Avez-vous entendu parler de Nerdio ? Vous savez vaguement que ça « simplifie AVD », mais vous n’avez jamais mis les mains dedans. Cet article est fait pour vous : on va dérouler, capture après capture, tout ce qu’il faut faire pour aboutir à un utilisateur qui clique sur Windows App et qui ouvre un bureau AVD propre, avec son profil FSLogix qui suit. Vous voulez en savoir un peu plus ? Cet article est fait pour vous.
À chaque étape je montre en parallèle ce qui apparaît côté portail Azure, parce que c’est très bien Nerdio, mais il faut comprendre ce qu’il fabrique réellement dans votre subscription. Avant de plonger dans le tuto, deux vidéos pour planter le décor :
- La première fait le tour rapide des deux produits Nerdio :
- Nerdio Manager for Entreprise
- Nerdio Manager for MSP
- La seconde montre un déploiement en moins de 5 minutes :
Pour vous guider plus facilement dans cet article, voici des liens rapides :
- 1. Les prérequis (vNet, NAT gateway, FSLogix)
- 2. Déployer Nerdio Manager for Enterprise depuis le Marketplace
- 3. Initialiser le Nerdio Manager (PowerShell + consent)
- 4. Enregistrer son install et premier login
- 5. Configuration initiale (services, vNet, AD, FSLogix)
- 6. Le Grant Admin Consent final
- 7. Tour des ressources Azure créées par Nerdio
- 8. Downgrade dev/test pour faire baisser la facture
- 9. Créer un Workspace
- 10. Créer un Host Pool
- 11. Configurer le Host Pool (RDP, SSO Entra ID, time limits)
- 12. Assigner les utilisateurs
- 13. Tester la connexion utilisateur
- 14. Vérifier le résultat côté Nerdio et FSLogix
1. Les prérequis
Avant de cliquer sur quoi que ce soit dans le Marketplace Azure, vous devez avoir plusieurs briques en place. Si elles ne sont pas là, vous allez avoir des erreurs classiques du genre « no subnet available » ou « FSLogix path unreachable » pendant la configuration de Nerdio. Autant les poser proprement avant.
Premier prérequis : un Virtual Network. Le vNet doit être joignable depuis votre Active Directory (ou être Entra ID joined comme chez moi), et c’est là-dedans que les session hosts vont atterrir :
Deuxième prérequis : un NAT gateway, associé à vos subnets AVD et Windows 365. La NAT gateway est la solution la plus simple, bien qu’il en existe d’autres (voir mon article) :
Troisième prérequis : un compte de stockage pour FSLogix :
2. Déployer Nerdio Manager for Enterprise depuis le Marketplace
Direction le Marketplace Azure, on tape nerdio et on tombe sur plusieurs offres. Celle qui nous intéresse dans cet article est Nerdio Manager for Enterprise (à ne pas confondre avec Nerdio Manager for MSP qui est pour les prestataires multi-tenants) :
Sur la fiche produit, on voit que le pricing est en « BYOL via Microsoft Enterprise Contract », vous payez Nerdio sur votre facture Azure (Marketplace), pas via une licence séparée.
On clique sur Create :
L’écran Create NME Plan est un assistant Azure classique :
- Premier onglet, Basics : on choisit la subscription, on crée un nouveau Resource Group dédié, et on sélectionne la région :
- Onglet Resource Names : on définit un préfixe et on laisse les noms par défaut. À ce stade vous voyez déjà la liste de ce qui va être déployé :
- Onglet Private Endpoints : en prod vous activerez les private endpoints pour blinder la sécurité (l’App Service et le SQL deviennent inaccessibles depuis Internet). Pour notre lab dev/test on laisse décoché :
- Onglet Tags : standard, vous appliquez vos tags habituels :
Et enfin Review + create. Vous validez les conditions Marketplace, vous vérifiez l’adresse mail (qui sera utilisée par Nerdio pour vous joindre support / facturation), et vous cliquez Create.
Le déploiement prend entre 5 et 15 minutes selon la région et la charge Azure du moment :
Dans l’onglet Outputs, vous récupérez l’URL de votre App Service Nerdio :
3. Initialiser le Nerdio Manager
On ouvre l’URL de l’App Service.
Premier accueil : Nerdio vous demande de lancer un script PowerShell qui va finir la plomberie (permissions, secrets, certificat dans Key Vault, app registration Entra ID) :
Cliquez sur Copy pour récupérer la commande PowerShell, puis ouvrez le Cloud Shell directement depuis l’icône en haut du portail Azure :
Vous collez la commande, vous appuyez sur Entrée et vous laissez tourner :
À la fin vous devez voir un Deployment completed successfully :
Pendant l’exécution, Entra ID vous demande de donner le consent admin pour l’app Nerdio. Cochez « Consent on behalf of your organization » et cliquez Accepter :
Si vous voulez vérifier, allez sur la page Enterprise Application nerdio-nmw-app dans Entra ID, onglet Permissions. Vous devez voir une liste impressionnante de permissions Microsoft Graph :
C’est cette app registration qui va piloter votre tenant à la place de Nerdio.
4. Premier login et registration
Une fois le script PowerShell terminé, on retourne sur l’URL Nerdio et on rafraîchit la page. Cette fois on a l’écran d’accueil avec votre tenant Entra ID et votre subscription pré-remplis. On clique sur Register Nerdio Manager.
Petit formulaire de registration côté Nerdio (Company, Name, Email, Phone) :
On clique sur Next :
5. Configuration initiale (services, vNet, AD, FSLogix)
Étape Services : Nerdio vous demande quels services vous voulez manager. Dans mon lab j’ai tout coché : Azure Virtual Desktop, Windows 365 (Cloud PCs) et Intune (Physical endpoints) :
Étape Configuration : Nerdio vous demande trois choses, dans cet ordre : un vNet, un Directory (Entra ID, AD DS, ou Entra Domain Services), et un emplacement FSLogix. On clique sur le bouton Configure à côté de Features and scope pour commencer par paramétrer Intune :
Sur la fenêtre Configure Intune, vous choisissez ce que Nerdio a le droit de faire sur Intune : Manage / Read-only / N/A pour chaque feature (devices, group membership, scripts, conditional access, app policies, etc.) :
Ensuite on revient et on configure le VNet : on le link au subnet AVD :
Puis Directory : C’est ce profil qui dira aux session hosts de se joindre automatiquement et de s’enrôler dans Intune au boot :
Enfin FSLogix Profiles Storage Configuration. On pointe le path UNC du share, et on coche absolument « Configure session hosts registry for Entra ID joined storage » :
Une fois les trois choses configurées, vous voyez l’écran de Configuration avec les trois boutons remplis (vNet sélectionné, Directory Entra ID, FSLogix location renseigné), on clique sur Done.
La console Nerdio charge alors la configuration pendant plusieurs minutes :
6. Le Grant Admin Consent final
Nerdio détecte qu’il a besoin de permissions supplémentaires pour fonctionner sur l’étendue que vous venez de définir (vNet, FSLogix, Intune).
Une popup Grant Consent apparaît, avec un warning : « The list of required permissions can take some time to fully populate. You may need to grant permissions multiple times. »
Cliquez sur le lien pour ouvrir la fenêtre de consent Entra ID.
Vous validez la longue liste de permissions et vous cliquez Accept. Vous obtenez alors l’écran « Admin Consent granted » :
Côté portail Azure, vous pouvez vérifier sur l’Enterprise App nerdio-nmw-app que les permissions Microsoft Graph sont maintenant à 29 (au lieu de 25 avant) :
De retour dans Nerdio, on coche « I have granted admin consent » et on clique OK.
7. Tour des ressources Azure créées par Nerdio
Voilà, vous arrivez sur le dashboard Workspaces de Nerdio. Il est vide pour le moment, on va y revenir :
Maintenant, allez voir côté portail Azure, vous derviez voir les services Azure suivants :
- App Service / App Service Plan + Application Insights
- 2 Automation Account
- Data Collection Endpoint + Data Collection Rule + 2 Log Analytics Workspaces
- Key Vault Runbook
- Smart detector alert rule
- SQL database + SQL server
- Storage Account
Et dans l’IAM de votre vNet, vous voyez maintenant l’app registration nerdio-nmw-app avec trois rôles : Reader et Backup Reader hérités au niveau subscription, et Network Contributor sur le vNet lui-même :. C’est ce qui permet à Nerdio de créer des NICs et de gérer les session hosts dans votre subnet.
8. Downgrade dev/test pour faire baisser la facture
16 ressources Azure pour faire tourner une simple app web de management, ça pique un peu, surtout quand on découvre que Nerdio déploie par défaut :
- App Service Plan en B3 (~150 €/mois)
- SQL Database en S1 (~22 €/mois).
Total déploiement par défaut : autour de 248 $/mois rien que pour la console Nerdio elle-même, sans compter vos session hosts.
Nerdio le sait, et pour les environnements dev/test ou POC, ils documentent officiellement un downgrade qui fait tomber la facture à environ 60 $/mois.
Concrètement, vous allez sur la SQL Database, onglet Compute + storage, et vous basculez en Basic (For less demanding workloads) à 5 DTUs et 2 GB de data, coût estimé : 6,11 $/mois :
Puis sur l’App Service Plan, vous faites un Scale up et vous descendez de B3 vers B1 (Basic). Coût estimé : ~8,40 €/mois.
9. Créer un Workspace
On revient dans Nerdio.
Première chose à faire : aller dans Settings > Environment > Linked Resource Groups et vérifier qu’on a bien linké le RG dans lequel on veut déployer les session hosts :
nerdio-rg, donc je le link via Link new resource group.Maintenant, direction Workspaces. C’est encore vide, on clique sur New Workspace.
Pour rappel, un Workspace AVD c’est juste un conteneur logique qui va regrouper vos host pools. Côté Microsoft, c’est l’objet Microsoft.DesktopVirtualization/workspaces :
Côté Azure, vous voyez maintenant apparaître la ressource de type Workspace. Nerdio a bien créé l’objet AVD pour vous :
10. Créer un Host Pool
Sur la ligne du workspace, on clique sur les trois points et on choisit Host pools :
On clique New Host Pool :
La fenêtre Add Host Pool est dense, voici mes choix pour le lab :
- Host pool type : Static (pas d’auto-scale dynamique pour ce test)
- Desktop experience : AVD multi-session desktop (pooled)
- Directory : Default
- FSLogix : Default
- Initial host count : 2 pour valider le load balancing
- Name (VM prefix) :
nerdio-vm - Network :
nerdio-vnet (AVD) - Desktop image : Windows 11 25H2 AVD + Microsoft 365 Apps (image Marketplace gallery)
- VM size : D8s_v6 (8 cores, 32 GB RAM)
- OS disk : 128 GB E10 Standard SSD
Nerdio prévient que la tâche est longue (entre 20 et 40 minutes pour 2 hosts), on clique OK et c’est parti. Vous pouvez suivre l’avancement dans l’onglet Tasks.
Côté Azure pendant que ça tourne, on voit déjà apparaître deux nouvelles ressources : Host pool et Application group, c’est l’objet qui va recevoir les assignations utilisateurs :
Dans l’onglet Tasks de Nerdio, on voit le déroulé : un Create host pool, puis Add hosts en parallèle pour les 2 VMs (qui prennent ~12 à 15 minutes chacune) :
Côté Azure on voit les 2 VMs apparaître avec leurs NICs respectifs, attachés au subnet AVD :
Une fois toutes les Tasks COMPLETED, on est bon :
Dans la vue Session Hosts, les deux VMs sont là, marquées Entra Joined, avec leur IP dans le subnet :
Côté Azure, sur le host pool, vous voyez le dashboard Overview : Total machines 2, Can connect 2, Can’t connect 0. Tout est vert :
11. Configurer le Host Pool (RDP, SSO Entra ID, time limits)
Le host pool tourne, mais il faut le configurer un peu avant de laisser les utilisateurs se connecter : périphériques redirigés, single sign-on Entra ID, time limits. Sur la ligne du host pool, trois points > Settings.
Onglet RDP Settings : c’est ici qu’on définit ce qui est redirigé entre le client et la session AVD. J’active Redirect microphone, Redirect speaker, Redirect cameras, Redirect clipboard, Redirect printers :
Toujours dans RDP Settings, en passant en Custom RDP configuration, je cherche la propriété enablerdsaadauth et je la mets à 1. C’est la propriété qui autorise le single sign-on Entra ID côté RDP ;:
Onglet Session Time Limits : j’active la fonctionnalité, je mets Disconnect IDLE sessions after à 1 jour et Log off DISCONNECTED sessions after à 1 heure :
Côté Azure, sur le host pool dans le portail, onglet RDP Properties, vous pouvez vérifier que Microsoft Entra single sign-on est bien sur « Connections will use Microsoft Entra authentication to provide single sign-on » :
enablerdsaadauth=1 dans les RDP properties, (2) le SSO activé sur le host pool côté Azure, (3) les utilisateurs en MFA conforme aux exigences Conditional Access. C’est documenté ici : Configure single sign-on with Microsoft Entra authentication.12. Assigner les utilisateurs
Sur la ligne du host pool, trois points > Users and groups.
On ajoute les utilisateurs. Nerdio nous demande automatiquement de le faire :
Côté Azure, sur l’Application Group, onglet Assignments, vous voyez vos utilisateurs apparaître :
Et dans l’IAM, en filtrant sur un utilisateur (avdtest4 par exemple), vous voyez bien le rôle Virtual Machine User Login qui a été attribué automatiquement par Nerdio :
13. Tester la connexion utilisateur
Le moment de vérité.
On se connecte avec un compte de test sur Windows App (ou windows.cloud.microsoft). Dans la vue Devices, on voit notre workspace et le host pool :
Clic sur la tuile :
Premier signe qui rassure : l’écran « Please wait for the FSLogix Apps Services ». Ça veut dire que FSLogix est en train de monter le profil VHDX depuis le file share Entra Kerberos :
Et voilà : bureau Windows 11 25H2, session AVD multi-session, prête à l’emploi :
14. Vérifier le résultat côté Nerdio et FSLogix
On retourne sur le file share dans le portail Azure.
Et là, magie : un répertoire vient d’être créé par FSLogix, contenant le VHDX du profil utilisateur :
Et côté Nerdio, sur la vue User Sessions, on voit la session active. Vous pouvez log off, disconnect ou send message à l’utilisateur depuis là :
Conclusion
Voilà, en une douzaine d’étapes vous êtes passé d’un vNet vide à un environnement AVD multi-session Entra-joined avec FSLogix profiles, SSO Entra ID, et 4 utilisateurs assignés, le tout piloté depuis une console unique.
Concrètement, ça donne quoi ?
Là où Microsoft vous fait jongler entre 5 blades du portail (Workspaces, Host pools, Application groups, RDP properties, IAM), Nerdio centralise tout dans une seule UI cohérente. et il vous propose automatiquement les bons réglages, comme le rôle Virtual Machine User Login qu’on aurait pu oublier.
Les 3 pièges à retenir si vous reproduisez en lab :
- Le Grant Consent peut nécessiter deux passages, soyez patient.
- Pour FSLogix sur un storage Entra ID joined, n’oubliez pas la case « Configure session hosts registry for Entra ID joined storage » et les rôles RBAC sur le file share.
- Pour le SSO Entra ID, les trois conditions doivent être réunies :
enablerdsaadauth=1+ SSO côté host pool + utilisateurs MFA-compliant.
Et n’oubliez pas le downgrade dev/test (SQL Basic + App Service B1) si vous laissez tourner l’environnement à long terme : ~190 $/mois économisés rien que sur les composants Nerdio.
Foncez tester en lab, c’est gratuit pendant 30 jours en trial Nerdio !
Et si vous galérez sur une étape, dites-le-moi en commentaire, je referai un article plus poussé sur la partie scaling et auto-scale, qui est vraiment là où Nerdio fait la différence.
