Omnissa Access での Horizon 仮想アプリケーションのクライアント アクセス FQDN の設定

Omnissa Access と Horizon の統合の一環として、ネットワーク範囲に基づいて正しい Horizon Server に接続できるように、ネットワーク範囲のクライアント アクセス FQDN を指定します。また、ネットワーク範囲ごとにユーザー グループを指定することでユーザーをフィルタリングできます。

Horizon 仮想アプリケーションのコレクションを作成すると、ウィザードはコレクション内のポッドおよびポッド フェデレーションのクライアント アクセス FQDN を構成するための [ネットワーク範囲] タブに移動します。コレクションを作成した後は、[ネットワーク範囲] タブからいつでもクライアント アクセスの FQDN を編集できます。

テナント内のすべてのネットワーク範囲には、Horizon ポッドおよびポッド フェデレーション用に設定されたクライアント アクセス FQDN が必要です。ネットワーク範囲にクライアント アクセス FQDN が定義されていない場合、そのネットワーク範囲を介して Horizon リソースにアクセスしているユーザーは、自分に割り当てられたアプリケーションおよびデスクトップを起動できません。新しいネットワーク範囲を作成するときは常に、仮想アプリケーションのコレクションを編集して、Horizon ポッドおよびポッド フェデレーションのクライアント アクセス FQDN を新しいネットワーク範囲に追加します。

次の方法で、Omnissa Access にクライアント アクセス FQDN を構成できます。

• ネットワーク範囲のみを使用して、適切なクライアント アクセス FQDN にユーザーを移動します。

  複数のネットワーク範囲を作成し、ネットワーク範囲ごとにクライアント アクセス FQDN を指定します。ネットワーク範囲にユーザー グループを選択しないでください。すべてのユーザーは、割り当てられた Horizon Apps およびデスクトップにアクセスしているネットワーク範囲に基づいてクライアント アクセス FQDN に移動します。

  たとえば、内部アクセスと外部アクセスに別々のネットワーク範囲を作成し、範囲ごとに適切なクライアント アクセス FQDN を指定できます。

• ネットワーク範囲とグループの両方を使用して、適切なクライアント アクセス FQDN にユーザーを移動します。

  複数のネットワーク範囲を作成し、範囲ごとにクライアント アクセス FQDN を指定します。ネットワーク範囲のユーザー グループも選択します。ユーザーがクライアント アクセス FQDN から Horizon Apps およびデスクトップを起動するには、クライアント IP アドレスがネットワーク範囲と一致し、ネットワーク範囲に対して選択されたグループの少なくとも 1 つに属している必要があります。ネットワーク範囲に対してグループが選択されていない場合、クライアント IP アドレスがネットワーク範囲と一致するすべてのユーザーは、そのネットワーク範囲のクライアント アクセス FQDN からアプリケーションとデスクトップを起動できます。

  たとえば、内部アクセスと外部アクセスに別々のネットワーク範囲を作成し、ユーザーが正社員グループに属しているか派遣社員グループに属しているかに基づいて、範囲ごとにユーザーをフィルタリングできます。

  注：複数のネットワーク範囲を作成しない場合は、仮想アプリケーションのコレクションごとにデフォルトの [すべての範囲] ネットワーク範囲でユーザー グループを構成できます。選択したグループのいずれかに属するユーザーのみが、[すべての範囲] クライアント アクセス FQDN から Horizon アプリケーションおよびデスクトップを起動できます。

  たとえば、さまざまな地域のポッド用にさまざまな仮想アプリケーションのコレクションを作成し、地域ごとにユーザー グループを作成し、各コレクションの [すべての範囲] ネットワーク範囲に適切なユーザー グループを選択できます。

重複するネットワーク範囲を構成する場合、Omnissa Access は次のルールを適用して、ユーザーに最適な範囲を見つけます。

• ユーザーのクライアント IP アドレスが複数の範囲に一致し、どのネットワーク範囲にもグループが指定されていない場合、最後に作成されたネットワーク範囲を使用して、ユーザーのクライアント アクセス FQDN を決定します。
• ユーザーのクライアント IP アドレスが複数のネットワーク範囲に一致し、ユーザーのグループがそれらのネットワーク範囲の 1 つにのみ一致する場合、クライアント IP アドレスとグループの両方に一致するネットワーク範囲を使用して、ユーザーのクライアント アクセス FQDN を決定します。
• クライアント IP アドレスが複数のネットワーク範囲に一致し、ユーザーがそれらすべてのネットワーク範囲の 1 つ以上のグループに属している場合、ユーザー グループの一致が最も多いネットワーク範囲を使用して、ユーザーのクライアント アクセス FQDN を決定します。
• クライアント IP アドレスが複数のネットワーク範囲と一致し、一致するユーザー グループの数が複数のネットワーク範囲で同一の場合、最後に作成されたネットワーク範囲を使用して、ユーザーのクライアント アクセス FQDN を決定します。

