Microsoft AZ-140: Imagens e Provisionamento de Host de Sessão — Guia de estudos

    sysprep /oobe /generalize /shutdown /mode:vm
    ```

  - Valide se o Windows está atualizado, se quaisquer segredos por usuário foram limpos e se os logs de eventos foram rotacionados. Não ingresse a imagem a ser capturada em um domínio.

- Azure Image Builder e personalização repetível
  - O Azure Image Builder orquestra a criação de imagens usando um pipeline declarativo que pode adicionar software, aplicar linhas de base, injetar pacotes de idiomas, executar o Windows Update e publicar no Azure Compute Gallery.
  - Garanta a repetibilidade: armazene os modelos (templates) do AIB em controle de versão, conduza compilações (builds) parametrizadas e promova as imagens através de galerias ou regiões de desenvolvimento → validação → produção.

- Modelos do Azure Resource Manager, Bicep e automação de implantação
  - Defina pools de hosts, grupos de aplicativos, workspaces, conjuntos de dimensionamento de VMs e VMs de host de sessão como código. Parametrize a referência da imagem (galeria/definição/versão), rede, tamanho e identidade.
  - Use referências do Key Vault para segredos onde o ingresso no domínio do AD DS é necessário. Para grandes implantações, pré-valide as cotas de vCPU regionais para evitar falhas de provisionamento.

- Exemplo: Trecho de Bicep para instalar o agente AVD com um token de registro durante o provisionamento da VM

### Opções de Ingresso, Registro e Considerações de Rede/DNS
O ingresso de identidade e o registro do agente devem ser planejados em conjunto com a resolução de nomes e o roteamento.

- Ingresso em domínio e ingresso no Microsoft Entra durante a implantação do host de sessão
- Ingresso no AD DS: Compatível com Windows 10/11 Enterprise multi-session e Windows Server. Use a extensão “JSONADDomainExtension” ou as propriedades `domainJoin` nativas em seu fluxo de trabalho de implantação. Delegue os direitos de ingresso a uma conta de serviço com escopo de UO restrito.
- Ingresso no Microsoft Entra ID: Compatível com Windows 11 Enterprise e Windows 11 Enterprise multi-session. Isso remove a dependência de controladores de domínio e pode simplificar o ciclo de vida do dispositivo com identidade somente na nuvem e Acesso Condicional (Conditional Access). Garanta que os pré-requisitos de cliente e gerenciamento do AVD sejam atendidos antes de habilitar.
- Ingresso no Azure AD DS: Ao usar um domínio gerenciado, configure primeiro os servidores DNS da VNet para os IPs do Azure AD DS; caso contrário, a implantação e o ingresso falharão porque os hosts de sessão não conseguem resolver o domínio gerenciado.

- Requisitos de DNS e conectividade
- Garanta que o DNS da VNet aponte para resolvedores que possam resolver o domínio de destino e os registros para os serviços do Azure. Para AD DS híbrido, use IPs de controladores de domínio alcançáveis por meio de emparelhamento (peering) ou VPN; configure múltiplos servidores DNS para manter a resiliência.
- Para implantações entre VNets (cross-VNet), atualize as configurações de DNS da VNet filha; não dependa do DNS padrão do Azure para ingressos no AD DS.

- Bootstrapping do agente do host de sessão e uso do token de registro
- O par de agentes do AVD (Remote Desktop Agent Loader e a pilha side-by-side) registra uma VM em um pool de hosts usando um token de registro com tempo limitado. Gere o token no nível do pool de hosts e injete-o no momento da criação (build time) ou por meio de extensões de VM.
- Ao integrar VMs existentes a um pool de hosts, gere uma nova chave de registro antes de instalar o agente para que a VM possa se registrar com o broker.
### Atualização, Reforço de Segurança (Hardening) e Validação
Trate os hosts de sessão como imutáveis; escale horizontalmente (scale out) novos hosts com uma nova imagem, drene e desative os antigos.

- Estratégia de atualização: atualizações de imagem, hotpatching e planejamento de rollback
- Atualizações de imagem: Produza uma nova versão na galeria para atualizações mensais de qualidade e recursos, valide e, em seguida, escale horizontalmente. Use o “modo de drenagem” (drain mode) para remover os usuários antes da desalocação e remoção dos hosts antigos.
- Hotpatching: Aplicável apenas ao Windows Server Azure Edition; reduz as reinicializações durante a aplicação de patches. O Windows 10/11 Enterprise multi-session não suporta hotpatching — use atualizações cumulativas normais em seu pipeline de imagem, além de patches emergenciais fora de banda (out-of-band) conforme necessário.
- Rollback: Mantenha pelo menos uma versão de imagem de produção anterior replicada em todas as regiões. Se problemas forem detectados, provisione novos hosts a partir da versão anterior e realoque a capacidade. Use a opção `ExcludeFromLatest` da galeria para reter compilações (builds) problemáticas.

- Reforço de segurança (hardening) da imagem
- Baselines: Aplique as linhas de base de segurança (security baselines) da Microsoft para Windows 10/11 ou o hardening CIS equivalente no pipeline de imagem. Valide com o Defender for Cloud e a avaliação de vulnerabilidades.
- Identidade e acesso: Remova o administrador local sempre que possível, habilite o Windows LAPS para quaisquer contas de administrador local e imponha MFA/Acesso Condicional (Conditional Access) para o login no AVD.
- Proteção de disco e dados: Use chaves gerenciadas pela plataforma ou pelo cliente para conjuntos de criptografia de disco. Armazene os perfis do FSLogix em armazenamento resiliente; para contagens de usuários muito grandes e requisitos de baixa latência, o Azure NetApp Files oferece o armazenamento de perfis com o maior IOPS e a menor latência.
- Controle de aplicativos e redução da superfície de ataque: Habilite o Windows Defender Application Control onde for viável, configure regras de ASR (Attack Surface Reduction) e implante o Microsoft Defender for Endpoint.
- Política e controle de desvio (drift): Use o Azure Policy para restringir imagens e extensões de VM; audite desvios e bloqueie alterações fora do processo.

- Testes em um host pool de validação
- Mantenha um pequeno host pool de validação separado. Defina-o como um ambiente de validação para receber atualizações de pré-lançamento do agente do AVD e validar novas versões de imagem, alterações no FSLogix e GPOs antes da promoção para produção.
- Meça a experiência do usuário durante a sessão. Por exemplo, para triar rapidamente problemas de exibição percebidos, verifique os contadores `RemoteFX Graphics Frames Skipped/Second` no Performance Monitor para isolar gargalos no cliente, na rede ou no servidor.

#### Cenário de Problema Prático
A Siemens precisa padronizar o Azure Virtual Desktop na Europa Ocidental e no Sul da Índia com hosts Windows 11 Enterprise multi-session. Eles exigem personalização de imagem repetível, implantações (rollouts) rápidas, rollback seguro e a capacidade de suportar tanto os Microsoft 365 Apps quanto um add-in de linha de negócios (line-of-business). Um domínio gerenciado do Azure AD DS existe na VNet do hub europeu, e a Siemens planeja implantar host pools compartilhados (pooled) em ambas as regiões.

1) Preparar a resolução de nomes e os pré-requisitos de ingresso (join)
 - Ação: Defina os servidores DNS em ambas as VNets para os IPs do Azure AD DS e garanta que o emparelhamento de VNet (VNet peering) permita o tráfego DNS encaminhado.
 - Por quê: Os hosts de sessão precisam resolver o domínio gerenciado para o ingresso no AD DS. Atualizar o DNS da VNet primeiro evita falhas no momento do ingresso e garante a resolução de Kerberos e LDAP.

2) Construir uma imagem de ouro (golden image) com o Azure Image Builder
 - Ação: Comece com a imagem do Marketplace “Windows 11 Enterprise multi-session + Microsoft 365 Apps”. Use o Azure Image Builder para adicionar o FSLogix, o Defender for Endpoint, pacotes de idiomas e baselines de segurança; em seguida, execute o Windows Update e a generalização com o sysprep.
 - Por quê: O AIB garante um pipeline repetível e auditável que minimiza o desvio (drift) e produz uma imagem selada, garantindo que cada host seja idêntico e em conformidade.

3) Publicar e replicar via Azure Compute Gallery
 - Ação: Publique a imagem capturada como versão 1.0.0 na Azure Compute Gallery e replique para a Europa Ocidental e o Sul da Índia. Marque a 1.0.0 como a mais recente; ao preparar a 1.1.0, defina `ExcludeFromLatest` para a 1.1.0 até que a validação seja concluída.
 - Por quê: A replicação da galeria posiciona a imagem perto de onde os hosts são criados para um provisionamento mais rápido e fornece promoção controlada por meio dos sinalizadores de "mais recente" (latest) e exclusão.

4) Automatizar o provisionamento de host pools e VMs com Bicep
 - Ação: Implante host pools, grupos de aplicativos e planos de escalonamento como código. Crie hosts de sessão a partir da versão da galeria usando um modelo Bicep parametrizado que instala o agente do AVD com um token de registro recém-gerado e realiza o ingresso no domínio AD DS por meio da extensão de domínio.
 - Por quê: A infraestrutura como código garante consistência entre as regiões, torna as implantações idempotentes e otimiza o registro no broker com o mínimo de etapas manuais.

5) Validar em um host pool de validação dedicado
 - Ação: Crie um pequeno host pool de validação na Europa Ocidental, habilite o ambiente de validação e direcione um grupo piloto para ele. Meça o desempenho do login, o comportamento do FSLogix e os contadores gráficos; resolva os problemas encontrados e, em seguida, remova o `ExcludeFromLatest` da versão 1.1.0.
 - Por quê: A detecção precoce de regressões evita um impacto amplo nos usuários e permite que a Siemens promova apenas imagens comprovadas.

6) Executar a implantação (rollout) em produção com segurança de rollback
 - Ação: Escale horizontalmente novos hosts em ambas as regiões a partir da versão 1.1.0. Coloque os hosts antigos em modo de drenagem, desaloque-os e remova-os após o término das sessões. Mantenha a versão 1.0.0 disponível por dois ciclos de lançamento.
 - Por quê: A substituição no estilo azul-verde (blue-green) evita o desvio em ambientes existentes e permite o rollback instantâneo ao provisionar a partir da imagem anterior, caso surjam problemas.

7) Reforçar a segurança (harden) e governar continuamente
 - Ação: Aplique o Azure Policy para restringir as imagens permitidas e as extensões necessárias, habilite as recomendações do Defender for Cloud e armazene os perfis do FSLogix no Azure NetApp Files para um alto desempenho previsível.
 - Por quê: A governança contínua e o armazenamento de perfis de alto desempenho sustentam a experiência do usuário em escala, preservando a postura de segurança.

---

← [Rede](/br/posts/az-140-networking/)  ·  [Todos os domínios](/br/posts/az-140-study-guide/)  ·  [FSLogix](/br/posts/az-140-fslogix-profiles/) →

**[Pratique estas questões →](/br/kb/microsoft/)**  ·  **[Prática cronometrada no ExamRoll.io →](https://www.examroll.io/?utm_source=guide&utm_medium=referral&utm_campaign=az-140)**