Omnissa Horizon Advisor

Horizon Advisor 是一款基于 PowerShell 的 Omnissa Horizon 环境管理工具。使用此工具，可在安装或升级 Horizon Server 之前验证您的环境、执行 AD LDS 维护，以及管理安全网关服务，所有这些操作均通过一个交互式控制台界面完成。

必备条件

要求表

**注意：**Horizon Advisor 必须直接在需要执行预检查的系统上运行。

启动工具

打开 PowerShell 控制台，然后导航到将 Horizon Advisor 提取到的文件夹。
然后运行：

.\Start-HorizonAdvisor.ps1

此时将打开交互式主菜单。

**重要信息：**每次运行 Start-HorizonAdvisor.ps1 时，都会清除以前接受的 TLS 证书。在每次重新运行时，系统将再次提示您接受任何不受信任或自签名的证书。

主菜单概览

启动后，您将看到以下菜单：

================================================================
            Welcome to Omnissa Horizon Advisor
         Your Comprehensive Horizon Management Tool
================================================================
Main Menu - Please select an option:
  1. Pre-Check Operations for Horizon Server Install / Upgrade
  2. AD LDS Operations
  3. Manage Secure Gateway Service
  4. Exit

选择带编号的选项，然后按 Enter。

预检查操作

预检查将根据 Omnissa 针对目标 Horizon 版本发布的要求验证您的环境。它会检查 Active Directory 设置、vCenter 连接、服务器必备条件和 LDAP/API 连接，然后生成详细的 HTML 报告，并可选择生成 PDF 报告。

验证类型

选择预检查操作时，将显示以下选项：

**注意：**LDAP 要求验证仅适用于 Horizon Server 2412 及更高版本。

以交互方式运行验证

选择验证类型后，该工具将提示您输入所需的内容：

Active Directory 验证

• Active Directory FQDN（例如，dc.corp.example.com）
• 目标 Horizon 版本（例如，2503）

vCenter 验证

• vCenter FQDN（例如，vcenter.corp.example.com）
• vCenter 版本（例如，8.0.2）
• 目标 Horizon 版本

服务器验证

• 目标 Horizon 版本

LDAP 验证

• Horizon 管理员用户名
• Horizon 域
• Horizon 管理员密码（已安全输入 - 输入内容已隐藏）

运行所有验证

• 在执行开始之前收集上述所有输入内容。

TLS 证书提示

对于 LDAP 和 API 验证，Horizon Advisor 将通过 HTTPS 连接到 Horizon Connection Server。如果服务器使用自签名或不受信任的 TLS 证书，则会显示以下提示：

Untrusted TLS certificate detected for https://<server>/rest/...
Subject   : CN=<server>
Issuer    : CN=<server>
Thumbprint: XXXX...
Valid From: ...
Valid To  : ...
Certificate appears to be self-signed.
Press '1' to accept this certificate for this run only
Press '2' to reject and stop the request
Select an option (1-2):

按 1 以接受并继续。证书仅在本次运行期间受信任。

按 2 以拒绝。连接将中止，验证不会继续进行。

每次运行时都会显示此提示。接受的证书永远不会永久存储。

了解报告

验证完成后，将自动生成 HTML 报告（如果支持的浏览器可用，还会生成 PDF 报告）。该报告包括：

“摘要”部分

详细结果表

报告中的行颜色与状态相对应：

• 绿色：通过
• 黄色/橙色：警告
• 红色：失败
• 蓝色：跳过

对于标记为失败或警告的项目，在继续 Horizon 安装或升级之前，请务必查看建议列以了解需要采取的纠正措施。

报告位置

报告将保存到：

%ProgramData%\Omnissa\Horizon\logs\HorizonAdvisor\PreCheckReports\

文件命名约定

生成报告后，该工具将显示 HTML 和 PDF 文件的完整路径。您可以在任何 Web 浏览器中打开该 HTML 文件。

如果未安装 Microsoft Edge 或 Google Chrome，则不会生成 PDF，但将始终创建 HTML 报告。

AD LDS 操作

本单元将提供针对连接服务器上 Horizon AD LDS（Active Directory 轻型目录服务）分区的维护操作。

**注意：**从 2606 版本开始，连接服务器安装程序默认会自动停止并禁用 Active Directory Web 服务 (Active Directory Web Service, ADWS)，因为正常的连接服务器操作不需要 ADWS。如果您的环境依赖 ADWS 进行 AD LDS 维护或其他目的，则可以从此菜单暂时重新启用该服务。

可用操作

使用清理操作

1. 从“AD LDS 操作”菜单中选择“选项 2”（或直接运行清理脚本）。
   该工具会显示检测到的 Horizon 分区 DN。
   

2. 选择您的操作：

   • 选项 1：显示失效条目计数（不删除）- 安全预览
   • 选项 2：删除失效条目 - 执行实际清理

3. 输入失效阈值：

   • 指定将数据视为失效的月数
   • 按 Enter 键接受默认值 3 个月
   • 只有在此期间内未经修改的数据才会受到影响

4. 查看失效条目计数：

   • 该工具将扫描 AD LDS 并显示找到的失效对象数量
   • 如果选择了“选项 1”，则操作至此结束，不会执行删除

5. 确认删除（仅限“选项 2”）：

   • 查看要删除的条目计数
   • 键入 1 以确认删除。
   • 键入任何其他内容或按 Esc 键以取消操作。

6. 删除过程：

   • 该工具将分批删除匹配的对象（每批 2,000 个）。
   • 每完成一批，系统将报告当前进度：

7. 完成：

   • 显示已删除对象的总数。

   • 删除报告显示以下内容：

     • 删除的对象总数
     • 清理完成状态

**提醒：**此操作将从 AD LDS 中永久删除用户首选项数据。在继续删除之前：

• 确认已备份 AD LDS 数据库
• 与您的团队确认可以安全移除旧首选项
• 首先运行“选项 1”以进行预览
• 考虑在用户活动最少的维护时段运行

使用 ADWS 状态管理

导航到 ADWS 状态管理

1. 打开 Horizon Advisor。

2. 选择 AD LDS 操作

3. 选择 ADWS 状态管理

4. 选择范围级别，然后选择所需的操作。

选择范围级别（必需）

在运行“验证”、“启用”或“禁用”之前，请选择一个范围：

• 单个 POD

  - 目标仅为所选 Pod 中的连接服务器。
  - 使用**选择 Pod** 选择特定的 Pod。
  

• 集群级别（CPA 联合）

  - 目标为在 CPA 联合中发现的所有 Pod。
  - 当更改必须在整个联合范围内应用时使用。
  

如果仅发现一个 Pod，则集群级别行为不适用，并且操作将在可用的 Pod 范围内运行。

选项 1：验证 ADWS 状态

功能说明

• 检查已发现连接服务器上的 ADWS 状态。
• 显示当前服务状态、启动类型、防火墙状态和 ADWS 注册表标记。
• 不会进行任何配置更改。

何时使用

• 在启用或禁用 ADWS 之前。
• 进行更改后，需确认最终状态时。

步骤

1. 选择单个 Pod 或集群级别 (CPA 联合)。

2. 如果选择单个 Pod，请在选择 Pod 中选择目标 Pod。

3. 选择验证 ADWS 状态

4. 等待发现和状态收集完成。

5. 查看每个服务器的输出表：

   • 服务状态
   • 启动类型
   • 防火墙状态
   • EnableADWS 值

选项 2：启用 ADWS

功能说明

• 将 ADWS 服务启动设置为“自动”。
• 如果 ADWS 服务未运行，则启动该服务。
• 启用或创建 ADWS 入站防火墙规则 (TCP 9389)。
• 将 EnableADWS 注册表值设置为 1。

安全警告

• ADWS 默认处于禁用状态，以减少安全暴露。
• 仅当需要 ADWS 来完成特定任务（例如，故障排除或旧版集成）时，才启用该服务。
• 任务完成后，请手动禁用 ADWS。

步骤

1. 选择单个 Pod 或集群级别 (CPA 联合)。

2. 如果选择单个 Pod，请在选择 Pod 中选择目标 Pod。

3. 选择启用 ADWS。

4. 查看安全警告。

5. 在出现提示时，请确认操作。

6. 等待执行在所有可访问的服务器上完成。

7. 运行验证 ADWS 状态以确认 ADWS 已在预期位置启用。

选项 3：禁用 ADWS

功能说明

• 停止 ADWS 服务。
• 将 ADWS 启动类型设置为“已禁用”。
• 禁用 ADWS 入站防火墙规则。
• 将 EnableADWS 注册表值设置为 0。

何时使用

• 完成需要 ADWS 的临时任务后。
• 需返回到默认安全状态时。

步骤

1. 选择单个 Pod 或集群级别 (CPA 联合)。

2. 如果选择单个 Pod，请在选择 Pod 中选择目标 Pod。

3. 选择禁用 ADWS。

4. 在出现提示时，请确认操作。

5. 等待执行完成。

6. 运行验证 ADWS 状态以确认 ADWS 已禁用。

管理安全网关服务

本单元将在 Horizon Connection Server 上启用或禁用 PCoIP 安全网关和 BLAST 安全网关服务。

可用操作

安全网关管理必须直接在安装了网关服务的 Horizon Connection Server 上运行。该工具会在继续操作前，验证是否检测到 Horizon Connection Server 安装。

命令行（非交互式）模式

Horizon Advisor 支持将非交互式执行用于脚本或自动化流程。可从命令行直接将参数传递到 Start-HorizonAdvisor.ps1。

语法

.\Start-HorizonAdvisor.ps1 -Flow precheck -Validation <type> -TargetHorizonVersion <version> [options]

参数

示例

运行服务器验证：

.\Start-HorizonAdvisor.ps1 -Flow precheck -Validation server -TargetHorizonVersion '2503'

运行 Active Directory 验证：

.\Start-HorizonAdvisor.ps1 -Flow precheck -Validation activedirectory -AdFqdn 'dc.corp.example.com' -TargetHorizonVersion '2503'

运行 vCenter 验证：

.\Start-HorizonAdvisor.ps1 -Flow precheck -Validation vcenter -VCenterFqdn 'vcenter.corp.example.com' -VCenterVersion '8.0.2' -TargetHorizonVersion '2503'

运行 LDAP 验证 — 运行时以安全方式提示输入密码：

.\Start-HorizonAdvisor.ps1 -Flow precheck -Validation ldap -HorizonAdminUsername 'admin' -HorizonDomain 'corp'

运行 LDAP 验证并接受自签名证书而不出现提示：

.\Start-HorizonAdvisor.ps1 -Flow precheck -Validation ldap -HorizonAdminUsername 'admin' -HorizonDomain 'corp' -AcceptSelfSignedCertificate

运行所有验证 — 运行时以安全方式提示输入密码：

.\Start-HorizonAdvisor.ps1 -Flow precheck -Validation all -AdFqdn 'dc.corp.example.com' -VCenterFqdn 'vcenter.corp.example.com' -VCenterVersion '8.0.2' -TargetHorizonVersion '2503' -HorizonAdminUsername 'admin' -HorizonDomain 'corp'

自动/脚本运行的密码处理

在将 Horizon Advisor 作为计划任务或自动化流程的一部分运行时，由于无法进行交互式提示，您需要使用 -HorizonAdminPassword 参数以 PowerShell SecureString 形式预先提供密码。

如何置备 SecureString 取决于贵组织的安全实践，例如：从密钥管理器、凭据保管库、加密文件或任何其他方式获取。唯一的要求是传递到 -HorizonAdminPassword 的值必须是 SecureString。

示例：传递 SecureString 以自动执行：

# Obtain a SecureString by whatever method suits your environment
$securePassword = <your SecureString here>
.\Start-HorizonAdvisor.ps1 -Flow precheck -Validation ldap `
    -HorizonAdminUsername 'admin' -HorizonDomain 'corp' `
    -HorizonAdminPassword $securePassword

获取帮助

要直接从控制台显示命令行用法和示例，请执行以下操作：

.\Start-HorizonAdvisor.ps1 -Help