Nerdio s’occupe de votre AVD

Azure Virtual Desktop est en évolution constante, de part Microsoft (Azure AD, Intune, Teams, FSLogix,…) mais aussi par des solutions tierces comme celle proposée par Nerdio.

C’est ici que Nerdio intervient. Nerdio Manager est une solution disponible sur la marketplace d’Azure, qui va vous simplifier la gestion de votre environnement AVD. Voici une vidéo sur le sujet part le CEO de Nerdio, Vadim Vladimirskiy :

La nombre de vidéos disponibles concernant AVD sur leur chaîne Youtube est impressionnant !

Le portail Azure apporte en effet une grande facilité de déploiement d’un environnement Azure Virtual Desktop. Mais tout cela devient assez lourd quand on doit manager la solution durant toute sa période d’exploitation.

Alors imaginez avec plusieurs centaines d’utilisateurs sur plusieurs pools d’hôtes …

Comme vous allez le voir une fois en place, Nerdio propose de simplifier et d’automatiser les opérations courantes sur l’environnement AVD. On pourra gérer les images OS, les cycles de mise à jour, optimiser les ressources Azure selon les besoins et les pics de charge, et bien d’autres encore…

Dans ce premier article sur Nerdio, nous allons nous occuper ici de l’installation de la solution sur votre environnement Azure.

Etape 0 : Rappel des prérequis

Comme pour tout déploiement dans Azure, des prérequis sont nécessaires :

  • Un tenant Microsoft (AAD)
  • Des licences comprenant Windows 10 Entreprise pour vos utilisateurs AVD
  • Une souscription Azure active
  • Un domaine Active Directory Domain Services (AD DS)
  • Un espace de stockage sur Azure pour les profils utilisateurs via FSLogix, provenant d’un serveur de fichiers ou d’un compte de stockage Azure + partage de fichier

Si un des points listés est absent de votre environnement, pas de panique, Vadim vous explique tout ici :

Au final, Nerdio se focalise avant tout sur les composants Azure Virtual Desktop, afin de pouvoir l’intégrer sans difficulté dans un grand nombre d’environnements existants.

Etape I : Déploiement de la solution

Tout commence donc depuis la marketplace. Avant de pouvoir jouer avec Nerdio, il faut en effet commencer à déployer les premières ressources Azure.

Cliquez ci-dessous pour créer votre Nerdio :

Tapez Nerdio dans la barre de recherche et sélectionnez Nerdio Manager for Enterprise :

Créez un nouveau groupe de ressources et choisissez la localisation qui vous convient :

Une fois la validation passée, lancez la création :

Le déploiement des ressources Nerdio ne prend une petite dizaine de minutes.

Une fois le déploiement terminé, cliquez sur Outputs pour récupérer l’URL de votre application web Nerdio :

En effet, le groupe de ressources créé par Nerdio a généré plusieurs ressources dont une application web :

Ouvrez cette URL dans un nouvel onglet de votre navigateur Internet :

Comme indiqué sur cette page web, vous avez déjà déployé les composants nécessaires à Nerdio. Maintenant, Nerdio va avoir besoin de s’installer.

Pour cela, suivez les indications en ouvrant Azure Cloud Shell avec un compte disposant du rôle d’administrateur global de votre tenant, mais aussi d’un rôle de propriétaire sur la souscription Azure :

Qu’est-ce qu’Azure Cloud Shell ?

Azure Cloud Shell est un interpréteur de commandes interactif, authentifié et accessible par navigateur qui permet de gérer les ressources Azure. Il vous donne la possibilité de choisir l’expérience d’interpréteur de commandes la plus adaptée à votre façon de travailler, qu’il s’agisse de Bash ou de PowerShell.

Source : Microsoft

Lors de l’ouverture de ce nouvel onglet, Azure Cloud Shell vous demandera éventuellement de créer ou de rattacher à un compte de stockage + partage de fichier pour stocker les logs :

Azure Cloud Shell - Storage - Chapter 2 | RidiCurious.com

Azure Cloud Shell va vous permettre d’exécuter des commandes en PowerShell ou en Azure CLI. Restez en PowerShell et coller le script donné sur la page web Nerdio :

Script correctement terminé. après plusieurs minutes.

Une fois le script terminé, vous pouvez retourner sur la page web Nerdio et rafraîchir. Si vous n’avez pas conservé cette page, pas de panique ! Vous pouvez la retrouver comme ceci :

Retournez sur le groupe de ressources créé par l’application Nerdio, puis cliquez sur le service d’application :

Copiez l’URL de l’application :

Collez l’URL dans un nouvel onglet de votre navigateur :

Pour que Nerdio puisse fonctionner, vous allez devoir le configurer sur votre environnement actuel. Voici, étape par étape, les points à paramétrer :

Les informations du tenant et de la souscription Azure sont déjà renseignés et donc non modifiable :

Ensuite, enregistrez votre application auprès des serveurs Nerdio :

Un environnement Azure Virtual Desktop nécessite aussi un contrôleur de domaine dans la majorité des scénarios. Une gestion via Nerdio n’échappe pas à cette règle et demande alors le réseau virtuel où se trouve l’AD et FSLogix :

Le menu déroulant propose automatiquement les ressources Azure se trouvant dans la même souscription que Nerdio. Cliquez sur OK pour continuer la configuration :

Nerdio vous demande de spécifier un groupe de ressources pour Azure Virtual Desktop. Il propose par défaut le même que celui utilisé pour son installation, mais reste modifiable :

Un conseil, créez un groupe de ressources dissocié pour les ressources AVD afin de gagner en clarté. Retournez alors sur votre premier onglet (Portail Azure) pour créer le groupe de ressources AVD.

Une fois créé, revenez sur la page de configuration.

Cliquez sur le groupe de ressources et changez-le par votre nouveau groupe, puis cliquez sur OK :

Le paramètre suivant concerne Active Directory. Nerdio a besoin de connaître plusieurs paramètres pour connecter les machines virtuelles AVD au domaine :

  • Directory : Choisissez selon votre annuaire entre Active Directory ou Azure AD DS
  • AD Domain : Spécifiez le domaine Active Directory au format FQDN pour les machines virtuelles hôtes de session à rejoindre
  • AD Username : Spécifiez un utilisateur admin au format FQDN avec l’autorisation de créer des objets “ordinateurs
  • AD Password : Mot de passe du compte admin
  • Organisation Unit : Spécifiez l’unité d’organisation (OU) au format DN où toutes les machines virtuelles hôtes de session seront créées par défaut

Une fois les champs renseignés, cliquez sur OK :

Le compte de stockage est utilisé pour stocker les profils via FSLogix. Ce dernier doit exister au préalable, comme pour le partage de fichier, qui doit être joint au domaine AD renseigné plus haut :

Plusieurs options possibles sur cet écran :

  • Vous pouvez passer la configuration du compte de stockage pour y revenir plus tard si nécessaire
  • Vous pouvez activer la fonction Cloud Cache de FSLogix. Cela permet de conserver sur le profil utilisateur sur plusieurs compte de stockage Azure, hébergés dans différentes régions pour augmenter sa résiliance.

Cliquez sur OK une fois les champs renseignés :

Le portail de gestion Nerdio offre aussi la possibilité de gérer des machines Windows 365. Cela s’avère pratique pour centraliser la gestion des bureaux à distance dans une seule console.

Pour cela, vous devez autoriser l’application Nerdio sur votre environnement. Cliquez sur OK si vous êtes d’accord :

Enfin, choisissez le modèle de gestion AVD au sein de Nerdio. Prenez ici Spring 2020 Update -ARM (GA) et cliquez sur Done :

Avant de pouvoir laisser Nerdio procéder, il faut lui donner un consentement de l’administrateur global. Cliquez sur le lien donné dans le nom du domaine :

Saisissez les identifiants appropriés pour vous identifier :

La liste d’autorisations est assez longue. Prenez le temps de la regarder et acceptez si vous êtes d’accord :

Un message d’information apparaît alors pour vous confirmer le succès de l’opération :

Fermez l’onglet et retournez sur l’onglet de configuration Nerdio pour cocher la case et cliquez sur OK :

Le processus vous emmène alors directement sur le portail de management Nerdio :

Vous allez maintenant pouvoir créer votre premier environnement Azure Virtual Desktop. Nerdio dispose d’un grand nombre de personnalisations. Nous ne ferons que les opérations de base dans ce premier article. D’autres articles suivront pour des sujets précis.

Etape II : Création d’un environnement Azure Virtual Desktop

Vous voilà sur votre portail de gestion Nerdio. Indispensable dans toute structure AVD, l’espace de travail est un composant créé par Nerdio. Cliquez sur Workspaces, puis Add Workspace :

Renseignez les options de votre espace de travail et cliquez sur OK :

Chaque tâche Nerdio est visible dans l’historique, très précis avec ses statuts actualisés automatiquement :

Faites un tour dans votre portail Azure pour constater la création de la première ressource :

Cliquez votre espace de travail Nerdio pour le configurer :

Cliquez sur Static host pools dans le sous-menu à gauche, puis sur Add static host pool :

Renseignez les champs de votre pool d’hôtes AVD et cliquez sur OK. Voici mes options :

  • Desktop Experience : vous permet de choisir entre un environnement mono-utilisateur ou multi-utilisateurs
  • Répertoire : reprend par défaut l’AD DS ou l’Azure AD DS renseigné pendant la configuration Nerdio
  • FSLogix : reprend par défaut le compte de stockage utilisé pour FSLogix renseigné
  • Initial host count : nombre initial de machine virtuelles AVD créées avec le pool d’hôtes
  • Name Préfix : préfixe du nom utilisé pour la création des machines virtuelles AVD
  • Desktop image : propose une liste d’images Windows 10/11 disponibles sur Azure, mais aussi des images personnalisées et créées dans le menu Desktop image de Nerdio
  • VM size : offre plusieurs choix de puissance pour les VMs AVD
  • OS Disk : Taille et puissance du disque OS installé sur chaque VM AVD
  • Resource group : groupe de ressources Azure pour la création des VMs AVD et du pool d’hôtes
  • Quick assign : Annuaire des groupes et des utilisateurs d’Azure AD

Une fois la création du pool d’hôtes lancée, vous pouvez suivre toutes les étapes grâce au système de tâches Nerdio :

Après que toutes les tâches sont terminées, ouvrez un portail Azure pour constater les créations dans le groupe de ressources AVD :

Cliquez sur le pool d’hôtes créé par Nerdio et constatez la présence de VMs disponibles aux utilisateurs AVD :

Pour tester la solution, ouvrez un navigateur en mode privé pour vous rendre sur la page d’accueil AVD :

aka.ms/wvdarmweb

Utilisez les identifiants d’un utilisateur faisant parti du groupe AVD assigné lors de la création sur Nerdio et cliquez sur OK :

Recherchez le bon espace de travail créé par Nerdio et cliquez sur l’icône RDP :

Saisissez une nouvelle fois le mot de passe de l’utilisateur AVD et cliquez sur Submit :

Vous voilà enfin sur votre bureau Windows 11 !

Faites un tour sur votre compte de stockage FSLogix via votre portail Azure :

Cliquez sur le partage de fichiers correspond à celui renseigné dans la configuration Nerdio :

Constatez la présence d’un dossier créé par FSLogix pour le stockage du profil utilisateur au format VHDX :

Etape III : Suppression de l’environnement de test AVD

Dans le cadre d’un environnement de test, vous pouvez également supprimer très facilement les composants Azure créés par Nerdio.

Commencez par les machines virtuelles AVD :

Continuez par le pool d’hôtes :

Et finissez par supprimer l’espace de travail :

Conclusion

Au final la mise en place d’un environnement de test pour Azure Virtual Desktop via Nerdio a été très simple et très facile. Plusieurs remarques à ce sujet :

  • Nerdio ne vous dispense pas de mettre en place les prérequis propres à un environnement AVD
  • Le présent article ne montre pas toutes les fonctionnalités très utiles et présentes dans la console Nerdio. Plusieurs articles suivront par la suite

Quel est le coût de Nerdio ?

La société propose plusieurs modèles de licence après le premier mois d’essai gratuit :

Nerdio for Managed Service Providers (MSPs)

Nerdio manager for Enterprise :

A cela s’ajoute aussi le coût des ressources Azure déployées par Nerdio, dont voici les estimations au bout de quelques jours :

En conclusion, la solution s’avère assez prometteuse sur la gestion des environnements d’Azure Virtual Desktop par un grand nombre d’automatismes ou de customisations, à travers un seul et unique portail.

Comme à chaque fois Dean Ceola, de la Cloud Academy, a également fait une très bonne vidéo juste ici :

Enfin et comme toujours, pensez à partager votre propre expérience dans les commentaires 😋.

Azure : Baisse des prix sur Suisse

Bonne nouvelle pour le Cloud en Suisse, les prix baisses sur Azure en octobre !!!

A partir d’un 1er octobre 2021, une baisse des prix est appliquée sur la consommation Azure dans les 2 régions Suisse. La vérification peut simplement se faire grâce à l’outil d’estimation des coûts de Microsoft : Azure Pricing Calculator.

