Azure Virtual Desktop für Unternehmen

Azure Virtual Desktop ist ein Desktop- und Anwendungsvirtualisierungsdienst, der in Azure ausgeführt wird. Dieser Artikel soll Desktopinfrastrukturarchitekten, Cloudarchitekten, Desktopadministratoren und Systemadministratoren helfen, Azure Virtual Desktop zu erkunden und Lösungen für virtualisierte Desktopinfrastrukturen (Virtual Desktop Infrastructure, VDI) im Unternehmensmaßstab zu erstellen. Unternehmenslösungen decken im Allgemeinen 1.000 oder mehr virtuelle Desktops ab.

Architektur

Ein typisches Architektur-Setup für Azure Virtual Desktop ist im folgenden Diagramm dargestellt:

Laden Sie eine Visio-Datei dieser Architektur herunter.

Datenfluss

Die Datenflusselemente des Diagramms werden hier beschrieben:

• Die Anwendungsendpunkte befinden sich im lokalen Netzwerk eines Kunden. Azure ExpressRoute erweitert das lokale Netzwerk in Azure, und Microsoft Entra Connect integriert die Active Directory Domain Services (AD DS) des Kunden mit Microsoft Entra ID.

• Die Azure Virtual Desktop-Steuerungsebene verarbeitet Webzugriffs-, Gateway-, Broker-, Diagnose- und Erweiterbarkeitskomponenten wie REST-APIs.

• Der Kunde verwaltet AD DS und Microsoft Entra ID, Azure-Abonnements, virtuelle Netzwerke, Azure Files oder Azure NetApp Files und die Azure Virtual Desktop-Hostpools und -Arbeitsbereiche.

• Um die Kapazität zu erhöhen, nutzt der Kunde zwei Azure-Abonnements in einer Hub-Spoke-Architektur und verbindet sie über virtuelles Netzwerk-Peering.

Weitere Informationen zu den bewährten Methoden für FSLogix-Profilcontainer, Azure Files und Azure NetApp Files finden Sie in den FSLogix-Konfigurationsbeispielen.

Komponenten

Die Azure Virtual Desktop-Dienstarchitektur ähnelt der der Windows Server-Remotedesktopdienste (Remote Desktop Services, RDS). Obwohl Microsoft die Infrastruktur und die Vermittlungskomponenten verwaltet, verwalten Unternehmenskunden ihre eigenen Desktop-Host-VMs, Daten und Clients.

Von Microsoft verwaltete Komponenten

Die folgenden Azure Virtual Desktop-Dienste werden von Microsoft als Teil von Azure verwaltet:

• Webzugriff: Durch die Verwendung des Webzugriffsdiensts in Azure Virtual Desktop können Sie über einen HTML5-kompatiblen Webbrowser genau wie mit einem lokalen PC von überall und auf jedem Gerät auf virtuelle Desktops und Remote-Apps zugreifen. Sie können den Webzugriff mithilfe der mehrstufigen Authentifizierung in der Microsoft Entra ID sichern.

• Gateway: Der Remoteverbindungsgateway-Dienst verbindet Remotebenutzer mit Azure Virtual Desktop-Apps und -Desktops von jedem Gerät mit Internetverbindung, auf dem ein Azure Virtual Desktop-Client ausgeführt werden kann. Der Client stellt eine Verbindung mit einem Gateway her, das dann eine Verbindung zwischen einer VM und diesem Gateway orchestriert.

• Verbindungsbroker: Der Verbindungsbrokerdienst verwaltet Benutzerverbindungen mit virtuellen Desktops und Remote-Apps. Connection Broker bietet Lastenausgleich und Wiederverbindung mit bestehenden Sitzungen.

• Diagnose: Die Remotedesktopdiagnose ist ein ereignisbasierter Aggregator, der jede Benutzer- oder Administratoraktion in Bezug auf die Azure Virtual Desktop-Bereitstellung als Erfolg oder Fehler kennzeichnet. Administratoren können die Ereignisaggregation abfragen, um fehlerhafte Komponenten zu identifizieren.

• Erweiterbarkeitskomponenten: Azure Virtual Desktop enthält mehrere Erweiterbarkeitskomponenten. Sie können Azure Virtual Desktop mithilfe von Windows PowerShell oder mit den bereitgestellten REST-APIs verwalten, die auch die Unterstützung von Tools von Drittanbietern ermöglichen.

