你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
重要
Azure 虚拟桌面 on Azure Local for Azure 政府 and for Azure 由世纪互联在中国运营的 (Azure) 目前处于预览状态。 有关适用于 Beta 版、预览版或尚未正式发布的 Azure 功能的法律条款，请参阅 Microsoft Azure 预览版补充使用条款。
本文介绍如何使用 Azure 门户、Azure CLI 或 Azure PowerShell 在 Azure、Azure Local 或 Azure 扩展区域上部署Azure虚拟桌面。 若要部署 Azure 虚拟桌面，请：
- 创建主机池。
- 创建工作区。
- 创建应用程序组。
- 创建会话主机虚拟机 (VM) 。
- 启用诊断设置 (可选) 。
- 将用户或组分配给应用程序组，以便用户访问桌面和应用程序。
使用 Azure 门户时，可以在单个进程中执行所有这些任务，但也可以单独执行它们。
创建主机池时，可以选择以下两种 管理方法之一：
会话主机配置适用于在 Azure 上具有会话主机的池化主机池。 Azure 虚拟桌面通过使用本机功能的组合来提供集成的动态体验，从而为你管理池化主机池中会话主机的生命周期。
Standard Management 适用于在 Azure 或 Azure Local 上具有会话主机的池和个人主机池。 您可以管理在主机池中创建、更新和扩展会话主机。 如果要使用现有工具和流程（如自动化管道、自定义脚本或外部合作伙伴解决方案），则需要使用标准主机池管理类型。
有关本文中使用的术语的详细信息，请参阅 Azure 虚拟桌面术语。 有关 Azure 虚拟桌面服务的详细信息，请参阅 Azure 虚拟桌面服务体系结构和复原能力。
提示
本文介绍的过程是部署 Azure 虚拟桌面的深入且适应性强的方法。 若要尝试使用更简单的方法来部署示例 Windows 11 桌面的 Azure 虚拟桌面，请参阅教程：使用 Windows 11 桌面部署示例 Azure 虚拟桌面基础结构，或使用快速入门。
选择本文顶部的按钮，在使用标准管理的主机池或使用会话主机配置的主机池之间进行选择，以查看相关文档。
先决条件
重要
在部署会话主机之前，请验证目标子网是否可以访问 Azure 虚拟桌面所需的 FQDN 和终结点。 将第一个会话主机加入网络后，从该主机运行 Azure 虚拟桌面代理 URL 工具以确认连接。 跳过此验证是初始部署期间注册失败的最常见原因，包括 EXPIRED_MACHINE_TOKEN 和缺少终结点错误。
查看 Azure 虚拟桌面的先决条件，大致了解所需内容和支持的内容，例如操作系统 (OS) 、虚拟网络和标识提供者。 它还包括受支持的 Azure 区域列表，可在其中部署主机池、工作区和应用程序组。 此区域列表是可以存储主机池元 数据 的位置。 但是，会话主机可以位于任何 Azure 区域中。 有关数据类型和位置的详细信息，请参阅 Azure 虚拟桌面的数据位置。
重要
创建使用会话主机配置的新主机池时，可以选择是否在创建时为主机池分配托管标识。 如果分配了一个，则托管标识执行资源管理操作， (创建、删除和更新会话主机) 以代替 Azure 虚拟桌面服务主体。
如果使用托管标识，则包含 VM 本地管理员帐户机密的密钥保管库以及域加入帐户（如果要将会话主机加入 Active Directory 域）是额外的先决条件。 向托管标识授予密钥保管库机密用户角色 (或获取机密访问策略) 该密钥保管库。 请参阅以下先决条件列表中的密钥保管库和 RBAC 详细信息。
详细了解如何为 Azure 虚拟桌面配置托管标识。
除了一般先决条件外，您还需要：
- 需要为主机池的托管标识分配要用于会话主机的资源组或订阅上的 基于角色的 访问控制 (RBAC) 角色。 有关详细信息，请参阅将 Azure RBAC 角色或 Microsoft Entra 角色分配给 Azure 虚拟桌面服务主体。
提示
如果选择在使用 Azure 门户创建期间将系统托管标识分配给主机池，则将根据所需的会话主机配置自动分配相关权限。 请注意，这要求 Azure 帐户具有将 RBAC 分配给相关范围内的资源的权限。
用于创建主机池的 Azure 帐户必须在资源组或订阅上至少具有以下内置的基于角色的访问控制 (RBAC) 角色或同等角色，才能创建以下资源类型。 如果要将角色分配给资源组，则需要先创建此项。
资源类型 RBAC 角色 范围 主机池、工作区和应用程序组 桌面虚拟化参与者 资源组或订阅 会话主机 (Azure) 虚拟机参与者 资源组或订阅 密钥保管库 密钥保管库机密用户 包含本地和/或域凭据的密钥保管库 对于主机池、工作区和应用程序组的持续管理，可以对每种资源类型使用更精细的角色。 有关详细信息，请参阅 Azure 虚拟桌面的内置Azure RBAC 角色。
如果要将会话主机加入 Active Directory 域或使用 Microsoft Entra 混合加入，则需要其他权限：
对于 Microsoft Entra 域服务域，需要是 AAD DC 管理员组的成员。
对于 Active Directory 域服务 (AD DS) 域，你需要使用的权限比加入域通常所需的权限更多，因为新的操作系统映像重用现有计算机对象。 下表中的权限和属性需要应用于包含会话主机的组织单位 (OU) 上的帐户：
名称 类型 适用对象 重置密码 允许 后代计算机对象 经过验证的对 DNS 主机名的写入权限 允许 后代计算机对象 经过验证的对服务主体名称的写入权限 允许 后代计算机对象 读取帐户限制 允许 后代计算机对象 写入帐户限制 允许 后代计算机对象 从 KB5020276 开始，为在 Active Directory 域中重用计算机帐户引入了进一步的保护。 若要成功地重用会话主机的现有计算机对象，请执行以下操作之一：
- 将会话主机加入域的用户帐户是现有计算机帐户的创建者。
- 计算机帐户由域管理员安全组的成员创建。
- 将组策略设置
Domain controller: Allow computer account re-use during domain join应用于计算机帐户的所有者。 有关此设置范围的详细信息，请参阅 KB5020276。
一个密钥保管库，其中包含要用于虚拟机本地管理员帐户凭据的机密，如果你正在将会话主机加入 Active Directory 域，则包含域加入帐户凭据。 每个用户名和密码都需要一个机密。 创建 VM 时，虚拟机本地管理员密码必须满足密码要求。
为主机池的托管标识提供读取机密的能力。 密钥保管库可以配置为使用：
具有分配给主机池托管标识的密钥保管库机密用户角色的 Azure RBAC 权限模型。
具有“获取机密”权限分配给主机池托管标识的访问策略。 如果选择在创建主机池期间使用系统托管标识，则不支持此功能。
配置密钥保管库访问配置以允许Azure 资源管理器模板部署。
将密钥保管库网络设置配置为 不允许公共访问并仅允许受信任的服务 (建议的) 或 允许来自所有网络的公共访问。
对于在会话主机配置中指定要在更新后运行的任何自定义配置 PowerShell 脚本，脚本的 URL 必须可从公共 Internet 解析。
使用 Azure 门户 创建会话主机时，不要禁用 Windows 远程管理 (WinRM) ，因为 PowerShell DSC 需要这样做。
若要在本地使用 Azure PowerShell，请参阅将 Azure CLI 和 Azure PowerShell 与 Azure 虚拟桌面配合使用，以确保已安装 Az.DesktopVirtualization PowerShell 模块。 或者，使用 Azure Cloud Shell。
支持具有会话主机配置的主机池的适用于 Azure 虚拟桌面的 Azure PowerShell cmdlet 处于预览阶段。 需要下载并安装 Az.DesktopVirtualization 模块的预览版本 才能使用这些在版本 5.3.0 中添加的 cmdlet。
如需大致了解所需内容和支持的功能（例如操作系统 (OS) 、虚拟网络和标识提供者），请查看 Azure 虚拟桌面 的先决条件。 本文还列出了受支持的 Azure 区域，可在其中部署主机池、工作区和应用程序组。 此区域列表是可以存储主机池元 数据 的位置。 但是，会话主机可以位于任何 Azure 区域中，并且具有 Azure Local 的本地。 有关数据类型和位置的详细信息，请参阅 Azure 虚拟桌面的数据位置。
有关更多先决条件，包括基于角色的访问控制 (RBAC) 角色，请选择适用于你的方案的相关选项卡。
要创建以下资源类型，使用的 Azure 帐户必须在资源组或订阅上至少具有以下内置 RBAC 角色或等效角色。 如果要将角色分配给资源组，则需要先创建资源组。
资源类型 RBAC 角色 主机池、工作区和应用程序组 桌面虚拟化参与者 会话主机 (Azure 扩展区域) Azure扩展区域 虚拟机参与者 会话主机 (Azure Local) Azure Stack HCI VM 参与者 对于主机池、工作区和应用程序组的持续管理，可以对每种资源类型使用更精细的角色。 有关详细信息，请参阅 Azure 虚拟桌面的内置Azure RBAC 角色。
要将用户分配给应用程序组，还需要
Microsoft.Authorization/roleAssignments/write对应用程序组具有权限。 包含此权限的内置 RBAC 角色是用户 访问管理员 和 所有者。使用 Azure 门户创建会话主机时，请不要禁用 Windows 远程管理，因为 PowerShell DSC 需要它。
若要在 Azure Local 上添加会话主机，还需要：
向 Azure 注册的 Azure Local 实例。 Azure Local 实例需要运行的最低版本为 23H2。 有关详细信息，请参阅 Azure Stack HCI 版本 23H2 部署概述。 Azure Arc VM 管理将自动安装。
从本地网络到 Azure 的稳定连接。
实例上至少有一个可用的 Windows 操作系统映像。 有关详细信息，请参阅如何使用 Azure 市场映像创建 VM 映像、使用 Azure 存储帐户中的映像以及使用本地共享中的映像。
在 Azure Local 实例上创建的逻辑网络。 支持 DHCP 逻辑网络或具有自动 IP 分配的静态逻辑网络。 有关详细信息，请参阅为 Azure Local 创建逻辑网络。
若要将会话主机部署到 Azure 扩展区域，还需要：
已向相应的 Azure 扩展区域注册 Azure 订阅。 有关详细信息，请参阅请求访问 Azure 扩展区域。
要在其中部署会话主机的虚拟网络上具有出站规则的 Azure 负载均衡器。 可以使用现有的负载均衡器，也可以在添加会话主机时创建一个新负载均衡器。
使用会话主机配置创建主机池
注意
Azure Local 当前不支持会话主机配置。
若要使用会话主机配置创建主机池，请选择方案的相关选项卡并按照步骤操作。
下面介绍如何使用 Azure 门户创建具有会话主机配置的主机池，该门户还会创建默认会话主机管理策略和默认会话主机配置。 部署后，可更改默认会话主机管理策略和会话主机配置。
登录 Azure 门户。
在搜索栏中，输入 Azure 虚拟桌面并选择匹配的服务条目。
选择“ 主机池”，然后选择“ 创建”。
在 “基本信息” 选项卡上，填写以下信息：
参数 值/说明 订阅 从下拉列表中选择要在其中创建主机池的订阅。 资源组 选择现有资源组，或选择“ 新建” 并输入名称。 主机池名称 输入主机池的名称，例如 hp01，长度不超过 64 个字符。 位置 选择要在其中创建主机池的 Azure 区域。 验证环境 选择“ 是 ”以创建用作 验证环境的主机池。 部署范围 选择“区域”以将主机池的元数据存储在为“位置”选择的 Azure 区域内的区域数据库中，或选择“地理位置”以将其存储在服务于该区域的地理数据库中。 默认值为“地理位置”。 仅当为“位置”选择的区域支持区域主机池时，才会显示部署范围。 如果选择不支持它们的区域，则不会显示该字段，并且将主机池创建为地理主机池。 在支持它们的区域中，选择“地理”将像以前一样创建地理主机池，因此现有部署过程保持不变。 创建主机池后，无法更改部署范围。 首选应用组类型 从桌面或 RemoteApp 中选择此主机池的首选应用程序组类型。 使用 Azure 门户时，将自动创建桌面应用程序组，无论你设置为首选应用程序组类型如何。 主机池类型 主机池类型 系统会自动选择“池化”，并且它是会话主机配置支持的唯一主机池类型。 使用会话主机配置 选择“是”。 完成此选项卡后，选择下一步：会话主机。
在 “会话主机 ”选项卡上，填写以下信息，这些信息在会话主机配置中捕获并用于创建会话主机。
参数 值/说明 会话主机数 输入创建主机池时要创建的会话主机数。 此时可以输入 0 不创建任何会话主机，但创建会话主机时仍会使用指定的值创建会话主机配置。
此时，如果你 (愿意，可以部署最多 500 个会话主机 VM，具体取决于 订阅配额) ，也可以稍后添加更多。
有关详细信息，请参阅 Azure 虚拟桌面服务限制和虚拟机限制。会话主机配置 资源组 在“ 基本” 选项卡上自动默认为你选择主机池所用的资源组，但你也可以从下拉列表中选择备选资源组。 名称前缀 输入会话主机的名称，例如 hp01-sh。
此值用作会话主机 VM 的前缀。 每个会话主机都有一个连字符后缀，然后在末尾添加一个连续号，例如 hp01-sh-0。
它最多可包含 10 个字符，用于操作系统的计算机名称中。 前缀和后缀的组合最多可以是 15 个字符。 会话主机名必须是唯一的。虚拟机位置 选择要在其中部署会话主机 VM 的 Azure 区域。 此区域必须与虚拟网络所在的区域相同。 可用性区域 选择要在其中部署虚拟机的一个或多个 可用性区域 。 安全类型 从 Standard、受信任启动虚拟机或机密虚拟机中进行选择。
- 如果选择 受信任启动虚拟机，则会自动选择 安全启动 和 vTPM 选项。
- 如果选择 机密虚拟机，则会自动选择 安全启动、 vTPM 和 完整性监视 选项。 使用机密 VM 时，不能选择退出 vTPM。
受信任的启动虚拟机是 默认值。图像 从列表中选择要使用的 OS 映像，或选择“查看所有映像”以查看详细信息，包括你创建并存储为 Azure Compute Gallery 共享映像或托管映像的任何自定义映像。 虚拟机大小 选择一个 SKU。 如果要使用其他 SKU，请选择 “更改大小”，然后从列表中选择。 操作系统磁盘类型 选择要用于会话主机的磁盘类型。 对于生产工作负载，建议使用 高级 SSD 。 启动诊断 选择是否要启用启动诊断。 网络和安全 虚拟网络 选择虚拟网络。 将显示一个用于选择子网的选项。 子网 从虚拟网络中选择一个子网。 网络安全组类型 选择是否要将网络安全组 (NSG) 。
- 基本会 创建一个新的 NSG，您可以指定公共入站端口。
- “高级” 使你能够选择现有的 NSG。
无需打开入站端口即可连接到 Azure 虚拟桌面。 有关详细信息，请参阅了解 Azure 虚拟桌面网络连接。要加入的域 选择要加入的目录 选择 “Active Directory”，然后选择包含域加入帐户的用户名和密码的密钥保管库。
您可以选择指定域名和组织单位路径。虚拟机管理员帐户 为新会话主机 VM 的本地管理员帐户选择密钥保管库和密码。 用户名和密码必须满足 Azure 中 Windows VM 的要求。 自定义配置 自定义配置脚本 URL 如果要在部署期间运行 PowerShell 脚本，可以在此处输入 URL。 提示
完成此选项卡后，可以继续选择使用此主机池中的新工作区或预先存在的工作区注册默认桌面应用程序组，并通过选择下一步：工作区启用诊断设置。 或者，如果要单独创建和配置这些项，请选择 “下一步：查看 + 创建 ”，然后转到步骤 9。
可选： 在“ 工作区 ”选项卡上，如果要创建工作区并从此主机池注册缺省桌面应用程序组，请填写以下信息：
参数 值/说明 注册桌面应用组 选择“是”。 这会将默认桌面应用程序组注册到所选工作区。 到此工作区 从列表中选择现有工作区，或选择“ 新建” 并输入名称，例如 ws01。 完成此选项卡后，选择 “下一步：管理”。
可选：在 “管理 ”选项卡上，可以分配托管标识并为主机池启用诊断设置。
若要分配托管标识，请填写以下信息。 有关详细信息，请参阅在 Azure 虚拟桌面中配置托管标识。
参数 值/说明 分配托管标识 选中此框可为主机池启用托管标识。 托管标识类型 选择下列选项之一：
- 系统分配的托管标识：绑定到主机池生命周期。 删除主机池时自动删除。 如果帐户可以在相关范围内分配 RBAC，则会自动分配相关权限。
- 用户分配的托管标识：可分配给一个或多个主机池的独立资源。 独立于主机池持久存在。 从“现有用户分配的标识”下拉列表中选择相应的订阅、资源组和托管标识。若要启用诊断设置，请填写以下信息：
参数 值/说明 启用诊断设置 选中该框。 选择要向其发送日志的目标详细信息 选择以下目标之一：
- 发送到 Log Analytics 工作区
- 存档到存储帐户
- Stream 到事件中心完成此选项卡后，选择 下一步：标记。
可选：在 “标记 ”选项卡上，可以输入所需的任何名称/值对，然后选择“ 下一步：查看 + 创建”。
在 “审阅 + 创建 ”选项卡上，确保验证通过并查看部署期间的信息。
选择 “创建” 以创建主机池。
创建主机池后，选择“ 转到资源 ”以转到新主机池的概述，然后选择 “属性” 以查看其属性。
部署后
如果还将会话主机添加到主机池，则可能需要执行一些额外配置，以下部分将对此进行介绍。
授权
要确保会话主机正确应用了许可证，您需要执行以下任务：
如果你有运行 Azure 虚拟桌面工作负载的正确许可证，则可以将 Windows 或 Windows Server 许可证作为 Azure 虚拟桌面的一部分应用于会话主机，并运行它们，而无需支付单独的许可证费用。 使用 Azure 虚拟桌面服务创建会话主机时，会自动应用此许可证，但如果在 Azure 虚拟桌面外部创建会话主机，则可能需要单独应用许可证。 有关详细信息，请参阅 将 Windows 许可证应用于会话主机虚拟机。
如果会话主机运行的是 Windows Server OS，则还需要从 RDS 许可证服务器向它们颁发远程桌面服务 (RDS) 客户端访问许可证 (CAL) 。 有关详细信息，请参阅使用客户端访问许可证许可 RDS 部署。
对于 Azure Local 上的会话主机，必须先许可并激活虚拟机，然后才能将其与 Azure 虚拟桌面一起使用。 若要激活使用 Windows 10 企业版多会话、Windows 11 企业版多会话和 Windows Server 2022 Datacenter：Azure 版的 VM，请使用 Azure VM 验证。 对于所有其他操作系统映像 (如 Windows 10 企业版、Windows 11 企业版 和其他版本的 Windows Server) ，应继续使用现有的激活方法。 有关详细信息，请参阅激活 Azure Local 上的 Windows Server VM。
Microsoft Entra 加入会话主机
对于已加入 Microsoft Entra ID 的 Azure 上的会话主机，还需要启用单一登录或早期身份验证协议，向用户分配 RBAC 角色，并查看多重身份验证策略，以便用户可以登录到 VM。 有关详细信息，请参阅 加入 Microsoft Entra 的会话主机。
注意
如果在同一过程中创建了主机池、工作区并从此主机池注册了默认桌面应用程序组，请转到 将用户分配给应用程序组部分并 完成本文的其余部分。 使用 Azure 门户时，无论设置为首选的应用程序组类型，都会自动创建桌面应用程序组。
如果在同一过程中创建了主机池和工作区，但没有从此主机池注册默认桌面应用程序组，请转到“ 创建应用程序组 ”部分并完成本文的其余部分。
如果未创建工作区，请继续下一节并完成本文的其余部分。
使用标准管理创建主机池
若要创建主机池，请选择方案的相关选项卡并按照步骤操作。
下面介绍如何使用 Azure 门户创建主机池：
登录 Azure 门户。
在搜索栏中，输入“Azure 虚拟桌面”并选择匹配的服务条目。
选择“ 主机池”，然后选择“ 创建”。
在 “基本信息” 选项卡上，填写以下信息：
参数 值/说明 订阅 在下拉列表中，选择要在其中创建主机池的订阅。 资源组 选择现有资源组，或选择“ 新建” 并输入名称。 主机池名称 输入主机池的名称，例如 hp01。 Location 选择要在其中创建主机池的 Azure 区域。 部署范围 选择“区域”以将主机池的元数据存储在为“位置”选择的 Azure 区域内的区域数据库中，或选择“地理位置”以将其存储在服务于该区域的地理数据库中。 默认值为“地理位置”。 仅当为“位置”选择的区域支持区域主机池时，才会显示该字段。 在支持它们的区域中，选择“地理”将像以前一样创建地理主机池，因此现有部署过程保持不变。 创建主机池后，无法更改部署范围。 验证环境 选择“ 是 ”以创建用作 验证环境的主机池。
选择“ 否 ” (默认) 创建不用作验证环境的主机池。首选应用组类型 为此主机池选择 首选应用程序组类型 ： 桌面 或 RemoteApp。 使用 Azure 门户时，将自动创建桌面应用程序组。 主机池类型 选择希望主机池采用 共用池 还是 个人池。
如果选择 “共用”，则负载 均衡算法 和 最大会话限制将显示两个新选项。
展开此部分查看合并选项。
- 对于 负载均衡算法，请根据使用模式选择 广度优先 或 深度优先。
- 对于 最大会话限制，输入要负载均衡到单个会话主机的最大用户数。 有关详细信息，请参阅 主机池负载均衡算法。
如果选择 个人，则将显示分配 类型 和将 多个桌面分配给单个用户的两个新选项。
展开此部分以查看个人选项。
对于 分配类型，请为服务选择 “自动” 以分配尚未分配给用户的任何个人桌面，或选择“ 直接 ”以将特定个人桌面分配给用户。 使用直接分配类型，您还可以检查将多个桌面分配给单个用户的框。 有关详细信息，请参阅 为单个用户分配多个个人桌面。提示
完成此选项卡后，可以继续选择性地创建会话主机、创建工作区、从此主机池注册默认桌面应用程序组，并通过选择“下一步：虚拟机”启用诊断设置。 或者，如果要单独创建和配置这些资源，请选择 “下一步：查看 + 创建 ”，然后转到步骤 9。
可选：在“虚拟机”选项卡上，如果要添加会话主机，请展开以下部分之一并填写信息，具体取决于是要在 Azure 上还是在 Azure Local 上创建会话主机。 有关调整会话主机虚拟机大小的指南，请参阅 会话主机虚拟机大小调整指南。
若要在 Azure 上添加会话主机，请展开此部分。
参数 值/说明 添加虚拟机 选择“是”。 此操作显示了几个新选项。 资源组 此值默认为在 “基本” 选项卡上选择用于包含主机池的资源组，但也可以选择替代资源组。 Name prefix 输入会话主机的名称前缀，如 hp01-sh。
每个会话主机都有一个连字符后缀，然后在末尾添加一个连续号，例如 hp01-sh-0。
此名称前缀最多可包含 11 个字符，并在操作系统的计算机名称中使用。 前缀和后缀的组合最多可以是 15 个字符。 会话主机名必须是唯一的。虚拟机类型 选择 Azure 虚拟机。 虚拟机位置 选择要在其中部署会话主机的 Azure 区域。 此值必须是包含虚拟网络的同一区域。 状态选项 从 可用性区域、 可用性集或 无需基础结构冗余中进行选择。 如果选择 可用性区域 或 可用性集，请填写显示的额外参数。 安全类型 从 Standard、受信任启动虚拟机或机密虚拟机中进行选择。
- 如果选择 受信任启动虚拟机，则会自动选择 安全启动 和 vTPM 选项。
- 如果选择 机密虚拟机，则会自动选择 安全启动、 vTPM 和 完整性监视 选项。 使用机密 VM 时，不能选择退出 vTPM。图像 从列表中选择要使用的操作系统映像，或选择 “查看所有映像 ”以查看详细信息。 完整列表包括你创建并存储为 Azure Compute Gallery 共享映像或托管映像的任何映像。 虚拟机大小 选择一个尺寸。 如果要使用其他大小，请选择 “更改大小”，然后从列表中进行选择。 休眠 选中复选框以启用休眠。 休眠仅适用于个人主机池。 有关详细信息，请参阅 虚拟机中的休眠。 如果使用 Microsoft Teams 媒体优化，则应将 WebRTC 重定向程序服务更新到 1.45.2310.13001。
FSLogix 和应用附加当前不支持休眠。 如果对个人主机池使用 FSLogix 或应用附加，请不要启用休眠。VM 数 输入要部署的虚拟机数。 此时，如果需要，可以根据 订阅配额) 部署最多 400 个会话主机 (，也可以稍后添加更多会话主机。
有关详细信息，请参阅 Azure 虚拟桌面服务限制和虚拟机限制。操作系统磁盘类型 选择要用于会话主机的磁盘类型。 我们建议仅将 高级 SSD 用于生产工作负载。 OS 磁盘大小 选择 OS 磁盘的大小。
如果启用休眠，请确保 OS 磁盘足够大，以便存储 OS 和其他应用程序之外的内存内容。机密计算加密 如果使用的是机密 VM，则必须选中“ 机密计算加密 ”复选框才能启用 OS 磁盘加密。
仅当选择 “机密虚拟机” 作为安全类型时，才会显示此复选框。启动诊断 选择是否要启用启动诊断。 网络和安全 虚拟网络 选择虚拟网络。 将显示一个用于选择子网的选项。 Subnet 从虚拟网络中选择一个子网。 网络安全组 选择是否要将网络安全组 (NSG) 。
- “无”不会创建新的 NSG。
- 基本为 VM 网络适配器创建新的 NSG。
- “高级” 使你能够选择现有的 NSG。
建议不要在此处创建 NSG，而是 在子网上创建 NSG。公共入站端口 可以从列表中选择要允许的端口。 Azure 虚拟桌面不需要公共入站端口，因此建议选择“否”。 要加入的域 选择要加入的目录 从 Microsoft Entra ID 或 Active Directory 中进行选择，并完成所选选项的相关参数。 虚拟机管理员帐户 Username 输入要用作新会话主机的本地管理员帐户的名称。 有关详细信息，请参阅创建 VM 时的用户名要求是什么？ Password 输入本地管理员帐户的密码。 有关详细信息，请参阅 创建 VM 时有哪些密码要求？ 确认密码 重新输入密码。 自定义配置 自定义配置脚本 URL 如果要在部署期间运行 PowerShell 脚本，可以在此处输入 URL。 若要在 Azure Local 上添加会话主机，请展开此部分。
参数 值/说明 添加虚拟机 选择“是”。 此操作显示了几个新选项。 资源组 此值默认为在 “基本” 选项卡上选择用于包含主机池的资源组，但也可以选择替代资源组。 Name prefix 输入会话主机的名称前缀，如 hp01-sh。
每个会话主机都有一个连字符后缀，然后在末尾添加一个连续号，例如 hp01-sh-0。
此名称前缀最多可包含 11 个字符，并在操作系统的计算机名称中使用。 前缀和后缀的组合最多可以是 15 个字符。 会话主机名必须是唯一的。虚拟机类型 选择“Azure Local”。 自定义位置 在下拉列表中，选择要在其中部署会话主机的 Azure Local 实例。 Images 从列表中选择要使用的操作系统映像，或选择“ 管理虚拟机映像” 以管理所选实例上可用的映像。 VM 数 输入要部署的虚拟机数。 可以稍后添加更多。 虚拟处理器计数 输入要分配给每个会话主机的虚拟处理器数。 未针对实例中的可用资源验证此值。 内存类型 对于固定内存分配，请选择“ 静态 ”，或选择 “动态” 以进行动态内存分配。 内存 (GB) 输入要分配给每个会话主机的内存量的数字（以 GB 为单位）。 未针对实例中的可用资源验证此值。 最大内存 如果选择动态内存分配，请输入希望会话主机能够使用的最大内存量（以 GB 为单位）。 最小内存 如果选择动态内存分配，请输入希望会话主机能够使用的最小内存量的数字（以 GB 为单位）。 网络和安全 “网络”下拉列表 选择要连接每个会话的现有网络。 要加入的域 选择要加入的目录 Active Directory 是唯一可用的选项。 这包括使用 Microsoft Entra 混合加入。 AD 域加入 UPN 输入有权将会话主机加入域的 Active Directory 用户的用户主体名称 (UPN) 。 Password 输入 Active Directory 用户的密码。 指定域或单位 如果要将会话主机加入特定域或放置在 OU) (特定组织单位中，请选择 “是 ”。 如果选择 否，则使用 UPN 的后缀作为域。 虚拟机管理员帐户 Username 输入要用作新会话主机的本地管理员帐户的名称。 有关详细信息，请参阅创建 VM 时的用户名要求是什么？ Password 输入本地管理员帐户的密码。 有关详细信息，请参阅 创建 VM 时有哪些密码要求？ 确认密码 重新输入密码。 若要在 Azure 扩展区域上添加会话主机，请展开此部分。
参数 值/说明 添加虚拟机 选择“是”。 此操作显示了几个新选项。 资源组 此值默认为在 “基本” 选项卡上选择用于包含主机池的资源组，但也可以选择替代资源组。 Name prefix 输入会话主机的名称前缀，如 hp01-sh。
每个会话主机都有一个连字符后缀，然后在末尾添加一个连续号，例如 hp01-sh-0。
此名称前缀最多可包含 11 个字符，并在操作系统的计算机名称中使用。 前缀和后缀的组合最多可以是 15 个字符。 会话主机名必须是唯一的。虚拟机类型 选择 Azure 虚拟机。 虚拟机位置 选择“部署到 Azure 扩展区域”。 Azure 扩展区域 选择所需的扩展区域。 网络和安全 选择负载均衡器 选择要用于会话主机的同一虚拟网络上的现有 Azure 负载均衡器，或选择“创建负载均衡器”以创建新的负载均衡器。 选择后端池 在负载均衡器上选择要用于会话主机的后端池。 如果要创建新的负载均衡器，请选择“ 新建” 以为新的负载均衡器创建新的后端池。 添加出站规则 如果要创建新的负载均衡器，请选择“ 新建 ”以为其创建新的出站规则。 完成此选项卡后，选择 下一步：工作区。
可选： 在“ 工作区 ”选项卡上，如果要创建工作区并从此主机池注册缺省桌面应用程序组，请填写以下信息：
参数 值/说明 注册桌面应用组 选择“是”。 此操作会将默认桌面应用程序组注册到所选工作区。 到此工作区 从列表中选择现有工作区，或选择“ 新建” 并输入名称，例如 ws01。 完成此选项卡后，选择 “下一步：管理”。
可选：在 “管理 ”选项卡上，可以分配托管标识并为主机池启用诊断设置。
若要分配托管标识，请填写以下信息。 有关详细信息，请参阅在 Azure 虚拟桌面中配置托管标识。
参数 值/说明 分配托管标识 选中此框可为主机池启用托管标识。 托管标识类型 选择下列选项之一：
- 系统分配的托管标识：绑定到主机池生命周期。 删除主机池时自动删除。 如果帐户可以在相关范围内分配 RBAC，则会自动分配相关权限。
- 用户分配的托管标识：可分配给一个或多个主机池的独立资源。 独立于主机池持久存在。 从“现有用户分配的标识”下拉列表中选择相应的订阅、资源组和托管标识。若要启用诊断设置，请填写以下信息：
参数 值/说明 启用诊断设置 选中该框。 选择要向其发送日志的目标详细信息 选择以下目标之一：
- 发送到 Log Analytics 工作区
- 存档到存储帐户
- Stream 到事件中心完成此选项卡后，选择 下一步：标记。
可选： 在 标记 选项卡上，可以输入所需的任何名称/值对，然后选择下一步 ：查看 + 创建。
在 “审阅 + 创建 ”选项卡上，确保验证通过，并查看将在部署期间使用的信息。
选择 “创建” 以创建主机池。
成功完成部署后，选择“ 转到资源 ”以转到新主机池的概述，然后选择 “属性” 以查看其属性。
部署后任务
如果还将会话主机添加到主机池，则需要执行一些额外配置，如以下部分所述。
授权
要确保会话主机正确应用了许可证，您需要执行以下任务：
如果你有运行 Azure 虚拟桌面工作负载的正确许可证，则可以将 Windows 或 Windows Server 许可证作为 Azure 虚拟桌面的一部分应用于会话主机，并运行它们，而无需支付单独的许可证费用。 使用 Azure 虚拟桌面服务创建会话主机时，会自动应用此许可证，但如果在 Azure 虚拟桌面外部创建会话主机，则可能需要单独应用许可证。 有关详细信息，请参阅 将 Windows 许可证应用于会话主机虚拟机。
如果会话主机运行的是 Windows Server OS，则还需要从 RDS 许可证服务器向它们颁发远程桌面服务 (RDS) 客户端访问许可证 (CAL) 。 有关详细信息，请参阅使用客户端访问许可证许可 RDS 部署。
对于 Azure Local 上的会话主机，必须先许可并激活虚拟机，然后才能将其与 Azure 虚拟桌面一起使用。 若要激活使用 Windows 10 企业版多会话、Windows 11 企业版多会话和 Windows Server 2022 Datacenter：Azure 版的 VM，请使用 Azure VM 验证。 对于所有其他操作系统映像 (如 Windows 10 企业版、Windows 11 企业版 和其他版本的 Windows Server) ，应继续使用现有的激活方法。 有关详细信息，请参阅激活 Azure Local 上的 Windows Server VM。
Microsoft Entra 加入会话主机
对于已加入 Microsoft Entra ID 的 Azure 上的会话主机，还需要启用单一登录或早期身份验证协议，向用户分配 RBAC 角色，并查看多重身份验证策略，以便用户可以登录到 VM。 有关详细信息，请参阅 加入 Microsoft Entra 的会话主机。
注意
如果创建了主机池和工作区，并且在同一过程中从此主机池注册了默认桌面应用程序组，请转到 将用户分配给应用程序组部分并 完成本文的其余部分。 使用Azure 门户时，都会自动创建桌面应用程序组 (您设置为首选) 类型的应用程序。
如果在同一过程中创建了主机池和工作区，但未从此主机池注册默认桌面应用程序组，请转到“ 创建应用程序组 ”部分并完成本文的其余部分。
如果未创建工作区，请继续下一节并完成本文的其余部分。
创建工作区
接下来，若要创建工作区，请选择方案的相关选项卡并按照步骤操作。
下面介绍如何使用 Azure 门户创建工作区：
在 Azure 虚拟桌面概述上，选择“工作区”，然后选择“创建”。
在 “基本信息” 选项卡上，填写以下信息：
参数 值/说明 订阅 在下拉列表中，选择要在其中创建工作区的订阅。 资源组 选择现有资源组，或选择“ 新建” 并输入名称。 工作区名称 输入工作区的名称，例如 workspace01。 友好名称 可选：输入工作区的显示名称。 说明 可选：输入工作区的描述。 Location 选择要在其中部署工作区的 Azure 区域。 部署范围 选择区域或地理。 与主机池一样，仅当为“位置”选择的区域支持区域工作区时，才会显示此选项。 工作区只能注册同一部署范围的应用程序组，因此请创建与将发布其应用程序组的主机池范围相同的工作区。 提示
完成此选项卡后，可以继续选择向此工作区注册现有应用程序组（如果有），并通过选择 “下一步：应用程序组”启用诊断设置。 或者，如果要单独创建和配置这些资源，请选择“ 查看 + 创建 ”并转到步骤 9。
可选： 在 应用程序组 选项卡上，如果要向此工作区注册现有应用程序组，请填写以下信息：
参数 值/说明 注册应用程序组 选择 “是”，然后选择“ + 注册应用程序组”。 在打开的新窗格中，选择要添加的应用程序组的“ 添加 ”图标，然后选择 “选择”。 完成此选项卡后，选择 “下一步：高级”。
可选：在 “高级 ”选项卡上，如果要启用诊断设置，请填写以下信息：
参数 值/说明 启用诊断设置 选中该框。 选择要向其发送日志的目标详细信息 选择以下目标之一：
- 发送到 Log Analytics 工作区
- 存档到存储帐户
- Stream 到事件中心完成此选项卡后，选择 下一步：标记。
可选： 在 标记 选项卡上，可以输入所需的任何名称/值对，然后选择下一步 ：查看 + 创建。
在 “审阅 + 创建 ”选项卡上，确保验证通过，并查看将在部署期间使用的信息。
选择 “创建” 以创建工作区。
选择“ 转到资源 ”以转到新工作区的概述，然后选择 “属性” 以查看其属性。
注意
如果已将应用程序组添加到此工作区，请转到 向应用程序组分配用户部分并 完成本文的其余部分。
如果未向此工作区添加应用程序组，请继续下一节并完成本文的其余部分。
创建应用程序组
若要创建应用程序组，请选择方案的相关选项卡并按照步骤操作。
下面介绍如何使用 Azure 门户创建应用程序组：
在 Azure 虚拟桌面概述上，选择“应用程序组”，然后选择“创建”。
在 “基本信息” 选项卡上，填写以下信息：
参数 值/说明 订阅 在下拉列表中，选择要在其中创建应用程序组的订阅。 资源组 选择现有资源组，或选择“ 新建” 并输入名称。 主机池 选择应用程序组的主机池。 Location 元数据存储在与主机池相同的位置。 应用程序组还继承了您选择的主机池的部署范围，因此只能将其注册到具有相同部署范围的工作区。 无需设置单独的字段。 应用程序组类型 选择主机池的 应用程序组类型 ： 桌面 或 RemoteApp。 应用程序组名称 输入应用程序组的名称，如 Session Desktop。 提示
完成此选项卡后，选择 下一步：查看 + 创建。 无需完成其他选项卡即可创建应用程序组，但需要 先创建工作区，向 工作区添加应用程序组，并将 用户分配给应用程序组 ，然后用户才能访问资源。
如果为 RemoteApp 创建了应用程序组，还需要向其添加应用程序。 有关详细信息，请参阅 发布应用程序。
可选： 如果选择创建 RemoteApp 应用程序组，则可以将应用程序添加到此组。 在 “应用程序组 ”选项卡上，选择 + 添加应用程序，然后选择一个应用程序。 有关应用程序参数的详细信息，请参阅 使用 RemoteApp 发布应用程序。 主机池中至少有一个会话主机必须在 Azure 虚拟桌面中打开并可用。
完成此选项卡后，或者如果要创建桌面应用程序组，请选择 “下一步：作业”。
可选：在“分配”选项卡上，如果要将用户或组分配给此应用程序组，请选择 + 添加 Microsoft Entra 用户或用户组。 在打开的新窗格中，选择要添加的用户或组旁边的框，然后选择 “选择”。
完成此选项卡后，选择 下一步：工作区。
可选： 在“ 工作区 ”选项卡上，如果要创建桌面应用程序组，可以通过填写以下信息从所选主机池中注册默认桌面应用程序组：
参数 值/说明 注册应用程序组 选择“是”。 此操作会将默认桌面应用程序组注册到所选工作区。 注册应用程序组 从列表中选择现有工作区。 完成此选项卡后，选择 “下一步：高级”。
可选： 如果要启用诊断设置，请在 “高级 ”选项卡上填写以下信息：
参数 值/说明 启用诊断设置 选中该框。 选择要向其发送日志的目标详细信息 选择以下目标之一：
- 发送到 Log Analytics 工作区
- 存档到存储帐户
- Stream 到事件中心完成此选项卡后，选择 下一步：标记。
可选： 在 标记 选项卡上，可以输入所需的任何名称/值对，然后选择下一步 ：查看 + 创建。
在 “审阅 + 创建 ”选项卡上，确保验证通过，并查看将在部署期间使用的信息。
选择 “创建” 以创建应用程序组。
选择“ 转到资源 ”以转到新应用程序组的概述，然后选择 “属性” 以查看其属性。
注意
如果创建了桌面应用程序组、分配了用户或组，并将默认桌面应用程序组注册到工作区，则分配的用户可连接到桌面，而无需完成本文的其余部分。
如果创建了 RemoteApp 应用程序组、添加了应用程序并分配了用户或组，请转到将 应用程序组添加到工作区 部分并完成本文的其余部分。
如果未添加应用程序、分配用户或组或将应用程序组注册到工作区，请继续下一节并完成本文的其余部分。
向工作区添加应用程序组
部署范围和对象关系
为主机池选择的部署范围也适用于与之关联的工作区、应用程序组和应用附加包。 区域和地理对象不能混合使用。 区域主机池只能是区域工作区的成员，并且只能包含区域应用程序组。 区域主机池不能加入地理工作区，地理主机池不能加入区域工作区。 在区域主机池中创建的应用程序组自动具有区域性，并且只有区域应用程序组可以注册到区域工作区。 应用附加包具有部署范围并遵循相同的规则。 在 Azure 门户中，具有不兼容部署范围的对象在你从中选择的列表中灰显，因此你只能看到有效的选项。 如果使用 PowerShell 或 REST API 将对象与不同的部署范围关联，则请求会失败。 区域和地理对象可以在同一订阅和同一 Azure 区域中共存，并独立管理。 可以使用主机池列表视图中的“部署范围”列查看每个主机池的类型。
迁移和将来的更改
无法更改现有主机池、工作区或应用程序组的部署范围。 将分阶段推出将现有地理主机池迁移到区域的支持。 请继续关注未来的更新。 当不再允许创建新的地理主机池时，将公布日期，停用地理基础结构的晚些时候将公布。
接下来，若要将应用程序组添加到工作区，请选择方案的相关选项卡，然后按照步骤操作。
下面介绍如何使用 Azure 门户将应用程序组添加到工作区：
在 Azure 虚拟桌面概述中，选择“工作区”，然后选择要向其分配应用程序组的工作区的名称。
在工作区概述上，选择“ 应用程序组”，然后选择“ + 添加”。
在列表中，选择应用程序组旁边 (+) 的加号图标。 仅列出尚未分配给工作区的应用程序组。
选择“选择”。 应用程序组已添加到工作区。
分配用户到应用程序组
最后，要将用户或用户组分配给应用程序组，请选择方案的相关选项卡并按照步骤操作。 建议将用户组分配给应用程序组，以简化日常管理。
创建帐户后，使用的帐户需要有权在应用程序组的 Azure RBAC 中分配角色。 权限为 Microsoft.Authorization/roleAssignments/write，包含在某些内置角色中，例如 用户访问管理员 和 所有者。
下面介绍如何使用 Azure 门户将用户或用户组分配给应用程序组：
在 “Azure 虚拟桌面概述） 上，选择 ”应用程序组“。
从列表中选择应用程序组。
在应用程序组概述上，选择“ 作业”。
选择“ + 添加”，然后搜索并选择要分配给此应用程序组的用户帐户或用户组。
最后选择 “选择”。
相关内容
部署 Azure 虚拟桌面后，用户可以从多个平台（包括 Web 浏览器）进行连接。 有关详细信息，请参阅 Azure 虚拟桌面的远程桌面客户端和使用远程桌面 Web 客户端连接到Azure虚拟桌面。
下面是你可能想要执行的一些额外任务：