適用於企業的 Azure 虛擬桌面

Azure 虛擬桌面 是在 Azure 中執行的桌面和應用程式虛擬化服務。 本文旨在協助桌面基礎結構架構設計人員、雲端架構設計人員、桌面系統管理員和系統管理員探索 Azure 虛擬桌面，並在企業級建置虛擬化桌面基礎結構 （VDI） 解決方案。 企業級解決方案通常涵蓋1,000個以上的虛擬桌面。

架構

下圖說明 Azure 虛擬桌面的典型架構設定：

下載此架構的 Visio 檔案。

資料流程

圖表的數據流元素如下所述：

• 應用程式端點位於客戶的內部部署網路中。 Azure ExpressRoute 會將內部部署網路延伸至 Azure，而 Microsoft Entra 連線 會將客戶的 Active Directory 網域服務 （AD DS） 與 Microsoft Entra ID 整合。

• Azure 虛擬桌面控制平面會處理 Web 存取、閘道、訊息代理程式、診斷和擴充性元件，例如 REST API。

• 客戶會管理 AD DS 和 Microsoft Entra ID、Azure 訂用帳戶、虛擬網路、Azure 檔案儲存體 或 Azure NetApp Files，以及 Azure 虛擬桌面主機集區和工作區。

• 為了增加容量，客戶會在中樞輪輻架構中使用兩個 Azure 訂用帳戶，並透過虛擬網路對等互連加以連線。

如需 FSLogix 配置檔容器 - Azure 檔案儲存體 和 Azure NetApp Files 最佳做法的詳細資訊，請參閱 FSLogix 組態範例。

元件

Azure 虛擬桌面 服務架構類似於 Windows Server 遠端桌面服務。 雖然 Microsoft 會管理基礎結構和代理元件，但企業客戶會管理自己的桌面主機虛擬機（VM）、數據和用戶端。

Microsoft 管理的元件

Microsoft 會在 Azure 中管理下列 Azure 虛擬桌面服務：

• Web 存取：藉由使用 Azure 虛擬桌面內的 Web 存取服務，您可以透過 HTML5 相容的網頁瀏覽器存取虛擬桌面和遠端應用程式，就像從任何地方和在任何裝置上使用本機電腦一樣。 您可以在 Microsoft Entra ID 中使用多重要素驗證來保護 Web 存取。

• 閘道：遠端連線閘道服務會從任何可執行 Azure 虛擬桌面用戶端的網際網路連線裝置，將遠端使用者連線到 Azure 虛擬桌面應用程式和桌面。 用戶端會連線到閘道，然後協調來自 VM 的連線回到相同的閘道。

• 連線代理人：連線代理人服務會管理使用者對虛擬桌面和遠端應用程式的連線。 連線 ion Broker 提供負載平衡和重新連線到現有的工作階段。

• 診斷：遠端桌面診斷是事件型匯總工具，其會將 Azure 虛擬桌面部署上的每個使用者或管理員動作標示為成功或失敗。 管理員可以查詢事件彙總，以識別失敗的元件。

• 擴充性元件：Azure 虛擬桌面包含數個擴充性元件。 您可以使用 Windows PowerShell 或隨附的 REST API 來管理 Azure 虛擬桌面，這也可啟用第三方工具的支援。

您管理的元件

您可以管理 Azure 虛擬桌面解決方案的下列元件：

• Azure 虛擬網絡：使用 Azure 虛擬網絡，VM 等 Azure 資源可以彼此和因特網私下通訊。 藉由將 Azure 虛擬桌面主機集區連線到 Active Directory 網域，您可以根據組織原則定義網路拓撲，以從內部網路或網際網路存取虛擬桌面和虛擬應用程式。 您可以使用虛擬專用網將 Azure 虛擬桌面實例連線到內部部署網路，或使用 Azure ExpressRoute 透過私人連線將內部部署網路延伸至 Azure。

