Zelfstudie 2-3: Azure Virtual Desktop workload implementeren in Azure Enclave

In deze zelfstudie wordt u begeleid bij het implementeren van Azure Virtual Desktop in Azure Enclave. U maakt Azure Virtual Desktop infrastructuur, waaronder hostgroepen, sessiehosts, toepassingsgroepen en FSLogix-opslag, die allemaal binnen uw enclavegrens zijn beveiligd.

In deze handleiding leer je hoe je:

• Azure Virtual Desktop community-eindpunt implementeren voor externe connectiviteit
• Infrastructuur voor Azure Virtual Desktop enclave implementeren
• Azure Virtual Desktop workload implementeren met sessiehosts en besturingsvlak
• Identiteit en versleuteling configureren
• Toegang tot Azure Virtual Desktop via versleutelde verbindingen
• De implementatie valideren

Prerequisites

• Voltooiing van zelfstudie 2-2: Azure Enclave-omgeving maken
• Azure Virtual Desktop enclave met subnetten voor beheer- en sessiehosts
• Algemene afhankelijkheden (Key Vault, beheerde identiteit, schijfversleutelingsset) uit zelfstudie 2-2
• Privé-DNS zones voor Azure Virtual Desktop geïmplementeerd
• de rol Inzender voor virtuele machines op de resourcegroep voor Azure Virtual Desktop-workloads
• Active Directory of Microsoft Entra ID geconfigureerd voor gebruikersverificatie

Voordat u begint

Vereisten voor identiteitsoplossingen

Azure Virtual Desktop vereist een identiteitsoplossing voor gebruikersverificatie. U hebt twee opties:

Deze tutorial ondersteunt beide opties. Kies de juiste parameters tijdens de implementatie.

Naamconventies voor bronnen

In deze zelfstudie worden voorbeeldnamen gebruikt. Gebruik de naamconventie van uw organisatie:

• Enclave: avd-enclave
• Werklast: avd-workload
• Voorvoegsel van resourcegroep: rg-avd-
• Hostgroep: hp-prod-01

Azure Virtual Desktop community-eindpunt implementeren

Met het Azure Virtual Desktop community-eindpunt kunnen sessiehosts communiceren met Azure Virtual Desktop besturingsvlakservices.

Sjabloon voor servicecatalogus gebruiken

1. Navigeer in de Azure-portal naar uw Azure Virtual Desktop workload in de Azure Virtual Desktop enclave.
2. Selecteer + Een Azure-service toevoegen.
3. Zoek en selecteer Azure Virtual Desktop Community-eindpunt.
4. De implementatie configureren:
   • Resourcegroep: Selecteer de resourcegroep voor uw workload (bijvoorbeeld rg-avd-workload)
   • Naam van de gemeenschapsbron: Selecteer je gemeenschap (bijvoorbeeld, cmt-fabrikam).
   • Naam van community-eindpunt: ce-avd-services
   • Neem Azure Virtual Desktop URL's op: controleer alle vereiste URL's:
     • *.wvd.microsoft.com
     • login.microsoftonline.com
     • management.azure.com
     • *.prod.warm.ingest.monitor.core.windows.net
5. Selecteer Controleren + toevoegen en vervolgens Aanmaken.
6. Wacht tot de implementatie is voltooid (~5-10 minuten).

Infrastructuur voor Azure Virtual Desktop enclave implementeren

De Azure Virtual Desktop enclavesjabloon bereidt uw enclave voor met vereiste subnetten en netwerkbeveiligingsgroepen.

Sjabloon voor servicecatalogus gebruiken

1. Selecteer + Een Azure-service toevoegen in uw Azure Virtual Desktop-workload.

2. Zoek en selecteer Azure Virtual Desktop Enclave.

3. De implementatie configureren:

   Basisinstellingen:

   • Resourcegroep: rg-avd-infrastructure
   • Naam van enclaveresource: selecteer avd-enclave
   • Locatie: Hetzelfde als enclaveregio

   Netwerkconfiguratie:

   • Virtual Network naam: laat de standaardwaarde staan (gebruikt enclave-virtual network)
   • Naam van beheersubnet: AzureVirtualDesktopManagementSubnet
   • Naam van subnet voor sessiehosts: AzureVirtualDesktopSessionHostsSubnet
   • NSG's maken: Ja (indien nog niet gemaakt)

   Privé-DNS:

   • Privé-DNS Zones maken: Nee (al gemaakt in zelfstudie 2-2)
   • Koppeling naar VNet: Ja

4. Selecteer Controleren + toevoegen en vervolgens Aanmaken.

5. Wacht tot de implementatie is voltooid (~10-15 minuten).

Azure Virtual Desktop workload implementeren

Implementeer nu de Azure Virtual Desktop workload met hostgroep, sessiehosts en ondersteunende infrastructuur.

Selecteer het workloadsjabloon voor Azure Virtual Desktop

1. Selecteer + Een Azure-service toevoegen in uw Azure Virtual Desktop-workload.
2. Zoek en selecteer Azure Virtual Desktop workload.
3. Configureer de implementatie met behulp van de volgende parameters:

1. Selecteer Review + Create.
2. Controleer alle instellingen zorgvuldig.
3. Selecteer Create.

Enclave-eindpunten configureren voor beheer

Maak eindpunten voor enclaves zodat beheerverkeer vanaf beheerbronnen wordt toegestaan.

1. Navigeer naar uw Azure Virtual Desktop enclave.

2. Selecteer Enclave endpoints vervolgens + Create.

3. Configureer het eindpunt:

   • Naam: ee-avd-management
   • Beschrijving: Allow management access to Azure Virtual Desktop resources

4. Regels toevoegen:

   Regel 1: RDP naar sessiehosts

   • Naam: rdp-to-hosts
   • Protocol: TCP
   • Poort: 3389
   • Bron: CIDR van het beheersubnet of het bastionsubnet

   Regel 2: PowerShell-remoting

   • Naam: winrm
   • Protocol: TCP
   • Poort: 5985,5986
   • Bron: CIDR van het beheerderssubnet

5. Selecteer Review + create en vervolgens Create.

Enclaveverbinding configureren voor FSLogix

Als uw FSLogix-opslag zich in een andere enclave bevindt, maakt u een enclaveverbinding.

1. Navigeer naar uw Azure Virtual Desktop enclave.
2. Selecteer Enclave connections vervolgens + Create.
3. De verbinding configureren:
   • Naam: conn-avd-to-storage
   • Bronenclave: avd-enclave
   • Eindpunt van doel-enclave: eindpunt selecteren in gedeelde services-enclave
4. Selecteer Review + create en vervolgens Create.

Gebruikers toewijzen aan toepassingsgroep

Gebruikers moeten worden toegewezen aan de toepassingsgroep om toegang te krijgen tot Azure Virtual Desktop.

Azure-portal gebruiken

1. Navigeer naar uw toepassingsgroep (bijvoorbeeld ag-desktop-prod).
2. Selecteer Assignments vervolgens + Add.
3. Gebruikers of groepen zoeken en selecteren.
4. Selecteer Select.

Azure PowerShell gebruiken

# Variables
$resourceGroup = "rg-avd-workload"
$appGroupName = "ag-desktop-prod"
$userPrincipalName = "user@contoso.com"

# Get the application group
$appGroup = Get-AzWvdApplicationGroup -ResourceGroupName $resourceGroup -Name $appGroupName

# Get the user object ID
$user = Get-AzADUser -UserPrincipalName $userPrincipalName

# Assign user to application group
New-AzRoleAssignment -ObjectId $user.Id `
    -RoleDefinitionName "Desktop Virtualization User" `
    -ResourceName $appGroupName `
    -ResourceGroupName $resourceGroup `
    -ResourceType 'Microsoft.DesktopVirtualization/applicationGroups'

Toegang tot Azure Virtual Desktop vanaf client

Gebruikers hebben toegang tot Azure Virtual Desktop via verschillende clients.

Webclient

1. Ga naar https://client.wvd.microsoft.com/arm/webclient
2. Aanmelden met Microsoft Entra referenties
3. Het gepubliceerde bureaublad of de gepubliceerde toepassing selecteren
4. Sessie maakt verbinding via enclaveconnectiviteit

Windows-App

1. Download de Windows-app via de Microsoft Store of download deze rechtstreeks
2. Windows-app installeren en starten
3. Een Add account werkruimte selecteren of + toevoegen
4. Meld u aan met uw Microsoft Entra-referenties
5. Uw Azure Virtual Desktop-resources worden automatisch weergegeven
6. Een bureaublad of toepassing selecteren om verbinding te maken

De implementatie valideren

Voer deze validatiestappen uit om de juiste implementatie te garanderen:

Status van sessiehost controleren

1. Navigeer naar uw hostgroep (bijvoorbeeld hp-prod-01)
2. Selecteren Session hosts
3. Controleer of alle hosts de status weergeven: Available
4. Controleren of de agentversie actueel is
5. De status van lid van een domein verifiëren

Testgebruikersessie

1. Aanmelden als testgebruiker
2. Een bureaublad of toepassing starten
3. Connectiviteit en prestaties controleren
4. Controleren of FSLogix profiel correct wordt geladen
5. Toepassingsfunctionaliteit testen

Versleuteling verifiëren

1. Naar een sessiehost-VM navigeren
2. Selecteren Disks
3. Selecteer de besturingssysteemschijf
4. Controleer Encryption type: Encryption at rest with a customer-managed key
5. Controleer of de versleutelingsset is toegepast

Diagnostische logboeken controleren

1. Ga naar de hostgroep
2. Selecteren Diagnostic settings
3. Controleer of logboeken naar Log Analytics stromen
4. Logboeken voor verbindingsgebeurtenissen opvragen:

WVDConnections
| where TimeGenerated > ago(1h)
| where State == "Connected"
| project TimeGenerated, UserName, ClientOS, ClientType

Valideer de netwerkverbinding

1. Verbinding maken met een sessiehost via bastion of beheer-VM
2. Test de connectiviteit met de vereiste eindpunten:

# Test Azure Virtual Desktop control plane
Test-NetConnection -ComputerName rdweb.wvd.microsoft.com -Port 443

# Test Azure Storage (FSLogix)
Test-NetConnection -ComputerName $storageAccountName.file.core.windows.net -Port 445

# Test Microsoft Entra ID
Test-NetConnection -ComputerName login.microsoftonline.com -Port 443

Azure Virtual Desktop Insights controleren

Schakel Azure Virtual Desktop Insights in en configureer deze voor uitgebreide bewaking.

1. Ga naar uw hostgroep
2. Selecteren Insights
3. Selecteren Open Insights workbook
4. Metrische gegevens controleren:
   • Succespercentage van verbinding
   • Actieve sessies
   • Prestaties van sessiehost
   • Vertragingen in gebruikersinvoer
   • Resourcegebruik

Veelvoorkomende problemen oplossen

Sessiehosts die niet deelnemen aan een domein

Symptoom: Sessiehosts geven 'Fout bij domeindeelname' weer

Oplossingen:

• Controleer of de aanmeldingsgegevens voor het koppelen aan een domein juist zijn
• Enclaveconnectiviteit met domeincontrollers controleren
• Zorg ervoor dat DNS-resolutie werkt voor het domein-FQDN
• Controleer of het OU-pad correct is (indien opgegeven)

Gebruikers kunnen geen verbinding maken

Symptoom: Verbinding mislukt tijdens verificatie

Oplossingen:

• Controleren of gebruikers zijn toegewezen aan toepassingsgroep
• Controleer of RDP-eigenschappen verbindingen toestaan
• Controleer of community-eindpunten zijn aangemaakt
• Regels voor netwerkbeveiligingsgroepen controleren

FSLogix-profielen worden niet geladen

Symptoom: Gebruikers krijgen een tijdelijk profiel

Oplossingen:

• Controleren of het privé-eindpunt van het opslagaccount is gemaakt
• SMB-connectiviteit controleren op poort 445
• Controleren of gebruikers RBAC-machtigingen hebben voor bestandsshares
• Koppeling naar virtueel netwerk controleren voor privé-DNS-zone

Slechte prestaties

Symptoom: Sessies met trage respons

Oplossingen:

• Controleer of de VM-grootte van de sessiehost voldoende is
• Controleren of Premium SSD-schijven worden gebruikt
• Taakverdelingsinstellingen voor hostpools controleren
• Maximum aantal sessies per hostconfiguratie controleren
• Netwerklatentie bewaken in Azure Virtual Desktop Insights

De hulpbronnen opschonen

Als u doorlopende kosten wilt voorkomen, verwijdert u resources wanneer u deze niet meer nodig hebt:

Verwijderen in volgorde

1. Gebruikerstoewijzingen verwijderen uit toepassingsgroepen
2. Toepassingsgroepen verwijderen
3. Werkruimte verwijderen
4. Hostgroep verwijderen (sessiehosts stoppen/verwijderen)
5. Opslagaccount verwijderen
6. Schijfversleutelingsset verwijderen
7. Key Vault sleutel verwijderen
8. Beheerde identiteit verwijderen
9. Resourcegroepen voor workloads verwijderen

Azure CLI gebruiken

# Delete resource group (deletes all contained resources)
az group delete --name rg-avd-workload --yes --no-wait
az group delete --name rg-avd-infrastructure --yes --no-wait

Volgende stappen 

Nu Azure Virtual Desktop geïmplementeerd, kunt u Azure Kubernetes Service workloads implementeren.

Zelfstudie 2-4: Azure Kubernetes Service-workload implementeren

Verwante onderwerpen

• Azure Virtual Desktop documentatie
• FsLogix-documentatie
• Werkmap voor Azure Virtual Desktop Insights
• Sessiehosts beheren met Azure-portal
• MSIX app attach configureren
• Gebruikersprofielcontainers configureren