Microsoft AZ-140: FSLogix, Profile und Benutzerdaten — Lernleitfaden

By Laurynas Brazys · 12 August 2026 · #microsoft #az-140 #certification #exam-prep #study-guide

Teil des Microsoft Azure Virtual Desktop Specialty AZ-140 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

FSLogix stellt containerbasierte Benutzerprofile für Azure Virtual Desktop bereit, indem das Profil eines Benutzers bei der Anmeldung als virtuelle Festplatte über SMB angehängt wird. Dieses Design eliminiert die Fallstricke von veralteten Roaming-Profilen, beschleunigt die Anmeldung und stabilisiert den Anwendungsstatus über nicht-persistente Sitzungshosts hinweg. FSLogix trennt den Profilstatus (Profile Container) von Microsoft 365-Daten und -Caches (Office Data File Container) und kann mit Cloud Cache die Resilienz erhöhen. Die richtige Auswahl des Speichers, identitätsbasierte SMB-Berechtigungen und eine Steuerung der Profilgröße sind entscheidend, um Anmeldungen mit geringer Latenz und eine hohe Sitzungsdichte zu gewährleisten.

FSLogix Container und Datenarchitektur

FSLogix Profile Containers speichern das gesamte Benutzerprofil in einer einzigen virtuellen Festplattendatei, die sich auf einem SMB-Speicher befindet. Bei der Anmeldung wird die Festplatte unter C:\Users\Benutzername eingehängt, und das Betriebssystem sieht ein natives Profil.

Festplattenformat: Verwenden Sie VHDX, es sei denn, Kompatibilität mit sehr alten Betriebssystemen ist erforderlich. VHDX ist widerstandsfähiger gegen Beschädigungen, unterstützt größere Formate, ist weniger anfällig für Metadatenprobleme und ist der Standard bei FSLogix. Verwenden Sie VHD nur, wenn eine bestimmte Anwendung oder ein veralteter Treiber dies erfordert.
Dimensionierung: Container sind standardmäßig dynamisch erweiterbar. Legen Sie eine maximale Größe fest (z. B. 30 GB für das Profil, 10 GB für Office) und erlauben Sie dynamisches Wachstum. Festplatten fester Größe verbessern selten die Leistung und erhöhen den Speicherverbrauch sowie den Verwaltungsaufwand.
Sperren und Gleichzeitigkeit: Ein Profil-Container wird vom ersten Sitzungshost mit Lese-/Schreibzugriff gesperrt. Eine zweite gleichzeitige Sitzung für denselben Benutzer auf einem anderen Host wird je nach Richtlinie blockiert oder nur mit Lesezugriff zugelassen. Dies schützt die Integrität des Profils.

Der Office Data File Container (ODFC) trennt Microsoft 365-Daten mit hoher Änderungsrate – Outlook OST/Dat-Dateien, OneDrive- und Teams-Caches – in einen eigenen Container. Die Vorteile sind:

Schnellere Anmeldungen, da Office-Caches den Profile Container nicht mehr aufblähen.
Unabhängige Bereinigung oder Neuinitialisierung von Office-Caches, ohne das Benutzerprofil zu berühren.
Reduziertes Risiko, dass eine Beschädigung des Office-Caches das Profil beeinträchtigt.

Verwenden Sie redirections.xml, um flüchtige Ordner aus dem Profile Container auszuschließen, um dessen Wachstum zu verringern und die Anmeldung zu beschleunigen. Gängige Ausschlüsse sind der Teams-Cache, Browser-Caches, Temp- und Log-Dateien. Wenn Sie ODFC verwenden, schließen Sie Office-spezifische Caches aus dem Profile Container aus, um Duplizierung zu vermeiden.