Komponenten, die Sie verwalten

Sie verwalten die folgenden Komponenten von Azure Virtual Desktop-Lösungen:

• Azure virtuelles Netzwerk:Mit dem Azure virtuelles Netzwerk können Azure-Ressourcen wie VMs privat miteinander und mit dem Internet kommunizieren. Durch das Verbinden von Azure Virtual Desktop-Hostpools mit einer Active Directory-Domäne können Sie die Netzwerktopologie für den Zugriff auf virtuelle Desktops und virtuelle Apps über das Intranet oder Internet basierend auf organisationsweiten Richtlinien definieren. Sie können eine Azure Virtual Desktop-Instanz mit einem lokalen Netzwerk verbinden, indem Sie ein virtuelles privates Netzwerk (VPN) verwenden, oder Sie können Azure ExpressRoute verwenden, um das lokale Netzwerk über eine private Verbindung in Azure zu erweitern.

• Microsoft Entra ID: Azure Virtual Desktop verwendet Microsoft Entra-ID für identitäts- und Zugriffsverwaltung. Die Azure AD-Integration wendet Microsoft Entra-Sicherheitsfunktionen wie beispielsweise bedingten Zugriff, mehrstufige Authentifizierung und Intelligent Security Graph an und trägt dazu bei, die App-Kompatibilität in domänengebundenen VMs aufrechtzuerhalten.

• Active Directory Domain Services (Optional): Azure Virtual Desktop-VMs können entweder einen Domänenbeitritt zu einem AD DS-Dienst durchführen oder Microsoft Entra joined virtuelle Maschinen in Azure Virtual Desktop bereitstellen verwenden

  • Wenn Sie eine AD DS-Domäne verwenden, muss die Domäne mit Microsoft Entra ID synchronisiert sein, um Benutzer zwischen den beiden Diensten zuzuordnen. Sie können Microsoft Entra Connect verwenden, um AD DS der Microsoft Entra-ID zuzuordnen.
  • Überprüfen Sie bei Verwendung von Microsoft Entra-Join die unterstützten Konfigurationen, um sicherzustellen, dass Ihr Szenario unterstützt wird.

• Azure Virtual Desktop-Sitzungshosts: Sitzungshosts sind virtuelle Computer, mit denen Benutzer eine Verbindung herstellen, um auf ihre Desktops und Anwendungen zuzugreifen. Es werden mehrere Versionen von Windows unterstützt, und Sie können Images mit Ihren Anwendungen und Anpassungen erstellen. Sie können VM-Größen auswählen, einschließlich GPU-fähiger VMs. Jeder Sitzungshost verfügt über einen Azure Virtual Desktop-Host-Agent, der die VM als Teil des Azure Virtual Desktop-Arbeitsbereichs oder -Mandanten registriert. Jeder Hostpool kann über mindestens eine App-Gruppe verfügen, bei denen es sich um Sammlungen von Remoteanwendungen oder Desktopsitzungen handelt, auf die Sie zugreifen können. Informationen zu den unterstützten Windows-Versionen finden Sie unter Betriebssysteme und Lizenzen.

• Azure Virtual Desktop-Arbeitsbereich: Der Azure Virtual Desktop-Arbeitsbereich oder -Mandant ist ein Verwaltungskonstrukt zum Verwalten und Veröffentlichen von Hostpoolressourcen.

Szenariodetails

Mögliche Anwendungsfälle

Die größte Nachfrage nach virtuellen Desktop-Lösungen für Unternehmen kommt von:

• Sicherheits- und Regulierungsanwendungen wie Finanzdienstleistungen, Gesundheitswesen und Behörden.

• Elastische Personalanforderungen, wie z. B. Remote-Arbeit, Fusionen und Übernahmen, Kurzzeitbeschäftigte, Auftragnehmer und Partnerzugang.

• Bestimmte Mitarbeiter, wie z. B. Bring Your Own Device (BYOD) und mobile Benutzer, Callcenter und Zweigstellenmitarbeiter.

• Spezialisierte Workloads wie Design und Engineering, Legacy-Apps und Softwareentwicklungstests.

Persönliche und gepoolte Desktops

Lösungen mit persönlichem Desktop (manchmal auch persistenter Desktop genannt) ermöglichen es Benutzern, immer eine Verbindung mit demselben bestimmten Sitzungshost herzustellen. Benutzer können ihre Desktopumgebung in der Regel ihren Wünschen entsprechend anpassen und Dateien in der Desktopumgebung speichern. Lösungen mit persönlichem Desktop bieten die folgenden Möglichkeiten:

• Ermöglichen Sie Benutzern die Anpassung ihrer Desktop-Umgebung, einschließlich von Benutzern installierter Anwendungen, und Benutzer können Dateien in der Desktop-Umgebung speichern.
• Ermöglichen Sie das Zuweisen dedizierter Ressourcen zu bestimmten Benutzern, was für einige Anwendungsfälle in der Fertigung oder Entwicklung hilfreich sein kann.