Lancées en 2019, les régions Azure Suisse Nord et Suisse Ouest étaient plus chères que leurs homologues en Europe. L’écart entre ces régions tend maintenant à diminuer. Beaucoup de projets d’hébergement repose en effet sur une demande de stockage des données sur le territoire helvétique.

Voici quelques exemples pour vous donner une idée de la baisse des prix sur des architectures Azure :

Quote A : Architecture Pay As You Go

L’architecture est hébergée sur Suisse Nord et comporte les éléments suivants :

  • 1 Domaine managé Azure AD DS
  • 1 Serveur Application
  • 1 Serveur Azure Virtual Desktop
  • 1 Compte de stockage pour gestion des profils FSLogix
  • 1 Coffre de sauvegarde pour la machine virtuelle et le compte de stockage
  • 1 Accès VPN + Bande passante

Au final, l’architecture ci-dessus, refaite en octobre 2021, est 10% moins chère que celle créée en septembre 2021. La vérification est facile à faire si vous utilisez la fonction partager dans le calculateur Azure et que vous conservez les liens HTML générés le mois précédent :

Quote B : Architecture Azure Virtual Desktop (Pay As You Go)

Ce second exemple est dédié à une architecture plus conséquente, utilisée pour un environnement Azure Virtual Desktop d’environ 180 utilisateurs et avec un mode de facturation en Pay As You Go :

  • 2 Machines virtuelles pour le contrôleur de domaine AD
  • 6 Machines virtuelles Azure Virtual Desktop
  • 1 Compte de stockage pour gestion des profils FSLogix
  • 1 Coffre de sauvegarde pour les AD et le compte de stockage
  • 1 Accès VPN + Bande passante

La baisse de prix reste aux alentours des 12%, proche de l’architecture A. L’impact sera plus fort compte tenu du nombre de machines virtuelles employées dans cette seconde quote.

Quote C : Architecture Azure Virtual Desktop (Instances réservées)

Dernier exemple, on reprend l’architecture Azure Virtual Desktop utilisée pour les 180 utilisateurs et on optimise les coûts avec l’achat d’instances réservées pour les machines virtuelles. Petite rappel de ce qu’est une instance réservée sur Azure :

Si vous utilisez les ressources d’une façon systématique adaptée aux réservations, l’achat d’une réservation vous offre l’opportunité de réduire vos coûts. Par exemple, si vous exécutez en permanence des instances d’un service sans réservation, vous êtes facturé au tarif du paiement à l’utilisation. Quand vous achetez une réservation, vous bénéficiez immédiatement de la remise sur réservation. Les ressources ne sont plus facturées au tarif du paiement à l’utilisation.

Source : Microsoft
Ce graphique montre l’impact financier en couplant l’optimisation des machines virtuelles grâce à Azure Hybrid Benefit et les instances réservées.

Voici d’ailleurs le lien expliquant le bénéfice financier à s’engager sur des instances réservées de 1 ou 3 ans. La liste des composants Azure ne change donc entre la quote B et C, simplement l’ajout d’instances réservées 3 années pour l’ensemble des machines virtuelles :

  • 2 Machines virtuelles pour le contrôleur de domaine AD
  • 6 Machines virtuelles Azure Virtual Desktop
  • 1 Compte de stockage pour gestion des profils FSLogix
  • 1 Coffre de sauvegarde pour les AD et le compte de stockage
  • 1 Accès VPN + Bande passante

La baisse de prix sera alors beaucoup plus faible ici (2%) car les machines virtuelles représentent le gros de la quote et que les instances réservées font déjà un gros rabais dessus.

Conclusion

Les baisses de prix sont toujours des bonnes nouvelles. On ne peut que s’en réjouir sur Suisse, car ces deux régions sur considérées comme premium par Microsoft. Quelques analyses faites entre septembre et octobre me permettent enfin de constater les baisses de prix les plus fortes sur :

  • Machine virtuelle non réservées
  • Sauvegarde de machine virtuelles
  • Sauvegarde de partage de fichiers d’un compte de stockage
  • Disques managés pour VM

Par ailleurs, je n’ai vu par contre aucune baisse de prix pour la partie réseau (VPN ou encore bande passante). Enfin et comme toujours, pensez à partager votre expérience sur les quotes Azure dans les commentaires 😋.

Windows 11 + AVD + Azure AD

Je vous avais déjà parlé il a quelque temps de la jointure possible entre des machines virtuelles Azure Virtual Desktop et Azure AD ici. Cela offre la possibilité de se passer d’un Active Directory pour environnement AVD et permet d’envisager certains projets avec une architecture 100% Cloud.

Avec l’arrivée prochaine de Windows 11, il me paraissait intéressant de tester cette combinaison avec le nouvel OS de Microsoft.

Point important : Comme précédemment, nous sommes toujours dans l’attente d’une prise en charge de FSLogix dans ce scénario. L’utilisation d’un partage de fichier nécessite une authentification SMB, non possible pour l’instant via la seule gestion des identités Azure AD.

Rappel des prérequis

Comme pour tout déploiement dans Azure, des prérequis sont nécessaires :

  • Un tenant Microsoft
  • Une souscription Azure
  • Un réseau virtuel
  • Des licences pour les utilisateurs AVD, comprenant Azure Virtual Desktop

La liste est donc beaucoup plus courte qu’avec un domaine classique 😎.

Déploiement de la solution

Une fois votre réseau virtuel en place, la création de l’ensemble pourra se faire directement depuis Azure Virtual Desktop. Dans le cadre d’un environnement de production, la création d’une image en amont reste l’étape indispensable pour installer les applications nécessaires à vos utilisateurs !

Sur le portail Azure, recherchez Azure Virtual Desktop dans la barre de recherche et sélectionnez Azure Virtual Desktop dans les suggestions :

Sur l’écran d’Azure Virtual Desktop, choisissez Créer un Pool d’hôtes :

Renseignez les informations de base sur votre pool d’hôtes puis cliquez sur Suivant : Machines virtuelles :

Renseignez les principales caractéristiques de vos machines virtuelles AVD :

L’image de Windows 11 n’est pas forcément proposée dans la liste. Il vous faudra alors la chercher dans la marketplace Azure :

Renseignez les informations réseaux :

Prenez le temps de considérer les options concernant le domaine à joindre :

  • Type de domaine à joindre : Choisissez Azure Active Directory
  • Intune : il est également possible d’automatiser l’enrôlement des machines virtuelles AVD dans Intune. Cela permet de configurer ces dernières, qu’elles soient dédiées ou partagées entre utilisateurs

Il est toujours demandé de créer un compte administrateur local :

Cliquez sur Suivant et créez un nouvel espace de travail :

Enfin lancez la création quand Azure a validé votre configuration :

Environ 10-15 minutes plus tard, le déploiement doit se finir sur une note positive :

Contrôlez quelques minutes après la bonne disponibilité des machines virtuelles dans le pool d’hôtes AVD :

Pensez à assigner le groupe d’utilisateurs AVD sur l’application créée par le pool d’hôtes :

Pour que la connexion RDP avec l’identité utilisateur Azure AD se fasse bien, il est nécessaire d’ajouter un argument spécifique. La gestion des propriétés RDP se fait directement sur le pool d’hôtes d’AVD :

Afin d’autoriser les utilisateurs à se connecter aux machines virtuelles, l’attribution des rôles RBAC est nécessaire. Pour rappel, ces rôles sont différents de ceux dans Azure AD, puisqu’ils sont affectés au ressources d’Azure. Dans notre AVD, l’affectation de deux rôles RBAC est nécessaires et se fait directement sur le groupe de ressources AVD :

  • Virtual Machine Administrator Login : Groupe d’utilisateurs ayant les droits d’administrateur local sur les machines virtuelles AVD
  • Virtual Machine User Login : Affecter le rôle Virtual Machine User Login au même groupe d’utilisateurs que celui utilisé pour le groupe d’application AVD

Il ne reste plus qu’à tester la solution avec un utilisateur AVD. Cela se fait en téléchargeant le client Windows Remote Desktop PC dédié à Azure Virtual Desktop (téléchargeable ici), ou via l’accès web multi-plateformes (accessible ). J’ai choisi dans mon cas Windows Remote Desktop :

Une seconde demande d’authentification est affichée pour accéder à la machine virtuelle via le protocole RDP :

Une fois le mot de passe saisi, l’ouverture d’une fenêtre RDP donne l’accès au bureau Windows 11 d’AVD. A noter que la jointure AVD apporte également le Seamless Sign on, rendant l’expérience utilisateur encore plus agréable :

Regardez en détail cette jointure avec Azure AD grâce à la commande :

dsregcmd /status

Vérifiez que les machines virtuelles Windows 11 Azure Virtual Desktop sont bien présentes dans la section Devices d’Azure AD. Cet ajout est réalisé lors de la jointure des machines virtuelles à Azure AD :

Vérifiez, si vous avez coché Intune, que vous retrouvez bien mes machines virtuelles dans la console :

Si vous rencontrez des erreurs lors du déploiement, Microsoft met à votre disposition cette page d’aide. Voici une des erreurs possibles :

Erreur de mot de passe de l’ouverture de la session RDP : “The logon attempt failed”

Si vous rencontrez une erreur indiquant que la tentative de connexion a échoué à l’invite des informations d’identification de sécurité Windows, vérifiez les éléments suivants :

  • Vous êtes sur un appareil qui est joint à Azure AD ou à Azure AD hybride au même locataire Azure AD que l’hôte de session OU
  • Vous êtes sur un appareil exécutant Windows 10 2004 ou version ultérieure qui est Azure AD enregistré auprès du même locataire Azure AD que l’hôte de session
  • Le protocole PKU2U est activé à la fois sur le PC local et sur l’hôte de session

La dernière hypothèse est fortement probable dans ce cas. Il faut donc penser à vérifier cette option sur la machine locale ET sur la machine virtuelle AVD, grâce à la commande secpol.msc :

Conclusion

Windows 11 s’intègre de plus en plus dans l’environnement Azure. Azure Virtual Desktop va grandement bénéficier de ce nouvel OS pour accroitre son utilité dans les solutions de bureau à distance. Comme pour Windows 10, on attend toujours la prise en charge de la solution FSLogix dans ce scénario de jointure avec Azure AD.

Comme à chaque fois, pensez également à partager dans les commentaires vos propres expériences sur Azure Virtual Desktop 😋.

Windows 11 + Azure Virtual Desktop = 1

Ayant récemment abordé l’ajout d’images Windows 11 sous Azure ici, je me devais également de faire un nouvel article sur l’installation de machines virtuelles W11 au sein d’un environnement Azure Virtual Desktop.

Dans cet article nous allons tester différentes manières d’associer des machines virtuelles Windows 11 à AVD. Chaque méthode apporte des avantages et un niveau d’automatisation différent. Comme à chaque fois, il faut disposer au préalable d’un tenant et d’une souscription Azure sur laquelle vous déploierez les ressources Azure.

Point 0a : Prérequis de licences

A la différence d’un environnement RDS, Azure Virtual Desktop ne nécessite pas de licence côté serveur dans le cadre d’un environnement Windows 10/11. Cela n’est pas le cas si votre AVD est basé sur Windows Server. Vous pouvez accéder à Windows 10 et Windows 7 avec Azure Virtual Desktop si vous possédez l’une des licences suivantes par utilisateur :

  • Microsoft 365 E3/E5
  • Microsoft 365 A3/A5/Student Use Benefits
  • Microsoft 365 F3
  • Microsoft 365 Business Premium
  • Windows 10 Entreprise E3/E5
  • Windows 10 Éducation A3/A5
  • Windows 10 VDA par utilisateur

Point 0b : Prérequis techniques

Comme indiqué précédemment, nous allons commencer les déploiements en partant des prérequis suivants :

  • Un tenant Microsoft
  • Une souscription Azure
  • Un réseau virtuel
  • Un contrôleur de domaine (VM AD + Azure AD Connect ou Azure AD DS)
  • Un compte de stockage, paramétré pour FSLogix
  • Un pool d’hôtes Azure Virtual Desktop
  • Un espace de travail Azure Virtual Desktop
Voici une liste des ressources Azure déjà en place sur ma souscription, avant la mise en place de Windows 11.

Les points listés sont les mêmes pour un environnement Azure Virtual Desktop en Windows 10. Une fois en place, nous allons déployer des machines virtuelles en Windows 11 via les méthodes suivantes :

  • Méthode 1 : Déploiement direct depuis le pool d’hôtes AVD
  • Méthode 2 : Création d’une VM, puis enrôlement manuel dans le pool d’hôtes AVD
  • Méthode 3 : Création d’une VM puis enrôlement automatique via une extension script
  • Méthode 4 : Utilisation d’un template entièrement automatique et hébergé GitHub

Méthode 1 : Déploiement depuis le host pool

Dans cette méthode, nous allons simplement créer et ajouter une machine virtuelle Windows 11 sur notre environnement Azure Virtual Desktop.

