AWSクラウド環境
この記事では、Citrix Virtual Apps and Desktopsで使用できるリソースの場所としてのAmazon Web Servicesアカウントを設定する方法について説明します。このリソースの場所には基本的なコンポーネントセットのみが含まれており、概念実証など、リソースを複数のアベイラビリティゾーンに展開する必要のない展開に最適です。本記事のタスクの完了後、VDAのインストール、マシンのプロビジョニング、マシンカタログの作成、デリバリーグループの作成を行えます。
この記事のタスクを完了すると、リソースの場所に次のコンポーネントが追加されます：
- 単一アベイラビリティゾーン内にパブリックサブネットとプライベートサブネットを持つ仮想プライベートクラウド（VPC）。
- VPCのプライベートサブネットに配置され、Active DirectoryドメインコントローラーとDNSサーバーの両方として実行されるインスタンス。
- VPCのパブリックサブネットで踏み台ホストとして機能するインスタンス。このインスタンスは、管理目的でプライベートサブネット内のインスタンスへのRDP接続を開始するために使用されます。リソースの場所の設定が完了したら、このインスタンスをシャットダウンし、アクセスできないようにしてもかまいません。プライベートサブネット内の他のインスタンス（VDAインスタンスなど）を管理する必要性が生じた場合に、このインスタンスを再起動できます。
タスクの概要
パブリックサブネットとプライベートサブネットを持つ仮想プライベートクラウド（VPC）の設定。このタスクを完了すると、パブリックサブネット内のエラスティックIPアドレスを持つNATゲートウェイがAWSによって展開されます。この結果、プライベートサブネット内のインスタンスからインターネットにアクセスできるようになります。パブリックサブネット内のインスタンスが受信パブリックトラフィックにアクセスできるようになりますが、プライベートサブネット内のインスタンスはアクセスできません。
セキュリティグループの構成。セキュリティグループは、VPC内のインスタンスのトラフィックを制御する仮想ファイアウォールとして機能します。セキュリティグループにルールを追加することで、パブリックサブネット内のインスタンスがプライベートサブネット内のインスタンスと通信できるようになります。また、これらのセキュリティグループを仮想プライベートクラウド内の各インスタンスに関連付けることもできます。
DHCPオプションセットの作成。Amazon VPCではデフォルトでDHCPサービスとDNSサービスが提供されるため、Active DirectoryドメインコントローラーのDNSの構成方法が変わります。AmazonのDHCPを無効にすることはできません。またAmazonのDNSは、Active Directoryの名前解決には使用できず、パブリックDNS解決にのみ使用できます。DHCP経由でインスタンスに渡すドメインサーバーとネームサーバーを指定するため、DHCPオプションセットを作成します。このセットによりActive Directoryドメインサフィックスを割り当てて、VPC内のすべてのインスタンスにDNSサーバーを指定します。ドメインへのインスタンスの参加時にホスト（A）レコードと逆引き参照（PTR）レコードが自動的に登録されるようにするため、プライベートサブネットに追加するインスタンスごとに、ネットワークアダプタープロパティを構成します。
VPCに踏み台ホストとドメインコントローラーを追加。踏み台ホストにより、プライベートサブネット内のインスタンスにログオンし、ドメインの設定、ドメインへのインスタンスの追加を行うことができます。
タスク1：VPCを設定する
- AWSマネジメントコンソールで ［VPC］ を選択します。
- VPCダッシュボードで、［Create VPC］ を選択します。
- ［VPC and more］ を選択します。
- ［NAT gateways ($)］で ［In 1 AZ］ または ［1 per AZ］ を選択します。
- ［DNS］オプションで ［Enable DNS hostnames］ が選択されたままにします。
- ［Create VPC］ を選択します。AWSにより、パブリックサブネット、プライベートサブネット、インターネットゲートウェイ、ルートテーブル、デフォルトのセキュリティグループが作成されます。
タスク2：セキュリティグループを構成する
このタスクでは、VPC用に次のセキュリティグループを作成して構成します：
- パブリックサブネット内のインスタンスを関連付けるパブリックセキュリティグループ。
- プライベートサブネット内のインスタンスを関連付けるプライベートセキュリティグループ。
セキュリティグループを作成するには：
- VPCダッシュボードで、［Security Groups］ を選択します。
- パブリックセキュリティグループのセキュリティグループを作成します。［Create Security Group］ を選択し、グループの名前タグと説明を入力します。［VPC］では、先ほど作成したVPCを選択します。［Yes, Create］ を選択します。
パブリックセキュリティグループを構成する
-
セキュリティグループの一覧で、先ほど作成したパブリックセキュリティグループを選択します。
-
［Inbound Rules］ タブを選択し、［Edit］ を選択して次の規則を作成します：
種類 接続元 すべてのトラフィック プライベートセキュリティグループを選択します。 すべてのトラフィック パブリックセキュリティグループを選択します。 ICMP 0.0.0.0/0 22（SSH） 0.0.0.0/0 80（HTTP） 0.0.0.0/0 443（HTTPS） 0.0.0.0/0 1494（ICA/HDX） 0.0.0.0/0 2598（セッション画面の保持） 0.0.0.0/0 3389（RDP） 0.0.0.0/0 -
最後に ［Save］ を選択します。
-
［Outbound Rules］ タブを選択し、［Edit］を選択して次のルールを作成します：
種類 接続先 すべてのトラフィック プライベートセキュリティグループを選択します。 すべてのトラフィック 0.0.0.0/0 ICMP 0.0.0.0/0 -
最後に ［Save］ を選択します。
プライベートセキュリティグループを構成する
-
セキュリティグループの一覧で、先ほど作成したプライベートセキュリティグループを選択します。
-
パブリックセキュリティグループからのトラフィックを設定していない場合は、TCPポートを設定する必要があります。［Inbound Rules］ タブを選択し、［Edit］ を選択して次のルールを作成します：
種類 接続元 すべてのトラフィック プライベートセキュリティグループを選択します。 すべてのトラフィック パブリックセキュリティグループを選択します。 ICMP パブリックセキュリティグループを選択します。 TCP 53（DNS） パブリックセキュリティグループを選択します。 UDP 53（DNS） パブリックセキュリティグループを選択します。 80（HTTP） パブリックセキュリティグループを選択します。 TCP 135 パブリックセキュリティグループを選択します。 TCP 389 パブリックセキュリティグループを選択します。 UDP 389 パブリックセキュリティグループを選択します。 443（HTTPS） パブリックセキュリティグループを選択します。 TCP 1494（ICA/HDX） パブリックセキュリティグループを選択します。 TCP 2598（セッション画面の保持） パブリックセキュリティグループを選択します。 3389（RDP） パブリックセキュリティグループを選択します。 TCP 49152～65535 パブリックセキュリティグループを選択します。 -
最後に ［Save］ を選択します。
-
［Outbound Rules］ タブを選択し、［Edit］を選択して次のルールを作成します：
種類 接続先 すべてのトラフィック プライベートセキュリティグループを選択します。 すべてのトラフィック 0.0.0.0/0 ICMP 0.0.0.0/0 UDP 53（DNS） 0.0.0.0/0 -
最後に ［Save］ を選択します。
タスク3：インスタンスを起動する
次の手順に従い、EC2インスタンスを2つ作成し、Amazonで生成されたデフォルトの管理者パスワードの暗号化を解除します：
- AWSマネジメントコンソールで ［EC2］ を選択します。
- EC2ダッシュボードで ［Launch Instance］ を選択します。
- Windows Serverマシンのイメージとインスタンスの種類を選択します。
- ［Configure Instance Details］ ページで、インスタンスの名前を入力し、先ほど設定したVPCを選択します。
-
［Subnet］ で、各インスタンスに対して次の選択を行います：
- Bastion host：パブリックサブネットを選択します
- Domain Controller:：プライベートサブネットを選択します
-
［Auto-assign Public IP address］ で、各インスタンスに対して次の選択を行います：
- Bastion host：［Enable］を選択します。
- Domain Controller：［Use default setting］ または ［Disable］ を選択します。
- ［Network Interfaces］ で、ドメインコントローラーのプライベートサブネットのIP範囲に含まれるプライマリIPアドレスを入力します。
- 必要に応じて、［Add Storage］ ページでディスクサイズを変更します。
- ［Tag Instance］ ページで、各インスタンスにわかりやすい名前を付けます。
-
［Configure Security Groups］ ページで、［Select an existing security group］ を選択し、インスタンスごとに次の選択を行います：
- Bastion host：パブリックセキュリティグループを選択します。
- ドメインコントローラー：プライベートセキュリティグループを選択します。
- 選択した内容を確認し、［Launch］ を選択します。
- 新しいキーペアを作成するか、既存のキーペアを選択します。新しいキーペアを作成する場合は、秘密キー（.pem）ファイルをダウンロードして安全な場所に保管します。インスタンスのデフォルトの管理者パスワードを取得するときに、この秘密キーを提供する必要があります。
- ［Launch Instances］ を選択してから ［View Instances］ を選択し、インスタンスの一覧を表示します。新しく起動したインスタンスがすべての状態チェックに合格するまで待ってから、インスタンスにアクセスします。
-
各インスタンスのデフォルトの管理者パスワードを取得します：
- インスタンスの一覧で目的のインスタンスを選択し、［Connect］ を選択します。
-
［RDP client］ タブに移動し、［Get Password］ を選択し、プロンプトが表示されたら秘密キー（
.pem）ファイルをアップロードします。 - 人間が判読できるパスワードを取得するには、［Decrypt Password］ を選択します。AWSにデフォルトのパスワードが表示されます。
-
2つのインスタンスを作成し終わるまで、手順2以降のすべてのステップを繰り返します：
- パブリックサブネットに含まれる1つの踏み台ホストインスタンス
- ドメインコントローラーとして使用する、プライベートサブネット内の1つのインスタンス。
タスク4：DHCPオプションセットを作成する
-
VPCダッシュボードで ［DHCP Options Sets］ を選択します。
-
次の情報を入力します：
- Name tag：オプションセットのフレンドリ名を入力します。
- Domain name：ドメインコントローラーインスタンスの構成に使用する完全修飾ドメイン名を入力します。
- Domain name servers：ドメインコントローラーインスタンスに割り当てたプライベートIPアドレスと、「AmazonProvidedDNS」という文字列をカンマで区切って入力します。
- NTP servers：このフィールドは空白のままにします。
- NetBIOS name servers：ドメインコントローラーインスタンスのプライベートIPアドレスを入力します。
- NetBIOS node type：「2」と入力します。
-
［Yes, Create］ を選択します。
-
新しく作成したセットをVPCに関連付けます：
- VPCダッシュボードで ［Your VPCs］ を選択し、先ほど設定したVPCを選択します。
- ［Actions］>［Edit DHCP Options Set］ の順に選択します。
- プロンプトが表示されたら、新しく作成したセットを選択して ［Save］ を選択します。
タスク5：インスタンスを構成する
-
RDPクライアントを使用して、踏み台ホストインスタンスのパブリックIPアドレスに接続します。プロンプトが表示されたら、管理者アカウントの資格情報を入力します。
-
踏み台ホストインスタンスでリモートデスクトップ接続を起動し、構成するインスタンスのプライベートIPアドレスに接続します。プロンプトが表示されたら、インスタンスの管理者アカウントの資格情報を入力します。
-
プライベートサブネット内のすべてのインスタンスに対して、DNS設定を構成します：
- ［スタート］>［コントロールパネル］>［ネットワークとインターネット］>［ネットワークと共有センター］>［アダプターの設定の変更］ の順に選択します。表示されたネットワーク接続をダブルクリックします。
- ［プロパティ］>［インターネットプロトコルバージョン4（TCP/IPv4）］>［プロパティ］ を選択します。
-
［詳細設定］>［DNS］ を選択します。次の設定を有効にして ［OK］ を選択します：
- この接続のアドレスをDNSに登録する
- この接続のDNSサフィックスをDNS登録に使う
-
ドメインコントローラーを構成する：
- サーバーマネージャーを使用して、すべてのデフォルト機能を持つActive Directoryドメインサービスの役割を追加します。
- インスタンスをドメインコントローラーに昇格させます。昇格時には、DNSを有効にして、DHCPオプションセットの作成時に指定したドメイン名を使用します。メッセージに従ってインスタンスを再起動します。
次の手順
- コアコンポーネントのインストール
- VDAのインストール
- サイトの作成
- AWSでの接続の作成と管理については、「AWSへの接続」を参照してください。