Lösungen mit gepoolten Desktops (auch als nicht persistente Desktops bezeichnet) weisen Benutzern irgendeinen aktuell verfügbaren Sitzungshost zu, abhängig vom verwendeten Lastenausgleichsalgorithmus. Da die Benutzer nicht immer zum selben Sitzungshost zurückkehren, wenn sie eine Verbindung herstellen, können sie die Desktopumgebung nur begrenzt anpassen und verfügen normalerweise nicht über Administratorzugriff.

Windows-Wartung

Es gibt mehrere Möglichkeiten, Azure Virtual Desktop-Instanzen zu aktualisieren. Durch die monatliche Bereitstellung eines aktualisierten Images werden Konformität und Status sichergestellt.

• Microsoft Endpoint Configuration Manager (MECM) aktualisiert Server- und Desktopbetriebssysteme.
• Windows Update for Business aktualisiert Desktopbetriebssysteme wie etwa Windows 10 Enterprise mit mehreren Sitzungen.
• Die Azure-Updateverwaltung aktualisiert Serverbetriebssysteme.
• Azure Log Analytics überprüft die Konformität.
• Stellen Sie jeden Monat ein neues (benutzerdefiniertes) Image für Sitzungshosts mit den neuesten Updates für Windows und Anwendungen bereit. Sie können ein Image aus dem Azure Marketplace oder ein benutzerdefiniertes, von Azure verwaltetes Image verwenden.

Beziehungen zwischen logischen Schlüsselkomponenten

Die Beziehungen zwischen Hostpools, Arbeitsbereichen und anderen logischen Schlüsselkomponenten variieren. Dies wird im folgenden Diagramm zusammengefasst:

Die Nummern in den folgenden Beschreibungen entsprechen denen im vorhergehenden Diagramm.

• (1) Eine Anwendungsgruppe, die einen veröffentlichten Desktop enthält, darf nur MSIX-Pakete enthalten, die in den Hostpool eingebunden sind. (Die Pakete sind im Startmenü des Sitzungshosts verfügbar.) Sie darf keine anderen veröffentlichten Ressourcen enthalten und wird als Desktop-Anwendungsgruppe bezeichnet.
• (2) Anwendungsgruppen, die demselben Hostpool zugewiesen sind, müssen Mitglieder desselben Arbeitsbereichs sein.
• (3) Ein Benutzerkonto kann entweder direkt oder über eine Microsoft Entra-Gruppe einer Anwendungsgruppe zugewiesen werden. Es ist möglich, einer Anwendungsgruppe keine Benutzer zuzuweisen, aber sie kann dann auch keine bedienen.
• (4) Es ist möglich, einen leeren Arbeitsbereich zu haben, aber er kann keine Benutzer bedienen.
• (5) Es ist möglich, einen leeren Hostpool zu haben, aber er kann keine Benutzer bedienen.
• (6) Es ist möglich, dass einem Hostpool keine Anwendungsgruppen zugewiesen sind, er aber keine Benutzer bedienen kann.
• (7) Microsoft Entra ID ist für Azure Virtual Desktop erforderlich. Dies liegt daran, dass Microsoft Entra-Benutzerkonten und -Gruppen immer verwendet werden müssen, um Benutzer den Azure Virtual Desktop-Anwendungsgruppen zuzuweisen. Microsoft Entra ID wird auch verwendet, um Benutzer beim Azure Virtual Desktop-Dienst zu authentifizieren. Azure Virtual Desktop-Sitzungshosts können auch Mitglieder einer Microsoft Entra-Domäne sein. In diesem Fall werden die von Azure Virtual Desktop veröffentlichten Anwendungen und Desktop-Sitzungen ebenfalls über Microsoft Entra-Konten gestartet und ausgeführt (und nicht nur zugewiesen).
  • (7) Alternativ können Azure Virtual Desktop-Sitzungshosts Mitglieder einer AD DS-Domäne sein, und in dieser Situation werden die von Azure Virtual Desktop veröffentlichten Anwendungen und Desktopsitzungen mithilfe von AD DS-Konten gestartet und ausgeführt (aber nicht zugewiesen). Um den Benutzer- und Verwaltungsaufwand zu verringern, kann AD DS mit Microsoft Entra ID über Microsoft Entra Connect synchronisiert werden.
  • (7) Schließlich können Azure Virtual Desktop-Sitzungshosts stattdessen Mitglieder einer Microsoft Entra Domain Services-Domäne sein. In diesem Fall werden die von Azure Virtual Desktop veröffentlichten Anwendungen und Desktop-Sitzungen mit Hilfe von Microsoft Entra Domain Services-Konten gestartet und ausgeführt (aber nicht zugewiesen). Microsoft Entra ID wird automatisch mit Microsoft Entra Domain Services synchronisiert, eine Möglichkeit, von Microsoft Entra ID zu Microsoft Entra Domain Services nur.