Sur le portail Azure, recherchez Azure Virtual Desktop dans la barre de recherche et sélectionnez Azure Virtual Desktop dans les suggestions :

Sur l’écran d’Azure Virtual Desktop, choisissez Pool d’hôtes puis cliquez sur celui déjà créé précédemment dans votre environnement :

Si vous avez créé le vôtre sans machine virtuelle comme le mien, vous devriez avoir le chiffre 0 dans le nombre total de machines virtuelles. Cliquez dessus pour en ajouter :

Cliquez sur Ajouter :

Le premier onglet est grisé, car ces informations sont dédiées au pool d’hôtes. Cliquez sur le bouton Suivant pour ajouter la machine virtuelle :

Après avoir renseigné les premiers champs, cherchez l’image de Windows 11 en cliquant pour voir toutes les images disponibles dans la marketplace Azure :

Utilisez la barre de recherche pour retrouver l’image Windows 11, puis choisissez l’image avec les applications Microsoft 365 Gen 2 :

Cliquez ici pour obtenir plus d’information sur Windows 11 Gen 2 (bas de l’article).

Choisissez la puissance et le nombre de machines virtuelles ainsi que la performance du disque OS :

Microsoft recommande toujours les disques Premium SSD pour les environnements AVD de production.

Sélectionnez le réseau virtuel et le sous-réseau correspondant :

Il est vivement conseiller de créer un sous-réseau propre à AVD.

Continuez avec les informations du domaine :

Les éléments de jointure sont importants car ils peuvent faire échouer le déploiement Azure.
Prenez le temps de bien vérifier ces informations.

Finissez avec les informations d’administration des machines virtuelles, puis cliquez pour valider la création :

Une fois la validation passée, vous pouvez déclencher la création de la ou les machines virtuelles :

La création ne prendra alors que quelques minutes seulement :

Retournez sur votre pool d’hôtes pour bien constater l’apparition et la bonne disponibilité des VMs :

Enfin, pensez bien à affecter un groupe d’utilisateurs AVD, issu de votre domaine AD sur le groupe d’application de bureau à distance :

Lancez Windows Remote Desktop avec un utilisateur AVD pouvant lancer la session de bureau à distance :

Le téléchargement de l’application Microsoft Remote Desktop peut se faire ici.

Une dernière authentification est alors demandée pour ouvrir la session Windows 11 à l’utilisateur :

Ca y est, on dispose enfin de notre premier bureau Windows 11 sous AVD !!!

Il ne reste plus qu’à rajouter les informations de registre pour finaliser la configuration FSLogix :

#Variables
$storageAccountName = "fslogixjl"
$fileshare = "userprofiles"

#Create registry key 'Profiles' under 'HKLM:\SOFTWARE\FSLogix'
   $registryPath = "HKLM:\SOFTWARE\FSLogix\Profiles"
   if(!(Test-path $registryPath)){
       New-Item -Path $registryPath -Force | Out-Null
   }

#Add registry values to enable FSLogix profiles, add VHD Locations, Delete local profile and FlipFlop Directory name
New-ItemProperty -Path $registryPath -Name "VHDLocations" -Value "\\$storageAccountName.file.core.windows.net\$fileshare" -PropertyType String -Force | Out-Null
New-ItemProperty -Path $registryPath -Name "Enabled" -Value 1 -PropertyType DWord -Force | Out-Null
New-ItemProperty -Path $registryPath -Name "DeleteLocalProfileWhenVHDShouldApply" -Value 1 -PropertyType DWord -Force | Out-Null
New-ItemProperty -Path $registryPath -Name "FlipFlopProfileDirectoryName" -Value 1 -PropertyType DWord -Force | Out-Null

#Display script completion in console
Write-Host "Script Executed successfully" 

Contrôlez alors dans votre partage de fichier créé pour FSLogix la présence du VHD :

En conclusion, la méthode habituelle de déploiement d’un Azure Virtual Desktop ne diffère en rien avec Windows 11. Nous allons nous intéresser à d’autres méthodes possibles de déploiement de Windows 11 pour AVD.

Méthode 2 : Création d’une VM puis enrôlement manuel

Quel que soit l’OS désiré, il est possible de créer une machine virtuelle par la méthode classique puis de l’enrôler manuellement via l’installation de la solution RD Agent.

Dans le cadre de l’installation de Windows 11 avec le Trusted Launch (encore en Preview), il faut alors utiliser ce portail Azure. La création de la machine virtuelle est alors des plus classiques :

Ajoutez provisoirement une adresse IP publique afin de pouvoir installer l’agent AVD :

Dans l’onglet Avancée, l’utilisation d’une image Gen 2 vous permet alors de profiter de toutes les fonctionnalités du Trusted Launch :

Connectez-vous en RDP sur la machine virtuelle nouvellement créée et suivez le processus suivant :

  • Joignez la machine virtuelle Windows 11 au domaine AD :
  • Téléchargez l’agent Azure Virtual Desktop et exécutez le programme d’installation
  • Lorsque le programme d’installation vous demande le jeton d’inscription, entrez la clef d’enregistrement disponible dans le pool d’hôtes AVD
Retrouvez la clef d’enregistrement AVD directement sur le pool d’hôtes AVD.
Copiez la clef récupérée dans le programme d’installation d’AVD.
  • Téléchargez l’agent de démarrage d’Azure Virtual Desktop et exécutez le programme d’installation
  • Télécharger et installez FSLogix puis ajoutez via PowerShell la configuration FSLogix :
#Variables
$storageAccountName = "fslogixjl"
$fileshare = "userprofiles"

#Create registry key 'Profiles' under 'HKLM:\SOFTWARE\FSLogix'
   $registryPath = "HKLM:\SOFTWARE\FSLogix\Profiles"
   if(!(Test-path $registryPath)){
       New-Item -Path $registryPath -Force | Out-Null
   }

#Add registry values to enable FSLogix profiles, add VHD Locations, Delete local profile and FlipFlop Directory name
New-ItemProperty -Path $registryPath -Name "VHDLocations" -Value "\\$storageAccountName.file.core.windows.net\$fileshare" -PropertyType String -Force | Out-Null
New-ItemProperty -Path $registryPath -Name "Enabled" -Value 1 -PropertyType DWord -Force | Out-Null
New-ItemProperty -Path $registryPath -Name "DeleteLocalProfileWhenVHDShouldApply" -Value 1 -PropertyType DWord -Force | Out-Null
New-ItemProperty -Path $registryPath -Name "FlipFlopProfileDirectoryName" -Value 1 -PropertyType DWord -Force | Out-Null

#Display script completion in console
Write-Host "Script Executed successfully" 
  • Redémarrez la machine virtuelle

La nouvelle machine rejoint alors celle de la première méthode :

Testez la connexion à Azure Virtual Desktop via l’accès HTML 5 depuis cette URL :

Contrôlez sur le compte de stockage l’apparition du second profil utilisateur :

En conclusion, la seconde méthode de déploiement d’un Azure Virtual Desktop par la création d’une VM, puis son enrôlement fonctionne très bien Windows 11. Nous allons maintenant nous intéresser à la création d’une VM dans AVD par l’ajout d’un script en extension.

Méthode 3 : Création d’une VM puis enrôlement automatique via une extension script

La 3ème méthode est très proche de la seconde méthode, à savoir qu’elle se fait par le déploiement d’une machine virtuelle. La différence va porter par l’utilisation d’une extension, appelant un script en PowerShell. Nous devons ce script à Dean Cefola, de l’Azure Academy. Ce script a connu les évolutions suivantes :

# 09/15/2019                     1.0        Intial Version
# 09/16/2019                     2.0        Add FSLogix installer
# 09/16/2019                     2.1        Add FSLogix Reg Keys 
# 09/16/2019                     2.2        Add Input Parameters 
# 09/16/2019                     2.3        Add TLS 1.2 settings
# 09/17/2019                     3.0        Chang download locations to dynamic
# 09/17/2019                     3.1        Add code to disable IESEC for admins
# 09/20/2019                     3.2        Add code to discover OS (Server / Client)
# 09/20/2019                     4.0        Add code for servers to add RDS Host role
# 10/01/2019                     4.2        Add all FSLogix Profile Container Reg entries for easier management
# 10/07/2019                     4.3        Add FSLogix Office Container Reg entries for easier management
# 10/16/2019                     5.0        Add Windows 7 Support
# 07/20/2020                     6.0        Add WVD Optimize Code from The-Virtual-Desktop-Team
# 10/27/2020                     7.0        Optimize FSLogix settings - Remove Office Profile Settings
# 02/01/2021                     7.1        Add RegKey for Screen Protection
# 05/22/2021                     7.2        Multiple changes to WVD Optimization code (remove winversion, Add EULA, Add Paramater for Optimize All
# 06/30/2021                     7.3        Add RegKey for Azure AD Join

Renseignez les paramètres de la machine virtuelle de manière classique, et cliquez sur l’ajout d’une extension à installer dans l’onglet Avancé :

Cherchez dans la liste celle appelée Custom Script Extension :

Puis cliquez sur Créer:

L’extension doit être stockée sur un compte de stockage de type Blob, vous pouvez la chercher ici :

Sélectionnez un compte de stockage si vous en disposez d’un. Si non, il vous faudra en créer un :

Créez un nouveau container pour stocker le script PowerShell :

Nommez-le et cliquez sur Créer :

Rentrez dans celui-ci et cliquez sur Upload :

Renseignez l’URL suivante dans le nom du fichier et cliquez sur Ouvrir :

https://raw.githubusercontent.com/DeanCefola/Azure-WVD/master/PowerShell/New-WVDSessionHost.ps1

Cliquez ensuite sur Upload :

Enfin cliquez sur éelectionner :

Vous devrez ensuite renseigner deux paramètres pour que l’extension fonctionne correctement :

  • Profilepath : nom du partage SMB où doivent être stockés les profiles FSLogix
  • RegistrationToken : Clef d’enregistrement des machines dans le pool d’hôtes Azure Virtual Desktop

Ce qui donne dans mon cas les paramètres suivants :

-ProfilePath \\fslogixjl.file.core.windows.net\userprofiles -RegistrationToken eyJhbGciOiJSUzI1NiIsImtpZCI6Ijk3NkE4Q0I1MTQwNjkyM0E4MkU4QUQ3MUYzQjE4NzEyN0Y2OTRDOTkiLCJ0eXAiOiJKV1QifQ.eyJSZWdpc3RyYXRpb25JZCI6IjY2N2RhOGUyLWMxMDAtNGU1Ni1hMTIyLWZmOGFkMTE3YjdmMyIsIkJyb2tlclVyaSI6Imh0dHBzOi8...

Pensez encore une fois à activer toutes les fonctionnalités du Trusted Launch sur le même onglet Avancé :

Lancez la création de la machine virtuelle. Quelques minutes plus tard, vous devriez constater l’apparition de la machine virtuelle dans votre pool d’hôtes Azure Virtual Desktop :

La machine restera en indisponible tant que cette dernière n’est pas jointe au domaine Active Directory. Pour cela, vous devrez vous connecter en RDP à cette dernière avec le compte administrateur renseigné lors de sa création. Une fois connecté il ne vous restera qu’à rejoindre le domaine :

Un redémarrage plus tard, vous devriez constater que la machine virtuelle est bien passée en Disponible dans Azure Virtual Desktop :

Un lancement d’une session AVD utilisera les paramètres FSLogix que vous avez renseigné et le dossier sera bien créé sur le compte de stockage :

En conclusion, cette 3ème méthode est pratique, mais demande encore quelques opérations manuelles. La dernière méthode de cet article, elle aussi créée par Dean, est encore plus automatisée.

Méthode 4 : Utilisation d’un template GitHub

Cette 4ème et dernière méthode nous amène sur GitHub et ses liens de déploiement vers Azure. La page GitHub de Dean se trouve ici. Sur cette page se trouve ce qui nous intéresse :

Cliquez sur ce lien pour emporter le template sur votre portail Azure. Renseignez les champs selon les paramètres de votre environnement AVD et Validez :

Le template va alors se déployer en quelques minutes :

Vérifiez alors la bonne jointure des VMs avec Azure Virtual Desktop via le pool d’hôtes :

Comme à chaque fois, un lancement d’une session AVD utilisera les paramètres FSLogix que vous aviez renseigné et le dossier sera bien créé sur le compte de stockage :

En conclusion, cette 4ème et dernière méthode est certainement la plus pratique de toutes et en plus très rapide, même si certaines options de machines virtuelles ne sont alors plus disponibles au moment de la configuration.

Conclusion

Windows 11 est maintenant bien présent sur Azure Virtual Desktop. Sa sortie très prochaine nous amène à considérer cet OS dans de futurs projets de bureau à distance. Je suis sûr que Microsoft continuera à nous apporter encore plus de fonctionnalités dans les mois qui viennent. Pour vous aider dans les tests de ces différentes méthodes, vous trouverez ci-dessous la vidéo YouTube mis en ligne par Dean sur ce sujet et qui m’a aidé à préparer mon article :

Enfin n’hésitez pas à faire part de vos remarques sur Windows 11 sur AVD dans les commentaires 😋.

Windows 11 sous Azure

Bonne nouvelle, Windows 11 est maintenant disponible en préversion depuis plusieurs semaines et on ne parle plus que de lui ! Afin de vous faire la main sur le nouvel OS proposé par Microsoft, vous pouvez dès à présent le tester sur Azure.

Dans cet article, nous allons créer ensemble une nouvelle machine virtuelle sur Windows 11 prenant le temps de parler des options possibles lors de la création, en évolution constante.

Comme à chaque fois que vous souhaitez ajouter de nouvelles ressources, vous devez préalablement disposer d’une souscription Azure. Si cela n’est pas votre cas, sachez que Microsoft propose des crédits Azure gratuits, 130 € environ, à utiliser pendant 30 jours. Cela sera largement suffisant pour créer et tester Windows 11. Vous pouvez donc profiter de cette offre en cliquant ici.

Etape I : Création de la machine virtuelle

Une fois votre souscription en place et connecté à votre portail Azure, la création de la VM peut commencer. Le bouton de création de ressource va vous aider à trouver rapidement Windows 11 :

La recherche “Windows 11” sur la marketplace d’Azure vous indiquera différentes images disponibles pour Windows 11, selon que vous soyez en version Pro, Enterprise ou que vous construisez un environnement multisessions pour Azure Virtual Desktop :

Dans notre exemple, choisissez Windows 11 Enterprise, encore en préversion à date où cet article est écrit.

Comme pour toutes les machines virtuelles créées sur Azure, des informations de bases sont systématiquement demandées :

Onglet I : Informations de base

  1. Souscription : rattachement de la ressource à l’arborescence Azure. La souscription correspond à une “ligne de crédit” auprès de Microsoft (CB, CSP, EA, …).
  2. Groupe de ressources : Container logique très utile et maintenant obligatoire pour organiser les ressources Azure. De plus, une ressource ne peut pas être présente dans plusieurs groupes de ressources à la fois.
  3. Nom de la machine virtuelle : Nom de la machine virtuelle ^^ aussi utilisé pour le nom de machine dans l’OS.
  4. Région : Localisation physique de la machine virtuelle dans le Cloud Microsoft. Voici ici la liste de toutes les régions Azure existantes.
  5. Option de disponibilité : permet par exemple de répartir plusieurs machines virtuelles sur différents datacenters Azure ou dans différents racks au sein d’un même datacenter. Très pratique pour créer des architectures résilientes.
  6. Image : bibliothèque d’images préconstruites par Microsoft, ISV ou constuites par vous-mêmes via des images personnalisées.
  7. Azure Spot instance : Apporte une réduction significative du prix en exploitant des ressources non utilisées par Azure. Ne surtout pas prendre pour des services critiques sans interruption possible !
  8. Taille : Détermine la puissance de la machine virtuelle (CPU, mémoire vive, performances et nombre de disques) et donc le prix.
  9. Compte administrateur : Utilisateur et mot de passe pour administrer localement la machine virtuelle.
  1. Ports publics entrants : Restriction ou autorisation de ports ouverts sur la machine virtuelle.
  2. Ports entrants : Propose l’ouverture des ports de management habituels (HTTP, HTTPS, SSH ou RDP).
  3. Licence : Case déclarative sur la juste possession de licence Windows 10, autorisant son exploitation sur plusieurs périphériques.

Onglet II : Disque(s)

Nous pouvons ici modifier la performance du disque OS, mais aussi ajouter si besoin des disques secondaires selon le besoin d’espace. Le nombre de disque dépendra aussi du SKU choisi pour cette machine virtuelle. Dans notre exemple, nous n’allons rien changer ici :

Rappel : Microsoft propose quatre types de disque, chaque type étant destiné à des scénarios clients spécifiques.

Onglet III : Réseau

Cet onglet a son importance car il définit les interactions réseaux possibles avec la nouvelle machine virtuelle. Plusieurs options ici vont donc potentiellement créer, ou non, de nouvelles ressources Azure :

  1. Réseau virtuel : La machine virtuelle doit obligatoirement être sur un réseau virtuel, même si ce dernier ne comporte aucune autre ressource.
  2. Sous-réseau : Le réseau virtuel doit comporter au minimum un sous-réseau. Le sous-réseau sera utile pour segmenter et sécuriser une infrastructure. Besoin de comprendre l’adresse IP ? Cliquez-ici !
  3. IP publique : L’IP publique n’est pas une ressource obligatoire et doit être évitée dans un grand nombre de cas pour des questions de sécurité. Dans notre exemple, cette IP publique nous sera utile pour nous connecter à cette nouvelle machine Windows 11.
  4. Groupe de sécurité réseau : Ce composant réseau d’Azure est très pratique pour filtrer les accès entrants et sortants sur un sous-réseau. Il ne s’agit pas ici d’une solution Firewall, mais d’un filtrage par sources, ports et protocoles.
  5. Ports publics entrants : A la différence du premier onglet, la restriction ou l’autorisation de ports ouverts définie ici concerne le groupe de sécurité réseau.
  6. Ports entrants : Propose là encore l’ouverture des ports de management habituels (HTTP, HTTPS, SSH ou RDP)
  7. Accélération réseau : Avec la mise en réseau accélérée, le trafic réseau arrive directement à l’interface réseau de la VM.
  8. Equilibreur de charge : Propose d’intégrer la nouvelle machine virtuelle derrière un équilibreur de charge existant. Très pratique pour augmenter et répartir le volume de requêtes pour un site web frontal.

Onglet IV : Management

Cet onglet apporte des outils complémentaires concernant la gestion de la machine virtuelle. Cela est utile pour diagnostiquer ou résoudre les problèmes :

  1. Diagnostiques de démarrage : Comme son nom l’indique, il est possible de conserver un journal du démarrage de la machine virtuelle, qui pourra être exploité si un jour la machine virtuelle ne démarre pas correctement.
  2. Diagnostiques invités de l’OS : Remonte des métriques additionnelles sur de la machine virtuelle vers un compte de stockage Azure.
  3. Identité managée : Créé et gère une identité propre à la machine virtuelle. Cette dernière pourra avoir des droits sur d’autres ressources Azure, dans le but d’éviter la création d’un mot de passe qui serait stocké sur celle-ci.
  4. Connexion via Azure AD : Combinaison intelligente pour permettre l’authentification via Azure AD. Cela passe aussi par l’ajout de rôles sur la ressource Azure pour autoriser ou non la connexion des utilisateurs.
  5. Arrêt automatique : Programmation d’un arrêt OS de la machine virtuelle selon un horaire, lui-même défini selon un fuseau horaire. Très pratique pour diminuer la consommation Azure et donc le coût si la machine n’est pas utilisée en 24/7. Attention, le démarrage n’est pas automatique et devra donc passer par l’ajout d’un traitement batch.
  6. Reprise après sinistre : Même dans un Cloud, on n’est jamais à l’abri d’une panne globale d’un centre de données. La réplication d’une machine virtuelle dans une seconde région Azure est alors possible et gérée par un service dédié : Recovery Services Vault.
  7. Mises à jour invités de l’OS : Apporte l’automatisation périodique des mises à jour Windows.

Onglet V : Options avancées

En plus des options de management, d’autres fonctionnalités sont encore disponibles avant la création de la machine virtuelle :

  1. Extension : les extensions sont un moyen rapide d’apporter une couche de configuration supplémentaire. Certaines sont disponibles via la bibliothèque d’extensions, mais il est aussi possible de travailler avec des scripts personnalisées.
  2. Données personnalisées : Propose d’ajouter des données en plus de l’image déployée. Dans le cadre d’une image Windows, ces données seront stockées dans %SYSTEMDRIVE%\AzureData\CustomData.bin.
  3. Données utilisateurs : Les données utilisateur sont une nouvelle version des données personnalisées et offrent des avantages supplémentaires.
  1. Hôtes dédiés : Comme indiqué sur cette page, l’hôte dédié vous donne l’assurance que seules les machines virtuelles de votre abonnement se trouvent sur l’hôte physique, donc isolées des autres. La facturation se fait alors par hôte dédié et non par machines virtuelles créées.
  2. Groupe de placement de proximité : Regroupement logique utilisé pour s’assurer que les ressources Azure se trouvent proches les unes des autres. Les groupes de placements de proximité sont utiles pour les charges de travail où une latence faible est requise.
  3. Génération de machine virtuelle : La génération 2 existe maintenant depuis plusieurs années. Le choix de la génération va dépendre de l’OS choisi. Ce dernier apporte des fonctionnalités comme le Secure Boot, la prise en charge d’un disque OS supérieur à 2 To…

Note :

Il est maintenant possible de créer une machine virtuelle GEN 2 bénéficiant du Trusted Launch. Pour bénéficier de cette option encore en préversion, il est nécessaire de passer par ce lien spécifique du portail Azure. Vous aurez alors accès aux options suivantes :

Attention, le Trusted lunch n’est pas accessible sur toutes les images d’OS ou en GEN1
Windows 11 PRO -> KO
Windows 11 Enterprise -> OK

Pour rappel, celui fonctionne uniquement sur les machines virtuelles de seconde génération. Concrètement, ce démarrage sécurisé de la VM repose sur une version virtualisée du TPM :

Merci à Dean pour cette vidéo 😎.

Onglet VI : Tags

Le tags est une information facultative mais fort pratique pour la classification des ressources Azure. Un tag est composé d’une paire nom/valeur. Il précise des informations sur les projets, les responsables, les durées de vie des ressources ou encore les utilisateurs finaux. Une ressource Azure peut contenir jusqu’à 50 tags.

Etape II : Déploiement de la machine virtuelle

Une fois toutes les options renseignées et la création déclenchée, il ne reste plus qu’à patienter quelques minutes. Il n’est pas nécessaire de rester sur la page de déploiement pendant le traitement. Une notification vous avertira du succès ou de l’échec de celui-ci.

Cette copie d’écran ci-dessus nous présente en détail les ressources créées pour cette machine virtuelle.

Un aperçu des mêmes ressources dans le groupe de ressources Azure nous indique une 6ème ressource :

Le disque OS est bien une ressource à part de la machine virtuelle.
Il peut être détaché au besoin de cette dernière.

Etape III : Connexion à la machine virtuelle

Dans notre exemple, la connexion est RDP est ouverte sur notre machine virtuelle Windows 11 car nous avons autorisé l’accès RDP sur la machine, mais également sur la partie réseau d’Azure. Voici ci-dessous une vue des règles, entrantes et sortantes, ouvertes sur le groupe de sécurité, rattaché ici à la carte réseau de la VM :

L’avertissement indiqué sur la règle entrante pour le port RDP est présent pour vous alerter sur ce risque possible d’intrusion, car ouvert sur Internet.

L’accès RDP est possible directement depuis la fonction présente dans la barre d’action. Il est aussi possible d’utiliser l’adresse IP publique rattachée à la machine virtuelle :

Bastion est un autre moyen d’accès beaucoup plus sécurisé car il ne demande pas d’adresse IP publique pour chaque VM.
Plus d’informations ici.

Le téléchargement et le lancement du fichier de connexion de bureau à distance vous affichera l’alerte de sécurité suivante :

Il ne vous restera alors qu’à renseigner les codes administrateurs renseignés sur le premier onglet lors de la création de la machine virtuelle :

Enfin vous y êtes ! Vous voici dans votre nouvelle machine virtuelle Azure, tourant sur Windows 11 😊

Conclusion

Pour un utilisateur déjà habitué aux machines virtuelles sur Azure, aucune différence lors de la création d’un Windows 11 sur Azure. En attendant le passage de Windows 11 en disponibilité générale, prévu pour le 05 octobre prochain, voici un article détaillé sur les nouveautés présentes dans le nouvel OS de Microsoft. Enfin voici également un test de celui-ci en vidéo :

Il ne me reste qu’à vous souhaiter une bonne lecture. N’hésitez pas à faire part de vos remarques sur Windows 11 dans les commentaires 😋.

Test de la redirection multimédia sur AVD

La fonctionnalité d’optimisation des performances multimédia sur Azure Virtual Desktop avait été annoncée il y a déjà quelques temps. Elle est maintenant accessible pour une phase de test publique. Pour en savoir plus, voici un lien vers la documentation officielle de Microsoft.

Dans cet article, nous allons installer et tester la fonctionnalité, étape par étape, afin de mesurer l’impact sur les performances sur un environnement Azure Virtual Desktop :

  1. Contrôle de la version de Windows Desktop Client
  2. Création d’un nouvel environnement AVD
  3. Assignation des utilisateurs aux machines virtuelles d’AVD
  4. Modification des paramètres RDP
  5. Ajout des droits RBAC sur le groupe de ressources AVD
  6. Création d’Azure Bastion
  7. Installation de Google Chrome
  8. Installation de Multimedia Redirector Service
  9. Installation des extensions sur les navigateurs Internet
  10. Test de la solution avec et sans optimisation

Etape I : Contrôle de la version de Windows Desktop Client

Une version minimale est nécessaire pour profiter de la redirection multimédia sur votre poste local : 1.2.2222. Vous pouvez retrouver la page de téléchargement ici. Voici également le lien vers le patchlog de l’outil Windows Remote Desktop.

Comme indiqué dans la documentation Microsoft, la machine locale doit disposer de performances minimales pour effectuer la redirection multimédia dans de bonnes conditions. Microsoft met donc à disposition une liste de recommandations matérielles pour Teams.

Il est également nécessaire d’intégrer la machine locale au programme Insider. Cette action s’effectue directement depuis le Registre Windows :

Il est nécessaire de créer les entrées suivantes.

Une fois la modification du registre terminée, relancez Windows Remote Desktop pour constater qu’une nouvelle mise à jour est maintenant disponible :

Notre client Windows Remote Desktop est maintenant à jour. Retournez sur le portail Azure pour créer un nouvel environnement Azure Virtual Desktop. Passez ces étapes si vous disposez déjà d’un AVD fonctionnel sur une souscription Azure.

Etape II : Création d’un nouvel environnement AVD

Afin de faire un test de la solution sur un nouvel environnement, je vous remets ici tous les écrans de création d’AVD. Veuillez noter que nouvelles options sont apparues, nous prendrons le temps d’en parler lors de ce déploiement. Suivez si besoin ce guide étape par étape :

Utilisez la barre de recherche pour retrouver le service Azure Virtual Desktop.

La création complète de l’environnement Azure Virtual Desktop commence en cliquant ici :

Le premier onglet d’options ci-dessous défini les options de mon environnement (Pool d’hôtes) :

Le second onglet est dédié aux machine virtuelles. Notez qu’il est nécessaire de créer au préalable un réseau virtuel dans la même région Azure que votre AVD. Le processus de création ne propose pas d’en créer un :

Depuis quelques temps déjà, il est possible de se passer d’un domaine Active Directory pour AVD.
Un article sur ce sujet est consultable ici.
Nouvelle option très pratique si

Le troisième onglet est consacré à l’espace de travail des utilisateurs :

Aucun changement particulier ici.

Un nouvel onglet fait son apparition pour permettre le paramétrage des options de logs et de métriques. J’en ai donc profité pour créer un espace Log Analytics Workspace, avant le déploiement de ma solution AVD :

Notez que cette nouvelle fonctionnalité ne paramètre la remontée que pour le pool d’hôtes et l’espace de travail.
Il reste encore des opérations manuelles pour y intégrer les machines virtuelles.

Une fois la configuration AVD terminée, comptez environ une bonne quinzaine de minutes pour que le déploiement se fasse :

Etape III : Assignation des utilisateurs aux machines virtuelles d’AVD

Dans le cadre de mon test, j’ai souhaité assigner manuellement les deux machines virtuelles à différents utilisateurs. Je dois donc faire les deux opérations moi-même.

Avant d’assigner les utilisateurs sur les machines virtuelles AVD, il est nécessaire de rajouter ces derniers sur le groupe d’applications AVD, créé automatiquement lors de l’étape précédente :

Il est préférable de faire une assignation via un groupe.

L’assignement des utilisateurs AVD sur les machines virtuelles peut se faire sans souci juste après :

Attention : l’assignement des utilisateurs aux machines virtuelles est irrévocable !

Comme mon exemple est basé sur une intégration des machines virtuelles avec Azure AD, je suis dans l’obligation d’effectuer des étapes supplémentaires pour rendre pour AVD fonctionnel. Les étapes 4 et 5 sont donc dédiées au scénario AVD sans serveur Active Directory.

Etape IV : Modification des paramètres RDP

Pour que la connexion RDP avec l’identité utilisateur Azure AD se fasse bien, il est nécessaire d’ajouter un argument spécifique. La gestion des propriétés RDP se font directement sur le pool d’hôtes d’AVD :

targetisaadjoined:i:1

La copie d’écran ci-dessus montre le paramétrages des options RDP possibles.

Vous retrouverez ici la liste de toutes les options RDP possibles, dont seulement certaines sont compatibles avec Azure Virtual Desktop. Voici les arguments utilisés sur la copie d’écran ci-dessus :

drivestoredirect:s:;audiomode:i:0;videoplaybackmode:i:1;redirectclipboard:i:1;redirectprinters:i:1;devicestoredirect:s:;redirectcomports:i:1;redirectsmartcards:i:1;usbdevicestoredirect:s:*;enablecredsspsupport:i:1;use multimon:i:1;targetisaadjoined:i:1

Etape V : Ajouts des droits RBAC sur le groupe de ressources AVD

Afin d’autoriser les utilisateurs d’Azure AD à se connecter aux machines virtuelles, l’attribution des rôles RBAC est nécessaire. Pour rappel, ces rôles sont différents de ceux dans Azure AD, puisqu’ils sont affectés au ressources d’Azure. Dans notre AVD, l’affectation de deux rôles RBAC est nécessaires et se font assigner directement le groupe de ressources AVD :

  • Virtual Machine Administrator Login : Groupe d’utilisateurs ayant les droits d’administrateur local sur les machines virtuelles AVD
  • Virtual Machine User Login : Affecter le rôle Virtual Machine User Login au même groupe d’utilisateurs que celui utilisé pour le groupe d’application AVD

L’étape suivante avec Azure Bastion permet d’administrer plus facilement les machines virtuelles d’Azure Virtual Desktop. Vous pouvez déployer ce service et en profiter pour toutes les machines virtuelles présentes dans le même réseau virtuel que ce dernier. Cela marche aussi pour les VMs sur des réseau virtuels appairés.

Etape VI : Création d’Azure Bastion

Azure Bastion est un service que vous déployez et qui vous permet de vous connecter à une machine virtuelle à l’aide de votre navigateur et du portail Azure. Cette étape est facultative dans notre démonstration, mais Azure Bastion nous facilite les opérations d’installation sur les machines virtuelles d’AVD.

Schéma expliquant le principe de connexion TLS d’Azure Bastion.

La création d’Azure Bastion est très facile et se fait en seulement quelques minutes sur notre environnement de test :

Azure Bastion doit disposer de son propre subnet pour se déployer correctement sur votre réseau virtuel.
Vous pouvez ajouter celui-ci directement depuis l’écran de création d’Azure Bastion.
Le nom du subnet d’Azure Bastion est normé et ne peut être différent de cette copie d’écran.
Quelques minutes plus tard, Azure Bastion s’est déployé sur le réseau virtuel.
Rien de plus n’est nécessaire pour l’utiliser !

Azure Bastion est maintenant installé. Dans le cadre de notre test, nous allons effectuer l’opération d’optimisation sur une seule des 2 machines virtuelles AVD. Le but étant de comparer le bénéfice de la solution, avec et sans la redirection multimédia. L’étape suivante est dédiée à l’installation de Google Chrome et se fera sur les 2 VMs.

Etape VII : Installation de Google Chrome

Connectez-vous via Azure Bastion sur la première machine virtuelle :

Renseignez ici les codes admins saisis lors du déploiement d’AVD.

Voici ici le lien officiel pour installer Google Chrome.

Vous pouvez utiliser Microsoft Edge pour installer celui-ci 😂

Il faudra aussi installer Google Chrome sur la seconde machine virtuelle pour nos tests. Vous pouvez garder ouvert l’onglet d’Azure Bastion de la première machine virtuelle quand vous vous connectez à la seconde.

Etape VIII : Installation de Multimedia Redirector Service

Vous l’avez compris, l’installation du Multimedia Redirector service ne doit se faire que sur la première machine virtuelle. Vous pouvez le télécharger ici.

L’installation est assez rapide et ne comporte que quelques écrans.

Etape IX : Installation des extensions sur les navigateurs internet

Si le navigateur Google Chrome est encore ouvert sur votre première machine virtuelle, vous devriez voir le message d’alerte suivant :

L’ouverture de Microsoft Edge après l’installation de Multimedia Redirector Service doit également remonter l’alerte suivante :

Etape X : Test de la solution avec et sans optimisation

A date, la fonctionnalité de redirection multimédia sur AVD n’est pas disponible via accès Web, mais uniquement via Windows Remote Desktop. Nous voilà donc prêts à tester notre solution :

Si vous rencontrez des difficultés d’authentification lors de votre entrée dans la VM :
faite un sign-out complet de Windows Remote Desktop.
La mention Insider est bien présente dans le titre de notre fenêtre de Windows Remote Desktop.

Une fois connecté dans votre session AVD avec le compte de votre premier utilisateur de test, vérifiez l’état des extensions dans les 2 navigateurs Internet :

Google Chrome et Microsoft Edge présentent aussi une case à cocher pour rendre la fonctionnalité opérationnelle sur tous les sites.

La version publique de la redirection multimédia pour Azure Virtual Desktop a limité la lecture sur YouTube. Pour tester YouTube dans le cadre du déploiement de votre organisation, vous devrez activer une extension.

Microsoft

Un tour sur YouTube permet de se rendre compte de l’impact des performances sur la machine virtuelle. Voici un lien vers une vidéo en 4K. Prenez le navigateur Internet de votre choix pour les tests :

Un petit tour dans les performances des 2 machines virtuelles pendant la lecture de cette vidéo à haute résolution montre l’impact sur les performances avec ou sans la redirection multimédia :

Sans redirection multimédia :

L’utilisation CPU est totale pour cette lecture 4K sans l’optimisation multimédia.

Avec redirection multimédia :

L’utilisation CPU est fortement diminuée pour cette lecture 4K avec l’optimisation multimédia.

Conclusion

Avant tout, l’objectif premier de la redirection multimédia n’est pas de permettre à tous les utilisateurs d’Azure Virtual Desktop de lancer des vidéos 4K YouTube en simultané. Le but ici est bien d’alléger les sollicitations en performance des machines virtuelles AVD. Imaginez l’impact sur un environnement Azure Virtual Desktop, partagé par une douzaine d’utilisateurs utilisant Microsoft Teams.

La redirection multimédia vous permet d’obtenir une lecture vidéo fluide lorsque vous regardez des vidéos dans votre navigateur Azure Virtual Desktop. La redirection multimédia déplace l’élément multimédia du navigateur vers la machine locale pour un traitement et un rendu plus rapides.

Microsoft
Merci à Freek Berson pour sa vidéo de démonstration.

Comme toujours, faites part de vos remarques sur la redirection multimédia d’Azure Virtual Desktop dans les commentaires 😋.

Debugger Windows 365

Sorti le 02 août dernier, beaucoup de personnes ont déjà eu l’occasion de tester Windows 365 en version d’essai ou via un achat de licences. A l’inverse d’Azure Virtual Desktop, ce nouveau service bureau à distance proposé par Microsoft se positionne au plus proche d’un service SaaS. De façon générale, le déploiement de Windows 365 est assez facile et rapide.

A peine sorti et déjà dans la mouise 😋.

Mise en place de Windows 365

La mise en place de Windows 365 a déjà été abordé dans cet article. Voici également d’autres liens très utiles :

Néanmoins, de petits blocages peuvent arriver à différentes étapes du processus de mise en place. Dans cet article, nous allons passer en revue quelques problèmes possibles et tenter d’y apporter des solutions.

  • Problème 1 : Impossible de commander des licences d’essai de Windows 365
  • Problème 2 : Windows 365 Entreprise : Erreur de check(s) sur la connexion réseau on-premise
  • Problème 3 : Windows 365 Entreprise : L’inscription d’Intune MDM a échoué
  • Problème 4 : Windows 365 Entreprise : Erreur de passerelle lors de l’ouverture de session Windows 365

Problème 1 : Impossible de commander des licences d’essai de Windows 365

Au premier jour de disponibilité de Windows 365, des licences d’essai étaient disponibles pour Windows 365. Ces licences gratuites étaient bien visibles depuis la console d’administration de Windows 365 :

3 éditions sont disponibles pour Windows 365. Plus d’informations ici.

Dans chaque des 3 éditions se trouvaient la version d’essai disponible en plusieurs tailles de Cloud PC. La durée de la licence d’essai était de 60 jours.

Chaque tenant pouvait prendre 3 tailles de Cloud PCs pour chacun des 3 éditions de Windows 365.

Présente encore il y a quelques jours, l’activation de la version d’essai affichait le message d’erreur suivant :

Gauche : message d’erreur au moment de l’achat.
Droite : les licences d’essai ne sont plus visibles dans la liste.

