Citrix Virtual Apps and Desktopsサービス

Amazon Web Services仮想化環境

この記事では、Citrix Virtual Apps and Desktopsサービスで使用できるリソースの場所にAmazon Web Services(AWS)アカウントを設定する方法について説明します。このリソースの場所には基本的なコンポーネントセットのみが含まれており、概念実証など、リソースを複数のアベイラビリティゾーンに展開する必要のない展開に最適です。本記事のタスクの完了後、VDAのインストール、マシンのプロビジョニング、マシンカタログの作成、デリバリーグループの作成を行えます。

この記事のタスクを完了すると、リソースの場所に次のコンポーネントが追加されます:

  • 単一アベイラビリティゾーン内にパブリックサブネットとプライベートサブネットを持つ仮想プライベートクラウド(VPC)。
  • VPCのプライベートサブネットに配置され、Active DirectoryドメインコントローラーとDNSサーバーの両方として実行されるインスタンス
  • VPCのプライベートサブネットに配置され、Citrix Cloud Connectorがインストールされた2つのドメイン参加済みインスタンス
  • VPCのパブリックサブネットに配置され、要塞ホストとして機能するインスタンス。このインスタンスは、管理目的でプライベートサブネット内のインスタンスへのRDP接続を開始するために使用されます。リソースの場所の設定が完了したら、このインスタンスをシャットダウンし、アクセスできないようにしてもかまいません。プライベートサブネット内の他のインスタンス(VDAインスタンスなど)を管理する必要性が生じた場合に、このインスタンスを再起動できます。

タスクの概要

パブリックサブネットとプライベートサブネットを持つ仮想プライベートクラウド(VPC)の設定。このタスクを完了すると、パブリックサブネット内のElastic IPアドレスを持つNATインスタンスがAWSによって展開されます。このインスタンスにより、プライベートサブネット内のインスタンスからインターネットにアクセスできるようになります。パブリックサブネット内のインスタンスが受信パブリックトラフィックにアクセスできるようになりますが、プライベートサブネット内のインスタンスはアクセスできません。

セキュリティグループの構成。セキュリティグループは、VPC内のインスタンスのトラフィックを制御する仮想ファイアウォールとして機能します。セキュリティグループにルールを追加することで、パブリックサブネット内のインスタンスがプライベートサブネット内のインスタンスと通信できるようになります。また、これらのセキュリティグループをVPC内の各インスタンスに関連付けることもできます。

DHCPオプションセットの作成。Amazon VPCではデフォルトでDHCPサービスとDHCPサービスが提供されるため、Active DirectoryドメインコントローラーのDNSの構成方法が変わります。AmazonのDHCPを無効にすることはできません。またAmazonのDNSは、Active Directoryの名前解決には使用できず、パブリックDNS解決にのみ使用できます。DHCP経由でインスタンスに渡す必要があるドメインサーバーとネームサーバーを指定するため、DHCPオプションセットを作成します。このセットによりActive Directoryドメインサフィックスを割り当てて、VPC内のすべてのインスタンスにDNSサーバーを指定します。ドメインへのインスタンスの参加時にホスト(A)レコードと逆引き参照(PTR)レコードが自動的に登録されるようにするため、プライベートサブネットに追加するインスタンスごとに、ネットワークアダプタープロパティを構成します。

VPCへの要塞ホスト、ドメインコントローラー、Citrix Cloud Connectorの追加。要塞ホストにより、プライベートサブネット内のインスタンスにログオンし、ドメインの設定、ドメインへのインスタンスの追加、Citrix Cloud Connectorのインストールを行うことができます。

タスク1:VPCを設定する

  1. AWSマネジメントコンソールで [VPC] を選択します。
  2. VPCダッシュボードで、[Start VPC Wizard]を選択します。
  3. [VPC with Public and Private Subnets] を選択して [Select] を選択します。
  4. VPC名を入力し、必要に応じてIP CIDREブロックとパブリックサブネットおよびプライベートサブネットのIP範囲を変更します。
  5. NATゲートウェイを選択している場合は、[Use NAT Instance instead]を選択します。
  6. NATインスタンスの場合は、使用するインスタンスの種類とキーペアを指定します。キーペアを指定することで、以後インスタンスへ安全に接続できるようになります。
  7. [Enable DNS hostnames]では、[Yes] が選択されたままにします。
  8. [Create VPC] を選択します。AWSにより、パブリックサブネット、プライベートサブネット、インターネットゲートウェイ、ルートテーブル、デフォルトのセキュリティグループが作成されます。また、NATインスタンスが作成され、Elastic IPアドレスが割り当てられます。

注:

AWSコンソールでAWS仮想プライベートクラウド(VPC)の名前を変更すると、Citrix Cloudの既存のホスティングユニットが破損します。ホスティングユニットが破損している場合、カタログを作成したり、既存のカタログにマシンを追加したりすることはできません。既知の問題から:PMCS-7701

タスク2:セキュリティグループを構成する

このタスクでは、VPC用に次のセキュリティグループを作成して構成します:

  • NATインスタンス用のセキュリティグループ
  • パブリックサブネット内のインスタンスを関連付ける、パブリックセキュリティグループ
  • プライベートサブネット内のインスタンスを関連付ける、プライベートセキュリティグループ

セキュリティグループを作成するには

  1. VPCダッシュボードで、[Security Groups]を選択します。
  2. NATインスタンス用のセキュリティグループを作成する[Create Security Group] を選択し、グループの名前タグと説明を入力します。[VPC]では、先ほど作成したVPCを選択します。[Yes, Create] を選択します。
  3. 手順2を繰り返して、パブリックセキュリティグループとプライベートセキュリティグループを作成します。

NATセキュリティグループを構成する

  1. セキュリティグループの一覧で、先ほど作成したNATセキュリティグループを選択します。

  2. [Inbound Rules] タブを選択し、[Edit] を選択して次のルールを作成します:

    種類 接続元
    すべてのトラフィック プライベートセキュリティグループを選択します。
    22(SSH) 0.0.0.0/0
  3. 最後に [Save] を選択します。

パブリックセキュリティグループを構成する

  1. セキュリティグループの一覧で、先ほど作成したパブリックセキュリティグループを選択します。

  2. [Inbound Rules] タブを選択し、[Edit]を選択して次のルールを作成します:

    種類 接続元
    すべてのトラフィック プライベートセキュリティグループを選択します。
    すべてのトラフィック パブリックセキュリティグループを選択します。
    ICMP 0.0.0.0/0
    22(SSH) 0.0.0.0/0
    80(HTTP) 0.0.0.0/0
    443(HTTPS) 0.0.0.0/0
    1494(ICA/HDX) 0.0.0.0/0
    2598(セッション画面の保持) 0.0.0.0/0
    3389(RDP) 0.0.0.0/0
  3. 最後に [Save] を選択します。

  4. [Outbound Rules] タブを選択し、[Edit]を選択して次のルールを作成します:

    種類 接続先
    すべてのトラフィック プライベートセキュリティグループを選択します。
    すべてのトラフィック 0.0.0.0/0
    ICMP 0.0.0.0/0
  5. 最後に [Save] を選択します。

プライベートセキュリティグループを構成する

  1. セキュリティグループの一覧で、先ほど作成したプライベートセキュリティグループを選択します。

  2. [Inbound Rules] タブを選択し、[Edit] を選択して次のルールを作成します:

    種類 接続元
    すべてのトラフィック NATセキュリティグループを選択します。
    すべてのトラフィック プライベートセキュリティグループを選択します。
    すべてのトラフィック パブリックセキュリティグループを選択します。
    ICMP パブリックセキュリティグループを選択します。
    TCP 53(DNS) パブリックセキュリティグループを選択します。
    UDP 53(DNS) パブリックセキュリティグループを選択します。
    80(HTTP) パブリックセキュリティグループを選択します。
    TCP 135 パブリックセキュリティグループを選択します。
    TCP 389 パブリックセキュリティグループを選択します。
    UDP 389 パブリックセキュリティグループを選択します。
    443(HTTPS) パブリックセキュリティグループを選択します。
    TCP 1494(ICA/HDX) パブリックセキュリティグループを選択します。
    TCP 2598(セッション画面の保持) パブリックセキュリティグループを選択します。
    3389(RDP) パブリックセキュリティグループを選択します。
    TCP 49152~65535 パブリックセキュリティグループを選択します。
  3. 最後に [Save] を選択します。

  4. [Outbound Rules] タブを選択し、[Edit]を選択して次のルールを作成します:

    種類 接続先
    すべてのトラフィック プライベートセキュリティグループを選択します。
    すべてのトラフィック 0.0.0.0/0
    ICMP 0.0.0.0/0
    UDP 53(DNS) 0.0.0.0/0
  5. 最後に [Save] を選択します。

タスク3:NATインスタンスをNATセキュリティグループに関連付ける

  1. AWSマネジメントコンソールで [EC2] を選択します。
  2. EC2ダッシュボードで [Instances] を選択します。
  3. 先ほど作成したNATインスタンスを選択して、[Actions]>[Networking]>[Change Security Groups] の順に選択します。
  4. デフォルトのセキュリティグループのチェックボックスをオフにします。
  5. 先ほど作成したNATセキュリティグループを選択し、[Assign Security Groups] を選択します。

タスク4:インスタンスを起動する

次の手順では、EC2インスタンスを4つ作成し、Amazonで生成されたデフォルトの管理者パスワードの暗号化を解除します。

  1. AWSマネジメントコンソールで [EC2] を選択します。

  2. EC2ダッシュボードで [Launch Instance] を選択します。

  3. Windows Serverマシンのイメージとインスタンスの種類を選択します。

  4. [Configure Instance Details]ページで、インスタンスの名前を入力し、先ほど設定したVPCを選択します。

  5. [Subnet] で、各インスタンスに対して次の選択を行います:

    • Bastion host:パブリックサブネットを選択します。
    • Domain controller and Connectors:プライベートサブネットを選択します。
  6. [Auto-assign Public IP address] で、各インスタンスに対して次の選択を行います:

    • Bastion host:[Enable]を選択します。
    • Domain controller and Connectors:[Use default setting] または [Disable] を選択します。
  7. [Network Interfaces] で、ドメインコントローラーインスタンスとCloud Connectorインスタンスに、プライベートサブネットのIP範囲に含まれるプライマリIPアドレスを入力します。

  8. [Add Storage]ページで、必要に応じてディスクサイズを変更します。

  9. [Tag Instance]ページで、各インスタンスにわかりやすい名前を入力します。

  10. [Configure Security Groups]ページで、[Select an existing security group] を選択し、インスタンスごとに次の選択を行います:

    • Bastion host:パブリックセキュリティグループを選択します。
    • Domain controller and Cloud Connectors:プライベートセキュリティグループを選択します。
  11. 選択した内容を確認し、[Launch] を選択します。

  12. 新しいキーペアを作成するか、既存のキーペアを選択します。新しいキーペアを作成する場合は、秘密キー(.pem)ファイルをダウンロードして安全な場所に保管します。インスタンスのデフォルトの管理者パスワードを取得するときに、この秘密キーを提供する必要があります。

  13. [Launch Instances] を選択してから [View Instances] を選択し、インスタンスの一覧を表示します。新しく起動したインスタンスがすべての状態チェックに合格するまで待ってから、インスタンスにアクセスします。

  14. 各インスタンスのデフォルトの管理者パスワードを取得します:

    1. インスタンスの一覧で目的のインスタンスを選択し、[Connect] を選択します。
    2. [Get Password] を選択し、プロンプトが表示されたら秘密キー(.pem)ファイルを指定します。
    3. [Decrypt Password] を選択します。AWSにデフォルトのパスワードが表示されます。
  15. 手順2〜14を繰り返して、パブリックサブネット内の要塞ホストインスタンスと、プライベートサブネット内のドメインコントローラーと2つのCloud Connectorとして使用する3つのインスタンス(計4つのインスタンス)を作成します。

タスク5:DHCPオプションセットを作成する

  1. VPCダッシュボードで [DHCP Options Sets] を選択します。

  2. 次の情報を入力します:

    • Name tag:オプションセットのフレンドリ名を入力します。
    • Domain name:ドメインコントローラーインスタンスの構成に使用する完全修飾ドメイン名を入力します。
    • Domain name servers:ドメインコントローラーインスタンスに割り当てたプライベートIPアドレスと、「AmazonProvidedDNS」という文字列をカンマで区切って入力します。
    • NTP servers:このフィールドは空白のままにします。
    • NetBIOS name servers:ドメインコントローラーインスタンスのプライベートIPアドレスを入力します。
    • NetBIOS node type:「2」と入力します。
  3. [Yes, Create] を選択します。

  4. 新しく作成したセットをVPCに関連付けます:

    1. VPCダッシュボードで [Your VPCs] を選択し、先ほど設定したVPCを選択します。
    2. [Actions]>[Edit DHCP Options Set] の順に選択します。
    3. プロンプトが表示されたら、新しく作成したセットを選択して [Save] を選択します。

タスク6:インスタンスを構成する

  1. RDPクライアントを使用して、要塞ホストインスタンスのパブリックIPアドレスに接続します。プロンプトが表示されたら、管理者アカウントの資格情報を入力します。

  2. 要塞ホストインスタンスでリモートデスクトップ接続を起動し、構成するインスタンスのプライベートIPアドレスに接続します。プロンプトが表示されたら、インスタンスの管理者アカウントの資格情報を入力します。

  3. プライベートサブネット内のすべてのインスタンスに対して、DNS設定を構成します:

    1. [スタート]>[コントロールパネル]>[ネットワークとインターネット]>[ネットワークと共有センター]>[アダプターの設定の変更] の順に選択します。表示されたネットワーク接続をダブルクリックします。
    2. [プロパティ] を選択し、[インターネットプロトコルバージョン4(TCP/IPv4)]を選択してから [プロパティ] を選択します。
    3. [詳細設定] を選択してから、[DNS]タブを選択します。次の設定を有効にして [OK] を選択します:

      • この接続のアドレスをDNSに登録する
      • この接続のDNSサフィックスをDNS登録に使う:
  4. ドメインコントローラーを構成する:

    1. サーバーマネージャーを使用して、すべてのデフォルト機能を持つActive Directoryドメインサービスの役割を追加します。
    2. インスタンスをドメインコントローラーに昇格させます。昇格時には、DNSを有効にして、DHCPオプションセットの作成時に指定したドメイン名を使用します。メッセージに従ってインスタンスを再起動します。
  5. 最初のCloud Connectorを構成する:

    1. インスタンスをドメインに参加させ、プロンプトが表示されたら再起動します。要塞ホストインスタンスから、RDPを使用してインスタンスに再び接続します。
    2. Citrix Cloudにサインインします。左上のメニューで、[リソースの場所]を選択します。
    3. Cloud Connectorをダウンロードします。
    4. プロンプトが表示されたら、cwcconnector.exeファイルを実行してCitrix Cloudの資格情報を入力します。ウィザードの指示に従って操作します。
    5. ウィザードが完了したら、[更新]を選択して[リソースの場所]ページを表示します。Cloud Connectorが登録されると、インスタンスがページに表示されます。
  6. 手順5を繰り返して、2番目のCloud Connectorを構成します。

接続の作成

完全な構成インターフェイスから接続を作成する場合:

  • APIキーと秘密キーの値を指定する必要があります。AWSでこれらの値を含んでいるキーファイルをエクスポートしてから、値をインポートすることができます。また、リージョン、アベイラビリティゾーン、仮想プライベートクラウド名、サブネットアドレス、ドメイン名、セキュリティグループ名、および資格情報も必要になります。
  • AWSコンソールから取得するルートAWSアカウント用の資格情報ファイルでは、標準的なAWSユーザーのものとは異なる形式が使用されています。このため、このファイルをCitrix Virtual Apps and Desktops管理コンソールで、APIキーと秘密キーの情報を入力するために使用することはできません。AWS Identity Access Management(IAM)形式の資格情報ファイルを使用してください。

注:

接続を作成した後、APIキーと秘密キーを更新しようとすると失敗することがあります。この問題を解決するには、プロキシサーバーまたはファイアウォールの制限を確認し、次のアドレスに接続できることを確認してください:https://*.amazonaws.com

IAMアクセス許可の定義

このセクションの情報を使用して、AWS上のCitrix Virtual Apps and DesktopsサービスのIAMアクセス許可を定義します。AmazonのIAMサービスでは、複数のユーザーを持つアカウントが許可されており、さらにグループに編成することができます。これらのユーザーは、アカウントに関連付けられた操作の実行を制御できるさまざまな権限を持つことができます。IAMアクセス許可について詳しくは、IAM JSONポリシーのリファレンスを参照してください。

IAMアクセス許可ポリシーを新しいユーザーグループに適用するには、次を実行します:

  1. AWS管理コンソールにログインし、ドロップダウンリストから [IAM service] を選択します。
  2. [Create a New Group of Users] を選択します。
  3. 新しいユーザーグループの名前を入力し、[Continue] を選択します。
  4. [Permissions] ページで [Custom Policy] を選択します。[Select] を選択します。
  5. [Permissions policy] の名前を入力します。
  6. [Policy Document] セクションで、関連する権限の情報を入力します。

ポリシー情報の入力後、[Continue] を選択してユーザーのグループを完了します。グループ内のユーザーには、Citrix Virtual Apps and Desktopsサービスに必要なアクションのみを実行するためのアクセス許可が付与されます。

重要:

上記の例で提供されているポリシーテキストを使用して、Citrix Virtual Apps and Desktopsサービスが特定のリソースに限定せずにAWSアカウント内でアクションを実行するために使用するアクションを一覧表示します。この例は、テスト目的で使用することをお勧めします。実稼働環境では、リソースにさらに制限を加えることを選択できます。

AWSテナント

AWSには、共有テナント(デフォルトタイプ)と専用テナントのテナントオプションが用意されています。共有テナントの場合、さまざまな顧客の複数のAmazon EC2インスタンスが同じ物理ハードウェア上に存在する可能性があります。専用テナントの場合、EC2インスタンスは、ユーザーが展開したほかのインスタンスを含むハードウェア上のみで実行されます。ほかの顧客は同じハードウェアを使用しません。

MCSを使用してカタログを作成し、AWSでマシンをプロビジョニングすると、[マシンカタログのセットアップ]>[セキュリティ] ページには以下のオプションが表示されます:

  • 共有されているハードウェアを使用する。この設定は、一般的な環境に適しています。複数の顧客が相互に通信していなくても、ハードウェアを共有します。共有ハードウェアの使用は、Amazon EC2インスタンスを実行するための最も安価なオプションです。

  • 専用のホストを使用する。Amazon EC2専用ホストは、完全に専用のEC2インスタンス容量を搭載した物理サーバーです。既存のソケット単位またはVM単位のソフトウェアライセンスを使用することができます。専用ホストには、インスタンスの種類に基づいて使用率が事前に設定されています。たとえば、C4ラージインスタンスタイプの1つの割り当てられた専用ホストは、16個のインスタンスの実行に限定されます。詳しくは、AWSのサイトを参照してください。

    AWSホストへのプロビジョニングの要件は次のとおりです:

    • インポートされたBYOL(ライセンス持ち込み)のイメージ(AMI)。専用ホストでは、既存のライセンスを使用および管理します。
    • プロビジョニング要求を満たすのに十分な使用率を持つ専用ホストの割り当て。
    • 自動配置の有効化。

    この設定は、ライセンス制限やセキュリティ要件により、専用ホストを使用する必要がある展開に適しています。専用のホストを使用すると、物理ホスト全体を所有することになり、時間単位で課金されます。ホストを所有すると、追加料金なしで、そのホストが許可する数のEC2インスタンスをスピンアップできます。

    または、PowerShellを使用してAWS専用のホストをプロビジョニングすることもできます。これを行うには、Hostに設定したTenancyTypeパラメーターを付けたNew-ProvSchemeコマンドレットを使用します。詳しくは、シトリックスの開発者用ドキュメントを参照してください。

  • 専用のインスタンスを使用する。この設定は、特定のセキュリティまたはコンプライアンス要件を満たす必要がある環境に適しています。専用のインスタンスを使用すると、ホストをほかのAWSの顧客と分離することによる利点を活用しながら、ホスト全体に対する支払いが不要になります。ホストの容量を心配する必要はありませんが、使用するインスタンスに対してより高い料金が請求されます。

AWSインスタンスプロパティのキャプチャ

AWSでMachine Creation Services(MCS)を使用してマシンをプロビジョニングするカタログを作成する場合、このカタログのゴールデンイメージに相当するAMIを選択します。MCSは、このAMIからディスクのスナップショットを使用します。以前のリリースでは、マシンに役割やタグが必要な場合AWSコンソールを使用して個別に設定していました。

このプロセスを改善するために、MCSはAMIが作成されたインスタンスからプロパティを読み取り、マシンのIDアクセス管理(IAM)の役割およびタグを提供されたカタログにプロビジョニングされたマシンに適用します。このオプション機能を使用する場合、カタログ作成プロセスでは、選択したAMIソースインスタンスが検索され、限定されたプロパティセットが読み取られます。これらのプロパティは、そのカタログのマシンをプロビジョニングするために使用されるAWS起動テンプレートに保存されます。カタログ内のすべてのマシンがキャプチャされたインスタンスのプロパティを継承します。

キャプチャされたプロパティには、以下が含まれます:

  • IAM役割 – プロビジョニングされたインスタンスに適用
  • タグ - プロビジョニングされたインスタンスやそのディスク、NICに適用これらのタグは次のような一時的なCitrixリソースに適用されます:S3バケットおよびオブジェクト、ボリュームリソースおよびワーカーリソース、AMI、スナップショット、起動テンプレート。

ヒント:

一時的なCitrixリソースのタグ付けはオプションで、カスタムプロパティAwsOperationalResourcesTaggingを使用して構成できます。

AWSインスタンスプロパティのキャプチャ

この機能は、AWSホスト接続でプロビジョニングスキーム作成時にカスタムプロパティAwsCaptureInstancePropertiesを指定することで使用できます:

New-ProvScheme -CustomProperties “AwsCaptureInstanceProperties,true” …<standard provscheme parameters

この機能を使用するには、AWSサービスキーに関してより広い範囲のアクセス許可のセットを指定する必要があります。これらのアクセス許可には、以下が含まれます:

  • ec2:AssociateIamInstanceProfile
  • ec2:CreateLaunchTemplate
  • ec2:DeleteLaunchTemplate
  • ec2:DeleteTags
  • ec2:DisassociateIamInstanceProfile
  • ec2:DescribeIamInstanceProfileAssociations
  • ec2:DescribeLaunchTemplates
  • ec2:DescribeLaunchTemplateVersions
  • ec2:DescribeSnapshots
  • ec2:DescribeTags
  • iam:PassRole
  • s3:PutBucketTagging
  • s3:PutObjectTagging

詳しくは、『シトリックスの開発者用ドキュメント』を参照してください。

完全な構成インターフェイスでのAWSインスタンスのプロパティの適用および運用リソースのタグ付け

MCSを使用してAWSでマシンをプロビジョニングするカタログを作成する場合、IAMの役割とタグのプロパティをそれらのマシンに適用するかを制御できます。マシンタグを運用リソースに適用するかを制御することもできます。次の2つのオプションが使用できます:

AWSのマシンタグとテンプレートのプロパティ

  • マシンテンプレートのプロパティを仮想マシンに適用する
    • 選択したマシンテンプレートに関連付けられたIAMの役割とタグのプロパティを、このカタログ内の仮想マシンに適用するかを制御します。
  • 運用リソースにマシンタグを適用する
    • マシンのプロビジョニングを容易にするマシンタグをAWS環境で作成された項目に適用するかを制御します。カタログ作成の副産物として運用リソースが作成されます。運用リソースには、準備VMインスタンスやAMIなどの一時的なリソースと永続的なリソースの両方が含まれます。

AWS運用リソースのタグ付け

Amazon Machine Image(AMI)は、Amazonクラウド環境内で仮想マシンを作成するために使用される、一般にEC2と呼ばれる仮想アプライアンスの種類を表します。AMIを使用して、EC2環境を使用するサービスを展開します。AWSでMCSを使用してマシンをプロビジョニングするカタログを作成する場合、このカタログのゴールデンイメージとしてAMIを選択します。

重要:

インスタンスプロパティと起動テンプレートをキャプチャしてカタログを作成することは、運用リソースのタグ付けに必要です。詳しくは、前のセクション「AWSインスタンスプロパティのキャプチャ」を参照してください。

AWSカタログを作成するには、最初にゴールデンイメージとして使用するインスタンスのAMIを作成する必要があります。MCSは、そのインスタンスからタグを読み取り、起動テンプレートに組み込みます。起動テンプレートタグは、AWS環境で作成されたすべてのCitrixリソースに適用されます。これには以下が含まれます:

  • 仮想マシン
  • VMディスク
  • VMネットワークインターフェイス
  • S3バケット
  • S3オブジェクト
  • 起動テンプレート
  • AMI

運用リソースのタグ付け

PowerShellを使用してリソースにタグを付けるには、次の手順を実行します:

  1. DDCホストからPowerShellウィンドウを開きます。
  2. コマンドasnp citrixを実行し、Citrix固有のPowerShellモジュールをロードします。

プロビジョニングされた仮想マシンのリソースにタグを付けるには、新しいカスタムプロパティAwsOperationalResourcesTaggingを使用します。以下はこのプロパティの構文です:

New-ProvScheme -CustomProperties “AwsCaptureInstanceProperties,true; AwsOperationalResourcesTagging,true” …<standard provscheme parameters>

AwsOperationalResourcesTaggingカスタムプロパティを使用するには、AWSサービスキーに以下の新しいアクセス許可があることを確認します:

  • ec2:CreateTags
  • ec2:DeleteTags
  • ec2:DescribeTags
  • s3:PutBucketTagging
  • s3:PutObjectTagging

AWSマネジメントコンソールのIAMセクションにこれらのアクセス許可を設定します:

  1. [Summary] パネルで [Permissions] タブを選択します。
  2. [Add permissions] を選択します。

Identity and Access Management(IAM)

[Add Permissions to] 画面でアクセス許可を付与します:

IAMポリシーのアクセス許可を付与する

以下は[JSON] タブの例です:

JSONの例

ヒント:

JSONの例には、環境に対するすべての権限が含まれているとは限らないことに注意してください。詳しくは、「Amazon Web ServicesでCitrix Virtual Apps and Desktopsを実行するIDアクセス管理の権限を定義する方法」を参照してください。

AWS権限について

このセクションでは、AWS権限の完全なリストが示されています。

{
"Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ec2:AttachVolume",
                "ec2:AuthorizeSecurityGroupEgress",
                "ec2:AuthorizeSecurityGroupIngress",
                "ec2:CreateImage",
                "ec2:CreateLaunchTemplate",
                "ec2:CreateNetworkInterface",
                "ec2:CreateSecurityGroup",
                "ec2:CreateTags",
                "ec2:CreateVolume",
                "ec2:DeleteLaunchTemplate",
                "ec2:DeleteNetworkInterface",
                "ec2:DeleteSecurityGroup",
                "ec2:DeleteSnapshot",
                "ec2:DeleteTags",
                "ec2:DeleteVolume",
                "ec2:DeregisterImage",
                "ec2:DescribeAccountAttributes",
                "ec2:DescribeAvailabilityZones",
                "ec2:DescribeImages",
                "ec2:DescribeInstances",
                "ec2:DescribeInstanceTypes",
                "ec2:DescribeLaunchTemplates",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeRegions",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeTags",
                "ec2:DescribeVolumes",
                "ec2:DescribeVpcs",
                "ec2:DetachVolume",
                "ec2:RebootInstances",
                "ec2:RevokeSecurityGroupEgress",
                "ec2:RevokeSecurityGroupIngress",
                "ec2:RunInstances",
                "ec2:StartInstances",
                "ec2:StopInstances",
                "ec2:TerminateInstances",
                "s3:PutBucketTagging",
                "s3:PutObjectTagging"
            ],
            "Effect": "Allow",
            "Resource": "\*"
        },
        {
            "Action": [
                "s3:CreateBucket",
                "s3:DeleteBucket",
                "s3:DeleteObject",
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:s3:::citrix\*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::\*:role/\*"
        }
    ]
}
<!--NeedCopy-->

詳細情報