Überlegungen

Diese Überlegungen beruhen auf den Säulen des Azure Well-Architected Frameworks, d. h. einer Reihe von Grundsätzen, mit denen die Qualität von Workloads verbessert werden kann. Weitere Informationen finden Sie unter Microsoft Azure Well-Architected Framework.

Die Zahlenangaben in den folgenden Abschnitten sind Schätzungen. Sie basieren auf einer Vielzahl von großen Kundenbereitstellungen und können sich im Laufe der Zeit ändern.

Beachten Sie außerdem Folgendes:

• Sie können nicht mehr als 500 Anwendungsgruppen pro Microsoft Entra-Mandant* erstellen.
• Es wird empfohlen, nicht mehr als 50 Anwendungen pro Anwendungsgruppe zu veröffentlichen.

Einschränkungen für Azure Virtual Desktop

Azure Virtual Desktop hat, ähnlich wie Azure, bestimmte Dienstbeschränkungen, die Sie beachten müssen. Um Änderungen in der Skalierungsphase zu vermeiden, ist es eine gute Idee, einige dieser Einschränkungen während der Entwurfsphase zu beheben.

*Wenn Sie mehr als 500 Anwendungsgruppen benötigen, reichen Sie über die Azure-Portal ein Supportticket ein.

• Wir empfehlen, dass Sie nicht mehr als 5.000 VMs pro Azure-Abonnement und Region bereitstellen. Diese Empfehlung gilt sowohl für persönliche als auch gepoolte Hostpools, basierend auf Windows Enterprise Einzel- und Mehrfachsitzungen. Die meisten Kunden verwenden Windows Enterprise mit mehreren Sitzungen, wodurch sich mehrere Benutzer*innen bei den einzelnen virtuellen Computern anmelden können. Sie können die Ressourcen einzelner Sitzungshost-VMs erhöhen, um mehr Benutzersitzungen zu ermöglichen.
• Für Tools zur automatischen Sitzungshost-Skalierung liegen die Grenzen bei etwa 2.500 VMs pro Azure-Abonnement und Region, da die Interaktion mit dem VM-Status mehr Ressourcen verbraucht.
• Unternehmensumgebungen mit mehr als 5.000 VMs pro Azure-Abonnement in derselben Region können Sie verwalten, indem Sie mehrere Azure-Abonnements in einer Hub-Spoke-Architektur erstellen und über ein Peering virtueller Netzwerke miteinander verbinden (mit einem Abonnement pro Spoke). Außerdem können Sie VMs in einer anderen Region im selben Abonnement bereitstellen, um die Anzahl der VMs zu erhöhen.
• Aufgrund der Einschränkungsgrenzwerte für Abonnement-APIs für Azure Resource Manager (ARM) sind nicht mehr als 600 Neustarts von Azure-VMs pro Stunde über das Azure-Portal möglich. Sie können alle Ihre Computer gleichzeitig über das Betriebssystem neu starten. Dies zählt nicht zu den Abonnement-API-Aufrufen für Azure Resource Manager. Weitere Informationen zur Zählung sowie zur Problembehandlung im Zusammenhang mit Einschränkungsgrenzwerten basierend auf Ihrem Azure-Abonnement finden Sie unter Behandeln von API-Einschränkungsfehlern.
• Sie können derzeit bis zu 132 VMs in einer einzelnen ARM-Vorlagenbereitstellung im Azure Virtual Desktop-Portal bereitstellen. Führen Sie die ARM-Vorlagenbereitstellung im Azure Virtual Desktop-Portal mehrmals aus, um mehr als 132 VMs zu erstellen.
• Präfixe für Azure-VM-Sitzungshosts dürfen eine Länge von 11 Zeichen nicht überschreiten, da Instanznamen automatisch zugewiesen werden und das NetBIOS-Limit 15 Zeichen pro Computerkonto beträgt.
• Standardmäßig können Sie von den meisten Ressourcentypen bis zu 800 Instanzen in einer Ressourcengruppe bereitstellen. Azure Compute verfügt nicht über diese Beschränkung.

