No Horizon Cloud, conclua as seguintes etapas no Horizon Universal Console para registrar o primeiro domínio do Active Directory com o serviço ou registrar domínios adicionais do Active Directory.
Conforme descrito em Gerenciamento de identidade e acesso, o serviço usa o Active Directory registrado para a identidade da máquina para os desktops virtuais e aplicativos remotos.
Pré-requisitos
-
Requisitos do Active Directory
O assistente de Registro de Domínio do console requer a inserção de informações específicas. Antes de executar estas etapas no console, verifique se você ou sua equipe de TI atenderam aos requisitos relacionados ao Active Directory, conforme descrito na seção Requisitos do Active Directory na lista de verificação de requisitos para seu tipo de capacidade:
-
Pontos-chave e requisitos específicos do LDAPS
Se você planeja usar o LDAPS na sua implantação, observe os seguintes pontos-chave e requisitos.
-
Os certificados da CA intermediária e raiz codificados por PEM devem estar prontos para carregamento.
-
Não há suporte para certificados autoassinados.
-
O serviço requer que o seu DNS tenha registros SRV para os domínios configurados para usar o LDAPS. A escolha de usar LDAPS para um domínio impõe implicitamente o uso de registros SRV.
-
Como uma recomendação expressa, seu ambiente do AD deve ser configurado para impor associação de canal. Impor associação de canal é uma parte vital da proteção correta do LDAPS, especialmente para evitar ataques man-in-the-middle (MITM).
-
Sua configuração de firewall deve permitir conexões de saída do Horizon Edge Gateway para seus controladores de domínio com as seguintes portas e protocolos, conforme descrito nos requisitos de porta e protocolo para seu tipo de capacidade:
-
Porta 88/TCP: autenticação Kerberos
-
Portas 636/TCP e 3269/TCP: comunicação LDAPS
-
Você deve ter um endpoint de revogação HTTP definido para todos os certificados na cadeia de confiança, exceto para o certificado raiz, e esse endpoint deve ser acessível em
HTTP. Esse requisito inclui os seguintes pontos: -
O serviço executará verificações de revogação usando as URLs OCSP ou CRL
HTTPdefinidas em seus certificados. -
O serviço não poderá realizar uma verificação de revogação se um certificado não definir um endpoint OCSP ou CRL para o protocolo HTTP. Nesse caso, a conectividade LDAPS falha.
-
A revogação da linha de visão deve estar disponível para endpoints. Seus firewalls não devem bloquear o tráfego de saída para o endpoint de revogação por meio de
HTTP.
-
Procedimento
-
Clique em Integrações no painel esquerdo e, no bloco Identidade e Acesso, clique em Gerenciar.
-
Na guia Domínios, inicie o assistente de Registro de Domínio do console clicando em Adicionar.
-
Na primeira etapa do assistente, forneça as informações indicadas
Campo Descrição Nome O nome do domínio do Active Directory. Descrição Descrição opcional. Nome de Domínio DNS O nome totalmente qualificado desse domínio do Active Directory (por exemplo, our-ad.example.com).UO padrão Digite uma UO padrão apropriada. Essa UO é a unidade organizacional (UO) do Active Directory que você deseja que o serviço use como padrão ao adicionar as identidades de máquina que ele cria para as áreas de trabalho virtuais e os aplicativos remotos.
Digite o nome distinto completo da UO, comoOU=MyOrg,DC=our-ad,DC=example,DC=com.
Nota: se quiser usar o padrão deCN=Computers, digite isso no campo. Mesmo que você possa ver a UI exibindo esse valor padrão no campo, o assistente não disponibilizará o botão Próximo, a menos que você o digite diretamente nesse campo.Contas de BIND de domínio Forneça os nomes de usuário e senhas das duas contas de serviço que você ou sua equipe de TI configuraram para essa finalidade, conforme descrito na seção Requisitos do Active Directory na lista de verificação de requisitos para seu tipo de capacidade: - Lista de verificação de requisitos para a implantação de um Microsoft Azure Edge
- Lista de verificação de requisitos para implantar um Amazon WorkSpaces Core Edge
- Lista de verificação de requisitos para a implantação de um vSphere Edge
Certifique-se de que as contas inseridas aqui atendam aos requisitos detalhados na lista de verificação de requisitos.Contas de Ingresso no Domínio Forneça os nomes de usuário e senhas das duas contas de serviço que você ou sua equipe de TI configuraram para essa finalidade, conforme descrito na seção Requisitos do Active Directory na lista de verificação de requisitos para seu tipo de capacidade: - Lista de verificação de requisitos para a implantação de um Microsoft Azure Edge
- Lista de verificação de requisitos para implantar um Amazon WorkSpaces Core Edge
- Lista de verificação de requisitos para a implantação de um vSphere Edge
Certifique-se de que as contas inseridas aqui atendam aos requisitos detalhados na lista de verificação de requisitos.Protocolo Selecione o protocolo, LDAP ou LDAPS, a ser usado para conectar seu Active Directory ao Horizon Edge Gateway.
Se você selecionar LDAPS, use o recurso Navegar para carregar seus certificados da CA intermediária e raiz codificados em PEM, que são referenciados nos pré-requisitos dessa tarefa.Quando tiver inserido todas as informações necessárias, o sistema disponibilizará o botão Avançar.
-
Prossiga para a próxima etapa do assistente clicando em Avançar.
Nesse ponto, o assistente disponibiliza a ação Salvar para concluir o salvamento das informações do domínio no sistema.
- Se não estiver planejando usar o SSO, você poderá concluir o assistente da interface do usuário neste ponto, clicando em Salvar.
- Se você planeja usar o recurso True SSO, continue na próxima etapa nesta página. O uso do recurso True SSO requer uma Autoridade de Certificação Empresarial da Microsoft, conforme descrito em Tipos de Autoridade de Certificação Compatíveis para Usar SSO com um Horizon Edge.
- Se você planeja usar o SSO que depende da CA do Horizon Cloud ou de autoridades de certificação que não sejam uma Autoridade de Certificação Empresarial da Microsoft, pode concluir o assistente da interface do usuário neste momento clicando em Salvar. Posteriormente, você pode concluir essa configuração de SSO usando as etapas em Adicionar uma configuração de SSO para uma CA do Horizon Cloud.
-
(Opcional) Se você planeja usar True SSO com as áreas de trabalho virtuais e os aplicativos remotos dos usuários finais, na seção Conta de Serviço de Registro de Domínio do assistente, ative a opção Usar Conta de Serviço de Registro.
Quando esse botão de alternância está ativado, a UI exibe campos para você inserir as credenciais de conta das contas de inscrição de domínio exigidas pelo recurso True SSO. Forneça essas informações.
Atenção: se você planeja usar um SSO que depende da CA do Horizon Cloud, poderá ignorar essa etapa de especificação de informações da conta de inscrição de domínio.
Uma conta de inscrição de domínio é uma conta de serviço de inscrição que o recurso True SSO utiliza para obter certificados de curto prazo do Microsoft AD CS (Active Directory Certificate Services). O True SSO usa os certificados para autenticação, para evitar solicitar credenciais do Active Directory aos usuários. Você pode ver o Horizon Universal Console usando os termos "conta de inscrição de domínio", "conta de serviço de inscrição" e "conta de serviço de inscrição de domínio" de maneira intercambiável.
Depois que você preencher os campos, o assistente disponibilizará a ação Salvar para concluir o salvamento das informações do domínio no sistema.
Clique em Salvar para concluir o salvamento de todas as informações fornecidas no assistente.
Resultados
Sua configuração do Active Directory com o Horizon Edge foi concluída.
O que fazer agora
Ao concluir as etapas anteriores, o serviço terá as informações de domínio do Active Directory necessárias para uma implantação do Horizon Cloud.
Para saber mais sobre como adicionar a funcionalidade de Single Sign-On (SSO) para seus usuários finais ao acessarem seus desktops e aplicativos, consulte Tipos de Autoridade de Certificação Compatíveis para Uso de SSO com o Horizon Edge.
Esta página foi útil?