Microsoft AZ-140: FSLogix, Profielen en Gebruikersgegevens — Studiegids

By Laurynas Brazys · 12 August 2026 · #microsoft #az-140 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Azure Virtual Desktop Specialty AZ-140 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

FSLogix biedt container-gebaseerde gebruikersprofielen voor Azure Virtual Desktop, door het profiel van een gebruiker als een virtuele schijf via SMB te koppelen tijdens het aanmelden. Dit ontwerp elimineert de valkuilen van verouderde roaming-profielen, versnelt het aanmelden en stabiliseert de status van applicaties over niet-persistente sessiehosts. FSLogix scheidt de profielstatus (Profile Container) van Microsoft 365-data en -caches (Office Data File Container), en kan een extra laag veerkracht toevoegen met Cloud Cache. Correcte opslagselectie, op identiteit gebaseerde SMB-permissies en beheer van profielgrootte zijn essentieel om aanmeldingen met lage latentie en een hoge sessiedichtheid te realiseren.

FSLogix Containers en Data-architectuur

FSLogix Profile Containers slaan het volledige gebruikersprofiel op in één enkel virtueel schijfbestand dat zich op SMB-opslag bevindt. Bij het aanmelden wordt de schijf gekoppeld aan C:\Users\username en ziet het besturingssysteem een native profiel.

Schijfformaat: Gebruik VHDX, tenzij compatibiliteit met zeer oude besturingssystemen vereist is. VHDX is beter bestand tegen corruptie, ondersteunt grotere formaten, is minder gevoelig voor metadataproblemen en is de standaard van FSLogix. Gebruik VHD alleen wanneer een specifieke applicatie of een verouderde driver dit vereist.
Groottebepaling: Containers zijn standaard dynamisch uitbreidend. Stel een maximale grootte in (bijvoorbeeld 30 GB voor Profile, 10 GB voor Office) en sta dynamische groei toe. Schijven met een vaste grootte verbeteren zelden de prestaties en verhogen het opslagverbruik en de beheerlast.
Locks en gelijktijdigheid: Een profielcontainer wordt vergrendeld voor lezen/schrijven door de eerste sessiehost. Een tweede gelijktijdige sessie voor dezelfde gebruiker op een andere host wordt geblokkeerd of alleen-lezen toegestaan, afhankelijk van het beleid. Dit beschermt de integriteit van het profiel.

Office Data File Container (ODFC) scheidt Microsoft 365-data met veel wijzigingen — Outlook OST/Dat-bestanden, OneDrive- en Teams-caches — in een eigen container. Voordelen zijn onder andere:

Snellere aanmeldingen omdat Office-caches de Profile Container niet langer opblazen.
Onafhankelijk opschonen of opnieuw instellen van Office-caches zonder het gebruikersprofiel aan te tasten.
Verminderd risico dat corruptie van de Office-cache het profiel beïnvloedt.

Gebruik redirections.xml om vluchtige mappen uit te sluiten van de Profile Container om de groei te beperken en het aanmelden te versnellen. Veelvoorkomende uitsluitingen zijn de Teams-cache, browser-caches, Temp en logs. Wanneer u ODFC gebruikt, sluit dan Office-specifieke caches uit van de Profile Container om duplicatie te voorkomen.

Voorbeeld redirections.xml (plaats naast frxtray.exe of definieer via het register):

<?xml version="1.0" encoding="UTF-8"?>
<FrxProfileFolderRedirection ExcludeCommonFolders="0">
  <Exclude>
    <Path>%LOCALAPPDATA%\Microsoft\Teams\Cache</Path>
    <Path>%LOCALAPPDATA%\Microsoft\Teams\Service Worker</Path>
    <Path>%LOCALAPPDATA%\Temp</Path>
    <Path>%LOCALAPPDATA%\Packages\Microsoft.MicrosoftEdge_*\AC\#!001\Cache</Path>
    <Path>%APPDATA%\Microsoft\Teams\media-stack</Path>
  </Exclude>
</FrxProfileFolderRedirection>

