Microsoft AZ-140: FSLogix, profili e dati utente — Guida allo studio

By Laurynas Brazys · 12 August 2026 · #microsoft #az-140 #certification #exam-prep #study-guide

Fa parte della Microsoft Azure Virtual Desktop Specialty AZ-140 — Guida allo studio. Esercitati con risposte verificate nel centro esami Microsoft, oppure fai test cronometrati su ExamRoll.io.

Panoramica

FSLogix fornisce profili utente basati su container per Azure Virtual Desktop, collegando il profilo di un utente come disco virtuale tramite SMB durante l’accesso. Questo design elimina le insidie dei profili utente mobili tradizionali (roaming profile), accelera l’accesso e stabilizza lo stato delle applicazioni su host di sessione non persistenti. FSLogix separa lo stato del profilo (Profile Container) dai dati e dalle cache di Microsoft 365 (Office Data File Container) e può aggiungere un livello di resilienza con Cloud Cache. La corretta selezione dello storage, le autorizzazioni SMB basate sull’identità e la gestione delle dimensioni dei profili sono essenziali per garantire accessi a bassa latenza e un’alta densità di sessioni.

Container e Architettura dei Dati di FSLogix

I Profile Container di FSLogix archiviano l’intero profilo utente in un singolo file di disco virtuale situato su uno storage SMB. Al momento dell’accesso, il disco viene montato su C:\Users\nomeutente e il sistema operativo lo vede come un profilo nativo.

Formato del disco: Utilizzare VHDX a meno che non sia richiesta la compatibilità con sistemi operativi molto vecchi. VHDX è più resiliente alla corruzione, supporta dimensioni maggiori, è meno soggetto a problemi di metadati ed è l’impostazione predefinita di FSLogix. Usare VHD solo quando un’applicazione specifica o un driver obsoleto lo richiede.
Dimensionamento: I container sono a espansione dinamica per impostazione predefinita. Impostare una dimensione massima (ad esempio, 30 GB per il profilo, 10 GB per Office) e consentire la crescita dinamica. I dischi a dimensione fissa raramente migliorano le prestazioni e aumentano il consumo di storage e l’overhead di gestione.
Blocchi e concorrenza: Un Profile Container viene bloccato in lettura/scrittura dal primo host di sessione. Una seconda sessione simultanea per lo stesso utente su un host diverso sarà bloccata o consentita in sola lettura a seconda della policy. Questo protegge l’integrità del profilo.

L’Office Data File Container (ODFC) separa i dati di Microsoft 365 ad alta variabilità — file OST/Dat di Outlook, cache di OneDrive e Teams — in un proprio container. I vantaggi includono:

Accessi più rapidi perché le cache di Office non gonfiano più il Profile Container.
Pulizia o ripristino indipendente delle cache di Office senza toccare il profilo utente.
Rischio ridotto che la corruzione della cache di Office impatti il profilo.

Utilizzare il file redirections.xml per escludere le cartelle volatili dal Profile Container per ridurne la crescita e accelerare l’accesso. Le esclusioni comuni includono la cache di Teams, le cache dei browser, Temp e i log. Quando si utilizza l’ODFC, escludere le cache specifiche di Office dal Profile Container per evitare duplicazioni.

Esempio di redirections.xml (posizionare accanto a frxtray.exe o definire tramite registro di sistema):

<?xml version="1.0" encoding="UTF-8"?>
<FrxProfileFolderRedirection ExcludeCommonFolders="0">
  <Exclude>
    <Path>%LOCALAPPDATA%\Microsoft\Teams\Cache</Path>
    <Path>%LOCALAPPDATA%\Microsoft\Teams\Service Worker</Path>
    <Path>%LOCALAPPDATA%\Temp</Path>
    <Path>%LOCALAPPDATA%\Packages\Microsoft.MicrosoftEdge_*\AC\#!001\Cache</Path>
    <Path>%APPDATA%\Microsoft\Teams\media-stack</Path>
  </Exclude>
</FrxProfileFolderRedirection>

Piattaforme di Storage e Controllo degli Accessi

La selezione dello storage SMB per FSLogix è una decisione basata sulle prestazioni e sull’operatività:

Azure NetApp Files (ANF): IOPS più elevati e latenza più bassa; ideale per implementazioni molto grandi e sensibili alla latenza (ad esempio, decine di migliaia di utenti). Offre volumi SMB con latenza prevedibile nell’ordine dei microsecondi o pochi millisecondi, throughput per volume legato ai capacity pool, snapshot e replica tra aree geografiche. Da utilizzare quando è necessario massimizzare l’esperienza desktop e gestire una concorrenza estrema.
Azure Files Premium (FileStorage): Basato su SSD, con ridondanza di zona in molte aree geografiche, amministrazione minima, conveniente per un ampio uso aziendale. Le prestazioni della condivisione scalano con la dimensione di provisioning; offre fino a 100.000 IOPS e un throughput di svariati GB/s per condivisione all’aumentare della capacità. Consigliato per la maggior parte degli host pool quando si necessita di prestazioni SSD senza l’amministrazione di ANF.
Azure Files Standard: Basato su HDD; adatto per piccoli laboratori o un utilizzo leggero. Non raccomandato per i profili FSLogix in produzione a causa della latenza più elevata e delle prestazioni variabili.

Percorsi UNC e DNS:

Azure Files utilizza il formato di percorso \nomeaccountstorage.file.core.windows.net\nomeshare. Assicurarsi che gli host di sessione possano risolvere e raggiungere questo endpoint. Si consiglia l’uso di endpoint privati per confinare il traffico.
ANF utilizza un percorso di volume SMB come \nome-volume-anf\share su una subnet delegata tramite IP privato.

L’autenticazione e le autorizzazioni SMB basate sull’identità dipendono dal servizio di directory e dallo stato di join dei tuoi host di sessione:

Active Directory Domain Services (AD DS) o Azure AD DS: Gli host di sessione sono aggiunti a un dominio (domain-joined); utilizzare Kerberos. Configurare le autorizzazioni di condivisione e le ACL NTFS con i gruppi di AD.
Microsoft Entra ID Kerberos per Azure Files: Abilita l’accesso SMB da host di sessione aggiunti a Entra ID (Entra ID–joined) senza AD DS. Assegnare il ruolo RBAC di Azure a livello di account di storage e assicurarsi che le versioni del sistema operativo client e di FSLogix supportino questa modalità.

Autorizzazioni minime (principio del privilegio minimo) per Azure Files in scenari comuni:

Concedere il ruolo Storage File Data SMB Share Contributor (RBAC di Azure) a livello di account di storage o di condivisione al gruppo di utenti quando si utilizza l’autenticazione Entra ID.
Configurare NTFS sulla radice della condivisione: Utenti (o un gruppo dedicato di utenti AVD) con autorizzazione Modify (Modifica); Creator Owner (Proprietario Creatore) con autorizzazione Full (Controllo completo) sulle sottocartelle; Administrators con autorizzazione Full (Controllo completo); rimuovere le autorizzazioni ereditate che concedono accessi eccessivi.
Per Azure Files con autenticazione AD DS, impostare anche l’ACL a livello di condivisione per consentire agli utenti l’autorizzazione Modify (Modifica).

Resilienza, Cloud Cache e Integrità Operativa

Cloud Cache scrive nella cache locale sull’host di sessione ed esegue la replica su uno o più repository SMB remoti. I vantaggi includono l’operatività continua durante un’interruzione transitoria dello storage e la resilienza tra diverse region. Considerazioni di progettazione:

Utilizzare da due a quattro posizioni CCD per bilanciare la resilienza rispetto alla latenza di accesso. Un numero maggiore di posizioni aumenta i timeout di collegamento (attach) durante i guasti.
Assicurare uno spazio su disco sufficiente per la cache locale (tipicamente 20–40 GB per utente attivo contemporaneamente sull’host negli scenari peggiori).
Combinare i target (ad esempio, Azure Files Premium primario nella stessa region e Azure Files o ANF secondario nella region abbinata). Non utilizzare target lenti basati su HDD per Cloud Cache, se non assolutamente necessario.

Esempio di configurazione (registro di sistema) per un profile container con Cloud Cache e ODFC:

reg add HKLM\SOFTWARE\FSLogix\Profiles /v Enabled /t REG_DWORD /d 1 /f
reg add HKLM\SOFTWARE\FSLogix\Profiles /v VolumeType /t REG_SZ /d VHDX /f
reg add HKLM\SOFTWARE\FSLogix\Profiles /v SizeInMBs /t REG_DWORD /d 30720 /f
reg add HKLM\SOFTWARE\FSLogix\Profiles /v IsDynamic /t REG_DWORD /d 1 /f
reg add HKLM\SOFTWARE\FSLogix\Profiles /v CCDLocations /t REG_MULTI_SZ /d "\\store1.file.core.windows.net\profiles\0!\\store2.file.core.windows.net\profiles\0" /f
reg add HKLM\SOFTWARE\FSLogix\Profiles /v DeleteLocalProfileWhenVHDShouldApply /t REG_DWORD /d 1 /f
reg add HKLM\SOFTWARE\FSLogix\ODFC /v Enabled /t REG_DWORD /d 1 /f
reg add HKLM\SOFTWARE\FSLogix\ODFC /v VolumeType /t REG_SZ /d VHDX /f
reg add HKLM\SOFTWARE\FSLogix\ODFC /v SizeInMBs /t REG_DWORD /d 10240 /f

Diagnosi di accessi falliti e blocchi del profilo:

Visualizzatore eventi: Registri applicazioni e servizi > FSLogix > Apps fornisce diagnostica per attach, I/O e Cloud Cache. Cercare errori come accesso negato (0x5), violazione di condivisione (0x20) o timeout.
Blocchi non aggiornati (stale lock): Se un host di sessione in crash ha lasciato degli handle aperti, il VHDX potrebbe risultare in uso. Verificare che non ci siano sessioni attive, chiudere i file aperti dal lato del server SMB e consentire a FSLogix di riprovare. Evitare la cancellazione manuale dei file di blocco (lock file) a meno di non aver confermato pienamente l’assenza di mount attivi.
Comportamento di fallback: Usare PreventLoginWithFailure per controllare se gli utenti possono accedere con un profilo locale temporaneo in caso di fallimento dell’attach. Considerare l’opzione Try for read-only quando lo storage è degradato ma si vuole comunque consentire l’accesso; tenere presente che le modifiche non saranno persistenti.

Pulizia e manutenzione:

Abilitare DeleteLocalProfileWhenVHDShouldApply per rimuovere i profili locali non aggiornati.
Compattare periodicamente i file VHDX offline se le loro dimensioni sono cresciute a causa di dati transitori.
Con Cloud Cache, pianificare la pulizia della cache locale abbandonata se un host viene dismesso.

Prestazioni, Scalabilità e Densità di Sessione

Gli IOPS e la latenza dello storage determinano direttamente il tempo di accesso, la reattività delle applicazioni e il numero di sessioni simultanee che ogni host può supportare:

Target di latenza: Una latenza dello storage inferiore a 2 ms fino a valori a singola cifra (in ms) durante i picchi di accessi (logon storm) offre l’esperienza migliore. ANF raggiunge comunemente la latenza più bassa. Azure Files Premium si attesta tipicamente su valori di latenza a singola cifra (in ms) se accessibile tramite private endpoint.
Caratteristiche degli IOPS: FSLogix mostra picchi significativi di IOPS (burst IOPS) durante l’accesso (da decine a centinaia per utente) e IOPS modesti a regime (generalmente 3–15 per utente a seconda del carico di lavoro). Moltiplicare per il numero di accessi simultanei per dimensionare lo storage.
Scalabilità di Azure Files Premium: Aumentare la dimensione della condivisione provisionata per innalzare i limiti massimi di IOPS e throughput; abilitare SMB Multichannel sui sistemi operativi supportati per migliorare il throughput per singolo host.
Capacità e tiering di ANF: Scegliere i livelli di prestazioni (performance tier) di ANF in base ai MiB/s per TiB provisionato; i tier Premium e Ultra sono comuni per utenti con carichi di lavoro pesanti di Office e CAD. Utilizzare volumi multipli per parallelizzare l’I/O in deployment molto grandi.

Il percorso di rete è importante. Utilizzare private endpoint e assicurarsi che gli host di sessione siano nella stessa region dello storage per evitare latenze WAN. Collocare gli host e lo storage nella stessa rete virtuale o in reti con peering che abbiano percorsi a bassa latenza.

Gestione dei Dati di Microsoft 365 e Crescita del Profilo

Combinare ODFC, OneDrive Files On-Demand e Known Folder Move (KFM) per controllare la crescita:

ODFC: Esegue il roaming dei dati OST di Outlook, delle cache di OneNote e dei dati Wef di Office in un container separato. Questo riduce la movimentazione dei dati nel Profile Container e velocizza gli accessi.
OneDrive per-machine con Files On-Demand: Installa OneDrive in Program Files in modo che tutti gli utenti condividano il binario; Files On-Demand mantiene dei segnaposto (placeholder) nel profilo e “idrata” il contenuto al momento dell’accesso, limitando la crescita del container.
KFM: Reindirizza Desktop, Documenti e Immagini in OneDrive, mantenendo la stessa esperienza utente su qualsiasi dispositivo. Con Files On-Demand, solo i file a cui si accede vengono idratati localmente, riducendo ulteriormente la crescita.
Esclusioni: Se si desidera ridurre al minimo la dimensione del container in modo aggressivo, è possibile escludere la cache di sincronizzazione di OneDrive tramite redirections.xml; questa verrà reidratata on-demand dopo ogni accesso. Questo approccio risparmia spazio ma può aumentare la latenza alla prima apertura per i file di grandi dimensioni. Nella maggior parte dei casi, Files On-Demand da solo è sufficiente senza escludere OneDrive.
Ottimizzazioni per Microsoft Teams: Utilizzare la versione di Teams ottimizzata per AVD ed escludere le cache effimere di Teams con redirections.xml per evitare I/O pesanti e ripetuti.

Sicurezza, Backup e Ripristino

Crittografia in transito: la crittografia e la firma di SMB 3.1.1 proteggono i dati in transito sulla rete. Applicare la crittografia dove supportata.
Crittografia a riposo: Azure Files e ANF crittografano i dati a riposo per impostazione predefinita. Per una maggiore garanzia, utilizzare chiavi gestite dal cliente con Azure Files; ANF supporta la doppia crittografia e chiavi a livello di volume in alcune aree.
Controllo degli accessi: Ridurre al minimo i privilegi. Per Azure Files con Entra ID Kerberos, assegnare il ruolo Storage File Data SMB Share Contributor e limitare i permessi NTFS a Modify per gli utenti. Per l’accesso basato su AD DS, impostare gli ACL di condivisione e NTFS secondo il principio del privilegio minimo. Utilizzare gruppi separati per lettura/scrittura e per gli amministratori.
Isolamento della rete: Utilizzare endpoint privati o subnet delegate per ANF. Limitare il firewall dello storage alle subnet attendibili.
Backup e snapshot:
- Azure Files: Utilizzare Azure Backup per Azure Files; configurare snapshot giornalieri con una conservazione che soddisfi RPO/RTO. Abilitare l’eliminazione temporanea (soft delete) per proteggersi da cancellazioni accidentali.
- ANF: Utilizzare policy di snapshot e, se necessario, la replica tra aree (cross-region replication) per il DR. Testare il montaggio di uno snapshot come condivisione di sola lettura per ripristinare rapidamente profili individuali.
Ripristino: Il ripristino preferito è a livello di singolo elemento (ripristinare il VHDX di un singolo utente) in un percorso di quarantena, convalidare l’integrità e scambiare i puntatori. Mantenere un playbook per la corruzione dei profili che includa il distacco rapido, il ripristino da snapshot e la comunicazione con l’utente.

Scenario Pratico

Siemens AG deve migliorare i tempi di accesso ad Azure Virtual Desktop per 12.000 ingegneri che utilizzano Windows 11 Enterprise multi-sessione con Microsoft 365 Apps, Teams e OneDrive. I profili si trovano su una condivisione file standard sovraccarica, causando alta latenza durante i picchi di accessi mattutini (logon storm) e frequenti incidenti di blocco del profilo.

Migrare lo storage dei profili su volumi SMB Premium di Azure NetApp Files nella stessa area dei pool di host.

Perché: ANF offre la latenza più bassa e gli IOPS elevati e prevedibili necessari per migliaia di accessi simultanei. Mantenere lo storage e gli host nella stessa posizione riduce al minimo il tempo di round-trip.

Separare le cache di Office utilizzando FSLogix ODFC e ridurre la dimensione massima del Profile Container a 20 GB, impostando l’ODFC a 10 GB, entrambi come VHDX dinamici.

Perché: Isolare i dati volatili di Microsoft 365 riduce la movimentazione dei dati del profilo (churn) e accelera il collegamento del contenitore. Il VHDX dinamico consente di risparmiare capacità, permettendo al contempo una crescita improvvisa (burst) quando necessario.

Implementare Cloud Cache con due posizioni CCD: un volume ANF primario e una condivisione Azure Files Premium secondaria nell’area abbinata, tramite endpoint privati.

Perché: Cloud Cache garantisce la continuità durante la manutenzione o eventi di storage transitori. L’area secondaria migliora la resilienza senza richiedere un failover manuale.

Applicare l’accesso con privilegi minimi tramite Azure RBAC e NTFS: assegnare al gruppo AVD degli ingegneri il ruolo Storage File Data SMB Share Contributor sulla condivisione secondaria di Azure Files e concedere il permesso NTFS Modify su entrambi i repository; gli amministratori ricevono Full Control. Applicare la crittografia SMB.

Perché: Permessi di condivisione e NTFS corretti consentono a FSLogix di creare e scrivere i file VHDX in modo sicuro, impedendo al contempo accessi con privilegi eccessivi. La crittografia protegge i dati in transito.

Distribuire OneDrive per macchina con File su richiesta (Files On-Demand) e abilitare lo Spostamento cartelle note (Known Folder Move) per Desktop, Documenti e Immagini. Mantenere OneDrive all’interno del contenitore ma escludere le cache temporanee di Teams tramite il file redirections.xml.

Perché: KFM standardizza la posizione dei dati utente e File su richiesta previene l’idratazione massiva, controllando la crescita del profilo. Escludere le cache di Teams riduce l’I/O ripetuto senza impattare i file dell’utente.

Ottimizzare e monitorare FSLogix: abilitare DeleteLocalProfileWhenVHDShouldApply, impostare PreventLoginWithFailure per consentire profili locali temporanei solo per gli account di emergenza (break-glass) di Tier-0, e strumentare la telemetria degli accessi.

Perché: La pulizia automatizzata elimina i profili locali obsoleti, mentre il fallback controllato previene la divergenza silente dei dati. Il monitoraggio verifica la riduzione dei tempi di accesso e rileva le anomalie.

Proteggere e ripristinare: configurare le policy di snapshot di ANF con conservazione oraria a breve termine e giornaliera a lungo termine; abilitare la replica tra aree (cross-region replication) sui volumi critici; abilitare Azure Backup per la condivisione secondaria di Azure Files. Testare mensilmente il ripristino del VHDX di un singolo utente.

Perché: Gli snapshot offrono un ripristino point-in-time rapido per i profili individuali; la replica e il backup forniscono una protezione a più livelli contro guasti regionali o operativi e garantiscono RPO/RTO prevedibili.

← Immagini e provisioning degli host di sessione · Tutti i domini · Operazioni →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →