Horizon環境でロードバランサを使用している際の注意事項

VMware Horizonは「トンネル接続」という必ず接続サーバを経由する方式を使用しなければ、「アクセス端末」と「VDIおよびRDSHサーバ」間は直接通信を行う事になります。

一方で、ある一定の時間VDIとの通信を続けているとハートビートのために接続サーバに通信を行います。
この時、接続サーバにアクセスできなかったり、異なる接続サーバと通信してしまうとVDIとの接続が遮断されてしまうのですが、ロードバランサを使用して接続サーバを冗長化している構成だとしばしばハートビート失敗による接続の遮断が発生します。

これを回避するためには、ハートビートをとる時間よりも長く、ロードバランサのセッション保持期間を伸ばす必要があります。

ハートビートをとる時間はHorizon Administratorの全般設定における「ユーザーの強制切断」で設定した時間の1/3の時間です。

また、上記の「ユーザーの強制切断」の設定を「なし」にしても6.6時間に1回ハートビート通信を行います。

仮想プリンタ機能の設定画面を日本語化したい

Horizon などのデスクトップ仮装化製品には、仮想プリンタという「アクセス端末に登録されたプリンタを仮装的にデスクトップに見せる機能」が搭載されているものもあります。

これによって、仮想デスクトップにプリンタドライバをインストールしなくても、アクセス端末に接続されているプリンタから印刷をする事が可能になります。

この機能、Horizonでは「ThinPrint」と呼ばれているのですが、こちら通常では印刷のプロパティ画面が英語になっています。これは、下記のレジストリ設定を行う事で日本語化可能です。

パス：HKLM\software\ThinPrint\Lang

値：jpn

ソフトウェアキーボードの利用に関して

VMware Horizonにおいて、PCoIPやBlast プロトコルを用いてアクセスした場合、
アクセス端末側のソフトウェアキーボードを使用しても正しく日本語が入力されない場合があります。

この場合は、下記を試してみてください。

1. RDPを使用してコンソール接続する
2. タッチ キーボード オプションとして、標準キーボード レイアウトを使用する。
3. クライアント オペレーティング システムで [英語] を追加し、[英語キーボード] を選択して、デスクトップ上の入力モードを切り替える

詳しくは、下記KBをご確認ください。

http://kb.vmware.com/kb/2145841

AD の片方向信頼関係環境で「現在のユーザとしてログイン」を使用したい

インターネット分離では、庁内 / 社内ネットワークとインターネット環境がネットワーク的に分断されるため、AD を別立てし、片方向の信頼関係を使用して庁内 / 社内アカウントデータの参照を行う事を考える方も多くいらっしゃるかと思います。

このとき、 VMware Horizon では、物理 PC でログインしたユーザ情報をそのまま使用してログインする『現在のユーザとしてログイン』機能が使用できませんのでご注意ください。

対応策としては、

・　ドメイン間の信頼関係を双方向へ変更する

・　利用するクライアント端末とコネクションサーバが所属するドメインを同一にする

の2つの方法があります。

今後機能拡張で対応可能となるかと思うのですが、現状は上記の対応以外ありません。

ATOK 等を使用している場合勝手に RDSH の設定が EN(英語) になる

手元の物理 PC 上で、OS 標準の IME 以外（ATOK, Office IME etc.）を使用している場合、RDSH へ接続すると RDSH 側の入力設定が英語になってしまう事象があります。

こちらの対処方法としては物理 PC 上で OS 標準の IME を使用するか、下記の設定を行っていただく必要があります。

1. RDSH側にもクライアントPCで利用しているパッケージをインストールし、レジストリエディタ(regedit)を使用して
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\
   Keyboard Layout\IgnoreRemoteKeyboardLayout を REG_DWORD で作成し、値を 1 に設定

