Azure Virtual Desktop för företaget

Azure Virtual Desktop är en skrivbords- och programvirtualiseringstjänst som körs i Azure. Den här artikeln är avsedd att hjälpa skrivbordsinfrastrukturarkitekter, molnarkitekter, skrivbordsadministratörer och systemadministratörer att utforska Azure Virtual Desktop och skapa lösningar för virtualiserad skrivbordsinfrastruktur (VDI) i företagsskala. Lösningar i företagsskala omfattar vanligtvis 1 000 eller fler virtuella skrivbord.

Architecture

En typisk arkitekturkonfiguration för Azure Virtual Desktop illustreras i följande diagram:

Ladda ned en Visio-fil med den här arkitekturen.

Dataflow

Diagrammets dataflödeselement beskrivs här:

• Programslutpunkterna finns i kundens lokala nätverk. Azure ExpressRoute utökar det lokala nätverket till Azure och Microsoft Entra Connect integrerar kundens Active Directory-domän Services (AD DS) med Microsoft Entra ID.

• Azure Virtual Desktop-kontrollplanet hanterar webbåtkomst, gateway, asynkron meddelandekö, diagnostik och utökningsbarhetskomponenter som REST-API:er.

• Kunden hanterar AD DS och Microsoft Entra-ID, Azure-prenumerationer, virtuella nätverk, Azure Files eller Azure NetApp Files samt Värdpooler och arbetsytor för Azure Virtual Desktop.

• För att öka kapaciteten använder kunden två Azure-prenumerationer i en hub-spoke-arkitektur och ansluter dem via peering för virtuella nätverk.

Mer information om metodtips för FSLogix-profilcontainer – Azure Files och Azure NetApp Files finns i FSLogix-konfigurationsexempel.

Components

Azure Virtual Desktop-tjänstarkitekturen liknar Windows Server Fjärrskrivbordstjänster (RDS). Även om Microsoft hanterar infrastruktur- och koordinatorkomponenterna hanterar företagskunder sina egna virtuella skrivbordsvärddatorer, data och klienter.

Komponenter som Microsoft hanterar

Microsoft hanterar följande Azure Virtual Desktop-tjänster som en del av Azure:

• Webbåtkomst: Genom att använda webbåtkomsttjänsten i Azure Virtual Desktop kan du komma åt virtuella skrivbord och fjärrappar via en HTML5-kompatibel webbläsare precis som med en lokal dator, var som helst och på vilken enhet som helst. Du kan skydda webbåtkomsten med hjälp av multifaktorautentisering i Microsoft Entra-ID.

• Gateway: Tjänsten Fjärranslutningsgateway ansluter fjärranvändare till Azure Virtual Desktop-appar och skrivbord från alla Internetanslutna enheter som kan köra en Azure Virtual Desktop-klient. Klienten ansluter till en gateway som sedan dirigerar en anslutning från en virtuell dator tillbaka till samma gateway.

• Anslutningsutjämning: Tjänsten Anslutningsutjämning hanterar användaranslutningar till virtuella skrivbord och fjärrappar. Anslutningsutjämning ger belastningsutjämning och återanslutning till befintliga sessioner.

• Diagnostik: Fjärrskrivbordsdiagnostik är en händelsebaserad aggregator som markerar varje användar- eller administratörsåtgärd i Azure Virtual Desktop-distributionen som ett lyckat eller fel. Administratörer kan köra frågor mot händelsesammansättningen för att identifiera komponenter som inte fungerar.

• Utökningsbarhetskomponenter: Azure Virtual Desktop innehåller flera utökningsbarhetskomponenter. Du kan hantera Azure Virtual Desktop med hjälp av Windows PowerShell eller med de tillhandahållna REST-API:erna, som också aktiverar stöd från verktyg från tredje part.

