Unified Access Gateway (UAG) を利用することでインターネット経由の VDI 利用が安全に行えるようになります．
今回は Unified Access Gateway の設定と VDI 接続について解説します．
情報のアップデート（2026年11月2日）
この記事は 2024 年に，当時の VMware Horizon 8（版 2012）で検証して書きました．その後，Horizon を取り巻く状況が次のように変わっています．
- VMware は Broadcom に買収されました（2023年11月22日に完了）．vSphere などの VMware の製品は，今は「VMware by Broadcom」として提供されています．
- Horizon は Omnissa（オムニッサ）の製品になりました．Broadcom は Horizon・Workspace ONE などのエンドユーザー コンピューティング（EUC）の事業を投資会社の KKR に売却し，2024年7月1日に独立した会社 Omnissa として発足しました．製品名は Omnissa Horizon 8 で，Horizon Client・Horizon Agent・Unified Access Gateway（UAG）も Omnissa の製品です．
- ダウンロード・サポートの窓口も変わりました．Horizon は Omnissa Customer Connect（https://customerconnect.omnissa.com/），製品の文書は Omnissa Docs（https://docs.omnissa.com/）です．vSphere などの VMware の製品は，2024年5月6日に Broadcom Support Portal（https://support.broadcom.com/）へ移っています．
- 2412 から，製品の中の「VMware」の名前も Omnissa に変わりました（インストールされるサービスや AD LDS のインスタンスの名前など）．VMware の名前の版から上げるときは，準備に時間をとり，Omnissa の KB 6000681 を確かめるよう案内されています．
- 版の名前は今も「年＋月」の 4 桁です．2026年11月の時点の最新は 2609（2026年10月22日），長く保守される版（ESB）は 2603 です．
記事の画面は 2012 のものです．今の版では画面や項目の名前が違うことがあるので，作業の前に使う版の文書で確かめてください．
VMware Horizon – Unified Access Gateway の利用 (UAG 経由の接続)
前回「VMware Horizon – Unified Access Gateway の利用 (UAG の展開)」にて Unified Access Gateway アプライアンスの展開まで行いました．ここでは展開したアプライアンスを設定について解説します．
Unified Access Gateway の設定
ブラウザーより「https://<UAG-Address:9443/admin」にアクセスすることで管理画面に接続することが可能です．
Unified Access Gateway のデプロイで指定した admin ユーザーのパスワードを入力して「ログイン」をクリックします．
ログインが完了すると「設定のインポート」と「手動設定」が表示されます．
- 設定のインポート
バックアップ & リストアやバージョンアップを行う際に取得済みの設定をインポートしてリストア，設定情報の復元を行う事ができます． - 手動設定
Unified Access Gateway の設定を行う際に使用します．
今回は初回設定ですので「手動設定」の「選択」をクリックします．
「手動設定」画面になります．全般設定と詳細設定の二つのカテゴリーがあります．
「全般設定」の「Edge サービスの設定」をクリックして一覧を表示させます．
今回は Horizon VDI のアクセス先の設定を行いますので「Horizon の設定」をクリックします．
「Horizon の設定」をクリックしたら，次の画面のように有効にするかどうか確認が促されます．
「Horizon を有効にする」をクリックしてメニューを表示させましょう．
「Horizon を有効にする」を有効にするとメニューが表示されます．
- 接続サーバ URL
接続サーバー (Connection Server) の URL を指定します．1台しか指定できませんので接続サーバーが複数台存在する環境では基本的にはロードバランサーが間にいる構成をとる場合が多いです．
このような，Unified Access Gateway や接続サーバーの冗長構成についてはまた別途解説を行います． - 接続サーバ URL のサムプリント
接続サーバー (Connection Server) が提示する証明書のサムプリント (フィンガープリント) を指定します．sha256=サムプリント のようにアルゴリズムも指定する必要があります． - 接続サーバの IP アドレスモード
接続サーバー (Connection Server) 構成時に指定した IP アドレスモードを選択します． - 送信元ヘッダーの再書き込み
Unified Access Gateway が外部クライアントから接続された際に「Origin」ヘッダーが設定されていた場合，本設定が有効になっていると「Origin」ヘッダーを Unified Access Gateway が「接続サーバーの URL」に書き換えます．
Web ブラウザー経由のアクセスを有効にしている場合は本設定を有効にする必要が生じる可能性があります． - PCOIP を有効にする
VDI の描画方式の PCoIP (PC over IP) を利用する場合に有効にします．Horizon 7 以上では Blast が標準ですので無効にしていますが，利用したい場合は有効にして PCoIP 外部 URL の設定を行う必要があります． - Blast を有効にする
VMware が開発したモバイルデバイスに最適化された描画方式の Blast Extreme プロトコルを利用する場合に有効にします．
Horizon 7 以上では Blast が標準ですので有効にしています． - Blast 外部 URL
外部クライアントから接続された際の提示する URL を記載します．Unified Access Gateway が1台の場合はそのホストの FQDN になります．冗長化されている場合は VIP (Virtual Server) に適用する FQDN を記載することになります． - UDP トンネルサーバを有効にする
低帯域接続の場合 UDP で接続することができます． - Blast プロキシ証明書
- トンネルを有効にする
Unified Access Gateway をトンネルモードにする場合に有効にします．通常はインターネットからの接続先として利用しますのでトンネルモードが一般的になりますので有効にする．と覚えてよいと思います． - トンネル外部 URL
外部クライアントから接続された際の提示する URL を記載します．Unified Access Gateway が1台の場合はそのホストの FQDN になります．冗長化されている場合は VIP (Virtual Server) に適用する FQDN を記載することになります． - トンネル プロキシ証明書
補足（2026年11月）：上の「PCOIP を有効にする」について．Omnissa は PCoIP をやめて Blast に一本化する方針で，Horizon Client と Horizon Agent から PCoIP の機能を取り除くと案内しています（2025年2月27日の Omnissa のブログ．2025年末ごろの ESB の後に取り除く）．この記事のとおり，Blast を使い PCoIP は有効にしない構成をおすすめします．
必要な設定が完了したら「保存」をクリックして設定を完了します．
本来は本番環境であれば「詳細設定」などなどもっと実施しないといけないことがあります．
今回は最低限の設定を紹介していますので Unified Access Gateway の設定はこれで終了とします．
本番環境では UAG に正式な証明書を設定します．UAG には PEM か PFX の形式で証明書を入れますので，証明書のファイル形式の見分け方と変換の方法は「【証明書入門 第4回】X.509証明書の中身 ― SAN・拡張・ファイル形式と中身の読み方」を参照してください．
Horizon 接続サーバーにゲートウェイを登録する
Unified Access Gateway を設定しましたが，これだけでは接続サーバー (Connection Server) と接続することはできません．
Unified Access Gateway を Horizon 管理サーバーに登録する必要があります．
Horizon 管理画面にログインし「設定」-「サーバ」-「ゲートウェイ」にアクセスし「登録」をクリックします．
「ゲートウェイの登録」にて Unifed Access Gateway の展開で指定した FQDN を入力して「登録」をクリックします．
登録直後の場合，この画面のように Unified Access Gateway は表示されますが，バージョンや IP アドレスは N/A のままとなります．しばらくすると表示されますので一旦先に進めます．
補足（2026年11月）：2603 から，Horizon Console に登録した UAG の状態（サービスの状態やゲートウェイの証明書の状態）が Horizon Console に表示されるようになりました．
Horizon Client から Unified Access Gateway 経由での接続
Horizon Client を起動し「サーバの追加」をクリックします．
「Connection Server の名前」で Unified Access Gateway のアドレスを入力して「接続」をクリックします．
証明書の設定を行っていませんのでこのような警告が表示されますが「続行」をクリックして次へ進めます．
証明書のエラーで接続できないときに，期限切れ・名前の不一致・信頼されない発行者のどれなのかを見分ける手順は，「【証明書入門 第10回】証明書トラブルシュート ― エラーの見え方と切り分けの手順、連載のまとめ」で解説しています．
ユーザー名，パスワードを入力して「ログイン」をクリックします．
認証が完了し，Horizon で設定しているプールが表示されれば Unified Access Gateway 経由の接続ができていることになります．
接続したいプールをダブルクリックしてアクセスします．
このようにデスクトップ画面が表示されれば Unified Access Gateway 経由のアクセスは無事成功した事になります．
ここまで，Horizon 接続サーバーも Unified Access Gateway も最低限の設定での解説を行いました．
今後はそれぞれの設定詳細について解説を行っていきますのでお待ち頂ければと思います．
証明書と TLS の仕組みを基礎から順に学びたい方は，連載「証明書入門（全11回）の目次」からお読みください．
更新履歴
- 2026年11月2日：VMware の Broadcom による買収と，Horizon の Omnissa への移管などの「情報のアップデート」を追記しました（あわせて PCoIP と UAG の状態の表示の補足）
コメント