理者ロールが付与されたグループ内のユーザーは、最初のログイン画面で Customer Connect 認証情報を使用してログインすると、コンソールにアクセスして管理アクティビティを実行できます。これらの管理者が最初のログイン手順で Customer Connect 認証情報を使用できるようにするには、 Horizon Universal Console を使用して Horizon Cloud テナント環境にログインしてアクションを実行するための管理ロールを組織内の個人に付与するで説明されている手順を実行します。
- 登録済みの Active Directory ドメインのユーザー アカウントは、Microsoft Azure のポッドからのリソースを含む割り当てに対して選択できます。
- コンソールのヘルプ デスク機能は、その登録済みの Active Directory ドメインのユーザー アカウントで使用できます。
次のタスク
この時点から、通常は次のタスクを実行します。
- このドメインの追加ユーザーに、環境を管理するためのアクセス権を付与します。まず、関連付けられた Horizon Cloud ロールを持つ Customer Connect アカウントを追加してから、それらの Active Directory アカウントに適切な Horizon Cloud ロールを付与します。Horizon Universal Console を使用して Horizon Cloud テナント環境にログインし、アクションを実行するための管理ロールを組織内の個人に付与するおよびActive Directory テナント環境への認証後に、そのグループの個人に対して Horizon Universal Console のどの部分を有効にするかを制御するロールをその Active Directory グループに割り当てるを参照してください。
- コンソールへの読み取り専用アクセス権を付与するこのドメイン内のユーザーにデモ管理者ロールを割り当てます。コンソールを使用して Horizon Cloud 環境で作業するためにユーザーに付与する 2 種類のロールに関するベスト プラクティスおよびActive Directory グループ内の個人が Horizon Cloud テナント環境に対して認証された後、その個人に対してコンソールのどの部分を有効にするかを制御するロールをそのグループに割り当てるを参照してください。
このページは役に立ちましたか?