EnglishFrançaisDeutschEspañolItaliano日本語한국어NederlandsPortuguês (Brasil)中文 (简体)中文 (繁體, 台灣)
Skip to main content

2026 年 9 月 1 日

第一代租用戶 - 執行第一代網繭部署精靈的先決條件

執行第一代網繭部署精靈之前，請確認您的環境符合這些先決條件。您必須擁有下列項目，以便您可以在網繭部署精靈中提供要求的值，並繼續執行精靈。

重要： 此資訊僅適用於當您有權在第一代控制平面中存取第一代租用戶環境時。如 知識庫文章 92424 中所述，第一代控制平面已終止提供 （EOA）。如需詳細資料，請參閱該文章。

重要： 在啟動網繭部署精靈並開始部署網繭之前，除了以下需求以外，您還必須注意下列要點：

  • 若要成功部署網繭，您或 IT 團隊在 Microsoft Azure 環境中設定的 Microsoft Azure 原則，均不得封鎖、拒絕或限制建立網繭的元件。此外，您必須確認Microsoft Azure 原則內建原則定義並未封鎖、拒絕或限制建立網繭的元件。作為必須允許的兩個項目範例，您和您的 IT 團隊必須確認您的Microsoft Azure 原則都不會阻止、拒絕或限制在 Azure 儲存帳戶上建立元件，並且必須驗證您的Microsoft Azure 原則是否允許resourceType``Microsoft.MarketplaceOrdering/*。網繭部署程序依賴於接受來自 publisherID的 Azure Marketplace 產品。如需 Azure 原則的相關資訊，請參閱 Azure 原則說明文件。如需服務 Microsoft.MarketplaceOrdering/* 如何使用資源類型的相關資訊，請參閱 當您的 IT 或安全組織對 Azure Marketplace 產品使用或 Marketplace 訂購有限制時。
  • 網繭部署工具會要求您的 Azure 儲存區帳戶允許部署工具在訂閱的網繭資源群組中建立 Azure StorageV2 帳戶類型。此儲存區帳戶將用於網繭的App Volumes功能。在網繭部署程序期間，請確定您的Microsoft Azure 原則不會限制或拒絕建立需要 Azure StorageV2 帳戶類型的內容。
  • 在您部署這些網繭時，所有雲端連線網繭必須對相同的Active Directory網域集合具有直視性。

所有部署的先決條件

  • 新增另一個網繭時，您可以使用為先前網繭使用的相同訂閱，或根據組織的要求使用不同的訂閱。如果您打算使用不同的訂閱，則必須執行第一代 部署指南 中所述的步驟，以取得訂閱識別碼、目錄識別碼、應用程式識別碼，以及應用程式金鑰。您必須確定您所使用的訂閱符合該指南中所述的需求，特別是服務主體必須在訂閱的相關層級上被授與適當的角色權限。

  • 如果您的 租用戶設定為將 Universal Broker 用於 Microsoft Azure 中的網繭，則在執行網繭部署精靈以新增網繭時，您必須指定站台。您可以選取現有站台或指定新站台。

  • 確認在您要部署網繭的區域中具有 VNet，且 VNet 符合 在 Microsoft Azure 中設定所需的虛擬網路中所述的需求。

    重要： 並非所有 Microsoft Azure 區域都支援已啟用 GPU 的虛擬機器。如果您想要將網繭用於支援 GPU 的桌面或遠端應用程式，請確保您為網繭選取的 Microsoft Azure 區域可提供您想要使用的那些 NV 系列、NVv4 系列和 NCv2 系列虛擬機器類型，且在此 Horizon Cloud 版本中支援。如需詳細資料，請參閱 https://azure.microsoft.com/en-us/regions/services/ 中的 Microsoft 說明文件。

  • 確認您的 VNet 已設定為指向可解析外部位址的 DNS。網繭部署工具必須能夠在 Horizon Cloud 控制平面中連線到外部位址，以安全地將網繭軟體下載到 Microsoft Azure 環境中。

  • 確認符合網繭部署工具的 DNS、連接埠和通訊協定需求，如 第一代租用戶 - Horizon Cloud on Microsoft Azure 部署 - 主機名稱解析需求、DNS 名稱 和 第一代租用戶 - Horizon Cloud Pod - 連接埠和通訊協定需求中所述。

