O objetivo desta lista de verificação é informar sobre os elementos necessários para fazer uma implantação nativa do Amazon WorkSpaces Core usando o Horizon Control Plane no Horizon Cloud.
Público-alvo da lista de verificação
Essa lista de verificação é para contas de clientes do Horizon Cloud que nunca tiveram uma implantação do Horizon Cloud on Amazon WorkSpaces Core em seu ambiente de locatário. Esses locatários podem ser chamados de ambientes novos ou greenfield.
Você deve executar alguns itens a seguir antes de implantar o Horizon Cloud. Você pode adiar alguns itens até que a implantação seja concluída e esteja em execução.
Requisitos de conta da AWS
Para limites de configuração, consulte Dimensionar sua implantação do Horizon Cloud que inclui informações sobre como usar a ferramenta Configuration Maximums. Na página Configuration Maximums, selecione Visualizar Limites, Horizon Cloud, a versão mais recente e as categorias que você deseja visualizar.
Requisitos do Amazon Elastic Compute Cloud (Amazon EC2)
| ✓ | Conta válida do Amazon Web Services em uma região da AWS com suporte. Consulte a documentação relacionada da AWS. Nota: O Horizon Cloud oferece suporte à maioria das regiões compatíveis principais do Amazon WorkSpaces. |
| ✓ | Funções válidas do AWS Identity and Access Management (IAM) em cada conta do Amazon Web Services. Consulte a documentação da AWS para criar uma conta da AWS. As funções são um requisito para realizar a implantação do Amazon WorkSpaces Core Edge. Consulte Implantações do Amazon WorkSpaces Core Edge. |
| ✓ | Certifique-se de que não haja nenhuma política do AWS IAM ou bloqueios de recursos em vigor que impeçam a criação de recursos de implantação do Horizon Edge. |
| ✓ | Executar os requisitos do IAM
|
| ✓ | Capacidade do Amazon EC2 para os principais recursos do Horizon Edge a serem implantados nessa conta.
|
| ✓ | A seguinte opção de implantação do Amazon WorkSpaces Core está disponível: Edge Gateway (VM) = Máquina Virtual Edge Gateway (VM) do Edge Gateway é para implantações menores sem alta disponibilidade. |
Requisitos de capacidade do Amazon WorkSpaces Core
Quando a tabela a seguir se refere à capacidade do Amazon WorkSpaces Core, não é necessária nenhuma instalação manual. Desde que as capacidades declaradas estejam disponíveis na assinatura, o implantador instancia automaticamente as VMs descritas.
| ✓ | Pré-requisitos de traga sua própria licença (BYOL) configurados. Consulte a documentação da AWS para obter suas próprias licenças de área de trabalho Windows em WorkSpaces. |
| ✓ | Zonas de disponibilidade para espaços de trabalho pessoais configurados. Consulte a documentação da AWS para obter informações sobre zonas de disponibilidade para espaços de trabalho pessoais. |
Requisitos de rede
Os requisitos de rede a seguir incluem os detalhes necessários para implantar e operar um Horizon Edge com êxito. Consulte a Documentação da AWS sobre redes no Amazon EC2 para obter mais informações.
Use a tabela a seguir para uma implantação do Edge Gateway.
Requisitos de rede para um Edge Gateway (VM)
| ✓ | Para cada Horizon Edge Gateway, um Amazon Virtual Private Cloud (VPC) criado em sua região de Amazon EC2 de destino com espaço de endereço aplicável para abranger as sub-redes necessárias. |
| ✓ |
Os requisitos de sub-rede a seguir são mínimos. Para ambientes maiores, sub-redes maiores podem ser necessárias.
