Einrichten von Private Link mit Azure Virtual Desktop

Artikel
04/19/2024

In diesem Artikel erfahren Sie, wie Sie Private Link mit Azure Virtual Desktop einrichten, um eine private Verbindung mit Ihren Remoteressourcen herzustellen. Weitere Informationen zur Verwendung von Private Link mit Azure Virtual Desktop, einschließlich der geltenden Einschränkungen, finden Sie unter Azure Private Link mit Azure Virtual Desktop.

Voraussetzungen

Um Private Link mit Azure Virtual Desktop verwenden zu können, benötigen Sie Folgendes:

Einen vorhandenen Hostpool mit Sitzungshosts, Anwendungsgruppe und Arbeitsbereich.
Ein vorhandenes virtuelles Netzwerk und Subnetz, das Sie für private Endpunkte verwenden möchten.
Die erforderlichen Berechtigungen für rollenbasierte Zugriffssteuerung in Azure, um private Endpunkte zu erstellen.
Wenn Sie den Remotedesktopclient für Windows verwenden, müssen Sie Version 1.2.4066 oder höher verwenden, um eine Verbindung über einen privaten Endpunkt herzustellen.
Wenn Sie die Azure-Befehlszeilenschnittstelle oder Microsoft Azure PowerShell lokal verwenden möchten, lesen Sie Verwenden der Azure-Befehlszeilenschnittstelle und Microsoft Azure PowerShell mit Azure Virtual Desktop, um sicherzustellen, dass die Azure-Befehlszeilenschnittstellen-Erweiterung desktopvirtualization oder das PowerShell-Modul Az.DesktopVirtualization installiert ist. Stattdessen können Sie auch die Azure Cloud Shell verwenden.
Azure PowerShell-Cmdlets für Azure Virtual Desktop, die Private Link unterstützen, befinden sich in der Vorschau. Sie müssen die Vorschauversion des Moduls Az.DesktopVirtualization herunterladen und installieren, um diese in Version 5.0.0 hinzugefügten Cmdlets zu verwenden.

Aktivieren von Private Link mit Azure Virtual Desktop in einem Abonnement

Um Private Link mit Azure Virtual Desktop zu verwenden, müssen Sie den Ressourcenanbieter Microsoft.DesktopVirtualization für jedes Abonnement erneut registrieren, in dem Sie Private Link mit Azure Virtual Desktop verwenden möchten.

Wählen Sie die relevante Registerkarte für Ihr Szenario aus.

Azure
Azure US Gov und 21Vianet

Erneutes Registrieren des Azure Virtual Desktop-Ressourcenanbieters

Bevor Sie Private Link mit Azure Virtual Desktop verwenden können, müssen Sie den Ressourcenanbieter Microsoft.DesktopVirtualization erneut registrieren. Sie müssen dies für jedes Abonnement tun, das Sie für Private Link mit Azure Virtual Desktop verwenden möchten:

Melden Sie sich beim Azure-Portal an.
Geben Sie in der Suchleiste Abonnements ein, und wählen Sie den entsprechenden Diensteintrag aus.
Wählen Sie den Namen Ihres Abonnements und dann im Abschnitt Einstellungen die Option Ressourcenanbieter aus.
Suchen Sie nach Microsoft.DesktopVirtualization, wählen Sie die Option aus, und wählen Sie dann Erneut registrieren aus.
Überprüfen Sie, ob der Status von Microsoft.DesktopVirtualizationregistriert lautet.

Erstellen privater Endpunkte

Während des Setupvorgangs müssen Sie je nach Szenario private Endpunkte für die folgenden Ressourcen erstellen.

Für alle Teile der Verbindung werden private Routen verwendet (anfängliche Feedermittlung, Feeddownload und Remotesitzungsverbindungen für Clients und Sitzungshosts). Sie benötigen die folgenden privaten Endpunkte:

Zweck	Ressourcentyp	Zielunterressource	Anzahl von Endpunkten
Verbindungen mit Hostpools	Microsoft.DesktopVirtualization/hostpools	connection	Einen pro Hostpool
Feeddownload	Microsoft.DesktopVirtualization/workspaces	feed	Einen pro Arbeitsbereich
Anfängliche Feedermittlung	Microsoft.DesktopVirtualization/workspaces	Global	Nur einer für alle Azure Virtual Desktop-Bereitstellungen

Feeddownload- und Remotesitzungsverbindungen für Clients und Sitzungshosts verwenden private Routen, aber für die anfängliche Feedermittlung werden öffentliche Routen verwendet. Sie benötigen die folgenden privaten Endpunkte: Der Endpunkt für die anfängliche Feedermittlung ist nicht erforderlich.

Zweck	Ressourcentyp	Zielunterressource	Anzahl von Endpunkten
Verbindungen mit Hostpools	Microsoft.DesktopVirtualization/hostpools	connection	Einen pro Hostpool
Feeddownload	Microsoft.DesktopVirtualization/workspaces	feed	Einen pro Arbeitsbereich

Nur Remotesitzungsverbindungen für Clients und Sitzungshosts verwenden private Routen, aber für die anfängliche Feedermittlung und den Feeddownload werden öffentliche Routen verwendet. Sie benötigen die folgenden privaten Endpunkte. Endpunkte für Arbeitsbereiche sind nicht erforderlich.

Zweck Ressourcentyp Zielunterressource Anzahl von Endpunkten

Verbindungen mit Hostpools Microsoft.DesktopVirtualization/hostpools connection Einen pro Hostpool
Sowohl Clients als auch Sitzungshost-VMs verwenden öffentliche Routen. Private Link wird in diesem Szenario nicht verwendet.

Wichtig

Wenn Sie einen privaten Endpunkt für die anfängliche Feedermittlung erstellen, steuert der Arbeitsbereich, der für die globale Unterressource verwendet wird, den freigegebenen vollqualifizierten Domänennamen (Fully Qualified Domain Name, FQDN), wodurch die anfängliche Feedermittlung in allen Arbeitsbereichen erleichtert wird. Sie sollten einen separaten Arbeitsbereich erstellen, der nur für diesen Zweck verwendet wird und in dem keine Anwendungsgruppen registriert sind. Das Löschen dieses Arbeitsbereichs führt dazu, dass alle Feedermittlungsprozesse nicht mehr funktionieren.
Sie können den Zugriff auf den Arbeitsbereich, der für die anfängliche Feed-Ermittlung (globale Unterressource) verwendet wird, nicht steuern. Wenn Sie diesen Arbeitsbereich so konfigurieren, dass nur der private Zugriff zulässig ist, wird die Einstellung ignoriert. Auf diesen Arbeitsbereich kann immer über öffentliche Routen zugegriffen werden.
IP-Adresszuteilungen können sich ändern, wenn die Nachfrage nach IP-Adressen steigt. Bei Kapazitätserhöhungen werden zusätzliche Adressen für private Endpunkte benötigt. Es ist wichtig, dass Sie die Möglichkeit der Ausschöpfung des IP-Adressraums berücksichtigen und ausreichend Platz für Wachstum gewährleisten. Weitere Informationen zum Ermitteln der geeigneten Netzwerkkonfiguration für private Endpunkte in einer Hub- oder einer Spoke-Topologie finden Sie in der Entscheidungsstruktur für die Private Link-Bereitstellung.

Verbindungen mit Hostpools

Um einen privaten Endpunkt für die Verbindungsunterressource für Verbindungen mit einem Hostpool zu erstellen, wählen Sie die relevante Registerkarte für Ihr Szenario aus, und führen Sie die entsprechenden Schritte aus.

Hier erfahren Sie, wie Sie mithilfe des Azure-Portal einen privaten Endpunkt für die Verbindungsunterressource für Verbindungen mit einem Hostpool erstellen.

Melden Sie sich beim Azure-Portal an.
Geben Sie in der Suchleiste Azure Virtual Desktop ein, und wählen Sie den entsprechenden Diensteintrag aus, um zur Übersicht über Azure Virtual Desktop zu navigieren.
Wählen Sie Hostpools und dann den Namen des Hostpools aus, für den Sie eine Verbindungsunterressource erstellen möchten.
Wählen Sie in der Übersicht des Hostpools Netzwerk, dann Private Endpunktverbindungen und schließlich Neuer privater Endpunkt aus.

Geben Sie auf der Registerkarte Grundeinstellungen die folgenden Informationen an:

Parameter	Wert/Beschreibung
Subscription	Wählen Sie in der Dropdownliste das Abonnement aus, in dem Sie den privaten Endpunkt erstellen möchten.
Resource group	Diese Angabe wird automatisch auf dieselbe Ressourcengruppe wie Ihr Arbeitsbereich für den privaten Endpunkt festgelegt. Sie können jedoch auch eine alternative vorhandene Ressourcengruppe aus der Dropdownliste auswählen oder eine neue Ressourcengruppe erstellen.
Name	Geben Sie einen Namen für den neuen privaten Endpunkt ein.
Name der Netzwerkschnittstelle	Der Name der Netzwerkschnittstelle wird basierend auf dem Namen, den Sie dem privaten Endpunkt gegeben haben, automatisch ausgefüllt. Sie können jedoch auch einen anderen Namen angeben.
Region	Dabei wird automatisch dieselbe Azure-Region wie der Arbeitsbereich verwendet, und der private Endpunkt wird in dieser bereitgestellt. Dies muss die gleiche Region sein wie die Ihres virtuellen Netzwerks und Ihrer Sitzungshosts.

Nachdem Sie diese Registerkarte ausgefüllt haben, wählen Sie Weiter: Ressource aus.

Überprüfen Sie auf der Registerkarte Ressource die Werte für Abonnement, Ressourcentyp und Ressource, und wählen Sie dann für Zielunterressource die Option Verbindung aus. Nachdem Sie diese Registerkarte abgeschlossen haben, wählen Sie Weiter: Netzwerk aus.

Geben Sie auf der Registerkarte Virtuelles Netzwerk die folgenden Informationen an:

Parameter	Wert/Beschreibung
Virtuelles Netzwerk	Wählen Sie in der Dropdownliste das virtuelle Netzwerk aus, in dem Sie den privaten Endpunkt erstellen möchten.
Subnet	Wählen Sie in der Dropdownliste das Subnetz des virtuellen Netzwerks aus, in dem Sie den privaten Endpunkt erstellen möchten.
Netzwerkrichtlinie für private Endpunkte	Wählen Sie Bearbeiten aus, wenn Sie eine Subnetznetzwerkrichtlinie auswählen möchten. Weitere Informationen finden Sie unter Verwalten von Netzwerkrichtlinien für private Endpunkte.
Konfiguration der privaten IP-Adresse	Wählen Sie IP-Adresse dynamisch zuordnen oder IP-Adresse statisch zuordnen aus. Der Adressraum stammt aus dem ausgewählten Subnetz. Wenn Sie IP-Adressen statisch zuordnen möchten, müssen Sie den Namen und die Private IP-Adresse für jedes aufgeführte Mitglied eingeben.
Anwendungssicherheitsgruppe	Optional: Wählen Sie in der Dropdownliste eine vorhandene Anwendungssicherheitsgruppe für den privaten Endpunkt aus, oder erstellen Sie eine neue Anwendungssicherheitsgruppe. Sie können auch später eine neue Anwendungssicherheitsgruppe hinzufügen.

Nachdem Sie diese Registerkarte ausgefüllt haben, wählen Sie Weiter: DNS aus.

Wählen Sie auf der Registerkarte DNS aus, ob Sie Private Azure-DNS-Zone verwenden möchten, indem Sie Ja oder Nein für In private DNS-Zone integrieren auswählen. Wenn Sie Ja auswählen, wählen Sie das Abonnement und die Ressourcengruppe aus, in der die private DNS-Zone privatelink.wvd.microsoft.com erstellt werden soll. Weitere Informationen finden Sie unter DNS-Konfiguration für private Azure-Endpunkte.

Nachdem Sie diese Registerkarte ausgefüllt haben, wählen Sie Weiter: Tags aus.
Optional: Auf der Registerkarte Tags können Sie alle erforderlichen Name-Wert-Paare eingeben. Anschließend wählen Sie Weiter: Überprüfen und erstellen aus.
Stellen Sie sicher, dass die Validierung auf der Registerkarte Überprüfen und Erstellen erfolgreich ist, und überprüfen Sie die Informationen an, die während der Bereitstellung verwendet werden.
Wählen Sie Erstellen aus, um den privaten Endpunkt für die Verbindungsunterressource zu erstellen.

Hier erfahren Sie, wie Sie einen privaten Endpunkt für die Verbindungsunterressource erstellen, die für Verbindungen mit einem Hostpool mithilfe der PowerShell-Module Az.Network und Az.DesktopVirtualization verwendet wird.

Wichtig

In den folgenden Beispielen müssen Sie die <placeholder>-Werte durch Ihre eigenen Werte ersetzen.

Starten Sie Azure Cloud Shell im Microsoft Azure-Portal mit dem Terminaltyp PowerShell, oder führen Sie PowerShell auf Ihrem lokalen Gerät aus.
1. Wenn Sie Cloud Shell verwenden, stellen Sie sicher, dass Ihr Azure-Kontext auf das Abonnement festgelegt ist, das Sie verwenden möchten.
2. Wenn Sie die PowerShell lokal verwenden, müssen Sie sich zunächst mit Microsoft Azure PowerShell anmelden und dann sicherstellen, dass Ihr Azure-Kontext auf das Abonnement festgelegt ist, das Sie verwenden möchten.

Rufen Sie die Details des virtuellen Netzwerks und Subnetzes ab, das Sie für den privaten Endpunkt verwenden möchten, und speichern Sie sie in einer Variablen, indem Sie die folgenden Befehle ausführen:
```
# Get the subnet details for the virtual network
$subnet = (Get-AzVirtualNetwork -Name <VNetName> -ResourceGroupName <ResourceGroupName>).Subnets | ? Name -eq <SubnetName>
```

Erstellen Sie eine Private Link-Dienstverbindung für einen Hostpool mit der Verbindungsunterressource, indem Sie die folgenden Befehle ausführen.

# Get the resource ID of the host pool
$hostPoolId = (Get-AzWvdHostPool -Name <HostPoolName> -ResourceGroupName <ResourceGroupName>).Id

# Create the service connection
$parameters = @{
    Name = '<ServiceConnectionName>'
    PrivateLinkServiceId = $hostPoolId
    GroupId = 'connection'
}

$serviceConnection = New-AzPrivateLinkServiceConnection @parameters

Erstellen Sie schließlich den privaten Endpunkt, indem Sie die Befehle aus einem der folgenden Beispiele ausführen.

So erstellen Sie einen privaten Endpunkt mit einer dynamisch zugeordneten IP-Adresse:

# Specify the Azure region. This must be the same region as your virtual network and session hosts.
$location = '<Location>'

# Create the private endpoint
$parameters = @{
    Name = '<PrivateEndpointName>'
    ResourceGroupName = '<ResourceGroupName>'
    Location = $location
    Subnet = $subnet
    PrivateLinkServiceConnection = $serviceConnection
}

New-AzPrivateEndpoint @parameters

So erstellen Sie einen privaten Endpunkt mit statisch zugeordneten IP-Adressen:

# Specify the Azure region. This must be the same region as your virtual network and session hosts.
$location = '<Location>'

# Create a hash table for each private endpoint IP configuration
$ip1 = @{
    Name = 'ipconfig1'
    GroupId = 'connection'
    MemberName = 'broker'
    PrivateIPAddress = '<IPAddress>'
}

$ip2 = @{
    Name = 'ipconfig2'
    GroupId = 'connection'
    MemberName = 'diagnostics'
    PrivateIPAddress = '<IPAddress>'
}

$ip3 = @{
    Name = 'ipconfig3'
    GroupId = 'connection'
    MemberName = 'gateway-ring-map'
    PrivateIPAddress = '<IPAddress>'
}

$ip4 = @{
    Name = 'ipconfig4'
    GroupId = 'connection'
    MemberName = 'web'
    PrivateIPAddress = '<IPAddress>'
}

# Create the private endpoint IP configurations
$ipConfig1 = New-AzPrivateEndpointIpConfiguration @ip1
$ipConfig2 = New-AzPrivateEndpointIpConfiguration @ip2
$ipConfig3 = New-AzPrivateEndpointIpConfiguration @ip3
$ipConfig4 = New-AzPrivateEndpointIpConfiguration @ip4

# Create the private endpoint
$parameters = @{
    Name = '<PrivateEndpointName>'
    ResourceGroupName = '<ResourceGroupName>'
    Location = $location
    Subnet = $subnet
    PrivateLinkServiceConnection = $serviceConnection
    IpConfiguration = $ipConfig1, $ipConfig2, $ipConfig3, $ipConfig4
}

New-AzPrivateEndpoint @parameters

Die Ausgabe sollte in etwa wie folgt aussehen. Überprüfen Sie, ob der Wert für ProvisioningState den Wert Erfolgreich aufweist.

ResourceGroupName Name            Location ProvisioningState Subnet
----------------- ----            -------- ----------------- ------
privatelink       endpoint-hp01   uksouth  Succeeded

Sie müssen DNS für Ihren privaten Endpunkt konfigurieren, um den DNS-Namen des privaten Endpunkts im virtuellen Netzwerk aufzulösen. Der Name der privaten DNS-Zone lautet privatelink.wvd.microsoft.com. Die Schritte zum Erstellen und Konfigurieren der privaten DNS-Zone mit Azure PowerShell finden Sie unter Konfigurieren der privaten DNS-Zone.

Hier erfahren Sie, wie Sie einen privaten Endpunkt für die Verbindungsunterressource erstellen, die für Verbindungen mit einem Hostpool mithilfe der Netzwerk- und Desktopvirtualisierungserweiterungen für die Azure CLI verwendet wird.

Wichtig

In den folgenden Beispielen müssen Sie die <placeholder>-Werte durch Ihre eigenen Werte ersetzen.

Starten Sie Azure Cloud Shell im Microsoft Azure-Portal mit dem Terminaltyp Bash, oder führen Sie die Azure-Befehlszeilenschnittstelle auf Ihrem lokalen Gerät aus.
1. Wenn Sie Cloud Shell verwenden, stellen Sie sicher, dass Ihr Azure-Kontext auf das Abonnement festgelegt ist, das Sie verwenden möchten.
2. Wenn Sie die Azure-Befehlszeilenschnittstelle lokal verwenden, müssen Sie sich zunächst mit der Azure-Befehlszeilenschnittstelle anmelden und dann sicherstellen, dass Ihr Azure-Kontext auf das Abonnement festgelegt ist, das Sie verwenden möchten.

Erstellen Sie eine Private Link-Dienstverbindung und den privaten Endpunkt für einen Hostpool mit der Verbindungsunterressource, indem Sie die Befehle aus einem der folgenden Beispiele ausführen.

So erstellen Sie einen privaten Endpunkt mit einer dynamisch zugeordneten IP-Adresse:

# Specify the Azure region. This must be the same region as your virtual network and session hosts.
location=<Location>

# Get the resource ID of the host pool
hostPoolId=$(az desktopvirtualization hostpool show \
    --name <HostPoolName> \
    --resource-group <ResourceGroupName> \
    --query [id] \
    --output tsv)

# Create a service connection and the private endpoint
az network private-endpoint create \
    --name <PrivateEndpointName> \
    --resource-group <ResourceGroupName> \
    --location $location \
    --vnet-name <VNetName> \
    --subnet <SubnetName> \
    --connection-name <ConnectionName> \
    --private-connection-resource-id $hostPoolId \
    --group-id connection \
    --output table

So erstellen Sie einen privaten Endpunkt mit statisch zugeordneten IP-Adressen:

# Specify the Azure region. This must be the same region as your virtual network and session hosts.
location=<Location>

# Get the resource ID of the host pool
hostPoolId=$(az desktopvirtualization hostpool show \
    --name <HostPoolName> \
    --resource-group <ResourceGroupName> \
    --query [id] \
    --output tsv)

# Store each private endpoint IP configuration in a variable
ip1={name:ipconfig1,group-id:connection,member-name:broker,private-ip-address:<IPAddress>}
ip2={name:ipconfig2,group-id:connection,member-name:diagnostics,private-ip-address:<IPAddress>}
ip3={name:ipconfig3,group-id:connection,member-name:gateway-ring-map,private-ip-address:<IPAddress>}
ip4={name:ipconfig4,group-id:connection,member-name:web,private-ip-address:<IPAddress>}

# Create a service connection and the private endpoint
az network private-endpoint create \
    --name <PrivateEndpointName> \
    --resource-group <ResourceGroupName> \
    --location $location \
    --vnet-name <VNetName> \
    --subnet <SubnetName> \
    --connection-name <ConnectionName> \
    --private-connection-resource-id $hostPoolId \
    --group-id connection \
    --ip-configs [$ip1,$ip2,$ip3,$ip4] \
    --output table

Die Ausgabe sollte in etwa wie folgt aussehen. Überprüfen Sie, ob der Wert für ProvisioningState den Wert Erfolgreich aufweist.

CustomNetworkInterfaceName    Location    Name                  ProvisioningState    ResourceGroup
----------------------------  ----------  --------------------  -------------------  ---------------
                              uksouth     endpoint-hp01         Succeeded            privatelink

Sie müssen DNS für Ihren privaten Endpunkt konfigurieren, um den DNS-Namen des privaten Endpunkts im virtuellen Netzwerk aufzulösen. Der Name der privaten DNS-Zone lautet privatelink.wvd.microsoft.com. Die Schritte zum Erstellen und Konfigurieren der privaten DNS-Zone mit der Azure CLI finden Sie unter Konfigurieren der privaten DNS-Zone.

Wichtig

Sie müssen einen privaten Endpunkt für die Verbindungsunterressource für jeden Hostpool erstellen, den Sie mit Private Link verwenden möchten.

Feeddownload

Um einen privaten Endpunkt für die Feedunterressource für einen Arbeitsbereich zu erstellen, wählen Sie die relevante Registerkarte für Ihr Szenario aus, und führen Sie die entsprechenden Schritte aus.

Wählen Sie in der Azure Virtual Desktop-Übersicht Arbeitsbereiche und dann den Namen des Arbeitsbereichs aus, für den Sie eine Feedunterressource erstellen möchten.
Wählen Sie in der Übersicht des Arbeitsbereichs Netzwerk, dann Private Endpunktverbindungen und schließlich Neuer privater Endpunkt aus.

Geben Sie auf der Registerkarte Grundeinstellungen die folgenden Informationen an:

Parameter	Wert/Beschreibung
Subscription	Wählen Sie in der Dropdownliste das Abonnement aus, in dem Sie den privaten Endpunkt erstellen möchten.
Resource group	Diese Angabe wird automatisch auf dieselbe Ressourcengruppe wie Ihr Arbeitsbereich für den privaten Endpunkt festgelegt. Sie können jedoch auch eine alternative vorhandene Ressourcengruppe aus der Dropdownliste auswählen oder eine neue Ressourcengruppe erstellen.
Name	Geben Sie einen Namen für den neuen privaten Endpunkt ein.
Name der Netzwerkschnittstelle	Der Name der Netzwerkschnittstelle wird basierend auf dem Namen, den Sie dem privaten Endpunkt gegeben haben, automatisch ausgefüllt. Sie können jedoch auch einen anderen Namen angeben.
Region	Dabei wird automatisch dieselbe Azure-Region wie der Arbeitsbereich verwendet, und der private Endpunkt wird in dieser bereitgestellt. Diese Region muss dieselbe sein wie die Ihres virtuellen Netzwerks.

Nachdem Sie diese Registerkarte ausgefüllt haben, wählen Sie Weiter: Ressource aus.

Überprüfen Sie auf der Registerkarte Ressource die Werte für Abonnement, Ressourcentyp und Ressource, und wählen Sie dann für Zielunterressource die Option Feed aus. Nachdem Sie diese Registerkarte abgeschlossen haben, wählen Sie Weiter: Netzwerk aus.

Geben Sie auf der Registerkarte Virtuelles Netzwerk die folgenden Informationen an:

Parameter	Wert/Beschreibung
Virtuelles Netzwerk	Wählen Sie in der Dropdownliste das virtuelle Netzwerk aus, in dem Sie den privaten Endpunkt erstellen möchten.
Subnet	Wählen Sie in der Dropdownliste das Subnetz des virtuellen Netzwerks aus, in dem Sie den privaten Endpunkt erstellen möchten.
Netzwerkrichtlinie für private Endpunkte	Wählen Sie Bearbeiten aus, wenn Sie eine Subnetznetzwerkrichtlinie auswählen möchten. Weitere Informationen finden Sie unter Verwalten von Netzwerkrichtlinien für private Endpunkte.
Konfiguration der privaten IP-Adresse	Wählen Sie IP-Adresse dynamisch zuordnen oder IP-Adresse statisch zuordnen aus. Der Adressraum stammt aus dem ausgewählten Subnetz. Wenn Sie IP-Adressen statisch zuordnen möchten, müssen Sie den Namen und die Private IP-Adresse für jedes aufgeführte Mitglied eingeben.
Anwendungssicherheitsgruppe	Optional: Wählen Sie in der Dropdownliste eine vorhandene Anwendungssicherheitsgruppe für den privaten Endpunkt aus, oder erstellen Sie eine neue Anwendungssicherheitsgruppe. Sie können auch später eine neue Anwendungssicherheitsgruppe hinzufügen.

Nachdem Sie diese Registerkarte ausgefüllt haben, wählen Sie Weiter: DNS aus.

Wählen Sie auf der Registerkarte DNS aus, ob Sie Private Azure-DNS-Zone verwenden möchten, indem Sie Ja oder Nein für In private DNS-Zone integrieren auswählen. Wenn Sie Ja auswählen, wählen Sie das Abonnement und die Ressourcengruppe aus, in der die private DNS-Zone privatelink.wvd.microsoft.com erstellt werden soll. Weitere Informationen finden Sie unter DNS-Konfiguration für private Azure-Endpunkte.

Nachdem Sie diese Registerkarte ausgefüllt haben, wählen Sie Weiter: Tags aus.
Optional: Auf der Registerkarte Tags können Sie alle erforderlichen Name-Wert-Paare eingeben. Anschließend wählen Sie Weiter: Überprüfen und erstellen aus.
Stellen Sie sicher, dass die Validierung auf der Registerkarte Überprüfen und Erstellen erfolgreich ist, und überprüfen Sie die Informationen an, die während der Bereitstellung verwendet werden.
Wählen Sie Erstellen aus, um den privaten Endpunkt für die Feedunterressource zu erstellen.

Erstellen Sie in derselben PowerShell-Sitzung eine Private Link-Dienstverbindung für einen Arbeitsbereich mit der Feedunterressource, indem Sie die folgenden Befehle ausführen. In diesen Beispielen werden dasselbe virtuelle Netzwerk und Subnetz verwendet.

# Get the resource ID of the workspace
$workspaceId = (Get-AzWvdWorkspace -Name <WorkspaceName> -ResourceGroupName <ResourceGroupName>).Id

# Create the service connection
$parameters = @{
    Name = '<ServiceConnectionName>'
    PrivateLinkServiceId = $workspaceId
    GroupId = 'feed'
}

$serviceConnection = New-AzPrivateLinkServiceConnection @parameters

Erstellen Sie schließlich den privaten Endpunkt, indem Sie die Befehle aus einem der folgenden Beispiele ausführen.

So erstellen Sie einen privaten Endpunkt mit einer dynamisch zugeordneten IP-Adresse:

# Specify the Azure region. This must be the same region as your virtual network.
$location = '<Location>'

# Create the private endpoint
$parameters = @{
    Name = '<PrivateEndpointName>'
    ResourceGroupName = '<ResourceGroupName>'
    Location = $location
    Subnet = $subnet
    PrivateLinkServiceConnection = $serviceConnection
}

New-AzPrivateEndpoint @parameters

So erstellen Sie einen privaten Endpunkt mit einer statisch zugeordneten IP-Adresse:

# Specify the Azure region. This must be the same region as your virtual network.
$location = '<Location>'

# Create a hash table for each private endpoint IP configuration
$ip1 = @{
    Name = 'ipconfig1'
    GroupId = 'feed'
    MemberName = 'web-r1'
    PrivateIPAddress = '<IPAddress>'
}

$ip2 = @{
    Name = 'ipconfig2'
    GroupId = 'feed'
    MemberName = 'web-r0'
    PrivateIPAddress = '<IPAddress>'
}

# Create the private endpoint IP configurations
$ipConfig1 = New-AzPrivateEndpointIpConfiguration @ip1
$ipConfig2 = New-AzPrivateEndpointIpConfiguration @ip2

# Create the private endpoint
$parameters = @{
    Name = '<PrivateEndpointName>'
    ResourceGroupName = '<ResourceGroupName>'
    Location = $location
    Subnet = $subnet
    PrivateLinkServiceConnection = $serviceConnection
    IpConfiguration = $ipConfig1, $ipConfig2
}

New-AzPrivateEndpoint @parameters

Die Ausgabe sollte in etwa wie folgt aussehen. Überprüfen Sie, ob der Wert für ProvisioningState den Wert Erfolgreich aufweist.

ResourceGroupName Name            Location ProvisioningState Subnet
----------------- ----            -------- ----------------- ------
privatelink       endpoint-ws01   uksouth  Succeeded

Sie müssen DNS für Ihren privaten Endpunkt konfigurieren, um den DNS-Namen des privaten Endpunkts im virtuellen Netzwerk aufzulösen. Der Name der privaten DNS-Zone lautet privatelink.wvd.microsoft.com. Die Schritte zum Erstellen und Konfigurieren der privaten DNS-Zone mit Azure PowerShell finden Sie unter Konfigurieren der privaten DNS-Zone.

Erstellen Sie in derselben CLI-Sitzung eine Private Link-Dienstverbindung und den privaten Endpunkt für einen Arbeitsbereich mit der Feedunterressource, indem Sie die folgenden Befehle ausführen.

So erstellen Sie einen privaten Endpunkt mit einer dynamisch zugeordneten IP-Adresse:

# Specify the Azure region. This must be the same region as your virtual network.
location=<Location>

# Get the resource ID of the workspace
workspaceId=$(az desktopvirtualization workspace show \
    --name <WorkspaceName> \
    --resource-group <ResourceGroupName> \
    --query [id] \
    --output tsv)

# Create a service connection and the private endpoint
az network private-endpoint create \
    --name <PrivateEndpointName> \
    --resource-group <ResourceGroupName> \
    --location $location \
    --vnet-name <VNetName> \
    --subnet <SubnetName> \
    --connection-name <ConnectionName> \
    --private-connection-resource-id $workspaceId \
    --group-id feed \
    --output table

So erstellen Sie einen privaten Endpunkt mit statisch zugeordneten IP-Adressen:

# Specify the Azure region. This must be the same region as your virtual network.
location=<Location>

# Get the resource ID of the workspace
workspaceId=$(az desktopvirtualization workspace show \
    --name <WorkspaceName> \
    --resource-group <ResourceGroupName> \
    --query [id] \
    --output tsv)

# Store each private endpoint IP configuration in a variable
ip1={name:ipconfig1,group-id:feed,member-name:web-r1,private-ip-address:<IPAddress>}
ip2={name:ipconfig2,group-id:feed,member-name:web-r0,private-ip-address:<IPAddress>}

# Create a service connection and the private endpoint
az network private-endpoint create \
    --name <PrivateEndpointName> \
    --resource-group <ResourceGroupName> \
    --location $location \
    --vnet-name <VNetName> \
    --subnet <SubnetName> \
    --connection-name <ConnectionName> \
    --private-connection-resource-id $workspaceId \
    --group-id feed \
    --ip-configs [$ip1,$ip2] \
    --output table

Die Ausgabe sollte in etwa wie folgt aussehen. Überprüfen Sie, ob der Wert für ProvisioningState den Wert Erfolgreich aufweist.

CustomNetworkInterfaceName    Location    Name                  ProvisioningState    ResourceGroup
----------------------------  ----------  --------------------  -------------------  ---------------
                              uksouth     endpoint-ws01         Succeeded            privatelink

Sie müssen DNS für Ihren privaten Endpunkt konfigurieren, um den DNS-Namen des privaten Endpunkts im virtuellen Netzwerk aufzulösen. Der Name der privaten DNS-Zone lautet privatelink.wvd.microsoft.com. Die Schritte zum Erstellen und Konfigurieren der privaten DNS-Zone mit der Azure CLI finden Sie unter Konfigurieren der privaten DNS-Zone.

Wichtig

Sie müssen einen privaten Endpunkt für die Feedunterressource für jeden Arbeitsbereich erstellen, den Sie mit Private Link verwenden möchten.

Anfängliche Feedermittlung

Um einen privaten Endpunkt für die globale Unterressource zu erstellen, die für die anfängliche Feedermittlung verwendet wird, wählen Sie die relevante Registerkarte für Ihr Szenario aus, und führen Sie die entsprechenden Schritte aus.

Wichtig

Erstellen Sie nur einen privaten Endpunkt für die globale Unterressource für alle Ihre Azure Virtual Desktop-Bereitstellungen.
Ein privater Endpunkt für die globale Unterressource eines beliebigen Arbeitsbereiches steuert den freigegebenen vollqualifizierten Domänennamen (FQDN) für die anfängliche Feed-Ermittlung. Dies ermöglicht die Feedermittlung für alle Arbeitsbereiche. Da der Arbeitsbereich, der mit dem privaten Endpunkt verbunden ist, so wichtig ist, funktionieren alle Feed-Ermittlungsprozesse nicht mehr. Es wird empfohlen, einen nicht verwendeten Platzhalterarbeitsbereich für die globale Unterressource zu erstellen.

Wählen Sie in der Azure Virtual Desktop-Übersicht Arbeitsbereiche und dann den Namen des Arbeitsbereichs aus, den Sie für die globale Unterressource verwenden möchten.
1. Optional: Erstellen Sie stattdessen einen Platzhalterarbeitsbereich, um den globalen Endpunkt zu terminieren, indem Sie die Anweisungen unter Erstellen eines Arbeitsbereichs befolgen.
Wählen Sie in der Übersicht des Arbeitsbereichs Netzwerk, dann Private Endpunktverbindungen und schließlich Neuer privater Endpunkt aus.

Geben Sie auf der Registerkarte Grundeinstellungen die folgenden Informationen an:

Parameter	Wert/Beschreibung
Subscription	Wählen Sie in der Dropdownliste das Abonnement aus, in dem Sie den privaten Endpunkt erstellen möchten.
Resource group	Diese Angabe wird automatisch auf dieselbe Ressourcengruppe wie Ihr Arbeitsbereich für den privaten Endpunkt festgelegt. Sie können jedoch auch eine alternative vorhandene Ressourcengruppe aus der Dropdownliste auswählen oder eine neue Ressourcengruppe erstellen.
Name	Geben Sie einen Namen für den neuen privaten Endpunkt ein.
Name der Netzwerkschnittstelle	Der Name der Netzwerkschnittstelle wird basierend auf dem Namen, den Sie dem privaten Endpunkt gegeben haben, automatisch ausgefüllt. Sie können jedoch auch einen anderen Namen angeben.
Region	Dabei wird automatisch dieselbe Azure-Region wie der Arbeitsbereich verwendet, und der private Endpunkt wird in dieser bereitgestellt. Diese Region muss dieselbe sein wie die Ihres virtuellen Netzwerks.

Nachdem Sie diese Registerkarte ausgefüllt haben, wählen Sie Weiter: Ressource aus.

Überprüfen Sie auf der Registerkarte Ressource die Werte für Abonnement, Ressourcentyp und Ressource, und wählen Sie dann für Zielunterressource die Option Global aus. Nachdem Sie diese Registerkarte abgeschlossen haben, wählen Sie Weiter: Netzwerk aus.

Geben Sie auf der Registerkarte Virtuelles Netzwerk die folgenden Informationen an:

Parameter	Wert/Beschreibung
Virtuelles Netzwerk	Wählen Sie in der Dropdownliste das virtuelle Netzwerk aus, in dem Sie den privaten Endpunkt erstellen möchten.
Subnet	Wählen Sie in der Dropdownliste das Subnetz des virtuellen Netzwerks aus, in dem Sie den privaten Endpunkt erstellen möchten.
Netzwerkrichtlinie für private Endpunkte	Wählen Sie Bearbeiten aus, wenn Sie eine Subnetznetzwerkrichtlinie auswählen möchten. Weitere Informationen finden Sie unter Verwalten von Netzwerkrichtlinien für private Endpunkte.
Konfiguration der privaten IP-Adresse	Wählen Sie IP-Adresse dynamisch zuordnen oder IP-Adresse statisch zuordnen aus. Der Adressraum stammt aus dem ausgewählten Subnetz. Wenn Sie IP-Adressen statisch zuordnen möchten, müssen Sie den Namen und die Private IP-Adresse für jedes aufgeführte Mitglied eingeben.
Anwendungssicherheitsgruppe	Optional: Wählen Sie in der Dropdownliste eine vorhandene Anwendungssicherheitsgruppe für den privaten Endpunkt aus, oder erstellen Sie eine neue Anwendungssicherheitsgruppe. Sie können auch später eine neue Anwendungssicherheitsgruppe hinzufügen.

Nachdem Sie diese Registerkarte ausgefüllt haben, wählen Sie Weiter: DNS aus.

Wählen Sie auf der Registerkarte DNS aus, ob Sie Private Azure-DNS-Zone verwenden möchten, indem Sie Ja oder Nein für In private DNS-Zone integrieren auswählen. Wenn Sie Ja auswählen, wählen Sie das Abonnement und die Ressourcengruppe aus, in der die private DNS-Zone privatelink-global.wvd.microsoft.com erstellt werden soll. Weitere Informationen finden Sie unter DNS-Konfiguration für private Azure-Endpunkte.

Nachdem Sie diese Registerkarte ausgefüllt haben, wählen Sie Weiter: Tags aus.
Optional: Auf der Registerkarte Tags können Sie alle erforderlichen Name-Wert-Paare eingeben. Anschließend wählen Sie Weiter: Überprüfen und erstellen aus.
Stellen Sie sicher, dass die Validierung auf der Registerkarte Überprüfen und Erstellen erfolgreich ist, und überprüfen Sie die Informationen an, die während der Bereitstellung verwendet werden.
Wählen Sie Erstellen aus, um den privaten Endpunkt für die globale Unterressource zu erstellen.

Optional: Erstellen Sie einen Platzhalterarbeitsbereich, um den globalen Endpunkt zu terminieren, indem Sie die Anweisungen unter Erstellen eines Arbeitsbereichs befolgen.

Erstellen Sie in derselben PowerShell-Sitzung eine Private Link-Dienstverbindung für den Arbeitsbereich mit der globalen Unterressource, indem Sie die folgenden Befehle ausführen. In diesen Beispielen werden dasselbe virtuelle Netzwerk und Subnetz verwendet.

# Get the resource ID of the workspace
$workspaceId = (Get-AzWvdWorkspace -Name <WorkspaceName> -ResourceGroupName <ResourceGroupName>).Id

# Create the service connection
$parameters = @{
    Name = '<ServiceConnectionName>'
    PrivateLinkServiceId = $workspaceId
    GroupId = 'global'
}

$serviceConnection = New-AzPrivateLinkServiceConnection @parameters

Erstellen Sie schließlich den privaten Endpunkt, indem Sie die Befehle aus einem der folgenden Beispiele ausführen.

So erstellen Sie einen privaten Endpunkt mit einer dynamisch zugeordneten IP-Adresse:

# Specify the Azure region. This must be the same region as your virtual network.
$location = '<Location>'

# Create the private endpoint
$parameters = @{
    Name = '<PrivateEndpointName>'
    ResourceGroupName = '<ResourceGroupName>'
    Location = $location
    Subnet = $subnet
    PrivateLinkServiceConnection = $serviceConnection
}

New-AzPrivateEndpoint @parameters

So erstellen Sie einen privaten Endpunkt mit einer statisch zugeordneten IP-Adresse:

# Specify the Azure region. This must be the same region as your virtual network.
$location = '<Location>'

$ip = @{
    Name = '<IPConfigName>'
    GroupId = 'global'
    MemberName = 'web'
    PrivateIPAddress = '<IPAddress>'
}

$ipConfig = New-AzPrivateEndpointIpConfiguration @ip

# Create the private endpoint
$parameters = @{
    Name = '<PrivateEndpointName>'
    ResourceGroupName = '<ResourceGroupName>'
    Location = $location
    Subnet = $subnet
    PrivateLinkServiceConnection = $serviceConnection
    IpConfiguration = $ipconfig
}

New-AzPrivateEndpoint @parameters

Die Ausgabe sollte in etwa wie folgt aussehen. Überprüfen Sie, ob der Wert für ProvisioningState den Wert Erfolgreich aufweist.

ResourceGroupName Name            Location ProvisioningState Subnet
----------------- ----            -------- ----------------- ------
privatelink       endpoint-global uksouth  Succeeded

Sie müssen DNS für Ihren privaten Endpunkt konfigurieren, um den DNS-Namen des privaten Endpunkts im virtuellen Netzwerk aufzulösen. Der Name der privaten DNS-Zone lautet privatelink-global.wvd.microsoft.com. Die Schritte zum Erstellen und Konfigurieren der privaten DNS-Zone mit Azure PowerShell finden Sie unter Konfigurieren der privaten DNS-Zone.

Optional: Erstellen Sie einen Platzhalterarbeitsbereich, um den globalen Endpunkt zu terminieren, indem Sie die Anweisungen unter Erstellen eines Arbeitsbereichs befolgen.

Erstellen Sie in derselben CLI-Sitzung eine Private Link-Dienstverbindung und den privaten Endpunkt für den Arbeitsbereich mit der globalen Unterressource, indem Sie die folgenden Befehle ausführen:

So erstellen Sie einen privaten Endpunkt mit einer dynamisch zugeordneten IP-Adresse:

# Specify the Azure region. This must be the same region as your virtual network.
location=<Location>

# Get the resource ID of the workspace
workspaceId=$(az desktopvirtualization workspace show \
    --name <WorkspaceName> \
    --resource-group <ResourceGroupName> \
    --query [id] \
    --output tsv)

# Create a service connection and the private endpoint
az network private-endpoint create \
    --name <PrivateEndpointName> \
    --resource-group <ResourceGroupName> \
    --location $location \
    --vnet-name <VNetName> \
    --subnet <SubnetName> \
    --connection-name <ConnectionName> \
    --private-connection-resource-id $workspaceId \
    --group-id global \
    --output table

So erstellen Sie einen privaten Endpunkt mit statisch zugeordneten IP-Adressen:

# Specify the Azure region. This must be the same region as your virtual network.
location=<Location>

# Get the resource ID of the workspace
workspaceId=$(az desktopvirtualization workspace show \
    --name <WorkspaceName> \
    --resource-group <ResourceGroupName> \
    --query [id] \
    --output tsv)

# Store each private endpoint IP configuration in a variable
ip={name:ipconfig,group-id:global,member-name:web,private-ip-address:<IPAddress>}

# Create a service connection and the private endpoint
az network private-endpoint create \
    --name <PrivateEndpointName> \
    --resource-group <ResourceGroupName> \
    --location $location \
    --vnet-name <VNetName> \
    --subnet <SubnetName> \
    --connection-name <ConnectionName> \
    --private-connection-resource-id $workspaceId \
    --group-id global \
    --ip-config $ip \
    --output table

Die Ausgabe sollte in etwa wie folgt aussehen. Überprüfen Sie, ob der Wert für ProvisioningState den Wert Erfolgreich aufweist.

CustomNetworkInterfaceName    Location    Name                  ProvisioningState    ResourceGroup
----------------------------  ----------  --------------------  -------------------  ---------------
                              uksouth     endpoint-global       Succeeded            privatelink

Sie müssen DNS für Ihren privaten Endpunkt konfigurieren, um den DNS-Namen des privaten Endpunkts im virtuellen Netzwerk aufzulösen. Der Name der privaten DNS-Zone lautet privatelink-global.wvd.microsoft.com. Die Schritte zum Erstellen und Konfigurieren der privaten DNS-Zone mit der Azure CLI finden Sie unter Konfigurieren der privaten DNS-Zone.

Schließen öffentlicher Routen

Nachdem Sie private Endpunkte erstellt haben, können Sie auch steuern, ob Datenverkehr aus öffentlichen Routen stammen darf. Sie können dies mithilfe von Azure Virtual Desktop oder allgemeiner über eine Netzwerksicherheitsgruppe (NSG) oder Azure Firewall steuern.

Steuern von Routen mit Azure Virtual Desktop

Mit Azure Virtual Desktop können Sie den öffentlichen Datenverkehr für Arbeitsbereiche und Hostpools unabhängig voneinander steuern. Wählen Sie die relevante Registerkarte für Ihr Szenario aus, und führen Sie die Schritte aus. Sie können dies nicht in der Azure CLI konfigurieren. Sie müssen diese Schritte für jeden Arbeitsbereich und jeden Hostpool wiederholen, den Sie mit Private Link verwenden.

Portal
Azure PowerShell

Arbeitsbereiche

Wählen Sie in der Übersicht über Azure Virtual Desktop die Option Arbeitsbereiche und dann den Namen des Arbeitsbereichs aus, für den öffentlicher Datenverkehr gesteuert werden soll.
Wählen Sie in der Übersicht des Hostpools die Option Netzwerk und dann die Registerkarte Öffentlicher Zugriff aus.

Wählen Sie eine der folgenden Optionen aus:

Einstellung	BESCHREIBUNG
Aktivieren des öffentlichen Zugriffs aus allen Netzwerken	Endbenutzer können über das öffentliche Internet oder die privaten Endpunkte auf den Feed zugreifen.
Deaktivieren des öffentlichen Zugriffs und Verwenden von privatem Zugriff	Endbenutzer können nur über die privaten Endpunkte auf den Feed zugreifen.

Wählen Sie Speichern aus.

Hostpools

Wählen Sie in der Übersicht über Azure Virtual Desktop die Option Hostpools und dann den Namen des Hostpools aus, für den öffentlicher Datenverkehr gesteuert werden soll.
Wählen Sie in der Übersicht des Hostpools die Option Netzwerk und dann die Registerkarte Öffentlicher Zugriff aus.

Wählen Sie eine der folgenden Optionen aus:

Einstellung	BESCHREIBUNG
Aktivieren des öffentlichen Zugriffs aus allen Netzwerken	Endbenutzer können sicher über das öffentliche Internet oder die privaten Endpunkte auf den Feed und die Sitzungshosts zugreifen.
Aktivieren des öffentlichen Zugriffs für Endbenutzer, Verwenden von privatem Zugriff für Sitzungshosts	Endbenutzer können sicher über das öffentliche Internet auf den Feed zugreifen, müssen jedoch private Endpunkte verwenden, um auf Sitzungshosts zuzugreifen.
Deaktivieren des öffentlichen Zugriffs und Verwenden von privatem Zugriff	Endbenutzer können nur über die privaten Endpunkte auf den Feed und Sitzungshosts zugreifen.

Wählen Sie Speichern aus.

Wichtig

Azure PowerShell-Cmdlets für Azure Virtual Desktop, die Private Link unterstützen, befinden sich in der Vorschau. Sie müssen die Vorschauversion des Moduls Az.DesktopVirtualization herunterladen und installieren, um diese in Version 5.0.0 hinzugefügten Cmdlets zu verwenden.

Arbeitsbereiche

In derselben PowerShell-Sitzung können Sie öffentlichen Zugriff deaktivieren und privaten Zugriff verwenden, indem Sie den folgenden Befehl ausführen:

$parameters = @{
    Name = '<WorkspaceName>'
    ResourceGroupName = '<ResourceGroupName>'
    PublicNetworkAccess = 'Disabled'
}

Update-AzWvdWorkspace @parameters

Führen Sie den folgenden Befehl aus, um öffentlichen Zugriff aus allen Netzwerken zu aktivieren:

$parameters = @{
    Name = '<WorkspaceName>'
    ResourceGroupName = '<ResourceGroupName>'
    PublicNetworkAccess = 'Enabled'
}

Update-AzWvdWorkspace @parameters

Hostpools

In derselben PowerShell-Sitzung können Sie öffentlichen Zugriff deaktivieren und privaten Zugriff verwenden, indem Sie den folgenden Befehl ausführen:

$parameters = @{
    Name = '<HostPoolName>'
    ResourceGroupName = '<ResourceGroupName>'
    PublicNetworkAccess = 'Disabled'
}

Update-AzWvdHostPool @parameters

Führen Sie den folgenden Befehl aus, um öffentlichen Zugriff aus allen Netzwerken zu aktivieren:

$parameters = @{
    Name = '<HostPoolName>'
    ResourceGroupName = '<ResourceGroupName>'
    PublicNetworkAccess = 'Enabled'
}

Update-AzWvdHostPool @parameters

Führen Sie den folgenden Befehl aus, um öffentlichen Zugriff für Endbenutzer, aber privaten Zugriff für Sitzungshosts zu verwenden:

$parameters = @{
    Name = '<HostPoolName>'
    ResourceGroupName = '<ResourceGroupName>'
    PublicNetworkAccess = 'EnabledForSessionHostsOnly'
}

Update-AzWvdHostPool @parameters

Führen Sie den folgenden Befehl aus, um privaten Zugriff für Endbenutzer, aber öffentlichen Zugriff für Sitzungshosts zu verwenden:

$parameters = @{
    Name = '<HostPoolName>'
    ResourceGroupName = '<ResourceGroupName>'
    PublicNetworkAccess = 'EnabledForClientsOnly'
}

Update-AzWvdHostPool @parameters

Wichtig

Das Ändern des Zugriffs für Sitzungshosts wirkt sich nicht auf vorhandene Sitzungen aus. Nachdem Sie einen privaten Endpunkt in einen Hostpool geändert haben, müssen Sie den Dienst Remote Desktop Agent Loader (RDAgentBootLoader) auf jedem Sitzungshost im Hostpool neu starten. Außerdem müssen Sie diesen Dienst jedes Mal neu starten, wenn Sie die Netzwerkkonfiguration eines Hostpools ändern. Anstatt den Dienst neu zu starten, können Sie jeden einzelnen Sitzungshost neu starten.

Blockieren öffentlicher Routen mit Netzwerksicherheitsgruppen oder Azure Firewall

Wenn Sie Netzwerksicherheitsgruppen oder Azure Firewall verwenden, um Verbindungen von Benutzerclientgeräten oder Ihren Sitzungshosts mit den privaten Endpunkten zu steuern, können Sie das Diensttag WindowsVirtualDesktop verwenden, um Datenverkehr aus dem öffentlichen Internet zu blockieren. Wenn Sie öffentlichen Internetdatenverkehr mithilfe dieses Diensttags blockieren, verwendet der gesamte Dienstdatenverkehr ausschließlich private Routen.

Achtung

Stellen Sie sicher, dass Sie den Datenverkehr zwischen Ihren privaten Endpunkten und den Adressen in der Liste der erforderlichen URLs nicht blockieren.
Blockieren Sie nicht bestimmte Ports von den Benutzerclientgeräten oder Ihren Sitzungshosts zum privaten Endpunkt für eine Hostpoolressource, die die Verbindungsunterressource verwendet. Der gesamte dynamische TCP-Portbereich von 1 bis 65535 zum privaten Endpunkt wird benötigt, da die Portzuordnung zu allen globalen Gateways über die einzige private Endpunkt-IP-Adresse erfolgt, die der Verbindungsunterressource entspricht. Wenn Sie die Ports auf den privaten Endpunkt beschränken, können Ihre Benutzer möglicherweise keine erfolgreiche Verbindung mit Azure Virtual Desktop herstellen.

Überprüfen von Private Link mit Azure Virtual Desktop

Nachdem Sie öffentliche Routen geschlossen haben, sollten Sie überprüfen, ob Private Link mit Azure Virtual Desktop funktioniert. Dazu können Sie den Verbindungsstatus jedes privaten Endpunkts und den Status Ihrer Sitzungshosts überprüfen und testen, ob Ihre Benutzer die Verbindung mit ihren Remoteressourcen aktualisieren und herstellen können.

Überprüfen des Verbindungsstatus der einzelnen privaten Endpunkte

Um den Verbindungsstatus jedes privaten Endpunkts zu überprüfen, wählen Sie die entsprechende Registerkarte für Ihr Szenario aus, und befolgen Sie die entsprechenden Schritte. Sie sollten diese Schritte für jeden Arbeitsbereich und jeden Hostpool wiederholen, den Sie mit Private Link verwenden.

Arbeitsbereiche

Wählen Sie in der Übersicht von Azure Virtual Desktop die Optionen Arbeitsbereiche und dann den Namen des Arbeitsbereichs aus, für den Sie den Verbindungsstatus überprüfen möchten.
Wählen Sie in der Arbeitsbereichsübersicht Netzwerke und dann Private Endpunktverbindungen aus.
Überprüfen Sie für den aufgelisteten privaten Endpunkt, ob der VerbindungsstatusGenehmigt ist.

Hostpools

Wählen Sie in der Übersicht von Azure Virtual Desktop die Option Hostpools und dann den Namen des Hostpools aus, für den Sie den Verbindungsstatus überprüfen möchten.
Wählen Sie in der Hostpoolübersicht Netzwerke und dann Private Endpunktverbindungen aus.
Überprüfen Sie für den aufgelisteten privaten Endpunkt, ob der VerbindungsstatusGenehmigt ist.

Wichtig

Sie müssen die Vorschauversion des Moduls Az.DesktopVirtualization verwenden, um die folgenden Befehle auszuführen. Weitere Informationen zum Herunterladen und Installieren des Vorschaumoduls finden Sie unter PowerShell-Katalog.

Arbeitsbereiche

Führen Sie in derselben PowerShell-Sitzung die folgenden Befehle aus, um den Verbindungsstatus eines Arbeitsbereichs zu überprüfen:

(Get-AzWvdWorkspace -Name <WorkspaceName> -ResourceGroupName <ResourceGroupName).PrivateEndpointConnection | FL Name, PrivateLinkServiceConnectionStateStatus, PrivateLinkServiceConnectionStateDescription, PrivateLinkServiceConnectionStateActionsRequired

Die Ausgabe sollte in etwa wie folgt aussehen. Überprüfen Sie, ob der Wert für PrivateLinkServiceConnectionStateStatusGenehmigt lautet.

Name                                             : endpoint-ws01
PrivateLinkServiceConnectionStateStatus          : Approved
PrivateLinkServiceConnectionStateDescription     : Auto-approved
PrivateLinkServiceConnectionStateActionsRequired : None

Hostpools

Führen Sie in derselben PowerShell-Sitzung die folgenden Befehle aus, um den Verbindungsstatus eines Hostpools zu überprüfen:

(Get-AzWvdHostPool -Name <HostPoolName> -ResourceGroupName <ResourceGroupName).PrivateEndpointConnection | FL Name, PrivateLinkServiceConnectionStateStatus, PrivateLinkServiceConnectionStateDescription, PrivateLinkServiceConnectionStateActionsRequired

Die Ausgabe sollte in etwa wie folgt aussehen. Überprüfen Sie, ob der Wert für PrivateLinkServiceConnectionStateStatusGenehmigt lautet.

Name                                             : endpoint-hp01
PrivateLinkServiceConnectionStateStatus          : Approved
PrivateLinkServiceConnectionStateDescription     : Auto-approved
PrivateLinkServiceConnectionStateActionsRequired : None

Führen Sie in derselben CLI-Sitzung die folgenden Befehle aus, um den Verbindungsstatus eines Arbeitsbereichs oder eines Hostpools zu überprüfen:

az network private-endpoint show \
    --name <PrivateEndpointName> \
    --resource-group <ResourceGroupName> \
    --query "{name:name, privateLinkServiceConnectionStates:privateLinkServiceConnections[].privateLinkServiceConnectionState}"

Die Ausgabe sollte in etwa wie folgt aussehen. Überprüfen Sie, ob der Wert für StatusGenehmigt lautet.

{
  "name": "endpoint-ws01",
  "privateLinkServiceConnectionStates": [
    {
      "actionsRequired": "None",
      "description": "Auto-approved",
      "status": "Approved"
    }
  ]
}

Überprüfen des Status Ihrer Sitzungshosts

Überprüfen Sie den Status Ihrer Sitzungshosts in Azure Virtual Desktop.
1. Wählen Sie in der Übersicht über Azure Virtual Desktop die Option Hostpools und dann den Namen des Hostpools aus.
2. Wählen Sie im Abschnitt Verwalten die Option Sitzungshosts aus.
3. Überprüfen Sie die Liste der Sitzungshosts, und überprüfen Sie, ob deren Status Verfügbar lautet.

Überprüfen, ob Ihre Benutzer eine Verbindung herstellen können

So testen Sie, dass Ihre Benutzer eine Verbindung mit ihren Remoteressourcen herstellen können:

Verwenden Sie den Remotedesktopclient, und stellen Sie sicher, dass Sie Arbeitsbereiche abonnieren und aktualisieren können.
Stellen Sie schließlich sicher, dass Ihre Benutzer eine Verbindung mit einer Remotesitzung herstellen können.

Nächste Schritte

Informationen zum Verwenden von Private Link für Azure Virtual Desktop finden Sie unter Verwenden von Private Link mit Azure Virtual Desktop.
Erfahren Sie, wie Sie DNS für den privaten Azure-Endpunkt unter Private Link DNS-Integration konfigurieren.
Allgemeine Anleitungen zur Problembehandlung für Private Link finden Sie unter Behandeln von Konnektivitätsproblemen mit privaten Azure-Endpunkten.
Erfahren Sie, wie die Konnektivität für den Azure Virtual Desktop-Dienst unterAzure Virtual Desktop-Netzwerkkonnektivität funktioniert.
In der Liste der erforderlichen URLs finden Sie die Liste der URLs, die Sie freigeben müssen, um Netzwerkzugriff auf den Azure Virtual Desktop-Dienst sicherzustellen.

Freigeben über

Einrichten von Private Link mit Azure Virtual Desktop

Voraussetzungen

Aktivieren von Private Link mit Azure Virtual Desktop in einem Abonnement

Erneutes Registrieren des Azure Virtual Desktop-Ressourcenanbieters

Registrieren von Private Link mit Azure Virtual Desktop (nur Azure for US Government und Azure 21Vianet)

Erneutes Registrieren des Azure Virtual Desktop-Ressourcenanbieters

Erstellen privater Endpunkte

Verbindungen mit Hostpools

Feeddownload

Anfängliche Feedermittlung

Schließen öffentlicher Routen

Steuern von Routen mit Azure Virtual Desktop

Arbeitsbereiche

Hostpools

Arbeitsbereiche

Hostpools

Blockieren öffentlicher Routen mit Netzwerksicherheitsgruppen oder Azure Firewall

Überprüfen von Private Link mit Azure Virtual Desktop

Überprüfen des Verbindungsstatus der einzelnen privaten Endpunkte

Arbeitsbereiche

Hostpools

Arbeitsbereiche

Hostpools

Überprüfen des Status Ihrer Sitzungshosts

Überprüfen, ob Ihre Benutzer eine Verbindung herstellen können

Nächste Schritte

Feedback

Feedback

Zusätzliche Ressourcen