  • 如果您需要將 Proxy 用於輸出網際網路存取，請確認您擁有 Proxy 組態的網路資訊和其所需的驗證認證 （若有的話）。網繭部署程序需要輸出網際網路存取。

    重要： 目前不支援在網繭部署於 Microsoft Azure 後編輯或更新網繭上的 Proxy 設定。此外，目前不支援將 Proxy 組態新增至未設定 Proxy 就部署的已部署網繭。

  • 確認您至少具有一個要讓網繭管理員執行個體和 Unified Access Gateway 執行個體用於時間同步的 NTP 伺服器的資訊。NTP 伺服器可以是公用的 NTP 伺服器，或是您為此目的設定的個人 NTP 伺服器。必須可從您打算在其中部署網繭管理員執行個體和Unified Access Gateway執行個體的虛擬網路，來連線至您指定的 NTP 伺服器。如果您想要透過網域名稱 （而非數值 IP 位址） 來使用 NTP 伺服器，則也必須確定針對虛擬網路設定的 DNS 可解析 NTP 伺服器的名稱。

    注： 最佳做法是對網繭管理員執行個體、Unified Access Gateway 執行個體以及您的 Active Directory 伺服器使用相同的 NTP 伺服器。當這些執行個體使用不同的 NTP 伺服器時，可能會導致時間誤差。之後當閘道嘗試驗證其桌面和應用程式的使用者工作階段時，此類時間誤差可能導致失敗。

  • 如果您不希望部署工具自動建立所需的子網路，請確認所需的子網路已預先建立，且存在於 VNet 上。如需預先建立所需子網路的步驟，請參閱 第一代租用戶 - 在部署網繭之前，在 Microsoft Azure 中的 VNet 上建立 Horizon Cloud 網繭所需的子網路 和 第一代租用戶 - 在 Microsoft Azure 中使用 Horizon Cloud 網繭的現有子網路時。

    注意：

    您在 VNet 上事先為網繭部署手動建立的子網路必須保持空白。請勿重複使用已有項目在這些子網路上使用 IP 位址的現有子網路。如果子網路上已在使用某個 IP 位址，則無法部署網繭以及其他下游 IP 衝突之類的問題很有可能發生。請勿在這些子網路上放置任何資源，或以其他方式使用任何一個 IP 位址。此注意事項包括從Horizon Cloud部署的網繭，請勿重複使用已有已部署網繭的子網路。

    重要： 在第一個網繭之後部署其他網繭時，請勿重複使用現有網繭已在使用的現有子網路。請勿嘗試共用已由網繭使用中的子網路。選取已由其他網繭使用中的子網路時，將會中斷該現有網繭以及使用其子網路部署之網繭的網繭作業。

    最佳做法是針對每個網繭使用個別的 VNet。此建議源於指引您留意部署至單一訂閱的網繭數目，如 使用Horizon Cloud之前和期間的須知事項中所述。若要避免在單一訂閱中Microsoft Azure 限制，當您每個訂閱具有單一網繭時，可以避免達到這些限制的機會。由於 Azure Microsoft 要求每個訂閱具有其自己的 VNet，因此，當您遵循每個訂閱具有單一網繭的最佳做法時，即會自動遵循針對每個網繭使用個別 VNet 的最佳做法。

  • 如果您要讓部署工具建立所需的子網路，請確認您知道要在精靈中為管理子網路、桌面子網路和 DMZ 子網路輸入的位址範圍。當您需要外部 Unified Access Gateway 組態時，則需要 DMZ 子網路。此外，請確認這些範圍並未重疊。您可以使用 CIDR 標記法 （無類別網域間路由選擇標記法） 輸入位址範圍。如果輸入的子網路範圍彼此重疊，精靈將會顯示錯誤。管理子網路範圍必須使用至少 /27 的 CIDR。DMZ 子網路範圍必須使用至少 /28 的 CIDR。如果您想要讓管理子網路和 DMZ 子網路範圍維持共置狀態，您可以使用指定的 IP，指定與管理子網路類似的 DMZ 子網路範圍。例如，如果管理子網路為 192.168.8.0/27，則相符的 DMZ 子網路將是 192.168.8.32/27。

    重要： 您在精靈的欄位中輸入的 CIDR 必須經過定義，使每個前置詞與位元遮罩的組合皆會讓 IP 位址範圍以該首碼作為起始 IP 位址。Microsoft Azure 要求 CIDR 首碼是範圍的開始。例如，192.168.182.48/28 的正確 CIDR 將會產生 192.168.182.48 到 192.168.182.63 的 IP 範圍，且首碼會與起始 IP 位址 （192.168.182.48） 相同。但是，192.168.182.60/28 的不正確 CIDR 會產生 192.168.182.48 到 192.168.182.63 的 IP 範圍，且其起始 IP 位址與首碼 192.168.182.60 不同。確保您的 CIDR 會產生起始 IP 位址與 CIDR 首碼相符的 IP 位址範圍。

