vSphere Edge 배포를 위한 요구 사항 체크리스트

이 체크리스트는 Horizon Control Plane을 사용하여 vSphere Edge 배포를 수행하는 데 필요한 요소를 사용자에게 알리기 위해 제공됩니다.

체크리스트 용도

이 체크리스트는 테넌트 환경에서 Horizon Cloud on vSphere 배포를 수행한 적이 없는 Horizon Cloud 고객 계정을 위한 것입니다. 이러한 테넌트를 완전히 새로운 환경 또는 그린필드 환경이라고도 할 수 있습니다.

Horizon Cloud를 배포하기 전에 다음에 나오는 몇 가지 항목을 수행해야 합니다. 일부 항목은 배포가 완료되고 실행될 때까지 연기할 수 있습니다.

시스템 ID 요구 사항

온-프레미스 Active Directory가 지원되며 시스템 ID에 필요합니다. VDI 데스크톱이 Active Directory 도메인에 가입됩니다. 데스크톱을 배포할 네트워크에서 도메인 컨트롤러에 연결할 수 있어야 합니다.

다음과 같은 사항을 고려하여 기본 도메인 가입 계정 및 보조 도메인 가입 계정을 생성합니다.

• Active Directory 도메인 가입 계정은 시스템에서 Sysprep 작업을 수행하고 가상 컴퓨터를 도메인에 가입시키는 데 사용합니다.
• 계정 암호를 만료되지 않음으로 설정합니다.
• 계정에는 모든 속성 읽기, 암호 재설정, 컴퓨터 개체 생성, 컴퓨터 개체 삭제 및 모든 속성 쓰기 등의 Active Directory 사용 권한이 필요합니다.

다음에 나오는 준비 정보는 ID 구성에서 사용하도록 선택한 시스템 ID 제공자에 대한 요구 사항을 간략하게 설명합니다. Horizon Cloud는 Microsoft Entra ID 및 Active Directory를 시스템 ID의 제공자로 지원합니다.

