AD の片方向信頼関係環境で「現在のユーザとしてログイン」を使用したい

インターネット分離では、庁内 / 社内ネットワークとインターネット環境がネットワーク的に分断されるため、AD を別立てし、片方向の信頼関係を使用して庁内 / 社内アカウントデータの参照を行う事を考える方も多くいらっしゃるかと思います。

このとき、 VMware Horizon では、物理 PC でログインしたユーザ情報をそのまま使用してログインする『現在のユーザとしてログイン』機能が使用できませんのでご注意ください。

対応策としては、

・　ドメイン間の信頼関係を双方向へ変更する

・　利用するクライアント端末とコネクションサーバが所属するドメインを同一にする

の2つの方法があります。

今後機能拡張で対応可能となるかと思うのですが、現状は上記の対応以外ありません。

インターネット分離環境でのAD 片方向信頼関係時の利用ポート

ADの片方向信頼関係を使用する場合、以下のポートを開ける必要があります。
下記は VMware Horizon の場合を示しています。

Horizon Client (port any) → RDSH Server (Port 4172) TCP
Horizon Client (port any) → RDSH Server (Port 4172) UDP
RDSH Server (port any) → Horizon Client (Port 4172) UDP
RDSH Server (port any) → 庁内/社内AD (Port 88) TCP
RDSH Server (port any) → 庁内/社内AD (Port 88) UDP
RDSH Server (port any) → 庁内/社内AD (Port 389) TCP
RDSH Server (port any) → 庁内/社内AD (Port 389) UDP
RDSH Server (port any) → 庁内/社内AD (Port 3268) TCP
インターネット側 AD (port any) → 庁内/社内AD (Port 88) TCP
インターネット側 AD (port any) → 庁内/社内AD (Port 88) UDP
インターネット側 AD (port any) → 庁内/社内AD (Port 389) TCP
インターネット側 AD (port any) → 庁内/社内AD (Port 389) UDP
インターネット側 AD (port any) → 庁内/社内AD (Port 3268) TCP
インターネット側 AD (port any) → 庁内/社内AD (Port 135) TCP
インターネット側 AD (port any) → 庁内/社内AD (Port 445) TCP
Connection Server(インターネット側AD参加) (Port any) → 庁内/社内AD (Port 88) TCP
Connection Server(インターネット側AD参加) (Port any) → 庁内/社内AD (Port 88) UDP
Connection Server(インターネット側AD参加) (Port any) → 庁内/社内AD (Port 389) TCP
Connection Server(インターネット側AD参加) (Port any) → 庁内/社内AD (Port 389) UDP
Connection Server(インターネット側AD参加) (Port any) → 庁内/社内AD (Port 3268) TCP
Horizon Client (Port any) → Connection Server (インターネット側AD参加) (Port 443) TCP
Horizon Client (Port any) → Connection Server (インターネット側AD参加) (Port 4172) TCP
Horizon Client (Port any) → Connection Server (インターネット側AD参加) (Port 4172) UDP