|
| ✓ |
Para o Unified Access Gateway, configure o servidor DNS da Virtual Private Cloud (VPC) para apontar para um servidor DNS válido que possa resolver nomes de máquinas internas e externas. Consulte Configurar registros DNS necessários após a implantação do Horizon Edge Gateway e do Unified Access Gateway
|
| ✓ | O acesso de saída à Internet na VPC que você está usando para a implantação do Horizon Edge deve resolver e alcançar nomes de DNS específicos usando portas e protocolos específicos. Isso é necessário para a implantação e a continuidade das operações. Para obter a lista de portas e nomes DNS, consulte Tornar URLs de destino apropriadas acessíveis para implantar um Horizon Edge Gateway em um ambiente do Amazon WorkSpaces Core. |
| ✓ | Opcional. Informações do servidor proxy, se necessárias para acesso de saída à Internet na Virtual Private Cloud (VPC) usada durante a implantação e as operações contínuas do ambiente do Horizon Cloud. |
| ✓ | Opcional. AWS VPN configurada quando você deseja a rede entre a Virtual Private Cloud (VPC) e sua rede corporativa local. |
| ✓ | Proxy: adicione todas as configurações de proxy definidas em imagens principais de espaços de trabalho em um nível de sistema. |
Requisitos de portas e protocolos
| ✓ | Portas e protocolos específicos são necessários para implantação e operações contínuas do seu ambiente Horizon Cloud. Consulte Requisitos de porta e protocolo para sua implantação do Horizon Cloud no Amazon WorkSpaces Core. |
Requisitos do Unified Access Gateway
Um cluster de VMs do Unified Access Gateway é associado a um pool, o que possibilita que os clientes tenham conexões confiáveis do Horizon Web Client com as VMs desse pool.
Você usa o Horizon Universal Console para configurar o Horizon Cloud com o Unified Access Gateway. Os itens abaixo são necessários para esse tipo de configuração.
| ✓ |
Para todos os tipos de configuração, é necessário acesso de saída à Internet para o seguinte nome de endpoint: *.horizon.omnissa.com Quando Permitir Acesso Interno em uma Rede Corporativa é o Tipo de Acesso do Unified Access Gateway, o roteamento definido pelo usuário ou o Gateway NAT podem ser aplicados à Para tipos externos e externos e internos do Unified Access Gateway, um gateway de Internet deve estar presente na VPC, e o tráfego da sub-rede DMZ deve ser roteado para o gateway de Internet. |
| ✓ | Um FQDN interno, um FQDN externo ou ambos são necessários, dependendo do tipo de acesso selecionado durante a configuração do Unified Access Gateway.
|
| ✓ | Certificado ou certificados para o Unified Access Gateway no formato PEM ou PFX correspondente ao FQDN. Observação: se o certificado ou os certificados fornecidos para essa finalidade usarem configurações de CRLs (Listas de Revogação de Certificados) ou OCSP (Protocolo de Status de Certificado Online) que se referem a nomes DNS específicos, você deverá garantir que o acesso de saída à Internet na Virtual Private Cloud (VPC) para esses nomes DNS seja resolvível e acessível. Durante a configuração do certificado fornecido na configuração do Unified Access Gateway, o software Unified Access Gateway acessa esses nomes de DNS para verificar o status de revogação do certificado. Se esses nomes DNS não estiverem acessíveis, a implantação falhará. Esses nomes dependem muito da CA que você usou para obter os certificados. |
| ✓ | Siga as diretrizes de sub-rede apropriadas dependendo do seu modo de implantação do Unified Access: Modo básico:
Modo avançado:
|
Sobre a identidade do usuário e a identidade da máquina
O Horizon Cloud difere de outros ambientes na forma como lida com a identidade. No Horizon Cloud, o serviço faz uma distinção entre a identidade do usuário e a identidade da máquina e conta com os dois tipos de identidade ao estabelecer uma conexão segura entre um cliente e uma área de trabalho ou aplicativo remoto.
Observação: talvez você não conheça essa distinção entre identidade de usuário e identidade de máquina se está mais familiarizado com ambientes que usam um único provedor de identidade para autenticar a identidade do usuário e da máquina, como o ambiente Horizon Cloud de primeira geração ou um ambiente on-premises do Horizon 8.
No Horizon Cloud, você deve definir uma configuração de identidade que consista em um provedor de identidade para autenticar a identidade do usuário e um provedor de identidade para autenticar a identidade da máquina.
-
Identidade do usuário
O Horizon Cloud exige que você registre um provedor de identidade de usuário. O serviço usa esse provedor de identidade para autenticar usuários clientes que tentam acessar áreas de trabalho e aplicativos remotos.
