此檢查清單的目的在於說明使用 Horizon Cloud 中的 Horizon Control Plane 進行原生 Amazon WorkSpaces Core 部署所需的必要項目。
檢查清單對象
此檢查清單適用於租用戶環境中從未進行過 Horizon Cloud on Amazon WorkSpaces Core 部署的 Horizon Cloud 客戶帳戶。您可能會聽到此類租用戶環境被稱為全新環境或綠地環境。
在部署 Horizon Cloud 之前，您必須先完成以下部分項目。您可以將部分項目延後到部署完成並執行後再處理。
AWS 帳戶需求
如需組態限制，請參閱規劃 Horizon Cloud 部署規模，其中包含使用組態上限工具的相關資訊。在 [組態上限] 頁面上，選取檢視限制、Horizon Cloud、最新版本，以及您要檢視的類別。
Amazon Elastic Compute Cloud (Amazon EC2) 需求
| ☐ | 在受支援的 AWS 區域中擁有有效的 Amazon Web Services 帳戶。請參閱相關 AWS 說明文件。 附註： Horizon Cloud 支援大多數 Amazon WorkSpaces Core 支援的區域。 |
| ☐ | 每個 Amazon Web Services 帳戶中都必須具備有效的 AWS 身分識別與存取管理 (IAM) 角色。請參閱建立 AWS 帳戶的 AWS 說明文件。 這些角色是執行 Amazon WorkSpaces Core Edge 部署所必需的。請參閱 Amazon WorkSpaces Core Edge 部署。 |
| ☐ | 確保沒有設定任何 AWS IAM 原則或資源鎖定，避免阻止建立 Horizon Edge 部署資源。 |
| ☐ | 執行 IAM 需求
|
| ☐ | Amazon EC2 帳戶中可用於部署核心 Horizon Edge 資源的容量。 Edge Gateway (虛擬機器) – 需具備足夠的配額以建立一部虛擬機器。
|
| ☐ | 可使用下列 Amazon WorkSpaces Core 部署選項： Edge Gateway (虛擬機器) = Edge Gateway 虛擬機器。Edge Gateway (虛擬機器) 適用於無高可用性需求的小型部署。 |
Amazon WorkSpaces Core 容量需求
如果下表代表 Amazon WorkSpaces Core 容量，則不需要手動安裝。只要訂閱中具有所述的可用容量，部署工具便會自動具現化所述的虛擬機器。
| ☐ | 已設定自備授權 (BYOL) 的先決條件。 請參閱 AWS 說明文件中關於在 WorkSpaces 中自備 Windows 桌面授權的內容。 |
| ☐ | 已設定 WorkSpaces Personal 的可用性區域。 請參閱 AWS 說明文件中關於 WorkSpaces Personal 可用性區域的相關資訊。 |
網路需求
以下網路需求包含成功部署與運行 Horizon Edge 所需的詳細資料。如需詳細資訊，請參閱 AWS 說明文件中關於 Amazon EC2 的網路相關內容。
使用下列表格來進行 Edge Gateway 部署。
Edge Gateway (虛擬機器) 的網路需求
| ☐ | 針對每個 Horizon Edge Gateway，需在目標 Amazon EC2 區域中建立一個 Amazon Virtual Private Cloud (VPC)，並配置足夠的位址空間以涵蓋所需的子網路。 |
| ☐ |
以下為子網路的最低需求。對於較大的環境，可能需要使用更大的子網路。
|
| ☐ |
針對 Unified Access Gateway，請將 Virtual Private Cloud (VPC) 的 DNS 伺服器設定為指向可解析內部機器名稱與外部名稱的有效 DNS 伺服器。請參閱部署 Horizon Edge Gateway 和 Unified Access Gateway 後設定所需的 DNS 記錄
|
| ☐ | 用於 Horizon Edge 部署的 VPC 必須具備可使用特定連接埠與通訊協定解析並連線至特定 DNS 名稱的輸出網際網路存取。在執行部署和進行中的作業時需要此功能。如需 DNS 名稱和連接埠的清單，請參閱在 Amazon WorkSpaces Core 環境中部署 Horizon Edge Gateway 前，請確保適當的目的地 URL 可存取。 |
| ☐ | 選用。如果在部署期間及 Horizon Cloud 環境持續運作時，Virtual Private Cloud (VPC) 的輸出網際網路存取需要使用 Proxy 伺服器，請提供 Proxy 伺服器相關資訊。 |
