RAS のマルチテナントアーキテクチャ実装の概要を以下にまとめます。
各テナントは、別々のファームまたはサイトとして展開されます。テナントをファームとして展開する場合は、各テナントが完全に独立していて、相互に通信することはまったくありません。テナントをサイトとして展開する場合は、各サイトが別々にテナントブローカーに接続する必要があります。
RAS Secure Gateway（ユーザーポータルも含む）や高可用性ロードバランサー（HALB）などは、共有リソースになります。
テナントファームには、独自の RAS Secure Gateway や HALB は不要です。ただし、内部接続のためにゲートウェイや HALB が必要なら、ゲートウェイや HALB を組み込んだ展開も可能です。例えば、内部接続と外部接続のために別々のポリシーを用意している場合は、ローカルユーザーに対応するためにゲートウェイや HALB をインストールできます。
テナントのネットワーク構成では、テナントの Connection Broker からテナントブローカーの Connection Broker への接続が必要になります。さらに、共有の RAS Secure Gateway も、公開リソースをホストしているサーバーやテナントの Connection Broker と通信する必要があります。ネットワークアーキテクチャの実装によっては、VLAN と VLAN の接続や VPN などが必要になることもあります。そのような通信については、ごく限られた数のポートを開くだけで十分です。完全なリストについては、「通信ポート」を参照してください。
テナントドメインとの通信は、常にローカルテナントの Connection Broker から実行され、テナントブローカーのインフラストラクチャから実行されることはありません。
各テナントには、固有のパブリックドメインアドレスが必要です。そのアドレスを割り当てる方法はいろいろあります。例えば、サーバープロバイダーがサブドメイン（Tenant1.Service-Provider.com など）を登録し、そのドメインをテナントに割り当てる、といった方法があります。また、プライベートドメインアドレス（RAS.Tenant1.com など）を使用し、テナントブローカーでそのルーティング先を RAS Secure Gateway にする、といった方法も考えられます。別々のパブリックドメインアドレスを同じ IP アドレスに解決することが必要なら、そうすることも可能です。
テナントをテナントブローカーに接続すると、共有の RAS Secure Gateway がテナントとテナント構成を認識し、テナントの RAS Connection Broker に接続できる状態になります。インターネットから RAS Secure Gateway （または HALB）に届くテナントの着信トラフィックのためのルートをテナントブローカーで設定する必要があります。
テナントブローカーには専用の RAS Console が付属しています。そのコンソールで、共有リソースやテナントオブジェクトや証明書を管理したり、テナントのパフォーマンスを監視したり、標準的な RAS 管理タスクを実行したりできます。
すべてのテナントのテーマがテナントブローカーで使用できるようになります。ユーザーが共有の RAS Secure Gateway を経由してテナントブローカーに接続すると、対応するテナントのテーマがユーザーに表示されます。
テナントごとに別々の SSL 証明書を使用することも可能です。
ライセンス
テナントブローカーにライセンスは要りません。ライセンスはテナントレベルで管理されています。
RAS バージョンの互換性
Parallels RAS のマルチテナントアーキテクチャは、Parallels RAS 17.1 以降で使用できます。それよりも古いバージョンの Parallels RAS を使用する場合は、以下の制限があります。
RAS 17.1 より古いバージョンの Parallels Client は、共有ゲートウェイとの互換性がないので、そのクライアントからテナントブローカー経由でテナントファームに接続することはできません。
RAS 17.1 より古いバージョンの Parallels RAS インストール環境は、テナントブローカーとの互換性がないので、テナントとして接続できません。