-
Identidade da máquina
O Horizon Cloud também exige que você registre um provedor de identidade de máquina. O serviço usa esse provedor de identidade para estabelecer a identidade da máquina de máquinas virtuais que fornecem áreas de trabalho e aplicativos remotos.
Por meio do provedor de identidade da máquina, o serviço une áreas de trabalho remotas e as origens da máquina virtual para aplicativos remotos ao domínio de rede confiável que os usuários cliente têm direito de acessar.
Configurações de identidade compatíveis
O Horizon Cloud exige que você registre uma configuração de identidade que consiste em um provedor de identidade de usuário e um provedor de identidade de máquina. Os recursos de recursos podem variar dependendo dos provedores de identidade específicos incluídos na configuração.
O Horizon Cloud oferece suporte às seguintes configurações de identidade.
Configurações de identidade com suporte para o Horizon Cloud
| Configuração de identidade | Provedor de identidade do usuário | Provedor de identidade de máquina | Considerações sobre o recurso |
|---|---|---|---|
| A | Microsoft Entra ID Comercial ou Microsoft Entra ID Governo | Active Directory |
|
| B | Microsoft Entra ID Comercial ou Microsoft Entra ID Governo | Microsoft Entra ID |
|
| C | Workspace ONE Access Cloud ou Workspace ONE Access local | Active Directory |
|
| D | Omnissa Identity Service | Active Directory |
|
As seções a seguir descrevem os requisitos de cada provedor de identidade de usuário e provedor de identidade de máquina compatíveis.
Requisitos de identidade do usuário
Esta seção descreve os requisitos para o provedor de identidade do usuário que você escolhe usar na sua configuração de identidade. O Horizon Cloud oferece suporte ao Microsoft Entra ID e ao Workspace ONE Access como provedores de identidade de usuário.
Além dos requisitos descritos nesta seção, consulte a seção Configurações de identidade compatíveis para obter informações sobre considerações de recursos e os provedores de identidade de máquina que podem ser usados com cada provedor de identidade de usuário. Para obter uma visão geral de como o Horizon Cloud gerencia a identidade, consulte a seção Sobre a identidade do usuário e a identidade da máquina.
-
Microsoft Entra ID
✓ Quando o Microsoft Entra ID Commercial ou o Microsoft Entra ID Government for seu provedor de identidade de usuário, um usuário com privilégios de Administrador Global do Microsoft Entra ID deverá fazer o seguinte. - Aprovar as permissões solicitadas.
- Fornecer consentimento para toda a organização.
-
Workspace ONE Access
✓ Quando o Workspace ONE Access Cloud ou o Workspace ONE Access On Premises for seu provedor de identidade de usuário, um usuário com privilégios de administrador deverá fazer o seguinte. - Integre o provedor de identidade.
- Configure os pré-requisitos necessários para a integração do Horizon Cloud.
-
Omnissa Identity Service
✓ Quando o Omnissa Identity Service for seu provedor de identidade de usuário, um usuário com privilégios de administrador deverá fazer o seguinte. - Integre o provedor de identidade.
- Selecione o Horizon Cloud para ser usado com o Omnissa Identity Service.
Requisitos de identidade da máquina
Esta seção descreve os requisitos para o provedor de identidade de máquina que você escolhe usar na sua configuração de identidade. O Horizon Cloud oferece suporte ao Microsoft Entra ID e ao Active Directory como provedores de identidade de máquina.
Além dos requisitos descritos nesta seção, consulte a seção Configurações de identidade compatíveis para obter informações sobre considerações de recursos e os provedores de identidade de usuário que podem ser usados com cada provedor de identidade de máquina. Para obter uma visão geral de como o Horizon Cloud gerencia a identidade, consulte a seção Sobre a identidade do usuário e a identidade da máquina.
- Active Directory
✓ Servidor Active Directory com linha de visão para as instâncias do Horizon Edge Gateway e sub-redes de área de trabalho. Por exemplo: - Um servidor Active Directory local conectado via VPN/Express Route.
- Um Microsoft Active Directory gerenciado pela AWS. Consulte a documentação da AWS sobre o Microsoft AD gerenciado.
✓ Se você planeja conectar seu Active Directory usando LDAPS, reúna certificados de Autoridade de Certificação intermediária e raiz codificados em PEM para o seu domínio do Active Directory. Ao usar o Horizon Universal Console para configurar seu domínio do Active Directory, você será solicitado a carregar os certificados de CA raiz e intermediários codificados por PEM. ✓ Níveis funcionais de domínio do AD DS (Serviços de Domínio Active Directory) do Microsoft Windows com suporte. - Windows Server 2016
- Windows Server 2012 R2
- Windows Server 2012
- Windows Server 2022
- Windows Server 2019
- Windows Server 2016
- Windows Server 2012 R
✓ - Conta de BIND de domínio
Uma conta de BIND de domínio do Active Directory (um usuário padrão com acesso de leitura) que tem o seguinte atributo sAMAccountName. O atributo sAMAccountName deve ter 20 caracteres ou menos e não pode conter nenhum dos seguintes caracteres: "/ \ [ ] : ; | = , + * ? < >.
A conta deve ter as seguintes permissões:
- Conteúdo da lista
- Ler todas as propriedades
- Permissões de leitura
- Read tokenGroupsGlobalAndUniversal (implicado por Ler todas as propriedades)
Defina a senha da conta como Nunca expirar para garantir acesso contínuo para fazer login no seu ambiente Horizon Cloud.
- Se você está familiarizado com a oferta local do Horizon, as permissões acima são o mesmo conjunto necessário para as contas de credenciais secundárias da oferta local do Horizon.
- Contas de BIND de domínio recebem as permissões padrão relacionadas ao acesso de leitura prontas para uso, normalmente concedidas a usuários autenticados em uma implantação do Microsoft Active Directory. No entanto, se os administradores do AD da sua organização tiverem escolhido bloquear permissões relacionadas ao acesso de leitura para usuários regulares, você deverá solicitar que esses administradores do AD preservem os padrões de usuários autenticados para as contas de BIND de domínio que você usará para o Horizon Cloud.
✓ - Conta de BIND de domínio auxiliar
Deve ser separada da conta BIND de domínio principal. A UI impedirá a reutilização da mesma conta em ambos os campos. Conta de BIND de domínio do Active Directory (um usuário padrão com acesso de leitura) que tem o atributo sAMAccountName. O atributo sAMAccountName deve ter 20 caracteres ou menos e não pode conter nenhum dos seguintes caracteres: "/ \ [ ] : ; | = , + * ? < >. A conta deve ter as seguintes permissões:- Conteúdo da lista
- Ler todas as propriedades
- Permissões de leitura
- Read tokenGroupsGlobalAndUniversal (implicado por Ler todas as propriedades)
- Se você está familiarizado com a oferta local do Horizon, as permissões acima são o mesmo conjunto necessário para as contas de credenciais secundárias da oferta local do Horizon.
- Contas de BIND de domínio recebem as permissões padrão relacionadas ao acesso de leitura prontas para uso, normalmente concedidas a usuários autenticados em uma implantação do Microsoft Active Directory. No entanto, se os administradores do AD da sua organização tiverem escolhido bloquear permissões relacionadas ao acesso de leitura para usuários regulares, você deverá solicitar que esses administradores do AD preservem os padrões de usuários autenticados para as contas de BIND de domínio que você usará para o Horizon Cloud.
✓ - Conta de ingresso em domínio
Conta de ingresso em domínio do Active Directory que pode ser usada pelo sistema para executar operações de Sysprep e ingressar nos computadores virtuais no domínio. Normalmente, uma nova conta que você cria para essa finalidade específica. (Uma conta de usuário de ingresso em domínio) A conta deve ter o atributo sAMAccountName. O atributo sAMAccountName deve ter 20 caracteres ou menos e não pode conter nenhum dos seguintes caracteres: "/ \ [ ] : ; | = , + * ? < >. O uso de espaços em branco no nome de usuário da conta não é suportado no momento. Defina a senha da conta como Nunca Expirar para garantir a capacidade contínua do Horizon Cloud de executar as performances do Sysprep e unir os computadores virtuais ao domínio. Essa conta requer as seguintes permissões do Active Directory, aplicadas à UO Computadores ou à UO que será inserida na UI de Ingresso no Domínio do console.- Ler todas as propriedades: somente este objeto
- Criar objetos de computador: esse objeto e todos os objetos descendentes
- Excluir objetos de computador: esse objeto e todos os objetos descendentes
- Gravar todas as propriedades: objetos de computador descendentes
- Redefinir senha: objetos de computador descendentes
Para obter mais detalhes sobre como criar e reutilizar contas de ingresso em domínio, consulte Criar contas de BIND de domínio e ingresso no domínio do Active Directory.
No Microsoft Active Directory, quando você cria uma nova UO, pode ser que o sistema defina automaticamente o atributoPrevent Accidental Deletionque aplica umDenyà permissão Excluir Todos os Objetos Herdeiros para a UO recém-criada e todos os objetos descendentes. Como resultado, se você tiver atribuído explicitamente a permissão Excluir Objetos de Computador à conta de ingresso no domínio, no caso de uma UO recém-criada, o Active Directory poderá ter aplicado uma substituição a essa permissão Excluir Objetos de Computador explicitamente atribuída. Como a limpeza do sinalizador Prevenir Exclusão Acidental pode não limpar automaticamente aDenyque o Active Directory aplicou à permissão Excluir Todos os Objetos Subordinados, no caso de uma UO recém-adicionada, talvez seja necessário verificar e limpar manualmente a permissãoDenydefinida para Excluir Todos os Objetos Subordinados na UO e todas as UOs subordinadas antes de usar a conta de ingresso no domínio no Horizon Cloud Console.
✓ - Conta de ingresso em domínio auxiliar opcional
Conta de ingresso em domínio do Active Directory que pode ser usada pelo sistema para executar operações de Sysprep e ingressar nos computadores virtuais no domínio. Normalmente, uma nova conta que você cria para essa finalidade específica (uma conta de usuário de ingresso em domínio).
A conta deve ter o atributo sAMAccountName. O atributo sAMAccountName deve ter 20 caracteres ou menos e não pode conter nenhum dos seguintes caracteres: "/ \ [ ] : ; | = , + * ? < >.
Atualmente, não há suporte para o uso de espaços em branco no nome de usuário da conta.
Defina a senha da conta como Nunca Expirar, para garantir a capacidade contínua do Horizon Cloud de executar as operações do Sysprep e ingressar nos computadores virtuais no domínio.
Essa conta requer as permissões a seguir do Active Directory, aplicadas à UO de Computadores ou à UO que você inserirá na UI de Ingresso no Domínio do console.- Ler todas as propriedades: somente este objeto
- Criar objetos de computador: esse objeto e todos os objetos descendentes
- Excluir objetos de computador: esse objeto e todos os objetos descendentes
- Gravar todas as propriedades: objetos de computador descendentes
- Redefinir senha: objetos de computador descendentes
No Microsoft Active Directory, quando você cria uma nova UO, pode ser que o sistema defina automaticamente o atributoPrevent Accidental Deletionque aplica umDenyà permissão Excluir Todos os Objetos Herdeiros para a UO recém-criada e todos os objetos descendentes. Como resultado, se você tiver atribuído explicitamente a permissão Excluir Objetos de Computador à conta de ingresso no domínio, no caso de uma UO recém-criada, o Active Directory poderá ter aplicado uma substituição a essa permissão Excluir Objetos de Computador explicitamente atribuída. Como a limpeza do sinalizador Prevenir Exclusão Acidental pode não limpar automaticamente aDenyque o Active Directory aplicou à permissão Excluir Todos os Objetos Subordinados, no caso de uma UO recém-adicionada, talvez seja necessário verificar e limpar manualmente a permissãoDenydefinida para Excluir Todos os Objetos Subordinados na UO e todas as UOs subordinadas antes de usar a conta de ingresso no domínio no Horizon Cloud Console.
✓ - Unidade organizacional (UO) ou unidades organizacionais (UOs) do Active Directory para áreas de trabalho virtuais e áreas de trabalho com base em sessão RDS ou aplicativos publicados ou ambos.
No Microsoft Active Directory, quando você cria uma nova UO, pode ser que o sistema defina automaticamente o atributoPrevent Accidental Deletionque aplica umDenyà permissão Excluir Todos os Objetos Herdeiros para a UO recém-criada e todos os objetos descendentes. Como resultado, se você tiver atribuído explicitamente a permissão Excluir Objetos de Computador à conta de ingresso no domínio, no caso de uma UO recém-criada, o Active Directory poderá ter aplicado uma substituição a essa permissão Excluir Objetos de Computador explicitamente atribuída. Como a limpeza do sinalizador Prevenir Exclusão Acidental pode não limpar automaticamente aDenyque o Active Directory aplicou à permissão Excluir Todos os Objetos Subordinados, no caso de uma UO recém-adicionada, talvez seja necessário verificar e limpar manualmente a permissãoDenydefinida para Excluir Todos os Objetos Subordinados na UO e todas as UOs subordinadas antes de usar a conta de ingresso no domínio no Horizon Cloud Console.
Requisitos do sistema de gerenciamento de imagens
Sua conta do Amazon WorkSpaces Core deve acomodar os seguintes requisitos, dependendo dos tipos de imagens que você deseja provisionar a partir do Horizon Edge implantado.
✓ Base para a imagem. Uma ou mais das configurações compatíveis do modelo de hardware do Amazon WorkSpaces Core.
Certifique-se de não exceder as limitações de cota para o Amazon WorkSpaces. Consulte a documentação da AWS para obter as cotas do Amazon WorkSpaces. Os tipos de modelo a seguir são padrão e recomendados.
Não GPU:- Valor: 1 vCPU, 2 GB de memória
- Padrão: 2 vCPU, 4 GB de memória
- Desempenho : 2 vCPU, 8 GB de memória
- Energia – 4 vCPU, 16 GB de memória
- PowerPro – 8 vCPU, 32 GB de memória
- GeneralPurpose.4xlarge : 16 vCPU, 64 GB de memória
- GeneralPurpose.8xlarge: 32 vCPU, 128 GB de memória
- Graphics.g4dn: 4 vCPU, 16 GiB de memória, 1 GPU, 16 GiB de memória de vídeo, 125 GB de armazenamento de instância local
- GraphicsPro.g4dn: 16 vCPU, 64 GiB de memória, 1 GPU, 16 GiB de memória de vídeo, 225 GB de armazenamento de instância local
Requisitos de VMs de pool
Seu Amazon WorkSpaces Core deve acomodar os seguintes requisitos, dependendo dos tipos de VMs de pool que você deseja provisionar a partir do Horizon Edge implantado.
✓ Seleção de modelo para VMs em pools: qualquer uma das configurações de modelo de hardware do Amazon WorkSpaces Core disponíveis na região do Amazon WorkSpaces Core, exceto aquelas não compatíveis com as operações de desktop do Horizon Cloud.
Considere os seguintes detalhes ao selecionar um modelo de VM.- A decisão de selecionar entre um tipo de modelo ativado para GPU e um tipo de modelo não GPU depende da VM selecionada durante a criação da imagem.
- Para criar um pool de várias sessões, selecione uma imagem criada usando um sistema operacional de várias sessões.
- Para ambientes de produção, os testes de escala recomendam o uso de modelos que tenham no mínimo 2 CPUs ou maiores.
- Consulte a documentação da AWS sobre preços do Amazon WorkSpaces Core para saber mais sobre a compatibilidade de diferentes tipos e tamanhos de modelos de hardware do Amazon WorkSpaces Core com Horizon Cloud.
Requisitos do Horizon Client e do Horizon Web Client
✓ Certifique-se de que seus usuários finais usem um cliente compatível para acessar os recursos fornecidos pelo serviço. Veja a lista em Notas da versão: seção Suporte ao cliente
Dica: quando os usuários finais se conectam ao Horizon Cloud usando um navegador, suas conexões usam automaticamente a versão mais recente do Horizon Web Client.
Esta página foi útil?