  • 如果您要讓部署工具建立所需的子網路，請確認具有那些位址範圍的子網路尚未存在於 VNet 上。在此案例中，部署工具本身將會使用您在精靈中提供的位址範圍自動建立子網路。如果精靈偵測已有使用那些範圍的子網路存在，精靈將顯示關於位址重疊的錯誤，且不會繼續執行。此外，如果您的 VNet 為對等，請確認您計劃在精靈中輸入的 CIDR 位址空間已包含在 VNet 的位址空間中。

Unified Access Gateway 組態的先決條件

如果您計劃讓網繭使用 Unified Access Gateway 組態，則必須提供：

  • 您的使用者將用來存取服務的完整網域名稱 （FQDN）。如果您打算對外部和內部閘道組態使用相同的 FQDN，則在部署網繭後，您必須設定傳入的使用者用戶端流量，使其路由至適當的閘道負載平衡器。其目標是要設定路由，以便將來自網際網路的用戶端流量路由至外部閘道的 Microsoft Azure 公用負載平衡器，以及將來自內部網路的用戶端流量路由至內部閘道的 Microsoft Azure 內部負載平衡器。在此案例中，這兩個閘道將具有相同的 FQDN，因此您可以設定分割 DNS （分割網域名稱系統），以根據使用者用戶端的 DNS 查詢的來源網路，將閘道位址解析為外部閘道或內部閘道。然後，用戶端位於網際網路時，可以將使用者用戶端中使用的相同 FQDN 路由至外部閘道，並在用戶端位於您的內部網路時，可以將其路由至內部閘道。

    重要： 此 FQDN 不能包含底線。在此版本中，當 FQDN 包含底線時，將無法連線至Unified Access Gateway 執行個體。

  • 以該 FQDN 為基礎且已簽署的 SSL 伺服器憑證 （PEM 格式）。Unified Access Gateway功能需要 SSL 才能進行用戶端連線，如 Unified Access Gateway 產品說明文件中所述。憑證必須由受信任的憑證授權機構 （CA） 所簽署。單一 PEM 檔案必須包含完整憑證鏈結與私密金鑰。例如，單一 PEM 檔案必須包含 SSL 伺服器憑證、任何必要的中繼 CA 憑證、根 CA 憑證和私密金鑰。OpenSSL 是可用於建立 PEM 檔案的工具。

    重要： 憑證鏈結中的所有憑證皆必須具有有效的時間範圍。Unified Access Gateway虛擬機器需要鏈結中的所有憑證 （包括任何中繼憑證） 皆具有有效的時間範圍。如果鏈結中的任何憑證已到期，則稍後在將憑證上傳至 Unified Access Gateway 組態時可能會發生非預期的失敗。

  • 如果您使用外部 Unified Access Gateway 組態進行部署，則必須指定 DMZ （非軍事區） 子網路。您可以透過以下兩種方式之一來提供此 DMZ 子網路：

    • 在 VNet 上預先建立 DMZ 子網路。使用此方法時，您也必須預先建立管理和桌面租用戶子網路。請參閱 第一代租用戶 - 在部署網繭之前，在 Microsoft Azure 中的 VNet 上建立 Horizon Cloud 網繭所需的子網路中的步驟。

    • 讓部署工具在部署期間自動建立 DMZ 子網路。使用此方法，您必須擁有要在精靈中為 DMZ 子網路輸入的位址範圍，並確認範圍不會與管理和桌面租用戶子網路的範圍重疊。您可以使用 CIDR 標記法 （無類別網域間路由選擇標記法） 輸入位址範圍。如果輸入的子網路範圍彼此重疊，精靈將會顯示錯誤。DMZ 子網路範圍必須使用至少 /28 的 CIDR。如果您想要讓管理子網路和 DMZ 子網路範圍維持共置狀態，您可以使用指定的 IP，指定與管理子網路相同的 DMZ 子網路範圍。例如，如果管理子網路為 192.168.8.0/27，則相符的 DMZ 子網路將是 192.168.8.32/27。另請參閱 〈所有部署的先決條件〉 中有關確保 IP 位址範圍具有首碼和位元遮罩的組合，以使範圍具有首碼做為起始 IP 位址的重要注意事項。

