Cihaz kimliği ve masaüstü sanallaştırma

Yöneticiler genellikle kuruluşlarında Windows işletim sistemlerini barındıran sanal masaüstü altyapısı (VDI) platformları dağıtır. Yöneticiler VDI'yi şu şekilde dağıtır:

• Yönetimi kolaylaştırın.
• Kaynakları birleştirme ve merkezileştirme yoluyla maliyetleri azaltın.
• Son kullanıcılara mobilite ve sanal masaüstlerini her zaman, her yerden, herhangi bir cihazda access özgürlüğü sunun.

İki birincil sanal masaüstü türü vardır:

• Kalıcı
• Kalıcı olmayan

Kalıcı sürümler, her kullanıcı veya kullanıcı havuzu için benzersiz bir masaüstü görüntüsü kullanır. Bu benzersiz masaüstleri gelecekte kullanılmak üzere özelleştirilebilir ve kaydedilebilir.

Kalıcı olmayan sürümler, kullanıcıların gerektiğinde erişebildikleri masaüstü koleksiyonundan kullandığı versiyonlardır. Bu kalıcı olmayan masaüstleri, bir sanal makine kapatma/yeniden başlatma/işletim sistemi sıfırlama işleminden geçtiğinde özgün durumlarına geri döndürülür.

Kuruluşların, cihaz yaşam döngüsü yönetimi için uygun bir stratejiye sahip olmadan sık sık cihaz kaydından dolayı oluşturulan eski cihazları yönetmesini sağlamak önemlidir.

Önemli

Eski cihazların yönetilememesi, kiracı kotası kullanım tüketiminizde baskı artışına ve kiracı kotanızın yetersiz olması durumunda olası hizmet kesintisi riskine yol açabilir. Bu durumu önlemek için kalıcı olmayan VDI ortamlarını dağıtırken aşağıdaki kılavuzu kullanın.

Bazı senaryoların başarıyla yürütülmesi için dizinde benzersiz cihaz adlarının olması önemlidir. Bu, eski cihazların düzgün yönetimiyle elde edilebilir veya cihaz adlandırmada bazı desenler kullanarak cihaz adı benzersizliğini garanti edebilirsiniz.

Bu makale, Microsoft'un cihaz kimliği ve VDI desteği konusunda yöneticilere yönelik kılavuzlarını kapsar. Cihaz kimliği hakkında daha fazla bilgi için Cihaz kimliği nedir? makalesine bakın.

Desteklenen senaryolar

VDI ortamınız için Microsoft Entra ID cihaz kimliklerini yapılandırmadan önce desteklenen senaryoları tanıyın. Aşağıdaki tabloda hangi sağlama senaryolarının desteklendiği gösterilmektedir. Bu bağlamda sağlama, bir yöneticinin cihaz kimliklerini herhangi bir son kullanıcı etkileşimi gerekmeden büyük ölçekte yapılandırabileceği anlamına gelir.

Windows current cihazları, v1803 veya üzeri Windows Server 2016 ve Windows Server 2019 veya üzeri Windows 10 veya daha yenisini temsil eder.

Cihaz kimlik türü	Kimlik altyapısı	Windows cihazları	VDI platform sürümü	Desteklenir
Microsoft Entra'ya hibrit katılmış	Birleşik1	Geçerli Windows sürümü	Kalıcı	Evet
		Geçerli Windows sürümü	Kalıcı olmayan	Evet2
	Yönetilen3	Geçerli Windows sürümü	Kalıcı	Evet
		Geçerli Windows sürümü	Kalıcı olmayan	Sınırlı4
Microsoft Entra'ya katıldı	Federasyonlu	Geçerli Windows sürümü	Kalıcı	Sınırlı
			Kalıcı olmayan	Hayır
	Yönetilen	Geçerli Windows sürümü	Kalıcı	Sınırlı5
			Kalıcı olmayan	Hayır
Microsoft Entra'ya kayıtlı	Federasyon/Yönetilen	Geçerli Windows sürümü	Kalıcı/Kalıcı Olmayan	Geçerli değil

Önemli

Bir VDI grubu dağıtırken (kalıcı veya kalıcı olmayan), müşteriler Entra cihaz işlem sınırlama sınırını dikkate almalıdır. Microsoft, cihaz kayıt isteklerinin her 2 dakika 30 saniyelik aralıkta aşamalı olarak 500 istek şeklinde yapılmasını önerir. Bu tür isteklerin uygun şekilde düzenlenmemesi, sınırlama hatalarına yol açarak, cihaz kayıt hatalarına ve cihaz kaydının başarılı olması için daha uzun gecikmelere neden olabilir.

¹Federasyon kimlik altyapısı ortamı, AD FS veya Diğer Microsoft dışı IdP gibi bir kimlik sağlayıcısına (IdP) sahip bir ortamı temsil eder. Federasyon kimlik altyapısı ortamında bilgisayarlar, Microsoft Windows Server Active Directory Hizmet Bağlantı Noktası (SCP) ayarlarına bağlı olarak fede cihaz kayıt akışını izler.

²Windows'un güncel sürümü için Geçici Destek, kılavuz bölümünde belirtildiği gibi başka bir değerlendirme gerektirir. Bu senaryo için Windows 10 1803 veya üzeri, Windows Server 2019 veya 1803 sürümünden itibaren Windows Server (Yarı yıllık kanal) gereklidir.

³ A Managed kimlik altyapısı ortamı, parola karma eşitleme (PHS) veya geçiş tabanlı kimlik doğrulama (PTA) ile kesintisiz tek oturum açma özelliklerine sahip kimlik sağlayıcısı olarak Microsoft Entra ID'nin kullanıldığı bir ortamı temsil eder.

⁴ Yönetilen kimlik altyapısı ortamında Windows'un mevcut sürümü için Geçici destek yalnızca aşağıdaki satıcılar tarafından sağlanmaktadır:

• Omnissa Horizon 8 şirket içi müşteri tarafından yönetilen ve Horizon Bulut Hizmeti tarafından yönetilen ortamlar. Destekle ilgili tüm sorgular için doğrudan Omnissa desteğine başvurun.
• Citrix şirket içi müşteri tarafından yönetilen ve bulut hizmeti tarafından yönetilen. Destekle ilgili tüm sorgular için doğrudan Citrix desteğine başvurun.

⁵Microsoft Entra join desteğiAzure Virtual Desktop, Windows 365 ve Amazon WorkSpaces ile kullanılabilir. Amazon WorkSpaces ve Microsoft Entra tümleştirmesi ile ilgili destekle ilgili tüm sorgular için doğrudan Amazon desteğine başvurun.

Microsoft'un kılavuzu

Yöneticiler, Microsoft Entra karma katılımını yapılandırmayı öğrenmek için kimlik altyapılarına göre aşağıdaki makalelere başvurmalıdır.

• Federasyon ortamı için Microsoft Entra karma katılımını yapılandırma
• Yönetilen ortam için Microsoft Entra karma bağlantısını yapılandırma

Kalıcı olmayan VDI

Yöneticiler kalıcı olmayan VDI dağıttığında, Microsoft aşağıdaki kılavuzu uygulamanızı önerir. Yapılmaması durumunda, kalıcı olmayan VDI platformunuzdan kaydedilen birçok bayat Microsoft Entra hibrit katılım cihazı dizininizde bulunur. Kiracı kotanızda baskının artmasına ve bu kotanın tükenmesi nedeniyle hizmet kesintisi riskine yol açan bu eski cihazlar.

• Sistem Hazırlama Aracı'na (sysprep.exe) güveniyorsanız ve yükleme için Windows 10 1809 öncesi bir görüntü kullanıyorsanız, bu görüntünün Microsoft Entra ID'ye Microsoft Entra karma katılım olarak kayıtlı bir cihazdan olmadığından emin olun.
• Daha fazla VM oluşturmak için bir Sanal Makine (VM) anlık görüntüsü kullanıyorsanız, anlık görüntünün Microsoft Entra ID ile zaten Microsoft Entra hybrid join olarak kayıtlı bir VM'den olmadığından emin olun.
• Active Directory Federation Services (AD FS), geçici VDI ve Microsoft Entra karma katılımı için anında katılımı destekler.
• Bilgisayarın görünen adı (örneğin, NPVDI-) için masaüstünü kalıcı olmayan VDI tabanlı olarak gösteren bir ön ek oluşturun ve kullanın.
• Federasyon ortamındaki Windows cihazları için (örneğin, AD FS):
  • VM başlangıç sırasının bir parçası olarak ve kullanıcı oturum açmadan önce dsregcmd /join komutunu uygulayın.
  • Dsregcmd /leave komutunu VM kapatma/yeniden başlatma işleminin bir parçası olarak YÜRÜTMEYİN .
• Eski cihazları yönetme işlemini tanımlayın ve uygulayın.
  • Kalıcı olmayan Microsoft Entra karma bağlı cihazlarınızı (bilgisayar görünen adı ön ekini kullanma gibi) tanımlamak için bir stratejiniz olduğunda, dizininizin çok fazla eski cihazla dolmadığından emin olmak için bu cihazların temizlenmesi konusunda daha kararlı hareket etmeniz gerekir.
  • Kalıcı olmayan VDI dağıtımlarında, ApproximateLastLogonTimestamp 15 günden eski olan cihazları silmeniz gerekir.

Not

Kalıcı olmayan VDI kullanırken, iş veya okul hesabı eklemeyi önlemek istiyorsanız aşağıdaki kayıt defteri anahtarının ayarlandığından emin olun: HKLM\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin: "BlockAADWorkplaceJoin"=dword:00000001

Windows 10, sürüm 1803 veya üzerini çalıştırdığınızdan emin olun.

Yol %localappdata% altındaki verilerin dolaşımı desteklenmez. altında %localappdata%içerik taşımayı seçerseniz, aşağıdaki klasörlerin ve kayıt defteri anahtarlarının içeriğinin hiçbir koşul altında cihazdan ayrılmadığından emin olun. Örneğin, profil geçiş araçları aşağıdaki klasörleri ve anahtarları atlamalıdır:

• %localappdata%\Packages\Microsoft.AAD.BrokerPlugin_cw5n1h2txyewy
• %localappdata%\Packages\Microsoft.Windows.CloudExperienceHost_cw5n1h2txyewy
• %localappdata%\Packages\<any app package>\AC\TokenBroker
• %localappdata%\Microsoft\TokenBroker
• %localappdata%\Microsoft\OneAuth
• %localappdata%\Microsoft\IdentityCache
• HKEY_CURRENT_USER\SOFTWARE\Microsoft\IdentityCRL
• HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\AAD
• HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\WorkplaceJoin
• HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\TokenBroker

İş hesabının cihaz sertifikasının dolaşımı desteklenmez. "MS-Organization-Access" tarafından verilen sertifika, geçerli kullanıcının Kişisel (MY) sertifika deposunda ve yerel makinede depolanır.

Kalıcı VDI

Yöneticiler kalıcı VDI dağıttığında, Microsoft aşağıdaki yönergeleri uygulamanızı önerir. Bunu yapmamak dağıtım ve kimlik doğrulama sorunlarına yol açar.

• Sistem Hazırlama Aracı'na (sysprep.exe) güveniyorsanız ve yükleme için Windows 10 1809 öncesi bir görüntü kullanıyorsanız, bu görüntünün Microsoft Entra karma olarak birleştirilmiş bir cihazdan olmamasına dikkat edin.
• Daha fazla VM oluşturmak için bir Sanal Makine (VM) anlık görüntüsü kullanıyorsanız, anlık görüntünün Microsoft Entra ID ile Microsoft Entra hibrit join olarak zaten kayıtlı bir VM'den olmadığından emin olun.

Eski cihazları yönetme işlemini uygulamanızı öneririz. Bu işlem, vm'lerinizi düzenli aralıklarla sıfırlarsanız dizininizin çok sayıda eski cihazla birlikte tüketilmesini engeller.

Sonraki adımlar

Federasyon ortamı için Microsoft Entra karma katılımını yapılandırma