• Active Directory

  ☐	vSphere Edge만 배포하는 경우 온-프레미스 Active Directory 서버가 필요합니다. 그러나 동일한 배포에서 Microsoft Azure Edge 및 vSphere Edge를 사용하려는 경우 다음 사항이 적용됩니다. Horizon Edge Gateway 인스턴스 및 데스크톱 서브넷을 파악할 수 있는 Active Directory 서버. VPN/Express 경로를 통해 연결된 온-프레미스 Active Directory 서버 Microsoft Azure에 있는 Active Directory 서버
  ☐	LDAPS를 사용하여 Active Directory 연결하려는 경우 Active Directory 도메인에 대한 PEM으로 인코딩된 루트 및 중간 CA 인증서를 수집합니다. Horizon Universal Console을 사용하여 Active Directory 도메인을 설정하는 경우 해당 시점에 PEM으로 인코딩된 루트 및 중간 CA 인증서를 업로드하라는 메시지가 표시됩니다.
  ☐	지원되는 Microsoft Windows AD DS(Active Directory Domain Services) 도메인 기능 수준. Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 지원되는 Microsoft Windows AD DS(Active Directory Domain Services) OS 버전. Windows Server 2022 Windows Server 2019 Windows Server 2016 Windows Server 2012 R
  ☐	도메인 바인딩 계정 sAMAccountName 특성이 있는 Active Directory 도메인 바인딩 계정(읽기 권한이 있는 표준 사용자). sAMAccountName 특성은 20자 이하여야 하며 다음 문자를 포함할 수 없습니다. "/ \ [ ] : ; | = , + * ? < >. 계정에는 다음과 같은 사용 권한이 있어야 합니다. 컨텐츠 나열 모든 속성 읽기 사용 권한 읽기 tokenGroupsGlobalAndUniversal 읽기(모든 속성 읽기에 내포) Horizon Cloud 환경에 로그인하기 위한 지속적인 액세스를 보장하도록 계정 암호를 만료되지 않음으로 설정합니다. Horizon 온-프레미스 오퍼링에 익숙한 경우 위의 사용 권한은 Horizon 온-프레미스 오퍼링의 보조 자격 증명 계정에 필요한 것과 동일한 집합입니다. 도메인 바인딩 계정에는 Microsoft Active Directory 배포에서 인증된 사용자에게 일반적으로 부여되는 즉시 사용 가능한 기본 읽기 액세스 관련 사용 권한이 부여되어야 합니다. 그러나 조직의 AD 관리자가 일반 사용자에 대해 읽기 액세스 관련 사용 권한을 잠그도록 선택한 경우에는 해당 AD 관리자가 Horizon Cloud에 사용할 도메인 바인딩 계정에 대해 인증된 사용자 표준 기본값을 보존하도록 요청해야 합니다.
  ☐	보조 도메인 바인딩 계정 기본 도메인 바인딩 계정과 분리되어야 합니다. UI는 두 필드 모두에서 동일한 계정을 다시 사용하지 못하게 합니다. sAMAccountName 특성이 있는 Active Directory 도메인 바인딩 계정(읽기 권한이 있는 표준 사용자). sAMAccountName 특성은 20자 이하여야 하며 다음 문자를 포함할 수 없습니다. "/ \ [ ] : ; | = , + * ? < >. 계정에는 다음과 같은 사용 권한이 있어야 합니다. 컨텐츠 나열 모든 속성 읽기 사용 권한 읽기 tokenGroupsGlobalAndUniversal 읽기(모든 속성 읽기에 내포) Horizon Cloud 환경에 로그인하기 위한 지속적인 액세스를 보장하도록 계정 암호를 만료되지 않음으로 설정합니다. Horizon 온-프레미스 오퍼링에 익숙한 경우 위의 사용 권한은 Horizon 온-프레미스 오퍼링의 보조 자격 증명 계정에 필요한 것과 동일한 집합입니다. 도메인 바인딩 계정에는 Microsoft Active Directory 배포에서 인증된 사용자에게 일반적으로 부여되는 즉시 사용 가능한 기본 읽기 액세스 관련 사용 권한이 부여되어야 합니다. 그러나 조직의 AD 관리자가 일반 사용자에 대해 읽기 액세스 관련 사용 권한을 잠그도록 선택한 경우에는 해당 AD 관리자가 Horizon Cloud에 사용할 도메인 바인딩 계정에 대해 인증된 사용자 표준 기본값을 보존하도록 요청해야 합니다.
  ☐	도메인 가입 계정 시스템에서 Sysprep 작업을 수행하고 가상 컴퓨터를 도메인에 가입시키는 데 사용할 수 있는 Active Directory 도메인 가입 계정입니다. 일반적으로 이 명시적 용도로 생성하는 새 계정입니다. (도메인 가입 사용자 계정) 계정에 sAMAccountName 특성이 있어야 합니다. sAMAccountName 특성은 20자 이하여야 하며 다음 문자를 포함할 수 없습니다. "/ \ [ ] : ; | = , + * ? < >. 계정의 사용자 이름에 공백을 사용하는 것은 현재 지원되지 않습니다. Horizon Cloud에서 Sysprep 작업을 수행하고 가상 컴퓨터를 도메인에 가입시킬 수 있도록 계정 암호를 [만료되지 않음]으로 설정합니다. 이 계정에는 컴퓨터 OU 또는 콘솔의 도메인 가입 UI에 입력할 OU에 적용되는 다음과 같은 Active Directory 사용 권한이 필요합니다. 모든 속성 읽기 - 이 개체만 해당 컴퓨터 개체 생성 - 이 개체 및 모든 하위 개체 컴퓨터 개체 삭제 - 이 개체 및 모든 하위 개체 모든 속성 쓰기 - 하위 컴퓨터 개체 암호 재설정 - 하위 컴퓨터 개체 풀에 사용하려는 대상 OU(조직 구성 단위)와 관련하여 이 계정에는 해당 대상 OU(조직 구성 단위)의 모든 하위 개체에 대한 [모든 속성 쓰기]라는 Active Directory 사용 권한도 필요합니다. 도메인 가입 계정 생성 및 재사용에 대한 자세한 내용은 Active Directory 도메인 바인딩 및 도메인 가입 계정 생성 항목을 참조하십시오. Microsoft Active Directory에서 새 OU를 생성할 때 시스템은 새로 생성된 OU 및 모든 하위 개체에 대한 모든 하위 개체 삭제 사용 권한에 Deny를 적용하는 Prevent Accidental Deletion 특성을 자동으로 설정할 수 있습니다. 따라서 도메인 가입 계정에 컴퓨터 개체 삭제 사용 권한을 명시적으로 할당한 경우, 새로 생성된 OU에서 Active Directory가 명시적으로 할당된 컴퓨터 개체 삭제 사용 권한에 재정의를 적용했을 수 있습니다. 실수로 인한 삭제 방지 플래그를 지우면 Active Directory가 모든 하위 개체 삭제 사용 권한에 적용한 Deny를 자동으로 지우지 않을 수 있으므로 새로 추가된 OU의 경우에는 Horizon Cloud Console에서 도메인 가입 계정을 사용하기 전에 OU 및 모든 하위 OU에서 모든 하위 개체 삭제를 위한 Deny 사용 권한 집합을 확인하고 수동으로 지워야 할 수 있습니다.
  ☐	선택적 보조 도메인 가입 계정 시스템에서 Sysprep 작업을 수행하고 가상 컴퓨터를 도메인에 가입시키는 데 사용할 수 있는 Active Directory 도메인 가입 계정입니다. 일반적으로 이 명시적 용도로 생성하는 새 계정입니다(도메인 가입 사용자 계정). 계정에 sAMAccountName 특성이 있어야 합니다. sAMAccountName 특성은 20자 이하여야 하며 다음 문자를 포함할 수 없습니다. "/ \ [ ] : ; | = , + * ? < >. 계정의 사용자 이름에 공백을 사용하는 것은 현재 지원되지 않습니다. Horizon Cloud에서 Sysprep 작업을 수행하고 가상 컴퓨터를 도메인에 가입시키도록 계속 지원하려면 계정 암호를 [만료되지 않음]으로 설정합니다. 이 계정에는 컴퓨터 OU 또는 콘솔의 도메인 가입 UI에 입력할 OU에 적용되는 다음과 같은 Active Directory 권한이 필요합니다. 모든 속성 읽기 - 이 개체만 해당 컴퓨터 개체 생성 - 이 개체 및 모든 하위 개체 컴퓨터 개체 삭제 - 이 개체 및 모든 하위 개체 모든 속성 쓰기 - 하위 컴퓨터 개체 암호 재설정 - 하위 컴퓨터 개체 풀에 사용하려는 대상 OU(조직 구성 단위)와 관련하여 이 계정에는 해당 대상 OU(조직 구성 단위)의 모든 하위 개체에 대한 [모든 속성 쓰기]라는 Active Directory 사용 권한도 필요합니다. Microsoft Active Directory에서 새 OU를 생성할 때 시스템은 새로 생성된 OU 및 모든 하위 개체에 대한 모든 하위 개체 삭제 사용 권한에 Deny를 적용하는 Prevent Accidental Deletion 특성을 자동으로 설정할 수 있습니다. 따라서 도메인 가입 계정에 컴퓨터 개체 삭제 사용 권한을 명시적으로 할당한 경우, 새로 생성된 OU에서 Active Directory가 명시적으로 할당된 컴퓨터 개체 삭제 사용 권한에 재정의를 적용했을 수 있습니다. 실수로 인한 삭제 방지 플래그를 지우면 Active Directory가 모든 하위 개체 삭제 사용 권한에 적용한 Deny를 자동으로 지우지 않을 수 있으므로 새로 추가된 OU의 경우에는 Horizon Cloud Console에서 도메인 가입 계정을 사용하기 전에 OU 및 모든 하위 OU에서 모든 하위 개체 삭제를 위한 Deny 사용 권한 집합을 확인하고 수동으로 지워야 할 수 있습니다.
  ☐	가상 데스크톱 및 RDS 세션 기반 데스크톱 또는 게시된 애플리케이션에 대한 Active Directory OU(조직 구성 단위) 또는 단위(OU). Microsoft Active Directory에서 새 OU를 생성할 때 시스템은 새로 생성된 OU 및 모든 하위 개체에 대한 모든 하위 개체 삭제 사용 권한에 Deny를 적용하는 Prevent Accidental Deletion 특성을 자동으로 설정할 수 있습니다. 따라서 도메인 가입 계정에 컴퓨터 개체 삭제 사용 권한을 명시적으로 할당한 경우, 새로 생성된 OU에서 Active Directory가 명시적으로 할당된 컴퓨터 개체 삭제 사용 권한에 재정의를 적용했을 수 있습니다. 실수로 인한 삭제 방지 플래그를 지우면 Active Directory가 모든 하위 개체 삭제 사용 권한에 적용한 Deny를 자동으로 지우지 않을 수 있으므로 새로 추가된 OU의 경우에는 Horizon Cloud Console에서 도메인 가입 계정을 사용하기 전에 OU 및 모든 하위 OU에서 모든 하위 개체 삭제를 위한 Deny 사용 권한 집합을 확인하고 수동으로 지워야 할 수 있습니다.

  사용자 ID 요구 사항

  Horizon Cloud는 외부 ID 제공자에 의존하며 현재 Microsoft Entra ID(Active Directory) 및 Omnissa Workspace ONE Access를 지원합니다. Horizon Cloud를 사용하여 구성하는 ID 제공자는 사용자가 데스크톱에 액세스하려고 할 때 필요한 인증을 수행합니다.

  Microsoft Entra ID 및 Workspace ONE Access의 경우 온-프레미스 Active Directory를 외부 ID 제공자에 연결해야 합니다.

  필요한 설정 정보는 ID 제공자 설정을 참조하십시오.

  vCenter 요구 사항

  Horizon Cloud는 일체형(단일/일반) SDDC 모델을 사용하며 관리 워크로드에 대해 별도의 vCenter가 필요하지 않습니다. vCenter 요구 사항은 vSphere 또는 SDDC에 대해 다음과 같습니다.

  • • VM CRUD 작업에 대한 관리자 자격 증명이 있는 vCenter 인스턴스(vSphere 8.0 이상). vSphere 태그 지정 권한 그룹에서 모든 권한을 사용하도록 설정해야 합니다. 자격 증명에 필요한 최소 사용 권한은 Horizon Cloud에 대한 vCenter Server 사용자 구성을 참조하십시오.

  • 사용할 클러스터에서 사용하도록 설정한 DRS 및 HA. 클러스터의 일부인 모든 호스트에서 vSphere 관련 기능 CBRC를 사용하도록 설정해야 합니다.

  • 클러스터의 일부인 모든 호스트에서 사용하도록 설정한 CBRC.

  • 아래와 같은 하나 이상의 데이터 센터:

    • ESXi 호스트가 3개 이상인 하나 이상의 클러스터. 클러스터는 데이터 센터 폴더 바로 아래에 있어야 하며 호스트 및 클러스터 폴더 안에 있지 않아야 합니다.

    • IOPS로 식별되고 Horizon Edge, UAG 및 데스크톱 VM을 호스팅할 수 있는 용량을 가진 하나 이상의 데이터스토어(VSAN 또는 VMFS).

  • 관리 VM 및 데스크톱 VM을 배포하기 위한 가상 시스템 폴더.

  • 관리 VM 및 데스크톱 VM 배포를 위해 필요한 리소스 풀을 생성합니다. 각 테넌트 조직에 대해 하나 이상의 집합이 권장됩니다.

  • 관리 VM 및 데스크톱 VM 배포를 위해 필요한 가상 시스템 폴더를 생성합니다. 각 테넌트 조직에 대해 하나 이상의 집합이 권장됩니다.

  네트워크 요구 사항

  다음 네트워킹 사전 요구 사항이 필요합니다. 3개의 네트워크(DMZ, 관리 및 데스크톱)와 해당 포트 그룹에는 각각 해당 VLAN에 정적 또는 예약된 IP가 필요합니다. 최소 요구 사항은 /30입니다. 각 테넌트 조직에 대해 하나 이상의 집합이 있고 파트너 조직에 대해 하나 이상의 집합이 있습니다.

  • DMZ 네트워크

    • UAG의 DMZ 네트워크 인터페이스가 연결되는 포트 그룹입니다. 최종 사용자가 연결하는 네트워크에서 연결할 수 있어야 합니다.
    • 정적 IP 범위 최소 요구 사항은 2개의 연속하는 IP입니다. 예를 들어 UAG 클러스터가 10까지 커지도록 지원하려면 10.202.155.30-10.202.155.39가 필요합니다.
    • 고급 UAG: 다른 2개 네트워크와 크기가 동일한 정적 IP 범위여야 합니다. 최대 10개 IP가 허용됩니다.

  • 관리 네트워크

    • UAG의 관리 네트워크 인터페이스가 연결된 포트 그룹입니다. Edge VM이 배포될 포트 그룹이기도 합니다.
    • 정적 IP 범위 최소 요구 사항은 2개의 연속하는 IP입니다. 예를 들어 UAG 클러스터가 10까지 커지도록 지원하려면 172.20.241.30-172.202.155.39가 필요합니다.
    • 고급 UAG: 다른 2개 네트워크와 크기가 동일한 정적 IP 범위여야 합니다. 최대 10개 IP가 허용됩니다.

  • 데스크톱 네트워크

    • UAG의 데스크톱 네트워크 인터페이스가 연결된 포트 그룹입니다. 데스크톱 VM이 배포되는 포트 그룹입니다. 데스크톱 VM은 Edge VM 및 Active Directory 인프라에 연결할 수 있어야 합니다.
    • 정적 IP 범위 최소 요구 사항은 2개의 연속하는 IP입니다. 예를 들어 UAG 클러스터가 10까지 커지도록 지원하려면 192.168.240.30-192.168.240.39가 필요합니다.
    • 고급 UAG: 다른 2개 네트워크와 크기가 동일한 정적 IP 범위여야 합니다. 최대 10개 IP가 허용됩니다.

  또한 다음과 같은 네트워킹 사전 요구 사항을 충족해야 합니다.

  • 데스크톱 VM이 FQDN을 사용하여 Edge VM에 도달할 수 있도록, 식별된 관리 네트워크의 정적 IP와 확인 가능한 FQDN(DNS 인프라의 A 레코드)이 Edge VM에 필요합니다. 각 테넌트 조직에 대해 최소 1개, 파트너 조직에 대해 1개가 필요합니다.

  • UAG FQDN에 대해 생성된 DNS 항목으로, 여러 UAG 배포 시 로드 밸런서 VIP로 확인됩니다. 각 테넌트 조직의 각 UAG 배포에 대해 하나씩 필요합니다.

  • vSphere Edge를 배포하기 위한 포트 및 프로토콜 요구 사항에 나열된 모든 필수 포트 및 프로토콜을 사용자와 공유되는 폴더에서 사용할 수 있으며 Horizon Cloud 시작하기 제품 설명서에 설명된 대로 올바르게 허용 목록에 포함되어 있는지 확인합니다.

  네트워크 요구 사항에 대한 관련 정보를 보려면 vSphere Edge 배포에 대한 네트워크 설정 구성을 참조하십시오.

  포트 및 프로토콜 요구 사항

  Horizon Cloud 환경의 배포 및 진행 중인 작업에는 특정 포트 및 프로토콜이 필요합니다. vSphere Edge 배포를 위한 포트 및 프로토콜 요구 사항을 참조하십시오.

  인증서 요구 사항

  인증서 요구 사항은 다음과 같습니다.

  • FQDN과 일치하는 PEM 또는 PFX 형식의 UAG(Unified Access Gateway)용 인증서.

  • 자체 서명된 SSL 인증서. OpenSSL을 사용하여 자체 서명된 SSL 인증서를 생성할 수 있습니다. 예제 스크립트는 아래에 제공되어 있습니다.

  예: CSR 및 키 생성

  openssl req -new -newkey rsa:2048 -nodes -keyout uag.key -out uag.csr

  예: PEM 생성 및 키를 사용하여 자체 서명

  openssl x509 -req -sha256 -days 365 -in uag.csr -signkey uag.key -out uag.pem

  예: PEM에 결합

  cat uag.pem uag.key > uag_cert.pem