Geräteidentität und Desktopvirtualisierung

Administratoren stellen häufig VDI-Plattformen (Virtual Desktop Infrastructure) bereit, die Windows Betriebssysteme in ihren Organisationen hosten. VDI hilft bei:

  • Einfachere Verwaltung.
  • Kostensenkung durch Konsolidierung und Zentralisierung von Ressourcen.
  • Bieten Sie Endbenutzermobilität und die Freiheit, jederzeit und überall auf jedem Gerät auf virtuelle Desktops zuzugreifen.

Es gibt zwei Versionen virtueller Desktops. Diese Namen beziehen sich auf die Benutzersitzung und die Profiloberfläche, nicht auf den Lebenszyklus des zugrunde liegenden virtuellen Computers (VM).

Virtueller Desktoptyp Description Auswirkung auf das Mandantenkontingent
Beständig Verwendet ein eindeutiges Desktopimage für jeden Benutzer oder Benutzerpool. Diese Desktops können für die zukünftige Verwendung angepasst und gespeichert werden. Geräte registrieren sich einmal und verbleiben im Verzeichnis. Veraltete Geräte sammeln sich nur an, wenn VMs regelmäßig ohne Bereinigung zurückgesetzt werden.
Nicht beständig Verwendet eine Sammlung von Desktops, auf die Benutzer bei Bedarf zugreifen. Diese Desktops werden nach dem Herunterfahren oder Neustart einer VM bzw. nach dem Zurücksetzen des Betriebssystems in ihren ursprünglichen Zustand zurückversetzt. Jede Zurücksetzung kann eine neue Geräteregistrierung auslösen, wodurch die Anzahl veralteter Geräteeinträge schnell zunimmt und das Mandantenkontingent verbraucht wird.

Bei der beständigen Version wird ein eindeutiges Desktopimage für jeden Benutzer oder einen Benutzerpool verwendet. Diese eindeutigen Desktops können angepasst und zur späteren Verwendung gespeichert werden.

Sitzungshost-VMs in sowohl gepoolten als auch persönlichen Hostpools sind standardmäßige Azure-VMs und standardmäßig persistent. Azure Virtual Desktop löscht, setzt oder erstellt diese virtuellen Maschinen nicht automatisch neu, es sei denn, Kunden implementieren ausdrücklich Automatisierung oder Tools von Drittanbietern, was zu nicht persistentem Verhalten auf Geräte- oder Identitätsebene führen kann.

Nicht persistente Versionen verwenden eine Sammlung von Desktops, auf die Benutzer nach Bedarf zugreifen können. Diese nicht-persistenten Desktops werden in ihren ursprünglichen Zustand zurückgesetzt, wenn ein virtueller Computer heruntergefahren, neu gestartet oder das Betriebssystem zurückgesetzt wird.

Wichtig

Veraltete Geräte erhöhen den Verbrauch Ihres Mandantenkontingents. Informationen zum Vermeiden von Verbrauchssteigerungen von veralteten Geräten bei der Bereitstellung nicht persistenter VDI-Umgebungen finden Sie unter "Non-persistent-vdi".

Einige Szenarien erfordern eindeutige Gerätenamen im Verzeichnis. Dies kann durch die ordnungsgemäße Verwaltung veralteter Geräte, aber auch durch die Verwendung eines bestimmten Musters bei der Gerätebenennung erreicht werden, mit dem Sie für Eindeutigkeit bei den Gerätenamen sorgen.

Dieser Artikel enthält Anleitungen zum Verwalten von Geräteidentitäten in VDI-Umgebungen. Weitere Informationen zur Geräteidentität finden Sie im Artikel Was ist eine Geräteidentität.

Unterstützte Szenarios

Bevor Sie Geräteidentitäten in Microsoft Entra ID für Ihre VDI-Umgebung konfigurieren, machen Sie sich mit den unterstützten Szenarien vertraut. In der folgenden Tabelle wird veranschaulicht, welche Bereitstellungsszenarien unterstützt werden. Eine Bereitstellung in diesem Zusammenhang impliziert, dass ein Administrator Geräteidentitäten skaliert konfigurieren kann, ohne dass eine Endbenutzerinteraktion erforderlich ist.

Windows current-Geräte repräsentieren Windows 10 oder neueres, Windows Server 2016 v1803 oder höher und Windows Server 2019 oder höher.

Geräteidentitätstyp Identitätsinfrastruktur Windows-Geräte VDI-Plattformversion Unterstützt
Hybrid in Microsoft Entra eingebunden Im Verbund1 Aktuelle Windows-Version Beständig Ja
Aktuelle Windows-Version Nicht beständig Ja2
Verwaltet3 Aktuelle Windows-Version Beständig Ja
Aktuelle Windows-Version Nicht beständig Begrenzt4
In Microsoft Entra eingebunden Im Verbund Aktuelle Windows-Version Beständig Begrenzt
Nicht beständig Nein
Verwaltet Aktuelle Windows-Version Beständig Begrenzt5
Nicht beständig Nein
Bei Microsoft Entra registriert Im Verbund/verwaltet Aktuelle Windows-Version Beständig/nicht beständig Nicht zutreffend

Wichtig

Bei der Bereitstellung einer VDI-Farm (persistent oder nicht-persistent) sollten Kunden die Entra-Drosselungsgrenzen für den Betrieb von Geräten berücksichtigen. Microsoft empfiehlt, Anfragen zur Geräteregistrierung in einem Intervall von 500 Anfragen alle 2 Minuten und 30 Sekunden zu bearbeiten. Werden solche Anfragen nicht gestaffelt, kann es zu Drosselungsfehlern kommen, die zu Fehlern bei der Geräteregistrierung und längeren Verzögerungen bei der erfolgreichen Registrierung von Geräten führen.

1 Eine Verbundidentitätsinfrastrukturumgebung stellt eine Umgebung mit einem Identitätsanbieter (IdP) wie AD FS oder einem anderen Nicht-Microsoft IdP dar. In einer Verbundidentitätsinfrastrukturumgebung folgen Computer den federierten Geräteregistrierungsablauf basierend auf den Einstellungen Microsoft Windows Server Active Directory Service Connection Point (SCP).

2Die Nichtpersistenzunterstützung für die aktuelle Windows-Version erfordert eine weitere Berücksichtigung, wie im Leitfadenabschnitt beschrieben. Dieses Szenario erfordert Windows 10 1803 oder neuer, Windows Server 2019 oder Windows Server (Halbjährlicher Kanal) ab Version 1803.

3 Eine Identitätsinfrastrukturumgebung vom Typ Verwaltet stellt eine Umgebung mit Microsoft Entra ID als Identitätsanbieter dar und wird entweder mit Kennwort-Hashsynchronisierung (Password Hash Sync, PHS) oder Passthrough-Authentifizierung (PTA) mit nahtlosem einmaligen Anmelden bereitgestellt.

4Nichtpersistenzunterstützung für aktuellen Windows-Versionen in einer Umgebung mit verwalteter Identitätsinfrastruktur ist nur bei folgenden Anbietern verfügbar:

5Microsoft Entra join support ist mit Azure Virtual Desktop verfügbar, Windows 365 und Amazon WorkSpaces. Für alle Abfragen im Zusammenhang mit der Integration von Amazon WorkSpaces und Microsoft Entra wenden Sie sich bitte direkt an den Amazon-Support.

Leitfaden von Microsoft

Administratoren sollten auf Grundlage ihrer Identitätsinfrastruktur die folgenden Artikel heranziehen, um zu erfahren, wie sie den Microsoft Entra-Hybridbeitritt konfigurieren können.

Nicht persistente VDI-Plattform

Wenn Sie nicht persistente VDI bereitstellen, empfiehlt Microsoft die folgenden Anleitungen. Wenn Sie diese Schritte nicht befolgen, führt dies dazu, dass Ihr Verzeichnis veraltete hybrid eingebundene Microsoft Entra-Geräte aus Ihrer nicht persistierenden VDI-Plattform anhäuft.

  • Wenn Sie sich auf das Systemvorbereitungstool (sysprep.exe) verlassen und ein Image aus der Zeit vor Windows 10 1809 für die Installation verwenden, stellen Sie sicher, dass dieses Image nicht von einem Gerät stammt, das bereits mit Microsoft Entra ID als hybrid in Microsoft Entra eingebunden registriert ist.
  • Wenn Sie sich auf einen Snapshot einer virtuellen Maschine (VM) verlassen, um weitere VMs zu erstellen, vergewissern Sie sich, dass dieser Snapshot nicht von einer VM stammt, die bereits mit Microsoft Entra ID als Microsoft Entra Hybrid Join registriert ist.
  • Active Directory-Verbunddienste (Active Directory-Verbunddienste (AD FS), AD FS) unterstützt die sofortige Einbindung für nicht persistente VDI und Microsoft Entra-Hybrideinbindung.
  • Erstellen und verwenden Sie ein Präfix (z. B. „NBVDI-“) für den Anzeigenamen des Computers, das darauf hinweist, dass der Desktop nicht beständig und VDI-basiert ist.
  • Für Windows-Geräte in einer föderierten Umgebung (z. B. AD FS):
    • Implementieren Sie dsregcmd /join als Teil der Startsequenz/Reihenfolge des virtuellen Computers und vor der Benutzeranmeldung.
    • Führen Sie „dsregcmd /leave“ NICHT als Teil des Prozesses zum Herunterfahren/Neustarten der VM aus.
  • Definieren und implementieren Sie einen Prozess zum Verwalten veralteter Geräte.
    • Sobald Sie eine Strategie zur Identifizierung Ihrer nicht-persistenten hybrid in Microsoft Entra eingebundenen Geräte entwickelt haben (z. B. anhand des Präfixes für den Computer-Anzeigenamen), sollten Sie diese Geräte aggressiver bereinigen, um sicherzustellen, dass Ihr Verzeichnis nicht mit einer Vielzahl veralteter Geräte belastet wird.
    • Für nicht beständige VDI-Bereitstellungen sollten Sie Geräte löschen, deren ApproximateLastLogonTimestamp älter als 15 Tage ist.

Hinweis

Wenn Sie eine nicht-persistente virtuelle Desktopinfrastruktur (VDI) verwenden und das Hinzufügen eines Geschäfts-, Schul- oder Unikontos verhindern möchten, muss der folgende Registrierungsschlüssel festgelegt sein: HKLM\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin: "BlockAADWorkplaceJoin"=dword:00000001

Stellen Sie sicher, dass Sie Windows 10, Version 1803 oder höher, ausführen.

Das Roaming jeglicher Daten unter dem Pfad %localappdata% wird nicht unterstützt. Wenn Sie sich für das Verschieben von Inhalten unter %localappdata% entscheiden, stellen Sie sicher, dass der Inhalt der folgenden Ordner und Registrierungsschlüssel das Gerät niemals verlässt. Profilmigrationstools müssen z. B. die folgenden Ordner und Schlüssel überspringen:

  • %localappdata%\Packages\Microsoft.AAD.BrokerPlugin_cw5n1h2txyewy
  • %localappdata%\Packages\Microsoft.Windows.CloudExperienceHost_cw5n1h2txyewy
  • %localappdata%\Packages\<any app package>\AC\TokenBroker
  • %localappdata%\Microsoft\TokenBroker
  • %localappdata%\Microsoft\OneAuth
  • %localappdata%\Microsoft\IdentityCache
  • HKEY_CURRENT_USER\SOFTWARE\Microsoft\IdentityCRL
  • HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\AAD
  • HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\WorkplaceJoin
  • HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\TokenBroker

Ein Roaming des Gerätezertifikats des Geschäftskontos wird nicht unterstützt. Das von "MS-Organization-Access" ausgestellte Zertifikat wird im Zertifikatspeicher "Persönlich (MY)" des aktuellen Benutzers und auf dem lokalen Computer gespeichert.

Persistente virtuelle Desktopinfrastruktur (VDI)

Wenn Sie persistente VDI bereitstellen, empfiehlt Microsoft die folgenden Anleitungen. Wenn Sie diese Schritte nicht ausführen, treten Bereitstellungs- und Authentifizierungsprobleme auf.

  • Wenn Sie sich auf das Systemvorbereitungstool (sysprep.exe) verlassen und ein Image aus der Zeit vor Windows 10 1809 für die Installation verwenden, stellen Sie sicher, dass dieses Image nicht von einem Gerät stammt, das bereits mit Microsoft Entra ID als hybrid in Microsoft Entra eingebunden registriert ist.
  • Wenn Sie sich auf einen Snapshot einer virtuellen Maschine (VM) verlassen, um weitere VMs zu erstellen, vergewissern Sie sich, dass dieser Snapshot nicht von einer VM stammt, die bereits mit Microsoft Entra ID als Microsoft Entra Hybrid Join registriert ist.

Es wird empfohlen, einen Prozess zum Verwalten veralteter Geräte zu implementieren. Durch diesen Vorgang wird sichergestellt, dass Ihr Verzeichnis veraltete Geräte nicht ansammelt, wenn Sie Ihre virtuellen Computer regelmäßig zurücksetzen.

Nächste Schritte

Konfigurieren des Microsoft Entra-Hybrideinbindung für Verbundumgebung

  • Last updated on