Komponenter som du hanterar

Du hanterar följande komponenter i Azure Virtual Desktop-lösningar:

• Azure Virtual Network: Med Azure Virtual Network kan Azure-resurser som virtuella datorer kommunicera privat med varandra och med Internet. Genom att ansluta Azure Virtual Desktop-värdpooler till en Active Directory-domän kan du definiera nätverkstopologi för åtkomst till virtuella skrivbord och virtuella appar från intranätet eller Internet, baserat på organisationens princip. Du kan ansluta en Azure Virtual Desktop-instans till ett lokalt nätverk med hjälp av ett virtuellt privat nätverk (VPN), eller så kan du använda Azure ExpressRoute för att utöka det lokala nätverket till Azure via en privat anslutning.

• Microsoft Entra-ID: Azure Virtual Desktop använder Microsoft Entra-ID för identitets- och åtkomsthantering. Microsoft Entra-integrering tillämpar Microsoft Entra-säkerhetsfunktioner, till exempel villkorsstyrd åtkomst, multifaktorautentisering och Intelligent Security Graph, och det hjälper till att upprätthålla appkompatibilitet på domänanslutna virtuella datorer.

• Active Directory Domain Services (valfritt): Virtuella Azure Virtual Desktop-datorer kan antingen vara domänanslutna till en AD DS-tjänst eller använda Distribuera Microsoft Entra-anslutna virtuella datorer i Azure Virtual Desktop

  • När du använder en AD DS-domän måste domänen vara synkroniserad med Microsoft Entra-ID för att associera användare mellan de två tjänsterna. Du kan använda Microsoft Entra Connect för att associera AD DS med Microsoft Entra-ID.
  • När du använder Microsoft Entra-anslutning granskar du de konfigurationer som stöds för att se till att ditt scenario stöds.

• Azure Virtual Desktop-sessionsvärdar: Sessionsvärdar är virtuella datorer som användarna ansluter till för sina skrivbord och program. Flera versioner av Windows stöds och du kan skapa avbildningar med dina program och anpassningar. Du kan välja VM-storlekar, inklusive GPU-aktiverade virtuella datorer. Varje sessionsvärd har en Azure Virtual Desktop-värdagent som registrerar den virtuella datorn som en del av Azure Virtual Desktop-arbetsytan eller klientorganisationen. Varje värdpool kan ha en eller flera appgrupper, som är samlingar med fjärrprogram eller skrivbordssessioner som du kan komma åt. Information om vilka versioner av Windows som stöds finns i Operativsystem och licenser.

• Azure Virtual Desktop-arbetsyta: Azure Virtual Desktop-arbetsytan eller klientorganisationen är en hanteringskonstruktion för hantering och publicering av värdpoolresurser.

Scenario details

Potentiella användningsfall

Den största efterfrågan på lösningar för virtuella företagsdatorer kommer från:

• Säkerhets- och regleringsprogram, till exempel finansiella tjänster, hälso- och sjukvård och myndigheter.

• Elastiska arbetskraftsbehov, till exempel distansarbete, sammanslagningar och förvärv, korttidsanställda, entreprenörer och partneråtkomst.

• Specifika anställda, till exempel BYOD (Bring Your Own Device) och mobila användare, callcenter och avdelningsarbetare.

• Specialiserade arbetsbelastningar, till exempel design och teknik, äldre appar och testning av programvaruutveckling.

Personliga och poolade skrivbord

Genom att använda personliga skrivbordslösningar, som ibland kallas beständiga skrivbord, kan användarna alltid ansluta till samma specifika sessionsvärd. Användare kan vanligtvis ändra sin skrivbordsmiljö så att de uppfyller personliga inställningar, och de kan spara filer i skrivbordsmiljön. Personliga skrivbordslösningar:

• Låt användarna anpassa sin skrivbordsmiljö, inklusive användarinstallerade program, och användarna kan spara filer i skrivbordsmiljön.
• Tillåt tilldelning av dedikerade resurser till specifika användare, vilket kan vara användbart för vissa tillverknings- eller utvecklingsanvändningsfall.

Poolbaserade skrivbordslösningar, även kallade icke-beständiga skrivbord, tilldelar användare till den sessionsvärd som för närvarande är tillgänglig, beroende på belastningsutjämningsalgoritmen. Eftersom användarna inte alltid återgår till samma sessionsvärd varje gång de ansluter har de begränsad möjlighet att anpassa skrivbordsmiljön och har vanligtvis inte administratörsåtkomst.

