该检查表旨在告诉您使用 Horizon Cloud 中的 Horizon Control Plane 进行本机 Amazon WorkSpaces Core 部署所需的元素。
检查表用途
该检查表适用于从未在其租户环境中进行 Horizon Cloud on Amazon WorkSpaces Core 部署的 Horizon Cloud 客户帐户。您可能会听到此类租户环境被称为干净的环境或绿场环境。
在部署 Horizon Cloud 之前，必须执行下面的一些项目。您可以将某些项目延迟到部署完成并且运行之后。
AWS 帐户要求
有关配置限制，请参阅调整 Horizon Cloud 部署规模，其中包括有关使用最高配置工具的信息。从“最高配置”页面开始，选择查看限制、Horizon Cloud、最新版本以及要查看的类别。
Amazon Elastic Compute Cloud (Amazon EC2) 要求
| ☐ | 受支持的 AWS 区域中的有效 Amazon Web Services 帐户。请参阅相关 AWS 文档。 注意： Horizon Cloud 支持大多数 Amazon WorkSpaces Core 支持的区域。 |
| ☐ | 每个 Amazon Web Services 帐户中的有效 AWS 身份和访问管理 (Identity and Access Management, IAM) 角色。请参阅有关创建 AWS 帐户的 AWS 文档。 需要这些角色才能执行 Amazon WorkSpaces Core Edge 部署。请参阅 Amazon WorkSpaces Core Edge 部署。 |
| ☐ | 确保不存在会阻止创建 Horizon Edge 部署资源的 AWS IAM 策略或资源锁定。 |
| ☐ | 执行 IAM 要求
|
| ☐ | 为将核心 Horizon Edge 资源部署到该帐户中所需的 Amazon EC2 容量。 Edge 网关（虚拟机）– 为单个虚拟机提供足够的配额。
|
| ☐ | 可以使用以下 Amazon WorkSpaces Core 部署选项： Edge 网关（虚拟机）= Edge 网关虚拟机 Edge 网关（虚拟机）适用于没有高可用性的小型部署。 |
Amazon WorkSpaces Core 容量要求
如果下表指 Amazon WorkSpaces Core 容量，则无需手动安装。只要订阅中具有指定的容量，部署程序便会自动实例化所述的虚拟机。
| ☐ | 已配置自带许可证 (Bring-Your-Own-License, BYOL) 必备条件。 请参阅有关在 WorkSpaces 中自带 Windows 桌面许可证的 AWS 文档。 |
| ☐ | 已配置 WorkSpaces 个人版的可用区。 请参阅包含 WorkSpaces 个人版可用区相关信息的 AWS 文档。 |
网络要求
以下网络要求包括成功部署和运行 Horizon Edge 所需的详细信息。有关更多信息，请参阅 AWS 文档中的“Amazon EC2 中的网络”。
对于 Edge 网关部署，请使用下表。
Edge 网关（虚拟机）的网络要求
| ☐ | 对于每个 Horizon Edge Gateway，在目标 Amazon EC2 区域中创建了一个具有适用地址空间的 Amazon Virtual Private Cloud (VPC)，以涵盖所需的子网。 |
| ☐ |
以下是最低的子网要求。对于较大的环境，可能需要使用更大的子网。
|
| ☐ |
对于 Unified Access Gateway，配置 Virtual Private Cloud (VPC)DNS 服务器，使其指向可解析内部计算机名称和外部名称的有效 DNS 服务器。请参阅 部署 Horizon Edge Gateway 和 Unified Access Gateway 后配置 DNS 记录
|
| ☐ | 用于 Horizon Edge 部署的 VPC 上的出站 Internet 访问必须使用特定的端口和协议解析和访问特定的 DNS 名称。这是执行部署和日常操作所必需的。有关 DNS 名称和端口的列表，请参阅在 Amazon WorkSpaces Core 中部署 Horizon Cloud 的端口和协议要求。 |
| ☐ | 可选。代理服务器信息（如果 Virtual Private Cloud (VPC) 上的出站 Internet 访问需要该信息），在 Horizon Cloud 环境中执行部署和日常操作期间将使用该信息。 |
| ☐ | 可选。已配置 AWS VPN，当您在 Virtual Private Cloud (VPC) 和内部部署的企业网络之间建立网络连接时需要。 |
| ☐ | 代理 - 在系统级别的 WorkSpaces Core 映像上添加所有已配置的代理设置。 |
端口和协议要求
| ☐ | 在 Horizon Cloud 环境中执行部署和日常操作需要特定的端口和协议。请参阅在 Amazon WorkSpaces Core 中部署 Horizon Cloud 的端口和协议要求。 |
Unified Access Gateway 要求
将由 Unified Access Gateway 虚拟机组成的集群与池相关联，从而使客户端能够与该池中的虚拟机建立受信任的 Horizon Web Client 连接。
您可以使用 Horizon Universal Console 来为 Horizon Cloud 配置 Unified Access Gateway。该类型的配置需要以下项目。
| ☐ |
对于所有配置类型，需要对以下端点名称进行出站 Internet 访问： *.horizon.omnissa.com 当 Unified Access Gateway 访问类型为允许通过企业网络进行内部访问时，可以将用户定义的路由或 NAT 网关应用于 对于外部以及外部和内部 Unified Access Gateway 类型，VPC 中必须存在 Internet 网关，并且来自 DMZ 子网的流量必须路由到 Internet 网关。 |
| ☐ | 需要内部 FQDN 和/或外部 FQDN，具体取决于您在 Unified Access Gateway 配置期间选择的访问类型。
|
| ☐ | 与 FQDN 匹配的一个或多个采用 PEM 或 PFX 格式的 Unified Access Gateway 证书。 注意：如果您出于此目的提供的证书使用 CRL（证书吊销列表）或引用特定 DNS 名称的 OCSP（联机证书状态协议）设置，则必须确保针对那些 DNS 名称的 Virtual Private Cloud (VPC) 上的出站 Internet 访问可解析并可访问。在 Unified Access Gateway 配置中配置提供的证书期间，Unified Access Gateway 软件将访问这些 DNS 名称以检查证书的吊销状态。如果无法访问这些 DNS 名称，部署将失败。这些名称高度依赖于用于获取证书的 CA。 |
| ☐ | 请遵循相应的子网准则，具体取决于您的 Unified Access 部署模式： 基本模式：
高级模式：
|
了解用户身份和计算机身份
Horizon Cloud 处理身份的方式与其他环境有所不同。在 Horizon Cloud 中，服务会区分用户身份和计算机身份，并会在客户端与远程桌面或应用程序之间建立安全连接时同时依赖这两种身份。
**注意：**如果您更熟悉使用单个身份提供程序对用户身份和计算机身份进行验证的环境，例如第一代 Horizon Cloud 环境或 Horizon 8 内部部署环境，您可能会对用户身份与计算机身份之间的这种区分感到陌生。
在 Horizon Cloud 中，您设置的身份配置必须包含两个身份提供程序，一个用于验证用户身份，另一个则用于验证计算机身份。
-
用户身份
Horizon Cloud 要求您注册用户身份提供程序。服务使用此身份提供程序对尝试访问远程桌面和应用程序的客户端用户进行身份验证。
-
计算机身份
Horizon Cloud 还要求您注册计算机身份提供程序。服务使用此身份提供程序为提供远程桌面和应用程序的虚拟机建立计算机身份。
通过计算机身份提供程序，服务将远程桌面和远程应用程序的虚拟机源加入客户端用户有权访问的受信任网络域。
支持的身份配置
Horizon Cloud 要求您注册一个包含用户身份提供程序和计算机身份提供程序的身份配置。功能可能会因配置中包含的特定身份提供程序而异。
Horizon Cloud 支持以下身份配置。
Horizon Cloud 支持的身份配置
| 身份配置 | 用户身份提供程序 | 计算机身份提供程序 | 功能注意事项 |
|---|---|---|---|
| A | Microsoft Entra ID Commercial 或 Microsoft Entra ID Government | Active Directory |
|
| B | Microsoft Entra ID Commercial 或 Microsoft Entra ID Government | Microsoft Entra ID |
|
| C | Workspace ONE Access 云部署版本或 Workspace ONE Access 内部部署版本 | Active Directory |
