Horizon Cloud는 외부 ID 제공자에 의존하며 현재 Microsoft Azure Active Directory 및 VMware Workspace ONE® Access™를 지원합니다. Horizon Cloud를 사용하여 구성하는 ID 제공자는 사용자가 데스크톱에 액세스하려고 할 때 필요한 인증을 수행합니다.

두 경우 모두 Microsoft Azure Active Directory 또는 Workspace ONE Access에 대해 온-프레미스 Active Directory를 외부 ID 제공자에 연결해야 합니다.

ID 제공자가 온-프레미스 Active Directory와 아직 통합되지 않은 경우 선택한 ID 제공자에 따라 다음에 나오는 해당 지침을 수행합니다.

Microsoft Azure Active Directory를 ID 제공자로 구성

Microsoft Azure Active Directory를 ID 제공자로 사용 중이고 Microsoft Azure Active Directory가 온-프레미스 Active Directory와 아직 통합되지 않은 경우 다음 단계를 수행합니다.

Microsoft Azure 등록 및 동기화 작업을 완료합니다.

사전 요구 사항

프로시저

  1. 기존 테넌트가 없는 경우 새 Microsoft Azure 테넌트를 생성합니다. 해당 Microsoft 설명서(예: 빠른 시작: Azure Active Directory에서 새 테넌트 생성)를 참조하십시오.
  2. Microsoft Azure에서 글로벌 관리자 역할의 사용자를 생성합니다.
  3. 온-프레미스 Active Directory를 Microsoft Azure와 동기화합니다.
    1. 온-프레미스 Active Directory 서버에서 사용자 및 그룹을 생성하고 사용자를 그룹에 할당합니다.
      모든 사용자가 그룹의 멤버인지 확인합니다.
    2. 온-프레미스 Active Directory 서버에 Microsoft Azure AD Connect를 설치하여 Microsoft Azure를 연결합니다. 설치 지침은 Microsoft 설명서(예: Azure AD Connect에 대한 사전 요구 사항)를 참조하십시오.
    3. Microsoft Azure AD Connect 구성이 완료되면 Microsoft Azure AD에서 사용자 및 그룹이 생성되었는지 확인합니다.

다음에 수행할 작업

필요한 Active Directory 도메인 계정을 생성합니다. Active Directory 도메인 바인딩 및 도메인 가입 계정 생성

VMware Workspace ONE Access를 ID 제공자로 구성

Workspace ONE Access를 ID 제공자로 사용하고 Workspace ONE Access가 온-프레미스 Active Directory와 아직 통합되지 않은 경우 다음 단계를 수행합니다.

사전 요구 사항

  • Horizon Cloud에 대한 액세스 권한이 있는지 확인합니다. 로그인을 생성하려면 VMware Horizon Cloud Service next-gen 배포 및 온보딩 항목을 참조하십시오.
  • 온-프레미스 Active Directory 서버가 지원되는지 확인합니다.
  • Workspace ONE Access 테넌트가 있는지 확인합니다.

프로시저

다음에 수행할 작업

필요한 Active Directory 도메인 계정을 생성합니다. Active Directory 도메인 바인딩 및 도메인 가입 계정 생성 항목을 참조하십시오. 그런 다음, Workspace ONE AccessHorizon Cloud용 ID 제공자로 사용하는 데 필요한 다음 작업을 완료합니다.

Active Directory 도메인 바인딩 및 도메인 가입 계정 생성

ID 제공자를 구성한 후 온-프레미스 Active Directory에서 도메인 바인딩 계정 2개와 도메인 가입 계정 2개를 생성합니다. 나중에 Horizon Universal Console을 사용하여 이러한 계정의 세부 정보를 Horizon Cloud에 제공합니다.

Horizon Cloud에서 서비스 계정으로 사용할 다음 AD 계정의 두 인스턴스를 지정해야 합니다.

  • AD 도메인에서 조회를 수행하는 데 사용되는 도메인 바인딩 계정
  • 컴퓨터 계정을 도메인에 가입하고, 도메인에서 컴퓨터 계정을 제거하고, Sysprep 작업을 수행하는 데 사용되는 도메인 가입 계정
중요:

이러한 서비스 계정에 대해 지정하는 Active Directory 계정에 대해 다음 지침을 준수하십시오.

  • 기본 및 보조 도메인 바인딩 계정이 모두 만료되거나 액세스할 수 없게 되면 Single Sign-On이 작동하지 않으며 새 데스크톱에 가입할 수 없습니다. 기본 또는 보조 도메인 바인딩 계정에 대해 만료되지 않음을 설정하지 않을 경우 두 계정에 대해 만료 시간이 다른지 확인합니다. 만료 시간이 가까워짐에 따라 계속 추적하면서 만료 시간에 도달하기 전에 Horizon Cloud 도메인 바인딩 계정 정보를 업데이트해야 합니다.
  • 기본 및 보조 도메인 가입 계정이 모두 만료되거나 액세스할 수 없게 되면 Single Sign-On이 작동하지 않으며 새 데스크톱에 가입할 수 없습니다. 기본 또는 보조 도메인 가입 계정에 대해 만료되지 않음을 설정하지 않을 경우 두 계정에 대해 만료 시간이 다른지 확인합니다. 만료 시간이 가까워짐에 따라 계속 추적하면서 만료 시간에 도달하기 전에 Horizon Cloud 도메인 가입 계정 정보를 업데이트해야 합니다.

도메인 바인딩 계정 - 필수 Active Directory 사용 권한

도메인 바인딩 계정에는 최종 사용자에게 데스크톱 VM을 할당하는 등 Horizon Cloud에서 제공하는 Desktop-as-a-Service 작업에서 사용할 것으로 예상되는 모든 AD OU(조직 구성 단위)에서 AD 계정을 조회할 수 있는 사용 권한 읽기가 있어야 합니다. 도메인 바인딩 계정은 Active Directory의 개체를 열거할 수 있어야 합니다. 도메인 바인딩 계정에는 Horizon Cloud에서 사용할 것으로 예상되는 모든 OU 및 개체에 대한 다음 사용 권한이 필요합니다.

  • 컨텐츠 나열
  • 모든 속성 읽기
  • 사용 권한 읽기
  • tokenGroupsGlobalAndUniversal 읽기(모든 속성 읽기 권한에 내포)
중요: 일반적으로 도메인 바인딩 계정에는 Microsoft Active Directory 배포에서 인증된 사용자에게 일반적으로 부여되는 즉시 사용 가능한 기본 읽기 액세스 관련 사용 권한이 부여되어야 합니다. 즉시 사용 가능한 Microsoft Active Directory 배포에서 일반적으로 인증된 사용자에게 부여된 기본 설정은 표준 도메인 사용자 계정에 Horizon Cloud가 도메인 바인딩 계정에 대해 필요로 하는 열거를 수행하는 기능을 제공합니다. 그러나 조직의 AD 관리자가 일반 사용자에 대해 읽기 액세스 관련 사용 권한을 잠그도록 선택한 경우에는 해당 AD 관리자가 Horizon Cloud에 사용할 도메인 바인딩 계정에 대해 인증된 사용자 표준 기본값을 보존하도록 요청해야 합니다.

도메인 가입 계정 - 필수 Active Directory 사용 권한

도메인 가입 계정은 테넌트 수준에서 구성됩니다. 시스템은 테넌트 포드 그룹의 모든 포드에 대한 모든 도메인 가입 관련 작업에 대해 Active Directory 등록에 구성된 동일한 도메인 가입 계정을 사용합니다.

시스템은 Active Directory 등록 워크플로(해당 워크플로의 기본 OU 텍스트 상자)에서 지정하는 OU 및 만드는 팜 및 VDI 데스크톱 할당에서 지정하는 OU 내에서 도메인 가입 계정에 대해 명시적 권한 검사를 수행합니다. 단, 해당 팜 및 VDI 데스크톱 할당 컴퓨터 OU 텍스트 상자가 Active Directory 등록의 기본 OU와 다른 경우에 한합니다.

하위 OU를 사용할 수 있는 경우를 고려하기 위해 컴퓨터 OU의 모든 하위 개체에 적용되도록 이러한 필수 사용 권한을 설정하는 것이 좋습니다.

중요:
  • 목록의 일부 AD 사용 권한은 일반적으로 Active Directory에서 계정에 기본적으로 할당합니다. 그러나 Active Directory에서 보안 권한을 제한한 경우 도메인 가입 계정에 Horizon Cloud에서 사용할 예정인 OU 및 개체에 대해 이러한 권한이 있는지 확인해야 합니다.
  • Microsoft Active Directory에서 새 OU를 생성할 때 시스템은 새로 생성된 OU 및 모든 하위 개체에 대한 모든 하위 개체 삭제 사용 권한에 Deny를 적용하는 Prevent Accidental Deletion 특성을 자동으로 설정할 수 있습니다. 따라서 도메인 가입 계정에 컴퓨터 개체 삭제 사용 권한을 명시적으로 할당한 경우, 새로 생성된 OU에서 Active Directory가 명시적으로 할당된 컴퓨터 개체 삭제 사용 권한에 재정의를 적용했을 수 있습니다. 실수로 인한 삭제 방지 플래그를 지우면 Active Directory가 모든 하위 개체 삭제 사용 권한에 적용한 Deny를 자동으로 지우지 않을 수 있으므로 새로 추가된 OU의 경우에는 Horizon Universal Console에서 도메인 가입 계정을 사용하기 전에 OU 및 모든 하위 OU에서 모든 하위 개체 삭제를 위한 Deny 사용 권한 집합을 확인하고 수동으로 지워야 할 수 있습니다.

Horizon Cloud와의 통합을 위해 Workspace ONE Access 사용자 특성 구성

Workspace ONE AccessHorizon Cloud에 대한 ID 제공자로 사용하는 경우 Workspace ONE Access 콘솔을 사용하여 필수 사용자 특성을 구성합니다.

이 절차의 목적은 Workspace ONE AccessHorizon Cloud에 대한 ID 제공자로 성공적으로 구성하고 이러한 필수 특성을 Active Directory 특성에 매핑하는 데 필요한 추가 Workspace ONE Access 특성을 추가하는 것입니다.

userPrincipalName, objectGuid, sidnetBios Workspace ONE Access 특성은 필수이며, 다음 단계에 설명된 대로 적절한 Active Directory 특성에 매핑되어야 합니다.

사전 요구 사항

Workspace ONE Access 콘솔에서 사용자 특성을 구성하려면 먼저 Workspace ONE Access Connector를 설치하고 Active Directory와 디렉토리 통합을 설정해야 합니다.

프로시저

  1. Workspace ONE Access 콘솔에 로그인합니다.
  2. ID 및 액세스 관리 > 설정을 선택합니다.
    [ID 및 액세스 관리] 탭과 [설정] 버튼이 선택된 Workspace ONE Access 콘솔의 스크린샷
  3. 사용자 특성을 클릭합니다.
  4. 다음 목록에 나와 있는 필수 특성을 추가하고 저장을 클릭합니다.
    중요: 대/소문자를 구분하는 특성을 이 목록에 표시되는 것과 정확히 동일하게 입력해야 합니다.
    • objectGuid
    • sid
    • netBios
    userPrincipalName도 이 통합을 위해 반드시 필요하지만 기본 특성 목록에 이미 나타나므로 추가하지 않아도 됩니다.
  5. Workspace ONE Access 콘솔의 ID 및 액세스 관리 영역에서 관리 영역을 사용하여 Active Directory 특성에 Workspace ONE Access 특성을 매핑합니다.
    1. Workspace ONE Access 콘솔의 ID 및 액세스 관리 영역에서 관리 부분을 사용하여 디렉토리가 구성된 화면으로 이동하고 Horizon Cloud 사용 권한이 있는 사용자 및 그룹이 포함된 디렉토리를 클릭합니다.
    2. 해당 디렉토리에 대한 화면에서 설정 동기화 화면을 열고 매핑된 특성 페이지로 이동합니다.
    3. 지정된 대로 Workspace ONE Access 사용자 특성을 Active Directory 특성에 매핑합니다.
      Workspace ONE Access 특성 Active Directory 특성
      userPrincipalName userPrincipalName
      objectGuid objectGUID
      sid objectSid
      netBios msDS-PrincipalName
  6. 저장을 클릭합니다.
  7. Horizon Cloud 환경에 동기화되는 모든 사용자 및 그룹을 선택했는지 확인합니다.
    Workspace ONE Access 콘솔에서 디렉토리의 설정 동기화 화면에서 사용자 탭 및 그룹 탭으로 이동하여 사용자 및 그룹 목록을 보고 편집할 수 있습니다.
  8. Workspace ONE Access 콘솔에서 해당 디렉토리 페이지로 돌아간 후 동기화를 클릭하여 사용자 및 그룹을 Workspace ONE Access와 동기화하고 이제 모든 올바른 사용자 특성을 사용합니다.

Horizon Cloud와의 통합을 위해 Workspace ONE Access People Search 구성

Horizon Cloud에 대한 ID 제공자로 Workspace ONE Access를 사용하는 경우 Workspace ONE Access 콘솔의 People Search 기능이 사용하도록 설정되어 있고 Horizon Cloud의 사용자 검색도 사용할 수 있는지 확인합니다.

Workspace ONE AccessHorizon Cloud에 대한 ID 제공자인 경우 Horizon Universal Console에서 사용자 검색이 작동할 수 있도록 Workspace ONE Access People Search 기능을 사용하도록 설정해야 합니다.

사전 요구 사항

Workspace ONE Access 콘솔에서 People Search를 사용하도록 설정하려면 먼저 Workspace ONE Access Connector를 설치하고 Active Directory와 디렉토리 통합을 설정해야 합니다.

프로시저

  1. Workspace ONE Access 콘솔에 로그인합니다.
  2. 카탈로그 > 설정을 선택합니다.
    [카탈로그] > [설정]이 선택된 VMware Workspace ONE Access 콘솔의 스크린샷
  3. People Search > People Search 사용을 선택하고 다음을 클릭합니다.
  4. 디렉토리를 선택합니다.
  5. businessUnit 특성을 선택하고 다음을 클릭합니다.
  6. VMware Workspace ONE Access의 특성 이름Active Directory의 특성 이름에 매핑하려면 Active Directory에서 해당 특성 이름을 선택하고 다음을 클릭합니다.
    managerDN 특성의 경우 매핑할 수 있게 사용자 지정 특성을 정의할 수도 있습니다.
  7. 사용자 DN 지정 텍스트 상자에서는 기본값이 적용되는 경우 기본값을 그대로 사용하고 그렇지 않은 경우 사용자 DN(예: OU=Organization,DC=example,DC=com)을 입력하고 저장 및 동기화를 클릭합니다.

결과

최종적으로 Horizon Universal Console에 로그인하고 사용자 검색을 수행하면 검색이 성공합니다.