グーグル クラウド環境
Citrix Virtual Apps and Desktops™ を使用すると、Google Cloud 上でマシンのプロビジョニングと管理を行うことができます。
必要条件
- Citrix Cloud™ アカウント。この記事で説明されている機能は、Citrix Cloud でのみ利用できます。
- Google Cloud プロジェクト。このプロジェクトには、マシンカタログに関連付けられているすべてのコンピューティングリソースが保存されます。既存のプロジェクトでも新規のプロジェクトでもかまいません。
- Google Cloud プロジェクトで4つのAPIを有効にします。詳細については、「Google Cloud APIを有効にする」を参照してください。
- Google Cloud サービスアカウント。サービスアカウントはGoogle Cloudに対して認証を行い、プロジェクトへのアクセスを有効にします。詳細については、「サービスアカウントの構成と更新」を参照してください。
- Google プライベートアクセスを有効にします。詳細については、「プライベートGoogleアクセスを有効にする」を参照してください。
グーグルクラウド API を有効にする
Web Studio を介して Google Cloud の機能を使用するには、Google Cloud プロジェクトで次のAPIを有効にします。
- コンピュートエンジン API
- Cloud Resource Manager API
- Identity and Access Management (IAM) API
- Cloud Build API
- Cloud Key Management Service (KMS)
Google Cloud コンソールから、次の手順を実行します。
-
左上のメニューで、API とサービス > ダッシュボードを選択します。
API とサービス ダッシュボードの選択画像(/ja-jp/citrix-virtual-apps-desktops/2402-ltsr/media/gcp-api-service-select-dashboard.png)
-
ダッシュボード画面で、Compute Engine API が有効になっていることを確認します。有効になっていない場合は、 次の手順に従います。
-
API とサービス > ライブラリに移動します。
API とサービス ライブラリの画像(/ja-jp/citrix-virtual-apps-desktops/2402-ltsr/media/gcp-api-library.png)
-
検索ボックスに「Compute Engine」と入力します。
-
検索結果から、Compute Engine APIを選択します。
-
Compute Engine APIページで、有効にするを選択します。
-
-
クラウド リソース マネージャー API を有効にします。
-
API とサービス > ライブラリに移動します。
-
検索ボックスに「クラウド リソース マネージャー」と入力します。
-
検索結果の一覧から、Cloud Resource Manager API を選択してください。
-
Cloud Resource Manager APIページで、有効にするを選択します。API のステータスが表示されます。
-
-
Similarly, enable Identity and Access Management (IAM) API and Cloud Build API.
Google Cloud Shell を使用して API を有効にすることもできます。これを行うには：
- Google コンソールを開き、Cloud Shell をロードします。
-
Cloud Shell で次の 4 つのコマンドを実行します。
- gcloud services enable compute.googleapis.com
- gcloud services enable cloudresourcemanager.googleapis.com
- gcloud services enable iam.googleapis.com
- gcloud services enable cloudbuild.googleapis.com
- Cloud Shell からプロンプトが表示されたら、[承認] をクリックします。
サービスアカウントの構成と更新
注：
GCP は、2024 年 4 月 29 日以降、Cloud Build Service のデフォルトの動作とサービスアカウントの使用に変更を導入します。詳細については、「Cloud Build Service Account Change」を参照してください。2024 年 4 月 29 日より前に Cloud Build API が有効になっている既存の Google プロジェクトは、この変更の影響を受けません。ただし、4 月 29 日以降も既存の Cloud Build Service の動作を維持したい場合は、Cloud Build API を有効にする前に、組織ポリシーを作成または適用して制約の適用を無効にすることができます。その結果、以下のコンテンツは「2024 年 4 月 29 日まで」と「2024 年 4 月 29 日以降」の 2 つに分かれています。新しい組織ポリシーを設定した場合は、「2024 年 4 月 29 日まで」のセクションに従ってください。