Windows servicing

Det finns flera alternativ för att uppdatera Azure Virtual Desktop-instanser. Om du distribuerar en uppdaterad avbildning varje månad garanteras efterlevnad och tillstånd.

• Microsoft Endpoint Configuration Manager (MECM) uppdaterar server- och skrivbordsoperativsystem.
• Windows-uppdateringar för företag uppdaterar skrivbordsoperativsystem som Windows 11 Enterprise flera sessioner.
• Azure Update Management uppdaterar serveroperativsystem.
• Azure Log Analytics kontrollerar efterlevnaden.
• Distribuera en ny (anpassad) avbildning till sessionsvärdar varje månad för de senaste windows- och programuppdateringarna. Du kan använda en avbildning från Azure Marketplace eller en anpassad Azure-hanterad avbildning.

Relationer mellan viktiga logiska komponenter

Relationerna mellan värdpooler, arbetsytor och andra viktiga logiska komponenter varierar. De sammanfattas i följande diagram:

Siffrorna i följande beskrivningar motsvarar dem i föregående diagram.

• (1) En programgrupp som innehåller ett publicerat skrivbord kan bara innehålla MSIX-paket som monterats på värdpoolen (paketen kommer att vara tillgängliga på Start-menyn på sessionsvärden), den kan inte innehålla några andra publicerade resurser och kallas för en skrivbordsprogramgrupp.
• (2) Programgrupper som tilldelats samma värdpool måste vara medlemmar i samma arbetsyta.
• (3) Ett användarkonto kan tilldelas till en programgrupp antingen direkt eller via en Microsoft Entra-grupp. Det går att tilldela inga användare till en programgrupp, men då kan den inte betjäna någon.
• (4) Det är möjligt att ha en tom arbetsyta, men det kan inte betjäna användare.
• (5) Det är möjligt att ha en tom värdpool, men det kan inte betjäna användare.
• (6) Det är möjligt för en värdpool att inte ha några programgrupper tilldelade till den, men den kan inte betjäna användare.
• (7) Microsoft Entra-ID krävs för Azure Virtual Desktop. Det beror på att Microsoft Entra-användarkonton och -grupper alltid måste användas för att tilldela användare till Azure Virtual Desktop-programgrupper. Microsoft Entra-ID används också för att autentisera användare till Azure Virtual Desktop-tjänsten. Azure Virtual Desktop-sessionsvärdar kan också vara medlemmar i en Microsoft Entra-domän, och i det här fallet kommer de Azure Virtual Desktop-publicerade programmen och skrivbordssessionerna också att startas och köras (inte bara tilldelas) med hjälp av Microsoft Entra-konton.
  • (7) Alternativt kan Azure Virtual Desktop-sessionsvärdar vara medlemmar i en AD DS-domän, och i det här fallet kommer de Azure Virtual Desktop-publicerade programmen och skrivbordssessionerna att startas och köras (men inte tilldelas) med hjälp av AD DS-konton. För att minska användar- och administrationskostnaderna kan AD DS synkroniseras med Microsoft Entra-ID via Microsoft Entra Connect.
  • (7) Slutligen kan Azure Virtual Desktop-sessionsvärdar i stället vara medlemmar i en Microsoft Entra Domain Services-domän, och i det här fallet kommer de Azure Virtual Desktop-publicerade programmen och skrivbordssessionerna att startas och köras (men inte tilldelas) med hjälp av Microsoft Entra Domain Services-konton. Microsoft Entra-ID synkroniseras automatiskt med Microsoft Entra Domain Services, på ett sätt, från Microsoft Entra-ID till Endast Microsoft Entra Domain Services.

Considerations

Dessa överväganden implementerar grundpelarna i Azure Well-Architected Framework, som är en uppsättning vägledande grundsatser som du kan använda för att förbättra kvaliteten på en arbetsbelastning. Mer information finns iWell-Architected Framework.