前提条件

ネットワーク範囲を作成および編集するには、スーパー管理者ロール、または ID とアクセス管理サービスで [設定管理] アクションを実行できるカスタム ロールが必要です。

手順

1. Omnissa Access コンソールで、[リソース] > [仮想アプリケーションのコレクション] の順に選択します。

2. Horizon 仮想アプリケーションのコレクションをクリックし、[ネットワーク範囲] タブを選択します。

3. 編集するネットワーク範囲をクリックするか、必要に応じて新しいネットワーク範囲を作成します。

4. ネットワーク範囲を新規作成する場合は、名前、オプションの説明、および IP アドレスの範囲を入力します。

5. [グループ メンバーシップ] セクションで、このネットワーク範囲に関連付けるユーザー グループを選択します。

   グループを選択した場合、このネットワーク範囲に関連付けられたクライアント アクセス FQDN から Horizon アプリケーションとデスクトップを起動するには、ユーザーは少なくとも 1 つのグループに属し、クライアント IP アドレスはネットワーク範囲と一致する必要があります。

   グループを選択しない場合、クライアント IP アドレスがネットワーク範囲と一致するすべてのユーザーは、このネットワーク範囲に関連付けられたクライアント アクセス FQDN から Horizon アプリケーションとデスクトップを起動できます。

   例：

   

6. [ポッドおよびフェデレーション] セクションにスクロールします。

   [ポッド] セクションには、[ローカルの割り当てを同期] オプションが有効になったコレクションのすべての Horizon ポッドが表示されます。[Cloud Pod アーキテクチャのフェデレーション] セクションには、コレクション内のポッド フェデレーションが表示されます（存在する場合）。

   

7. 各ポッドの [ポッド] セクションを編集し、このネットワーク範囲に適切な値を入力します。

   オプション	説明
   クライアント アクセスの FQDN	このネットワーク範囲から要求が送信された場合、このポッドのローカル資格にアクセスするクライアントを接続するサーバの完全修飾ドメイン名 (FQDN)。この値には、Horizon Connection Server、Unified Access Gateway、ロード バランサ、またはリバース プロキシの FQDN を使用できます。 例：internallb.example.com ポッドのクライアント アクセスの FQDN は、ポッドからローカル資格が付与されたリソースを起動するために使用されます。
   ポート	サーバ ポート。
   アーティファクト を JWT にラップ	「検証ゲートウェイによる Horizon リソースの起動」を参照してください。
   JWT の対象者	「検証ゲートウェイによる Horizon リソースの起動」を参照してください。

8. 各ポッド フェデレーションの [CPA フェデレーション] セクションを編集し、このネットワーク範囲に適切な値を入力します。

   オプション	説明
   クライアント アクセスの FQDN	このネットワーク範囲から要求が送信された場合、このポッド フェデレーションのグローバル資格にアクセスするクライアントを接続するサーバの完全修飾ドメイン名 (FQDN)。通常、この値はポッド フェデレーション環境のグローバル ロード バランサになります。 例：globallb.example.com ポッド フェデレーションのクライアント アクセスの FQDN は、グローバル資格が付与されたリソースを起動するために使用されます。
   ポート	サーバ ポート。
   アーティファクト を JWT にラップ	Omnissa Access サービスが、F5 などの検証ゲートウェイと統合されている場合、ユーザーに割り当てられた Horizon リソースを認証するには、このオプションを有効にする必要があります。「検証ゲートウェイによる Horizon リソースの起動」を参照してください。
   JWT の対象者	「検証ゲートウェイによる Horizon リソースの起動」を参照してください。

9. [保存] をクリックします。

10. 必要に応じて、これらの手順を繰り返して、他のネットワーク範囲を編集します。

    **重要：**環境内の各ネットワーク範囲にクライアント アクセスの FQDN が設定されていることを確認します。ネットワーク範囲にクライアント アクセスの FQDN が設定されていない場合、そのネットワーク範囲を介してリソースにアクセスしているユーザーは、自分の Horizon デスクトップおよびアプリケーションを起動できません。