• Microsoft Entra ID：Azure 虛擬桌面會使用 Microsoft Entra ID 進行身分識別和存取管理。 Microsoft Entra 整合會套用 Microsoft Entra 安全性功能，例如條件式存取、多重要素驗證和 Intelligent Security Graph，有助於維護已加入網域的 VM 中的應用程式相容性。

• Active Directory 網域服務 （選擇性）：Azure 虛擬桌面 VM 可以加入 AD DS 服務，或使用在 Azure 虛擬桌面中部署已加入 Microsoft Entra 的虛擬機

  • 使用 AD DS 網域時，網域必須與 Microsoft Entra ID 同步，才能讓兩個服務之間的使用者產生關聯。 您可以使用 Microsoft Entra 連線 將 AD DS 與 Microsoft Entra ID 產生關聯。
  • 使用 Microsoft Entra Join 時，請檢閱 支援的組態 ，以確保您的案例受到支援。

• Azure 虛擬桌面會話主機：會話主機是使用者為其桌面和應用程式連線的 VM。 支持數個版本的 Windows，而且您可以使用應用程式和自定義來建立映像。 您可以選擇 VM 大小，包括已啟用 GPU 的 VM。 每個工作階段主機都有一個 Azure 虛擬桌面主機代理程式，可在 Azure 虛擬桌面工作區或租用戶中註冊 VM。 每個主機集區可以有一或多個應用程式群組，這些群組是您可以存取的遠端應用程式或桌面會話集合。 若要查看支援的 Windows 版本，請參閱 作業系統和授權。

• Azure 虛擬桌面工作區：Azure 虛擬桌面工作區或租使用者是管理及發佈主機集區資源的管理建構。

案例詳細資料

潛在的使用案例

企業虛擬桌面解決方案的最大需求來自：

• 安全性與法規應用程式，例如金融服務、醫療保健和政府。

• 彈性員工需求，例如遠端工作、合併和收購、短期員工、承包商和合作夥伴存取權。

• 特定員工，例如攜帶您自己的裝置（BYOD）和行動使用者、客服中心和分支工作者。

• 特殊的工作負載，例如設計和工程、舊版應用程式和軟體開發測試。

個人和集區式桌面

藉由使用個人桌面解決方案，有時稱為 持續性桌面，使用者一律可以連線到相同的特定會話主機。 使用者通常會修改其桌面體驗以符合個人喜好設定，而且可以在桌面環境中儲存盤案。 個人桌面解決方案：

• 讓使用者自定義其桌面環境，包括使用者安裝的應用程式，用戶可以在桌面環境中儲存盤案。
• 允許將專用資源指派給特定使用者，這對某些製造或開發使用案例很有説明。

集區桌面解決方案，也稱為 非持續性桌面，根據負載平衡演算法，將使用者指派給目前可用的會話主機。 因為使用者每次連線時不一定會回到相同的會話主機，所以他們有有限的能力來自定義桌面環境，而且通常沒有系統管理員存取權。

Windows 服務

有數個選項可用來更新 Azure 虛擬桌面實例。 每月部署更新的映像可保證合規性和狀態。

• Microsoft Endpoint Configuration Manager （MECM） 會更新伺服器和桌面操作系統。
• 商務用 Windows 更新 更新桌面作業系統，例如 Windows 10 多會話。
• Azure 更新管理 更新伺服器作業系統。
• Azure Log Analytics 會檢查合規性。
• 每月將新的 (自訂) 映像部署至工作階段以取得最新的 Windows 和應用程式更新。 您可以從 Azure Marketplace 或 自定義的 Azure 受控映射使用映像。

主要邏輯元件之間的關聯性

主機集區、工作區和其他主要邏輯元件之間的關聯性會有所不同。 下圖摘要說明：

下列描述中的數字會對應至上圖中的數位。

• （1） 包含已發佈桌面的應用程式群組只能包含掛接至主機集區的 MSIX 套件（會話主機的 [開始] 功能表中會提供套件），它不能包含任何其他已發佈的資源，而且稱為桌面應用程式群組。
• （2） 指派給相同主機集區的應用程式群組必須是相同工作區的成員。
• （3） 使用者帳戶可以直接或透過 Microsoft Entra 群組指派給應用程式群組。 您可以將任何使用者指派給應用程式群組，但無法提供服務。
• （4） 可以有空的工作區，但無法為使用者提供服務。
• （5） 可以有空的主機集區，但無法為使用者提供服務。
• （6） 主機集區可能沒有指派任何應用程式群組，但無法服務使用者。
• （7） Azure 虛擬桌面需要 Microsoft Entra 識別碼。 這是因為 Microsoft Entra 使用者帳戶和群組必須一律用來將使用者指派給 Azure 虛擬桌面應用程式群組。 Microsoft Entra ID 也可用來驗證使用者到 Azure 虛擬桌面服務。 Azure 虛擬桌面會話主機也可以是 Microsoft Entra 網域的成員，在此情況下，也會使用 Microsoft Entra 帳戶啟動並執行 Azure 虛擬桌面發佈的應用程式和桌面會話。
  • （7） 或者，Azure 虛擬桌面會話主機可以是 AD DS 網域的成員，在此情況下，Azure 虛擬桌面發佈的應用程式和桌面工作階段將會使用 AD DS 帳戶來啟動並執行（但未指派）。 若要減少使用者和管理額外負荷，AD DS 可以透過 Microsoft Entra 連線 與 Microsoft Entra 識別符同步處理。
  • （7） 最後，Azure 虛擬桌面會話主機可以改為成為 Microsoft Entra Domain Services 網域的成員，在此情況下，Azure 虛擬桌面發佈的應用程式和桌面會話將會使用 Microsoft Entra Domain Services 帳戶來啟動並執行（但未指派）。 Microsoft Entra ID 會自動與 Microsoft Entra Domain Services 同步處理，單向從 Microsoft Entra ID 到 Microsoft Entra Domain Services。

考量

這些考慮會實作 Azure Well-Architected Framework 的支柱，這是一組指導原則，可用來改善工作負載的品質。 如需詳細資訊，請參閱 Microsoft Azure Well-Architected Framework。

下列各節中的數位是近似值。 它們是以各種大型客戶部署為基礎，而且可能會隨著時間而變更。

另請注意：

• 您無法為每個 Microsoft Entra 租使用者*建立超過 500 個應用程式群組。
• 建議您不要每個應用程式群組發佈超過50個應用程式。

Azure 虛擬桌面限制

Azure 虛擬桌面很類似 Azure，有許多您需要注意的特定服務限制。 若要避免在縮放階段進行變更，最好在設計階段解決其中一些限制。

*如果您需要超過 500 個應用程式群組，請透過 Azure 入口網站 提交支援票證。

• 建議您在每個區域的每個 Azure 訂用帳戶部署不超過 5,000 部 VM。 此建議適用於以 Windows 企業版單一和多重工作階段為基礎的個人和集區式主機集區。 大部分的客戶都會使用 Windows 企業版多會話，這可讓多個使用者登入每個 VM。 您可以增加個別工作階段主機 VM 的資源，以容納更多的使用者工作階段。
• 針對自動化工作階段主機縮放工具，每個區域每個 Azure 訂用帳戶的限制大約是 2,500 個 VM，因為 VM 狀態互動會耗用更多資源。
• 若要管理在相同區域中，每個 Azure 訂用帳戶超過 5,000 個 VM 的企業環境，您可以在中樞輪輻架構中建立多個 Azure 訂用帳戶，並透過虛擬網路對等互連來連線這些訂用帳戶 (每個輪輻使用一個訂用帳戶)。 您也可以將 VM 部署在相同訂用帳戶中的不同區域，以增加 VM 的數目。
• Azure Resource Manager (ARM) 訂用帳戶 API 節流限制不允許每小時透過 Azure 入口網站進行超過 600 次的 Azure VM 重新開機。 您可以透過作業系統一次將所有電腦重新開機，這不會耗用任何 Azure Resource Manager 訂用帳戶 API 呼叫。 如需根據 Azure 訂用帳戶計算和疑難解答節流限制的詳細資訊，請參閱 針對 API 節流錯誤進行疑難解答。
• 您目前可以在 Azure 虛擬桌面入口網站的單一 ARM 範本部署中部署最多 132 部 VM。 若要建立超過 132 部 VM，請在 Azure 虛擬桌面入口網站中多次執行 ARM 範本部署。
• Azure VM 工作階段主機名稱前置詞不能超過 11 個字元，因為自動指派執行個體名稱和 NetBIOS 時限制每個電腦帳戶為 15 個字元。
• 根據預設，您可以在資源群組中部署最多 800 個資源類型的執行個體。 Azure 計算沒有此限制。

如需 Azure 訂用帳戶限制的詳細資訊，請參閱 Azure 訂用帳戶和服務限制、配額與條件約束。

VM 大小調整

虛擬機大小調整指導方針 會列出每個虛擬中央處理單位 （vCPU） 和不同工作負載的最小 VM 組態建議的最大用戶數目。 此數據可協助您預估主機集區中所需的 VM。

使用模擬工具來測試具有壓力測試和實際使用模擬部署。 請確定系統具有回應性和彈性，以符合使用者需求，並記得在測試時變更負載大小。

成本最佳化

成本優化是考慮如何減少不必要的費用，並提升營運效率。 如需詳細資訊，請參閱 成本優化要素概觀。

您可以建構 Azure 虛擬桌面解決方案，以節省成本。 以下是五個不同的選項，可協助您管理企業的成本：

• Windows 10 多會話：藉由為具有相同計算需求的使用者提供多會話桌面體驗，您可以讓更多使用者一次登入單一 VM，這種方法可節省相當大的成本。
• Azure Hybrid Benefit：若擁有軟體保證，您可以使用 Azure Hybrid Benefit for Windows Server，以節省 Azure 基礎結構的成本。
• Azure 保留的 VM 實例：您可以預付 VM 使用量並節省成本。 將 Azure 保留的 VM 實例與 Azure Hybrid Benefit 結合在一起，可節省高達 80% 的清單價格。
• 會話主機負載平衡：當您設定會話主機時， 將使用者隨機分散到會話主機的廣度優先 模式是標準預設模式。 或者，您可以使用 深度優先 模式來填滿會話主機伺服器，並在使用者移至下一個會話主機之前，將用戶數目上限填滿。 您可以調整此設定，以獲得最大的成本效益。

部署此案例

使用ARM範本將 Azure 虛擬桌面環境的部署自動化。 這些 ARM 範本僅支援 Azure Resource Manager 的 Azure 虛擬桌面物件。 這些 ARM 範本不支援 Azure 虛擬桌面（傳統版）。

參與者

本文由 Microsoft 維護。 原始投稿人如下。

主體作者：

• 湯姆·希克林 |資深產品經理、Azure 虛擬桌面工程

其他參與者：

• 納爾遜·德爾維拉爾 |雲端解決方案架構師、Azure Core 基礎結構

下一步

• Azure 虛擬桌面合作夥伴整合 會列出已核准的 Azure 虛擬桌面合作夥伴提供者和獨立軟體廠商。
• 使用虛擬桌面優化工具，協助將 Windows 10 企業版 VDI （虛擬桌面基礎結構） 環境中的效能優化。
• 請參閱 在 Azure 虛擬桌面中部署已加入 Microsoft Entra 的虛擬機。
• 深入瞭解 Active Directory 網域服務。
• 什麼是 Microsoft Entra Connect？(機器翻譯)

相關資源

• 如需多個 Active Directory 樹系架構的詳細資訊，請參閱 Azure 虛擬桌面中的多個 Active Directory 樹系架構。