|
| D | Omnissa Identity Service | Active Directory |
|
以下各节介绍了每个受支持的用户身份提供程序和计算机身份提供程序的要求。
用户身份要求
下面的预备信息概述了在您的身份配置中选择使用的用户身份提供程序的要求。Horizon Cloud 支持将 Microsoft Entra ID 和 Workspace ONE Access 作为用户身份的提供程序。
除了本节所述的要求外，请参阅支持的身份配置一节，以了解有关功能注意事项及可与每个用户身份提供程序结合使用的计算机身份提供程序的信息。有关 Horizon Cloud 如何管理身份的概述，请参阅了解用户身份和计算机身份一节。
-
Microsoft Entra ID
☐ 当 Microsoft Entra ID Commercial 或 Microsoft Entra ID Government 是您的用户身份提供程序时，具有 Microsoft Entra ID 全局管理员特权的用户必须执行以下操作。 - 批准请求的权限。
- 表明整个组织同意。
-
Workspace ONE Access
☐ 如果 Workspace ONE Access 云部署版本或 Workspace ONE Access 内部部署版本是您的用户身份提供程序，具有管理员特权的用户必须执行以下操作。 - 集成身份提供程序。
- 配置 Horizon Cloud 集成所需的必备条件。
-
Omnissa Identity Service
☐ 如果 Omnissa Identity Service 是您的用户身份提供程序，具有管理员特权的用户必须执行以下操作。 - 集成身份提供程序。
- 选择要与 Omnissa Identity Service 一起使用的 Horizon Cloud。
计算机身份要求
下面的预备信息概述了在您的身份配置中选择使用的计算机身份提供程序的要求。Horizon Cloud 支持将 Microsoft Entra ID 和 Active Directory 作为计算机身份的提供程序。
除了本节所述的要求外，请参阅支持的身份配置一节，以了解有关功能注意事项及可与每个计算机身份提供程序结合使用的用户身份提供程序的信息。有关 Horizon Cloud 如何管理身份的概述，请参阅了解用户身份和计算机身份一节。
- Active Directory
☐ Active Directory能够查看 Horizon Edge Gateway 实例和桌面子网的服务器。例如： - 通过 VPN/Express Route 连接的内部部署 Active Directory 服务器。
- AWS 管理的 Microsoft Active Directory。请参阅有关受管 Microsoft AD 的 AWS 文档。
☐ 如果您计划使用 LDAPS 连接 Active Directory，请收集 Active Directory 域的 PEM 编码的根和中间 CA 证书。 使用 Horizon Universal Console 设置 Active Directory 域时，系统当时会提示您上载 PEM 编码的根 CA 证书和中间 CA 证书。 ☐ 受支持的 Microsoft Windows Active Directory 域服务 (Active Directory Domain Service, AD DS) 域功能级别。 - Windows Server 2016
- Windows Server 2012 R2
- Windows Server 2012
- Windows Server 2022
- Windows Server 2019
- Windows Server 2016
- Windows Server 2012 R
☐ - 域绑定帐户
具有 sAMAccountName 属性的 Active Directory 域绑定帐户（具有读取访问权限的标准用户）。sAMAccountName 属性的长度不得超过 20 个字符，并且不能包含以下任何字符："/ \ [ ] : ; | = , + * ? < >。
帐户必须具有以下权限：
- 列出内容
- 读取全部属性
- 读取权限
- 读取 tokenGroupsGlobalAndUniversal（“读取全部属性”隐含的权限）
将帐户密码设置为“永不过期”，以确保能够继续登录到您的 Horizon Cloud 环境。
- 如果您熟悉 Horizon 内部部署产品，则上述权限与 Horizon 内部部署产品的辅助凭据帐户所需的权限相同。
- 为域绑定帐户授予即时可用的默认读取访问相关权限，该权限通常在 Microsoft Active Directory 部署中授予已通过身份验证的用户。但是，如果您组织的 AD 管理员已选择锁定常规用户的读取访问相关权限，则您必须请求这些 AD 管理员为将用于 Horizon Cloud 的域绑定帐户保留“已通过身份验证的用户”标准默认值。
☐ - 辅助域绑定帐户
必须不同于主域绑定帐户。UI 将禁止在这两个字段中重复使用相同的帐户。 具有 sAMAccountName 属性的 Active Directory 域绑定帐户（具有读取访问权限的标准用户）。sAMAccountName 属性的长度不得超过 20 个字符，并且不能包含以下任何字符："/ \ [ ] : ; | = , + * ? < >。帐户必须具有以下权限：- 列出内容
- 读取全部属性
- 读取权限
- 读取 tokenGroupsGlobalAndUniversal（“读取全部属性”隐含的权限）
- 如果您熟悉 Horizon 内部部署产品，则上述权限与 Horizon 内部部署产品的辅助凭据帐户所需的权限相同。
- 为域绑定帐户授予即时可用的默认读取访问相关权限，该权限通常在 Microsoft Active Directory 部署中授予已通过身份验证的用户。但是，如果您组织的 AD 管理员已选择锁定常规用户的读取访问相关权限，则您必须请求这些 AD 管理员为将用于 Horizon Cloud 的域绑定帐户保留“已通过身份验证的用户”标准默认值。
☐ - 域加入帐户
Active Directory 域加入帐户，系统可以使用该帐户执行 Sysprep 操作并将虚拟机加入域。通常是为实现此目的而特地创建的新帐户。（域加入用户帐户） 该帐户必须具有 sAMAccountName 属性。sAMAccountName 属性的长度不得超过 20 个字符，并且不能包含以下任何字符："/ \ [ ] : ; | = , + * ? < >。 当前不支持在帐户的用户名中使用空格。 将帐户密码设置为“永不过期”，可确保 Horizon Cloud 能够持续执行 Sysprep 操作并将虚拟机加入域中。 此帐户需要应用于计算机 OU 或将在控制台的“域加入”UI 中输入的 OU 的以下 Active Directory 权限。- 读取所有属性 - 仅限此对象
- 创建计算机对象 - 该对象和所有后代对象
- 删除计算机对象 - 该对象和所有后代对象
- 写入全部属性 - 后代计算机对象
- 重置密码 - 后代计算机对象
有关创建和重用域加入帐户的更多详细信息，请参阅创建 Active Directory 域绑定和域加入帐户。
在 Microsoft Active Directory 中，当您创建新的 OU 时，系统可能会自动设置Prevent Accidental Deletion属性，该属性会将Deny应用于新创建的 OU 和所有后代对象的“删除所有子对象”权限。因此，如果您为域加入帐户明确分配了“删除计算机对象”权限，对于新创建的 OU，Active Directory 可能已对该明确分配的“删除计算机对象”权限应用替代项。由于清除防止意外删除标记可能不会自动清除 Active Directory 应用于“删除所有子对象”权限的Deny，因此，对于新添加的 OU，您可能必须验证并手动清除为 OU 和所有子 OU 中的“删除所有子对象”设置的Deny权限，然后才能在 Horizon Cloud Console 中使用域加入帐户。
☐ - 可选辅助域加入帐户
Active Directory 域加入帐户，系统可以使用该帐户执行 Sysprep 操作并将虚拟机加入域。通常是为实现此明确目的而特地创建的新帐户（域加入用户帐户）。
帐户必须具有 sAMAccountName 属性。sAMAccountName 属性的长度不得超过 20 个字符，并且不能包含以下任何字符："/ \ [ ] : ; | = , + * ? < >。
当前不支持在帐户的用户名中使用空格。
将帐户密码设置为“永不过期”，可确保 Horizon Cloud 能够持续执行 Sysprep 操作并将虚拟机加入域中。
此帐户需要应用于计算机 OU 或将在控制台的“域加入”UI 中输入的 OU 的以下 Active Directory 权限。- 读取所有属性 - 仅限此对象
- 创建计算机对象 - 该对象和所有后代对象
- 删除计算机对象 - 该对象和所有后代对象
- 写入全部属性 - 后代计算机对象
- 重置密码 - 后代计算机对象
在 Microsoft Active Directory 中，当您创建新的 OU 时，系统可能会自动设置Prevent Accidental Deletion属性，该属性会将Deny应用于新创建的 OU 和所有后代对象的“删除所有子对象”权限。因此，如果您为域加入帐户明确分配了“删除计算机对象”权限，对于新创建的 OU，Active Directory 可能已对该明确分配的“删除计算机对象”权限应用替代项。由于清除防止意外删除标记可能不会自动清除 Active Directory 应用于“删除所有子对象”权限的Deny，因此，对于新添加的 OU，您可能必须验证并手动清除为 OU 和所有子 OU 中的“删除所有子对象”设置的Deny权限，然后才能在 Horizon Cloud Console 中使用域加入帐户。
☐ - 虚拟桌面和基于会话的 RDS 桌面以及/或者已发布的应用程序的一个或多个 Active Directory 组织单位 (OU)。
在 Microsoft Active Directory 中，当您创建新的 OU 时，系统可能会自动设置Prevent Accidental Deletion属性，该属性会将Deny应用于新创建的 OU 和所有后代对象的“删除所有子对象”权限。因此，如果您为域加入帐户明确分配了“删除计算机对象”权限，对于新创建的 OU，Active Directory 可能已对该明确分配的“删除计算机对象”权限应用替代项。由于清除防止意外删除标记可能不会自动清除 Active Directory 应用于“删除所有子对象”权限的Deny，因此，对于新添加的 OU，您可能必须验证并手动清除为 OU 和所有子 OU 中的“删除所有子对象”设置的Deny权限，然后才能在 Horizon Cloud Console 中使用域加入帐户。
映像管理系统要求
您的 Amazon WorkSpaces Core 帐户必须满足以下要求，具体取决于您要在部署的 Horizon Edge 中置备的映像类型。
☐ 映像的基础。一个或多个受支持的 Amazon WorkSpaces Core 硬件模型配置。
确保不超过 Amazon WorkSpaces 的配额限制。请参阅有关 Amazon WorkSpaces 配额的 AWS 文档。以下型号类型为默认类型，同时为推荐类型。
非 GPU：- Value – 1 个 vCPU、2 GB 内存
- Standard – 2 个 vCPU、4 GB 内存
- Performance – 2 个 vCPU、8 GB 内存
- Power – 4 个 vCPU、16 GB 内存
- PowerPro – 8 个 vCPU、32 GB 内存
- GeneralPurpose.4xlarge – 16 个 vCPU、64 GB 内存
- GeneralPurpose.8xlarge – 32 个 vCPU、128 GB 内存
- Graphics.g4dn - 4 个 vCPU、16 GiB 内存、1 个 GPU、16 GiB 显存、125 GB 本地实例存储
- GraphicsPro.g4dn - 16 个 vCPU、64 GiB 内存、1 个 GPU、16 GiB 显存、225 GB 本地实例存储
池虚拟机要求
您的 Amazon WorkSpaces Core 必须满足以下要求，具体取决于您要在部署的 Horizon Edge 中置备的池虚拟机类型。
☐ 为池中的虚拟机选择型号 — 在 Amazon WorkSpaces Core 区域中提供的任何 Amazon WorkSpaces Core 硬件型号配置，与 Horizon Cloud 桌面操作不兼容的配置除外。
选择虚拟机型号时，请考虑以下详细信息。- 选择启用 GPU 的模型类型还是非 GPU 模型类型，取决于在映像创建期间选择的虚拟机。
- 要创建多会话池，请选择使用多会话操作系统创建的映像。
- 对于生产环境，规模测试建议使用至少具有 2 个 CPU 或更大 CPU 的型号。
- 请参阅有关 Amazon WorkSpaces Core 定价的 AWS 文档，了解不同 Amazon WorkSpaces Core 硬件型号类型和大小与 Horizon Cloud 的兼容性。
Horizon Client 和 Horizon Web Client 要求
☐ 确保您的最终用户使用受支持的客户端访问其服务提供的资源。请参阅发行说明 -“客户端支持”部分中的列表
提示：当最终用户使用浏览器连接到 Horizon Cloud 时，其连接会自动使用最新版本的 Horizon Web Client。
此页面对您有帮助吗?