Microsoft AZ-140: Obrazy hostów sesji i aprowizacja — Przewodnik do nauki

    sysprep /oobe /generalize /shutdown /mode:vm
    ```

  - Sprawdź, czy system Windows jest zaktualizowany, wszelkie sekrety per-użytkownik zostały usunięte, a dzienniki zdarzeń zrotowane. Nie przyłączaj obrazu przeznaczonego do przechwycenia do domeny.

- Azure Image Builder i powtarzalne dostosowywanie
  - Azure Image Builder orkiestruje tworzenie obrazów za pomocą deklaratywnego potoku, który może dodawać oprogramowanie, stosować wzorce, wstrzykiwać pakiety językowe, uruchamiać Windows Update i publikować w Azure Compute Gallery.
  - Wymuszaj powtarzalność: przechowuj szablony AIB w kontroli wersji, steruj sparametryzowanymi kompilacjami i promuj obrazy przez kolejne galerie lub regiony: deweloperskie → walidacyjne → produkcyjne.

- Szablony Azure Resource Manager, Bicep i automatyzacja wdrożeń
  - Definiuj pule hostów, grupy aplikacji, obszary robocze, zestawy skalowania maszyn wirtualnych i maszyny wirtualne hostów sesji jako kod. Parametryzuj odwołanie do obrazu (galeria/definicja/wersja), sieć, rozmiar i tożsamość.
  - Używaj odwołań do Key Vault dla sekretów, gdy wymagane jest przyłączenie do domeny AD DS. W przypadku dużych wdrożeń wstępnie zweryfikuj regionalne limity vCPU, aby uniknąć niepowodzeń aprowizowania.

- Przykład: Fragment kodu Bicep do instalacji agenta AVD z tokenem rejestracji podczas aprowizowania maszyny wirtualnej

### Opcje dołączania, rejestracja i kwestie związane z siecią/DNS
Dołączanie tożsamości i rejestracja agenta muszą być planowane z uwzględnieniem rozwiązywania nazw i routingu.

- Dołączanie do domeny i dołączanie do Microsoft Entra podczas wdrażania hosta sesji
- Dołączanie do AD DS: Obsługiwane dla Windows 10/11 Enterprise multi-session i Windows Server. Użyj właściwości „JSONADDomainExtension” lub natywnych właściwości domainJoin w swoim przepływie wdrożeniowym. Deleguj uprawnienia do dołączania na konto usługi z ograniczonym zakresem jednostki organizacyjnej (OU).
- Dołączanie do Microsoft Entra ID: Obsługiwane dla Windows 11 Enterprise i Windows 11 Enterprise multi-session. Eliminuje to zależność od kontrolerów domeny i może uprościć cykl życia urządzenia dzięki tożsamości wyłącznie chmurowej i dostępowi warunkowemu (Conditional Access). Przed włączeniem upewnij się, że spełnione są wymagania wstępne klienta i zarządzania AVD.
- Dołączanie do Azure AD DS: W przypadku korzystania z domeny zarządzanej najpierw skonfiguruj serwery DNS sieci VNet, aby wskazywały na adresy IP usługi Azure AD DS; w przeciwnym razie wdrożenie i dołączenie nie powiodą się, ponieważ hosty sesji nie będą mogły rozwiązać nazwy domeny zarządzanej.

- Wymagania dotyczące DNS i łączności
- Upewnij się, że DNS w sieci VNet wskazuje na resolwery, które mogą rozwiązywać nazwy domeny docelowej i rekordy dla usług Azure. W przypadku hybrydowego AD DS użyj adresów IP kontrolerów domeny osiągalnych przez peering lub VPN; skonfiguruj wiele serwerów DNS, aby zachować odporność na awarie.
- W przypadku wdrożeń obejmujących wiele sieci VNet zaktualizuj ustawienia DNS podrzędnej sieci VNet; nie polegaj na domyślnym DNS Azure przy dołączaniu do AD DS.

- Bootstrapping agenta hosta sesji i użycie tokenu rejestracyjnego
- Para agentów AVD (Remote Desktop Agent Loader i stos side-by-side) rejestruje maszynę wirtualną w puli hostów przy użyciu ograniczonego czasowo tokenu rejestracyjnego. Wygeneruj token na poziomie puli hostów i wstrzyknij go w czasie budowania obrazu lub za pomocą rozszerzeń VM.
- Podczas dołączania istniejących maszyn wirtualnych do puli hostów wygeneruj nowy klucz rejestracyjny przed zainstalowaniem agenta, aby maszyna wirtualna mogła zarejestrować się u brokera.
### Aktualizacja, wzmacnianie bezpieczeństwa i walidacja
Traktuj hosty sesji jako niezmienne; dodawaj nowe hosty z nowego obrazu, a stare opróżniaj i wycofuj.

- Strategia aktualizacji: aktualizacje obrazu, hotpatching i planowanie wycofania zmian (rollback)
- Aktualizacje obrazu: Twórz nową wersję w galerii dla comiesięcznych aktualizacji jakościowych i funkcyjnych, waliduj, a następnie dodawaj nowe hosty. Użyj „trybu drenażu” (drain mode), aby wylogować użytkowników przed dealokacją i usunięciem starych hostów.
- Hotpatching: Dotyczy tylko Windows Server Azure Edition; redukuje liczbę restartów podczas wdrażania poprawek. Windows 10/11 Enterprise multi-session nie obsługuje hotpatchingu — używaj standardowych aktualizacji zbiorczych w potoku budowania obrazu oraz, w razie potrzeby, awaryjnych poprawek wdrażanych poza cyklem.
- Wycofanie zmian (Rollback): Przechowuj co najmniej jedną poprzednią wersję obrazu produkcyjnego zreplikowaną we wszystkich regionach. W przypadku wykrycia problemów, udostępnij nowe hosty z poprzedniej wersji i przypisz ponownie pojemność. Użyj opcji `ExcludeFromLatest` w galerii, aby wstrzymać problematyczne kompilacje.

- Wzmacnianie bezpieczeństwa obrazu
- Standardy bazowe: Zastosuj standardy bezpieczeństwa Microsoft dla Windows 10/11 lub równoważne wzmocnienia CIS w potoku budowania obrazu. Waliduj za pomocą Defender for Cloud i oceny podatności.
- Tożsamość i dostęp: Usuń lokalne konta administratora tam, gdzie to możliwe, włącz Windows LAPS dla wszelkich kont lokalnego administratora i wymuszaj MFA/Dostęp Warunkowy (Conditional Access) przy logowaniu do AVD.
- Ochrona dysku i danych: Używaj kluczy zarządzanych przez platformę lub przez klienta dla zestawów szyfrowania dysków. Przechowuj profile FSLogix na odpornej pamięci masowej; dla bardzo dużej liczby użytkowników i wymagań niskiej latencji, Azure NetApp Files zapewnia przechowywanie profili z najwyższą liczbą IOPS i najniższą latencją.
- Kontrola aplikacji i redukcja powierzchni ataku: Włącz Windows Defender Application Control tam, gdzie to wykonalne, skonfiguruj reguły ASR i wdróż Microsoft Defender for Endpoint.
- Zasady i kontrola odchyleń: Użyj Azure Policy do ograniczania dozwolonych obrazów i rozszerzeń maszyn wirtualnych; audytuj odchylenia i blokuj zmiany wprowadzane poza procesem.

- Testowanie w walidacyjnej puli hostów
- Utrzymuj małą, oddzielną pulę hostów walidacyjnych. Ustaw ją jako środowisko walidacyjne, aby otrzymywać aktualizacje agenta AVD w wersji zapoznawczej oraz walidować nowe wersje obrazów, zmiany w FSLogix i obiekty GPO przed wdrożeniem na produkcję.
- Mierz doświadczenie użytkownika w trakcie sesji. Na przykład, aby szybko zdiagnozować postrzegane problemy z wyświetlaniem, sprawdź liczniki `RemoteFX Graphics Frames Skipped/Second` w Monitorze wydajności, aby wyizolować wąskie gardła po stronie klienta, sieci lub serwera.

#### Praktyczny scenariusz problemu
Firma Siemens musi ustandaryzować Azure Virtual Desktop w regionach Europa Zachodnia i Indie Południowe, używając hostów Windows 11 Enterprise multi-session. Wymagają powtarzalnej personalizacji obrazu, szybkich wdrożeń, bezpiecznego wycofywania zmian oraz możliwości obsługi zarówno aplikacji Microsoft 365, jak i dodatku do aplikacji biznesowej (LOB). W centralnej sieci VNet (hub VNet) w Europie istnieje zarządzana domena Azure AD DS, a Siemens planuje wdrożyć pule hostów w trybie puli (pooled) w obu regionach.

1) Przygotuj rozpoznawanie nazw i wymagania wstępne dołączenia do domeny
 - Działanie: Ustaw serwery DNS w obu sieciach VNet na adresy IP usługi Azure AD DS i upewnij się, że peering VNet zezwala na przekierowany ruch DNS.
 - Uzasadnienie: Hosty sesji muszą być w stanie rozpoznać nazwę zarządzanej domeny, aby dołączyć do AD DS. Wcześniejsza aktualizacja DNS w sieciach VNet zapobiega błędom podczas dołączania i zapewnia rozpoznawanie Kerberos oraz LDAP.

2) Zbuduj złoty obraz za pomocą Azure Image Builder
 - Działanie: Rozpocznij od obrazu z Marketplace „Windows 11 Enterprise multi-session + Microsoft 365 Apps”. Użyj Azure Image Builder, aby dodać FSLogix, Defender for Endpoint, pakiety językowe i standardy bezpieczeństwa; następnie uruchom Windows Update i generalizację za pomocą sysprep.
 - Uzasadnienie: AIB gwarantuje powtarzalny, audytowalny potok, który minimalizuje odchylenia i tworzy zapieczętowany obraz, zapewniając, że każdy host jest identyczny i zgodny z wymaganiami.

3) Opublikuj i zreplikuj za pomocą Azure Compute Gallery
 - Działanie: Opublikuj przechwycony obraz jako wersję 1.0.0 w Azure Compute Gallery i zreplikuj go do regionów Europa Zachodnia i Indie Południowe. Oznacz wersję 1.0.0 jako najnowszą; podczas przygotowywania wersji 1.1.0, ustaw dla niej flagę `ExcludeFromLatest` do czasu zakończenia walidacji.
 - Uzasadnienie: Replikacja w galerii umieszcza obraz blisko miejsca tworzenia hostów, co przyspiesza provisioning i umożliwia kontrolowaną promocję wersji za pomocą flag `latest` i `exclusion`.

4) Zautomatyzuj provisionowanie puli hostów i maszyn wirtualnych za pomocą Bicep
 - Działanie: Wdróż pule hostów, grupy aplikacji i plany skalowania jako kod. Utwórz hosty sesji z wersji obrazu w galerii, używając sparametryzowanego szablonu Bicep, który instaluje agenta AVD ze świeżo wygenerowanym tokenem rejestracyjnym i wykonuje dołączenie do domeny AD DS za pomocą rozszerzenia dołączania do domeny.
 - Uzasadnienie: Infrastruktura jako kod (IaC) zapewnia spójność między regionami, sprawia, że wdrożenia są idempotentne i usprawnia rejestrację w brokerze przy minimalnej liczbie kroków manualnych.

5) Przeprowadź walidację w dedykowanej puli hostów walidacyjnych
 - Działanie: Uruchom małą pulę hostów walidacyjnych w regionie Europa Zachodnia, włącz dla niej środowisko walidacyjne i skieruj do niej grupę pilotażową. Zmierz wydajność logowania, zachowanie FSLogix i liczniki grafiki; rozwiąż zidentyfikowane problemy, a następnie usuń flagę `ExcludeFromLatest` z wersji 1.1.0.
 - Uzasadnienie: Wczesne wykrywanie regresji zapobiega szerokiemu wpływowi na użytkowników i pozwala firmie Siemens promować tylko sprawdzone obrazy.

6) Przeprowadź wdrożenie produkcyjne z zabezpieczeniem na wypadek wycofania zmian
 - Działanie: Dodaj nowe hosty w obu regionach z obrazu w wersji 1.1.0. Umieść stare hosty w trybie drenażu, a po zakończeniu sesji użytkowników dokonaj ich dealokacji i usunięcia. Zachowaj wersję 1.0.0 dostępną przez dwa cykle wydawnicze.
 - Uzasadnienie: Wymiana w stylu blue-green pozwala uniknąć odchyleń wynikających z modyfikacji w miejscu i umożliwia natychmiastowe wycofanie zmian poprzez provisionowanie z poprzedniego obrazu, jeśli pojawią się problemy.

7) Ciągle wzmacniaj bezpieczeństwo i zarządzaj
 - Działanie: Zastosuj Azure Policy, aby ograniczyć dozwolone obrazy i wymagane rozszerzenia, włącz rekomendacje Defender for Cloud i przechowuj profile FSLogix na Azure NetApp Files, aby zapewnić przewidywalną, wysoką wydajność.
 - Uzasadnienie: Ciągłe zarządzanie i wysokowydajne przechowywanie profili utrzymują jakość doświadczenia użytkownika na dużą skalę, jednocześnie zachowując pożądaną postawę bezpieczeństwa.

---

← [Sieci](/pl/posts/az-140-networking/)  ·  [Wszystkie domeny](/pl/posts/az-140-study-guide/)  ·  [FSLogix](/pl/posts/az-140-fslogix-profiles/) →

**[Przećwicz te pytania →](/pl/kb/microsoft/)**  ·  **[Testy na czas na ExamRoll.io →](https://www.examroll.io/?utm_source=guide&utm_medium=referral&utm_campaign=az-140)**