Beispiel für redirections.xml (neben frxtray.exe platzieren oder über die Registry definieren):

<?xml version="1.0" encoding="UTF-8"?>
<FrxProfileFolderRedirection ExcludeCommonFolders="0">
  <Exclude>
    <Path>%LOCALAPPDATA%\Microsoft\Teams\Cache</Path>
    <Path>%LOCALAPPDATA%\Microsoft\Teams\Service Worker</Path>
    <Path>%LOCALAPPDATA%\Temp</Path>
    <Path>%LOCALAPPDATA%\Packages\Microsoft.MicrosoftEdge_*\AC\#!001\Cache</Path>
    <Path>%APPDATA%\Microsoft\Teams\media-stack</Path>
  </Exclude>
</FrxProfileFolderRedirection>

Speicherplattformen und Zugriffskontrolle

Die Auswahl des SMB-Speichers für FSLogix ist eine Entscheidung, die Leistung und Betrieb betrifft:

Azure NetApp Files (ANF): Höchste IOPS und niedrigste Latenz; ideal für sehr große und latenzempfindliche Bereitstellungen (z. B. Zehntausende von Benutzern). Bietet SMB-Volumes mit vorhersagbarer Latenz im Mikrosekunden- bis niedrigen Millisekundenbereich, an Kapazitäts-Pools gebundenen Durchsatz pro Volume, Snapshots und regionsübergreifende Replikation. Zu verwenden, wenn Sie das Desktop-Erlebnis maximieren und extreme Gleichzeitigkeit bewältigen müssen.
Azure Files Premium (FileStorage): SSD-basiert, in vielen Regionen zonenredundant, minimaler Verwaltungsaufwand, kosteneffektiv für den breiten Unternehmenseinsatz. Die Leistung der Freigabe skaliert mit der bereitgestellten Größe; bietet bis zu 100.000 IOPS und einen Durchsatz von mehreren GB/s pro Freigabe bei zunehmender Kapazität. Empfohlen für die meisten Host-Pools, wenn Sie SSD-Leistung ohne den Verwaltungsaufwand von ANF benötigen.
Azure Files Standard: HDD-basiert; geeignet für kleine Testumgebungen oder geringe Nutzung. Nicht für produktive FSLogix-Profile empfohlen aufgrund höherer Latenz und variabler Leistung.

UNC-Pfade und DNS:

Azure Files verwendet das Pfadformat \storageaccount.file.core.windows.net\sharename. Stellen Sie sicher, dass Sitzungshosts diesen Endpunkt auflösen und erreichen können. Private Endpunkte werden zur Eingrenzung des Datenverkehrs empfohlen.
ANF verwendet einen SMB-Volume-Pfad wie \anf-vol-name\share über ein delegiertes Subnetz mittels privater IP.

Identitätsbasierte SMB-Authentifizierung und Berechtigungen hängen vom Verzeichnisdienst und dem Beitrittsstatus Ihrer Sitzungshosts ab:

Active Directory Domain Services (AD DS) oder Azure AD DS: Sitzungshosts sind der Domäne beigetreten; verwenden Sie Kerberos. Konfigurieren Sie Freigabeberechtigungen und NTFS-ACLs mit Ihren AD-Gruppen.
Microsoft Entra ID Kerberos für Azure Files: Ermöglicht SMB-Zugriff von in Entra ID eingebundenen Sitzungshosts ohne AD DS. Weisen Sie Azure RBAC auf dem Speicherkonto zu und stellen Sie sicher, dass das Client-Betriebssystem und die FSLogix-Versionen diesen Modus unterstützen.

Mindestberechtigungen (Prinzip der geringsten Rechte) für Azure Files in gängigen Szenarien:

Weisen Sie der Benutzergruppe die Rolle Storage File Data SMB Share Contributor (Azure RBAC) auf dem Speicherkonto oder der Freigabe zu, wenn Sie die Entra ID-Authentifizierung verwenden.
Konfigurieren Sie NTFS auf dem Stammverzeichnis der Freigabe: Benutzer (oder eine dedizierte AVD-Benutzergruppe) Ändern; Ersteller-Besitzer Vollzugriff auf Unterordner; Administratoren Vollzugriff; entfernen Sie vererbte Berechtigungen, die übermäßigen Zugriff gewähren.
Für AD DS-authentifizierte Azure Files setzen Sie auch die ACL auf Freigabeebene, um Benutzern das Ändern zu erlauben.