2024 年 4 月 29 日まで
Citrix Cloud は、Google Cloud プロジェクト内で 3 つの個別のサービスアカウントを使用します。
-
Citrix Cloud Service Account: このサービスアカウントにより、Citrix Cloud は Google プロジェクトにアクセスし、マシンをプロビジョニングおよび管理できます。このサービスアカウントは、Google Cloud によって生成されたキーを使用して Google Cloud に対して認証を行います。
このサービスアカウントは、ここに概説されているように手動で作成する必要があります。詳細については、「Citrix Cloud Service Account の作成」を参照してください。
このサービスアカウントはメールアドレスで識別できます。例:
<my-service-account>@<project-id>.iam.gserviceaccount.com。 -
Cloud Build サービスアカウント: このサービスアカウントは、Google Cloud API を有効にするで言及されているすべての API を有効にすると、自動的にプロビジョニングされます。自動的に作成されたすべてのサービスアカウントを表示するには、Google Cloud コンソールで IAM と管理 > IAM に移動し、Google 提供のロール付与を含めるチェックボックスを選択します。
このサービスアカウントは、プロジェクト ID と cloudbuild という単語で始まるメールアドレスで識別できます。例:
<project-id>@cloudbuild.gserviceaccount.comサービスアカウントに以下のロールが付与されていることを確認します。ロールを追加する必要がある場合は、Cloud Build サービスアカウントにロールを追加するに記載されている手順に従ってください。
- Cloud Build サービスアカウント
- コンピューティングインスタンス管理者
- サービスアカウントユーザー
-
Cloud Compute サービスアカウント: このサービスアカウントは、Compute API がアクティブ化されると、Google Cloud によって Google Cloud で作成されたインスタンスに追加されます。このアカウントには、操作を実行するための IAM 基本編集者ロールがあります。ただし、より詳細な制御を行うためにデフォルトの権限を削除した場合、以下の権限を必要とする Storage Admin ロールを追加する必要があります。
- リソースマネージャー.プロジェクト.取得
- ストレージ.オブジェクト.作成
- ストレージ オブジェクトの取得
- ストレージ オブジェクトの一覧表示
このサービスアカウントは、プロジェクト ID と compute という単語で始まるメールアドレスで識別できます。例: <project-id>-compute@developer.gserviceaccount.com。
Citrix Cloud サービスアカウントを作成する
Citrix Cloud サービスアカウントを作成するには、次の手順に従います。
- Google Cloud コンソールで、IAM と管理 > サービスアカウント に移動します。
- サービスアカウント ページで、サービスアカウントを作成 を選択します。
- サービスアカウントの作成 ページで、必要な情報を入力し、その後、作成して続行 を選択します。
-
このサービスアカウントにプロジェクトへのアクセス権を付与 ページで、ロールを選択 ドロップダウンメニューをクリックし、必要なロールを選択します。さらにロールを追加する場合は、+別のロールを追加 をクリックします。
各アカウント（個人またはサービス）には、プロジェクトの管理を定義するさまざまなロールがあります。このサービスアカウントに次のロールを付与します。
- コンピュート管理者
- ストレージ管理者
- クラウドビルド エディター
- サービスアカウントユーザー
- クラウドデータストア ユーザー
- クラウド KMS クリプト オペレーター
Cloud KMS Crypto オペレーターには、次の権限が必要です。
- cloudkms.cryptoKeys.get
- クラウドKMS.クリプトキーズ.リスト
- クラウドKMS.キーリング.取得
- クラウドKMS.キーリング.一覧
注記:
新しいサービスアカウントを作成する際に利用可能なロールの完全なリストを取得するには、すべてのAPIを有効にしてください。
- 続行をクリックします
- このサービスアカウントへのユーザーアクセスを許可ページで、このサービスアカウントでアクションを実行するアクセス権を付与するユーザーまたはグループを追加します。
- 完了をクリックします。
- IAMメインコンソールに移動します。
- 作成されたサービスアカウントを特定します。
- ロールが正常に割り当てられていることを検証します。
考慮事項:
サービスアカウントを作成する際は、以下を考慮してください。
- このサービスアカウントにプロジェクトへのアクセスを許可およびこのサービスアカウントへのユーザーアクセスを許可のステップはオプションです。これらのオプションの構成ステップをスキップすることを選択した場合、新しく作成されたサービスアカウントはIAMと管理 > IAMページに表示されません。
- サービスアカウントに関連付けられたロールを表示するには、オプションの手順をスキップせずにロールを追加します。このプロセスにより、構成されたサービスアカウントにロールが表示されるようになります。
Citrix Cloudサービスアカウントキー
Citrix DaaSで接続を作成するには、Citrix Cloudサービスアカウントキーが必要です。キーは資格情報ファイル（.json）に含まれています。キーを作成すると、ファイルは自動的にダウンロードされ、ダウンロードフォルダーに保存されます。キーを作成する際は、キータイプをJSONに設定してください。そうしないと、Web Studioが解析できません。
Service Account Key を作成するには、IAM & Admin > Service accounts に移動し、Citrix Cloud Service Account のメールアドレスをクリックします。Keys タブに切り替えて、Add Key > Create new key を選択します。キータイプとして JSON を選択していることを確認してください。
ヒント:
Google Cloud コンソールの Service accounts ページを使用してキーを作成します。セキュリティ上の理由から、キーを定期的に変更することをお勧めします。既存の Google Cloud 接続を編集することで、Citrix Virtual Apps and Desktops アプリケーションに新しいキーを提供できます。
Citrix Cloud サービスアカウントにロールを追加する
Citrix Cloud サービスアカウントにロールを追加するには：
- Google Cloud コンソールで、IAM と管理 > IAM に移動します。
-
IAM > PERMISSIONS ページで、作成したサービスアカウントをメールアドレスで特定して見つけます。
例：
<my-service-account>@<project-id>.iam.gserviceaccount.com - 鉛筆アイコンを選択して、サービスアカウントのプリンシパルへのアクセスを編集します。
- 選択したプリンシパルオプションの Edit access to “project-id” ページで、ADD ANOTHER ROLE を選択して必要なロールをサービスアカウントに1つずつ追加し、SAVE を選択します。
Cloud Build サービスアカウントにロールを追加する
Cloud Build サービスアカウントにロールを追加するには：
- Google Cloud コンソールで、IAM と管理 > IAM に移動します。
-
IAM ページで、Project ID と cloudbuild という単語で始まるメールアドレスで識別できる Cloud Build サービスアカウントを見つけます。
例：
<project-id>@cloudbuild.gserviceaccount.com - Cloud Build アカウントの役割を編集するには、鉛筆アイコンを選択します。
-
選択したプリンシパルオプションの「“project-id” へのアクセスを編集」ページで、「別の役割を追加」を選択して、必要な役割を Cloud Build サービスアカウントに 1 つずつ追加し、その後「保存」を選択します。
注:
役割の完全なリストを取得するには、すべての API を有効にします。
2024 年 4 月 29 日以降
Citrix Cloud は、Google Cloud プロジェクト内で 2 つの異なるサービスアカウントを使用します。
-
Citrix Cloud サービスアカウント: このサービスアカウントにより、Citrix Cloud は Google プロジェクトにアクセスし、マシンをプロビジョニングおよび管理できます。このサービスアカウントは、Google Cloud によって生成されたキーを使用して Google Cloud に対して認証を行います。
このサービスアカウントは手動で作成する必要があります。
このサービスアカウントは、メールアドレスで識別できます。例:
<my-service-account>@<project-id>.iam.gserviceaccount.com。 -
Cloud Compute サービスアカウント: このサービスアカウントは、Google Cloud API を有効にするで言及されているすべての API を有効にすると、自動的にプロビジョニングされます。自動的に作成されたすべてのサービスアカウントを表示するには、Google Cloud コンソールで「IAM と管理 > IAM」に移動し、「Google 提供の役割付与を含める」チェックボックスを選択します。このアカウントには、操作を実行するための IAM 基本編集者ロールがあります。ただし、より詳細な制御を行うためにデフォルトの権限を削除した場合、次の権限を必要とする「ストレージ管理者」ロールを追加する必要があります。
- リソースマネージャー.プロジェクト.ゲット
- ストレージ.オブジェクト.クリエイト
- ストレージ.オブジェクト.ゲット
- storage.objects.list
このサービスアカウントは、プロジェクト ID と「compute」という単語で始まるメールアドレスで識別できます。例:
<project-id>-compute@developer.gserviceaccount.com.サービスアカウントに以下のロールが付与されていることを確認します。
- Cloud Build サービスアカウント
- Compute インスタンス管理者
- サービスアカウントユーザー
Citrix Cloud サービスアカウントを作成する
Citrix Cloud サービスアカウントを作成するには、次の手順に従います。
- Google Cloud コンソールで、IAM と管理 > サービスアカウントに移動します。
- サービスアカウントページで、サービスアカウントを作成を選択します。
- サービスアカウントの作成ページで、必要な情報を入力し、作成して続行を選択します。
-
このサービスアカウントにプロジェクトへのアクセス権を付与ページで、ロールを選択ドロップダウンメニューをクリックし、必要なロールを選択します。さらにロールを追加する場合は、+別のロールを追加をクリックします。
各アカウント（個人またはサービス）には、プロジェクトの管理を定義するさまざまなロールがあります。このサービスアカウントに次のロールを付与します。
- コンピュート管理者
- ストレージ管理者
- クラウドビルド エディター
- サービスアカウントユーザー
- クラウド データストア ユーザー
- クラウド KMS クリプト オペレーター
クラウド KMS クリプト オペレーターには、次の権限が必要です。
- クラウドKMS.クリプトキーズ.ゲット
- クラウドKMS.クリプトキーズ.リスト
- Cloud KMS キーリングの取得
- Cloud KMS キーリングの一覧表示
注:
新しいサービスアカウントを作成する際に利用可能なロールの完全なリストを取得するには、すべてのAPIを有効にしてください。
- 続行 をクリックします
- このサービスアカウントへのユーザーアクセスを許可 ページで、ユーザーまたはグループを追加して、このサービスアカウントでアクションを実行するアクセス権を付与します。
- 完了 をクリックします。
- IAM メインコンソールに移動します。
- 作成されたサービスアカウントを特定します。
- ロールが正常に割り当てられていることを確認します。
留意事項:
サービスアカウントを作成する際は、以下を考慮してください。
- 「このサービスアカウントにプロジェクトへのアクセスを許可する」と「このサービスアカウントへのユーザーアクセスを許可する」の手順は任意です。これらの任意の構成手順をスキップすることを選択した場合、新しく作成されたサービスアカウントは「IAM と管理 > IAM」ページに表示されません。
- サービスアカウントに関連付けられたロールを表示するには、任意のステップをスキップせずにロールを追加します。このプロセスにより、構成されたサービスアカウントにロールが表示されるようになります。
Citrix Cloud サービスアカウントキー
Citrix DaaS で接続を作成するには、Citrix Cloud サービスアカウントキーが必要です。キーは資格情報ファイル (.json) に含まれています。キーを作成すると、ファイルは自動的にダウンロードされ、ダウンロードフォルダーに保存されます。キーを作成する際は、キータイプを JSON に設定してください。そうしないと、Web Studio はそれを解析できません。
サービスアカウントキーを作成するには、IAM と管理 > サービスアカウントに移動し、Citrix Cloud サービスアカウントのメールアドレスをクリックします。キータブに切り替えて、キーを追加 > 新しいキーを作成を選択します。キータイプとしてJSONを必ず選択してください。
ヒント:
Google Cloud コンソールのサービスアカウントページを使用してキーを作成します。セキュリティ上の理由から、定期的にキーを変更することをお勧めします。既存の Google Cloud 接続を編集することで、新しいキーを Citrix Virtual Apps and Desktops アプリケーションに提供できます。
Citrix Cloud サービスアカウントにロールを追加する
Citrix Cloud サービスアカウントにロールを追加するには：