| ☐ | 選用。當您需要在 Virtual Private Cloud (VPC) 與內部部署公司網路之間建立網路連線時，請設定 AWS VPN。 |
| ☐ | Proxy — 在 WorkSpaces Core 映像的系統層級新增所有已設定的 Proxy 設定。 |
連接埠和通訊協定需求
| ☐ | 在部署及 Horizon Cloud 環境持續運作期間，必須使用特定的連接埠與通訊協定。請參閱在 Amazon WorkSpaces Core 中進行 Horizon Cloud 部署的連接埠與通訊協定需求。 |
Unified Access Gateway 需求
一個 Unified Access Gateway 虛擬機器叢集會關聯至一個集區，使得用戶端能與該集區中的虛擬機器建立受信任的 Horizon Web Client 連線。
您可以使用 Horizon Universal Console 將 Horizon Cloud 與 Unified Access Gateway 進行設定。該類型的組態需要以下項目。
| ☐ |
對於所有組態類型，必須具備可連線至下列端點名稱的輸出網際網路存取權限： *.horizon.omnissa.com 當 Unified Access Gateway 存取類型為允許透過公司網路的內部存取時，可以將使用者定義的路由或 NAT 閘道套用至 對於外部型或同時具備外部與內部型的 Unified Access Gateway，VPC 中必須設有網際網路閘道，且 DMZ 子網路的流量必須路由至該網際網路閘道。 |
| ☐ | 根據您在設定 Unified Access Gateway 時選擇的存取類型，必須提供內部 FQDN、外部 FQDN，或兩者皆提供。
|
| ☐ | 與 FQDN 相符的 Unified Access Gateway 憑證，格式須為 PEM 或 PFX。 附註：如果您為此目的提供的憑證使用參照特定 DNS 名稱的 CRL (憑證撤銷清單) 或 OCSP (線上憑證狀態通訊協定) 設定，則必須確保 Virtual Private Cloud (VPC) 具備可解析且可連線至這些 DNS 名稱的輸出網際網路存取。在 Unified Access Gateway 組態中設定您提供的憑證時，Unified Access Gateway 軟體會連線至這些 DNS 名稱，以檢查憑證的撤銷狀態。如果無法存取這些 DNS 名稱，部署將失敗。這些名稱高度依賴於您用來取得憑證的 CA。 |
| ☐ | 請依據您的 Unified Access 部署模式，遵循適當的子網路指引： 基本模式：
進階模式：
|
瞭解使用者身分識別和機器身分識別
Horizon Cloud 在處理身分識別的方式上，與其他環境有所不同。在 Horizon Cloud 中，服務會區分使用者身分識別與機器身分識別，並在建立用戶端與遠端桌面或應用程式之間的安全連線時，同時依賴這兩種類型的身分識別。
**附註：**如果您較熟悉使用單一身分識別提供者同時驗證使用者與機器身分識別的環境，例如第一代 Horizon Cloud 環境或 Horizon 8 內部部署環境，您可能會對使用者身分識別與機器身分識別之間的區分感到陌生。
在 Horizon Cloud 中，您必須設定一個身分識別組態，其中包含一個用於驗證使用者身分識別的身分識別提供者，以及一個用於驗證機器身分識別的身分識別提供者。
-
使用者身分識別
Horizon Cloud 需要您登錄一個使用者身分識別提供者。服務會使用此身分識別提供者，來驗證嘗試存取遠端桌面和應用程式的用戶端使用者。
-
機器身分識別
Horizon Cloud 也需要您登錄一個機器身分識別提供者。服務會使用此身分識別提供者，來建立提供遠端桌面和應用程式的虛擬機器的機器身分識別。
服務會透過機器身分識別提供者，將遠端應用程式的遠端桌面和虛擬機器來源加入用戶端使用者有權存取的受信任網路網域。
支援的身分識別組態
Horizon Cloud 需要您登錄一個身分識別組態，其中包含使用者身分識別提供者與機器身分識別提供者。根據組態中包含的特定身分識別提供者，功能可能會有所不同。
Horizon Cloud 支援以下身分識別組態。
Horizon Cloud 支援的身分識別組態
| 身分識別組態 | 使用者身分識別提供者 | 機器身分識別提供者 | 功能考量事項 |
|---|---|---|---|
| A | Microsoft Entra ID Commercial 或 Microsoft Entra ID Government | Active Directory |
|
| B | Microsoft Entra ID Commercial 或 Microsoft Entra ID Government | Microsoft Entra ID |