Resilienz, Cloud Cache und Betriebszustand

Cloud Cache schreibt in den lokalen Cache auf dem Sitzungshost und repliziert in ein oder mehrere entfernte SMB-Repositorys. Zu den Vorteilen gehören der fortgesetzte Betrieb während eines vorübergehenden Speicherausfalls und die regionenübergreifende Ausfallsicherheit. Designüberlegungen:

Verwenden Sie zwei bis vier CCD-Standorte, um ein Gleichgewicht zwischen Ausfallsicherheit und Anmelde-Latenz zu finden. Mehr Standorte erhöhen die Attach-Timeouts bei Ausfällen.
Stellen Sie ausreichend Speicherplatz für den lokalen Cache sicher (typischerweise 20–40 GB pro gleichzeitig aktivem Benutzer auf dem Host in Worst-Case-Szenarien).
Mischen Sie Ziele (z. B. primäres Azure Files Premium in der Region und sekundäres Azure Files oder ANF in der gekoppelten Region). Verwenden Sie keine langsamen, HDD-gestützten Ziele für Cloud Cache, es sei denn, es ist absolut notwendig.

Beispielkonfiguration (Registrierung) für einen Profilcontainer mit Cloud Cache und ODFC:

reg add HKLM\SOFTWARE\FSLogix\Profiles /v Enabled /t REG_DWORD /d 1 /f
reg add HKLM\SOFTWARE\FSLogix\Profiles /v VolumeType /t REG_SZ /d VHDX /f
reg add HKLM\SOFTWARE\FSLogix\Profiles /v SizeInMBs /t REG_DWORD /d 30720 /f
reg add HKLM\SOFTWARE\FSLogix\Profiles /v IsDynamic /t REG_DWORD /d 1 /f
reg add HKLM\SOFTWARE\FSLogix\Profiles /v CCDLocations /t REG_MULTI_SZ /d "\\store1.file.core.windows.net\profiles\0!\\store2.file.core.windows.net\profiles\0" /f
reg add HKLM\SOFTWARE\FSLogix\Profiles /v DeleteLocalProfileWhenVHDShouldApply /t REG_DWORD /d 1 /f
reg add HKLM\SOFTWARE\FSLogix\ODFC /v Enabled /t REG_DWORD /d 1 /f
reg add HKLM\SOFTWARE\FSLogix\ODFC /v VolumeType /t REG_SZ /d VHDX /f
reg add HKLM\SOFTWARE\FSLogix\ODFC /v SizeInMBs /t REG_DWORD /d 10240 /f

Diagnose von fehlgeschlagenen Anmeldungen und Profilsperren:

Ereignisanzeige: Anwendungs- und Dienstprotokolle > FSLogix > Apps bietet Diagnoseinformationen zu Attach, IO und Cloud Cache. Suchen Sie nach Zugriff verweigert (0x5), Freigabeverletzung (0x20) oder Timeouts.
Verwaiste Sperren: Wenn ein abgestürzter Sitzungshost Handles offen gelassen hat, kann die VHDX als „in Gebrauch“ erscheinen. Überprüfen Sie, ob keine aktiven Sitzungen vorhanden sind, schließen Sie offene Dateien von der SMB-Serverseite und lassen Sie FSLogix einen neuen Versuch starten. Vermeiden Sie das manuelle Löschen von Sperrdateien, es sei denn, Sie haben vollständig bestätigt, dass keine aktiven Mounts vorhanden sind.
Fallback-Verhalten: Verwenden Sie PreventLoginWithFailure, um zu steuern, ob sich Benutzer mit einem temporären lokalen Profil anmelden können, wenn der Attach fehlschlägt. Erwägen Sie Try for read-only, wenn der Speicher beeinträchtigt ist, Sie aber dennoch den Zugriff erlauben möchten; beachten Sie, dass Änderungen nicht persistent gespeichert werden.