- Google Cloud コンソールで、IAM と管理 > IAMに移動します。
-
IAM > 権限ページで、作成したサービスアカウントをメールアドレスで識別して見つけます。
例えば、
<my-service-account>@<project-id>.iam.gserviceaccount.com - 鉛筆アイコンを選択して、サービスアカウントのプリンシパルへのアクセスを編集します。
- 選択したプリンシパルオプションの「Edit access to “project-id”」ページで、「ADD ANOTHER ROLE」を選択して、必要なロールをサービスアカウントに1つずつ追加してから、「SAVE」を選択します。
Cloud Computeサービスアカウントにロールを追加する
Cloud Computeサービスアカウントにロールを追加するには：
- Google Cloud コンソールを開き、IAM & Admin > IAM の項目を選択してください。
-
「IAM」ページで、Project IDと「compute」という単語で始まるメールアドレスで識別できるCloud Computeサービスアカウントを見つけます。
例:
<project-id>-compute@developer.gserviceaccount.com - 鉛筆アイコンを選択して、Cloud Buildアカウントのロールを編集します。
-
選択したプリンシパルオプションの「Edit access to “project-id” page」で、「ADD ANOTHER ROLE」を選択して、必要なロールをCloud Buildサービスアカウントに1つずつ追加してから、「SAVE」を選択します。
注：
すべてのAPIを有効にして、ロールの完全なリストを取得します。
ストレージの権限とバケット管理
Citrix Virtual Apps and Desktopsは、Google Cloudサービスのクラウドビルド失敗レポートプロセスを改善します。このサービスはGoogle Cloud上でビルドを実行します。Citrix Virtual Apps and Desktopsは、Google Cloudサービスがビルドログ情報をキャプチャするcitrix-mcs-cloud-build-logs-{region}-{5 random characters}という名前のストレージバケットを作成します。このバケットには、30日後にコンテンツを削除するオプションが設定されています。このプロセスでは、接続に使用されるサービスアカウントにstorage.buckets.updateに設定されたGoogle Cloud権限が必要です。サービスアカウントにこの権限がない場合、Citrix Virtual Apps and Desktopsはエラーを無視し、カタログ作成プロセスを続行します。この権限がないと、ビルドログのサイズが増加し、手動でのクリーンアップが必要になります。
プライベートGoogleアクセスを有効にする
VMのネットワークインターフェイスに外部IPアドレスが割り当てられていない場合、パケットは他の内部IPアドレスの宛先にのみ送信されます。プライベートアクセスを有効にすると、VMはGoogle APIおよび関連サービスで使用される外部IPアドレスのセットに接続します。
注：
プライベートGoogleアクセスが有効になっているかどうかにかかわらず、パブリックIPアドレスを持つVMと持たないVMはすべて、特にサードパーティのネットワークアプライアンスが環境にインストールされている場合、Google Public APIにアクセスできる必要があります。
MCSプロビジョニングのために、サブネット内のVMがパブリックIPアドレスなしでGoogle APIにアクセスできるようにするには：
- Google Cloudで、VPCネットワーク構成にアクセスします。
- サブネットの詳細画面で、プライベートGoogleアクセスをオンにします。
プライベートGoogleアクセス(/ja-jp/citrix-virtual-apps-desktops/2402-ltsr/media/gcp-private-access.png)
詳細については、「プライベートGoogleアクセスの構成」を参照してください。
重要：
ネットワークがVMのインターネットアクセスを防止するように構成されている場合、VMが接続されているサブネットに対してプライベートGoogleアクセスを有効にすることに関連するリスクを組織が負うことを確認してください。
次のステップ
- コアコンポーネントのインストール
- VDAのインストール
- サイトの作成
- Google Cloud環境での接続の作成と管理については、「Google Cloud環境への接続」を参照してください。
詳細情報
- 接続とリソースの作成および管理
- マシンカタログを作成する(/ja-jp/citrix-virtual-apps-desktops/2402-ltsr/install-configure/machine-catalogs-create.html)