インターネット分離への道: VDI

ラベル VDI の投稿を表示しています。すべての投稿を表示

2017年4月20日木曜日

Horizon環境でロードバランサを使用している際の注意事項

VMware Horizonは「トンネル接続」という必ず接続サーバを経由する方式を使用しなければ、「アクセス端末」と「VDIおよびRDSHサーバ」間は直接通信を行う事になります。

一方で、ある一定の時間VDIとの通信を続けているとハートビートのために接続サーバに通信を行います。
この時、接続サーバにアクセスできなかったり、異なる接続サーバと通信してしまうとVDIとの接続が遮断されてしまうのですが、ロードバランサを使用して接続サーバを冗長化している構成だとしばしばハートビート失敗による接続の遮断が発生します。

これを回避するためには、ハートビートをとる時間よりも長く、ロードバランサのセッション保持期間を伸ばす必要があります。

ハートビートをとる時間はHorizon Administratorの全般設定における「ユーザーの強制切断」で設定した時間の1/3の時間です。

また、上記の「ユーザーの強制切断」の設定を「なし」にしても6.6時間に1回ハートビート通信を行います。

仮想プリンタ機能の設定画面を日本語化したい

Horizon などのデスクトップ仮装化製品には、仮想プリンタという「アクセス端末に登録されたプリンタを仮装的にデスクトップに見せる機能」が搭載されているものもあります。

これによって、仮想デスクトップにプリンタドライバをインストールしなくても、アクセス端末に接続されているプリンタから印刷をする事が可能になります。

この機能、Horizonでは「ThinPrint」と呼ばれているのですが、こちら通常では印刷のプロパティ画面が英語になっています。これは、下記のレジストリ設定を行う事で日本語化可能です。

パス：HKLM\software\ThinPrint\Lang

値：jpn

ソフトウェアキーボードの利用に関して

VMware Horizonにおいて、PCoIPやBlast プロトコルを用いてアクセスした場合、
アクセス端末側のソフトウェアキーボードを使用しても正しく日本語が入力されない場合があります。

この場合は、下記を試してみてください。

RDPを使用してコンソール接続する
タッチキーボードオプションとして、標準キーボードレイアウトを使用する。
クライアントオペレーティングシステムで [英語] を追加し、[英語キーボード] を選択して、デスクトップ上の入力モードを切り替える

詳しくは、下記KBをご確認ください。

http://kb.vmware.com/kb/2145841

2017年3月16日木曜日

AD の片方向信頼関係環境で「現在のユーザとしてログイン」を使用したい

インターネット分離では、庁内 / 社内ネットワークとインターネット環境がネットワーク的に分断されるため、AD を別立てし、片方向の信頼関係を使用して庁内 / 社内アカウントデータの参照を行う事を考える方も多くいらっしゃるかと思います。

このとき、 VMware Horizon では、物理 PC でログインしたユーザ情報をそのまま使用してログインする『現在のユーザとしてログイン』機能が使用できませんのでご注意ください。

対応策としては、

・　ドメイン間の信頼関係を双方向へ変更する

・　利用するクライアント端末とコネクションサーバが所属するドメインを同一にする

の2つの方法があります。

今後機能拡張で対応可能となるかと思うのですが、現状は上記の対応以外ありません。

RESASについて

インターネット分離は多くの自治体で導入されたこともあり、自治体が使用しているサイトの対応に関する問い合わせも少なくありません。

中でも多いのが RESAS の対応ですが、Web ブラウザ経由で閲覧する RESAS を使用するには、下記の設定を行っていただく必要があります。

VDI / RDSH 上の Chrome のアドレスバーに [chrome://flags/] と入力
(Linux VDI の場合) ”ハードウェアアクセラレーションによる動画デコード”を有効化
(Windows VDI の場合) ”ソフトウェアレンダリングリストをオーバーライド ”を有効化

SDカードをリダイレクトしたい

VMware Horizon には「クライアントドライブリダイレクション」といって、手元の物理 PC の HDD を VDI 環境にネットワークドライブとして見せる機能があります。

この機能を利用して、SD カードをリダイレクトしたい場合、SD カードにドライブレターが割り当てられていれば、下記の設定でリダイレクト可能です。

特定のフォルダをリモートデスクトップと共有するには、default shares という新しいキーを作成し、リモートデスクトップと共有する各フォルダに対して新しいサブキーを作成します。
各サブキーで、name という新しい文字列値を作成し、その値を共有するフォルダのパスに設定します。

レジストリエディタ（regedit）を開く
HKLM\Software\VMware, Inc.\VMware TSDR\ に [default share]という名称で新規にキーを作成
\default share\上で、f1というキーを新規作成
\f1\に文字列値にて、「name」を作成
neme のデータを接続端末側にてSDカードがマウントされているフォルダを設定例　I:\testを指定、I:\（ドライブのみでも可）
HKLM\Software\VMware, Inc.\VMware TSDR\default shares\f1\name=I:\test

このとき、リダイレクト先のHorizon Agent側で表示される[xxx on 接続端末名]は変更できません。
クライアントの他のフォルダ（default shares キーで指定されていないフォルダ）が共有されることを防止するには、ForcedByAdmin という文字列値を作成し、その値を true に設定します。

HKLM\Software\VMware, Inc.\VMware TSDR\ForcedByAdmin=true

Hot Plug の無効化

VMware の仮想マシンのデフォルトの設定では、Windows OS 上で「安全な取り外し」を行うと仮想 NIC が簡単に取り外されてしまいます。

VDI として仮想マシンを使用するとユーザーさんがうっかり取り外してしまう可能性があるため、vCenter 上から仮想マシンの設定として下記を実施しておくと安心です。

・　仮想マシンの構成パラメータにおいて

devices.hotplug → false

を追記

URL コンテンツリダイレクトの注意点

URL コンテンツリダイレクトは、インターネット分離の際には非常に有用な機能となります（以前の記事参照）。

ここでは、URL コンテンツリダイレクト使用時の注意点についてまとめます。
※この記事では VMware Horizon の仕様、設定方法についてまとめております。

【URL コンテンツリダイレクトが使用できるブラウザ】
URL コンテンツリダイレクトは Internet Explorer のプラグインを使用するため、手元の物理 PC では Internet Explorer を使用していないとリダイレクトが発動しません。
（VDI / RDSH の規定のブラウザの設定は自由です）

【URL コンテンツリダイレクトで指定可能な URL の最大文字数】
Windows 7 → 43,679 バイト
Windows 8.1 → 4,683 バイト
Windows 10 → 5,460 バイト

【URL コンテンツリダイレクトの記述方法】
URL コンテンツリダイレクトのリダイレクト対象となる URL の設定は GPO において正規表現で記述します。少し難しいので、以下に記述例を示します。

aaa.com を含む URL → .*.aaa.com
aaa.com を除く URL → ^((?!aaa.comm).)$
***.aaa.com と ***.bbb.com を含む URL → .*.aaa.com|bbb.com
***.aaa.com と ***.bbb.com を除く URL → ^((?!aaa.com|bbb.com).)*$

【URL コンテンツリダイレクトが動かない環境】
URL コンテンツリダイレクトは Internet Explorer のプラグインを使用して URL を傍受する手法を採用しているのですが、セキュアブートを手元の物理 PC で使用していると Windows 側の技術的な制限により URL リダイレクトを実行する事ができませんのでご注意ください。

仮想デスクトップ画面の解像度の固定

VMware Horizon はウィンドウサイズによって解像度を自動的に変更しますが、文字が小さくなるなどする関係で、解像度の固定が求められる場合があります。

そんな時は、Horizon Client の GPOの設定にある『Locked Guest Size』を有効にする事で、解像度の固定が可能です。

こちらは Horizon "Client" (= 手元の物理 PC 側)の設定になりますためご注意ください。

Horizon のビデオメモリについて

デスクトップ仮想化では、 VDI / RDSH で使用するモニタのサイズに応じてビデオメモリを設定します。
VMware Horizon では、デスクトッププールの設定時に『1台のモニタの最大解像度』と『モニタ最大数』を設定する事で、自動的にビデオメモリのサイズを変更してくれます。

インターネット分離環境でのAD 片方向信頼関係時の利用ポート

ADの片方向信頼関係を使用する場合、以下のポートを開ける必要があります。
下記は VMware Horizon の場合を示しています。

Horizon Client (port any) → RDSH Server (Port 4172) TCP
Horizon Client (port any) → RDSH Server (Port 4172) UDP
RDSH Server (port any) → Horizon Client (Port 4172) UDP
RDSH Server (port any) → 庁内/社内AD (Port 88) TCP
RDSH Server (port any) → 庁内/社内AD (Port 88) UDP
RDSH Server (port any) → 庁内/社内AD (Port 389) TCP
RDSH Server (port any) → 庁内/社内AD (Port 389) UDP
RDSH Server (port any) → 庁内/社内AD (Port 3268) TCP
インターネット側 AD (port any) → 庁内/社内AD (Port 88) TCP
インターネット側 AD (port any) → 庁内/社内AD (Port 88) UDP
インターネット側 AD (port any) → 庁内/社内AD (Port 389) TCP
インターネット側 AD (port any) → 庁内/社内AD (Port 389) UDP
インターネット側 AD (port any) → 庁内/社内AD (Port 3268) TCP
インターネット側 AD (port any) → 庁内/社内AD (Port 135) TCP
インターネット側 AD (port any) → 庁内/社内AD (Port 445) TCP
Connection Server(インターネット側AD参加) (Port any) → 庁内/社内AD (Port 88) TCP
Connection Server(インターネット側AD参加) (Port any) → 庁内/社内AD (Port 88) UDP
Connection Server(インターネット側AD参加) (Port any) → 庁内/社内AD (Port 389) TCP
Connection Server(インターネット側AD参加) (Port any) → 庁内/社内AD (Port 389) UDP
Connection Server(インターネット側AD参加) (Port any) → 庁内/社内AD (Port 3268) TCP
Horizon Client (Port any) → Connection Server (インターネット側AD参加) (Port 443) TCP
Horizon Client (Port any) → Connection Server (インターネット側AD参加) (Port 4172) TCP
Horizon Client (Port any) → Connection Server (インターネット側AD参加) (Port 4172) UDP

アイドルタイムアウトについて

VDI や RDSH の使用によってユーザが自由に自分のデスクでインターネットの閲覧が可能になるのは事実ですが、一方で VDI を開いたのに何もしていないような職員さんの VDI は切断してしまいたいところです。

この切断のことを「アイドルタイムアウト」と呼ぶのですが、RDSH のアプリケーション公開、デスクトップ公開、VDI でそれぞれ設定が違います。各方法について確認していきましょう。

【RDSH Desktop】

RDSH Desktop は Microsoft 標準の GPO 項目によって制御が可能です。

パス：

[コンピューターの構成またはユーザの構成]\ポリシー\管理用テンプレート\Windows コンポーネント\リモートデスクトップサービス\リモートデスクトップセッションホスト\セッションの時間制限\アクティブでアイドル状態になっているリモートデスクトップサービスセッションの制限時間を設定する

Windows Server 2012 R2の場合は「ユーザの構成」を使用した場合のみ制御ができる事を確認しています。

【RDSH Apps】

Horizon Administrator のグローバル設定で「ユーザーがキーボードとマウスを使用しなくなった場合に、アプリケーションを切断し、SSO 認証情報を破棄する」の設定を行います。

【VDI】
マスターVDIにおいて、タイムアウトしたい時間にスクリーンセーバーが走るよう設定を行います。スクリーンセーバーが走ったタイミングで[tsdiscon]を実行するスクリプトをタスクスケジューラで組み込んでおく事で、アイドルタイムアウトを実施できます。

URL リダイレクト機能について

インターネット分離を行うと、庁内 / 社内ネットワークから Web 上のコンテンツを確認できないため、例えば通常業務を行う物理 PC のブラウザで Google を開こうとしても開かない状態になります。

このような状態を解決するために、URL から社内システム / インターネット上のサイトを判別し、インターネット上のサイトであれば自動的に VDI / RDSH を開く機能があります。
これが「URL リダイレクト」です。

VMware Horizon ではどのエディションにも標準で URL リダイレクトの機能が入っていますので、例えば今まで物理 PC に保存していたお気に入りをクリックしても、自動的にインターネット分離環境の VDI / RDSH が開いて、Web サイトを閲覧できます。

ダブルホップ環境での仮想印刷 (ThinPrint) のサポート

VMware Horizon 環境において、仮想印刷 (ThinPrint) をダブルホップ環境で行いたい場合は、以下を参考にしてください。

下記リンクのマニュアルに記載のレジストリを VDI / RDSH 側で変更

http://pubs.vmware.com/horizon-7-view/index.jsp?topic=%2Fcom.vmware.horizon-view.desktops.doc%2FGUID-CF5BACC3-387E-4873-84C4-46CF04E76129.html

サポートする構成は

Client → VDI(プリンタ) → RDSHアプリ公開

の構成となります。

Client → RDSHデスクトップ公開(プリンタ) → RDSHアプリ公開

の構成はサポートされませんのでご注意ください。

また、サポートするプロトコルは

PCoIP → PCoIP / Blast

のみとなります。

ダブルホップ環境のサポート構成に関して

庁内 / 社内ネットワークへのアクセスもゼロクラやシンクラを通して VDI を使用している場合、インターネット環境へのアクセスは庁内 / 社内用 VDI を経由してさらに VDI や RDSH を呼び出すいわゆる「ダブルホップ」の構成を取る事があります。

VMware Horizon ではこのダブルホップのサポート構成に関してドキュメントに記載がありますので、ご注意ください。

Horizon Client Document (P.76 参照)
http://www.vmware.com/content/dam/digitalmarketing/vmware/ja/pdf/horizon-client-windows-43-document.pdf

記載内容サマリ:

