Microsoft AZ-140: Immagini e provisioning degli host di sessione — Guida allo studio

    sysprep /oobe /generalize /shutdown /mode:vm
    ```

  - Verificare che Windows sia aggiornato, che eventuali segreti per utente siano stati cancellati e che i log degli eventi siano stati ruotati. Non unire al dominio l'immagine da catturare.

- Azure Image Builder e personalizzazione ripetibile
  - Azure Image Builder orchestra la creazione di immagini utilizzando una pipeline dichiarativa che può aggiungere software, applicare baseline, iniettare pacchetti di lingua, eseguire Windows Update e pubblicare su Azure Compute Gallery.
  - Garantire la ripetibilità: archiviare i template di AIB nel controllo di versione, guidare build parametrizzate e promuovere le immagini attraverso gallery o region di sviluppo → convalida → produzione.

- Template di Azure Resource Manager, Bicep e automazione del deployment
  - Definire pool di host, gruppi di applicazioni, workspace, set di scalabilità di macchine virtuali (VM scale sets) e VM host di sessione come codice (as code). Parametrizzare il riferimento all'immagine (gallery/definizione/versione), la rete, la dimensione e l'identità.
  - Utilizzare riferimenti a Key Vault per i segreti dove è richiesto il join al dominio AD DS. Per implementazioni di grandi dimensioni, pre-validare le quote regionali di vCPU per evitare errori di provisioning.

- Esempio: Snippet Bicep per installare l'agente AVD con un token di registrazione durante il provisioning della VM

### Opzioni di join, registrazione e considerazioni su rete/DNS
Il join dell'identità e la registrazione dell'agente devono essere pianificati insieme alla risoluzione dei nomi e al routing.

- Join a un dominio e join a Microsoft Entra durante il deployment dell'host di sessione
- Join ad AD DS: Supportato per Windows 10/11 Enterprise multi-session e Windows Server. Utilizzare le proprietà “JSONADDomainExtension” o le proprietà native domainJoin nel proprio flusso di lavoro di deployment. Delegare i diritti di join a un account di servizio con un ambito OU (Organizational Unit) limitato.
- Join a Microsoft Entra ID: Supportato per Windows 11 Enterprise e Windows 11 Enterprise multi-session. Questo rimuove la dipendenza dai domain controller e può semplificare il ciclo di vita dei dispositivi con un'identità solo cloud e Conditional Access. Assicurarsi che i prerequisiti del client AVD e di gestione siano soddisfatti prima di procedere con l'abilitazione.
- Join ad Azure AD DS: Quando si utilizza un dominio gestito, configurare prima i server DNS della VNet con gli IP di Azure AD DS; altrimenti, il deployment e il join falliranno poiché gli host di sessione non possono risolvere il dominio gestito.

- Requisiti di DNS e connettività
- Assicurarsi che il DNS della VNet punti a resolver in grado di risolvere il dominio di destinazione e i record per i servizi Azure. Per AD DS ibrido, utilizzare gli IP dei domain controller raggiungibili tramite peering o VPN; configurare più server DNS per mantenere la resilienza.
- Per i deployment cross-VNet, aggiornare le impostazioni DNS della VNet figlia (child VNet); non fare affidamento sul DNS predefinito di Azure per i join ad AD DS.

- Bootstrapping dell'agente dell'host di sessione e uso del token di registrazione
- La coppia di agenti AVD (Remote Desktop Agent Loader e stack side-by-side) registra una VM in un pool di host utilizzando un token di registrazione a tempo limitato. Generare il token a livello del pool di host e iniettarlo al momento della compilazione (build time) o tramite estensioni VM.
- Durante l'onboarding di VM esistenti in un pool di host, generare una nuova chiave di registrazione prima di installare l'agente, in modo che la VM possa registrarsi con il broker.
### Aggiornamento, Rafforzamento della Sicurezza e Convalida
Tratta gli host di sessione come immutabili; esegui lo scale-out di nuovi host con una nuova immagine, quindi svuota e ritira quelli vecchi.

- Strategia di aggiornamento: aggiornamenti dell'immagine, hotpatching e pianificazione del rollback
- Aggiornamenti dell'immagine: Produci una nuova versione della gallery per gli aggiornamenti mensili di qualità e funzionalità, convalidala e poi esegui lo scale-out. Usa la "modalità di svuotamento" (drain mode) per espellere gli utenti prima della deallocazione e della rimozione dei vecchi host.
- Hotpatching: Applicabile solo a Windows Server Azure Edition; riduce i riavvii durante l'applicazione delle patch. Windows 10/11 Enterprise multi-sessione non supporta l'hotpatching: utilizza i normali aggiornamenti cumulativi nella tua pipeline dell'immagine, più patch di emergenza fuori banda secondo necessità.
- Rollback: Mantieni almeno una versione precedente dell'immagine di produzione replicata in tutte le region. Se vengono rilevati problemi, esegui il provisioning di nuovi host dalla versione precedente e riassegna la capacità. Usa l'opzione ExcludeFromLatest della gallery per trattenere le build problematiche.

- Rafforzamento della sicurezza dell'immagine (hardening)
- Baseline: Applica le baseline di sicurezza Microsoft per Windows 10/11 o un hardening CIS equivalente nella pipeline dell'immagine. Convalida con Defender for Cloud e la valutazione delle vulnerabilità.
- Identità e accesso: Rimuovi i privilegi di amministratore locale dove possibile, abilita Windows LAPS per qualsiasi account di amministratore locale e imponi l'MFA/Accesso Condizionale per l'accesso ad AVD.
- Protezione dei dischi e dei dati: Usa chiavi gestite dalla piattaforma o dal cliente per i set di crittografia dei dischi. Archivia i profili FSLogix su storage resiliente; per un numero molto elevato di utenti e requisiti di bassa latenza, Azure NetApp Files fornisce lo storage per profili con i più alti IOPS e la latenza più bassa.
- Controllo delle applicazioni e riduzione della superficie di attacco: Abilita Windows Defender Application Control dove possibile, configura le regole ASR e distribuisci Microsoft Defender for Endpoint.
- Policy e controllo del drift: Usa Azure Policy per limitare le immagini e le estensioni delle VM; controlla le deviazioni e blocca le modifiche fuori processo.

- Test in un host pool di convalida
- Mantieni un host pool di convalida piccolo e separato. Impostalo come ambiente di convalida per ricevere gli aggiornamenti pre-release dell'agente AVD e convalidare le nuove versioni dell'immagine, le modifiche a FSLogix e le GPO prima della promozione in produzione.
- Misura l'esperienza utente durante la sessione. Ad esempio, per analizzare rapidamente i problemi di visualizzazione percepiti, controlla i contatori RemoteFX Graphics Frames Skipped/Second in Monitoraggio prestazioni per isolare i colli di bottiglia a livello di client, rete o server.

#### Scenario di Problema Pratico
Siemens deve standardizzare Azure Virtual Desktop in Europa occidentale e India meridionale con host Windows 11 Enterprise multi-sessione. Richiedono una personalizzazione ripetibile delle immagini, implementazioni rapide, rollback sicuro e la capacità di supportare sia le app di Microsoft 365 sia un add-in line-of-business. Esiste un dominio gestito Azure AD DS nella VNet hub europea e Siemens prevede di distribuire host pool condivisi in entrambe le region.

1) Prepara la risoluzione dei nomi e i prerequisiti per il join
 - Azione: Imposta i server DNS su entrambe le VNet sugli IP di Azure AD DS e assicurati che il peering tra VNet consenta il traffico DNS inoltrato.
 - Perché: Gli host di sessione devono risolvere il dominio gestito per il join ad AD DS. Aggiornare prima il DNS della VNet previene errori al momento del join e garantisce la risoluzione Kerberos e LDAP.

2) Crea una golden image con Azure Image Builder
 - Azione: Parti dall'immagine del Marketplace "Windows 11 Enterprise multi-session + Microsoft 365 Apps". Usa Azure Image Builder per aggiungere FSLogix, Defender for Endpoint, pacchetti di lingua e baseline di sicurezza; quindi esegui Windows Update e la generalizzazione con sysprep.
 - Perché: AIB garantisce una pipeline ripetibile e verificabile che minimizza il drift e produce un'immagine sigillata, assicurando che ogni host sia identico e conforme.

3) Pubblica e replica tramite Azure Compute Gallery
 - Azione: Pubblica l'immagine catturata come versione 1.0.0 in Azure Compute Gallery e replicala in Europa occidentale e India meridionale. Contrassegna la 1.0.0 come più recente; quando prepari la 1.1.0, imposta 1.1.0 su ExcludeFromLatest fino al completamento della convalida.
 - Perché: La replica tramite Gallery posiziona l'immagine vicino a dove vengono creati gli host per un provisioning più rapido e fornisce una promozione controllata tramite i flag "latest" ed "exclusion".

4) Automatizza il provisioning di host pool e VM con Bicep
 - Azione: Esegui il deploy di host pool, gruppi di applicazioni e piani di scalabilità come codice. Crea gli host di sessione dalla versione della gallery usando un template Bicep parametrizzato che installa l'agente AVD con un token di registrazione appena generato ed esegue il join al dominio AD DS tramite l'estensione di dominio.
 - Perché: L'infrastruttura come codice garantisce la coerenza tra le region, rende le implementazioni idempotenti e semplifica la registrazione al broker con passaggi manuali minimi.

5) Convalida in un host pool di convalida dedicato
 - Azione: Crea un piccolo host pool di convalida in Europa occidentale, abilita l'ambiente di convalida e indirizza un gruppo pilota verso di esso. Misura le prestazioni di accesso, il comportamento di FSLogix e i contatori grafici; risolvi i problemi riscontrati, quindi rimuovi ExcludeFromLatest sulla versione 1.1.0.
 - Perché: Il rilevamento precoce delle regressioni previene un impatto su larga scala per gli utenti e consente a Siemens di promuovere solo immagini collaudate.

6) Esegui il rollout in produzione con sicurezza di rollback
 - Azione: Esegui lo scale-out di nuovi host in entrambe le region dalla versione 1.1.0. Metti i vecchi host in modalità di svuotamento, deallocali e rimuovili al termine delle sessioni. Mantieni la versione 1.0.0 disponibile per due cicli di rilascio.
 - Perché: La sostituzione in stile blue-green evita il drift in-place e consente un rollback istantaneo eseguendo il provisioning dall'immagine precedente in caso di problemi.

7) Esegui hardening e governance in modo continuo
 - Azione: Applica Azure Policy per limitare le immagini e le estensioni consentite, abilita le raccomandazioni di Defender for Cloud e archivia i profili FSLogix su Azure NetApp Files per prestazioni elevate e prevedibili.
 - Perché: La governance continua e uno storage dei profili ad alte prestazioni sostengono l'esperienza utente su larga scala, preservando al contempo la postura di sicurezza.

---

← [Networking](/it/posts/az-140-networking/)  ·  [Tutti i domini](/it/posts/az-140-study-guide/)  ·  [FSLogix](/it/posts/az-140-fslogix-profiles/) →

**[Esercitati su queste domande →](/it/kb/microsoft/)**  ·  **[Pratica cronometrata su ExamRoll.io →](https://www.examroll.io/?utm_source=guide&utm_medium=referral&utm_campaign=az-140)**