Distribuisci una macchina virtuale dal catalogo dei servizi in un workload

Il modello macchina virtuale crea una macchina virtuale che consente di gestire più scenari di carico di lavoro. Il modello Macchina virtuale consente anche di pubblicare un'applicazione come Desktop virtuale Azure RemoteApp in modo da poter ospitare un'app gestita e trasmetterla a singoli utenti.

In questo articolo, tu:

• Distribuire un modello di catalogo di servizi per una macchina virtuale in un carico di lavoro esistente dal portale di Azure.

Opzioni di distribuzione

Il modello di macchina virtuale può essere distribuito in più configurazioni:

1. Macchina virtuale (~10 min)
2. Macchina virtuale aggiunta al dominio (~12 min)
3. Macchina virtuale aggiunta a un dominio e pubblicata come RemoteApp (~20 min)

Prima di iniziare

• Questa guida introduttiva rapida presuppone una conoscenza di base delle reti e dei concetti di Azure Enclave. Per altre informazioni, vedere Concetti e procedure consigliate di Azure Enclave.

• È necessario un account Azure con una sottoscrizione attiva. Se non ne hai uno, crea gratuitamente un account.

• Sono necessarie una community, un enclave, un carico di lavoro e almeno un gruppo di risorse del carico di lavoro e autorizzazioni per creare risorse all'interno del gruppo di risorse del carico di lavoro.

• Abilitare la Advancedmodalità di manutenzione per l'enclave in modo da poter aggiungere le risorse collegamento privato al gruppo di risorse gestite dall'enclave.

Prerequisiti

Esistono requisiti di controllo per le enclave per garantire che le risorse delle enclave utilizzino la crittografia con chiavi gestite dal cliente (CMK). È necessaria una chiave in un key vault e un'identità gestita per accedere alla chiave. Creare la CMK (Key Vault facoltativo) e l'identità gestita nel modello del catalogo di servizi Dipendenze comuni

1. Subnet per endpoint privati: è possibile creare subnet durante la creazione dell'enclave oppure creare nuove subnet dopo la creazione dell'enclave. La subnet dell'endpoint privato non deve avere alcuna delega di subnet affinché gli endpoint privati funzionino correttamente.
2. Creare rapidamente queste zone DNS privato in base a quanto creato di seguito:
   • Key Vaultobbligatorio quando si crea un Key Vault da questo modello o il modello di Key Vault più personalizzabile.
   • Storage File, Storage Queue, Storage Blobe Storage Table sono necessari quando si crea un account di archiviazione da questo modello o il modello di account di archiviazione più personalizzabile.
3. Per questo modello sono necessari un Key Vault, una chiave gestita dal cliente e un'identità gestita. Creare un Key Vault, un CMK e un'identità gestita nell'avvio rapido del catalogo dei servizi Dipendenze comuni oppure crearne di totalmente nuovi.
   • Queste risorse devono essere create all'interno di un gruppo di risorse del carico di lavoro.
   • Dopo aver creato l'identità gestita dall'utente, assicuratevi che abbia accesso alla chiave CMK
     • Assegnare il ruolo Key Vault Crypto Service Encryption User all'identità gestita con ambito nell'insieme di credenziali delle chiavi seguendo queste istruzioni. Questo ruolo consente di assegnare quindi l'identità gestita a un'altra risorsa, ad esempio una macchina virtuale. A quel punto, quella macchina virtuale può crittografare il disco del sistema operativo con la chiave gestita dal cliente (CMK) nell'insieme di credenziali delle chiavi, senza disporre delle autorizzazioni per eseguire altre operazioni sull'insieme di credenziali delle chiavi. L'assegnazione di un'identità gestita in questo modo è una procedura consigliata con privilegi minimi.
4. (facoltativo) Un dominio esistente a cui aggiungersi se Admin VM è aggiunto a un dominio.

Implementare il modello

1. Passare al carico di lavoro per la distribuzione prevista.
2. Seleziona il pulsante +Add an Azure Service.
3. Selezionare il modello di Virtual Machine servizio dall'elenco a discesa del catalogo dei servizi
4. Confermare la versione necessaria (predefinita: latest) e selezionare Next.

1. Immettere tutti i parametri obbligatori in ognuna delle schede.
2. Per OS Disk Encryption Name e OS Disk Encryption Resource Group Nameimmettere i nomi usati nella sezione prerequisiti.
3. Regolare i parametri prepopolati in base alle esigenze.
4. (Facoltativo) Pubblica la tua RemoteApp ad altri utenti.
5. (Facoltativo) Aggiungere un dominio alla macchina virtuale.
6. (Facoltativo) Installare l'applicazione in RemoteApp.
7. Selezionare Review + Create, se tutte le convalide sono passate, selezionare Create.

Aggiungere un dominio (facoltativo)

1. Se si sceglie di aggiungere un dominio alla macchina virtuale, è necessario selezionare il metodo desiderato (Active Directory o Microsoft Entra ID) nella scheda Basic e immettere le informazioni di aggiunta al dominio.

2. Per le opzioni di aggiunta a Active Directory un dominio, vedere gli esempi seguenti

   Note

   Se il controller di dominio si trova all'interno di un enclave, è necessario un endpoint dell'enclave per l'enclave con il controller di dominio per consentire l'aggiunta al dominio nella subnet del controller di dominio, TCP, UDPi protocolli e queste porte 53,88,135,138,139,389,443,445,464,636,686,3268. È necessario un server d'inoltro DNS nell'enclave che inoltra il traffico DNS al controller di dominio.

   • Il nome di dominio deve essere nel formato contoso.com
   • Il percorso dell'unità organizzativa deve essere nel formato OU=Organizations,DC=contoso,DC=com e può essere lasciato vuoto se il percorso predefinito Computers dell'unità organizzativa è corretto.
   • Domain admin username e Domain admin password deve corrispondere alle credenziali di aggiunta al dominio per il controller di dominio

3. Per l'opzione Microsoft Entra ID Aggiunta al dominio,

   • Prima di tutto è necessario distribuire un dominio gestito Microsoft Entra Domain Services
   • Successivamente è necessario usare il dominio creato per creare un'unità organizzativa o usare l'unità organizzativa predefinita di Computers
   • Usare l'unità organizzativa e il dominio creati in precedenza per compilare questi rispettivi parametri per la macchina virtuale

Pubblicare RemoteApp (facoltativo)

Se si pubblica l'applicazione, tutti i campi seguenti in questa scheda devono essere compilati.

• Usare la convenzione di denominazione predefinita per i parametri di pubblicazione: mantenere l'impostazione predefinita per True ignorerà i valori dei parametri per host pool, workspacee Application Group e creerà invece risorse in questo formato <vmName>-<resourceName> , ad esempio "vm01-hostpool". È comunque possibile aggiungere nomi descrittivi per rendere più chiari i nomi visualizzati.
• Percorso del file dell'applicazione: specificare il percorso del file nell'app vm per l'applicazione ( ad esempio, C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe senza virgolette)
• Percorso del file dell'icona dell'applicazione: specificare il percorso del file nella macchina virtuale per l'icona ( ad esempio, C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe senza virgolette)
• URL dei moduli Desktop virtuale Azure: specificare l'URL per i moduli Desktop virtuale Azure per il cloud. L'URL commerciale Azure viene fornito per impostazione predefinita. Ad esempio, se si esegue la distribuzione nel Azure per enti pubblici Cloud, l'URL è https://wvdportalstorageblob.blob.core.usgovcloudapi.net/galleryartifacts/Configuration_01-20-2022.zip.

Il completamento della creazione di tutte le risorse può richiedere più di 20 minuti. Attendere che la distribuzione venga completata correttamente prima di eseguire eventuali azioni all'interno delle risorse distribuite.

Convalidare la distribuzione

1. Passare al gruppo di risorse specificato, al gruppo di risorse del carico di lavoro per impostazione predefinita e verificare che siano state create le risorse desiderate. Tra cui: macchina virtuale e disco del sistema operativo.
2. Se la RemoteApp è stata pubblicata: pool di host, gruppo di applicazioni e area di lavoro.

Connettersi alla macchina virtuale dell'applicazione

Tramite l'Admin VM: l'Admin VM viene utilizzata per consentire agli amministratori di accedere alle risorse all'interno del perimetro dell'enclave dall'esterno del perimetro. La VM di amministrazione può anche essere chiamata "jumpbox".

1. Accedere a una sessione desktop nella pagina Macchina virtuale di amministrazione per l'enclave.
2. Dal menu Start digitare RDPe aprire l'app connessione Desktop remoto.
3. Immettere l'indirizzo IP della macchina virtuale come indirizzo IP di destinazione per la connessione Desktop remoto.
4. Immetti le credenziali della macchina virtuale e seleziona Accept/Yes per gli avvisi relativi a una nuova connessione.
5. Dal desktop macchina virtuale convalidare tutte le impostazioni della macchina virtuale impostate durante la distribuzione o completare qualsiasi configurazione personalizzata.
6. Installare quindi l'applicazione
7. Assegnare un'assegnazione di gruppo di sicurezza per concedere agli utenti l'accesso a RemoteApp.Assign a security group assignment to give users access to your RemoteApp(s).

Installare RemoteApp (facoltativo)

Installare un'applicazione nella macchina virtuale usando uno di questi metodi o un metodo con cui si ha familiarità.

• Eseguire l'installazione tramite macchina virtuale (installare o configurare un'applicazione per la pubblicazione di RemoteApp)

• Prerequisites:

  1. Un contenitore (artefatti) all'interno dell'account di archiviazione.

     • Contenitore privato o pubblico
       • Contenitore privato : archivia in modo sicuro i programmi di installazione, lo script principale e tutti gli script di supporto.
         • Scegliere questa opzione se gli script o i programmi di installazione non possono essere condivisi con altri utenti che hanno accesso al contenitore dell'account di archiviazione.
       • Contenitore pubblico : archivia gli artefatti accessibili pubblicamente nella cartella remoteappvm nel contenitore del catalogo dei servizi
     • Cartella applicazioni:
       • programma di installazione dell'app (ad esempio, VSCodeSetup.exe)
       • script principale per installare l'applicazione (e qualsiasi altro script di supporto)

  2. Copia di AzCopy.exe

  3. Un endpoint della community per l'account di archiviazione e AzToolBox.

  4. Connessioni dell'enclave all'endpoint della community creato in precedenza.

     • Creare una connessione enclave ai gruppi IP che terminano con (enclave-name}-ipg-eas e un'altra a {enclave-name}-ipg-mgmt-vms.

     Note

     Se l'account di archiviazione si trova in un'enclave diversa, creare un endpoint enclave nell'enclave con l'account di archiviazione e la connessione enclave a tale account di archiviazione.

• Installare l'applicazione:

  1. Nella pagina di panoramica del carico di lavoro selezionare Add an Azure Service.

  2. Per Serviceselezionare Virtual Machine.

  3. Per Version, se non selezionato per impostazione predefinita, selezionare la versione più recente, ad esempio 1.0.1(latest)).

  4. Selezionare Next

  5. Scheda Informazioni di base:

     • Per Virtual Machine name, immettere il nome della macchina virtuale.
     • Per Admin username e Admin passwordimmettere il nome utente e la password usati per accedere alla macchina virtuale.

  6. Scheda dell'app:

     • Per App Folder URI, aggiungi l'URI alla cartella dell'app dal container.
     • Per Main Script aggiungere il nome dello script principale (ad esempio, main.ps1) nella cartella dell'app che installa l'applicazione.
     • Contenitore privato:
       • Per Storage Container Resource ID, aggiungi l'ID della risorsa del contenitore.
       • Per App folder in private container selezionare true. Se si tratta di un contenitore privato, selezionando true abilita l'accesso del ruolo lettore all'account di archiviazione tramite la macchina virtuale.

     Note

     Se si usa Microsoft Azure per il governo degli Stati Uniti, seguire questi passaggi: Per AzCopy File URI, aggiungere l'URI ad azcopy.exe dal contenitore.

  7. Selezionare Review + Create, se tutte le convalide sono passate, selezionare Create. In caso contrario, iniziare a usare la macchina virtuale.

Eliminare la distribuzione

Se non prevedi di mantenere queste risorse, elimina quelle non necessarie per evitare addebiti di Azure. Se non esistono altre distribuzioni nel gruppo di risorse, è possibile eliminare l'intero gruppo di risorse.

Recommendations

• Dimensionamento dell'host di sessione o della macchina virtuale
• Aggiungere tag alle distribuzioni del catalogo dei servizi per tenere traccia di informazioni importanti per tale risorsa, ad esempio:
  • Proprietario: <main POC>
  • Deployer: <yourName>
  • Scopo: <user desktop>
  • Nome del catalogo servizi: <Virtual Machine>
  • Versione del catalogo dei servizi: <version you deployed>
• Prendere in considerazione l'aggiunta di un Criteri di Azure per applicare ed ereditare i tag
• Raccogliere log personalizzati dalle applicazioni