Använd utvärderingsverktyget för att utvärdera beredskapen för din Azure Virtual Desktop-arbetsbelastning. Det här verktyget kontrollerar din anpassning efter metodtips som beskrivs i dokumentationen för Azure Virtual Desktop-arbetsbelastningen.

Reliability

Tillförlitlighet hjälper till att säkerställa att ditt program kan uppfylla de åtaganden som du gör gentemot dina kunder. Mer information finns i Checklista för designgranskning för tillförlitlighet.

• Se till att kapaciteten är reserverad: För att säkerställa garanterad allokering av beräkningsresurser kan du begära en kapacitetsreservation på begäran utan tidsåtagande och kan kombineras med reserverade instanser.
• Lägg till återhämtning inom regionen: Använd tillgänglighetszoner för Azure-tjänster som stöder dem, till exempel:
  • Virtuella datorer (sessionsvärdar)
  • Azure Storage (FSLogix eller App Attach). Mer information finns i Azure Storage-redundans.
• Skapa en plan för affärskontinuitet: Om tillgänglighetszonerna inte uppfyller dina MÅL för rto eller återställningspunktmål kan du läsa vägledningen om affärskontinuitet och haveriberedskap för Flera regioner (BCDR) för Azure Virtual Desktop.

Security

Säkerhet ger garantier mot avsiktliga attacker och missbruk av dina värdefulla data och system. Mer information finns i Checklista för designgranskning för säkerhet.

Tänk på följande säkerhetsrelaterade faktorer när du distribuerar Azure Virtual Desktop.

• Använd Microsoft Entra-ID: Användare kan logga in på Azure Virtual Desktop var de än använder olika enheter och klienter. För att minimera risken för obehörig åtkomst och ge din organisation möjlighet att hantera inloggningsrisker kan du använda Microsoft Entra multifaktorautentisering med villkorlig åtkomst.
• Använd kryptering: Som standard krypteras de flesta Azure-hanterade diskar i vila när de sparas i molnet. Om sessionsvärdarna kräver mer omfattande kryptering, till exempel kryptering från slutpunkt till slutpunkt, kan du läsa vägledningen om krypteringsalternativ för hanterade diskar för att skydda lagrade data från obehörig åtkomst.
• Använd privata nätverk: Om du behöver privat anslutning till Azure Virtual Desktop-resurser använder du Azure Private Link med Azure Virtual Desktop för att begränsa trafiken mellan ditt virtuella nätverk och tjänsten i Microsoft Network.

Cost Optimization

Kostnadsoptimering fokuserar på sätt att minska onödiga utgifter och förbättra drifteffektiviteten. Mer information finns i Checklista för designgranskning för kostnadsoptimering.

Tänk på följande kostnadsrelaterade faktorer när du distribuerar Azure Virtual Desktop.

• Planera stöd för flera sessioner: För arbetsbelastningar med identiska beräkningskrav, vanligtvis poolade värdpooler, erbjuder Windows Enterprise flera sessioner möjligheten att acceptera att fler användare loggar in på en enda virtuell dator samtidigt. kostnader och administrativa kostnader.
• Optimera licensiering: Om du har Software Assurance kan du använda Azure Hybrid-förmånen för att minska kostnaden för din Azure-beräkningsinfrastruktur.
• Beräkning före köp: Du kan checka in på ett- eller treårsplaner, Azure-reservationer, baserat på din VM-användning för att få en rabatt för att avsevärt minska resurskostnaden. Detta kan kombineras med Azure Hybrid-förmånen för ytterligare besparingar.
• Skala in och ut efter behov: Om åtagandet till Azure-reservationer inte är lämpligt för dina aktuella behov bör du överväga att skala skalningsplaner för dynamisk etablering/avetablering av sessionsvärdar när efterfrågan ändras under dagen/veckan.
• Utvärdera alternativ för belastningsutjämning: Konfigurera algoritmen för belastningsutjämning för värdpoolen till djup först. Tänk dock på att den här konfigurationen kan försämra användarupplevelsen. standardbreddsoptimerad användarupplevelse. Mer information finns i Konfigurera belastningsutjämning för värdpooler i Azure Virtual Desktop.

Operational Excellence

Operational Excellence omfattar de driftsprocesser som distribuerar ett program och håller det igång i produktion. Mer information finns i Checklista för designgranskning för Operational Excellence.

• Konfigurera aviseringar: Konfigurera aviseringar för Service Health och Resource Health för att hålla dig informerad om hälsotillståndet för de Azure-tjänster och regioner som du använder.
  • Övervaka den Azure Storage-lösning som du använder för att hantera FSLogix-profiler eller App Attach-resurser för att säkerställa att tröskelvärdena inte överskrids, vilket kan ha en negativ inverkan på användarupplevelsen.
• Samla in prestandadata: Installera Azure Monitoring Agent på dina Azure Virtual Desktop-sessionsvärdar för att extrahera och övervaka prestandaräknare och händelseloggar. Mer information finns i listan över konfigurerbara prestandamått/räknare och händelseloggar.
• Samla in användningsinsikter: Använd Azure Virtual Desktop Insights för att hjälpa till med kontroller som vilka klientversioner som ansluter, möjligheter till kostnadsbesparingar eller att veta om du har resursbegränsningar eller anslutningsproblem.
• Justera diagnostikinställningar: Aktivera diagnostikinställningar för alla tjänster, Azure Virtual Desktop-arbetsytor, programgrupper, värdpooler, lagringskonton. Ta reda på vilka inställningar som är meningsfulla för dina åtgärder. Inaktivera inställningar som inte är meningsfulla för att undvika onödiga kostnader. lagringskonton (särskilt filtjänsten) som ser en hög mängd IOPS kan medföra höga övervakningskostnader.

Performance Efficiency

Prestandaeffektivitet syftar på arbetsbelastningens förmåga att skala för att effektivt uppfylla användarnas krav. Mer information finns i Checklista för designgranskning för prestandaeffektivitet.

• Använd antivirusundantag: För profillösningar som FSLogix som monterar virtuella hårddiskfiler rekommenderar vi att du undantar filnamnstilläggen. Mer information finns i Konfigurera undantag för antivirusfiler och mappar.
• Justera svarstiden: För klienter som använder en P2S-VPN-anslutning (punkt-till-plats) använder du en delad tunnel som baseras på UDP (User Datagram Protocol) för att minska svarstiden och optimera din tunnelbandbreddsanvändning. För lokala klienter som använder ett VPN eller Azure ExpressRoute använder du RDP Shortpath för att minska tur och retur-tiden, vilket förbättrar användarupplevelsen i svarstidskänsliga program och indatametoder.
• Använd beräkning med rätt storlek: Riktlinjerna för storleksändring för virtuella datorer visar det maximala föreslagna antalet användare per virtuell central bearbetningsenhet (vCPU) och minsta vm-konfigurationer för olika arbetsbelastningar. Dessa data hjälper dig att uppskatta de virtuella datorer som du behöver i din värdpool.
  • Använd simuleringsverktyg för att testa distributioner med både stresstester och verkliga användningssimuleringar. Se till att systemet är tillräckligt dynamiskt och motståndskraftigt för att uppfylla användarnas behov och kom ihåg att variera belastningsstorlekarna vid testning.
• Använd tillfälliga OS-diskar: Om du behandlar dina sessionsvärdar som boskap i stället för husdjur, är tillfälliga OS-diskar ett bra sätt att förbättra prestanda, svarstid som liknar tillfälliga diskar och samtidigt spara kostnader eftersom de är kostnadsfria.

Limitations

Azure Virtual Desktop, ungefär som Azure, har vissa tjänstbegränsningar som du måste känna till. För att undvika att behöva göra ändringar i skalningsfasen är det en bra idé att åtgärda vissa av dessa begränsningar under designfasen.

Mer information om begränsningarna för Azure Virtual Desktop-tjänsten finns i Begränsningar för Azure Virtual Desktop-tjänsten.

Observera också att:

• Du kan inte skapa fler än 500 programgrupper per enskild Microsoft Entra-klient*.
  • Om du behöver fler än 500 programgrupper skickar du ett supportärende via Azure Portal.
• Vi rekommenderar att du inte publicerar fler än 50 program per programgrupp.
• Vi rekommenderar att du distribuerar högst 5 000 virtuella datorer per Azure-prenumeration per region. Den här rekommendationen gäller för både personliga och poolbaserade värdpooler, baserat på windows enterprise enkel och flera sessioner. De flesta kunder använder Windows Enterprise flera sessioner, vilket gör att flera användare kan logga in på varje virtuell dator. Du kan öka resurserna för enskilda virtuella sessionsvärddatorer för att hantera fler användarsessioner.
• För automatiserade skalningsverktyg för sessionsvärdar är gränserna cirka 2 500 virtuella datorer per Azure-prenumeration per region, eftersom interaktion med VM-status förbrukar fler resurser.
• Om du vill hantera företagsmiljöer med fler än 5 000 virtuella datorer per Azure-prenumeration i samma region kan du skapa flera Azure-prenumerationer i en hub-spoke-arkitektur och ansluta dem via peering för virtuella nätverk (med en prenumeration per eker). Du kan också distribuera virtuella datorer i en annan region i samma prenumeration för att öka antalet virtuella datorer.
• Begränsningar för API för Azure Resource Manager-prenumeration tillåter inte fler än 600 omstarter av virtuella Azure-datorer per timme via Azure Portal. Du kan starta om alla dina datorer samtidigt via operativsystemet, som inte använder några API-anrop för Azure Resource Manager-prenumerationer. Mer information om hur du räknar och felsöker begränsningsgränser baserat på din Azure-prenumeration finns i Felsöka API-begränsningsfel.
• Du kan för närvarande distribuera upp till 132 virtuella datorer i en enda ARM-malldistribution i Azure Virtual Desktop-portalen. Om du vill skapa fler än 132 virtuella datorer kör du ARM-malldistributionen i Azure Virtual Desktop-portalen flera gånger.
• Prefix för sessionsvärd för virtuella Azure-datorer får inte överstiga 11 tecken på grund av automatisk tilldelning av instansnamn och NetBIOS-gränsen på 15 tecken per datorkonto.
• Som standard kan du distribuera upp till 800 instanser av de flesta resurstyper i en resursgrupp. Azure Compute har inte den här gränsen.

Mer information om begränsningar för Azure-prenumerationer finns i Azure-prenumerations- och tjänstgränser, kvoter och begränsningar.

Distribuera det här scenariot

En samling ARM-mallar kan användas för att automatisera distributionen av din Azure Virtual Desktop-miljö. Dessa ARM-mallar stöder endast Azure Resource Manager Azure Virtual Desktop-objekt. Dessa ARM-mallar stöder inte Azure Virtual Desktop (klassisk).

Fler scenarier är tillgängliga från Microsoft Developer Tools som stöder flera distributionsalternativ:

• Azure Virtual Desktop med Microsoft Entra ID Join
• Azure Virtual Desktop med FSLogix och AD DS Join

Contributors

Den här artikeln underhålls av Microsoft. Det har ursprungligen skrivits av följande medarbetare.

Principal author:

• Tom Hickling | Senior Product Manager, Azure Virtual Desktop Engineering

Other contributor:

• Nelson Del Villar | Molnlösningsarkitekt, Azure Core-infrastruktur

Next steps

• Azure Virtual Desktop-partnerintegreringar listar godkända Azure Virtual Desktop-partnerleverantörer och oberoende programvaruleverantörer.
• Använd optimeringsverktyget för virtuellt skrivbord för att optimera prestanda i en Windows 11 Enterprise VDI-miljö (infrastruktur för virtuellt skrivbord).
• Mer information finns i Distribuera Microsoft Entra-anslutna virtuella datorer i Azure Virtual Desktop.
• Läs mer om Active Directory Domain Services.
• Vad är Microsoft Entra Connect?
• Läs mer om Azure Virtual Desktop Well-Architected Framework