Bereinigung und Hygiene:

Aktivieren Sie DeleteLocalProfileWhenVHDShouldApply, um verwaiste lokale Profile zu entfernen.
Komprimieren Sie VHDX-Dateien regelmäßig offline, wenn sie durch transiente Daten gewachsen sind.
Planen Sie bei Verwendung von Cloud Cache die Bereinigung des verwaisten lokalen Caches, wenn ein Host außer Betrieb genommen wird.

Leistung, Skalierung und Sitzungsdichte

Speicher-IOPS und Latenz bestimmen direkt die Anmeldezeit, die Reaktionsfähigkeit von Anwendungen und wie viele gleichzeitige Sitzungen jeder Host unterstützen kann:

Latenzziel: Eine Speicherlatenz von unter 2 ms bis zu einstelligen ms während Anmeldestürmen (Logon Storms) bietet die beste Erfahrung. ANF erreicht üblicherweise die niedrigste Latenz. Azure Files Premium liegt typischerweise im niedrigen einstelligen ms-Bereich, wenn über private Endpunkte darauf zugegriffen wird.
IOPS-Charakteristik: FSLogix zeigt signifikante Burst-IOPS während der Anmeldung (Zehner- bis Hunderterbereich pro Benutzer) und moderate Steady-State-IOPS (im Allgemeinen 3–15 pro Benutzer je nach Workload). Multiplizieren Sie dies mit der Anzahl der gleichzeitigen Anmeldungen, um den Speicher zu dimensionieren.
Skalierung von Azure Files Premium: Erhöhen Sie die bereitgestellte Freigabegröße, um die Obergrenzen für IOPS und Durchsatz anzuheben; aktivieren Sie SMB Multichannel auf unterstützten Betriebssystemen, um den Durchsatz pro Host zu verbessern.
ANF-Kapazität und -Tiers: Wählen Sie ANF-Leistungsstufen basierend auf MiB/s pro bereitgestelltem TiB; die Tiers Premium und Ultra sind für intensive Office- und CAD-Benutzer üblich. Verwenden Sie mehrere Volumes, um I/O für sehr große Bereitstellungen zu parallelisieren.

Der Netzwerkpfad ist entscheidend. Verwenden Sie private Endpunkte und stellen Sie sicher, dass sich die Sitzungshosts in derselben Region wie der Speicher befinden, um WAN-Latenzen zu vermeiden. Platzieren Sie Hosts und Speicher im selben virtuellen Netzwerk oder in Peering-Netzwerken mit Pfaden mit geringer Latenz.

Verwaltung von Microsoft 365-Daten und Profilwachstum

Kombinieren Sie ODFC, OneDrive Files On-Demand und Known Folder Move (KFM), um das Wachstum zu kontrollieren:

ODFC: Verschiebt Outlook OST, OneNote-Caches und Office-Wef-Daten in einen separaten Container. Dies reduziert die Fluktuation (Churn) im Profilcontainer und beschleunigt Anmeldungen.
OneDrive pro Computer mit Files On-Demand: Installiert OneDrive in den Programmdateien, sodass alle Benutzer die Binärdatei gemeinsam nutzen; Files On-Demand behält Platzhalter im Profil und hydriert Inhalte bei Zugriff, was das Containerwachstum begrenzt.
KFM: Leitet Desktop, Dokumente und Bilder in OneDrive um, mit der gleichen Benutzererfahrung auf jedem Gerät. Mit Files On-Demand werden nur zugegriffene Dateien lokal hydriert, was das Wachstum weiter reduziert.
Ausschlüsse: Wenn Sie die Containergröße aggressiv minimieren, können Sie den Sync-Cache von OneDrive über redirections.xml ausschließen; dieser wird dann bei jeder Anmeldung on-demand neu hydriert. Dieser Ansatz spart Speicherplatz, kann aber die Latenz beim ersten Öffnen großer Dateien erhöhen. In den meisten Fällen ist Files On-Demand allein ausreichend, ohne OneDrive auszuschließen.
Microsoft Teams-Optimierungen: Verwenden Sie das AVD-optimierte Teams und schließen Sie ephemere Teams-Caches mit redirections.xml aus, um wiederholte hohe I/O-Lasten zu vermeiden.

Sicherheit, Backup und Wiederherstellung

Verschlüsselung während der Übertragung: SMB 3.1.1-Verschlüsselung und -Signierung schützen Daten bei der Übertragung. Erzwingen Sie die Verschlüsselung, wo immer sie unterstützt wird.
Verschlüsselung im Ruhezustand: Azure Files und ANF verschlüsseln Daten standardmäßig im Ruhezustand. Für eine höhere Sicherheit verwenden Sie kundenseitig verwaltete Schlüssel mit Azure Files; ANF unterstützt in bestimmten Regionen doppelte Verschlüsselung und Schlüssel auf Volume-Ebene.
Zugriffskontrolle: Minimieren Sie Berechtigungen. Gewähren Sie für Azure Files mit Entra ID Kerberos die Rolle „Storage File Data SMB Share Contributor“ und beschränken Sie NTFS für Benutzer auf „Ändern“. Legen Sie für AD DS-basierten Zugriff die Freigabe- und NTFS-ACLs auf die geringsten Rechte fest. Verwenden Sie separate Gruppen für Lese-/Schreibzugriff und Administratoren.
Netzwerkisolierung: Verwenden Sie private Endpunkte oder von ANF delegierte Subnetze. Beschränken Sie die Speicher-Firewall auf vertrauenswürdige Subnetze.
Sicherung und Snapshots:
- Azure Files: Verwenden Sie Azure Backup für Azure Files; konfigurieren Sie tägliche Snapshots mit einer Aufbewahrungsdauer, die RPO/RTO erfüllt. Aktivieren Sie das vorläufige Löschen (Soft Delete), um sich vor versehentlichen Löschungen zu schützen.
- ANF: Verwenden Sie Snapshot-Richtlinien und, falls erforderlich, regionsübergreifende Replikation für DR. Testen Sie das Einbinden eines Snapshots als schreibgeschützte Freigabe, um einzelne Profile schnell wiederherzustellen.
Wiederherstellung: Die bevorzugte Wiederherstellung erfolgt auf Elementebene (Wiederherstellung der VHDX eines einzelnen Benutzers) in einen Quarantänepfad, Validierung der Integrität und Austausch der Zeiger. Führen Sie ein Playbook für den Fall einer Profilkorruption, das schnelles Trennen, Wiederherstellung aus einem Snapshot und Benutzerkommunikation umfasst.

Praktisches Problemszenario

Die Siemens AG muss die Anmeldezeiten bei Azure Virtual Desktop für 12.000 Ingenieure verbessern, die Windows 11 Enterprise Multi-Session mit Microsoft 365 Apps, Teams und OneDrive verwenden. Die Profile befinden sich auf einer überlasteten Standard-Dateifreigabe, was zu hoher Latenz während der morgendlichen Anmeldestürme und zu häufigen Vorfällen mit gesperrten Profilen führt.

Migrieren Sie den Profilspeicher auf Azure NetApp Files Premium SMB-Volumes in derselben Region wie die Hostpools.

Warum: ANF liefert die niedrigste Latenz und die vorhersagbar hohen IOPS, die für Tausende von gleichzeitigen Anmeldungen erforderlich sind. Die gemeinsame Unterbringung von Speicher und Hosts minimiert die Round-Trip-Time.

Trennen Sie die Office-Caches mit FSLogix ODFC und reduzieren Sie die maximale Größe des Profilcontainers auf 20 GB, während Sie ODFC auf 10 GB einstellen, beides als dynamische VHDX.

Warum: Die Isolierung volatiler Microsoft 365-Daten reduziert die Profilfluktuation und beschleunigt das Anhängen des Containers. Dynamische VHDX spart Kapazität und ermöglicht bei Bedarf ein sprunghaftes Wachstum.

Implementieren Sie Cloud Cache mit zwei CCD-Standorten: einem primären ANF-Volume und einer sekundären Azure Files Premium-Freigabe in der gekoppelten Region über private Endpunkte.

Warum: Cloud Cache stellt die Kontinuität während Wartungsarbeiten oder vorübergehenden Speicherereignissen sicher. Die sekundäre Region verbessert die Ausfallsicherheit ohne manuelles Failover.

Erzwingen Sie den Zugriff mit geringsten Rechten (Least-Privilege) mit Azure RBAC und NTFS: Weisen Sie der AVD-Gruppe der Ingenieure die Rolle „Storage File Data SMB Share Contributor“ für die sekundäre Azure Files-Freigabe zu und gewähren Sie „Ändern“-Berechtigungen (Modify) für NTFS auf beiden Repositories; Administratoren erhalten Vollzugriff (Full Control). Erzwingen Sie die SMB-Verschlüsselung.

Warum: Korrekte Freigabe- und NTFS-Berechtigungen ermöglichen es FSLogix, VHDX-Dateien sicher zu erstellen und zu schreiben, während überprivilegierter Zugriff verhindert wird. Die Verschlüsselung schützt die Daten während der Übertragung.

Stellen Sie OneDrive pro Maschine mit „Dateien bei Bedarf“ (Files On-Demand) bereit und aktivieren Sie die Verschiebung bekannter Ordner (Known Folder Move) für Desktop, Dokumente und Bilder. Behalten Sie OneDrive im Container, aber schließen Sie flüchtige Teams-Caches über redirections.xml aus.

Warum: KFM standardisiert die Speicherorte von Benutzerdaten und „Dateien bei Bedarf“ verhindert eine Massenhydratisierung, was das Profilwachstum kontrolliert. Der Ausschluss von Teams-Caches reduziert wiederholte E/A-Vorgänge, ohne die Benutzerdateien zu beeinträchtigen.

Optimieren und überwachen Sie FSLogix: Aktivieren Sie DeleteLocalProfileWhenVHDShouldApply, setzen Sie PreventLoginWithFailure so, dass temporäre lokale Profile nur für Tier-0-Notfallkonten (Break-Glass) zugelassen werden, und instrumentieren Sie die Anmelde-Telemetrie.

Warum: Die automatisierte Bereinigung beseitigt veraltete lokale Profile, während ein kontrollierter Fallback eine stille Datendivergenz verhindert. Die Überwachung verifiziert reduzierte Anmeldezeiten und erkennt Anomalien.

Schützen und wiederherstellen: Konfigurieren Sie ANF-Snapshot-Richtlinien mit stündlicher kurzfristiger und täglicher langfristiger Aufbewahrung; aktivieren Sie die regionsübergreifende Replikation auf kritischen Volumes; aktivieren Sie Azure Backup für die sekundäre Azure Files-Freigabe. Testen Sie monatlich die Wiederherstellung einer einzelnen Benutzer-VHDX.

Warum: Snapshots ermöglichen eine schnelle Point-in-Time-Wiederherstellung für einzelne Profile; Replikation und Backup bieten einen mehrschichtigen Schutz gegen regionale oder betriebliche Ausfälle und gewährleisten vorhersagbare RPO/RTO.

← Sitzungshost-Images und Bereitstellung · Alle Domänen · Sitzungshost-Betrieb →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →