Criar uma entidade de serviço para a assinatura do Microsoft Azure

Para implantações do Horizon Cloud on Microsoft Azure, o serviço usa chamadas de API para implantar recursos em uma assinatura do Microsoft Azure e gerenciá-los. Para permitir que o Horizon Cloud use suas chamadas de API na assinatura do Microsoft Azure, crie uma entidade de serviço, chamada de registro de aplicativo no Microsoft Entra ID.

Além da entidade de serviço principal do provedor, você pode criar quatro entidades de serviço adicionais e exclusivas para um provedor. Para suportar um total de 5.000 VMs, adicione quatro entidades de serviço adicionais. Quando você tem várias entidades de serviço, elas compartilham a ID da Assinatura e a ID do diretório, mas cada entidade de serviço tem sua própria ID de aplicativo.

Importante: use a mesma função para cada entidade de serviço.

Crie uma entidade de serviço para acessar e usar a capacidade da sua assinatura do Microsoft Azure para o Horizon Cloud. O ID da assinatura do Microsoft Azure, o ID do diretório, o ID e a chave do aplicativo são usados no Horizon Cloud.

Observação: realize as tarefas nesta seção no portal do Microsoft Azure. Você pode encontrar os detalhes da configuração na documentação da Microsoft, Usar o portal para criar um aplicativo do Azure AD e uma entidade de serviço que possa acessar recursos. Embora a Microsoft recomende o uso de uma autenticação baseada em certificado para a entidade de serviço, exigimos autenticação baseada em chave/segredo para a entidade de serviço.

A entidade de Horizon Cloud Service deve ter uma função atribuída na assinatura. Normalmente, o Horizon Cloud usa a função interna Contributor com a assinatura.

A função Contributor é usada porque essa função abrange todas as chamadas de API que o Horizon Cloud deve realizar na assinatura. A atribuição de função deve ser uma atribuição direta. Não há suporte para o uso de uma atribuição baseada em grupo de uma função, na qual a função é atribuída a um grupo e a entidade de serviço é um membro desse grupo.

Se sua organização prefere evitar o uso da função Contributor na assinatura, o Horizon Cloud dá suporte ao uso de uma função personalizada. Se usada, a função personalizada precisa fornecer as chamadas de API específicas que o Horizon Cloud precisa usar. Para obter mais informações, consulte Para usar uma função personalizada para o registro de aplicativos do Horizon Cloud.

Observação: Ao excluir um pool ou uma VM do Microsoft Entra ID, a entidade de serviço deve ter permissões para excluir a entrada do dispositivo do Microsoft Entra ID.

As permissões são das seguintes:

Escopo: https://graph.microsoft.com/

Permissão: Device.ReadWrite.All Read and write devices

Consentimento do Administrador: Yes

A permissão pode ser dada navegando até o seguinte local:

Assinatura > Azure Active Directory > Registros de Aplicativos > Selecione o aplicativo ao qual a permissão precisa ser concedida > Permissão de API > Selecione Microsoft GRAPH > Selecione Device.ReadWriteAll

As etapas a seguir fornecem as configurações a serem usadas no seu ambiente do Horizon Cloud:

Procedimento

• Configure até quatro entidades de serviço e segredos de cliente para a assinatura.

  1. Defina a duração da expiração do segredo do cliente para o comprimento de sua preferência, como 24 Months.

  2. Salve uma cópia do segredo do cliente para consulta futura.

  3. Atribua a função apropriada a cada entidade de serviço para permitir que a entidade de serviço gerencie recursos na assinatura.

O que fazer agora

Registre os provedores de recursos necessários. Consulte Confirmação de que os provedores de recursos necessários estão registrados em sua assinatura do Microsoft Azure.