Opslagplatforms en Toegangscontrole

Het selecteren van SMB-opslag voor FSLogix is een beslissing op basis van prestaties en operationele overwegingen:

Azure NetApp Files (ANF): Hoogste IOPS en laagste latentie; ideaal voor zeer grote en latentiegevoelige implementaties (bijvoorbeeld tienduizenden gebruikers). Biedt SMB-volumes met voorspelbare latentie van microseconden tot lage milliseconden, doorvoer per volume gekoppeld aan capaciteitspools, snapshot- en cross-region replicatie. Gebruik wanneer u de desktopervaring moet maximaliseren en extreme gelijktijdigheid moet verwerken.
Azure Files Premium (FileStorage): Ondersteund door SSD, zone-redundant in veel regio’s, minimaal beheer, kosteneffectief voor breed bedrijfsgebruik. De prestaties van de share schalen mee met de ingerichte grootte; biedt tot 100.000 IOPS en een doorvoer van meerdere GB/s per share naarmate de capaciteit toeneemt. Aanbevolen voor de meeste host pools wanneer u SSD-prestaties nodig heeft zonder het beheer van ANF.
Azure Files Standard: Ondersteund door HDD; geschikt voor kleine labs of licht gebruik. Niet aanbevolen voor productie-FSLogix-profielen vanwege hogere latentie en variabele prestaties.

UNC-paden en DNS:

Azure Files gebruikt het padformaat \storageaccount.file.core.windows.net\sharename. Zorg ervoor dat sessiehosts dit eindpunt kunnen resolven en bereiken. Private endpoints worden aanbevolen om het verkeer te isoleren.
ANF gebruikt een SMB-volumepad zoals \anf-vol-name\share over een gedelegeerd subnet via een privé-IP.

Op identiteit gebaseerde SMB-authenticatie en -permissies zijn afhankelijk van de directoryservice en de join-status van uw sessiehosts:

Active Directory Domain Services (AD DS) of Azure AD DS: Sessiehosts zijn lid van een domein; gebruik Kerberos. Configureer share-permissies en NTFS ACL’s met uw AD-groepen.
Microsoft Entra ID Kerberos for Azure Files: Maakt SMB-toegang mogelijk vanaf sessiehosts die aan Entra ID zijn gekoppeld, zonder AD DS. Wijs Azure RBAC toe op het opslagaccount en zorg ervoor dat de client-OS- en FSLogix-versies deze modus ondersteunen.

Minimale permissies (least privilege) voor Azure Files in veelvoorkomende scenario’s:

Wijs de rol Storage File Data SMB Share Contributor (Azure RBAC) toe op het niveau van het opslagaccount of de share aan de gebruikersgroep bij gebruik van Entra ID-authenticatie.
Configureer NTFS op de root van de share: Gebruikers (of een speciale AVD-gebruikersgroep) Modify; Creator Owner Full op submappen; Administrators Full; verwijder overgeërfde permissies die buitensporige toegang verlenen.
Stel voor Azure Files met AD DS-authenticatie ook de ACL op share-niveau in om gebruikers Modify-rechten te geven.

Veerkracht, Cloud Cache en Operationele Status

Cloud Cache schrijft naar de lokale cache op de session host en repliceert naar een of meer externe SMB-repositories. Voordelen zijn onder meer continue werking tijdens een tijdelijke opslagstoring en cross-region veerkracht. Ontwerpoverwegingen:

Gebruik twee tot vier CCD-locaties om een balans te vinden tussen veerkracht en aanmeldingslatentie. Meer locaties verhogen de attach-timeouts tijdens storingen.
Zorg voor voldoende lokale cache-schijfruimte (doorgaans 20–40 GB per gelijktijdig actieve gebruiker op de host in worst-case scenario’s).
Combineer targets (bijvoorbeeld primaire Azure Files Premium in-region en secundaire Azure Files of ANF in een gekoppelde regio). Gebruik geen trage, op HDD gebaseerde targets voor Cloud Cache, tenzij absoluut noodzakelijk.