En lieu est place de ces licences, il est malgré tout possible de découvrir Windows 365 par cette simulation. Selon les dernières informations de Microsoft :

  • L’achat de licences d’essai a été suspendu faute d’un immense succès.
  • Aucune date de réouverture n’est annoncée concernant la disponibilité des licences d’essai
  • Les licences d’essai déjà prises ne sont pas impactées par cette restriction
  • Il est recommandé de s’inscrire ici pour se tenir informer des prochaines nouveautés

Problème 2 : Windows 365 Entreprise : Erreur de check(s) sur la connexion réseau on-premise

Les licences Windows 365 Entreprise nécessitent systématiquement une connexion réseau on-premise. Mon article précédent sur Windows 365 détaille bien le processus de création de cette connexion. Vous pouvez aussi regarder la vidéo très explicative de Dean sur ce sujet :

Après la création de la connexion on-premise, Windows 365 va se charger de vérifier un certain nombre de paramètres essentiels au bon déploiement des Cloud PCs :

La première connexion est en erreur, un clic sur son status explique le détail précis de cette dernière.
Un problème d’identification sur le domaine est constaté par Windows 365.
Il faut donc vérifier à nouveau les informations de domaine.
La seconde connexion a passé tous les contrôles de Windows 365.
Elle peut donc être utilisée pour créer une police de provisionnement.

Note : Il existe des erreurs non bloquante, comme celle-concernant Azure AD device sync :

Comme indiqué dans cet article de Microsoft, cette erreur de synchronisation des Cloud PCs dans Azure AD peut prendre du temps. Il faut se rappeler que celui-ci s’opère avec l’agent Azure AD Connect, dont le cycle de synchronisation par défaut est de 30 minutes. Ce temps peut s’allonger si votre architecture Active Directory est repartie en différents rôles :

undefined
Si Azure AD Connect est correctement configuré avec l’option Hybrid Azure AD join, cette alerte devrait disparaître.

Problème 3 : Windows 365 Entreprise : L’inscription d’Intune MDM a échoué

Comme indiqué dans les prérequis de Windows 365 Entreprise, il est nécessaire de disposer de plusieurs licences au préalable. Windows 365 effectue une inscription MDM dans Intune.

L’erreur ci-dessous montre que la configuration MDM dans Intune est incorrect.
Les contrôles des options du tenant dans Intune indiquent clairement un problème de licence.

Problème 4 : Windows 365 Entreprise : Erreur de passerelle lors de l’ouverture de session Windows 365

L’utilisateur souhaite accéder à son Cloud PC mais rencontre une erreur lors de l’ouverture de la session Windows. Ce problème peut se produire via l’interface web ou le client Remote Desktop :

Un reprovisionnement de licence Windows 365 ou de Cloud PC n’y change rien 😪.
Le Cloud PC est pourtant correctement provisionné dans Intune.

De mon expérience, le souci ici vient de l’utilisation d’un domaine managé Azure AD DS au lieu d’un domaine Active Directory. Voici un rappel des différents modèles d’identité compatibles avec les solutions de bureau à distance proposées par Microsoft :

Conclusion

Prenez le temps de lire les erreurs et de bien vérifier vos paramètres le cas échant afin de ne pas perdre trop de temps ou de motivation. Vous pouvez retrouver les documentations de gestion des erreurs ici et . En cas de doute, il faut ne pas hésiter à reprendre la documentation initiale de déploiement disponible . Faites part de vos remarques sur la solution Windows 365 dans les commentaires 😋.

Premières armes sur Windows 365

Annoncé il y a plusieurs mois Windows 365, le nouveau service de bureau à distance proposé par Microsoft, est disponible depuis le 2 août dernier. Voici une courte vidéo d’introduction à la solution ainsi qu’un lien vers la documentation Microsoft :

Dans cet article, nous allons présenter Windows 365 Cloud PC en répondant à plusieurs interrogations et aussi en déployant plusieurs éditions de démonstration. Voici le lien vers la FAQ officielle de Windows 365.

Questions / réponses

Quelles sont les solutions de bureau à distance actuellement proposées par Microsoft Cloud ?

Actuellement, il existe 2 services proposant du bureau à distance via le Cloud Azure. Le choix de la solution se fait alors selon les besoins utilisateurs, du niveau de management et du mode de facturation :

Quelles sont les différences techniques entre les 2 solutions de bureau à distance ?

La principale technologie employée dernière ces 2 solutions est identique : Azure. Windows 365 se positionne comme une offre parallèle à Azure Virtual Desktop. Le tableau ci-dessous nous montre les principales différences techniques entre ces 2 services :

On peut en déduire que Windows 365 est un service managé par Microsoft qui ne requiert presque aucune compétence sur Azure.

Pourquoi proposer Windows 365 en version Business et en version Entreprise ?

Deux éditions de Windows 365 sont disponibles : Windows 365 Business et Windows 365 Entreprise.

  • Windows 365 Entreprise : conçu pour les grandes entreprises qui souhaitent déployer des Cloud PCs au sein de leur organisation, sans limitation de licences et via une gestion Intune
  • Windows 365 Business : apporte des Cloud PCs autonomes, facile à mettre en place sans exigence de management

Quelles sont les prérequis ou limites à ces 2 éditions ?

  • Windows 365 Entreprise : Les utilisateurs ayant un PC Windows Pro : Windows 10 Enterprise E3 + EMS E3 ou Microsoft 365 F3/E3/E5/Business Premium. Les utilisateurs n’ayant pas de PC Windows Pro : Windows VDA E3 + EMS E3 ou Microsoft 365 F3/E3/F5/Business Premium
  • Windows 365 Business : aucune licence préalable n’est nécessaire. Un maximum de 300 licences est possible par tenant

Quelles sont les coûts par utilisateur de Windows 365 ?

Contrairement à Azure Virtual Desktop, Windows 365 apporte un calcul et une prédiction des coûts plus simple à anticiper : cela va dépendre de la puissance allouée à l’utilisateur 😉.

Voici un extrait de la liste des prix publics publiée par Microsoft.
Voici une seconde liste comparant les 3 éditions disponibles.

Existe t-il des coûts de bande passante comme pour Azure Virtual Desktop ?

Dans le cas de Windows 365 Entreprise, des coûts supplémentaires sur Azure sont à prendre en compte :

Le schéma d’architecture indiqué plus bas montre des connexions réseaux indispensables à son fonctionnement. Cette liaison est utilisée pour connecter Windows 365 à Active Directory, elle apporte aux utilisateurs l’accès à des ressources locales. La tarification Azure est donc appliquée pour l’utilisation du réseau.

Comment bien dimensionner les Cloud PCs des utilisateurs ?

Comme pour Azure Virtual Desktop, Microsoft met à disposition des recommandations de puissance selon les besoins des utilisateurs :

Si le besoin de puissance de l’utilisateur venait à changer, il est toujours possible de revoir cela :

Qu’est-ce que Windows Hybrid Benefit ?

A ne pas confondre avec Azure Hybrid Benefit, Windows Hybrid Benefit est permet de réduire le coût des licences Windows 365 Business. Les utilisateurs disposant déjà d’une licence Windows 10 Professionnel peuvent souscrire à cette licence à prix réduit. En revanche, cette option n’est pas disponible en édition Entreprise.

Que se passe t-il pour le Cloud PC si la licence Windows 365 de l’utilisateur est retirée ?

Il existe une période de grâce. Elle s’étend sur 7 jours avant que l’utilisateur ne perde l’accès à son cloud PC. Re-licencier et/ou réaffecter l’utilisateur pour remettre le cloud PC dans un état Provisionné.

Comment se connecter à son Cloud PC ?

Les utilisateurs peuvent accéder à leur Cloud PC de 2 manières différentes. Il s’agit ici des mêmes moyens de connexion que ceux disponibles via Azure Virtual Desktop :

Quelles sont les régions Cloud disponibles pour les Cloud PCs Windows 365 ?

Windows 365 est un service global. Mais le déploiement de Cloud PCs n’est disponible que dans certaines régions Azure. Vous trouverez la liste ici. Aucun doute que cette liste va s’agrandir dans le temps.

Quelles sont les possibilités de backup et de reprise d’activité avec Windows 365 ?

A date, on manque encore d’informations de la part de Microsoft sur ces 2 services déjà disponibles sur Azure Virtual Desktop.

Quels sont les liens possibles entre une infrastructure existante et Windows 365 ?

La réponse est : cela va dépendre de la licence Windows 365 choisie. Il existe une différence importante entre les éditions Business et Entreprise. Seule la seconde permet (et exige) d’établir une liaison “réseau à réseau”.

Cela est utile dans le cadre d’infrastructure existante dans Azure ou on-premise. Cette liaison est établie avant le premier déploiement des Cloud PCs. Ce lien réseau est utilisé pour :

  • Joindre les Cloud PCs à un domaine Active Directory existant
  • Permettre un accès réseau à des ressources locales via une passerelle Azure VPN ou autre

Pour approfondir le sujet, nous allons maintenant déployer 2 environnements pour Windows 365 :

  • Déploiement A : Edition Windows 365 Business
  • Déploiement B : Edition Windows 365 Entreprise

Déploiement A : Edition Windows 365 Business

Etape I : Achat d’une licence de démonstration Windows 365 Business

L’achat d’une licence de démonstration pour Windows 365 Business est possible depuis le centre d’administration de Microsoft 365. Vous retrouvez sur cette page 2 familles de produit Business :

  • Windows 365 Business
  • Windows 365 Business (avec Windows Hybrid Benefit)

3 plans de démo sont disponibles en essai gratuit pendant 60 jours. A noter que la quantité est 25 par défaut et grisée. Vous aurez donc et dans chacun des 3 plans qu’une seule licence Windows 365 Business affectable :

  • 2 vCPU, 4 GB, 128 GB
  • 2 vCPU, 8 GB, 128 GB
  • 4 vCPU, 16 GB, 128 GB

Vous pouvez rencontrer un souci lors de l’achat de licence d’essai avec le message d’erreur suivant :

Je n’ai pas encore d’information sur l’origine de cette erreur. Je pense que cela vient d’un nombre trop élevé de licences d’essai activées, dû à l’engouement pour Windows 365.

Etape II : Affectation de la licence Windows 365 Business à l’utilisateur

Une fois l’achat correctement terminé, il faut retourner sur la liste des utilisateurs du tenant pour affecter la licence d’essai Windows 365 Business à la personne de votre choix :

L’affectation de cette licence est aussi possible sur un groupe d’utilisateurs.

Et c’est bien tout ce qu’il faut faire pour la partie Windows 365 Business 😎! Une fois le déploiement du Cloud PC terminé, l’utilisateur peut directement s’y connecter.

Note : Déjà dit plus haut, le management des Cloud PCs sous cette licence est limité. Pas question ici de liaison réseau à réseau, ou de management via Intune.

Etape III : Connexion de l’utilisateur à Windows 365 Business

Comme indiqué dans le jeu de questions en début d’article, plusieurs méthodes de connexion à Windows 365 existent. Dans ce premier essai, nous allons utiliser ici la page web officielle de Windows 365 :

Tableau de bord montant à utilisateur son ou ses Cloud PCs.
L’interface web apporte également l’accès à certaines ressources locales du PC.
Comme pour l’accès à Azure Virtual Desktop, une seconde authentification est demandée pour ouvrir la session Windows de l’utilisateur.

Etape IV : Contrôles du déploiement de Windows 365 Business

Le premier contrôle s’effectue directement sur le Cloud PC. Nous en apprenons un peu plus ici sur la jointure effectuée par Windows 365 :

Une fois connecté sur le Cloud PC, la commande dsregcmd /status affiche la jointure à Azure AD, mais aussi l’absence de liaison avec un domaine Active Directory.

Comme attendu, la mention AzureAdJoined à YES indique que le Cloud PC est bien enregistré dans Azure AD :

Pour finir, nous ne retrouverons pas ce Cloud PC dans la section dédiée à Windows 365 du portail Intune :

Les éditions Windows 365 Business n’ont pas cette fonctionnalité.

Déploiement B : solution Windows 365 Entreprise

La Tech Community a déjà mis à disposition une aide au déploiement pour Windows 365 Entreprise. Vous pouvez la consulter ici.

Voici un déroulé étape par étape sur mon tenant de test :

Etape 0 : Rappel des prérequis

Contrairement à l’édition Windows 365 Business, celle-ci demande plusieurs prérequis pour déployer correctement les Cloud PCs:

  • Licences utilisateurs : Pour les utilisateurs ayant déjà un PC en Windows Pro : Windows 10 Enterprise E3 + EMS E3 ou Microsoft 365 F3/E3/E5/Business Premium. Pour les utilisateurs n’ayant pas de PC en Windows Pro : Windows VDA E3 + EMS E3 ou Microsoft 365 F3/E3/F5/Business Premium
  • Licence pour l’administrateur : Licencier le ou les administrateurs des Cloud PCs via une licence Intune Service Admin
  • Souscription Azure : Disposer d’une souscription Azure valide avec un rôle de propriétaire pour le réseau virtuel de Windows 365
  • Réseau virtuel Azure : Déployer un réseau virtuel sur la souscription Azure ci-dessus. Vérifier que la configuration DNS du réseau virtuel soit faite pour utiliser un domaine Active Directory
  • Domaine Active Directory : Disposer d’un domaine Active Directory accessible via le réseau virtuel ci-dessus. Ce domaine peut provenir d’une architecture on-premise ou hébergé dans Azure. A date, il n’est pas encore possible de faire fonctionner Windows 365 avec Azure AD Domain Services (Etape I)
  • Azure AD Connect : Synchroniser les identités Active Directory avec Azure AD, mais également activer la fonction Hybrid Azure AD Join (Etape II)

Test Azure Active Directory Domain Services -> KO

J’ai voulu faire un test de jointure entre Windows 365 et Azure AD DS. Voici le domaine managé correctement déployé :

Seulement l’absence d’Hybrid Join avec Azure AD DS provoque une erreur lors du provisionnement du Cloud PC :

Etape I : Activation de la fonction Hybrid Azure AD join via Azure AD Connect

L’outil Microsoft Azure AD Connect a été conçu pour vous permettre d’atteindre et de remplir vos objectifs en matière d’identité hybride. La dernière version est téléchargeable ici.

Dans mon domaine Active Directory, j’ai déjà préparé des utilisateurs pour mon futur environnement Windows 365.
Grâce à Azure AD Connect, je retrouve bien mes utilisateurs dans Azure AD.
Un retour dans la configuration d’Azure AD Connect permet d’activer la fonction. de jointure hybride.

Une fois tous les prérequis validés, l’étape suivante consiste à prendre des licences Windows 365 Entreprise pour les utilisateurs.

Etape II : Achat d’une licence de démonstration Windows 365 Entreprise

Comme pour l’édition Business, il est possible de prendre une licence de démonstration pour Windows 365 Entreprise. Cette opération est possible depuis le centre d’administration de Microsoft 365 :

De la même façon, Les 3 mêmes plans de démo sont disponibles en essai gratuit de 60 jours :

  • 2 vCPU, 4 GB, 128 GB
  • 2 vCPU, 8 GB, 128 GB
  • 4 vCPU, 16 GB, 128 GB

Comme pour l’édition Business, vous pouvez rencontrer un souci lors de l’achat de licence d’essai avec le message d’erreur suivant :

Même erreur que celle constatée lors de l’achat de licence d’essai Business.

Etape III : Affectation de la licence Windows 365 Entreprise à l’utilisateur

Une fois l’achat correctement passé, il faut retourner sur la liste des utilisateurs pour affecter la licence à la personne de votre choix :

L’affectation de cette licence est aussi possible sur un groupe d’utilisateurs.

L’affectation de la licence Windows 365 Entreprise à un utilisateur est directement visible dans la console Intune via le suivant :

L’ajout de la ligne dans cet écran est automatique et instantané.

Etape IV : Création de la connection vers le réseau on-premise

Une connexion réseau est requise pour déployer des Cloud PCs Windows 365 Entreprise. La création de cette liaison entre Windows 365 et le réseau virtuel d’Azure se fait directement depuis le portail Intune :

Le rôle de propriétaire de la souscription Azure est nécessaire pour effectuer cette liaison.

Les éléments renseignés ci-dessous sont propres à votre domaine Active Directory :

Dans mon exemple, j’ai créé une OU spécifique pour les Cloud PCs. Cette OU est prise en compte dans la synchronisation via Azure AD Connect.
Il est possible de créer plusieurs connexions réseau Windows 365 dans un même tenant.
Une fois la création réseau lancée, un check est effectué afin de vérifier que tout est en ordre.

Le processus de check peut prendre plusieurs dizaines de minutes. Voici différents résultats possibles :

Tout est bon 😎.
Si la fonction Hybrid Azure AD join n’est pas activée chez vous, vous rencontrerez l’alerte ci-dessus.

Etape V : Création de la police de provisionnement

Une dernière étape de paramétrage est nécessaire dans Intune pour lier la connexion réseau avec les Cloud PCs Windows 365 Entreprise, grâce à une police de provisionnement :

Comme indiqué dans les prérequis, le compte utilisé pour créer cette police doit disposer du rôle Intune Service Admin.
La connection on-premise est obligatoire pour créer la police de Windows 365 Entreprise.
La police fait appel à des images personnalisées ou préconstruites.
Liste des images préconstruites par Microsoft.

L’assignation des utilisateurs à cette police doit être en cohérence avec les licences Windows 365 Entreprise précédemment affectées. Il est donc préférable dans les deux cas d’assigner via un seul et même groupe d’utilisateurs :

A ce stade, le status du Cloud PC Windows 365 Entreprise va automatiquement évoluer :

Le processus de provisionnement des Cloud PCs prend entre 20 et 30 minutes environ.

Après un laps de temps, les Cloud PCs sont provisionnés ou remontent en erreur :

Pour l’erreur sur le premier utilisateur, la fonction Hybrid Join n’a pas été correctement activée dans Azure AD Connect.

Pour le second utilisateur, tout est bon pour lui, l’étape suivante va consister à se connecter à Windows 365.

Etape VI : Connexion de l’utilisateur à Windows 365 Entreprise

Comme indiqué pour l’édition Business, plusieurs méthodes de connexion à Windows 365 sont possibles. Cette fois-ci, nous allons utiliser le client Windows Remote Desktop :

Une fois authentifié, le Cloud PC apparaît de la même manière qu’une machine d’Azure Virtual Desktop.
Comme pour Azure Virtual Desktop, une seconde authentification est demandée pour ouvrir la session Windows de l’utilisateur.

Etape VII : Contrôles du déploiement de Windows 365 Entreprise

Le premier contrôle s’effectue directement sur le Cloud PC. Nous en apprenons un peu plus ici sur la jointure effectuée par Windows 365 :

Une fois connecté sur le Cloud PC, la commande dsregcmd /status nous permet de constater la jointure à Azure AD et la liaison avec le domaine Active Directory.

Comme pour l’édition Business, la mention AzureAdJoined à YES indique que le Cloud PC est bien enregistré dans Azure AD :

Gestion des Cloud PCs via Intune.

Gestion des erreurs dans le déploiement

Microsoft met à disposition des aides concernant la résolution de souci de déploiement sur Windows 365. Vous pouvez retrouver cette documentation ici ou . En cas de doute, il faut ne pas hésiter à reprendre la documentation initiale de déploiement disponible .

Dean de l’Azure Academy nous propose cette vidéo très explicative sur le déploiement de l’édition Entreprise.

Conclusion

Windows 365 est une nouvelle approche de bureau à distance s’appuyant sur Azure. Nul doute que la solution va encore évoluer pour apporter encore plus de fonctionnalités et de simplicité. Faites part de vos remarques sur la solution Windows 365 dans les commentaires 😋.

AZ-700: Designing and Implementing Microsoft Azure Networking Solutions (beta)

Une nouvelle certification Azure a vu le jour en juillet 2021. Cette dernière, baptisée AZ-700, s’intéresse tout particulièrement à la gestion et la sécurisation des réseaux au sein d’Azure. A l’heure où ces lignes sont écrites, la certification est en phase BETA et pendant encore plusieurs semaines. Vous n’aurez donc pas les résultats de réussite ou d’échec après la fin de votre examen. Vous devrez attendre entre une et deux semaines après la fin de la phase BETA.

Vous pouvez consulter la page de la certification AZ-700 ici, vous pouvez télécharger le contenu détaillé de l’examen et enfin suivre le parcours d’apprentissage Microsoft via ce lien. Sans attendre, beaucoup de guides ont déjà fleuri sur la toile. En voici donc quelques liens :

Voici également des vidéos, nécessitant pour certains un abonnement payant à un site :

Pour ma part, voici les éléments d’apprentissage que j’ai utilisés pour préparer cette certification AZ-700 :

AZ-700 : Réactions à chaud

J’ai passé la certification AZ-700 il y a seulement quelques heures ::

  • J’ai eu à répondre à 59 questions, dont certaines dans deux use-cases et d’autres dans deux jeux de questions à réponses Oui/Non
  • Le temps règlementaire pour cet examen était 120 minutes

Voici mon ressenti sur cet examen beta :

  • Toutes les questions respectent bien le thème réseau.
  • Répartition équitable des questions sur chacune des grandes parties.
  • Cohérence entre le parcours d’apprentissage et les questions de la certification
  • Une bonne connaissance des SKUs (et de leurs différences) est nécessaire pour certaines questions. Il faut donc prendre le temps de consulter les fiches techniques.
  • On ne le dira jamais assez, mais il est impératif pour toute certification de niveau Associé de tester soi-même les différents services Azure / SKUs.

L’examen AZ-700 dans le détail

Voici les grandes parties de cet examen :

  • Design, Implement, and Manage Hybrid Networking (10% to 15%)
  • Design and Implement Core Networking Infrastructure (20% to 25%)
  • Design and Implement Routing (25% to 30%)
  • Secure and Monitor Networks (15% to 20%)
  • Design and Implement Private Access to Azure Services (10% to 15%)
Merci à Stanislas Quastana. Vue zoomée disponible ici.

Design, Implement, and Manage Hybrid Networking (10–15%)

Cette partie ne représente pas le plus gros pourcentage de cette certification. Pourtant, beaucoup de questions tournent autour du VPN d’Azure (Gateway Subnet, VPN Gateway, Local network gateway, …). Peu importe le type de connection (S2S ou P2S), la connaissance des différents protocoles (OpenVPN, SSTP ou IKEv2) et les méthodes d’authentification est requise. Prenez donc le temps de déployer différents VPNs dans Azure sur un environnement de test. Essayer aussi de combiner cela avec Azure AD, quand cela est possible.

Ayant passé beaucoup de temps dans mes révisions sur le service Azure ExpressRoute, je m’attendais à plus de question dessus 😂. Il y en a bien quelques-unes. Là encore, on vous demande de maitriser les composants nécessaires, les différents SKUs et les débits possibles pour cette connexion.

Design and Implement Core Networking Infrastructure (20–25%)

Cette partie se concentre vraiment sur les réseaux virtuels. Autant vous dire qu’il s’agit d’un point majeur de cette certification. Je peux même m’avancer, sans trop me tromper, qu’absolument toutes les questions de l’AZ-700 parlent systématiquement d’un context avec un ou plusieurs réseaux virtuels. Il faut donc savoir avec précision :

  • Paramétrages les zones DNS privées
  • Paramétrages et options de peering entre les réseaux virtuels
  • Subnets spécifiques à certains services Azures (Bastion, Gateway, …)
  • Gestion et accès dans la création de points de terminaison (Privés, Services)
  • Caractéristiques et composants d’un Azure WAN (SKUs)

En revanche, et cela va peut-être en décevoir certains, peu de questions vraiment facile sur l’adressage même des réseaux 😥

Diagram of high-level workflow of enterprise environments with central DNS resolution and where name resolution for Private Link resources is done via Azure Private DNS.

Design and Implement Routing (25–30%)

De mémoire, je ne pense pas avoir eu beaucoup de questions sur la partie routing ou NAT. A l’inverse, je peux dire que j’ai été bombardé de questions sur les services Azure suivants 😁:

  • Azure Application Gateway
  • Azure Load Balancer
  • Azure Front Door
  • Azure Traffic Manager profile

Je ne vous apprends rien ici, ces services sont au cœur de nombreuses architectures. Ils nécessitent d’être bien configurés selon le besoin, donc de nombreuses questions reposant principalement sur le choix du bon SKU.

Ce qui m’a bien aidé dans mon cas : les exercices proposés dans le parcours d’apprentissage. Je les ai tous faits et refaits plusieurs fois et j’ai même testé des cas alternatifs par simple curiosité, et pour être sûr d’avoir bien assimilé les fonctionnalités.

Secure and Monitor Networks (15–20%)

Le monitoring est très souvent le parent pauvre dans les certifications Microsoft. Il en est même dans les tâches quotidiennes. Pourquoi s’y investir quand tout marche bien ? Car dans la vie de tous les jours, tout ne marche pas toujours bien tout le temps !

Azure Monitor.

Pour le reste, les NSG sont bien présent dans cette certification. Attendez-vous donc à beaucoup de questions sur ce sujet mais aussi dans les use cases. Le WAF (Web Application Firewall) est aussi une ressource importante car elle est présente dans plusieurs services Azure. Prenez donc le temps de tester ses fonctionnalités de filtrage avec ses combinaisons conditionnelles.

Network security group example setup
Network Security Groups.
Les groupes de sécurité d’application permettent de regrouper les machines virtuelles et définir des stratégies de sécurité réseau basés sur ces groupes.

Design and Implement Private Access to Azure Services (10–15%)

Il s’agit d’une des dernières parties du programme de l’AZ-700, à ne surtout pas négliger à mon avis. Les services Azure Private Endpoint et Azure Service Endpoint sont très présents dans beaucoup de questions proposant des scénarios à décortiquer. Il est donc conseillé d’avoir déployé plusieurs fois ces deux services et d’avoir pu tester leurs liaisons possibles, ou impossibles, avec les réseaux virtuels.

Enfin, la partie des App Services et Kubernetes est assez réduite dans le descriptif et n’a donc que peu de chance de se retrouver dans les questions pour votre certification.

Conclusion

Au final, il s’agit d’une certification Microsoft comme on les aime, mais aussi comme on les déteste. Le thème est très précis, mais les possibilités d’application sont immenses !

