Horizon Cloud の運用に必要なサービス アカウント

Horizon Cloud では、Active Directory (AD) ドメイン内の 2 つのアカウントをサービス アカウントとして使用する必要があります。このトピックでは、これら 2 つのアカウントが満たす必要がある要件について説明します。

Horizon Cloud では、これら 2 つのサービス アカウントとして使用する 2 つの AD アカウントを指定する必要があります。

• Active Directory ドメインでルックアップを実行するために使用されるドメイン バインド アカウント。

• コンピュータ アカウントをドメインに参加させ、Sysprep 操作を実行するために使用されるドメイン参加アカウント。

  メモ: Microsoft Azure のポッドの場合、システムは、Microsoft Azure Marketplace からのイメージのインポート、ファーム RDSH インスタンスの作成、VDI デスクトップ インスタンスの作成など、仮想マシンをドメインに参加させる必要のある操作でこのドメイン参加アカウントを使用します。

これらのサービス アカウントに指定する Active Directory アカウントが、Horizon Cloud の運用に必要な次の要件を満たしていることを確認する必要があります。最初のポッドをテナントにオンボーディングした後、クラウドベースの管理コンソールを使用してこれらのアカウントの認証情報を指定します。

重要：

• これらのサービス アカウントは、Horizon Cloud Active Directory ドメイン登録以外の構成では使用しないでください。これらのサービス アカウントを他の構成で再利用すると、予期しない結果が発生する可能性があります。たとえば、Access Connector の構成設定でこの同じドメイン バインド アカウントを再利用しないでください。そうすると、ドメイン バインド アカウントに関する予期しない通知が Horizon Universal Console に表示される可能性があります。
• ここに記述されているとおりに、OU およびオブジェクトのうちユーザーが使用するものや、システムが使用することが予想されるものはすべて、ドメイン バインドおよびドメイン参加アカウントに引き続き権限が付与されていることを確認する必要があります。Horizon Cloud は、環境で使用する Active Directory グループを事前に入力したり、予測したりすることはできません。コンソールを使用して、ドメイン バインド アカウントとドメイン参加アカウントで Horizon Cloud を構成する必要があります。

注意：

すべての権限を個別に設定する代わりに、アカウントにフル コントロールを設定することもできますが、権限を個別に設定することをお勧めします。

ドメイン バインド アカウント - 必須の特性

• ドメイン バインド アカウントの期限切れ、変更、ロックアウトはできません。このタイプのアカウント構成を使用する必要があります。これは、システムでは Active Directory にクエリを実行するためにプライマリ ドメイン バインド アカウントがサービス アカウントとして使用されるためです。何らかの理由でプライマリ ドメイン バインド アカウントにアクセスできない場合、システムは補助ドメイン バインド アカウントを使用します。プライマリ ドメイン バインド アカウントと補助ドメイン バインド アカウントが両方とも期限切れかアクセス不能になると、クラウドベースのコンソールにログインして構成を更新することができません。

  重要: プライマリ/補助の両方のドメイン バインド アカウントが期限切れかアクセス不能になると、コンソールにログインして、有効なドメイン バインド アカウント情報で構成を更新することができなくなります。プライマリまたは補助ドメイン バインド アカウントで 有効期限なし を設定しない場合は、両方に異なる有効期限を設定する必要があります。有効期限が近づいたら常に追跡し、有効期限の時刻に達する前に Horizon Cloud ドメイン バインド アカウント情報を更新する必要があります。

• ドメイン バインド アカウントには、sAMAccountName 属性が必要です。sAMAccountName 属性は 20 文字以下にする必要があります。また、次の文字を含めることはできません: "/ \ [ ] : ; |= , + * ?< \>

• ドメイン バインド アカウントには常にスーパー管理者ロールが割り当てられます。これにより、コンソールで管理アクションを実行するためのすべての権限が付与されます。スーパー管理者権限を必要としないユーザーは、ドメイン バインド アカウントにアクセスできないようにする必要があります。コンソールで使用されるロールの詳細については、 Horizon Universal Console を使用して Horizon Cloud 環境で作業するためにユーザーに付与する 2 種類のロールに関するベスト プラクティスを参照してください。

ドメイン バインド アカウント - 必要な Active Directory 権限

ドメイン バインド アカウントには読み取り権限が付与されている必要があります。Horizon Cloud のサービスとしてのデスクトップ操作(エンド ユーザーへのデスクトップ仮想マシンの割り当てなど)で使用することが予想される Active Directory 組織単位 (OU) の AD アカウントをすべて検索できる権限が必要です。ドメイン バインド アカウントには、Active Directory からオブジェクトを列挙する機能が必要です。ドメイン バインド アカウントには、Horizon Cloud で使用すると予想されるすべての OU およびオブジェクトに対する次の権限が必要です。

• コンテンツの一覧表示
• すべてのプロパティの読み取り
• 権限
• tokenGroupsGlobalAndUniversal の読み取り([すべてのプロパティの読み取り] 権限によって暗黙に含まれる)

重要: 一般的に、ドメイン バインド アカウントには、Microsoft Active Directory デプロイで認証されたユーザーに通常付与される、デフォルトの特別な設定は不要の読み取りアクセス関連の権限が付与されている必要があります。設定不要の Microsoft Active Directory デプロイでは、通常、認証されたユーザーに付与されるデフォルト設定により、標準ドメイン ユーザー アカウントは、Horizon Cloud がドメイン バインド アカウントに必要な列挙を行うことができます。ただし、組織の Active Directory 管理者が通常ユーザーの読み取りアクセス関連の権限をロックダウンすることを選択した場合は、それらの Active Directory 管理者に、Horizon Cloud に使用するドメイン バインド アカウントの認証済みユーザーの標準デフォルトを保持するように要求する必要があります。

ドメイン参加アカウント - 必須の特性

• ドメイン参加アカウントは変更できず、ロックアウトすることもできません。

• アカウントのユーザー名に空白を含めることはできません。名前に空白が含まれていると、そのアカウントに依存するシステム操作で予期しない結果が発生します。

• ドメイン参加アカウントには、sAMAccountName 属性が必要です。sAMAccountName 属性は 20 文字以下にする必要があります。また、次の文字を含めることはできません: "/ \ [ ] : ; |= , + * ?< \>

• 次の条件のうち、少なくとも 1 つを満たしていることを確認します。

  • Active Directory で、ドメイン参加アカウントを 無期限 に設定します。
  • または、最初のドメイン参加アカウントとは異なる有効期限を持つ補助ドメイン参加アカウントを構成します。この方法を選択する場合は、補助ドメイン参加アカウントが、 コンソールで構成するメインのドメイン参加アカウントと同じ要件を満たしていることを確認します。

  注意：

  ドメイン参加アカウントの有効期限が切れ、有効な補助ドメイン参加アカウントが構成されていない場合、イメージのシーリングとファーム RDSH 仮想マシンと VDI デスクトップ仮想マシンのプロビジョニングのための Horizon Cloud 操作が失敗します。

重要: テナントに 1600.0 より古いマニフェストを実行している Microsoft Azure の Horizon Cloud ポッドがある場合は、ドメインの登録時に入力するドメイン参加アカウントが、Horizon Cloud スーパー管理者ロールを割り当てる Active Directory グループの 1 つにも属していることを確認する必要があります。これらの古いマニフェスト バージョンを実行しているポッドでのシステムの操作は、Horizon Cloud スーパー管理者ロールによって付与された権限を持つドメイン参加アカウントに依存します。ロールをグループに割り当てる方法については、 Horizon Cloud テナント環境への認証後に、そのグループ内の個人に対して Horizon Universal Console のどの領域を有効にするかを制御するActive Directoryロールをそのグループに割り当てるを参照してください。

ドメイン参加アカウント - 必要な Active Directory 権限

ドメイン参加アカウントはテナント レベルで構成されます。システムは、テナントのフリート内のすべてのポッドでのドメイン参加関連のすべての操作に、Active Directory 登録で構成されているのと同じドメイン参加アカウントを使用します。

システムは、ファームおよび VDI デスクトップ割り当ての コンピュータの組織単位 (OU) テキスト ボックスが Active Directory 登録のデフォルトの組織単位 (OU) と異なる場合、Active Directory 登録ワークフローで指定する OU(そのワークフローの デフォルトの組織単位 (OU) )内、および作成するファームおよび VDI デスクトップ割り当てで指定する OU 内のドメイン参加アカウントに対する明示的な権限チェックを実行します。

下位 OU を使用するケースにも対応するため、ベスト プラクティスとして、これらの必要な権限をコンピュータの OU のすべての子孫オブジェクトに適用するように設定します。

重要：

• リストにある AD 権限の一部は、通常、デフォルトで Active Directory によって アカウントに割り当てられます。ただし、Active Directory のセキュリティ権限を制限している場合は、ドメイン参加アカウントに、Horizon Cloud で使用すると予想される OU およびオブジェクトに対するこれらの権限があることを確認する必要があります。
• Microsoft Active Directory では、新しい OU を作成すると、システムは、新しく作成された OU およびすべての子孫オブジェクトの [すべての子オブジェクトの削除] 権限にDenyを適用する Prevent Accidental Deletion 属性を自動的に設定する場合があります。その結果、ドメイン参加アカウントに [コンピュータ オブジェクトの削除] 権限を明示的に割り当てた場合、新しく作成された OU の場合、Active Directory は明示的に割り当てられた [コンピュータ オブジェクトの削除] 権限に上書きを適用した可能性があります。[誤削除の防止] フラグをオフにしても、[すべての子オブジェクトの削除] 権限に適用Active DirectoryDenyが自動的にオフにならない場合があるため、新しく追加された OU の場合は、Horizon Cloud コンソールでドメイン参加アカウントを使用する前に、OU およびすべての子 OU の [すべての子オブジェクトの削除] に設定されている Deny 権限を確認して手動でクリアする必要がある場合があります。

ヒント: 2474.0 以降のポッド マニフェストの場合、ドメイン参加アカウントに必要な Active Directory 権限のセットが以前のセットよりも少なくなり、テナントの柔軟性が向上しています。ただし、ドメイン参加アカウントはテナント レベルで構成されているため、システムはテナントのフリート内のすべてのポッドでドメイン参加関連の操作で同じドメイン参加アカウントを使用します。したがって、フリートに 2474.0 より前のマニフェストのポッドが含まれている場合は、ドメイン参加アカウントに、それらのポッドに必要な以前の権限セットがあることを確認する必要があります。Microsoft Azure のすべての Horizon ポッドがポッド マニフェスト 2474.0 以降に更新されると、ドメイン参加アカウントに対して新しく削減された Active Directory 権限のセットを採用できます。

Microsoft Azure のすべての Horizon ポッドがマニフェスト 2474.0 以降を実行している場合

Access	適用対象
すべてのプロパティの読み取り	このオブジェクトのみ
コンピュータ オブジェクトの作成	このオブジェクトとすべての子孫オブジェクト
コンピュータ オブジェクトの削除	このオブジェクトとすべての子孫オブジェクト
すべてのプロパティの書き込み	子孫コンピュータ オブジェクト
パスワードのリセット	子孫コンピュータ オブジェクト

フリートに、2474.0 より前のマニフェストを実行している Microsoft Azure の Horizon ポッドがある場合

Access	適用対象
コンテンツの一覧表示	このオブジェクトとすべての子孫オブジェクト
すべてのプロパティの読み取り	このオブジェクトとすべての子孫オブジェクト
コンピュータ オブジェクトの作成	このオブジェクトとすべての子孫オブジェクト
コンピュータ オブジェクトの削除	このオブジェクトとすべての子孫オブジェクト
すべてのプロパティの書き込み	すべての子孫オブジェクト
権限	このオブジェクトとすべての子孫オブジェクト
パスワードのリセット	子孫コンピュータ オブジェクト