Identità del dispositivo e virtualizzazione del desktop

Gli amministratori distribuiscono in genere piattaforme VDI (Virtual Desktop Infrastructure) che ospitano Windows sistemi operativi nelle organizzazioni. VDI consente di:

  • Semplificare la gestione.
  • Ridurre i costi attraverso il consolidamento e la centralizzazione delle risorse.
  • Offrire mobilità degli utenti finali e la libertà di accedere ai desktop virtuali in qualsiasi momento, da qualsiasi luogo, su qualsiasi dispositivo.

Esistono due versioni di desktop virtuali. Questi nomi fanno riferimento all'esperienza di sessione utente e profilo, non al ciclo di vita della macchina virtuale sottostante.

Tipo di desktop virtuale Descrzione Effetto sulla quota del tenant
Persistente Usa un'immagine desktop univoca per ogni utente o pool di utenti. Questi desktop possono essere personalizzati e salvati per un uso futuro. I dispositivi vengono registrati una volta e rimangono nella directory. I dispositivi obsoleti si accumulano solo se le macchine virtuali vengono ripristinate periodicamente senza alcuna pulizia.
Non persistente Usa una raccolta di desktop a cui gli utenti accedono in base alle esigenze. Questi desktop ripristinano lo stato originale dopo l'arresto, il riavvio o la reimpostazione del sistema operativo della macchina virtuale. Ogni reimpostazione può attivare una nuova registrazione del dispositivo, aumentando rapidamente i record dei dispositivi non aggiornati e consumando la quota del tenant.

Le versioni persistenti usano un'immagine desktop univoca per ogni utente o per un pool di utenti. Questi desktop univoci possono essere personalizzati e salvati per un uso futuro.

Le macchine virtuali host sessione sia nei pool di host condivisi che in quelli personali sono macchine virtuali standard di Azure e sono persistenti per impostazione predefinita. Desktop virtuale Azure non elimina, reimposta o ricrea automaticamente queste macchine virtuali a meno che i clienti non implementino in modo esplicito strumenti di automazione o di terze parti, il che può comportare un comportamento non persistente a livello di dispositivo o identità.

Le versioni non persistenti usano una raccolta di desktop che gli utenti possono accedere in base alle esigenze. Questi desktop non persistenti vengono ripristinati allo stato originale quando una macchina virtuale passa attraverso un processo di arresto/riavvio/ripristino del sistema operativo.

Importante

I dispositivi obsoleti aumentano il consumo della quota del tenant. Per evitare l'aumento del consumo causato da dispositivi obsoleti quando distribuisci ambienti VDI non persistenti, consulta Non-persistent-vdi.

Alcuni scenari richiedono nomi di dispositivo univoci nella directory. Questa operazione può essere ottenuta tramite una corretta gestione dei dispositivi non aggiornati oppure è possibile garantire l'univocità del nome del dispositivo usando un modello di denominazione dei dispositivi.

Questo articolo fornisce indicazioni per la gestione delle identità dei dispositivi negli ambienti VDI. Per altre informazioni sull'identità del dispositivo, consultare Informazioni sulle identità del dispositivo.

Scenari supportati

Prima di configurare le identità dei dispositivi in Microsoft Entra ID per l'ambiente VDI, acquisire familiarità con gli scenari supportati. Nella tabella seguente vengono illustrati gli scenari di provisioning supportati. Il provisioning in questo contesto implica che un amministratore può configurare le identità dei dispositivi su larga scala senza richiedere alcuna interazione con l'utente finale.

Windows current i dispositivi rappresentano Windows 10 o versione successiva, Windows Server 2016 v1803 o versione successiva e Windows Server 2019 o versione successiva.

Tipo di identità del dispositivo Infrastruttura delle identità Dispositivi Windows Versione piattaforma VDI Supportato
Microsoft Entra aggiunto ibrido Federato1 Windows attuale Persistente Sì
Windows attuale Non persistente Sì2
Gestito3 Windows attuale Persistente Sì
Windows attuale Non persistente Limitato4
Microsoft Entra si è unito Federato Windows attuale Persistente Limitato
Non persistente NO
Gestito Windows attuale Persistente Limitato5
Non persistente NO
Registrato su Microsoft Entra Federato/Gestito Windows attuale Persistente/non persistente Non applicabile

Importante

Quando si distribuisce una farm VDI (persistente o non persistente), i clienti devono prendere in considerazione i limiti di limitazione delle operazioni dei dispositivi di Entra. Microsoft consiglia di eseguire il staging delle richieste di registrazione dei dispositivi alla velocità di 500 richieste ogni 2 minuti e 30 secondi. La mancata gestione di tali richieste può causare errori di limitazione che causano errori di registrazione del dispositivo e ritardi più lunghi per l'esito positivo della registrazione del dispositivo.

1 Un ambiente dell'infrastruttura di identità federata rappresenta un ambiente con un provider di identità (IdP), ad esempio AD FS o un altro IdP non Microsoft. In un ambiente di infrastruttura a identità federata, i computer seguono il flusso di registrazione dispositivo federato basato sulle impostazioni del Microsoft Windows Server Active Directory Service Connection Point (SCP).

2 Il supporto di non persistenza per Windows attuale richiede considerazioni aggiuntive, come documentato nella sezione delle linee guida. Questo scenario richiede Windows 10 1803 o versione successiva, Windows Server 2019 o Windows Server (canale semestrale) a partire dalla versione 1803.

3 Un'Managed identity infrastructure rappresenta un ambiente con Microsoft Entra ID come provider di identità, distribuito con sincronizzazione degli hash delle password (PHS) o autenticazione pass-through (PTA) con Single Sign-On senza interruzioni.

4 Ilsupporto non permanente per Windows corrente in un ambiente dell'infrastruttura di gestione delle identità è disponibile solo con i fornitori seguenti:

5Microsoft Entra join support è disponibile con Azure Desktop virtuale, Windows 365 e Amazon WorkSpaces. Per eventuali query correlate al supporto con Amazon WorkSpaces e all'integrazione di Microsoft Entra, contattare direttamente il supporto di Amazon.

Indicazioni Microsoft

Gli amministratori devono fare riferimento agli articoli seguenti, in base alla loro infrastruttura di identità, per sapere come configurare la funzione di join ibrido di Microsoft Entra.

VDI non persistente

Quando si distribuisce una VDI non persistente, Microsoft consiglia le indicazioni seguenti. Il mancato rispetto di questi passaggi comporta l'accumulo nella directory di dispositivi Microsoft Entra aggiunti in modalità ibrida obsoleti provenienti dalla piattaforma VDI non persistente.

  • Se si affida al System Preparation Tool (sysprep.exe) e si utilizza un'immagine pre-Windows 10 1809 per l'installazione, assicurarsi che l'immagine non provenga da un dispositivo già registrato con Microsoft Entra ID come giunto ibrido a Microsoft Entra ID.
  • Se ci si basa su uno snapshot di macchina virtuale per creare più macchine virtuali, assicurarsi che lo snapshot non provena da una macchina virtuale già registrata con Microsoft Entra ID come aggiunta ibrida a Microsoft Entra.
  • Active Directory Federation Services (AD FS) supporta il join istantaneo per VDI non persistenti e il join ibrido di Microsoft Entra.
  • Creare e usare un prefisso per il nome visualizzato (ad esempio, NPVDI-) del computer, che indichi che il desktop è basato su VDI non persistente.
  • Per i dispositivi Windows in un ambiente federato (ad esempio, AD FS):
    • Implementare dsregcmd /join come parte della sequenza/ordine di avvio della macchina virtuale e prima che l'utente esegua l'accesso.
    • NON eseguire dsregcmd /leave come parte del processo di arresto/riavvio della macchina virtuale.
  • Definire e implementare il processo per la gestione dei dispositivi non aggiornati.
    • Dopo aver definito una strategia per identificare i dispositivi ibridi associati a Microsoft Entra non persistenti (ad esempio utilizzando il prefisso del nome visualizzato del computer), è consigliabile essere più decisi nella rimozione di tali dispositivi, al fine di evitare che la directory si riempia di dispositivi obsoleti.
    • Per le distribuzioni VDI non persistenti, è necessario eliminare i dispositivi con ApproximateLastLogonTimestamp di più di 15 giorni.

Nota

Quando si usa una VDI non persistente, per impedire l'aggiunta di un account aziendale o di un istituto di istruzione, assicurarsi che la seguente chiave del Registro di sistema sia correttamente configurata: HKLM\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin: "BlockAADWorkplaceJoin"=dword:00000001.

Assicurarsi di eseguire Windows 10 versione 1803 o successiva.

Il roaming dei dati nel percorso %localappdata% non è supportato. Se si decide di spostare il contenuto in %localappdata%, assicurarsi che il contenuto delle seguenti cartelle e chiavi del Registro di sistema non lasci mai il dispositivo, in nessuna circostanza. Ad esempio, gli strumenti di migrazione del profilo devono ignorare le cartelle e le chiavi seguenti:

  • %localappdata%\Packages\Microsoft.AAD.BrokerPlugin_cw5n1h2txyewy
  • %localappdata%\Packages\Microsoft.Windows.CloudExperienceHost_cw5n1h2txyewy
  • %localappdata%\Packages\<any app package>\AC\TokenBroker
  • %localappdata%\Microsoft\TokenBroker
  • %localappdata%\Microsoft\OneAuth
  • %localappdata%\Microsoft\IdentityCache
  • HKEY_CURRENT_USER\SOFTWARE\Microsoft\IdentityCRL
  • HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\AAD
  • HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\WorkplaceJoin
  • HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\TokenBroker

Il certificato del dispositivo dell'account aziendale non supporta il roaming. Il certificato rilasciato da "MS-Organization-Access" viene archiviato nell'archivio certificati Personale (MY) dell'utente corrente e nel computer locale.

VDI persistente

Quando si distribuisce VDI persistente, Microsoft consiglia le indicazioni seguenti. Se non si seguono questi passaggi, si verificano problemi di distribuzione e autenticazione.

  • Se si affida al System Preparation Tool (sysprep.exe) e si utilizza un'immagine pre-Windows 10 1809 per l'installazione, assicurarsi che l'immagine non provenga da un dispositivo già registrato con Microsoft Entra ID come giunto ibrido a Microsoft Entra ID.
  • Se ci si basa su uno snapshot di macchina virtuale per creare più macchine virtuali, assicurarsi che lo snapshot non provena da una macchina virtuale già registrata con Microsoft Entra ID come aggiunta ibrida a Microsoft Entra.

È consigliabile implementare un processo per la gestione dei dispositivi non aggiornati. Questo processo garantisce che la directory non accumuli dispositivi non aggiornati se si reimpostano periodicamente le macchine virtuali.

Passaggi successivi

Configurazione dell'aggiunta ibrida a Microsoft Entra per ambienti federati

  • Last updated on