RESASについて

インターネット分離は多くの自治体で導入されたこともあり、自治体が使用しているサイトの対応に関する問い合わせも少なくありません。

中でも多いのが RESAS の対応ですが、Web ブラウザ経由で閲覧する RESAS を使用するには、下記の設定を行っていただく必要があります。

1. VDI / RDSH 上の Chrome のアドレスバーに [chrome://flags/] と入力
2. (Linux VDI の場合) ”ハードウェア アクセラレーションによる動画デコード”を有効化
3. (Windows VDI の場合) ”ソフトウェア レンダリング リストをオーバーライド ”を有効化

Internet Explorer から他のプログラムを呼び出そうとすると遅延が発生する

VMware Horizon において、Internet Explorer のみアプリケーション公開を使用して提供する方もいらっしゃるかと思いますが、Internet Explorer から例えば PDF を見ようとしたときや、ファイルを開くためにエクスプローラを呼び出そうとした際にプログラムが開くまでに数分程度遅延が発生する事象を確認しています。

これは Horizon Agent 7.0.1 - 7.0.3  で起こる事象なのですが、Agent をインストールした VDI / RDSH のレジストリを以下の様に変更すると事象が解消します。OS再起動が必要になります。

HKLM\Software\VMware, Inc.\VMware VDM\VMware Unity\ShellCreateDesktop をREG_DWORDで作成し、値を 0 に設定

SDカードをリダイレクトしたい

VMware Horizon には「クライアントドライブリダイレクション」といって、手元の物理 PC の HDD を VDI 環境にネットワークドライブとして見せる機能があります。

この機能を利用して、SD カードをリダイレクトしたい場合、SD カードにドライブレターが割り当てられていれば、下記の設定でリダイレクト可能です。

• 特定のフォルダをリモート デスクトップと共有するには、default shares という新しいキーを作成し、リモート デスクトップと共有する各フォルダに対して新しいサブキーを作成します。
• 各サブキーで、name という新しい文字列値を作成し、その値を共有するフォルダのパスに設定します。

1. レジストリエディタ（regedit）を開く
2. HKLM\Software\VMware, Inc.\VMware TSDR\ に [default share]という名称で新規にキーを作成
3. \default share\上で、f1というキーを新規作成
4. \f1\に文字列値にて、「name」を作成
5. neme のデータを接続端末側にてSDカードがマウントされているフォルダを設定例　I:\testを指定、I:\（ドライブのみでも可）
   HKLM\Software\VMware, Inc.\VMware TSDR\default shares\f1\name=I:\test

• このとき、リダイレクト先のHorizon Agent側で表示される[xxx on 接続端末名]は変更できません。 
• クライアントの他のフォルダ（default shares キーで指定されていないフォルダ）が共有されることを防止するには、ForcedByAdmin という文字列値を作成し、その値を true に設定します。
• HKLM\Software\VMware, Inc.\VMware TSDR\ForcedByAdmin=true

Hot Plug の無効化

VMware の仮想マシンのデフォルトの設定では、Windows OS 上で 「安全な取り外し」を行うと仮想 NIC が簡単に取り外されてしまいます。

VDI として仮想マシンを使用するとユーザーさんがうっかり取り外してしまう可能性があるため、vCenter 上から仮想マシンの設定として下記を実施しておくと安心です。

・　仮想マシンの構成パラメータにおいて

devices.hotplug → false

を追記

URL コンテンツリダイレクトの注意点

URL コンテンツリダイレクトは、インターネット分離の際には非常に有用な機能となります（以前の記事参照）。

ここでは、URL コンテンツリダイレクト使用時の注意点についてまとめます。
※この記事では VMware Horizon の仕様、設定方法についてまとめております。

【URL コンテンツリダイレクトが使用できるブラウザ】
URL コンテンツリダイレクトは Internet Explorer のプラグインを使用するため、手元の物理 PC では Internet Explorer を使用していないとリダイレクトが発動しません。
（VDI / RDSH の規定のブラウザの設定は自由です）

