Amazon Web Services仮想化環境

この記事では、Citrix Virtual AppsおよびDesktopsサービスで使用できるリソースの場所にアマゾンウェブサービス(AWS)アカウントを設定する方法について説明します。このリソースの場所には基本的なコンポーネントセットのみが含まれており、概念実証など、リソースを複数のアベイラビリティゾーンに展開する必要のない展開に最適です。本記事のタスクの完了後、VDAのインストール、マシンのプロビジョニング、マシンカタログの作成、デリバリーグループの作成を行えます。

注:この記事で説明している設定タスクを行う代わりに、『AWS入門ガイド』を参照してください。このガイドでは、次の手順を実行します:

  • AWSアカウントを作成して適切なアクセスキーを作成する。
  • Amazon MarketplaceでCitrix Gateway VPXをサブスクライブする。
  • Smart Toolsを使用してマシンを構成し新しいリソースの場所に展開する。

この記事のタスクを完了すると、リソースの場所に次のコンポーネントが追加されます:

  • 単一のアベイラビリティゾーン内にパブリックサブネットとプライベートサブネットを持つ仮想プライベートクラウド(VPC)
  • VPCのプライベートサブネットに配置され、Active DirectoryドメインコントローラーとDNSサーバーの両方として実行されるインスタンス
  • VPCのプライベートサブネットに配置され、Citrix Cloud Connectorがインストールされた2つのドメイン参加済みインスタンス
  • VPCのパブリックサブネットに配置され、要塞ホストとして機能するインスタンス。このインスタンスは、管理目的でプライベートサブネット内のインスタンスへのRDP接続を開始するために使用されます。リソースの場所の設定が完了したら、このインスタンスをシャットダウンし、アクセスできないようにしてもかまいません。プライベートサブネット内の他のインスタンス(VDAインスタンスなど)を管理する必要性が生じた場合に、このインスタンスを再起動できます。

タスクの概要

パブリックサブネットとプライベートサブネットを持つ仮想プライベートクラウド(VPC)の設定。このタスクを完了すると、パブリックサブネット内のElastic IPアドレスを持つNATインスタンスがAWSによって展開されます。このインスタンスにより、プライベートサブネット内のインスタンスからインターネットにアクセスできるようになります。パブリックサブネット内のインスタンスが受信パブリックトラフィックにアクセスできるようになりますが、プライベートサブネット内のインスタンスはアクセスできません。

セキュリティグループの構成。セキュリティグループは、VPC内のインスタンスのトラフィックを制御する仮想ファイアウォールとして機能します。セキュリティグループにルールを追加することで、パブリックサブネット内のインスタンスがプライベートサブネット内のインスタンスと通信できるようになります。また、これらのセキュリティグループをVPC内の各インスタンスに関連付けることもできます。

DHCPオプションセットの作成。Amazon VPCではデフォルトでDHCPサービスとDHCPサービスが提供されるため、Active DirectoryドメインコントローラーのDNSの構成方法が変わります。AmazonのDHCPを無効にすることはできません。またAmazonのDNSは、Active Directoryの名前解決には使用できず、パブリックDNS解決にのみ使用できます。DHCP経由でインスタンスに渡す必要があるドメインサーバーとネームサーバーを指定するため、新しいDHCPオプションセットを作成します。このセットによりActive Directoryドメインサフィックスを割り当てて、VPC内のすべてのインスタンスにDNSサーバーを指定します。ドメインへのインスタンスの参加時にホスト(A)レコードと逆引き参照(PTR)レコードが自動的に登録されるようにするため、プライベートサブネットに追加するインスタンスごとに、ネットワークアダプタプロパティを構成します。

VPCへの要塞ホスト、ドメインコントローラー、Citrix Cloud Connectorの追加。要塞ホストにより、プライベートサブネット内のインスタンスにログオンし、ドメインの設定、ドメインへのインスタンスの追加、Citrix Cloud Connectorのインストールを行うことができます。

タスク1:VPCを設定する

  1. AWSマネジメントコンソールで [VPC] をクリックします。
  2. VPCダッシュボードで、[Start VPC Wizard]をクリックします。
  3. [VPC with Public and Private Subnets] を選択して [Select] をクリックします。
  4. VPC名を入力し、必要に応じてIP CIDREブロックとパブリックサブネットおよびプライベートサブネットのIP範囲を変更します。
  5. NATゲートウェイを選択している場合は、[Use NAT Instance instead]をクリックします。
  6. NATインスタンスの場合は、使用するインスタンスの種類とキーペアを指定します。キーペアを指定することで、以後インスタンスへ安全に接続できるようになります。
  7. [Enable DNS hostnames]では、[Yes] が選択されたままにします。
  8. [Create VPC] をクリックします。AWSにより、パブリックサブネット、プライベートサブネット、インターネットゲートウェイ、ルートテーブル、デフォルトのセキュリティグループが作成されます。また、NATインスタンスが作成され、Elastic IPアドレスが割り当てられます。

タスク2:セキュリティグループを構成する

このタスクでは、VPC用に次のセキュリティグループを作成して構成します:

  • NATインスタンス用のセキュリティグループ
  • パブリックサブネット内のインスタンスを関連付ける、パブリックセキュリティグループ
  • プライベートサブネット内のインスタンスを関連付ける、プライベートセキュリティグループ

セキュリティグループを作成するには

  1. VPCダッシュボードで、[Security Groups]をクリックします。
  2. NATインスタンス用のセキュリティグループの作成:[Create Security Group]をクリックし、グループの名前タグと説明を入力します。[VPC]では、先ほど作成したVPCを選択します。[Yes, Create] をクリックします。
  3. 手順2を繰り返して、パブリックセキュリティグループとプライベートセキュリティグループを作成します。

NATセキュリティグループを構成する

  1. セキュリティグループの一覧で、先ほど作成したNATセキュリティグループを選択します。

  2. [Inbound Rules] タブをクリックし、[Edit] をクリックして次のルールを作成します:

    種類 接続元
    すべてのトラフィック プライベートセキュリティグループを選択します。
    22(SSH) 0.0.0.0/0
  3. 最後に [Save] をクリックします。

パブリックセキュリティグループを構成する

  1. セキュリティグループの一覧で、先ほど作成したパブリックセキュリティグループを選択します。

  2. [Inbound Rules] タブをクリックし、[Edit]をクリックして次のルールを作成します:

    種類 接続元
    すべてのトラフィック プライベートセキュリティグループを選択します。
    すべてのトラフィック パブリックセキュリティグループを選択します。
    ICMP 0.0.0.0/0
    22(SSH) 0.0.0.0/0
    80(HTTP) 0.0.0.0/0
    443(HTTPS) 0.0.0.0/0
    1494(ICA/HDX) 0.0.0.0/0
    2598(セッション画面の保持) 0.0.0.0/0
    3389(RDP) 0.0.0.0/0
  3. 最後に [Save] をクリックします。

  4. [Outbound Rules] タブをクリックし、[Edit]をクリックして次のルールを作成します:

    種類 接続先
    すべてのトラフィック プライベートセキュリティグループを選択します。
    すべてのトラフィック 0.0.0.0/0
    ICMP 0.0.0.0/0
  5. 最後に [Save] をクリックします。

プライベートセキュリティグループを構成する

  1. セキュリティグループの一覧で、先ほど作成したプライベートセキュリティグループを選択します。

  2. [Inbound Rules] タブをクリックし、[Edit]をクリックして次のルールを作成します:

    種類 接続元
    すべてのトラフィック NATセキュリティグループを選択します。
    すべてのトラフィック プライベートセキュリティグループを選択します。
    すべてのトラフィック パブリックセキュリティグループを選択します。
    ICMP パブリックセキュリティグループを選択します。
    TCP 53(DNS) パブリックセキュリティグループを選択します。
    UDP 53(DNS) パブリックセキュリティグループを選択します。
    80(HTTP) パブリックセキュリティグループを選択します。
    TCP 135 パブリックセキュリティグループを選択します。
    TCP 389 パブリックセキュリティグループを選択します。
    UDP 389 パブリックセキュリティグループを選択します。
    443(HTTPS) パブリックセキュリティグループを選択します。
    TCP 1494(ICA/HDX) パブリックセキュリティグループを選択します。
    TCP 2598(セッション画面の保持) パブリックセキュリティグループを選択します。
    3389(RDP) パブリックセキュリティグループを選択します。
    TCP 49152-65535 パブリックセキュリティグループを選択します。
  3. 最後に [Save] をクリックします。

  4. [Outbound Rules] タブをクリックし、[Edit]をクリックして次のルールを作成します:

    種類 接続先
    すべてのトラフィック プライベートセキュリティグループを選択します。
    すべてのトラフィック 0.0.0.0/0
    ICMP 0.0.0.0/0
    UDP 53(DNS) 0.0.0.0/0
  5. 最後に [Save] をクリックします。

タスク3:NATインスタンスをNATセキュリティグループに関連付ける

  1. AWSマネジメントコンソールで [EC2] をクリックします。
  2. EC2ダッシュボードで、[Instances]をクリックします。
  3. 先ほど作成したNATインスタンスを選択して、[Actions]>[Networking]>[Change Security Groups]の順にクリックします。
  4. デフォルトのセキュリティグループのチェックボックスをオフにします。
  5. 先ほど作成したNATセキュリティグループを選択し、[Assign Security Groups]をクリックします。

タスク4:インスタンスを起動する

次の手順では、EC2インスタンスを4つ作成し、Amazonで生成されたデフォルトの管理者パスワードの暗号化を解除します。

  1. AWSマネジメントコンソールで [EC2] をクリックします。

  2. EC2ダッシュボードで、[Launch Instance]をクリックします。

  3. Windows Serverマシンのイメージとインスタンスの種類を選択します。

  4. [Configure Instance Details]ページで、インスタンスの名前を入力し、先ほど設定したVPCを選択します。

  5. [Subnet] で、各インスタンスに対して次の選択を行います:

    • Bastion host:パブリックサブネットを選択します。
    • Domain controller and Connectors:プライベートサブネットを選択します。
  6. [Auto-assign Public IP address] で、各インスタンスに対して次の選択を行います:

    • Bastion host:[Enable]を選択します。
    • Domain controller and Connectors:[Use default setting]または [Disable] を選択します。
  7. [Network Interfaces] で、ドメインコントローラーインスタンスとCloud Connectorインスタンスに、プライベートサブネットのIP範囲に含まれるプライマリIPアドレスを入力します。

  8. [Add Storage]ページで、必要に応じてディスクサイズを変更します。

  9. [Tag Instance]ページで、各インスタンスにわかりやすい名前を入力します。

  10. [Configure Security Groups]ページで、[Select an existing security group] を選択し、インスタンスごとに次の選択を行います:

    • Bastion host:パブリックセキュリティグループを選択します。
    • Domain controller and Cloud Connectors:プライベートセキュリティグループを選択します。
  11. 選択した内容を確認し、[Launch]をクリックします。

  12. 新しいキーペアを作成するか、既存のキーペアを選択します。新しいキーペアを作成する場合は、秘密キー(.pem)ファイルをダウンロードして安全な場所に保管します。インスタンスのデフォルトの管理者パスワードを取得するときに、この秘密キーを提供する必要があります。

  13. [Launch Instances] をクリックします。[View Instances] をクリックしてインスタンスの一覧を表示します。新しく起動したインスタンスがすべての状態チェックに合格するまで待ってから、インスタンスにアクセスします。

  14. 各インスタンスのデフォルトの管理者パスワードを取得します:

    1. インスタンスの一覧で目的のインスタンスを選択し、[Connect]をクリックします。
    2. [Get Password] をクリックし、プロンプトが表示されたら秘密キー(.pem)ファイルを指定します。
    3. [Decrypt Password] をクリックします。AWSにデフォルトのパスワードが表示されます。
  15. 手順2〜14を繰り返して、パブリックサブネット内の要塞ホストインスタンスと、プライベートサブネット内のドメインコントローラーと2つのCloud Connectorとして使用する3つのインスタンス(計4つのインスタンス)を作成します。

タスク5:DHCPオプションセットを作成する

  1. VPCダッシュボードで [DHCP Options Sets] をクリックします。

  2. 次の情報を入力します。

    • Name tag:オプションセットのフレンドリ名を入力します。
    • Domain name:ドメインコントローラーインスタンスの構成に使用する完全修飾ドメイン名を入力します。
    • Domain name servers:ドメインコントローラーインスタンスに割り当てたプライベートIPアドレスと、「AmazonProvidedDNS」という文字列をカンマで区切って入力します。
    • NTP servers:このフィールドは空白のままにします。
    • NetBIOS name servers:ドメインコントローラーインスタンスのプライベートIPアドレスを入力します。
    • NetBIOS node type:「2」と入力します。
  3. [Yes, Create] をクリックします。

  4. 新しく作成したセットをVPCに関連付けます:

    1. VPCダッシュボードで [Your VPCs] をクリックし、先ほど設定したVPCを選択します。
    2. [Actions]>[Edit DHCP Options Set] の順にクリックします。
    3. プロンプトが表示されたら、新しく作成したセットを選択して [Save] をクリックします。

タスク6:インスタンスを構成する

  1. RDPクライアントを使用して、要塞ホストインスタンスのパブリックIPアドレスに接続します。プロンプトが表示されたら、管理者アカウントの資格情報を入力します。

  2. 要塞ホストインスタンスでリモートデスクトップ接続を起動し、構成するインスタンスのプライベートIPアドレスに接続します。プロンプトが表示されたら、インスタンスの管理者アカウントの資格情報を入力します。

  3. プライベートサブネット内のすべてのインスタンスに対して、DNS設定を構成します:

    1. [スタート]>[コントロールパネル]>[ネットワークとインターネット]>[ネットワークと共有センター]>[アダプターの設定の変更] の順にクリックします。表示されたネットワーク接続をダブルクリックします。
    2. [プロパティ] をクリックし、 [インターネットプロトコルバージョン4(TCP/IPv4)]を選択して [プロパティ] をクリックします。
    3. [詳細設定] をクリックし、[DNS]タブをクリックします。次の設定を有効にして[OK]をクリックします:

      • この接続のアドレスをDNSに登録する
      • この接続のDNSサフィックスをDNS登録に使う:
  4. ドメインコントローラーを構成する:

    1. サーバーマネージャーを使用して、すべてのデフォルト機能を持つActive Directoryドメインサービスの役割を追加します。
    2. インスタンスをドメインコントローラーに昇格させます。昇格時には、DNSを有効にして、新しいDHCPオプションセットの作成時に指定したドメイン名を使用します。メッセージに従ってインスタンスを再起動します。
  5. 最初のCloud Connectorを構成する:

    1. インスタンスをドメインに参加させ、プロンプトが表示されたら再起動します。要塞ホストインスタンスから、RDPを使用してインスタンスに再び接続します。
    2. Citrix Cloudにサインインします。左上のメニューで、[リソースの場所]を選択します。
    3. Cloud Connectorをダウンロードします。
    4. プロンプトが表示されたら、cwcconnector.exeファイルを実行してCitrix Cloudの資格情報を入力します。ウィザードの指示に従って操作します。
    5. ウィザードが完了したら、[更新]をクリックして[リソースの場所]ページを表示します。Cloud Connectorが登録されると、インスタンスがページに表示されます。
  6. 手順5を繰り返して、2番目のCloud Connectorを構成します。

接続の作成

Studioを使用して接続を作成する場合:

  • APIキーと秘密キーの値を指定する必要があります。AWSでこれらの値を含んでいるキーファイルをエクスポートしてから、値をインポートすることができます。また、リージョン、アベイラビリティゾーン、仮想プライベートクラウド名、サブネットアドレス、ドメイン名、セキュリティグループ名、および資格情報も必要になります。
  • AWSコンソールから取得するルートAWSアカウント用の資格情報ファイルでは、標準的なAWSユーザーのものとは異なる形式が使用されています。このため、このファイルをCitrix Virtual AppsおよびDesktops管理コンソールで、APIキーと秘密キーの情報を入力するために使用することはできません。AWS IAM形式の資格情報ファイルを使用してください。

詳細情報の表示