Esercitazione 2-3: Distribuire un carico di lavoro Desktop virtuale Azure nell'enclave Azure

Questa esercitazione illustra la distribuzione di Desktop virtuale Azure in Azure Enclave. Crei l'infrastruttura di Desktop virtuale Azure, inclusi pool di host, host di sessione, gruppi di applicazioni e archiviazione FSLogix, il tutto protetto all'interno del perimetro della tua enclave.

In questa esercitazione apprenderai a:

• Distribuire l'endpoint community di Desktop virtuale Azure per la connettività dall'esterno
• Distribuire l'infrastruttura dell'enclave di Desktop virtuale Azure
• Distribuire il carico di lavoro di Desktop virtuale Azure con host di sessione e piano di controllo
• Configurare identità e crittografia
• Accesso Desktop virtuale Azure tramite connessioni crittografate
• Convalidare la distribuzione

Prerequisiti

• Completamento dell'esercitazione 2-2: Creare un ambiente enclave Azure
• Enclave di Desktop virtuale Azure con subnet per host di gestione e host di sessione
• Dipendenze comuni (Key Vault, identità gestita, set di crittografia del disco) dal tutorial 2-2
• Zone DNS private di Desktop virtuale Azure distribuite
• Ruolo Collaboratore macchina virtuale nel gruppo di risorse del carico di lavoro di Desktop virtuale di Azure
• Active Directory o Microsoft Entra ID configurati per l'autenticazione utente

Prima di iniziare

Requisiti della soluzione di gestione delle identità

Desktop virtuale Azure richiede una soluzione di identità per l'autenticazione utente. È possibile procedere in due modi:

Questa esercitazione supporta entrambe le opzioni. Scegliere i parametri appropriati durante la distribuzione.

Convenzioni di denominazione delle risorse

Questa esercitazione usa nomi di esempio. Usa la convenzione di denominazione della tua organizzazione:

• Enclave: avd-enclave
• Carico: avd-workload
• Prefisso del gruppo di risorse: rg-avd-
• Pool di host: hp-prod-01

Distribuire l'endpoint della community di Desktop virtuale Azure

L'endpoint della community Desktop virtuale Azure consente agli host sessione di comunicare con i servizi del piano di controllo Desktop virtuale Azure.

Usare il modello di catalogo dei servizi

1. Nel portale di Azure passare al carico di lavoro Desktop virtuale di Azure nell'enclave Desktop virtuale di Azure.
2. Selezionare + Aggiungi un servizio Azure.
3. Cerca e seleziona endpoint della community di Desktop virtuale Azure.
4. Configurare la distribuzione:
   • Gruppo di risorse: selezionare il gruppo di risorse del carico di lavoro (ad esempio, rg-avd-workload)
   • Nome risorsa della comunità: Seleziona la tua comunità (ad esempio, cmt-fabrikam).
   • Nome dell'endpoint della community: ce-avd-services
   • Includi URL Desktop virtuale Azure: controlla tutti gli URL necessari:
     • *.wvd.microsoft.com
     • login.microsoftonline.com
     • management.azure.com
     • *.prod.warm.ingest.monitor.core.windows.net
5. Selezionare Rivedi e aggiungi e quindi Crea.
6. Attendere il completamento della distribuzione (~5-10 minuti).

Distribuire l'infrastruttura dell'enclave di Desktop virtuale Azure

Il modello di enclave Desktop virtuale Azure prepara l'enclave con subnet e gruppi di sicurezza di rete necessari.

Usare il modello di catalogo dei servizi

1. Nel carico di lavoro Desktop virtuale Azure selezionare + Aggiungi un servizio Azure.

2. Cercare e selezionare Desktop virtuale Azure Enclave.

3. Configurare la distribuzione:

   Impostazioni di base:

   • Gruppo di risorse: rg-avd-infrastructure
   • Nome della risorsa enclave: Selezionare avd-enclave
   • Località: uguale all'area dell'enclave

   Configurazione rete:

   • Nome della rete virtuale: Lasciare l'impostazione predefinita (usa la rete virtuale dell'enclave)
   • Nome subnet di gestione: AzureVirtualDesktopManagementSubnet
   • Nome subnet host di sessione: AzureVirtualDesktopSessionHostsSubnet
   • Creare NSG: Sì (se non sono già stati creati)

   DNS privato:

   • Creare zone DNS privato: No (già creato nell'esercitazione 2-2)
   • Collegamento alla rete virtuale: Sì

4. Selezionare Rivedi e aggiungi e quindi Crea.

5. Attendere il completamento della distribuzione (circa 10-15 minuti).

Distribuire il carico di lavoro di Desktop virtuale Azure

Distribuisci ora il carico di lavoro di Desktop virtuale Azure con un pool di host, host di sessione e l'infrastruttura di supporto.

Selezionare il modello di carico di lavoro Desktop virtuale Azure

1. Nel carico di lavoro Desktop virtuale Azure selezionare + Aggiungi un servizio Azure.
2. Cerca e seleziona carico di lavoro di Desktop virtuale Azure.
3. Configurare la distribuzione usando i parametri seguenti:

1. Seleziona Review + Create.
2. Esaminare attentamente tutte le impostazioni.
3. Seleziona Create.

Configurare gli endpoint dell'enclave per la gestione

Creare endpoint dell'enclave per consentire il traffico di gestione dalle risorse amministrative.

1. Passa al tuo enclave Desktop virtuale Azure.

2. Selezionare Enclave endpoints, quindi selezionare + Create.

3. Configurare l'endpoint:

   • Nome: ee-avd-management
   • Descrizione: Allow management access to Desktop virtuale Azure resources

4. Aggiungere regole:

   Regola 1: RDP verso gli host di sessione

   • Nome: rdp-to-hosts
   • Protocollo: TCP
   • Porta: 3389
   • Origine: CIDR della subnet di amministrazione o subnet bastion

   Regola 2: Comunicazione remota di PowerShell

   • Nome: winrm
   • Protocollo: TCP
   • Porta: 5985,5986
   • Sorgente: CIDR della subnet di amministrazione

5. Selezionare Review + create e quindi Create.

Configurare la connessione enclave per FSLogix

Se l'archiviazione di FSLogix si trova in un'enclave diversa, crea una connessione all'enclave.

1. Passa al tuo enclave Desktop virtuale Azure.
2. Selezionare Enclave connections, quindi selezionare + Create.
3. Configurare la connessione:
   • Nome: conn-avd-to-storage
   • Enclave di origine: avd-enclave
   • Endpoint dell'enclave di destinazione: selezionare l'endpoint nell'enclave dei servizi condivisi
4. Selezionare Review + create e quindi Create.

Assegnare utenti al gruppo di applicazioni

Gli utenti devono essere assegnati al gruppo di applicazioni per accedere alle Desktop virtuale Azure.

Uso del portale di Azure

1. Passare al gruppo di applicazioni , ad esempio ag-desktop-prod.
2. Selezionare Assignments, quindi selezionare + Add.
3. Cercare e selezionare utenti o gruppi.
4. Seleziona Select.

Uso di Azure PowerShell

# Variables
$resourceGroup = "rg-avd-workload"
$appGroupName = "ag-desktop-prod"
$userPrincipalName = "user@contoso.com"

# Get the application group
$appGroup = Get-AzWvdApplicationGroup -ResourceGroupName $resourceGroup -Name $appGroupName

# Get the user object ID
$user = Get-AzADUser -UserPrincipalName $userPrincipalName

# Assign user to application group
New-AzRoleAssignment -ObjectId $user.Id `
    -RoleDefinitionName "Desktop Virtualization User" `
    -ResourceName $appGroupName `
    -ResourceGroupName $resourceGroup `
    -ResourceType 'Microsoft.DesktopVirtualization/applicationGroups'

Accedere ad Desktop virtuale Azure dal client

Gli utenti possono accedere Desktop virtuale Azure tramite vari client.

Client Web

1. Navigare verso https://client.wvd.microsoft.com/arm/webclient
2. Accedere con le credenziali di Microsoft Entra
3. Selezionare il desktop o l'applicazione pubblicata
4. La sessione si connette tramite la connettività dell'enclave

Applicazione Windows

1. Scaricare il app di Windows dalla Microsoft Store o dal download diretto
2. Installare e avviare app di Windows
3. Selezionare Add account o + aggiungere un'area di lavoro
4. Accedere con le credenziali di Microsoft Entra
5. Le risorse Desktop virtuale Azure vengono visualizzate automaticamente
6. Selezionare un desktop o un'applicazione per connettersi

Convalidare la distribuzione

Eseguire questi passaggi di convalida per garantire una distribuzione corretta:

Controllare lo stato dell'host della sessione

1. Passa al tuo Host Pool (ad esempio, hp-prod-01)
2. Selezionare Session hosts
3. Verificare che tutti gli host visualizzino lo stato: Available
4. Controllare che la versione dell'agente sia corrente
5. Verifica lo stato aggiunto a un dominio

Testare la sessione utente

1. Accedere come utente di test
2. Avviare un desktop o un'applicazione
3. Verificare la connettività e le prestazioni
4. Verificare che il profilo FSLogix venga caricato correttamente
5. Testare la funzionalità dell'applicazione

Verificare la crittografia

1. Passare a una macchina virtuale host di sessione
2. Selezionare Disks
3. Selezionare il disco del sistema operativo
4. Verificare Encryption type: Encryption at rest with a customer-managed key
5. Verificare che il set di crittografia sia applicato

Controllare i log di diagnostica

1. Passa al Pool di host
2. Selezionare Diagnostic settings
3. Verificare che i log vengano trasmessi a Log Analytics
4. Eseguire query sui log per gli eventi di connessione:

WVDConnections
| where TimeGenerated > ago(1h)
| where State == "Connected"
| project TimeGenerated, UserName, ClientOS, ClientType

Convalidare la connettività di rete

1. Connettersi a un host di sessione tramite bastion o vm di amministrazione
2. Verificare la connettività con gli endpoint richiesti:

# Test Azure Virtual Desktop control plane
Test-NetConnection -ComputerName rdweb.wvd.microsoft.com -Port 443

# Test Azure Storage (FSLogix)
Test-NetConnection -ComputerName $storageAccountName.file.core.windows.net -Port 445

# Test Microsoft Entra ID
Test-NetConnection -ComputerName login.microsoftonline.com -Port 443

Monitoraggio di Desktop virtuale Azure Insights

Abilitare e configurare Desktop virtuale Azure Insights per il monitoraggio completo.

1. Passare al pool di host
2. Selezionare Insights
3. Selezionare Open Insights workbook
4. Rivedi le metriche:
   • Frequenza di riuscita della connessione
   • Sessioni attive
   • Prestazioni dell'host di sessione
   • Ritardi di input dell'utente
   • Utilizzo della risorsa

Risoluzione dei problemi comuni

Host di sessione che non partecipano al dominio

Sintomo: gli host di sessione mostrano "Errore di aggiunta a un dominio"

Soluzioni:

• Verificare che le credenziali di aggiunta al dominio siano corrette
• Controllare la connettività dell'enclave ai controller di dominio
• Assicurarsi che la risoluzione DNS funzioni per l'FQDN del dominio
• Verificare che il percorso dell'unità organizzativa sia corretto (se specificato)

Gli utenti non possono connettersi

Sintomo: la connessione non riesce durante l'autenticazione

Soluzioni:

• Verificare che gli utenti siano assegnati al gruppo di applicazioni
• Controllare le proprietà RDP per consentire le connessioni
• Verificare che gli endpoint della community siano stati creati
• Controllare le regole del gruppo di sicurezza di rete

FSLogix profili non caricati

Sintomo: gli utenti ottengono un profilo temporaneo

Soluzioni:

• Verificare che l'endpoint privato dell'account di archiviazione sia stato creato
• Controllare la connettività SMB sulla porta 445
• Verificare che gli utenti dispongano delle autorizzazioni RBAC nella condivisione file
• Controllare il collegamento di rete virtuale per la zona DNS privata

Prestazioni non ottimali

Sintomo: sessioni di risposta lente

Soluzioni:

• Verificare che le dimensioni della macchina virtuale dell'host della sessione siano adeguate
• Verificare che vengano usati dischi SSD Premium
• Esaminare le impostazioni di bilanciamento del carico del pool di host
• Controllare il numero massimo di sessioni per ogni configurazione host
• Monitorare la latenza di rete in Desktop virtuale Azure Insights

Pulire le risorse

Per evitare addebiti in corso, eliminare le risorse quando non sono più necessarie:

Elimina in sequenza

1. Rimuovere le assegnazioni utente dai gruppi di applicazioni
2. Eliminare i gruppi di applicazioni
3. Elimina area di lavoro
4. Eliminare il pool di host (arresta/elimina gli host di sessione)
5. Eliminare l'account di archiviazione
6. Eliminare il set di crittografia del disco
7. Eliminare la chiave di Key Vault
8. Eliminare l'identità gestita
9. Eliminare i gruppi di risorse del carico di lavoro

Uso della CLI di Azure

# Delete resource group (deletes all contained resources)
az group delete --name rg-avd-workload --yes --no-wait
az group delete --name rg-avd-infrastructure --yes --no-wait

Passaggi successivi

Con Desktop virtuale Azure distribuita, è ora possibile distribuire carichi di lavoro servizio Azure Kubernetes.

Esercitazione 2-4: Distribuire servizio Azure Kubernetes carico di lavoro

Contenuti correlati

• Documentazione di Desktop virtuale Azure
• Documentazione di FSLogix
• Cartella di lavoro Insights di Desktop virtuale Azure
• Gestire gli host sessione con il portale di Azure
• Configurare la connessione all'app MSIX
• Configurare i contenitori dei profili utente