  • 如果您要使用外部 Unified Access Gateway 組態進行部署，並且想要防止組態的負載平衡器使用公用 IP 位址的功能，您必須指定已在 DNS 設定中對應的 IP 位址;此 IP 位址對應於您的使用者在其 Horizon 用戶端中進行 PCoIP 連線時所將使用的 FQDN。

如需有關Unified Access Gateway所需的 PEM 檔案考量事項的詳細資訊，請參閱 第一代租用戶 - 將憑證檔案轉換為第一代 Horizon Cloud 網繭部署所需的 PEM 格式。

使用本身的 VNet 或訂閱 （與網繭的 VNet 或訂閱不同） 以外部 Unified Access Gateway 組態部署時的先決條件

注： 使用本身的 VNet 部署外部閘道時，將會部署閘道連接器虛擬機器。在 Horizon Cloud網繭的連接埠和通訊協定需求中，說明閘道連接器虛擬機器的連接埠和通訊協定的小節，也會提供此閘道連接器虛擬機器的說明，指出此閘道連接器虛擬機器的名稱包含 等 hcs-ID字串，其中 ID 是閘道的部署工具識別碼，以及 node 部分。

除了上述使用 Unified Access Gateway 組態進行部署時的先決條件以外，在將外部閘道部署至其本身的 VNet 或訂閱的使用案例中，還必須符合下列特定先決條件。使用本身的訂閱是使用本身 VNet 的特殊案例，因為 VNet 的範圍限定為訂閱，因此個別的訂閱必須有本身的 VNet。

使用雙因素驗證組態部署時的先決條件

如果您計劃使用雙因素驗證功能，或將其用於內部部署的雙因素驗證伺服器，請確認您的驗證伺服器組態中具有下列資訊，以便可以在 [新增網繭] 精靈的必填欄位中提供這些資訊。

根據您擁有的類型，取得下列資訊。

  • RADIUS

    如果要同時為主要和輔助 RADIUS 伺服器進行設定，請分別取得它們的資訊。

    • 驗證伺服器的 IP 位址或 DNS 名稱

    • 在驗證伺服器的通訊協定訊息中用於加密和解密的共用密碼

    • 驗證連接埠號碼，通常為 1812/UDP （適用於 RADIUS）。

    • 驗證類型驗證類型包括 PAP （密碼驗證通訊協定）、CHAP （Challenge Handshake 驗證通訊協定）、MSCHAP1、MSCHAP2 （Microsoft Challenge Handshake 驗證通訊協定版本 1 和 2）。

      注： 檢查RADIUS廠商的說明文件，以取得您的RADIUS廠商建議的驗證通訊協定，並遵循其指定的通訊協定類型。網繭支援使用 RADIUS 進行雙因素驗證的功能是由 Unified Access Gateway 執行個體提供，且Unified Access Gateway支援 PAP、CHAP、MSCHAP1 和 MSCHAP2。PAP 通常不如MSCHAP2安全。PAP 也是比 MSCHAP2 更簡單的協定。因此，即使大多數 RADIUS 廠商與更簡單的 PAP 通訊協定相容，某些RADIUS廠商也與更安全的 MSCHAP2 不相容。

  • RSA SecurID

    注： 執行資訊清單 3139.x 或更新版本的 Microsoft Azure 部署上的 Horizon Cloud 支援RSA SecurID類型。從 2022 年 3 月中旬開始，[新增網繭] 和 [編輯網繭] 精靈中用來指定RSA SecurID類型的 UI 選項將變為可見且可供選擇。

    • RSA SecurID驗證管理員伺服器的存取金鑰。
    • RSA SecurID通訊連接埠號碼。依照RSA SecurID驗證 API 的 RSA 驗證管理員系統設定中所設定，通常為 5555。
    • RSA SecurID驗證管理員伺服器的主機名稱。
    • RSA SecurID驗證管理員伺服器的 IP 位址。
    • 如果RSA SecurID驗證管理員伺服器或其負載平衡器伺服器具有自我簽署憑證，則您需要在 [新增網繭] 精靈中提供 CA 憑證。憑證應為 PEM 格式 （檔案類型 .cer 為 、.cert 或 .pem）

此頁面對您有幫助嗎?

針對本主題提供意見回饋

本主題對您有幫助嗎?

請勿填寫任何個人或機密資訊。

正在產生連結…