|
| C | Workspace ONE Access 雲端或 Workspace ONE Access 內部部署 | Active Directory |
|
| D | Omnissa Identity Service | Active Directory |
|
以下各節將說明每個支援的使用者身分識別提供者與機器身分識別提供者的需求。
使用者身分識別需求
本節說明您選擇要在身分識別組態中使用的使用者身分識別提供者的需求。Horizon Cloud 支援 Microsoft Entra ID 與 Workspace ONE Access 作為使用者身分識別的提供者。
除了本節所述的需求之外，請參閱支援的身分識別組態一節，以瞭解功能考量，以及可與各使用者身分識別提供者搭配使用的機器身分識別提供者。如需 Horizon Cloud 如何管理身分識別的概觀，請參閱瞭解使用者身分識別與機器身分識別一節。
-
Microsoft Entra ID
☐ 當 Microsoft Entra ID Commercial 或 Microsoft Entra ID Government 作為您的使用者身分識別提供者時，必須由具備 Microsoft Entra ID 全域管理員權限的使用者執行下列動作。 - 核准要求的權限。
- 代表整個組織表示同意。
-
Workspace ONE Access
☐ 當 Workspace ONE Access Cloud 或 Workspace ONE Access 內部部署作為您的使用者身分識別提供者時，必須由具備管理員權限的使用者執行下列動作。 - 整合身分識別提供者。
- 設定 Horizon Cloud 整合所需的必要先決條件。
-
Omnissa Identity Service
☐ 當 Omnissa Identity Service 作為您的使用者身分識別提供者時，必須由具備管理員權限的使用者執行下列動作。 - 整合身分識別提供者。
- 選取要與 Omnissa Identity Service 搭配使用的 Horizon Cloud。
機器身分識別需求
本節說明您選擇要在身分識別組態中使用的機器身分識別提供者的需求。Horizon Cloud 支援 Microsoft Entra ID 與 Active Directory 作為機器身分識別的提供者。
除了本節所述的需求之外，請參閱支援的身分識別組態一節，以瞭解功能考量，以及可與各機器身分識別提供者搭配使用的使用者身分識別提供者。如需 Horizon Cloud 如何管理身分識別的概觀，請參閱瞭解使用者身分識別與機器身分識別一節。
- Active Directory
☐ Active Directory 伺服器必須能直接存取 Horizon Edge Gateway 執行個體與桌面子網路。例如： - 透過 VPN/快速路由連線的內部部署 Active Directory 伺服器。
- AWS 受管理 Microsoft Active Directory。請參閱 AWS 說明文件中關於受管理 Microsoft AD 的內容。
☐ 如果您計劃使用 LDAPS 來連接 Active Directory，請針對 Active Directory 網域，收集其 PEM 編碼的根 CA 憑證和中繼 CA 憑證。 當您使用 Horizon Universal Console 設定 Active Directory 網域時，系統會在該階段提示您上傳 PEM 編碼的根 CA 憑證與中繼 CA 憑證。 ☐ 支援的 Microsoft Windows Active Directory 網域服務 (AD DS) 網域功能性層級。 - Windows Server 2016
- Windows Server 2012 R2
- Windows Server 2012
- Windows Server 2022
- Windows Server 2019
- Windows Server 2016
- Windows Server 2012 R
☐ - 網域繫結帳戶
具有 sAMAccountName 屬性的 Active Directory 網域繫結帳戶 (具有讀取權的標準使用者)。sAMAccountName 屬性必須少於或等於 20 個字元，且不得包含以下任何字元："/ \ [ ] : ; | = , + * ? < >。
帳戶必須具有下列權限：
- 列出內容
- 讀取全部內容
- 讀取權限
- 讀取 tokenGroupsGlobalAndUniversal (由 [讀取全部內容] 隱含表示)
將帳戶密碼設定為永不到期，以確保能持續存取並登入您的 Horizon Cloud 環境。
