Microsoft AZ-140: Session Host Images en Provisioning — Studiegids

By Laurynas Brazys · 12 August 2026 · #microsoft #az-140 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Azure Virtual Desktop Specialty AZ-140 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Images en provisioning van sessiehosts vormen de basis voor de betrouwbaarheid, prestaties en beveiligingsstatus van Azure Virtual Desktop. Goed beheerde image-pipelines minimaliseren ‘drift’, versnellen de uitrol en maken een veilige rollback mogelijk, terwijl ze ervoor zorgen dat elke sessiehost identiek is geconfigureerd en correct is gekoppeld aan de juiste identiteitsgrens. Dit gedeelte behandelt de selectie van image-bronnen, opties voor Windows Enterprise multi-session, Azure Compute Gallery, generalisatie en levenscyclus, automatiseringstools, join-modellen, agentregistratie, updatestrategie en hardening met validatie.

Image-bronnen en besturingssysteemopties

De keuze van de juiste basisimage en het besturingssysteem bepaalt de ondersteunbaarheid, de beheerlast en de gebruikerservaring.

• Azure Marketplace-images versus custom images

  • Marketplace-images bieden door Microsoft onderhouden basisconfiguraties, zoals Windows 11 Enterprise multi-session en varianten die Microsoft 365 Apps bevatten. Ze verkorten de implementatietijd, garanderen actuele patches en bevatten de metagegevens die Azure vereist.
  • Custom images worden aanbevolen wanneer u line-of-business-apps, agents (FSLogix, Defender for Endpoint), taalpakketten of beveiligingsbasislijnen vooraf moet installeren. Bouw voort op een Marketplace-basis, pas deze aan, generaliseer en publiceer naar Azure Compute Gallery voor distributie met versiebeheer.
  • Operationele richtlijn: Geef waar mogelijk de voorkeur aan Marketplace voor flexibiliteit. Stap over op custom images zodra er herhaalbare aanpassingsvereisten ontstaan; vermijd ad-hocconfiguratie per VM om ‘drift’ te verminderen.

• Windows Enterprise multi-session-images en ondersteunde besturingssysteemkeuzes

  • Windows 11 Enterprise multi-session is het huidige strategische client-besturingssysteem voor ‘pooled’ hostpools; Windows 10 Enterprise multi-session blijft ondersteund voor bestaande omgevingen.
  • Microsoft Entra ID join wordt ondersteund voor Windows 11 Enterprise en Windows 11 Enterprise multi-session. Windows Server (2019/2022) blijft een geldige optie voor app-remoting-scenario’s of waar server-specifieke functies en hotpatching gewenst zijn, maar het mist de volledige M365-desktopervaring die beschikbaar is op client multi-session.
  • Marketplace-varianten (bijvoorbeeld “Windows 11 Enterprise multi-session + Microsoft 365 Apps”) vereenvoudigen het correcte onderhoud van M365 Apps en ‘shared computer activation’.

Imagebeheer met Azure Compute Gallery

Azure Compute Gallery (voorheen Shared Image Gallery) is de meest aangewezen manier om ‘golden images’ op schaal te beheren.

• Imagedefinities en -versies

  • Een definitie legt het OS-type, de semantiek van publisher/offer/SKU en ‘familie’-attributen vast. Versies vertegenwoordigen onveranderlijke, van een tijdstempel voorziene snapshots van de definitie.
  • Gebruik semantische versiebeheer (bijv. 1.0.0 → 1.1.0 → 1.2.0) afgestemd op de omvang van de wijziging (patch, minor, major). Houd altijd de vorige productie-versie beschikbaar voor een rollback.

• Replicatie en regionale plaatsing

  • Repliceer image-versies naar de Azure-regio’s waar hostpools zullen worden geïmplementeerd om de provisioning-tijd te minimaliseren en afhankelijkheden tussen regio’s te vermijden. Repliceer bijvoorbeeld Image1 van East US naar South India voordat u host-VM’s in South India aanmaakt.
  • Werk de replicatie-instellingen bij op het niveau van de image-versie om regio’s toe te voegen of te verwijderen zonder de image opnieuw te hoeven bouwen.

• Uitsluitingen en de ’latest’-alias

  • De gallery stelt per definitie een ’latest’-alias beschikbaar die door templates kan worden gebruikt. Om implementaties vast te pinnen op een specifieke versie of een kandidaatversie achter te houden, stelt u ExcludeFromLatest in op de nieuwere versie.
  • Voorbeeld: Om 1.1.0 de standaard te maken terwijl 1.2.0 nog wordt gevalideerd, markeert u 1.2.0 als uitgesloten van ’latest’, zodat nieuwe VM’s standaard worden geprovisioneerd vanuit 1.1.0.

• Governance en toegang

  • Wijs ‘reader’-rollen op de gallery toe aan implementatie-identiteiten; gebruik RBAC en resource locks om productieversies te beschermen. Gebruik Azure Policy om te beperken welke images zijn toegestaan voor sessiehosts.

Provisioning, generalisatie en automatisering

Een gedisciplineerde image-levenscyclus en automatisering voorkomen ‘configuration drift’ en garanderen unieke identiteiten voor alle hosts.

• Sysprep, generalisatie en unieke identiteiten
  • Voordat u een Windows-image vastlegt (‘capture’), verwijdert u machine-specifieke gegevens zodat nieuwe hosts afzonderlijke namen, SID’s en identiteiten krijgen. Vanuit een ’elevated prompt’:

    sysprep /oobe /generalize /shutdown /mode:vm
    ```

  - Valideer dat Windows is bijgewerkt, eventuele geheimen per gebruiker zijn gewist en de event logs zijn geroteerd. Voeg de image die u wilt vastleggen niet toe aan een domein.

- Azure Image Builder en herhaalbare aanpassingen
  - Azure Image Builder orkestreert het creëren van images met behulp van een declaratieve pipeline die software kan toevoegen, basislijnen kan toepassen, taalpakketten kan injecteren, Windows Update kan uitvoeren en kan publiceren naar Azure Compute Gallery.
  - Dwing herhaalbaarheid af: sla AIB-templates op in versiebeheer, stuur geparametriseerde builds aan en promoveer images via dev → validatie → productie-galleries of -regio's.

- Azure Resource Manager-templates, Bicep en implementatie-automatisering
  - Definieer hostpools, applicatiegroepen, workspaces, VM scale sets en sessiehost-VM's als code. Parametriseer de image-referentie (gallery/definitie/versie), het netwerk, de grootte en de identiteit.
  - Gebruik Key Vault-referenties voor geheimen waar een AD DS domain join vereist is. Valideer voor grote implementaties vooraf de regionale vCPU-quota om provisioning-fouten te voorkomen.

- Voorbeeld: Bicep-fragment om de AVD-agent te installeren met een registratietoken tijdens de VM-provisioning

@secure() param avdRegistrationToken string

resource avdAgent ‘Microsoft.Compute/virtualMachines/extensions@2023-09-01’ = { name: ‘${vmName}/Microsoft.DesktopVirtualization-AVDAgent’ location: location properties: { publisher: ‘Microsoft.DesktopVirtualization’ type: ‘rdagent’ typeHandlerVersion: ‘1.0’ autoUpgradeMinorVersion: true settings: { registrationInfoToken: avdRegistrationToken } } }

### Join-opties, registratie en netwerk-/DNS-overwegingen
Identity join en agentregistratie moeten samen met naamresolutie en routering worden gepland.

- Domein-join en Microsoft Entra join tijdens de implementatie van de sessiehost
- AD DS-join: Ondersteund voor Windows 10/11 Enterprise multi-session en Windows Server. Gebruik de “JSONADDomainExtension” of de native domainJoin-eigenschappen in uw implementatieworkflow. Delegeer join-rechten aan een serviceaccount met een beperkte OU-scope.
- Microsoft Entra ID-join: Ondersteund voor Windows 11 Enterprise en Windows 11 Enterprise multi-session. Dit elimineert de afhankelijkheid van domeincontrollers en kan de levenscyclus van apparaten vereenvoudigen met cloud-only identity en Conditional Access. Zorg ervoor dat aan de vereisten voor de AVD-client en het beheer is voldaan voordat u dit inschakelt.
- Azure AD DS-join: Wanneer u een beheerd domein gebruikt, configureer dan eerst de VNet DNS-servers naar de IP-adressen van Azure AD DS; anders zullen de implementatie en de join mislukken omdat sessiehosts het beheerde domein niet kunnen resolven.

- DNS- en connectiviteitsvereisten
- Zorg ervoor dat VNet DNS verwijst naar resolvers die het doeldomein en de records voor Azure-services kunnen resolven. Gebruik voor hybride AD DS de IP-adressen van domeincontrollers die bereikbaar zijn via peering of VPN; configureer meerdere DNS-servers om de veerkracht te behouden.
- Voor implementaties over meerdere VNet's, werk de DNS-instellingen van het child-VNet bij; vertrouw niet op de standaard Azure DNS voor AD DS-joins.

- Bootstrapping van de sessiehost-agent en het gebruik van registratietokens
- Het AVD-agentpaar (Remote Desktop Agent Loader en side-by-side stack) registreert een VM bij een host pool met behulp van een in de tijd beperkte registratietoken. Genereer de token op het niveau van de host pool en injecteer deze tijdens de build of via VM-extensies.
- Wanneer u bestaande VM's onboardt naar een host pool, genereer dan een nieuwe registratiesleutel voordat u de agent installeert, zodat de VM zich kan registreren bij de broker.
### Updates, Security Hardening en Validatie
Behandel sessiehosts als onveranderlijk (immutable); schaal uit met nieuwe hosts op basis van een nieuwe image, laat oude hosts leeglopen (drain) en neem ze buiten gebruik.

- Updatestrategie: image-updates, hotpatching en rollback-planning
- Image-updates: Produceer een nieuwe gallery-versie voor maandelijkse kwaliteits- en functie-updates, valideer deze en schaal vervolgens uit. Gebruik de "drain-modus" om gebruikers van de hosts te verwijderen voordat de oude hosts worden gedealloceerd en verwijderd.
- Hotpatching: Alleen van toepassing op Windows Server Azure Edition; het vermindert het aantal herstarts tijdens het patchen. Windows 10/11 Enterprise multi-session ondersteunt geen hotpatching—gebruik normale cumulatieve updates in je image-pipeline plus noodpatches buiten de reguliere cyclus ('out-of-band') waar nodig.
- Rollback: Bewaar ten minste één eerdere productie-imageversie, gerepliceerd in alle regio's. Als er problemen worden gedetecteerd, provisioneer dan nieuwe hosts vanaf de vorige versie en wijs de capaciteit opnieuw toe. Gebruik de gallery-optie ExcludeFromLatest om problematische builds tegen te houden.

- Security hardening van de image
- Baselines: Pas Microsoft security baselines voor Windows 10/11 of gelijkwaardige CIS-hardening toe in de image-pipeline. Valideer met Defender for Cloud en vulnerability assessment.
- Identiteit en toegang: Verwijder

---

← [Netwerken](/nl/posts/az-140-networking/)  ·  [Alle domeinen](/nl/posts/az-140-study-guide/)  ·  [FSLogix](/nl/posts/az-140-fslogix-profiles/) →

**[Oefen deze vragen →](/nl/kb/microsoft/)**  ·  **[Getimede oefening op ExamRoll.io →](https://www.examroll.io/?utm_source=guide&utm_medium=referral&utm_campaign=az-140)**

Blader door Microsoft →