AWS クラウド環境

この記事では、Citrix Virtual Apps and Desktops で使用できるリソースの場所として AWS アカウントを設定する方法について説明します。このリソースの場所は、AWS EC2 および Amazon WorkSpaces Core マネージドインスタンスでワークロードをプロビジョニングするために使用されます。Amazon WorkSpaces Core マネージドインスタンスでサポートされている OS の種類のリストについては、「Amazon WorkSpaces Core マネージドインスタンスの VDA」を参照してください。

さまざまな構成可能なリソースの場所の比較: AWS EC2 用 MCS、Amazon WorkSpaces Core マネージドインスタンス用 MCS、および Amazon WorkSpaces Core バンドル用クイック展開。

この記事のタスクを完了すると、リソースの場所に次のコンポーネントが含まれます。

• 単一のアベイラビリティゾーン内にパブリックサブネットとプライベートサブネットを持つ仮想プライベートクラウド (VPC)。
• VPCのプライベートサブネット内に配置され、Active DirectoryドメインコントローラーとDNSサーバーの両方として実行されるインスタンス。
• VPCのパブリックサブネットで踏み台ホストとして機能するインスタンス。このインスタンスは、管理目的でプライベートサブネット内のインスタンスへのRDP接続を開始するために使用されます。リソースの場所の設定が完了したら、このインスタンスをシャットダウンして、簡単にアクセスできないようにすることができます。VDAインスタンスなど、プライベートサブネット内の他のインスタンスを管理する必要がある場合は、踏み台ホストインスタンスを再起動できます。

タスクの概要

パブリックサブネットとプライベートサブネットを持つ仮想プライベートクラウド (VPC) をセットアップします。 このタスクを完了すると、AWSはパブリックサブネットにElastic IPアドレスを持つNATゲートウェイをデプロイします。このアクションにより、プライベートサブネット内のインスタンスがインターネットにアクセスできるようになります。パブリックサブネット内のインスタンスはインバウンドのパブリックトラフィックにアクセスできますが、プライベートサブネット内のインスタンスはアクセスできません。

セキュリティグループを構成します。 セキュリティグループは、VPC内のインスタンスのトラフィックを制御する仮想ファイアウォールとして機能します。パブリックサブネット内のインスタンスがプライベートサブネット内のインスタンスと通信できるようにするルールをセキュリティグループに追加します。また、これらのセキュリティグループをVPC内の各インスタンスに関連付けます。

DHCPオプションセットを作成します。 Amazon VPCでは、DHCPおよびDNSサービスがデフォルトで提供されており、Active DirectoryドメインコントローラーでのDNSの構成方法に影響を与えます。AmazonのDHCPは無効にできず、AmazonのDNSはパブリックDNS解決にのみ使用でき、Active Directoryの名前解決には使用できません。DHCPを介してインスタンスに渡されるドメインとネームサーバーを指定するには、DHCPオプションセットを作成します。このセットは、Active Directoryドメインサフィックスを割り当て、VPC内のすべてのインスタンスのDNSサーバーを指定します。インスタンスがドメインに参加したときにホスト (A) および逆引き参照 (PTR) レコードが自動的に登録されるようにするには、プライベートサブネットに追加する各インスタンスのネットワークアダプタープロパティを構成します。

踏み台ホストとドメインコントローラーをVPCに追加します。 踏み台ホストを介して、プライベートサブネット内のインスタンスにログオンし、ドメインを設定してインスタンスをドメインに参加させることができます。

タスク1：VPCをセットアップする

1. AWS管理コンソールから、VPCを選択します。
2. VPCダッシュボードから、VPCを作成を選択します。
3. VPCなどを選択します。
4. NATゲートウェイ ($) の下で、1つのAZ内またはAZごとに1つを選択します。
5. DNSオプションの下で、DNSホスト名を有効にするを選択したままにします。
6. 「VPCを作成」を選択します。AWSは、パブリックおよびプライベートサブネット、インターネットゲートウェイ、ルートテーブル、およびデフォルトのセキュリティグループを作成します。

タスク2：セキュリティグループの構成

このタスクでは、VPC用に以下のセキュリティグループを作成および構成します。

• パブリックサブネット内のインスタンスに関連付けるパブリックセキュリティグループ。
• プライベートサブネット内のインスタンスに関連付けるプライベートセキュリティグループ。

セキュリティグループを作成するには：

1. VPCダッシュボードで、「セキュリティグループ」を選択します。
2. パブリックセキュリティグループ用のセキュリティグループを作成します。「セキュリティグループを作成」を選択し、グループの名前タグと説明を入力します。VPCで、以前に作成したVPCを選択します。「はい、作成」を選択します。

パブリックセキュリティグループの構成

1. セキュリティグループのリストから、パブリックセキュリティグループを選択します。

2. 「インバウンドルール」タブを選択し、「編集」を選択して、以下のルールを作成します。

   タイプ	ソース
   すべてのトラフィック	プライベートセキュリティグループを選択します。
   すべてのトラフィック	パブリックセキュリティグループを選択します。
   アイシーエムピー	0.0.0.0/0
   22 (SSH)	0.0.0.0/0
   80 (HTTPプロトコル)	0.0.0.0/0
   HTTPSプロトコル用ポート443	0.0.0.0/0
   1494 (ICA/HDXプロトコル)	0.0.0.0/0
   2598 (セッション信頼性)	0.0.0.0/0
   3389 (RDP)	0.0.0.0/0

3. 完了したら、保存を選択します。

4. アウトバウンドルールタブを選択し、編集を選択して、次のルールを作成します。

   タイプ	送信先
   すべてのトラフィック	プライベートセキュリティグループを選択します。
   すべてのトラフィック	0.0.0.0/0
   ICMP プロトコル	0.0.0.0/0

5. 完了したら、保存を選択します。

プライベートセキュリティグループを構成する

1. セキュリティグループリストから、プライベートセキュリティグループを選択します。

2. パブリックセキュリティグループからのトラフィックを設定していない場合は、TCPポートを設定する必要があります。インバウンドルールタブを選択し、編集を選択して、次のルールを作成します。

   タイプ	ソース
   すべてのトラフィック	プライベートセキュリティグループを選択します。
   すべてのトラフィック	パブリックセキュリティグループを選択します。
   アイシーエムピー	パブリックセキュリティグループを選択します。
   TCP 53 (ディーエヌエス)	パブリックセキュリティグループを選択します。
   UDP 53 (ディーエヌエス)	パブリックセキュリティグループを選択します。
   80 (HTTP)	パブリックセキュリティグループを選択します。
   TCP 135	パブリックセキュリティグループを選択します。
   TCP 389	パブリックセキュリティグループを選択します。
   UDP 389	パブリックセキュリティグループを選択します。
   443 (HTTPS)	パブリックセキュリティグループを選択します。
   TCP 1494 (ICA/HDX)	パブリックセキュリティグループを選択します。
   TCP 2598 (セッション信頼性)	パブリックセキュリティグループを選択します。
   3389 (RDP)	パブリックセキュリティグループを選択します。
   TCP 49152–65535	パブリックセキュリティグループを選択します。

3. 完了したら、「保存」を選択します。

4. 「アウトバウンドルール」タブを選択し、「編集」を選択して、次のルールを作成します。

   タイプ	送信先
   すべてのトラフィック	プライベートセキュリティグループを選択します。
   すべてのトラフィック	0.0.0.0/0
   ICMP (アイシーエムピー)	0.0.0.0/0
   UDP 53 (ディーエヌエス)	0.0.0.0/0

5. 完了したら、「保存」を選択します。

タスク 3: インスタンスを起動する

2つのEC2インスタンスを作成し、Amazonが生成するデフォルトの管理者パスワードを復号化するには、次の手順を実行します。

1. AWSマネジメントコンソールから、EC2を選択します。
2. EC2ダッシュボードから、Launch Instanceを選択します。
3. Windows Serverマシンイメージとインスタンスタイプを選択します。
4. Configure Instance Detailsページで、インスタンスの名前を入力し、以前に設定したVPCを選択します。

5. Subnetで、各インスタンスについて以下の選択を行います。

   • Bastionホスト: パブリックサブネットを選択します。
   • ドメインコントローラー: プライベートサブネットを選択します。

6. Auto-assign Public IP addressで、各インスタンスについて以下の選択を行います。

   • Bastionホスト: Enable.を選択します。
   • ドメインコントローラー: Use default settingまたはDisableを選択します。
7. Network Interfacesで、ドメインコントローラーのプライベートサブネットのIP範囲内のプライマリIPアドレスを入力します。
8. 必要に応じて、Add Storageページでディスクサイズを変更します。
9. Tag Instanceページで、各インスタンスにわかりやすい名前を入力します。

10. 「セキュリティグループの構成」ページで、「既存のセキュリティグループを選択」を選択し、各インスタンスについて以下の選択を行います。

    • Bastionホスト: パブリックセキュリティグループを選択します。
    • ドメインコントローラー: プライベートセキュリティグループを選択します。
11. 選択内容を確認し、起動を選択します。
12. 新しいキーペアを作成するか、既存のキーペアを選択します。新しいキーペアを作成する場合は、プライベートキー (.pem) ファイルをダウンロードし、安全な場所に保管してください。インスタンスのデフォルトの管理者パスワードを取得する際には、プライベートキーを提供する必要があります。
13. インスタンスの起動を選択します。インスタンスの表示を選択して、インスタンスのリストを表示します。新しく起動したインスタンスにアクセスする前に、すべてのステータスチェックに合格するまで待機します。

14. 各インスタンスのデフォルトの管理者パスワードを取得します。

    1. インスタンスリストからインスタンスを選択し、接続を選択します。
    2. RDP クライアントタブに移動し、パスワードの取得を選択し、プロンプトが表示されたらプライベートキー (.pem) ファイルをアップロードします。
    3. パスワードの復号を選択して、人間が読めるパスワードを取得します。AWS がデフォルトのパスワードを表示します。

15. 手順2から、2つのインスタンスを作成するまで繰り返します。

    • パブリックサブネット内の1つの踏み台ホストインスタンス
    • プライベートサブネット内の、ドメインコントローラーとして使用する1つのインスタンス。

タスク4: DHCPオプションセットを作成する

1. VPCダッシュボードから、DHCPオプションセットを選択します。

2. 次の情報を入力します。

   • 名前タグ: セットにわかりやすい名前を入力します。
   • ドメイン名: ドメインコントローラーインスタンスを設定するときに使用する完全修飾ドメイン名を入力します。
   • ドメインネームサーバー: ドメインコントローラーインスタンスに割り当てたプライベートIPアドレスと、コンマで区切られた文字列 AmazonProvidedDNS を入力します。
   • NTPサーバー: このフィールドは空白のままにします。
   • NetBIOSネームサーバー: ドメインコントローラーインスタンスのプライベートIPアドレスを入力します。
   • NetBIOSノードタイプ: 2 と入力します。

3. はい、作成 を選択します。

4. 新しいセットをVPCに関連付けます。

   1. VPCダッシュボードから、お使いのVPC を選択し、以前に設定したVPCを選択します。
   2. アクション > DHCPオプションセットの編集 を選択します。
   3. プロンプトが表示されたら、作成した新しいセットを選択し、保存 を選択します。

タスク5: インスタンスを構成する

1. RDPクライアントを使用して、踏み台ホストインスタンスのパブリックIPアドレスに接続します。プロンプトが表示されたら、管理者アカウントの資格情報を入力します。

2. 踏み台ホストインスタンスからリモートデスクトップ接続を起動し、構成するインスタンスのプライベートIPアドレスに接続します。プロンプトが表示されたら、そのインスタンスの管理者資格情報を入力します。

3. プライベートサブネット内のすべてのインスタンスについて、DNS設定を構成します。

   1. スタート > コントロールパネル > ネットワークとインターネット > ネットワークと共有センター > アダプターの設定の変更 を選択します。表示されているネットワーク接続をダブルクリックします。
   2. 「プロパティ > インターネット プロトコル バージョン 4 (TCP/IPv4) > プロパティ」を選択します。

   3. 「詳細設定 > DNS」を選択します。以下の設定が有効になっていることを確認し、「OK」を選択します。

      • この接続のアドレスをDNSに登録する
      • この接続のDNSサフィックスをDNS登録で使用する

4. ドメインコントローラーを構成するには：

   1. サーバーマネージャーを使用して、すべてのデフォルト機能でActive Directoryドメインサービスロールを追加します。
   2. インスタンスをドメインコントローラーに昇格させます。昇格中にDNSを有効にし、DHCPオプションセットを作成したときに指定したドメイン名を使用します。プロンプトが表示されたらインスタンスを再起動します。

AWSの権限については、必要なAWS権限 - Amazon EC2 および 必要なAWS権限 - Amazon WorkSpaces Coreマネージドインスタンス を参照してください。

次のステップ

• コアコンポーネントをインストールする
• VDAをインストールする
• サイトを作成する

• 接続の作成と管理については、以下を参照してください。

  • AWS EC2への接続
  • Amazon WorkSpaces Coreマネージドインスタンスへの接続

詳細情報

• 接続とリソースの作成および管理
• マシンカタログの作成