Horizon Client をネストモードで実行する場合、次のオペレーティングシステムがサポートされています。
　　　Windows Server 2008 R2
　　　Windows Server 2012 R2
　　　Windows 7 Enterprise SP1
　　　Windows 10 Enterprise、バージョン 1607
ユーザーが Horizon Client をネストモードで使用する場合、次の機能がサポートされます。
　　　VMware Blast、PCoIP、および RDP 表示プロトコル
　　　ロケーションベースの印刷
　　　仮想印刷
　　　シングルサインオン（スマートカードを使用しない）
　　　クリップボードリダイレクト
　　　URL コンテンツリダイレクト

なお、USB リダイレクトはサポートされませんのでご注意ください。

VDI / RDSH 上で画面ロックが働くと SSO できなくなる

VDI や RDSH 上の Windows OS において、一定時間経過後画面ロックする設定を行っていると、Horizon Client から接続した際に、 VDI / RDSH 側でもパスワードの入力が必要になります。

これは仕様動作ですので、VDI / RDSH のマスター設計時に電源モードの設定を行い、画面ロックがかからないよう変更してください。

USBテンキーを使用する際の注意点

インターネット分離後、インターネット側の VDI / RDSH でもUSBのテンキーが必要となる事があるかと思いますが、『「NumLock 問題」をハードウェア側で解決』といったような機能紹介があるテンキーにおいて、数字入力ではなくカーソル入力になってしまう事象を度々耳にします。

VMware Horizon では、下記の KB を適用する事で、対応可能です。

The Num Lock setting for USB numeric keypads might be misread by Horizon View Client for Windows
https://kb.vmware.com/kb/2045533

上記KBの設定をしていただくと、[Ctrl + Alt + N] を入力した時のみNumLock が働区ことになり、USB テンキーの事象は解決されます。

一方で、この NumLock は手元の物理PCにも適用されてしまうので、ノート PC のように数字入力部分とアルファベット入力部分のキーボードが重なってる場合は利便性を損なう恐れがあります（ [U] を入力したいのに [4] が入力されてしまうなど）。

こういった場合は、手元の物理 PC の BIOS 設定で下記の設定を行うと、手元の物理 PC では [Fn] キーを押さなければ NumLock が適用されないようになるため、利便性を損なう事無く USB テンキーを使用可能です。

■ BIOS設定箇所
[Post Behavior] - [Keypad(Embedded)] - [Fn Key Only]

仮想プリンタ機能 (ThinPrint) の文字化け対応方法

インターネット分離の際は、インターネットに接続しているネットワーク側にプリンタを置かない事が多いため、仮想プリンタを用いて庁内/社内のプリンタ経由で印刷を行う事が多いです。

この機能、 VMware Horizon では ThinPrint として機能が組み込まれておりますが、Horizon Client のバージョンによっては印刷データが多いと文字化けが発生する事があります。

下記KBに対応方法の記載がありますので、もし文字化けが発生した際はご確認ください。

Windows 版 Horizon Client で仮想プリンタ機能を使用すると、文字が正常にプリントアウトされない場合がある
http://kb.vmware.com/kb/2106308

Microsoft 関連編 (4) Office Viewer のサポートについて

仮想デスクトップによるインターネット分離の際、切っても切り離せないのが Microsoft 製品です。

ここでは、Microsoft に関する Tips を紹介していきます。

第四弾は Office Viewer についてです。

Word Viewは2017年に終了します。
https://www.microsoft.com/ja-jp/download/details.aspx?id=4

Power PointやExcelのViewerの終了日は現時点では公表されていません。
https://www.microsoft.com/ja-jp/download/details.aspx?id=13
https://www.microsoft.com/ja-jp/download/details.aspx?id=10

インターネット分離環境で、インターネット側で Office ファイルを閲覧する場合に Office Viewer を使用する選択も一つあるかと思いますが、サポート切れの部分に関しては要件等です。
また、Office Viewerの ServerOS のサポートは Windows2008 までです。

Libre Office などオープン系のソフトの使用や、Office Online の使用を進めていくなど、複数の対応方法について検討を進める必要がありそうです。

Microsoft 関連編 (3) 印刷時に地図が表示されない

仮想デスクトップによるインターネット分離の際、切っても切り離せないのが Microsoft 製品です。

ここでは、Microsoft に関する Tips を紹介していきます。

第三弾は印刷時の注意点です。

RDSH で Internet Explorer を使用している環境で、地図が含まれているページを印刷しようとすると、地図が表示されない問題が生じる事があります。

その場合は、下記KBの適用が必要です。

・　GDI objects are not displayed correctly on multiple monitors in Windows 7 or in Windows Server 2008 R2
https://support.microsoft.com/en-us/kb/2618837

登録: 投稿 (Atom)