【URL コンテンツリダイレクトで指定可能な URL の最大文字数】
Windows 7 → 43,679 バイト
Windows 8.1 → 4,683 バイト
Windows 10 → 5,460 バイト

【URL コンテンツリダイレクトの記述方法】
URL コンテンツリダイレクトのリダイレクト対象となる URL の設定は GPO において正規表現で記述します。少し難しいので、以下に記述例を示します。

aaa.com を含む URL → .*.aaa.com
aaa.com を除く URL → ^((?!aaa.comm).)$
***.aaa.com と ***.bbb.com を含む URL → .*.aaa.com|bbb.com
***.aaa.com と ***.bbb.com を除く URL → ^((?!aaa.com|bbb.com).)*$

【URL コンテンツリダイレクトが動かない環境】
URL コンテンツリダイレクトは Internet Explorer の プラグインを使用して URL を傍受する手法を採用しているのですが、セキュアブートを手元の物理 PC で使用していると Windows 側の技術的な制限により URL リダイレクトを実行する事ができませんのでご注意ください。

仮想デスクトップ画面の解像度の固定

VMware Horizon はウィンドウサイズによって解像度を自動的に変更しますが、文字が小さくなるなどする関係で、解像度の固定が求められる場合があります。

そんな時は、Horizon Client の GPOの設定にある『Locked Guest Size』を有効にする事で、解像度の固定が可能です。

こちらは Horizon "Client" (= 手元の物理 PC 側)の設定になりますためご注意ください。

Horizon のビデオメモリについて

デスクトップ仮想化では、 VDI / RDSH で使用するモニタのサイズに応じてビデオメモリを設定します。
VMware Horizon では、デスクトッププールの設定時に『1台のモニタの最大解像度』と『モニタ最大数』を設定する事で、自動的にビデオメモリのサイズを変更してくれます。

インターネット分離環境でのAD 片方向信頼関係時の利用ポート

ADの片方向信頼関係を使用する場合、以下のポートを開ける必要があります。
下記は VMware Horizon の場合を示しています。

Horizon Client (port any) → RDSH Server (Port 4172) TCP
Horizon Client (port any) → RDSH Server (Port 4172) UDP
RDSH Server (port any) → Horizon Client (Port 4172) UDP
RDSH Server (port any) → 庁内/社内AD (Port 88) TCP
RDSH Server (port any) → 庁内/社内AD (Port 88) UDP
RDSH Server (port any) → 庁内/社内AD (Port 389) TCP
RDSH Server (port any) → 庁内/社内AD (Port 389) UDP
RDSH Server (port any) → 庁内/社内AD (Port 3268) TCP
インターネット側 AD (port any) → 庁内/社内AD (Port 88) TCP
インターネット側 AD (port any) → 庁内/社内AD (Port 88) UDP
インターネット側 AD (port any) → 庁内/社内AD (Port 389) TCP
インターネット側 AD (port any) → 庁内/社内AD (Port 389) UDP
インターネット側 AD (port any) → 庁内/社内AD (Port 3268) TCP
インターネット側 AD (port any) → 庁内/社内AD (Port 135) TCP
インターネット側 AD (port any) → 庁内/社内AD (Port 445) TCP
Connection Server(インターネット側AD参加) (Port any) → 庁内/社内AD (Port 88) TCP
Connection Server(インターネット側AD参加) (Port any) → 庁内/社内AD (Port 88) UDP
Connection Server(インターネット側AD参加) (Port any) → 庁内/社内AD (Port 389) TCP
Connection Server(インターネット側AD参加) (Port any) → 庁内/社内AD (Port 389) UDP
Connection Server(インターネット側AD参加) (Port any) → 庁内/社内AD (Port 3268) TCP
Horizon Client (Port any) → Connection Server (インターネット側AD参加) (Port 443) TCP
Horizon Client (Port any) → Connection Server (インターネット側AD参加) (Port 4172) TCP
Horizon Client (Port any) → Connection Server (インターネット側AD参加) (Port 4172) UDP

SSO認証キャッシュの使用

Horizon 使用時に、Horizon Administrator のグローバル設定において
「ユーザーがキーボードとマウスを使用しなくなった場合に、アプリケーションを切断し、SSO 認証情報を破棄する」という設定項目があるのですが、こちらは、公開アプリケーションのみの設定ではなく、RDSH 公開デスクトップにも働く設定となります。

公開アプリケーションと公開デスクトップ双方をご検討の方はご留意ください。

アイドルタイムアウトについて

VDI や RDSH の使用によってユーザが自由に自分のデスクでインターネットの閲覧が可能になるのは事実ですが、一方で VDI を開いたのに何もしていないような職員さんの VDI は切断してしまいたいところです。

この切断のことを「アイドルタイムアウト」と呼ぶのですが、RDSH のアプリケーション公開、デスクトップ公開、VDI でそれぞれ設定が違います。各方法について確認していきましょう。

【RDSH Desktop】

RDSH Desktop は Microsoft 標準の GPO 項目によって制御が可能です。

パス：

[コンピューターの構成またはユーザの構成]\ポリシー\管理用テンプレート\Windows コンポーネント\リモート デスクトップ サービス\リモート デスクトップ セッション ホスト\セッションの時間制限\アクティブでアイドル状態になっているリモート デスクトップ サービス セッションの制限時間を設定する

Windows Server 2012 R2の場合は「ユーザの構成」を使用した場合のみ制御ができる事を確認しています。

【RDSH Apps】

Horizon Administrator のグローバル設定で「ユーザーがキーボードとマウスを使用しなくなった場合に、アプリケーションを切断し、SSO 認証情報を破棄する」の設定を行います。

【VDI】
マスターVDIにおいて、タイムアウトしたい時間にスクリーンセーバーが走るよう設定を行います。スクリーンセーバーが走ったタイミングで[tsdiscon]を実行するスクリプトをタスクスケジューラで組み込んでおく事で、アイドルタイムアウトを実施できます。

URL リダイレクト機能について

インターネット分離を行うと、庁内 / 社内 ネットワークから Web 上のコンテンツを確認できないため、例えば通常業務を行う物理 PC のブラウザで Google を開こうとしても開かない状態になります。

このような状態を解決するために、URL から社内システム / インターネット上のサイト を判別し、インターネット上のサイトであれば自動的に VDI / RDSH を開く機能があります。
これが「URL リダイレクト」です。

VMware Horizon ではどのエディションにも標準で URL リダイレクトの機能が入っていますので、例えば今まで物理 PC に保存していたお気に入りをクリックしても、自動的にインターネット分離環境の VDI / RDSH が開いて、Web サイトを閲覧できます。

RDSH で USB IC カードリーダをリダイレクトしたい

以前までの VMware Horizon では USB リダイレクトを使用できたのは VDI のみだったのですが、Horizon 7.0.2 以降では RDSH を使用しても USB リダイレクトの使用が可能になりました。

下記リリースノートに記載されているレジストリの削除を行ってください。

https://pubs.vmware.com/Release_Notes/jp/horizon-7-view/horizon-702-view-release-notes.html

接続したい USB デバイスが IC カードリーダの場合、下記の様な対応が必要となる場合があります。もし IC カードリーダが接続できないといった場合はお試しください。

① レジストリの設定変更

▼ Horizon Agent側のレジストリ設定例
HKLM\Software\Policies\VMware, Inc\VMware VDM\Agent\USB\ExcludeAllDevices ⇒ False HKLM\Software\Policies\VMware, Inc\VMware
VDM\Agent\USB\IncludeFamily ⇒ m:unknown;smart-card

② 利用するアプリによっては、アプリを起動する前にUSB ICカードリーダーを接続した場合に認識しないという現象も確認しています。
USB ICカードリーダーを認識しない場合は、アプリ起動とUSB接続のタイミングを変更して動作を確認してください。
また、利用するデバイスによっては、Horizon Client設定画面から、USB ICカードリーダーを明示的に仮想端末側へUSBリダイレクトした場合に、仮想端末側でUSB ICカードリーダーを認識しない現象が発生することを確認しています。
その場合は物理端末側にUSB ICカードリーダーのドライバをインストールした上で、仮想端末側にはUSB ICカードリーダーを明示的にUSBリダイレクトせずに、物理端末側でUSB ICカードリーダー認識した状態で、アプリの動作を確認してください。

③ USB ICカードリーダーを利用するドライバのインストールが必要な場合は、仮想端末側(Horizon Agent)にドライバをインストールしてください。

④ その他、既知の情報に関しては下記KBを参照ください。

https://kb.vmware.com/kb/2107403

公開アプリケーションのウインドウの枠の色を変更したい

公開アプリケーションにおいて、ウィンドウ枠の色が手元のPCのウィンドウの色と同様の場合混同が起きてしまうため、ウィンドウの枠の色を変更したいという要望をお聞きしたことがあります。

ウィンドウ枠の色の設定は、VMware Horizon では User Environment Manager と組み合わせることで実現可能です。設定内容は下記です。

・GPOの「特定のテーマを読み込む」によるthemeファイル場所の指定
・UEMのログオンタスクによるActive Setupの再実行によってテーマを再度読み込まさせる。
・UEMのCondition設定によって、RDSHホストが所属するOUだけがlogon taskが実行されるように絞り込み実施

ダブルホップ環境での仮想印刷 (ThinPrint) のサポート

VMware Horizon 環境において、仮想印刷 (ThinPrint) をダブルホップ環境で行いたい場合は、以下を参考にしてください。

下記リンクのマニュアルに記載のレジストリを VDI / RDSH 側で変更

http://pubs.vmware.com/horizon-7-view/index.jsp?topic=%2Fcom.vmware.horizon-view.desktops.doc%2FGUID-CF5BACC3-387E-4873-84C4-46CF04E76129.html

サポートする構成は

Client → VDI(プリンタ) → RDSHアプリ公開

の構成となります。

Client → RDSHデスクトップ公開(プリンタ)  → RDSHアプリ公開

の構成はサポートされませんのでご注意ください。

また、サポートするプロトコルは

PCoIP → PCoIP / Blast

のみとなります。

ダブルホップ環境のサポート構成に関して

庁内 / 社内 ネットワークへのアクセスもゼロクラやシンクラを通して VDI を使用している場合、インターネット環境へのアクセスは 庁内 / 社内用 VDI を経由してさらに VDI や RDSH を呼び出すいわゆる「ダブルホップ」の構成を取る事があります。

VMware Horizon ではこのダブルホップのサポート構成に関してドキュメントに記載がありますので、ご注意ください。

Horizon Client Document (P.76 参照)
 http://www.vmware.com/content/dam/digitalmarketing/vmware/ja/pdf/horizon-client-windows-43-document.pdf

記載内容サマリ:

Horizon Client をネスト モードで実行する場合、次のオペレーティング システムがサポートされています。
 　　　Windows Server 2008 R2
 　　　Windows Server 2012 R2
 　　　Windows 7 Enterprise SP1
 　　　Windows 10 Enterprise、バージョン 1607
ユーザーが Horizon Client をネスト モードで使用する場合、次の機能がサポートされます。
　　　VMware Blast、PCoIP、および RDP 表示プロトコル
　　　ロケーション ベースの印刷
　　　仮想印刷
　　　シングル サインオン（スマート カードを使用しない）
　　　クリップボード リダイレクト
　　　URL コンテンツ リダイレクト

なお、USB リダイレクトはサポートされませんのでご注意ください。