Weitere Informationen zu den Einschränkungen in Bezug auf Azure-Abonnements finden Sie unter Einschränkungen für Azure-Abonnements und -Dienste, Kontingente und Einschränkungen.

Festlegen der VM-Größe

In Richtlinien zur Größenfestlegung virtueller Computer finden Sie die empfohlene Maximalanzahl von Benutzern pro virtuelle CPU (vCPU) und VM-Mindestkonfigurationen für verschiedene Workloads. Diese Daten helfen Ihnen dabei, die für Ihren Hostpool benötigten VMs abzuschätzen.

Verwenden Sie Simulationstools, um Bereitstellungen sowohl im Rahmen von Belastungstests als auch mit realistischen Verwendungssimulationen zu testen. Stellen Sie sicher, dass das System reaktionsschnell und belastbar genug ist, um die Benutzeranforderungen zu erfüllen, und denken Sie daran, die Lastgrößen beim Testen zu variieren.

Kostenoptimierung

Bei der Kostenoptimierung geht es um die Suche nach Möglichkeiten, unnötige Ausgaben zu reduzieren und die Betriebseffizienz zu verbessern. Weitere Informationen finden Sie unter Übersicht über die Säule „Kostenoptimierung“.

Sie können Ihre Azure Virtual Desktop-Lösung so gestalten, dass Kosteneinsparungen realisiert werden. Im Folgenden sind fünf verschiedene Optionen aufgeführt, die beim Verwalten von Kosten für Unternehmen helfen:

• Windows 10 (mehrere Sitzungen): Durch die Bereitstellung einer Desktopumgebung mit mehreren Sitzungen für Benutzer mit identischen Computeanforderungen können sich mehr Benutzer gleichzeitig bei einer einzelnen VM anmelden – ein Ansatz, der zu erheblichen Kosteneinsparungen führen kann.
• Azure Hybrid Benefit (Azure-Hybridvorteil): Wenn Sie über Software Assurance verfügen, können Sie den Azure-Hybridvorteil für Windows Server nutzen, um bei Ihrer Azure-Infrastruktur Kosten zu sparen.
• Reservierte Azure-VM-Instanzen: Sie können Ihre VM-Nutzung im Voraus bezahlen und Geld sparen. Kombinieren Sie reservierte Azure-VM-Instanzen mit dem Azure-Hybridvorteil für bis zu 80 % Einsparungen gegenüber den Listenpreisen.
• Sitzungshost-Lastenausgleich: Wenn Sie Sitzungshosts einrichten, ist der Breitenmodus, der die Benutzer zufällig auf die Sitzungshosts verteilt, der standardmäßige Standardmodus. Alternativ können Sie den Tiefenmodus verwenden, um einen Sitzungshostserver mit der maximalen Anzahl von Benutzern zu füllen, bevor er zum nächsten Sitzungshost weitergeht. Sie können diese Einstellung anpassen, um maximale Kostenvorteile zu erzielen.

Bereitstellen dieses Szenarios

Automatisieren Sie die Bereitstellung Ihrer Azure Virtual Desktop-Umgebung mithilfe von ARM-Vorlagen. Diese ARM-Vorlagen unterstützen nur die Azure Resource Manager-Objekte für Azure Virtual Desktop. Sie bieten keine Unterstützung für Azure Virtual Desktop (klassisch).

Beitragende

Dieser Artikel wird von Microsoft gepflegt. Er wurde ursprünglich von folgenden Mitwirkenden geschrieben:

Hauptautor:

• Tom Hickling | Senior Product Manager, Azure Virtual Desktop Engineering

Andere Mitwirkende:

• Nelson Del Villar | Cloud Solution Architect, Azure Core Infrastructure

Nächste Schritte

• Im Artikel Partnerintegration für Azure Virtual Desktop sind genehmigte Azure Virtual Desktop-Partneranbieter und unabhängige Softwarehersteller aufgeführt.
• Nutzen Sie die Ressourcen unter Virtual Desktop Optimization Tool, um die Leistung in einer Windows 10 Enterprise VDI-Umgebung zu optimieren.
• Weitere Informationen finden Sie unter In Microsoft Entra eingebundene Sitzungshosts in Azure Virtual Desktop.
• Erfahren Sie mehr über Active Directory-Domänendienste.
• Was ist Microsoft Entra Connect?

Zugehörige Ressourcen

• Weitere Informationen zur Architektur mehrerer Active Directory-Gesamtstrukturen finden Sie unter Architektur mehrerer Active Directory-Gesamtstrukturen in Azure Virtual Desktop.