Voorbeeldconfiguratie (register) voor een profielcontainer met Cloud Cache en ODFC:

reg add HKLM\SOFTWARE\FSLogix\Profiles /v Enabled /t REG_DWORD /d 1 /f
reg add HKLM\SOFTWARE\FSLogix\Profiles /v VolumeType /t REG_SZ /d VHDX /f
reg add HKLM\SOFTWARE\FSLogix\Profiles /v SizeInMBs /t REG_DWORD /d 30720 /f
reg add HKLM\SOFTWARE\FSLogix\Profiles /v IsDynamic /t REG_DWORD /d 1 /f
reg add HKLM\SOFTWARE\FSLogix\Profiles /v CCDLocations /t REG_MULTI_SZ /d "\\store1.file.core.windows.net\profiles\0!\\store2.file.core.windows.net\profiles\0" /f
reg add HKLM\SOFTWARE\FSLogix\Profiles /v DeleteLocalProfileWhenVHDShouldApply /t REG_DWORD /d 1 /f
reg add HKLM\SOFTWARE\FSLogix\ODFC /v Enabled /t REG_DWORD /d 1 /f
reg add HKLM\SOFTWARE\FSLogix\ODFC /v VolumeType /t REG_SZ /d VHDX /f
reg add HKLM\SOFTWARE\FSLogix\ODFC /v SizeInMBs /t REG_DWORD /d 10240 /f

Diagnose van mislukte aanmeldingen en profielvergrendelingen:

Event Viewer: Applications and Services Logs > FSLogix > Apps biedt diagnostische informatie over attach, IO en Cloud Cache. Zoek naar access denied (0x5), sharing violation (0x20) of timeouts.
Verouderde locks: Als een gecrashte session host handles open heeft laten staan, kan de VHDX als ‘in gebruik’ worden weergegeven. Verifieer dat er geen actieve sessies zijn, sluit open bestanden vanaf de SMB-server en laat FSLogix het opnieuw proberen. Vermijd het handmatig verwijderen van lock-bestanden, tenzij u volledig heeft bevestigd dat er geen actieve mounts zijn.
Fallback-gedrag: Gebruik PreventLoginWithFailure om te bepalen of gebruikers kunnen inloggen met een tijdelijk lokaal profiel als de attach mislukt. Overweeg ‘Try for read-only’ wanneer de opslagprestaties verminderd zijn, maar u toch toegang wilt verlenen; wees u ervan bewust dat wijzigingen niet worden opgeslagen.

Opschoning en onderhoud:

Activeer DeleteLocalProfileWhenVHDShouldApply om verouderde lokale profielen te verwijderen.
Comprimeer VHDX-bestanden periodiek offline als ze zijn gegroeid door tijdelijke data.
Plan bij gebruik van Cloud Cache de opschoning van achtergelaten lokale cache als een host buiten gebruik wordt gesteld.

Prestaties, Schaalbaarheid en Sessiedichtheid

Storage-IOPS en -latentie bepalen rechtstreeks de aanmeldingstijd, de reactiesnelheid van applicaties en hoeveel gelijktijdige sessies elke host kan ondersteunen:

Latentiedoel: Een opslaglatentie van minder dan 2 ms tot enkele milliseconden tijdens ’logon storms’ levert de beste ervaring op. ANF behaalt doorgaans de laagste latentie. Azure Files Premium heeft meestal een latentie van enkele milliseconden bij toegang via private endpoints.
IOPS-kenmerken: FSLogix vertoont aanzienlijke burst-IOPS tijdens het aanmelden (tientallen tot honderden per gebruiker) en bescheiden steady-state IOPS (doorgaans 3–15 per gebruiker, afhankelijk van de workload). Vermenigvuldig met het aantal gelijktijdige aanmeldingen om de opslagcapaciteit te bepalen.
Schaalbaarheid van Azure Files Premium: Verhoog de ‘provisioned share size’ om de IOPS- en doorvoerlimieten te verhogen; activeer SMB Multichannel op ondersteunde besturingssystemen om de doorvoer per host te verbeteren.
ANF-capaciteit en -tiering: Kies ANF-prestatieniveaus op basis van MiB/s per ‘provisioned TiB’; de Premium- en Ultra-niveaus zijn gebruikelijk voor intensieve Office- en CAD-gebruikers. Gebruik meerdere volumes om I/O te parallelliseren voor zeer grote implementaties.

Het netwerkpad is belangrijk. Gebruik private endpoints en zorg ervoor dat session hosts zich in dezelfde regio bevinden als de opslag om WAN-latenties te vermijden. Plaats hosts en opslag in hetzelfde virtuele netwerk of in ‘peered’ netwerken met paden met lage latentie.

Beheer van Microsoft 365-data en Profielgroei

Combineer ODFC, OneDrive Files On-Demand en Known Folder Move (KFM) om de groei te beheersen:

ODFC: Verplaatst Outlook OST, OneNote-caches en Office Wef-data naar een aparte container. Dit vermindert de ‘churn’ in de Profile Container en versnelt het aanmelden.
OneDrive per-machine met Files On-Demand: Installeert OneDrive in Program Files zodat alle gebruikers de binary delen; Files On-Demand bewaart placeholders in het profiel en ‘hydrateert’ de inhoud bij toegang, wat de groei van de container beperkt.
KFM: Leidt Bureaublad, Documenten en Afbeeldingen om naar OneDrive, met dezelfde gebruikerservaring op elk apparaat. Met Files On-Demand worden alleen geopende bestanden lokaal ‘gehydrateerd’, wat de groei verder beperkt.
Uitsluitingen: Als u de containergrootte agressief wilt minimaliseren, kunt u de synchronisatiecache van OneDrive uitsluiten via redirections.xml; deze wordt dan na elke aanmelding on-demand opnieuw ‘gehydrateerd’. Deze aanpak bespaart ruimte, maar kan de latentie bij het voor het eerst openen van grote bestanden verhogen. In de meeste gevallen is Files On-Demand alleen al voldoende, zonder OneDrive uit te sluiten.
Optimalisaties voor Microsoft Teams: Gebruik de voor AVD geoptimaliseerde versie van Teams en sluit tijdelijke Teams-caches uit met redirections.xml om herhaalde zware I/O te voorkomen.

Beveiliging, back-up en herstel

Versleuteling in transit: SMB 3.1.1-versleuteling en -ondertekening beschermen data ‘over the wire’. Dwing versleuteling af waar dit wordt ondersteund.
Versleuteling at rest: Azure Files en ANF versleutelen data at rest standaard. Gebruik voor een hogere zekerheid door de klant beheerde sleutels (customer-managed keys) met Azure Files; ANF ondersteunt dubbele versleuteling en sleutels op volumeniveau in bepaalde regio’s.
Toegangsbeheer: Minimaliseer privileges. Voor Azure Files met Entra ID Kerberos, ken de rol Storage File Data SMB Share Contributor toe en beperk NTFS tot Modify voor gebruikers. Stel voor op AD DS gebaseerde toegang de share- en NTFS-ACL’s in op het ’least privilege’-principe. Gebruik afzonderlijke groepen voor lezen/schrijven en beheerders.
Netwerkisolatie: Gebruik private endpoints of gedelegeerde subnets voor ANF. Beperk de storage-firewall tot vertrouwde subnets.
Back-up en snapshots:
- Azure Files: Gebruik Azure Backup for Azure Files; configureer dagelijkse snapshots met een retentie die voldoet aan RPO/RTO. Schakel ‘soft delete’ in om te beschermen tegen onbedoelde verwijderingen.
- ANF: Gebruik snapshot-beleid en, indien nodig, cross-region replication voor DR. Test het mounten van een snapshot als een read-only share om individuele profielen snel te herstellen.
Herstel: De voorkeursmethode voor herstel is op itemniveau (herstel van de VHDX van één gebruiker) naar een quarantainepad, valideer de integriteit en wissel de pointers. Onderhoud een draaiboek voor profielcorruptie dat snelle ontkoppeling, herstel via snapshot en gebruikerscommunicatie omvat.

Praktijkscenario

Siemens AG moet de aanmeldtijden van Azure Virtual Desktop verbeteren voor 12.000 engineers die Windows 11 Enterprise multi-session gebruiken met Microsoft 365 Apps, Teams en OneDrive. De profielen staan op een overbelaste standaard file share, wat hoge latentie veroorzaakt tijdens de ’logon storms’ in de ochtend en frequente incidenten met vergrendelde profielen.

Migreer de profielopslag naar Azure NetApp Files Premium SMB-volumes in dezelfde regio als de host pools.

Waarom: ANF levert de laagste latentie en voorspelbare hoge IOPS die nodig zijn voor duizenden gelijktijdige aanmeldingen. Door opslag en hosts in dezelfde locatie te houden, wordt de round-trip time geminimaliseerd.

Scheid Office-caches met FSLogix ODFC en verklein de maximale grootte van de Profile Container naar 20 GB, terwijl de ODFC wordt ingesteld op 10 GB, beide als dynamische VHDX.

Waarom: Het isoleren van vluchtige Microsoft 365-data vermindert ‘profile churn’ en versnelt het koppelen van de container. Dynamische VHDX bespaart capaciteit en maakt tegelijkertijd burst-groei mogelijk wanneer dat nodig is.

Implementeer Cloud Cache met twee CCD-locaties: een primair ANF-volume en een secundaire Azure Files Premium-share in de gekoppelde regio via private endpoints.

Waarom: Cloud Cache zorgt voor continuïteit tijdens onderhoud of tijdelijke opslagincidenten. De secundaire regio verbetert de veerkracht (resiliency) zonder handmatige failover.

Dwing ’least-privilege’-toegang af met Azure RBAC en NTFS: wijs de AVD-groep voor engineers de rol Storage File Data SMB Share Contributor toe op de secundaire Azure Files-share en geef Modify NTFS-rechten op beide repositories; beheerders krijgen Full Control. Dwing SMB-versleuteling af.

Waarom: Correcte share- en NTFS-machtigingen stellen FSLogix in staat om VHDX-bestanden veilig aan te maken en te schrijven, terwijl overbevoegde toegang wordt voorkomen. Versleuteling beschermt data in transit.

Implementeer OneDrive per-machine met Files On-Demand en schakel Known Folder Move in voor Bureaublad, Documenten en Afbeeldingen. Behoud OneDrive binnen de container, maar sluit tijdelijke Teams-caches uit via redirections.xml.

Waarom: KFM standaardiseert de locaties van gebruikersdata en Files On-Demand voorkomt ‘bulk hydration’, waardoor de profielgroei wordt beheerst. Het uitsluiten van Teams-caches vermindert herhaalde I/O zonder de bestanden van de gebruiker te beïnvloeden.

Optimaliseer en monitor FSLogix: schakel DeleteLocalProfileWhenVHDShouldApply in, stel PreventLoginWithFailure zo in dat tijdelijke lokale profielen alleen worden toegestaan voor Tier-0 ‘break-glass’-accounts, en instrumenteer aanmeldtelemetrie.

Waarom: Geautomatiseerde opschoning verwijdert verouderde lokale profielen, terwijl een gecontroleerde fallback stille data-divergentie voorkomt. Monitoring verifieert de kortere aanmeldtijden en detecteert afwijkingen.

Bescherm en herstel: configureer ANF snapshot-beleid met uurlijkse retentie voor de korte termijn en dagelijkse voor de lange termijn; schakel cross-region replication in op kritieke volumes; schakel Azure Backup in voor de secundaire Azure Files-share. Test maandelijks het herstellen van een individuele VHDX van een gebruiker.

Waarom: Snapshots bieden snel point-in-time herstel voor individuele profielen; replicatie en back-up bieden gelaagde bescherming tegen regionale of operationele storingen en zorgen voor een voorspelbare RPO/RTO.

← Session Host Images en Provisioning · Alle domeinen · Session Host Operations →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →