Lista de verificação de requisitos para a implantação de um Microsoft Azure Edge

O objetivo desta lista de verificação é informar sobre os elementos necessários para fazer uma implantação nativa do Microsoft Azure usando o Horizon Control Plane.

Observação: uma implantação do Horizon Cloud on Microsoft Azure refere-se a uma infraestrutura nativa do Microsoft Azure.

Público-alvo da lista de verificação

Essa lista de verificação é para contas de clientes do Horizon Cloud que nunca tiveram uma implantação do Horizon Cloud on Microsoft Azure em seu ambiente de locatário. Esses locatários podem ser chamados de ambientes "clean-slate" ou ambientes "greenfield".

Você deve executar alguns itens a seguir antes de implantar o Horizon Cloud. Você pode adiar alguns itens até que a implantação seja concluída e esteja em execução.

Requisitos de assinatura do Microsoft Azure

Para limites de configuração, consulte Dimensionar sua implantação do Horizon Cloud que inclui informações sobre como usar a ferramenta Configuration Maximums. Na página Configuration Maximums, selecione Visualizar Limites, Horizon Cloud, a versão mais recente e as categorias que você deseja visualizar.

✓	Assinaturas válidas do Microsoft Azure em um ambiente Microsoft Azure compatível. Se você quiser implantar dispositivos do Horizon Edge, que incluem instâncias do Horizon Edge Gateway e do Unified Access Gateway, em seu próprio provedor dedicado (assinatura do Microsoft Azure), obtenha outra assinatura válida do Microsoft Azure para implantar pools. Nota: O Horizon Cloud oferece suporte à maioria das regiões do Microsoft Azure.
✓	Privilégios administrativos válidos do Microsoft Azure em cada assinatura do Microsoft Azure, para você usar o portal do Microsoft Azure e executar as etapas de preparação da implantação do Horizon Cloud.
✓	Certifique-se de que nenhuma política ou bloqueio de recursos do Azure esteja em vigor para impedir que os recursos de implantação do Edge sejam criados. Por exemplo, a criação de endpoint privado que é bloqueada por uma política ou bloqueio de recursos criado se você selecionar a conectividade de Link Privado do Azure.
✓	Crie uma ou mais entidades de serviço em cada assinatura do Microsoft Azure, anotando a ID da Assinatura, a ID do diretório e a ID do aplicativo, e atribua a função apropriada a cada entidade de serviço em suas assinaturas. Consulte Criar uma entidade de serviço para a assinatura do Microsoft Azure. Para usar uma função personalizada para sua entidade de serviço, consulte Para usar uma função personalizada para o registro de aplicativos do Horizon Cloud. Observação: quando você cria várias entidades de serviço, elas compartilham o ID de assinatura e o ID de diretório, mas cada entidade de serviço tem seu próprio ID de aplicativo.
✓	Determine o tipo de formato do Microsoft Azure Edge que você deseja implantar. As seguintes opções estão disponíveis. Edge Gateway (VM) = Máquina Virtual do Edge Gateway O Edge Gateway (VM) é para implantações menores sem alta disponibilidade. Edge Gateway (AKS) = Serviço Kubernetes do Edge Gateway do Azure O Edge Gateway (AKS) fornece alta disponibilidade.
✓	Para implantar o Edge Gateway (AKS), crie uma identidade gerenciada pelo usuário do Microsoft Azure. O Horizon Edge usando um cluster AKS requer uma identidade gerenciada pelo usuário com a função de Colaborador de Rede no escopo do grupo de recursos da VNet de gerenciamento e a função de Operador de Identidade Gerenciada no escopo da assinatura do Microsoft Azure. Consulte a documentação da Microsoft sobre o gerenciamento de identidades gerenciadas atribuídas pelo usuário. A sua sub-rede de Gerenciamento tiver uma tabela de rotas, o grupo de recursos dessa tabela de rotas for diferente do grupo de recursos da VNet, a função de Colaborador de Rede também deverá ser atribuída ao grupo de recursos da tabela de rotas.
✓	Registre os provedores de recursos necessários para sua assinatura do Microsoft Azure. Consulte Confirmação de que os provedores de recursos necessários estão registrados em sua assinatura do Microsoft Azure.
✓	Crie uma função personalizada que forneça permissões de LEITURA para a Galeria de Computação do Azure em suas assinaturas e atribua essa função personalizada a todas as entidades de serviço configuradas para determinado Horizon Edge.
✓	Se a sua assinatura do Azure exigir que grupos de recursos tenham determinadas tags aplicadas durante a implantação, tenha uma lista dessas tags de recursos do Azure disponíveis para serem fornecidas durante a implantação do Microsoft Azure Edge.
✓	Se você planeja usar a criptografia para uma implantação do Edge Gateway (AKS), habilite a criptografia na sua assinatura do Microsoft Azure. Se você tiver os recursos EncryptionAtHostSupported ativados no nível de assinatura, a criptografia de disco será respeitada. Para ativar esse recurso na sua assinatura do Azure, execute as etapas na seção Pré-requisitos de Usar o portal do Azure para ativar a criptografia de ponta a ponta usando a criptografia no host.

Requisitos de capacidade do Microsoft Azure

Quando a tabela a seguir se refere à capacidade do Microsoft Azure, não é necessária nenhuma instalação manual. Desde que as capacidades declaradas estejam disponíveis na assinatura, o implantador instancia automaticamente as VMs descritas.

✓

Capacidade do Microsoft Azure para os principais recursos do Horizon Edge serem implantados nessa assinatura. Observe que os requisitos de capacidade variam de acordo com o formato do Microsoft Azure Edge implantado, edge gateway (AKS) ou edge gateway (VM). Edge Gateway (AKS): cota suficiente para um cluster AKS de 3 nós e um nó adicional durante atualizações. Uma implantação do Edge Gateway (AKS) faz uso de um cluster do Azure Kubernetes Service (AKS), que requer três nós de um dos tamanhos de VM compatíveis para capacidade. Veja abaixo a lista de tamanhos de SKU de VM com suporte para uma implantação do Edge Gateway (AKS) em ordem decrescente de prioridade. Se a sua assinatura do Microsoft Azure tiver capacidade para pelo menos um dos tamanhos de SKU da VM a seguir, a implantação do Edge será aceita. Caso contrário, a implantação do Edge será rejeitada. Standard_D2s_v3 : 2 vCPU, 8 GB de memória Standard_D2ds_v5 - 2 vCPU, 8 GB de memória Standard_D2a_v4 - 2 vCPU, 8 GB de memória Durante a operação normal do cluster do AKS, são necessários três nós de VM. Um nó adicional é necessário e usado durante o processo de atualização. Edge Gateway (VM): cota suficiente para uma única máquina virtual. Veja abaixo a lista de tamanhos de SKU de VM com suporte para uma implantação de Edge Gateway (VM) em ordem decrescente de prioridade. Se a sua assinatura do Microsoft Azure tiver capacidade para pelo menos um dos tamanhos de SKU da VM a seguir, a implantação do Edge será aceita. Caso contrário, a implantação do Edge será rejeitada. Standard_D4s_v3: 4 vCPUs, 16 GB de memória Standard_D4s_v4: 4 vCPU, 16 GB de memória Execute comandos para verificar a disponibilidade do modelo de VM do Microsoft Azure e verificar a saída da CPU regional. Consulte Verificar a disponibilidade do modelo de VM do Microsoft Azure. Instâncias do Unified Access Gateway: mínimo de 2 x dos tamanhos suportados a seguir. O tamanho padrão e recomendado é Standard_F8s_v2. Standard_A4_v2 Standard_D8s_v4 Standard_D16s_v4 Standard_F8s_v2 Standard_F16s_v2 Observação: o modelo de VM A4_v2 é suficiente apenas para provas de conceito (PoCs), pilotos ou ambientes menores onde você sabe que não excederá 1.000 sessões ativas no Horizon Edge. Quando sua instância do Horizon Edge estiver pronta para uso, sua capacidade na nuvem do Microsoft Azure também deverá acomodar as VMs importadas, imagens, VMs de pool e VMs de captura de aplicativos do App Volumes que você criar nessa instância do Horizon Edge. Consulte a seção Requisitos do sistema de gerenciamento de imagens.

Requisitos de rede

Os requisitos de rede a seguir incluem os detalhes necessários para implantar e operar um Horizon Edge com êxito. As duas tabelas a seguir são semelhantes, mas diferentes. Use a tabela que se aplica ao tipo de formato do Microsoft Azure Edge que você planeja implantar, Edge Gateway (VM) ou Edge Gateway (AKS).

• Edge Gateway (VM)

  Use a tabela a seguir para uma implantação do Edge Gateway (VM).

Requisitos de rede para um Edge Gateway (VM)

✓	Rede virtual do Microsoft Azure (VNet) criada na região de destino do Microsoft Azure com espaço de endereço aplicável para cobrir as sub-redes necessárias. Consulte Definição das configurações de rede para regiões do Microsoft Azure.
✓	Os requisitos de sub-rede a seguir são mínimos. Para ambientes maiores, sub-redes maiores podem ser necessárias. Sub-rede de gerenciamento: No mínimo /26 Sub-rede de desktop (locatário): Principal: mínimo de /27, mas dimensionado adequadamente com base no número de áreas de trabalho e servidores RDS. Você pode adicionar mais sub-redes conforme necessário. Sub-rede DMZ: mínimo de /27 para o cluster de instâncias do Unified Access Gateway (não necessário para o tipo de acesso interno do Unified Access Gateway). Você deve criar sub-redes manualmente na VNet como um pré-requisito. Consulte Definição das configurações de rede para regiões do Microsoft Azure. Como prática recomendada, não anexe outros recursos às sub-redes. Ao escolher usar um provedor dedicado para implantar dispositivos do Horizon Gateway (Horizon Edge Gateway e Unified Access Gateway), você deve criar sub-redes de back-end no provedor do qual os desktops serão implantados.
✓	Confirme se suas redes internas não se sobrepõem aos seguintes valores usados pelo Kubernetes, que são executados dentro do tipo de implantação do Edge Gateway (VM). CIDR do Serviço: 192.168.236.0/23 CIDR do pod: 192.168.240.0/21
✓	Configure o servidor DNS da VNet (Rede Virtual), apontando para um servidor DNS válido que possa resolver os nomes de máquina internos e os nomes externos. Consulte Configurar registros DNS necessários após implantar o Horizon Edge Gateway e o Unified Access Gateway. Para endpoints internos, o servidor do AD é um exemplo. Para endpoints externos, o acesso de saída à Internet nas VNets que você está usando para a implantação do gateway deve resolver e alcançar nomes DNS específicos usando portas e protocolos específicos. Isso é necessário para a implantação e a continuidade das operações.
✓	O acesso de saída à Internet nas VNets que você está usando para a implantação do Horizon Edge deve resolver e alcançar nomes de DNS específicos usando portas e protocolos específicos. Isso é necessário para a implantação e a continuidade das operações. Para obter a lista de nomes e portas DNS, consulte Tornar URLs de destino apropriadas acessíveis para implantar um Horizon Edge Gateway em um ambiente Microsoft Azure.
✓	Opcional. Informações do servidor proxy, se necessárias para acesso de saída à Internet na VNet usada durante a implantação e as operações contínuas do ambiente do Horizon Cloud.
✓	Opcional. O Microsoft Azure VPN/ExpressRoute configurado, quando você deseja a rede entre a VNet e sua rede corporativa local.

• Edge Gateway (AKS)

  Use a tabela a seguir para uma implantação do Edge Gateway (AKS). Esses requisitos incluem suporte para a configuração do Horizon Edge Gateway usando um cluster do AKS. A configuração do Horizon Edge Gateway usando um cluster do AKS fornece uma solução mais facilmente escalável.

Requisitos de rede para um edge gateway (AKS)

✓	Rede virtual do Microsoft Azure (VNet) criada na região de destino do Microsoft Azure com espaço de endereço aplicável para cobrir as sub-redes necessárias. Consulte Definição das configurações de rede para regiões do Microsoft Azure.
✓	Os requisitos de sub-rede a seguir são mínimos. Para ambientes maiores, sub-redes maiores podem ser necessárias. Sub-rede de gerenciamento: No mínimo /26 Se estiver implantando um Edge Gateway (AKS), configure um gateway NAT para a sub-rede de gerenciamento, porque um Horizon Edge usando um cluster AKS precisa de um NAT Gateway para conectividade de saída. Sub-rede de desktop (locatário): Principal: mínimo de /27, mas dimensionado adequadamente com base no número de áreas de trabalho e servidores RDS. Você pode adicionar mais sub-redes conforme necessário. Sub-rede DMZ: mínimo de /27 para o cluster de instâncias do Unified Access Gateway (não necessário para o tipo de acesso interno do Unified Access Gateway). Você deve criar sub-redes manualmente na VNet como um pré-requisito. Consulte Definição das configurações de rede para regiões do Microsoft Azure. Como prática recomendada, não anexe outros recursos às sub-redes. Ao escolher usar um provedor dedicado para implantar dispositivos do Horizon Gateway (Horizon Edge Gateway e Unified Access Gateway), você deve criar sub-redes de back-end no provedor do qual os desktops serão implantados.
✓	Se você estiver implantando um Edge Gateway (AKS) e selecionar o valor do tipo de saída do cluster como gateway NAT no momento da criação do Edge, configure um gateway NAT na sub-rede de gerenciamento para ativar a conectividade de saída para o Horizon Edge Gateway. Se você selecionar o valor do tipo de saída do cluster como Rotas definidas pelo usuário no momento da criação do Edge, configure uma tabela de rotas na sub-rede de gerenciamento com a rota padrão 0.0.0.0/0 apontando para um próximo salto do tipo VirtualAppliance ou VirtualNetworkGateway.
✓	Reúna os seguintes intervalos de endereços IP CIDR, necessários para configurar o Horizon Edge Gateway durante a implantação. Observação: certifique-se de que esses intervalos não entrem em conflito com outros intervalos em uso no seu ambiente. CIDR do serviço: no mínimo /27 CIDR do pod: no mínimo /21 Se estiver implantando um Edge Gateway (AKS) para implantar com êxito o cluster do AKS, você deverá cumprir o seguinte requisito do Microsoft Azure. No momento em que você implantar o Horizon Edge usando o Horizon Universal Console, certifique-se de que o CIDR de serviço, o CIDR de pod e o espaço de endereço da VNet da sub-rede de gerenciamento não entrem em conflito com os seguintes intervalos de IP: 169.254.0.0/16 172.30.0.0/16 172.31.0.0/16 192.0.2.0/24
✓	Configure o servidor DNS da VNet (Rede Virtual), apontando para um servidor DNS válido que possa resolver os nomes de máquina internos e os nomes externos. Consulte Configurar registros DNS necessários após implantar o Horizon Edge Gateway e o Unified Access Gateway. Para endpoints internos, o servidor do AD é um exemplo. Para endpoints externos, o acesso de saída à Internet nas VNets que você está usando para a implantação do gateway deve resolver e alcançar nomes DNS específicos usando portas e protocolos específicos. Isso é necessário para a implantação e a continuidade das operações.
✓	O acesso de saída à Internet nas VNets que você está usando para a implantação do Horizon Edge deve resolver e alcançar nomes de DNS específicos usando portas e protocolos específicos. Isso é necessário para a implantação e a continuidade das operações. Para obter a lista de nomes e portas DNS, consulte Tornar URLs de destino apropriadas acessíveis para implantar um Horizon Edge Gateway em um ambiente Microsoft Azure.
✓	Opcional. Informações do servidor proxy, se necessárias para acesso de saída à Internet na VNet usada durante a implantação e as operações contínuas do ambiente do Horizon Cloud.
✓	Opcional. O Microsoft Azure VPN/ExpressRoute configurado, quando você deseja a rede entre a VNet e sua rede corporativa local.
✓	Se estiver implantando um Edge Gateway (AKS), em relação a um Horizon Edge usando um cluster AKS, se a VNet que você está usando para a implantação do Horizon Edge tiver um servidor DNS personalizado, você deverá adicionar o endereço IP DNS do Microsoft Azure 168.63.129.16 como um encaminhador DNS para resolução de nomes externos.