- 如果您熟悉 Horizon 內部部署供應項目，則上述權限即為 Horizon 內部部署供應項目的次要認證帳戶所需的一組相同權限。
- 網域繫結帳戶具備 Microsoft Active Directory 部署中，通常授與已驗證使用者的預設立即可用的讀取存取相關權限。但是，如果您組織的 AD 管理員選擇限制一般使用者的讀取存取相關權限，您必須要求這些 AD 管理員，為您在 Horizon Cloud 中使用的網域繫結帳戶保留已驗證使用者的標準預設權限。
☐ - 輔助網域繫結帳戶
必須不同於主要網域繫結帳戶。UI 會防止在兩個欄位中重複使用相同帳戶。Active Directory 網域繫結帳戶必須是具有讀取存取權的標準使用者，且具備 sAMAccountName 屬性。sAMAccountName 屬性必須少於或等於 20 個字元，且不得包含以下任何字元："/ \ [ ] : ; | = , + * ? < >。帳戶必須具有下列權限：- 列出內容
- 讀取全部內容
- 讀取權限
- 讀取 tokenGroupsGlobalAndUniversal (由 [讀取全部內容] 隱含表示)
- 如果您熟悉 Horizon 內部部署供應項目，則上述權限即為 Horizon 內部部署供應項目的次要認證帳戶所需的一組相同權限。
- 網域繫結帳戶具備 Microsoft Active Directory 部署中，通常授與已驗證使用者的預設立即可用的讀取存取相關權限。但是，如果您組織的 AD 管理員選擇限制一般使用者的讀取存取相關權限，您必須要求這些 AD 管理員，為您在 Horizon Cloud 中使用的網域繫結帳戶保留已驗證使用者的標準預設權限。
☐ - 網域加入帳戶
Active Directory 網域加入帳戶，系統可以使用該帳戶執行 Sysprep 作業並將虛擬電腦加入網域。通常是專為此目的而建立的新帳戶。(網域加入使用者帳戶) 該帳戶必須具有 sAMAccountName 屬性。sAMAccountName 屬性必須少於或等於 20 個字元，且不得包含以下任何字元："/ \ [ ] : ; | = , + * ? < >。目前不支援在帳戶使用者名稱中包含空白字元。請將帳戶密碼設定為「永不到期」，以確保 Horizon Cloud 能持續執行 Sysprep 作業並將虛擬電腦加入網域。此帳戶必須具備下列 Active Directory 權限，並套用至電腦 OU，或套用至您稍後在主控台的網域加入 UI 中輸入的 OU。- 讀取全部內容 - 僅限此物件
- 建立電腦物件 - 此物件和所有子系物件
- 刪除電腦物件 - 此物件和所有子系物件
- 寫入全部內容 - 子系電腦物件
- 重設密碼 - 子系電腦物件
如需建立與重複使用網域加入帳戶的詳細資料，請參閱建立 Active Directory 網域繫結帳戶和網域加入帳戶。
在 Microsoft Active Directory 中，當您建立新的 OU 時，系統可能會自動設定Prevent Accidental Deletion屬性，而將Deny套用至新建立的 OU 和所有子系物件的「刪除所有子系物件」權限。因此，如果您明確地將「刪除電腦物件」權限指派給網域加入帳戶，則在新建立的 OU 中，Active Directory 可能會將覆寫套用至該明確指派的「刪除電腦物件」權限。由於清除防止意外刪除旗標時，可能不會自動清除 Active Directory 套用於「刪除所有子物件」權限的Deny設定，因此在新增 OU 的情況下，您可能需要在使用 Horizon Cloud Console 中的網域加入帳戶之前，先確認並手動清除該 OU 及其所有子 OU 上針對「刪除所有子系物件」所設定的Deny權限。
☐ - 選用輔助網域加入帳戶
Active Directory 網域加入帳戶，系統可以使用該帳戶執行 Sysprep 作業並將虛擬電腦加入網域。通常會專門為此目的建立一個新帳戶 (網域加入使用者帳戶)。
帳戶必須具有 sAMAccountName 屬性。sAMAccountName 屬性必須少於或等於 20 個字元，且不得包含以下任何字元："/ \ [ ] : ; | = , + * ? < >。
目前不支援在帳戶使用者名稱中使用空白字元。
將帳戶密碼設定為「永不到期」，以確保 Horizon Cloud 能持續執行 Sysprep 作業並將虛擬電腦加入網域。
此帳戶需要下列 Active Directory 權限，且這些權限適用於電腦 OU 或適用於您將輸入到主控台 [網域加入] UI 中的 OU。- 讀取全部內容 - 僅限此物件
- 建立電腦物件 - 此物件和所有子系物件
- 刪除電腦物件 - 此物件和所有子系物件
- 寫入全部內容 - 子系電腦物件
- 重設密碼 - 子系電腦物件