De niveau associé, cette certification n’offre aucune question sur la compréhension des grands principes des services Azure. Ici, les questions sont toutes contextualisées dans des cas d’usage demandant des connaissances approfondies avec une bonne dose de logique. Avec de l’expérience, on peut facilement isoler des réponses improbables, pour n’avoir qu’un choix final entre deux réponses.

Ne soyez pas stressé par le temps, vous en avez toujours assez ! Et aussi ne surtout pas “bâcler” pas les dernières questions ou l’ultime relecture des réponses, car vous voulez tout simplement voir le “bout du tunnel” (expérience personnelle).

Je ne m’avancerai pas sur mon résultat de cette BETA 😅.

Comme à chaque fois, pensez également à partager dans les commentaires vos propres expériences sur cette certification 😋.

AVD + Azure AD Join

Attendu depuis longtemps par la communauté Azure Virtual Desktop, Azure AD Join est enfin là ! Lancé il y a seulement quelques jours en public preview, la possibilité de se passer d’un Active Directory pour environnement AVD permet d’envisager certains projets avec une architecture 100% Cloud. Dans cet article, nous allons voir ensemble cette fonctionnalité et les bénéfices apportés par cette dernière.

Point important : cette amélioration pose un souci pour l’utilisation de la gestion des profiles via FSLogix, car l’utilisation d’un partage de fichier nécessite une authentification SMB, non possible pour l’instant via la gestion des identités Azure AD.

Introduction

Gestion des identités sur Azure Virtual Desktop : Rappel de l’existant

Jusqu’à présent, un environnement Azure Virtual Desktop (anciennement Windows Virtual Desktop) nécessitait de joindre les machines virtuelles Azure à un domaine Active Directory. Ce domaine pouvait provenir d’un Windows Server, ayant le rôle d’Active Directory sur un machine virtuelle Azure, ou via le service de domaine managé Azure AD DS.

Merci à Dean pour cette explication claire sur la gestion des identités sous AVD.

Qu’est-ce qu’un périphérique joint à Azure AD ?

La jonction Azure AD est destinée aux organisations axées en priorité ou uniquement sur le cloud. Toute organisation peut déployer des appareils joints Azure AD, quels que soient leur taille et leur secteur d’activité. La jonction Azure AD fonctionne même dans un environnement hybride et permet l’accès aux applications et ressources locales et cloud

Documentation Microsoft

Attention, il est possible de joindre des machines en Windows 10 à Azure AD, à l’exception de Windows 10 Famille.

Cette jointure à Azure AD est prévu à l’origine pour des entreprises ne disposant pas d’une infrastructure Windows Server Active Directory locale.

Dans le cas contraire, il est malgré tout possible de fonctionner de manière hybride. L’avantage sera de protéger les appareils Windows 10, tout en conservant l’accès aux ressources locales qui nécessitent une authentification locale. Dans ce cas précis, nous parlerons alors des machines jointes à Azure AD hybride. Ces appareils sont joints à votre annuaire Active Directory local et à votre Azure AD.

Appareils joints Azure AD

Pourquoi se passer d’un contrôleur de domaine pour AVD ?

Le premier argument est le coût ! Beaucoup de projets Azure Virtual Desktop sont petits et concernent un petit nombre d’utilisateurs en Remote Desktop. L’ajout d’un domaine sur des VMs ou via un domaine managé augmente la facture environ plus une centaine d’euros par mois .

Enfin, la gestion des machines AVD peut également se faire via Intune (Endpoint Manager). Que vous utilisiez des machines virtuelles partagées ou individuelles pour AVD, Intune peut gérer les deux 😋Un précédent article en parle et explique le processus d’intégration sur Intune pour les machines AVD partagées ici.

Vue générale des fonctionnalités d’Intune (MEM + MAM).

Déploiement d’un AVD utilisant Azure AD

On y est ! On va détailler ici, étapes par étapes, la création d’un environnement Azure Virtual Desktop en ne disposant d’aucun domaine Active Directory en place. Pour rappel, à l’heure où ces lignes sont écrites, la fonctionnalité de jointure avec Azure AD est toujours en public preview.

Etape I : Création du réseau virtuel

Habituellement, le réseau virtuel hébergeant AVD est déjà présent par le domaine existant. Dans un environnement vide, il faut donc commencer la création de celui-ci en premier :

Je prends soin de choisir la région adaptée à mon architecture AVD.

La configuration de la plage réseau et des sous-réseaux ne change pas d’un projet classique AVD. Dans mon exemple rapide, on ira au plus simple :

Une fois la création du réseau virtuel terminée, je peux passer à la création de mon environnement Azure Virtual Desktop.

Etape II : Déploiement d’Azure Virtual Desktop

Comme pour un déploiement classique d’Azure Virtual Desktop, notre travail commence par déployer un pool d’hôtes. Vous trouverez ce dernier dans la barre de recherche d’Azure :

Taper “virtual desktop” dans la barre de recherche pour voir le service AVD apparaître.

La procédure de départ reste identique au processus habituel pour AVD. Cependant, il est important de cocher la Validation environnement à OUI pour réussir la jointure avec Azure AD :

Dans mon exemple, j’ai choisi un host pool composé de VMs personnelles, il est possible de le faire avec des VMs partagées.

Note : l’assignement de type automatique dans le cadre de machines virtuelles individuelles va directement affecter ces dernières aux personnes se connectant à AVD dans la mesure où ces utilisateurs y sont autorisés.

Dans l’onglet des machines virtuelles, je défini les options relatives à ces dernières. Aucune particularité concernant la jointure avec Azure AD dans la première partie :

La copie d’écran ci-dessous concernant Azure AD et connaît une évolution sur deux points :

  • Type de domaine à joindre : il est maintenant possible de choisir Azure Active Directory
  • Intune : il est également possible d’automatiser l’enrôlement des machines virtuelles AVD dans Intune. Cela permet de configurer ces dernières, que ce soient des machines virtuelles dédiées ou partagées entre utilisateurs.
En sélectionnant Azure Active Directory, un certain nombre de champs disparaissent de la configuration de base. Plus besoin ici de renseigner un login du domaine.

La création de l’espace de travail ne change pas par rapport aux environnements AVD classiques :

Une fois tous les champs correctement renseignés, il ne reste plus qu’à lancer la création des ressources :

Il faut compter une bonne quinzaine de minutes pour la création de cet environnement AVD et les 2 VMs.

Une fois la création terminée, nous pouvons constater les ressources suivantes dans notre groupe de ressources :

Etape III : Affectation des utilisateurs

Comme pour tout environnement Azure Virtual Desktop, il est nécessaire d’affecter des utilisateurs ou des groupes d’utilisateurs pour que ces derniers soient autorisés à se connecter aux machines virtuelles. Cela se passe par ici :

L’affectation ne se fait pas au niveau du pool d’hôtes, mais bien sur le groupe d’applications créé durant le même processus.

Etape IV : Ajout d’un argument RDP

Pour que la connexion RDP avec l’identité utilisateur Azure AD se fasse bien, il est nécessaire d’ajouter un argument spécifique. La gestion des propriétés RDP se font directement sur le pool d’hôtes d’AVD :

targetisaadjoined:i:1

La copie d’écran ci-dessus montre le paramétrages des options RDP possibles.

Vous retrouverez ici la liste de toutes les options RDP possibles, dont seulement certaines sont compatibles avec Azure Virtual Desktop. Voici les arguments utilisés sur la copie d’écran ci-dessus :

drivestoredirect:s:;audiomode:i:0;videoplaybackmode:i:1;redirectclipboard:i:1;redirectprinters:i:1;devicestoredirect:s:;redirectcomports:i:1;redirectsmartcards:i:1;usbdevicestoredirect:s:*;enablecredsspsupport:i:1;use multimon:i:1;targetisaadjoined:i:1

Etape V : Ajout des rôles RBAC

Afin d’autoriser les utilisateurs à se connecter aux machines virtuelles, l’attribution des rôles RBAC est nécessaire. Pour rappel, ces rôles sont différents de ceux dans Azure AD, puisqu’ils sont affectés au ressources d’Azure. Dans notre AVD, l’affectation de deux rôles RBAC est nécessaires et se font assigner directement le groupe de ressources AVD :

  • Virtual Machine Administrator Login : Groupe d’utilisateurs ayant les droits d’administrateur local sur les machines virtuelles AVD
  • Virtual Machine User Login : Affecter le rôle Virtual Machine User Login au même groupe d’utilisateurs que celui utilisé pour le groupe d’application AVD

Test de la solution côté utilisateur :

Une fois les étapes précédentes terminées, il ne reste plus qu’à tester le bon fonctionnent de la solution. Cela se fait en téléchargeant le client Remote Desktop PC dédié à Azure Virtual Desktop (téléchargeable ici), ou via l’accès web multi-plateformes (accessible )

Application Remote Desktop

Renseigner ici un compte Azure AD présent dans le groupe d’utilisateurs AVD.
L’écran de gestion du poste arrive dans la foulée, inutile de lier votre poste local à l’identité Azure AD.

L’écran ci-dessous nous emmène sur l’environnement Azure Virtual Desktop. Ici se trouvent tous les espaces de travail affectés à l’utilisateur, dans lesquels se trouvent toutes les applications (Remote Desktop ou Remote Apps) affectées à l’utilisateurs :

Ecran du Remote Desktop PC.

Une seconde demande d’authentification est affichée pour accéder à la machine virtuelle via le protocole RDP :

Le mot de passe peut être mémorisé pour éviter la ressaisie ultérieure.

Une fois le mot de passe saisi, l’ouverture d’une fenêtre RDP donne l’accès au bureau Windows 10 d’AVD. A noter que la jointure AVD apporte également le Seamless Sign on, rendant l’expérience utilisateur encore plus agréable :

Accès Web

Il est également possible de se connecter à Azure Virtual Desktop via un navigateur internet. Pour rappel, la page d’accès est la suivante : aka.ms/wvdarmweb :

Comme pour l’application Remote Desktop, l’authentification utilise le compte Azure AD.

On se retrouve alors, de la même manière que précédemment, sur une page donnant accès aux espaces de travail et aux applications :

Une seconde demande d’authentification est demandée pour accéder à la machine virtuelle.

Vérifications Azure Virtual Desktop

Vérification de la jointure sur la machine virtuelle

Afin de regarder plus en détail cette jointure, la commande dsregcmd /status sur la machine virtuelle AVD nous en dit plus :

La jointure avec Azure AD est bien là mais aucune jointure à un domaine n’est faite.
Les informations relatives au tenant d’Azure AD.
Les informations relatives à l’activation de la fonctionnalité SSO.

Vérification de l’ajout des machines virtuelles dans Azure AD

Les machines virtuelles créées par Azure Virtual Desktop sont bien retranscrites dans la section Devices d’Azure AD. Cet ajout est réalisé lors de la jointure des machines virtuelles à Azure AD :

Vérification de l’ajout des machines virtuelles dans Intune

Comme j’ai coché la gestion des machines virtuelles AVD via la solution Intune, je retrouve bien mes machines virtuelles dans la console de cette dernière (lien ici)

Vérification du pool d’hôtes d’Azure Virtual Desktop

Comme cet exemple reposait sur un environnement AVD avec des machines virtuelles individuelles, je retrouve bien sur chacune un utilisateur assigné :

Gestion des erreurs liées à la jointure avec Azure AD

Il est possible de rencontrer des erreurs lors du déploiement de cet environnement AVD, en jointure avec Azure AD. Pour vous aider, Microsoft met à votre disposition cette page d’aide. Voici quelques exemples d’erreurs possibles :

Les machines virtuelles sont bien déployées, mais elles sont encore marquées comme indisponibles, plusieurs minutes après le déploiement d’AVD :

>> Avez-vous bien marqué à OUI la case de validation de l’environnement ?

Erreur de mot de passe de l’ouverture de la session RDP : “The logon attempt failed”

J’ai passé du temps sur cette erreur 😎.

>> Si vous rencontrez une erreur indiquant que la tentative de connexion a échoué à l’invite des informations d’identification de sécurité Windows, vérifiez les éléments suivants :

  • Vous êtes sur un appareil qui est joint à Azure AD ou à Azure AD hybride au même locataire Azure AD que l’hôte de session OU
  • Vous êtes sur un appareil exécutant Windows 10 2004 ou version ultérieure qui est Azure AD enregistré auprès du même locataire Azure AD que l’hôte de session
  • Le protocole PKU2U est activé à la fois sur le PC local et sur l’hôte de session

La dernière hypothèse est fortement probable dans ce cas. Il faut donc penser à vérifier cette option sur la machine locale ET sur la machine virtuelle AVD, grâce à la commande secpol.msc :

Cette option est également configurable via GPO. la commande rsop.msc vous permet de voir cela.

Conclusion

Comme à chaque fois, Dean de l’Azure Academy nous met à disposition une vidéo très explicative sur tout le processus de cette nouvelle fonctionnalité d’Azure Virtual Desktop :

On attend bien évidemment avec impatience la prise en charge de la solution FSLogix dans ce scénario de jointure avec Azure AD. Comme à chaque fois, pensez également à partager dans les commentaires vos propres expériences sur Azure Virtual Desktop 😋