Requisitos de portas e protocolos

✓	Portas e protocolos específicos são necessários para implantação e operações contínuas do seu ambiente Horizon Cloud. Consulte Requisitos de portas e protocolos para sua implantação do Horizon Cloud no Microsoft Azure.

Requisitos do Unified Access Gateway

Um cluster de VMs do Unified Access Gateway é associado a um pool, o que possibilita que os clientes tenham conexões confiáveis do Horizon Web Client com as VMs desse pool.

Você usa o Horizon Universal Console para configurar o Horizon Cloud com o Unified Access Gateway. Os itens abaixo são necessários para esse tipo de configuração.

✓	Para todos os tipos de configuração, é necessário acesso de saída à Internet para o seguinte nome de endpoint: *.horizon.omnissa.com Quando Permitir Acesso Interno em uma Rede Corporativa é o Tipo de Acesso do Unified Access Gateway, o roteamento definido pelo usuário ou o Gateway NAT podem ser aplicados à Sub-rede de gerenciamento para permitir o tráfego de saída. Quando o Tipo de Acesso do Unified Access Gateway é configurado externamente com uma rede DMZ, o acesso externo aos seguintes nomes de endpoint deve ser configurado na rede DMZ: *.horizon.omnissa.com
✓	Um FQDN interno, um FQDN externo ou ambos são necessários, dependendo do tipo de acesso selecionado durante a configuração do Unified Access Gateway. Se você fornecer aos usuários finais apenas acesso interno, um único FQDN será necessário. Se você fornecer aos usuários finais apenas acesso externo, um único FQDN será necessário. Se você fornecer aos usuários finais acesso interno e externo, poderá configurar um único FQDN comum ou dois FQDNs separados. Se você quiser isolar o acesso interno e externo, configure URLs separadas. Caso contrário, o mesmo FQDN pode ser configurado para acesso interno e externo.
✓	Certificado ou certificados para o Unified Access Gateway no formato PEM ou PFX correspondente ao FQDN. Nota: se o certificado ou os certificados que você fornecer para essa finalidade usarem as CRLs (listas de certificados revogados) ou as configurações de OCSP (protocolo de status de certificados on-line) que se referem a nomes DNS específicos, você deverá garantir que o acesso à internet de saída na VNet para esses nomes DNS seja resolvível e acessível. Durante a configuração do certificado fornecido na configuração do Unified Access Gateway, o software Unified Access Gateway acessa esses nomes de DNS para verificar o status de revogação do certificado. Se esses nomes DNS não estiverem acessíveis, a implantação falhará. Esses nomes dependem muito da CA que você usou para obter os certificados.
✓	Siga as diretrizes de sub-rede apropriadas dependendo do seu modo de implantação do Unified Access: Modo básico: Sub-rede de gerenciamento: mínimo de /26. Você pode usar a mesma sub-rede de gerenciamento usada para o Horizon Edge Sub-rede de desktop (locatário): primária: mínimo de /27, mas tamanho apropriado com base no número de desktops e servidores RDS. Você pode adicionar mais sub-redes conforme necessário. Sub-rede DMZ: mínimo de /27 para o cluster de instâncias do Unified Access Gateway (não necessário para um tipo de acesso interno do Unified Access Gateway). Modo avançado: Sub-rede de gerenciamento: somente /28. Use somente a sub-rede de gerenciamento /28 e use uma sub-rede de gerenciamento diferente da sub-rede de gerenciamento usada para o Horizon Edge. Sub-rede de desktop (locatário): primária: mínimo de /27, mas tamanho apropriado com base no número de desktops e servidores RDS. Você pode adicionar mais sub-redes conforme necessário. Sub-rede DMZ: mínimo de /27 para o cluster de instâncias do Unified Access Gateway (não necessário para um tipo de acesso interno do Unified Access Gateway).

Sobre a identidade do usuário e a identidade da máquina

O Horizon Cloud difere de outros ambientes na forma como lida com a identidade. No Horizon Cloud, o serviço faz uma distinção entre a identidade do usuário e a identidade da máquina e conta com os dois tipos de identidade ao estabelecer uma conexão segura entre um cliente e uma área de trabalho ou aplicativo remoto.

Observação: talvez você não conheça essa distinção entre identidade de usuário e identidade de máquina se está mais familiarizado com ambientes que usam um único provedor de identidade para autenticar a identidade do usuário e da máquina, como o ambiente Horizon Cloud de primeira geração ou um ambiente on-premises do Horizon 8.

No Horizon Cloud, você deve definir uma configuração de identidade que consista em um provedor de identidade para autenticar a identidade do usuário e um provedor de identidade para autenticar a identidade da máquina.

• Identidade do usuário

  O Horizon Cloud exige que você registre um provedor de identidade de usuário. O serviço usa esse provedor de identidade para autenticar usuários clientes que tentam acessar áreas de trabalho e aplicativos remotos.

• Identidade da máquina

  O Horizon Cloud também exige que você registre um provedor de identidade de máquina. O serviço usa esse provedor de identidade para estabelecer a identidade da máquina de máquinas virtuais que fornecem áreas de trabalho e aplicativos remotos.

  Por meio do provedor de identidade da máquina, o serviço une áreas de trabalho remotas e as origens da máquina virtual para aplicativos remotos ao domínio de rede confiável que os usuários cliente têm direito de acessar.

Configurações de identidade compatíveis

O Horizon Cloud exige que você registre uma configuração de identidade que consiste em um provedor de identidade de usuário e um provedor de identidade de máquina. Os recursos de recursos podem variar dependendo dos provedores de identidade específicos incluídos na configuração.

O Horizon Cloud oferece suporte às seguintes configurações de identidade.

Configurações de identidade com suporte para o Horizon Cloud

Configuração de identidade	Provedor de identidade do usuário	Provedor de identidade de máquina	Considerações sobre o recurso
A	Microsoft Entra ID Comercial ou Microsoft Entra ID Governo	Active Directory	Suporta SSO para aplicativos e desktops remotos.
B	Microsoft Entra ID Comercial ou Microsoft Entra ID Governo	Microsoft Entra ID	Não oferece suporte a Single Sign-On (SSO) para aplicativos e desktops remotos.
C	Workspace ONE Access Cloud ou Workspace ONE Access local	Active Directory	Suporta SSO para aplicativos e desktops remotos. Suporta integração com o Workspace ONE. Diretórios Just-in-Time não são suportados.
D	Omnissa Identity Service	Active Directory	Suporta SSO para aplicativos e desktops remotos. O Windows 365 não é compatível com esta configuração no momento.

As seções a seguir descrevem os requisitos de cada provedor de identidade de usuário e provedor de identidade de máquina compatíveis.

Requisitos de identidade do usuário

Esta seção descreve os requisitos para o provedor de identidade do usuário que você escolhe usar na sua configuração de identidade. O Horizon Cloud oferece suporte ao Microsoft Entra ID e ao Workspace ONE Access como provedores de identidade de usuário.

Além dos requisitos descritos nesta seção, consulte a seção Configurações de identidade compatíveis para obter informações sobre considerações de recursos e os provedores de identidade de máquina que podem ser usados com cada provedor de identidade de usuário. Para obter uma visão geral de como o Horizon Cloud gerencia a identidade, consulte a seção Sobre a identidade do usuário e a identidade da máquina.

• Microsoft Entra ID

  ✓	Quando o Microsoft Entra ID Commercial ou o Microsoft Entra ID Government for seu provedor de identidade de usuário, um usuário com privilégios de Administrador Global do Microsoft Entra ID deverá fazer o seguinte. Aprovar as permissões solicitadas. Fornecer consentimento para toda a organização.

• Workspace ONE Access

  ✓	Quando o Workspace ONE Access Cloud ou o Workspace ONE Access On Premises for seu provedor de identidade de usuário, um usuário com privilégios de administrador deverá fazer o seguinte. Integre o provedor de identidade. Configure os pré-requisitos necessários para a integração do Horizon Cloud.

• Omnissa Identity Service

  ✓	Quando o Omnissa Identity Service for seu provedor de identidade de usuário, um usuário com privilégios de administrador deverá fazer o seguinte. Integre o provedor de identidade. Selecione o Horizon Cloud para ser usado com o Omnissa Identity Service.

Requisitos de identidade da máquina

Esta seção descreve os requisitos para o provedor de identidade de máquina que você escolhe usar na sua configuração de identidade. O Horizon Cloud oferece suporte ao Microsoft Entra ID e ao Active Directory como provedores de identidade de máquina.

Além dos requisitos descritos nesta seção, consulte a seção Configurações de identidade compatíveis para obter informações sobre considerações de recursos e os provedores de identidade de usuário que podem ser usados com cada provedor de identidade de máquina. Para obter uma visão geral de como o Horizon Cloud gerencia a identidade, consulte a seção Sobre a identidade do usuário e a identidade da máquina.

• Microsoft Entra ID

  ✓	Para ativar a exclusão de um pool ou VM, certifique-se de que a entidade de serviço tenha permissões para excluir a entrada do dispositivo do Microsoft Entra ID. As permissões são as seguintes: Escopo: https://graph.microsoft.com Permissão: Device.ReadWrite.All Ler e gravar dispositivos Consentimento do administrador: Sim Para obter informações sobre como fornecer as permissões necessárias, consulte [Aplicar permissões para permitir que o Horizon Cloud gerencie máquinas associadas ao Microsoft Entra ID para uma assinatura do Azure](ApplyPermissionstoAllowHorizonCloudServicetoManageMicrosoftEntraIDJoinedMachines.md)
  ✓	Para permitir a configuração de unidades administrativas para um pool associado ao Microsoft Entra ID, certifique-se de que a entidade de serviço tenha as seguintes permissões: Escopo: https://graph.microsoft.com Permissão: AdministrativeUnit.ReadWrite.All Ler e gravar unidades administrativas. Consentimento do administrador: Sim E Escopo: https://graph.microsoft.com Permissão: RoleManagement.Read.Directory Ler todas as configurações de RBAC do diretório. Essa permissão é necessária para validar atribuições de função de entidade de serviço. Consentimento do administrador: Sim E Escopo: https://graph.microsoft.com Permissão: Device.Read.All Ler todos os dispositivos no diretório. Essa permissão é necessária para ler as informações do dispositivo de VM do pool associado ao Entra ID e para adicionar esse dispositivo à unidade administrativa do pool. Consentimento do administrador: Sim Ao planejar usar unidades administrativas, se você não quiser fornecer a permissão Device.ReadWrite.All, poderá aplicar a seguinte permissão com o escopo apropriado no nível do diretório ou no nível da unidade administrativa: Escopo: diretório inteiro ou unidades administrativas específicas Permissão: microsoft.directory/devices/delete Excluir dispositivos do Microsoft Entra ID. Consentimento do administrador: Sim Para obter informações sobre como fornecer as permissões necessárias, consulte [Aplicar permissões para permitir que o Horizon Cloud gerencie máquinas associadas ao Microsoft Entra ID](ApplyPermissionstoAllowHorizonCloudServicetoManageMicrosoftEntraIDJoinedMachines.md)
  ✓	Configurar o Controle de Acesso Baseado em Função (RBAC) no Microsoft Entra ID. Essa configuração garante que apenas os usuários ou os grupos de usuários que têm login Administrador da Máquina Virtual ou Login de Usuário da Máquina Virtual função possam fazer login em seus direitos.

  
  

• Active Directory

  ✓	Servidor Active Directory com linha de visão para as instâncias do Horizon Edge Gateway e sub-redes de área de trabalho. Por exemplo: Um servidor de Active Directory local conectado via VPN/Express Route Um servidor Active Directory localizado no Microsoft Azure
  ✓	Se você planeja conectar seu Active Directory usando LDAPS, reúna certificados de Autoridade de Certificação intermediária e raiz codificados em PEM para o seu domínio do Active Directory. Ao usar o Horizon Universal Console para configurar seu domínio do Active Directory, você será solicitado a carregar os certificados de CA raiz e intermediários codificados por PEM.
  ✓	Níveis funcionais de domínio do AD DS (Serviços de Domínio Active Directory) do Microsoft Windows com suporte. Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 Versões do sistema operacional Microsoft Windows Active Directory Domain Services (AD DS) com suporte. Windows Server 2022 Windows Server 2019 Windows Server 2016 Windows Server 2012 R
  ✓	Conta de BIND de domínio Uma conta de BIND de domínio do Active Directory (um usuário padrão com acesso de leitura) que tem o seguinte atributo sAMAccountName. O atributo sAMAccountName deve ter 20 caracteres ou menos e não pode conter nenhum dos seguintes caracteres: "/ \ [ ] : ; | = , + * ? < >. A conta deve ter as seguintes permissões: Conteúdo da lista Ler todas as propriedades Permissões de leitura Read tokenGroupsGlobalAndUniversal (implicado por Ler todas as propriedades) Defina a senha da conta como Nunca expirar para garantir acesso contínuo para fazer login no seu ambiente Horizon Cloud. Se você está familiarizado com a oferta local do Horizon, as permissões acima são o mesmo conjunto necessário para as contas de credenciais secundárias da oferta local do Horizon. Contas de BIND de domínio recebem as permissões padrão relacionadas ao acesso de leitura prontas para uso, normalmente concedidas a usuários autenticados em uma implantação do Microsoft Active Directory. No entanto, se os administradores do AD da sua organização tiverem escolhido bloquear permissões relacionadas ao acesso de leitura para usuários regulares, você deverá solicitar que esses administradores do AD preservem os padrões de usuários autenticados para as contas de BIND de domínio que você usará para o Horizon Cloud. Referência: Criar contas de BIND de domínio e ingresso no domínio do Active Directory
  ✓	Conta de BIND de domínio auxiliar Deve ser separada da conta BIND de domínio principal. A UI impedirá a reutilização da mesma conta em ambos os campos. Conta de BIND de domínio do Active Directory (um usuário padrão com acesso de leitura) que tem o atributo sAMAccountName. O atributo sAMAccountName deve ter 20 caracteres ou menos e não pode conter nenhum dos seguintes caracteres: "/ \ [ ] : ; | = , + * ? < >. A conta deve ter as seguintes permissões: Conteúdo da lista Ler todas as propriedades Permissões de leitura Read tokenGroupsGlobalAndUniversal (implicado por Ler todas as propriedades) Defina a senha da conta como Nunca expirar para garantir acesso contínuo para fazer login no seu ambiente Horizon Cloud. Se você está familiarizado com a oferta local do Horizon, as permissões acima são o mesmo conjunto necessário para as contas de credenciais secundárias da oferta local do Horizon. Contas de BIND de domínio recebem as permissões padrão relacionadas ao acesso de leitura prontas para uso, normalmente concedidas a usuários autenticados em uma implantação do Microsoft Active Directory. No entanto, se os administradores do AD da sua organização tiverem escolhido bloquear permissões relacionadas ao acesso de leitura para usuários regulares, você deverá solicitar que esses administradores do AD preservem os padrões de usuários autenticados para as contas de BIND de domínio que você usará para o Horizon Cloud.
  ✓	Conta de ingresso em domínio Conta de ingresso em domínio do Active Directory que pode ser usada pelo sistema para executar operações de Sysprep e ingressar nos computadores virtuais no domínio. Normalmente, uma nova conta que você cria para essa finalidade específica. (Uma conta de usuário de ingresso em domínio) A conta deve ter o atributo sAMAccountName. O atributo sAMAccountName deve ter 20 caracteres ou menos e não pode conter nenhum dos seguintes caracteres: "/ \ [ ] : ; | = , + * ? < >. O uso de espaços em branco no nome de usuário da conta não é suportado no momento. Defina a senha da conta como Nunca Expirar para garantir a capacidade contínua do Horizon Cloud de executar as performances do Sysprep e unir os computadores virtuais ao domínio. Essa conta requer as seguintes permissões do Active Directory, aplicadas à UO Computadores ou à UO que será inserida na UI de Ingresso no Domínio do console. Ler todas as propriedades: somente este objeto Criar objetos de computador: esse objeto e todos os objetos descendentes Excluir objetos de computador: esse objeto e todos os objetos descendentes Gravar todas as propriedades: objetos de computador descendentes Redefinir senha: objetos de computador descendentes Com relação à Unidade Organizacional (UO) de destino que você planeja usar para pools, essa conta também requer a permissão do Active Directory denominada Gravar Todas as Propriedades em todos os objetos descendentes dessa Unidade Organizacional (UO) de destino. Para obter mais detalhes sobre como criar e reutilizar contas de ingresso em domínio, consulte Criar contas de BIND de domínio e ingresso no domínio do Active Directory. No Microsoft Active Directory, quando você cria uma nova UO, pode ser que o sistema defina automaticamente o atributo Prevent Accidental Deletion que aplica um Deny à permissão Excluir Todos os Objetos Herdeiros para a UO recém-criada e todos os objetos descendentes. Como resultado, se você tiver atribuído explicitamente a permissão Excluir Objetos de Computador à conta de ingresso no domínio, no caso de uma UO recém-criada, o Active Directory poderá ter aplicado uma substituição a essa permissão Excluir Objetos de Computador explicitamente atribuída. Como a limpeza do sinalizador Prevenir Exclusão Acidental pode não limpar automaticamente a Deny que o Active Directory aplicou à permissão Excluir Todos os Objetos Subordinados, no caso de uma UO recém-adicionada, talvez seja necessário verificar e limpar manualmente a permissão Deny definida para Excluir Todos os Objetos Subordinados na UO e todas as UOs subordinadas antes de usar a conta de ingresso no domínio no Horizon Cloud Console.
  ✓	Conta de ingresso em domínio auxiliar opcional Conta de ingresso em domínio do Active Directory que pode ser usada pelo sistema para executar operações de Sysprep e ingressar nos computadores virtuais no domínio. Normalmente, uma nova conta que você cria para essa finalidade específica (uma conta de usuário de ingresso em domínio). A conta deve ter o atributo sAMAccountName. O atributo sAMAccountName deve ter 20 caracteres ou menos e não pode conter nenhum dos seguintes caracteres: "/ \ [ ] : ; | = , + * ? < >. Atualmente, não há suporte para o uso de espaços em branco no nome de usuário da conta. Defina a senha da conta como Nunca Expirar, para garantir a capacidade contínua do Horizon Cloud de executar as operações do Sysprep e ingressar nos computadores virtuais no domínio. Essa conta requer as permissões a seguir do Active Directory, aplicadas à UO de Computadores ou à UO que você inserirá na UI de Ingresso no Domínio do console. Ler todas as propriedades: somente este objeto Criar objetos de computador: esse objeto e todos os objetos descendentes Excluir objetos de computador: esse objeto e todos os objetos descendentes Gravar todas as propriedades: objetos de computador descendentes Redefinir senha: objetos de computador descendentes Com relação à Unidade Organizacional (UO) de destino que você planeja usar para pools, essa conta também requer a permissão do Active Directory denominada Gravar Todas as Propriedades em todos os objetos descendentes dessa Unidade Organizacional (UO) de destino. No Microsoft Active Directory, quando você cria uma nova UO, pode ser que o sistema defina automaticamente o atributo Prevent Accidental Deletion que aplica um Deny à permissão Excluir Todos os Objetos Herdeiros para a UO recém-criada e todos os objetos descendentes. Como resultado, se você tiver atribuído explicitamente a permissão Excluir Objetos de Computador à conta de ingresso no domínio, no caso de uma UO recém-criada, o Active Directory poderá ter aplicado uma substituição a essa permissão Excluir Objetos de Computador explicitamente atribuída. Como a limpeza do sinalizador Prevenir Exclusão Acidental pode não limpar automaticamente a Deny que o Active Directory aplicou à permissão Excluir Todos os Objetos Subordinados, no caso de uma UO recém-adicionada, talvez seja necessário verificar e limpar manualmente a permissão Deny definida para Excluir Todos os Objetos Subordinados na UO e todas as UOs subordinadas antes de usar a conta de ingresso no domínio no Horizon Cloud Console.
  ✓	Unidade organizacional (UO) ou unidades organizacionais (UOs) do Active Directory para áreas de trabalho virtuais e áreas de trabalho com base em sessão RDS ou aplicativos publicados ou ambos. No Microsoft Active Directory, quando você cria uma nova UO, pode ser que o sistema defina automaticamente o atributo Prevent Accidental Deletion que aplica um Deny à permissão Excluir Todos os Objetos Herdeiros para a UO recém-criada e todos os objetos descendentes. Como resultado, se você tiver atribuído explicitamente a permissão Excluir Objetos de Computador à conta de ingresso no domínio, no caso de uma UO recém-criada, o Active Directory poderá ter aplicado uma substituição a essa permissão Excluir Objetos de Computador explicitamente atribuída. Como a limpeza do sinalizador Prevenir Exclusão Acidental pode não limpar automaticamente a Deny que o Active Directory aplicou à permissão Excluir Todos os Objetos Subordinados, no caso de uma UO recém-adicionada, talvez seja necessário verificar e limpar manualmente a permissão Deny definida para Excluir Todos os Objetos Subordinados na UO e todas as UOs subordinadas antes de usar a conta de ingresso no domínio no Horizon Cloud Console.

  Requisitos do sistema de gerenciamento de imagens

  Sua assinatura do Microsoft Azure deve acomodar os seguintes requisitos, dependendo dos tipos de imagens que você deseja provisionar a partir do Horizon Edge implantado.

  ✓

  Base para a imagem. Uma ou mais configurações compatíveis da VM do Microsoft Azure. Há suporte para as VMs da geração 1 e 2 do Microsoft Azure. Verifique se você tem cota suficiente para o modelo que deseja usar para a VM base. Os tipos de modelo a seguir são padrão e recomendados. Não GPU: Standard_DS2_v2 Ativado para GPU: Standard_NV12s_v3 Os tipos de modelo listados além dos tipos Não GPU e Ativado para GPU são compatíveis, embora não sejam necessariamente verificados. Certifique-se de que você tenha uma cota suficiente em sua assinatura se selecionar um desses modelos.

  Requisitos de VMs de pool

  Sua assinatura do Microsoft Azure deve acomodar os seguintes requisitos, dependendo dos tipos de VMs de pool que você deseja provisionar a partir do Horizon Edge implantado.

  ✓

  Seleção de modelo para VMs em pools: qualquer uma das configurações de VM do Microsoft Azure disponíveis na região do Microsoft Azure, exceto aquelas não compatíveis com as operações de área de trabalho do Horizon Cloud. Considere os seguintes detalhes ao selecionar um modelo de VM. A decisão de selecionar entre um tipo de modelo ativado para GPU e um tipo de modelo não GPU depende da VM selecionada durante a criação da imagem. Para criar um pool de várias sessões, selecione uma imagem criada usando um sistema operacional de várias sessões. Para ambientes de produção, os testes de escala recomendam o uso de modelos que tenham no mínimo 2 CPUs ou maiores. Consulte Tipos e tamanhos de VM do Microsoft Azure para o Horizon Cloud (89090) para saber mais sobre a compatibilidade de diferentes tipos e tamanhos de VM do Microsoft Azure com o Horizon Cloud. As VMs da geração 1 e 2 do Microsoft Azure têm suporte em pools.

  Requisitos do Horizon Client e do Horizon Web Client

  ✓

  Certifique-se de que seus usuários finais usem um cliente compatível para acessar os recursos fornecidos pelo serviço. Veja a lista em Notas da versão: seção Suporte ao cliente Dica: quando os usuários finais se conectam ao Horizon Cloud usando um navegador, suas conexões usam automaticamente a versão mais recente do Horizon Web Client.