技術概要:Azure のCitrix DaaS 標準
Citrix DaaS Standard for Azure は、仮想デスクトップとアプリケーションを提供するための、Microsoft Azure がホストするターンキーソリューションです。管理者は、Windows 10 マルチセッションデスクトップ、Windows 10 エンタープライズ、Windows 7 ESU シングルセッションデスクトップを提供できます。また、Windows Server 2008 R2、2012 R2、2016、2019 の OS セッションや、上記のいずれかの OS 上で実行されているアプリは、数回クリックするだけで GUI インターフェイスを使用して実行できます。
管理者は、組織のオンプレミス展開を拡張して Azure にバーストできます。管理者は、自分の環境でマシンを起動することなく、請負業者またはサードパーティユーザーにアクセスすることができます。また、オンデマンドで起動する必要があるトレーニングラボや開発テストの設定にも使用できます。
合併や買収を行う企業にとって、従業員のオンボーディングをサポートすることは成功に不可欠です。Citrix DaaS Standard for Azure は、新入社員の採用と生産性の維持に必要な主要なアプリケーションとデスクトップへのアクセスを迅速に提供するのに役立ちます。
これは、毎月のサブスクリプションで購読することができるサービスとしてのデスクトップであるため。組織がワークロードにCitrixが管理するAzure を使用することを選択した場合、Citrixは、サービスとAzure リソース消費のための単一の請求書を提供します。
このオプションを使用すると、米国、欧州、アジア/太平洋の組織は、世界中の 4 つの Azure 拠点 (米国東部、米国西部、西ヨーロッパ、オーストラリア東部 (および近日予定)) に VM をデプロイできます。ワークロードの場所と、AzureのCitrix Gateway サービスの11のグローバルプレゼンスポイントを組み合わせることで、HDX配信のエクスペリエンスを最適化できます。ユーザーが Gateway PoP に到達すると、トラフィックは超高速の Azure バックボーンを介して最も近いワークロード場所にリダイレクトされます。
シトリックスは現在,お客様とパートナーが独自のAzureサブスクリプションをCitrix DaaSStandard for Azureとともに使用できるようにしています。Microsoft のリザーブドインスタンス料金を適用するオプションに加えて、お客様とパートナーはいずれも Azure リージョンまたは VM の種類を柔軟に使用できます。
標準的な展開モデルと認証フローは次のようになります。
ユーザーは、対応するCitrix Workspaceアプリがインストールされているエンドポイントデバイスを介してワークスペースに接続します。または、ワークスペースURLにログインして、ブラウザからHTML5用のCitrix Workspaceアプリを使用します。
認証は、ユーザーのデバイス (資格情報が提供される) からゲートウェイサービスに流れます。ゲートウェイサービスは、顧客の Azure サブスクリプションの Azure Active Directory に対して同じことを検証します。(ID は、オンプレミスの Active Directory に基づく場合もあります。通常、管理者は Azure AD 接続を使用して、オンプレミスの AD と Azure AD を同期します)。
ユーザーが認証されると、ゲートウェイサービスによって、ユーザーは適切なワークスペースにリダイレクトされます。次に、ユーザーが DaaS 標準カタログからリソースを選択すると、ユーザーのリクエストは Managed Desktops サービスとクラウドコネクタを介して適切な仮想マシンにルーティングされます。その後、ユーザーは Azure の VM にシングルサインオンされ、ユーザーはセッションにログインします。セッションは、HDXプロトコルを使用してユーザーにリダイレクトされます。
展開シナリオ
複数のトポロジをサポートするために、組織は次の 2 つの主要なカテゴリに分けられる多数の展開シナリオのいずれかからオプションを選択できます。
1) ドメインに参加していないワークロード 2) ドメイン参加ワークロード
ドメインに参加していないワークロード
このカテゴリでは、ワークロード (Azure で実行されている Windows マシン) はドメインに参加しません。この種類の展開は、概念実証、開発/テスト設定、または契約者のデスクトップに適用されます。また、Active Directory をまったく作成していない小規模な組織では、Azure AD ID を使用します。
ユーザーとマシン ID が同じドメイン/ワークグループに存在しない場合、ユーザーの ID をマシンにマップする方法が必要です。マッピングにより、ユーザプロファイルのマッピングなどが可能になります。ラッパークークンは、ユーザー ID トークンをカプセル化し、(Citrix 管理または組織) Azure AD または組織の AD を使用します。このラッパークークンは、マシン上のユーザー ID のマッピングされたアカウントを作成するために使用されます。
ユーザーのローカルマップアカウントは、Azure AD または組織の AD に格納されているデータを使用して作成され、関連付けられたパスワードは安全に保存されます。このプロセスは、特権サービスによって実行されます。このサービスは、ユーザーがマシンに初めてログオンする場合、そのユーザーのアカウントを作成します。ユーザーが優先 ID を使用して Workspace に認証されると、ローカルにマップされたアカウントのユーザー名パスワード情報が取得されます。取得した認証情報は、マシンへのログインに使用されます。
ドメインに参加していないワークロード展開モデルでは、ユーザーアカウントに 3 つのオプションがあります。
1) Citrix 管理されたAzure Active Directory ユーザーアカウント
このシナリオでは、ユーザーのアカウントは、Citrixが特定の展開用に作成したAzure Active Directory サブスクリプションに存在します。ユーザーアカウントは、(Azure AD へのアクセスを許可する) URL を介して組織内の管理者によって管理されます。このURLは、Citrix Cloudコンソールの［IDとアクセス管理］セクションに表示されます。Workspace へのログインには、ユーザーの Azure アカウントユーザー名 (組織によって管理される) が使用されます。この導入モデルは、環境全体を迅速に立ち上げることができる迅速なPoCの実行に役立ちます。管理者がソリューションを簡単に設定できることを紹介するために使用されます。
2) お客様の Azure Active Directory のユーザーアカウント
このシナリオでは、ユーザーアカウントは、顧客の Azure AD サブスクリプションにあります。このシナリオは、銀行、金融サービス、保険業界、規制の厳しい業界で一般的です。この分野では、顧客は、組織の企業ドメインを利用することなく、請負業者または一時的な第三者ユーザーへのアクセスを許可し、契約者環境と従業員環境との間の障壁を作成するのに役立ちます。多要素認証は、Azure MFA を使用して有効になります。ユーザーのアカウントの管理は、組織の Azure AD 管理者によって行われます。
3) 組織のオンプレミスの Active Directory 内のユーザーアカウント
このシナリオでは、ユーザーのアカウントは、オンプレミスのデータセンター内の顧客の Active Directory にあります。サービスと組織のAD間の接続を確立するために、お客様のデータセンターにCitrix Cloud Connectorと呼ばれるWindows 2012 R2/2016サーバー仮想マシン（高可用性ペアで展開）をインストールします。Citrix DaaS Standard for AzureサービスへのアウトバウンドTCP 443ベースの接続を可能にするソフトウェアがインストールされています。このシナリオでは、ユーザーは、会社のオンプレミスデータセンター内のプロファイルデータとファイルサーバーにアクセスできません。ネイティブの 2 要素認証は、時間ベースのワンタイムパスワードを使用して利用できます。
ドメイン参加ワークロード
このカテゴリでは、マシン (Azure で実行されている Windows マシン) は組織のドメインに参加します。この種類のセットアップにより、リモートユーザーが任意のデバイスのどこからでもアクセスできる、アプリやデスクトップを数箇所に集中させるなど、仮想デスクトップインフラストラクチャの一般的な使用例が可能になります。この場合、次の 2 つの展開シナリオがあります。
1) Azure Active Directory ドメインサービスと組織の Azure Active Directory のユーザーアカウントを使用してドメインに参加しました
ここでは、ユーザーのアカウントは、組織の Azure Active Directory にあり、マシンは、顧客の Azure サブスクリプション内の Azure Active Directory ドメインサービス (AADDS) に参加しています。マシンがAADDSに接続できるようにするには、Citrix DaaSのAzureサブスクリプションのネットワークからサブスクリプション内の独自のAzureネットワークへのAzure VNet Peeringをセットアップする必要があります。管理者は、組織の Azure Active Directory を介してユーザーアカウントとコンピューターアカウントを管理できます。
2) Azure Active Directory ドメインサービスと組織のオンプレミスの Active Directory 内のユーザーアカウントを介して組織のオンプレミスの Active Directory へのドメイン参加
ここでは、ユーザーのアカウントは組織のオンプレミスの Active Directory にあります。Active Directory は、Azure AD Conneactを使用して、顧客の Azure サブスクリプションで Azure AD と同期されます。この設定により、同期された Azure AD からユーザーの ID を認証できます。マシンがオンプレミスの AD に接続できるようにするには、Citrix DaaS Standard for Azure サブスクリプションのネットワークから、サブスクリプション内の独自の Azure ネットワークへの Azure VNet ピアリングをセットアップする必要があります。プロファイルとアプリデータ、ファイルサーバーにアクセスするためのデータセンターへの別の接続が必要です。2 番目の接続には、SDWAN、サイト間 VPN、またはエクスプレスルートが必要です。SDWANは、より信頼性が高く費用対効果の高いソリューションであるため、SDWANの使用をお勧めします。
3) 組織のオンプレミスの Active Directory に参加しているドメインとユーザーのアカウント
ここでは、マシンのアカウントとユーザーのアカウントの両方が組織のオンプレミスの Active Directory にあります。Citrix DaaSのAzureサブスクリプション（SD-WAN仮想アプライアンスがインストールされている）と顧客のオンプレミス（SD-WANブランチアプライアンスがインストールされている）の場所は、SD-WANを使用して相互に接続されています。これらのアプライアンスは、Citrix CloudのSD-WAN Orchestrator を使用してお客様が管理します。この展開は最もシンプルで (オンプレミスの Active Directory を顧客の Azure AD と同期する必要がないため)、SD-WAN に組み込まれた最適化を活用して、ユーザーが可能な限り最高のエクスペリエンスを得られるようにします。
さまざまな展開オプションを見てきたので、他の主な概念を見てみましょう。
イメージの管理
マシン作成サービス (MCS) は、コンソールでワークロード仮想マシンをプロビジョニングするために使用されます。MCSは、仮想マシン（VM）を構成、起動、停止、削除します。MCSは、リンククローンと呼ばれるマスターイメージのコピーを使用して、仮想デスクトップを迅速にプロビジョニングします。これらのクローンは、イメージを更新し、そのイメージをカタログのマスターとして使用することで、簡単に更新できます。この概要を書いている時点で、利用可能なマスターイメージは、Win 10 マルチセッション、Win 10、Windows Server 2012 R2 および 2016 用です。
1) Windows 10 および Windows 7 ESU は、標準的なシングルセッションデスクトップオペレーティングシステムです。これらは、Windows デスクトップ全体へのアクセスをユーザーに与えるために使用されます。コンピュートリソースは、単一のユーザーによって完全に消費される場合とされない場合があります。
2) Windows 10 マルチセッションは、Azure で利用できる新しい OS で、複数のユーザーが Windows 10 マシンにログインできるようにします。この OS は、同じユーザーセットを提供するために Azure で起動する必要があるマシンの数を減らすのに役立ちます。また、このOSは、展開されているマシンのコンピューティングリソースを最大限に活用するのに役立ちます。このタイプのマシンでは、マルチユーザーアクセスを許可するために RDS CAL は必要ありません。
3) Windows Server 2008 R2/2012 R2/2016/2019 は、複数のユーザーが単一のマシンに接続できるようにするサーバーオペレーティングシステムです。これらの OS の 1 つを使用して、ユーザーにアプリケーションを提供したり、デスクトップセッション (デスクトップオペレーティングシステムセッションのように見えるようにスキニングできます) へのアクセスを提供することができます。これらのOSは、オプション1よりもデスクトップを提供するための安価なオプションです。 注:このマシンに接続する各ユーザーは RDS CAL または RDS SAL が必要です。
注：Windows 7 ESUおよびWindows Server 2008 R2オペレーティングシステムの場合、イメージにインストールするVirtual Delivery Agentのバージョンは、Citrix Virtual Apps and Desktops 7.15 LTSRである必要があります。
これらのビルド済みイメージには、オペレーティングシステムとVirtual Delivery Agent（システムの管理に使用するCitrixソフトウェア）のみがインストールされています。ユーザーは、組織が使用可能なデスクトップをユーザーに提供するために必要なすべてのものを備えているわけではありません。
管理者は、これらの OS の 1 つの独自のイメージをインポートできます (すべての組織アプリと構成でそれを実行します)。または、これらのイメージの 1 つをベースとして使用して、コンソールからイメージを構築し、目的の設定でマスターイメージを取得します。
このリンクにアクセスして、維持管理の責任がCitrix とお客様の間でどのように共有されているかを理解してください。作成したイメージは更新でき、更新されたイメージを使用して新しい仮想マシンを生成できます。
これらの各テンプレートは、起動時に利用可能な 4 つの VM サイズに適用できます。
管理者は、ワークロードと各マシンに接続することが予想されるユーザー数に基づいて、仮想マシンのサイズを選択できます。より少ないCPUとRAMが少ないマシンは、ワークロードの軽減、または一度に 1 つのセッションを処理する、またはその両方のオプションに適しています。多数の CPU とメモリを搭載したマシンは、より集中的なワークロードをサポートしたり、多数のセッションを同時にサポートしたり、またはその両方をサポートしたりできます。
管理者は、カタログの作成方法として、クイック作成とカスタム作成の 2 つの方法があります。
クイック作成では、Citrix Managed Azure ADに参加しているCitrix管理Win 10マスターイメージから静的VM（仮想マシン上のデータはセッション起動時に保持されます）が作成されます。このカタログは、組織の企業ネットワークへの接続がありません (そのため、企業アプリはそこでホストされているデータにアクセスできません)。このタイプのカタログは、PoCに適しています。管理者は、マシンのサイズと数、およびそれらを起動する地域のみを選択できます。
カスタム作成では、管理者はさまざまなオプションを提供するため、必要なカタログを作成できます。
管理者は、カタログの種類、仮想マシンが作成されるサブスクリプション、企業ネットワークとの接続のセットアップ、Azure リージョン、ストレージタイプ、ワークロード、カタログ内のマシンの数、および自動スケールに加えて使用するマスターイメージのオプションを選択できます。カタログの設定です。
利用可能なカタログの種類は次のとおりです。マルチセッション-このタイプは、Windows 10 マルチセッションまたは Windows Server 2016 OS マシン用です。1 台のマシンに複数のユーザーがログインすることが想定されています。管理者は、マシンリソースの使用を最大化し、特定の数のユーザーにサービスを提供するために必要なマシンの数を減らすというメリットを提供します。
静的 (個人用デスクトップ)— このタイプは、Windows 7 ESU、Windows 10、Windows 2008 R2/2012 R2/2016/2019 (サーバー VDI) OS マシン用です。マシンは特定の個人に割り当てられ、再起動後もそのデータと状態を保持する必要があります。このマシンは、同じユーザーが時間の経過とともに使用することを意図しています。
ランダム (プールされたデスクトップ)— このタイプは、Windows 7 ESU、Windows 10、Windows 2008 R2/2012 R2/2016/2019 (サーバーVDI) マシン用です。マシンは、デスクトップを要求するすべてのユーザーに割り当てることができます。これらのマシンは、セッションがログオフされると、マスターイメージのデフォルトにリセットされます。したがって、これらのユーザーは、ログインする次のユーザー（たとえば、以前のシフトと同じ環境を必要とするが、データではなく、シフトワーカーなど）に、繰り返し可能なデスクトップを提供するために使用できます。
Azure サブスクリプションのオプションを使用すると、管理者は VM を配置する場所を選択できます。場所は、Citrix が管理する Azure サブスクリプションまたは組織の Azure サブスクリプションにある場合があります。
[ネットワーク接続]オプションを使用すると,管理者はAzureサブスクリプションにマシンを接続するために構成された Azure Vnet ピアを選択できます。
リージョンオプションを使用すると、管理者は現在 VM をホストするためにサポートされている 4 つの Azure リージョンのいずれかを選択できます。
[ストレージ] オプションを使用すると、管理者は標準ディスク (HDD) またはプレミアムディスク (SSD) を選択できます。
［マシンの選択］セクションでは、マルチセッションとシングルセッションのカタログタイプでマシンを選択するオプションが異なります。 マルチセッションカタログには、ワークロードドロップダウンリストが表示され、各仮想マシンが処理できるセッションの数を見積もることができます。
ワークロードオプションでは、管理者はワークロードに対して 4 つのオプションから選択できます。これにより、管理者は各マシンが処理するワークロードの種類を把握できます。これには、次の種類のアカウントがあります。
ライト:各ユーザーの予想ワークロードは軽く、マシンはこのようなセッションを16回サポートします。
中:予想されるワークロードはユーザーごとに中程度であり、各マシンはこのようなセッションを10個サポートします。
Heavy:予想されるワークロードはユーザーごとに中程度であり、各マシンはこのようなセッションを4つサポートします。
カスタム:オプションを選択すると、管理者は、前述の Citrix DaaS Standard for Azure で使用可能な 4 つの仮想マシンサイズから選択するためのドロップダウンリストが表示されます。
[マシンパフォーマンス] ドロップダウンリストの [静的] と [ランダム] (単一セッションカタログ) の場合、管理者は前述した 4 つのマシンサイズから選択できます。
VNet ピアリング
Citrix のサブスクリプションで Azure でホストされた VM を接続する場合は、Azure AD、アプリとプロファイルデータ、またはその両方をホストする独自の Azure サブスクリプション、またはその両方に接続する必要があります。ドメイン参加ワークロードの展開シナリオで見られるように、Citrix Managed Azureサブスクリプション（リソースの場所）には、組織のAzureサブスクリプション（Azure ADをホスト）とVNetピアリングする必要があります。接続は、右メニューの [ネットワーク接続] 項目を使用して行うことができます。
ここでは、既存の VNet ピアリングネットワークを示します。管理者は、+ [接続の追加] をクリックして、新しい VNet ピアを追加できます。次に、Azure のお客様向けの簡単なセットアップのリンクをクリックします。サブスクリプション所有者アカウントでサインインし、以下の権限を提供することに同意してください。サブスクリプション内のネットワークの一覧が取得され、表示されます。管理者は、取得した接続のうちCitrixの管理対象のネットワークとピアリングする必要があるものを選択できます。
ユーザー定義ルート
Citrix DaaS Standard for Azureサービスを使用する一部の組織では、送信インターネットトラフィックが既知の静的IPアドレスから発信される必要がある場合があります。Azure に組み込まれているデフォルトのルーティングメカニズムにより、デプロイされたマシンから発信されるトラフィックは、ランダムなパブリック IP セットから発信されます。解決策は、NVA の WAN インターフェイス上で静的に割り当てられたパブリック IP を持つ Azure ネットワーク仮想アプライアンス (NVA) を構成することです。これを機能させるには、組織の Azure サブスクリプション (ドメイン参加展開シナリオ 1 および 2) のドメインにマシンが参加し、Citrix Managed Azure と顧客の Azure サブスクリプション間で VNet ピアリングが有効になっている必要があります。Azure サブスクリプションネットワークには、すべての Azure リソース (LAN と呼びます) を含むサブネットと、外部 (発信) IP アドレス (WAN と呼びます) を含む 2 つのサブネットが必要です。WAN サブネットは、外部ルーティングにのみ使用されるため、小さなネットワークアドレス空間を持つことができます。
送信IPを静的にするには、管理者はそれをAzure NVA に割り当てる必要があります。NVA を整備すると、URL フィルタリング、コンテンツ/ SSL 検査、脅威検出、ウイルススキャンなどを含むがこれらに限定されない追加機能があります
LAN IP を WAN IP に NAT するように Azure NVA を構成します。このリンクの例では、Windows Server 2016 データセンターエディションの VM が発信 IP に使用されます。 次に、Citrix DaaS 標準 for Azure UI の［ネットワーク接続］>［以前に作成したAzure VNet ピアリング］>［ルート］タブでルートを追加します。ルータの LAN IP を指す新しいルートを追加します。
ルートが追加されると、VNet ピアリングのルートのリストに表示されます。
Autoscale
この機能を使用すると、管理者はコストを管理しながら、ユーザーのワークロードの可用性を確保できます。負荷ベースまたはスケジュールベースの電源管理、またはその両方を組み合わせて（マシンが使用されることが予想されていない場合）、マシンの電源を落とすことによって、コストが削減されます。自動スケールは、クラウドでワークロードを実行するコストを削減するのに役立ちます。また、必要なときにセッション起動要求を処理するために起動された VM が十分にあることを確認します。
管理者は、カタログ内のマシンを、時刻に基づいて電源管理することができます。管理者は、アイドル状態または切断されたセッションで実行されるアクションと、それらのアクションのタイムアウトを制御することもできます。
管理者は、カタログの稼働時間を（タイムゾーンに基づいて）設定し、作業時間外に必要なVMの数を定義できます。その後、残りの仮想マシンをシャットダウンして Azure の消費コストを節約できます。また、自動スケールは、作業時間が再開されたときに、セッションを提供するために必要な数のマシンを起動するために機能します。その結果、ユーザーが再度ログインしようとすると素晴らしいエクスペリエンスが得られます。
管理者は、アイドルセッションの切断、ログオフ、電源オフのタイミングのタイムアウトを設定できます。
容量バッファは、現在のセッション需要の割合です。実行中のマシンの最小数を使用して、新しいセッション要求を処理するためにスイッチをオンにしたままにするマシンの数を決定します。電源投入するマシンの no は、作業時間中と時間外に対して異なる方法で設定できます。システム管理者は、この設定で構成された時刻に達するまでマシンをパワーオン状態に保つために、電源オフの遅延を設定することもできます。電源オフの遅延により、自動スケールによりマシンの電源が連続的にオンおよびパワーオフされないことが保証されます。
管理者が使用できるプリセットスケジュールがいくつかあります。また、管理者がカスタムスケジュールを作成することもできます。
監視
管理者には、［監視］タブから、Citrix DaaS Standard for Azure展開の可視性が提供されます。管理者は、消費パターンを見るために、環境で何が起こっているかを知る能力を得ます。管理者は、容量と需要のバランスを取るために、他のリソースよりも多く消費されているリソースを検出できます。ある時点で実行されている仮想マシンの数を可視化することで、自動スケール設定を構成できます。その結果、負荷が上昇または下降すると予想されるときに、最適な数のマシンが使用可能になります。
管理者は、デスクトップの使用状況、セッション、マシンを表示できます。
既定のビューは [デスクトップの使用状況] ページです。このページには、アクティブなマシンとセッションステータスが、1つ以上の選択したカタログに含まれるマシンの総数とともに表示されます。次のグラフは、選択した期間において、選択した1つ以上のカタログに対してアクティブなマシンとセッションを示しています。管理者がグラフ内のいずれかのポイントの上にカーソルを置いた場合、ポップアップでポイントインタイムのカウントが表示されます。 ここで利用可能な時間範囲は、1 日、1 週間、1 ヶ月、および現在の時刻から戻る 3 か月です。
上位10人の頻繁なユーザーと上位10のアクティブなカタログを示す2つのグラフがあります。これらは、カタログの種類 (アプリケーション、マルチセッション、および単一セッション) に基づいてフィルタリングできます。ここで利用可能な時間範囲は、現在の時刻から 1 週間、1 ヶ月、3 か月です。
管理者は、サブスクリプションの先月の [デスクトップ起動アクティビティ] レポートをダウンロードすることもできます。これにより、CSV ファイルになります。
トラブルシューティングとサポート
管理者は、展開環境で問題が発生した場合は、右側のメニューの [トラブルシューティングとサポート] セクションを使用して解決できます。問題は、管理者がカタログを作成しようとしたとき、またはユーザーが自分のアプリやデスクトップにアクセスしようとしているときに発生する可能性があります。管理者はここ自体からサポートチケットを開くこともできます。
さまざまな問題シナリオのオプションを提供します。
管理者がセットアップで問題が発生した場合、管理者は踏み台ホストと呼ばれるマシンを使用して問題のトラブルシューティングを行うことができます。踏み台ホストには、ツールがあらかじめロードされています。踏み台ホストはリソースの場所に作成できます (マシン作成の問題の場合)。または、管理者は問題のマシンに（セッション起動の問題の場合）RDPして解決することができます。
Azure 向け Citrix DaaS Standard の動作を確認するには、このビデオをご覧ください:テクニカルインサイトビデオ
ベストプラクティスの詳細については、Citrix DaaS Standard for Azure のリファレンスアーキテクチャをご覧ください。