在 Microsoft Active Directory 中，當您建立新的 OU 時，系統可能會自動設定Prevent Accidental Deletion屬性，而將Deny套用至新建立的 OU 和所有子系物件的「刪除所有子系物件」權限。因此，如果您明確地將「刪除電腦物件」權限指派給網域加入帳戶，則在新建立的 OU 中，Active Directory 可能會將覆寫套用至該明確指派的「刪除電腦物件」權限。由於清除防止意外刪除旗標時，可能不會自動清除 Active Directory 套用於「刪除所有子物件」權限的Deny設定，因此在新增 OU 的情況下，您可能需要在使用 Horizon Cloud Console 中的網域加入帳戶之前，先確認並手動清除該 OU 及其所有子 OU 上針對「刪除所有子系物件」所設定的Deny權限。
☐ - 虛擬桌面和 RDS 工作階段型桌面和/或已發佈應用程式適用的一或多個 Active Directory 組織單位 (OU)。
在 Microsoft Active Directory 中，當您建立新的 OU 時，系統可能會自動設定Prevent Accidental Deletion屬性，而將Deny套用至新建立的 OU 和所有子系物件的「刪除所有子系物件」權限。因此，如果您明確地將「刪除電腦物件」權限指派給網域加入帳戶，則在新建立的 OU 中，Active Directory 可能會將覆寫套用至該明確指派的「刪除電腦物件」權限。由於清除防止意外刪除旗標時，可能不會自動清除 Active Directory 套用於「刪除所有子物件」權限的Deny設定，因此在新增 OU 的情況下，您可能需要在使用 Horizon Cloud Console 中的網域加入帳戶之前，先確認並手動清除該 OU 及其所有子 OU 上針對「刪除所有子系物件」所設定的Deny權限。
映像管理系統需求
您的 Amazon WorkSpaces Core 帳戶必須符合以下需求，具體取決於您要從已部署的 Horizon Edge 佈建的映像類型。
☐ 映像的基礎。一或多個受支援的 Amazon WorkSpaces Core 硬體型號組態。
確保您未超出 Amazon WorkSpaces 的配額限制。請參閱 AWS 說明文件中關於 Amazon WorkSpaces 配額的內容。以下型號類型為預設和建議的類型。
非 GPU：- 值 – 1 個 vCPU、2 GB 記憶體
- 標準 – 2 個 vCPU、4 GB 記憶體
- 效能 – 2 個 vCPU、8 GB 記憶體
- 電源 – 4 個 vCPU、16 GB 記憶體
- PowerPro – 8 個 vCPU、32 GB 記憶體
- GeneralPurpose.4xlarge – 16 個 vCPU、64 GB 記憶體
- GeneralPurpose.8xlarge – 32 個 vCPU、128 GB 記憶體
- Graphics.g4dn - 4 個 vCPU、16 GiB 記憶體、1 個 GPU、16 GiB 視訊記憶體，以及 125 GB 本機執行個體儲存空間
- Graphics.g4dn - 16 個 vCPU、64 GiB 記憶體、1 個 GPU、16 GiB 視訊記憶體，以及 225 GB 本機執行個體儲存空間
集區虛擬機器需求
您的 Amazon WorkSpaces Core 必須符合以下需求，具體內容取決於您要從已部署的 Horizon Edge 佈建的集區虛擬機器類型。
☐ 集區中虛擬機器的型號選擇 — 可使用 Amazon WorkSpaces Core 區域中任何可用的 Amazon WorkSpaces Core 硬體型號組態，但不包括與 Horizon Cloud 桌面作業不相容的組態。
在您選取虛擬機器型號時，請考量以下詳細資料。- 要選取已啟用 GPU 的模型類型，還是選取非 GPU 模型類型，具體取決於建立映像期間選取的虛擬機器。
- 若要建立多重工作階段集區，請選取使用多重工作階段作業系統所建立的映像。
- 對於生產環境，規模測試建議使用至少具有 2 個 CPU 或更大的型號。
- 如需瞭解不同 Amazon WorkSpaces Core 硬體型號類型與大小與 Horizon Cloud 的相容性，請參閱 AWS 說明文件中關於 Amazon WorkSpaces Core 定價的內容。
Horizon Client 和 Horizon Web Client 需求
☐ 確保您的使用者使用受支援的用戶端來存取服務提供的資源。請參閱《版本說明》的〈用戶端支援〉章節中的清單。
提示：當使用者透過瀏覽器連線至 Horizon Cloud 時，其連線會自動使用最新版本的 Horizon Web Client。
此頁面對您有幫助嗎?