仮想化放浪記: Horizon 7 新機能 (URL コンテンツリダイレクション編)

皆さん、待望の「Horizon 7」がリリースされました！！

Release Notes for VMware Horizon 7 version 7.0
https://pubs.vmware.com/Release_Notes/en/horizon-7-view/horizon-70-view-release-notes.html

新機能が目白押しなメジャーバージョンアップとなりました。
1. Instant Clones
2. Cloud Pod Architecture Improvements
3. Smart Policies
4. VMware Blast Extreme
5. True SSO
6. Access Point 2.5 Integration
7. URL Content Redirection for Windows Horizon Clients
8. Flash Redirection for Windows Horizon Clients (Tech Preview)
9. Windows Server 2016 Support (Tech Preview)
10. Horizon 7 for Linux Desktops
11. Additional Features

どれもご紹介したい新機能ばかりなのですが、、私が最も注目している新機能は「7. URL Content Redirection for Windows Horizon Clients」です。

これはHorizon Clientがインストールされた物理環境のブラウザと、Horizon Agentがインストールされた仮想環境のブラウザ間で環境の差異を意識することなく、URL情報をやり取り出来る優れものです。イメージ図で簡単にご説明すると、以下の2通りの動きがあります。

1. 物理⇒仮想
物理環境のブラウザで特定のURLにアクセスすると、仮想環境のブラウザでそのURLを開く。

2. 仮想⇒物理
仮想環境のブラウザで特定のURLにアクセスすると、物理環境のブラウザでそのURLを開く。

何がうれしいかと言うと、昨今巷で大流行しているインターネット分離環境において利用者が環境の差異を意識することなく(大事なことなので2回)、社内イントラはクローズドな物理環境のブラウザで開く、危険な(とは言い切れませんが)インターネットのサイトは分離された仮想環境のブラウザで開くということを自動で制御してくれるのです。

この機能なしに環境を跨いでURL情報を連携したい場合、URLを一字一句逃さず書き写すという苦行を強いられることになります。
物理⇔仮想間でクリップボード連携を有効化しておけば、コピー&ペーストが可能ですが、情報漏えい対策という観点からもオススメは出来ません。

ということで、今回は「URL Content Redirection」についてご紹介したいと思います。

システム要件から順を追ってご紹介しますので、ご興味のある方は続きをどうぞ。

1. システム要件
はじめに、システム要件を確認しておきたいと思います。

当然ですが、Horizon 7より追加された機能ですので、Horizonはバージョン7である必要があります。また、Horizon7が要求するvSphere環境としては5.5 Update1以降となりますので、仮想環境も必要に応じてバージョンアップします。

リダイレクト可能なブラウザですが、基本的にはInternet Explorerのみとなります。

これは、URLを検知する部分にInternet Explorerのアドオンを使用しているための制約となりますが、リダイレクト先のブラウザをInternet Explorer以外で構成すること自体は可能です。
ただ、リダイレクトした先でURLを検知するためにはInternet Explorerである必要がありますので、結局のところは双方Internet Explorerで構成しておく必要があります。

システム要件を纏めると以下のような感じです。
Horizon
　Horizon 7 ※リダイレクト先はVDI及びRDSHいずれにも対応しています。
　Horizon Client 4.0 以降
vSphere
　vSphrere 5.5 Update1 以降
サポートされる画面転送プロトコル
　Blast Extreme
　PCoIP
ブラウザ
　Internet Explorer 9,10,11 ※つまりはWindowsのみということです。

2. 環境の準備
次に、環境の準備ですが、まずはConnection Serverを用意します。Horizon 7になってもセットアップ方法は大きくは変わっておりませんのでサクッと構築出来るかと思います。

Connection Serverの準備が出来たら、Horizon AgentとHorizon Clientの登場です。

URLコンテンツリダイレクションを有効化するためには、Horizon AgentとHorizon Clientをインストールする際に、インストーラに特殊なパラメータを付けて起動する必要があります。
※そのため、インストーラの起動はコマンドプロンプトより行う必要があります。

Horizon Agent
　VMware-viewagent-x86_64-y.y.y-xxxxxx.exe /v URL_FILTERING_ENABLED=1

インストーラ起動後は環境に応じてインストールします。
※インストール手順で特に必要となる手順はありません。

Horizon Client
　VMware-Horizon-Client-x86-y.y.y-xxxxxx.exe /v URL_FILTERING_ENABLED=1

インストーラ起動後は環境に応じてインストールします。
※インストール手順で特に必要となる手順はありません。

Horizon Agent、Horizon Client共にインストール後は再起動が必要となります。

「/v」オプションを付けてインストールが完了すると、Internet Explorerのアドオンとして "VMware Horizon View URL Filtering Plugin"が追加されます。

Horizon Agent、Horizon Client共にアドオンが有効になっていればセットアップは完了です。

3. URLリダイレクトの設定
最後に、リダイレクトしたいURLを設定します。

URLの設定はグループポリシーで行うのですが、Horizon7で追加されたURLリダイレクション用のADMファイル(urlRedirection-enUS.adm)をグループポリシーにインポートします。
※ADMはMy VMwareよりダウンロード可能なHorizon 7 View GPO Bundle(VMware-Horizon-View-HTML-Access-4.0.0-3618556.zip)に格納されています。

テンプレートを追加したいグループポリシーをグループポリシー管理エディタで開き、[コンピューターの構成]-[ポリシー]-[管理用テンプレート]の順に選択し、右クリックメニューより"テンプレートの追加と削除"を実行します。

テンプレートの追加と削除画面が表示されますので、[追加]ボタンをクリックします。

エクスプローラが起動しますので、ADMファイル(urlRedirection-enUS.adm)を選択します。

インポートされたことを確認し、[閉じる]ボタンをクリックします。

"VMware Horizon URL Redirection"ポリシーが追加されていることを確認します。

ここでは、ブラウザリダイレクトの動作確認用として、「Url Redirection Protocol 'http'」ポリシーを設定します。

Url Redirection Protocol 'http'とUrl Redirection Protocol 'https'は同じパラメータを設定することが推奨されております。

Url Redirection Protocol 'https'・・・
For all URLs that use the HTTPS protocol, specifies the URLs that should be redirected.
The options are the same as for Url Redirection Protocol 'http'.

各パラメータに関する詳細情報については、以下のドキュメントをご参照下さい。
VMware Horizon URL Content Redirection Template Settings
http://pubs.vmware.com/horizon-7-view/index.jsp#com.vmware.horizon-view.desktops.doc/GUID-DB3DECBD-19C5-44B7-AB74-4FE6F2176CA6.html

設定すべきパラメータとしては、Horizon Agent用とHorizon Client用のパラメータがあります。

Horizon Agent用パラメータ

clientRules

物理側で開きたいURL(正規表現)
例) vmware.comを含む= .*.vmware.com

Horizon Client用パラメータ

brokerHostname	Connection Server名
remoteItem	仮想側でURLを開く際に起動するリソース名・・・VDIの場合はプール名(表示名) ・・・RDSHの場合はアプリケーション名(表示名)
agentRules	仮想側で開きたいURL(正規表現) 例) vmware.comを含む= .*.vmware.com

Horizon AgentとHorizon Clientが同一OUに所属していればひとつのポリシーで設定可能ですが、異なるOUに所属している場合など、それぞれ必要なパラメータを含んだポリシーを作成して割り当てます。

余談ですが。

上記のグループポリシーで設定を行ったURLリダイレクトの設定は、グループポリシーでなくても設定可能でした。
但し、以下の設定方法については、VMwareさんのドキュメントにも記載がありませんので、非サポートな方法かもしれません。そのため、あくまでも参考情報としてご利用下さい。

ローカルグループポリシー
先のADMファイル(urlRedirection-enUS.adm)をクライアントPC側のローカルグループポリシーにインポートすることで、上記と同じパラメータの設定が可能です。

レジストリ
レジストリエディタより、HKEY_LOCAL_MACHINE\SOFTWARE\VMware, Inc.\VMware VDM\URLRedirection配下にキーを作成することでも同じパラメータの設定が可能です。

VMwareさんへ

経験則上、物理PC側(Horizon Client)はドメインに参加していないことも多いと思いますので、、これらの設定方法をドキュメントに掲載して公式にサポートして下さい。(笑

4. 動作確認
ということで、URLリダイレクトのポリシーまで設定すれば準備完了です。

Horizon Clientから様々なURLをクリックしてリダイレクトされることを確認してみましょう。

物理側のInternet Explorerを起動し、リダイレクト対象ではないURLにアクセスします。