第 1 世代 Horizon Cloud ポッドを移行するための前提条件

このページでは、最初のポッドの移行を開始する前に、必要に応じて評価、準備、および更新する必要がある領域について説明します。

概要

これらの評価と準備手順のほとんどは、新しい Horizon Cloud 環境にログインして移行ユーザー インターフェイスを表示する前であれば、いつでも実行できます。

これらの評価と準備手順の一部には、第 1 世代ポッドがデプロイされている Microsoft Azure サブスクリプション環境とネットワークが含まれます。その場合は、その環境を処理する IT チームのサポートが必要になる場合があります。

**注意：**本書の執筆時点では、第 1 世代のポッドを移行する資格は、第 1 世代テナントへの段階的なロールアウトです。該当する場合は、Horizon Migration Communications から直接通信を受け取ります。

用語集

Horizon Cloud サービスには、新しい概念と用語があります。Horizon Cloud サービスでは、デプロイは（「ポッド」という用語ではなく）「Horizon Edge」と呼ばれます。

セルフサービスの移行は、第 1 世代ポッドの移行に使用されるのと同じ Microsoft Azure サブスクリプションに Microsoft Azure Horizon Edge をデプロイし、同じサブスクリプション情報、VNet、サブネットを使用するように設計されています。

各ポッドが移行されると、プロセスはデフォルトでそのポッドから次の項目を再利用します。

• Microsoft Azure サブスクリプション ID、ディレクトリ ID、サービス プリンシパル アプリケーション ID およびシークレット キー。

• VNet

• 管理サブネット、テナント サブネット、DMZ サブネット

• 第 1 世代テナント(ドメイン バインドおよびドメイン参加ユーザー、補助ドメイン バインドおよびドメイン参加ユーザー)に登録されているドメイン情報とドメイン バインドおよびドメイン参加サービス アカウントをActive Directoryします。

  最初のポッドの移行がスケジュール設定されると、システムは第 1 世代テナントの登録済み Active Directory ドメイン情報とサービス アカウント情報をすべてコピーし、Horizon Cloud 環境で同じように登録します。

第 1 世代ポッドの一部のアイテムは再利用されません。これらのいくつかの場合は、新しい追加リソースを設定する必要があります。

したがって、次の領域を評価し、Horizon Cloud の要件に対応するために必要に応じて準備する必要があります。

**注：**いくつかの特別な特性を持つポッドの場合、移行プロセスでは、第 1 世代ポッドとは異なる新しい VNet と管理サブネットの使用が必要になる場合があります。この特別なケースについては、このページのセクションで説明します。

前提条件の表

この表に続くセクションでは、これらの前提条件の詳細を示します。この表は、便利なアウトラインとして含まれています。

Horizon Cloud Unified Access Gateway の新しい FQDN と証明書を取得する

**注：**Horizon Cloud Unified Access Gateway デプロイの FQDN は、移行する第 1 世代のデプロイですでに使用されている FQDN とは異なるものにする必要があります。まれに移行後に問題が発生した場合の第 1 世代のデプロイへのロールバックをサポートするには、第 1 世代のデプロイのゲートウェイの FQDN とその SSL 証明書を、第 1 世代のデプロイ用に構成されたままにする必要があります。移行をファイナライズした後にのみ、その時点で必要であれば、Horizon Cloud Gateway デプロイの FQDN と SSL 証明書を更新できます。

スケジュール設定ウィザードのユーザー インターフェイスでは、ウィザードでこの FQDN を指定し、その FQDN に基づいて SSL 証明書を指定する必要があります。

Horizon Cloud 環境の場合、SSL 証明書は PEM または PFX のいずれかの形式にすることができます。

証明書に設定されている共通名または FQDN は、スケジュール ウィザードに入力する FQDN と一致する必要があります。ウィザードは、証明書のデータがウィザードに入力した FQDN と一致することを検証します。

**注：**第 1 世代ポッドに外部 Unified Access Gateway 構成と内部 Unified Access Gateway 構成の両方がある場合、移行後の Edge の Unified Access Gateway のアクセス タイプは [内部および外部アクセス] に設定され、外部 FQDN と内部 FQDN の両方がデフォルトで同じ FQDN（スケジュール設定ウィザードに入力した FQDN）に設定されます。移行後に内部アクセスに別の FQDN を使用する場合は、その時点で Edge の Unified Access Gateway の詳細を編集して、内部 FQDN を使用する予定の別の FQDN に変更し、内部ユーザーのネットワーク範囲を適切に構成します。アップロードされた証明書には、証明書の情報に外部 FQDN と内部 FQDN の両方が含まれている必要があります（サブジェクト代替名データに内部 FQDN が含まれているなど）。

必要に応じて第 1 世代ポッドとエージェントのバージョンを評価して更新する

ポッドを移行する前に、ポッドとエージェントのバージョンが次の基準を満たしている必要があります。

• Horizon Cloud Azure ポッドは、ポッド マニフェスト 5041.0 以降を実行している必要があります。以前のマニフェストを実行している場合は、サービス要求を開始してポッドをアップグレードします。
• ポッドの専用 VDI デスクトップは、バージョン 24.2.0 以降の Horizon Agents Installer を実行している必要があります。

移行するすべてのイメージが有効であることを確認する

移行のプレビルド フェーズ中の問題を回避するために、移行が必要な第 1 世代イメージがすべて公開済みの状態であり、その仮想マシンとスナップショットが Microsoft Azure にそのまま残っていることを確認します。

ポッドの VNet または接続されたネットワークに AKS 制限付き IP アドレスが含まれているかどうか判断する

**重要：**決定の結果は、移行に使用する Horizon Edge Gateway デプロイのタイプに関するガイダンスを提供します。タイプについては、次の「Edge Gateway のデプロイ タイプを決定する」セクションで説明します。

第 1 世代ポッドの管理サブネット、VNet、または VNet が接続されているネットワーク(ExpressRoute を介して接続されたオンプレミス ネットワークなど)に、ここにリストされている AKS が制限された範囲の IP アドレスを含めるかどうかを決定します。

• 169.254.0.0/16
• 172.30.0.0./16
• 172.31.0.0/16
• 192.0.2.0/24

含める場合、そのポッドを移行するには、次に単一仮想マシンのデプロイ タイプでニーズを満たすことができるかどうか、または AKS デプロイ タイプのみで満たせる要件があるかどうかを評価する必要があります。

• 単一仮想マシンのデプロイ タイプを使用してそのポッドを移行するか、

• 要件で AKS デプロイ タイプの使用が規定されている場合は、ポッドのサブスクリプション内のその VNet に最小 CIDR /26 の新しい VNet と管理サブネットを設定し、その新しい VNet をポッドの既存の VNet とピアリングする必要があります。最小 /26 CIDR は、AKS 展開タイプに対する強力な推奨です。

  新しい VNet に制限された範囲の IP アドレスが含まれていないか、使用されていないことを確認します。新しい VNet と管理サブネットを使用すると、HA を提供する AKS デプロイ タイプを使用できます。

詳細なガイダンスについては、Edge Gateway のデプロイ タイプの決定に関する次のセクションを参照してください。

これらの特定の範囲が AKS で制限されている理由は、Microsoft が、AKS タイプの Horizon Edge Gateway デプロイに使用される Azure Kubernetes Service (AKS) クラスタに関してこのルールを適用するためです。

これらの制限付き IP アドレスがポッドの管理サブネットまたは VNet に含まれている場合、または VNet に接続されているオンプレミス ネットワークに含まれている場合、AKS タイプを使用した移行プロセスはポッドの既存の VNet を再利用できません。

デプロイ タイプを決定してその要件を満たす

第 1 世代ポッドを Horizon Cloud 環境に移行する場合、システムは Horizon Edge Gateway と呼ばれるものをポッドの Microsoft Azure サブスクリプションにデプロイします。

デプロイには、単一仮想マシン（単一 VM）タイプと Azure Kubernetes サービス (AKS) タイプの 2 つのタイプがあります。

システムでは、各ポッドの移行に使用するタイプを指定できます。

したがって、次の表に従って、必要な品質に基づいて、使用するタイプを決定する必要があります。

• 次の決定表に関する 2 つの質問:
  1. 5,000 を超えるセッションに対する要件や、障害発生時の完全なフェイルオーバー機能を備えたサービスを通じてサポートされる SSO ログイン エクスペリエンスと監視データの収集に関する要件はありますか?
  2. AKS で制限された IP アドレス範囲のいずれかがポッドの管理サブネット、ポッドの VNet、またはオンプレミス ネットワークに接続されていることがわかっているマシンで使用されていますか?

ポッドの Microsoft Azure サブスクリプションにリソース グループ タグに関するポリシーがあるかどうかを判断する

本書の執筆時点では、Horizon Edge のデプロイ プロセスでは、Microsoft Azure サブスクリプションがタグを持っていないリソース グループの作成を許可する必要があります。

移行メンテナンスウィンドウの日時をスケジュール設定すると、システムは Horizon Edge Gateway および Unified Access Gateway インスタンスのリソース グループを作成します。

したがって、ポッドのサブスクリプションにタグ付けされていないリソース グループの作成をブロックする Microsoft Azure ポリシーがある場合、またはサブスクリプションに任意のタイプのリソース タグ要件がある場合、そのスケジュール設定手順の直後に移行プロセスが失敗します。

サブスクリプションにそのようなポリシーがある場合は、移行スケジュール ウィザードを完了する直前にその Azure ポリシーをオフにし、Horizon Edge Gateway インスタンスと Unified Access Gateway インスタンスがサブスクリプションにデプロイされるまでポリシーをオフのままにする計画を立てることで、この要件を管理できます。Horizon Edge Gateway および Unified Access Gateway インスタンスが正常にデプロイされたことを確認したら、リソース グループの作成時にタグを要求する Azure ポリシーを、移行アクティビティに影響を与えずに再度有効にすることができます。

ネットワーク - ネットワーク トラフィックの既存の設定を評価し、必要に応じて更新する

現在のファイアウォール設定で、Horizon Cloud Horizon Edge で必要なエンドポイントとポートおよびプロトコルへの接続が許可されているかどうかを評価します。

Horizon Cloud サービスに必要なエンドポイント URL とポートは、ネットワーク チームが第 1 世代ポッドに対してすでに許可しているものと異なる可能性があります。

必要なエンドポイント、ポート、プロトコルのリストについては、『Horizon Cloud の使用』ガイドの以下のページを参照して、第 1 世代ポッドの環境に加える変更を決定してください。

• Microsoft Azure 環境に Horizon Edge Gateway をデプロイするために適切な宛先 URL をアクセス可能にする
• Microsoft Azure でのデプロイのための Horizon Cloud ポートとプロトコルの要件

URL を使用できない状況については、「ナレッジベースの記事 KB6000374：サービス コンポーネントの IP アドレス」を参照してください。

第 1 世代のポッドがプロキシありで構成されている場合、移行されたプールはプロキシ構成を継承します。移行中、専用デスクトップ プールは、プロキシをバイパスしてインターネット経由で特定の URL に直接接続する必要があります。デスクトップ VDI サブネットからの送信接続にファイアウォールが設定されている場合は、移行プロセス中にこれらの URL を許可する必要があります。移行が完了したら、これらの URL を許可リストから削除できます。

ポッドに関連付けられたアプリケーション シークレット キーがまだ有効であることを確認する

ポッド デプロイのための Azure ポータルにログインし、ポッドで使用されるアプリケーション キーの有効期限が切れていないことを確認します。

Azure ポータルでは、アプリケーション登録領域でクライアント シークレット キーという用語を使用します。ポッドに関連付けられているアプリケーション登録を見つけます。

VNet - デスクトップへの内部アクセスのルーティングの評価

第 1 世代ポッドとデスクトップへの内部アクセス用に設定されているルーティングによっては、Horizon Cloud Horizon Edge でデスクトップへの内部アクセスが引き続き機能するように、そのルーティングの調整が必要になる場合があります。

Microsoft Azure vCPU ファミリの割り当てを評価し、必要に応じて増やします

第 1 世代ポッドの Microsoft Azure サブスクリプションの現在の vCPU ファミリ割り当てによっては、移行プロセスをサポートするために特定の vCPU ファミリの割り当てを増やす必要がある場合があります。

移行プロセスでは、少なくとも 1 つの Horizon Edge Gateway と 2 つのUnified Access Gateway インスタンスで構成される Horizon Edge をデプロイします。

Microsoft Azure にデプロイされた Horizon Edge には、単一仮想マシンのデプロイ タイプまたは AKS デプロイ タイプの Horizon Edge Gateway があります。

「Edge Gateway のデプロイ タイプを決定する」の説明に従って、ポッドの移行に使用するタイプを決定します。

Azure ポリシーでストレージ アカウントとファイル共有のプロビジョニングが許可されていることを確認する

移行をスケジュール設定する前に、ポッドの Azure サブスクリプション所有者に、サブスクリプション レベルまたはポッドのリソース グループの Microsoft Azure ポリシーによって、第 1 世代ポッドのリソース グループ内でのストレージ アカウントとファイル共有のプロビジョニングがブロック、拒否、または制限されていないことを確認します。

ポッドを既存の Horizon Edge に移行する場合は、既存の Horizon Edge のサブスクリプションとリソース グループの Microsoft Azure ポリシーによってストレージ アカウントとファイル共有のプロビジョニングがブロック、拒否、または制限されないことを確認します。

Horizon Edge Gateway を正常にデプロイするには、App Volumes ストレージ アカウントとファイル共有のプロビジョニングが必要です。

第 1 世代のポッドに App Volumes アプリケーションがある場合、Azure ポリシーでストレージ アカウントのネットワーク アクセスの切り替えが許可されていることを確認する

第 1 世代のポッドに App Volumes アプリケーションがある場合は、ポッドの Azure サブスクリプション所有者に、サブスクリプション レベルまたはポッドのリソース グループの Microsoft Azure ポリシーによって、パブリック ネットワーク アクセスをオンに切り替える機能がブロック、拒否、または制限されていないことを確認します。

システムによる App Volumes アプリケーションの移行では、それらのリソースをポッドの Azure ストレージ アカウントから Horizon Edge Gateway のストレージ アカウントにコピーします。

このコピーを円滑に行うために、移行プロセスでは両方のストレージ アカウントにアクセスする必要があります。移行中、システムはストレージ アカウントのパブリック ネットワーク アクセスを一時的にオンにし、コピーが完了した後にオフにします。

Azure ポリシーが原因で、App Volumes アプリケーションのコピーを開始する前に移行プロセスでストレージ アカウントのパブリック ネットワーク アクセスをオンにできない場合、移行は失敗します。システムは、移行のビルドアウト フェーズ中およびメンテナンス ウィンドウ中にネットワーク アクセスのオン/オフを切り替えることができる必要があります。

Unified Access Gateway ロード バランサのパブリック IP アドレスがある場合

第 1 世代のポッドが外部 Unified Access Gateway 構成のロード バランサにパブリック IP アドレスを使用している場合、システムは Horizon Cloud Horizon Edge を立ち上げて、Horizon Edge の Unified Access Gateway 構成にパブリック IP アドレスを使用します。

この場合、ポッドのサブスクリプションには追加のパブリック IP アドレスが必要です。したがって、移行をスケジュール設定する前に、サブスクリプションにこの追加のパブリック IP アドレスを提供するキャパシティがあることを確認します。

Unified Access Gateway ロード バランサのプライベート IP アドレスがある場合

第 1 世代の外部 Unified Access Gateway デプロイのロード バランサがプライベート IP アドレスを使用している場合は、Horizon Cloud デプロイのロード バランサにルーティングするパブリック IP アドレスを取得します。

移行する第 1 世代の外部ゲートウェイ構成がロード バランサにプライベート IP アドレスを使用し、パブリック IP アドレスがそのプライベート IP アドレスにルーティングされている場合、システムは移行のスケジュール設定を開始するときにこの構成を検出します。

このシナリオは、外部ゲートウェイ構成の Unified Access Gateway アプライアンスへのアクセスを許可する前にインターネット ベースのトラフィックを制御する目的で、外部ゲートウェイ構成の Azure ロード バランサの前にファイアウォールまたは NAT が構成されている場合に、第 1 世代のデプロイで使用されました。

システムは、スキャン プロセス中に、Ready to migrate 状態であると判断したときに、第 1 世代の構成を検出します。

システムがその構成を検出すると、移行のスケジュール設定ウィザードのユーザー インターフェイスに [手動パブリック IP アドレス] フィールドが表示されます。このフィールドには、Horizon Cloud Unified Access Gateway デプロイに使用するパブリック IP アドレスを入力します。

**注：**ロールバックが必要な場合に第 1 世代のデプロイ状態へのロールバックをサポートするため、このパブリック IP アドレスは、移行対象のポッドのゲートウェイですでに使用されているパブリック IP アドレスとは異なる必要があります。

したがって、この構成を使用している場合は、使用する新しいパブリック IP アドレス（第 1 世代ポッドの外部ゲートウェイに現在使用されているアドレスとは異なるアドレス）を取得します。

新しい Horizon Cloud 環境にログインし、Horizon Cloud Horizon Universal Console を表示する機能を評価する

connect.omnissa.com にログインし、ログイン後、サービス ユーザー インターフェイスに [Workspace ONE Cloud] というラベルのカードが表示されるかどうかを確認します。次のスクリーンショットは例を示します。

1. 最初に、サービス ユーザー インターフェイスに [Workspace ONE Cloud] というラベルのカードが表示されているかどうかを確認します。次のスクリーンショットは例を示します。

   

2. カードが表示された場合は、[サービスの起動] リンクをクリックし、[Horizon Cloud] というラベルのカードが表示されるかどうかを確認します。このスクリーンショットはサービス内のカードを示しています。カードのセットが異なる場合があります。

   

   [Horizon Cloud] カードをクリックすると、Horizon Cloud Horizon Universal Console が開きます。

   • 以前に Horizon Cloud 環境にオンボーディングした場合は、Horizon Cloud Horizon Universal Console に [移行] 画面が表示されます。
   • Horizon Cloud 環境へのオンボーディングをまだ完了していない場合は、「クラウド リージョンの選択」セクションで説明するようにリージョン選択ユーザー インターフェイスが表示されます。オンボーディングを完了するための手順を実行すると、コンソールに [移行] 画面が表示されます。

上記の手順を実行しても Horizon Cloud Horizon Universal Console が表示されず、すでに Horizon 移行チームと連携している場合は、チームの担当者にお問い合わせください。Horizon 移行チームとまだ連携していない場合は、グローバル サポートにお問い合わせいただき、Horizon Cloud 移行サポートを依頼してください。

次のスクリーンショットは、上記の手順 2 の最後にある Horizon Cloud Console のナビゲーション側の上部の外観を示しています。メイン領域には、このスクリーンショットに表示されているようこそコンテンツが表示される場合と表示されない場合があります。メイン領域に移行画面が自動的に表示されることがあります。このタイプのナビゲーションが表示されている場合は、Horizon Cloud Console を使用していることを意味します。

ID プロバイダを決定し、Active Directory ユーザーとグループを同期する

Horizon Cloud 環境では、サービスは外部 ID プロバイダと Active Directory ドメインの両方の使用に依存します。

背景

第 1 世代テナントでは、デスクトップおよび公開アプリケーションへのエンドユーザー アクセスを認証するために、登録済みの Active Directory ドメインがマシン ID とユーザー ID の両方に使用されていました。

Horizon Cloud 環境では、サービスに外部 ID プロバイダを提供して、ユーザー ID 側の条件を満たします。

外部 ID プロバイダを使用すると、サードパーティのソリューションと統合して、多要素認証などの機能を提供できます。

第 1 世代ポッドから Horizon Cloud Horizon Edge への移行では、移行後の Horizon Edge は、第 1 世代の環境と同様にマシン ID に Active Directory ドメインを使用します。移行された仮想デスクトップと、公開（リモート）アプリケーションを提供する仮想マシンは、Active Directory ドメインに参加します。

**注：**Horizon Cloud 環境に選択する ID プロバイダは、第 1 世代テナントに登録されている第 1 世代ポッドの Active Directory ドメインに接続する必要があります。

使用する ID プロバイダを決定する

Horizon Cloud サービスに登録する ID プロバイダは、Horizon Cloud の要件を満たす必要があります。

本書の執筆時点での状況は以下のとおりです。

• Horizon Cloud 環境で使用できる ID プロバイダは 1 つのみです。
• サポートされているタイプ：
  • Microsoft Entra ID Commercial（Azure Commercial 環境の場合）と Microsoft Entra ID Government（Azure US Government 環境の場合）。第 1 世代のポッドが Azure US Government 環境にデプロイされている場合は、Microsoft Entra ID Government を使用します。
  • Omnissa Access（クラウドまたはオンプレミス）

その他の背景情報については、Horizon Cloud ドキュメントの「ID プロバイダの接続」を参照してください。

前提条件：Microsoft Entra ID Commercial または Microsoft Entra ID Government

Horizon Cloud Horizon Universal Console でウィザードを実行して、Microsoft Entra ID を使用するように Horizon Cloud の設定を構成します。

ウィザードを完了するには、次の項目が必要です。

前提条件：Omnissa Access（クラウドまたはオンプレミス）

Horizon Cloud Horizon Universal Console でウィザードを実行して、Access を使用するように Horizon Cloud の設定を構成します。

ウィザードを完了するには、次の項目が必要です。

Active Directory (AD) ユーザーとグループをその ID プロバイダと同期する

移行するポッドを選択する前に、移行対象のポッドからデスクトップおよびアプリケーションの使用資格が付与されているすべての Active Directory ユーザーと Active Directory グループが、選択した ID プロバイダと同期されていることを確認します。

システムの事前検証チェック中に、システムが第 1 世代ポッドのデスクトップおよびアプリケーション割り当てから一連の Active Directory ユーザーとグループを取得し、Horizon Cloud 環境に登録されている ID プロバイダでこれらの Active Directory ユーザーおよびグループをチェックします。登録済み ID プロバイダ内の Active Directory ユーザーまたはグループのいずれかが見つからない場合、事前検証の手順は失敗します。ユーザー インターフェイスから取得した障害レポートは、見つからない Active Directory ユーザーまたはグループを報告します。

Active Directory 組み込みユーザーまたは組み込みグループの使用を評価して必要に応じて更新

第 1 世代の Horizon Cloud on Microsoft Azure デプロイが Azure Active Directory (Azure AD) を使用するように構成されている場合は、移行の前に、指定された組み込みグループや組み込みユーザーを使用している場所を更新し、組み込みグループや組み込みユーザー以外に変更する必要があります。

システムが第 1 世代のポッドをスキャンして移行基準を満たしているかどうかを判断し、各割り当てに指定されたユーザーとグループに関する情報を収集し、Horizon Cloud 環境の構成済み ID プロバイダで同等の構成を作成しようとします。Microsoft Azure AD を Horizon Cloud 環境の ID プロバイダとして使用する場合、Microsoft Azure AD Connect で Active Directory ドメインを Microsoft Azure AD と同期します。

ただし、Microsoft ドキュメントに記載されているように、Active Directory グループと Azure AD の同期を処理する Microsoft Azure AD Connect 同期では、組み込みのセキュリティ グループがディレクトリ同期から除外されます。その結果、システムがその ID プロバイダで、組み込みグループと組み込みユーザーを使用した同等の 第 1 世代の構成を作成しようとすると、組み込みグループが同期されないため、Azure AD では同等のエンティティが見つかりません。組み込みユーザーと組み込みグループが関係するポッドは移行できないことが報告されます。

このシナリオでは、組み込みグループや組み込みユーザーと同じメンバーシップを持つ通常の Active Directory グループを作成します。また、デスクトップまたはリモート アプリケーションを受信するために組み込みグループと組み込みユーザーを指定した場合は、それらの設定を更新して通常の Active Directory グループを使用します。

App Volumes アプリケーション割り当ての使用状況を評価する

第 1 世代のテナントに App Volumes アプリケーション割り当てがある場合は、Horizon Cloud 環境に有効な App Volumes ライセンス サブスクリプションがあることを確認します。

システムの事前検証チェック中に、システムは Horizon Cloud 環境に有効な App Volumes ライセンス サブスクリプションがあるかをチェックします。

見つからない場合、システムはポッドの移行のスケジュール設定をエラーと判断し、実行されないようにします。

Horizon Cloud Console では、「Horizon Universal Console を使用して Horizon ライセンスを追跡する」に記載されている手順を使用して、Horizon Cloud 環境でのライセンスの存在を確認できます。

特殊なケース：第 1 世代ポッドのアプリケーション登録でカスタム ロールが使用されている場合

第 1 世代ポッドがサブスクリプションの Horizon Cloud アプリケーション登録にカスタム ロールを使用するように構成されている場合、移行の前提条件の 1 つは、そのカスタム ロールを Horizon Cloud 環境で必要な権限で更新することです。

カスタム ロールの使用は一定ではありません。ほとんどの第 1 世代ポッドのデプロイでは、Horizon Cloud サービス プリンシパルのアプリケーション登録に Contributor ロールが使用されます。

第 1 世代のポッドがデプロイされたとき、第 1 世代のドキュメント ページ「組織がカスタム ロールの使用を希望する場合」で説明されているように、カスタム ロールが使用されていた可能性があります。

ポッドがこのシナリオに該当する場合は、Horizon Cloud 環境が必要な API 呼び出しを行うために必要な権限を含むように、既存のカスタム ロールを更新する必要があります。

第 1 世代ポッドのサブスクリプションで、Horizon Cloud アプリケーション登録のカスタム ロール(ポッドで使用されるアプリケーション登録)で次の操作が許可されていることを確認します。

これらの一部は、第 1 世代ポッドのデプロイに必要なのと同じです。この表には、Horizon Cloud 環境に追加で必要となるものが記載されています。

**重要：**カスタム ロールですでに許可されている操作を削除しないでください。

Horizon Cloud の必須の権限

Microsoft.ContainerService/managedClusters/delete
Microsoft.ContainerService/managedClusters/read
Microsoft.ContainerService/managedClusters/write
Microsoft.ContainerService/managedClusters/commandResults/read
Microsoft.ContainerService/managedClusters/runcommand/action
Microsoft.ContainerService/managedClusters/upgradeProfiles/read

Microsoft.ManagedIdentity/userAssignedIdentities/*/assign/action
Microsoft.ManagedIdentity/userAssignedIdentities/*/read

Microsoft.ResourceGraph/*

Microsoft.Resources/subscriptions/read

Microsoft.Network/privateEndpoints/read
Microsoft.Network/privateEndpoints/write
Microsoft.Network/privateEndpoints/delete
Microsoft.Network/locations/availablePrivateEndpointTypes/read

オプションの権限

Microsoft Azure に Horizon Cloud Horizon Edge をデプロイする場合、次の権限は必須ではありませんが、これらのオプションの権限に依存するサービスの機能は、これらの権限を含めない場合は機能しません。

Microsoft.Network/natGateways/join/action
Microsoft.Network/natGateways/read

Microsoft.Network/privateEndpoints/write 
Microsoft.Network/privateEndpoints/read

Microsoft.Network/routeTables/join/action
Microsoft.Network/routeTables/read

**注：**この情報は、移行後の Horizon Cloud 環境を見据えて、利便性を高める目的で追加されています。ポッドの移行の前に権限を更新する場合は、この権限を同時に含める場合があります。

このシナリオは、Horizon Cloud 環境の ID プロバイダが Microsoft Entra ID で、マシン ID に使用する場合です。

詳細については、Horizon Cloud のドキュメント ページの Microsoft Entra ID に関する注意事項を参照してください。