In einigen Azure-Umgebungen dürfen neu erstellte Sitzungshost-VMs keine Verbindung zum Internet herstellen. Dies kann mit benutzerdefiniertem Routing und NSG (Netzwerksicherheitsgruppen) auf Ebene des virtuellen Netzwerks oder mit Proxy-Einstellungen oder benutzerdefinierten Sicherheitskonfigurationen erfolgen, die über Active Directory GPO auf die Sitzungshost-VMs übertragen werden.
Damit Nerdio Manager die Erstellung und Verwaltung von AVD-Sitzungshost-VMs automatisieren kann, muss der folgende Zugriff auf Azure- und Microsoft-Dienste möglich sein.
Anmerkung
Weitere Informationen oder URLs, die für Azure US Government-Tenants erforderlich sind, finden Sie unter Erforderliche URL-Liste.
Tabelle 3.
|
Adresse |
Ausgehender TCP-Port |
Zweck |
Dienst-Tag |
|---|---|---|---|
|
login.microsoftonline.com |
443 |
Authentifizierung bei Microsoft Online-Diensten |
N/V |
|
nmwextensions.blob.core.windows.net |
443 |
Nerdio |
(siehe wichtige Hinweise unten) |
|
*.wvd.microsoft.com |
443 |
Dienstverkehr |
|
|
*.prod.warm.ingest.monitor.core.windows.net |
443 |
Agentendatenverkehr |
AzureCloud |
|
catalogartifact.azureedge.net |
443 |
Azure Marketplace |
AzureFrontDoor.Frontend |
|
gcs.prod.monitoring.core.windows.net |
443 |
Agentendatenverkehr |
AzureCloud |
|
kms.core.windows.net |
1688 |
Windows-Aktivierung |
Internet |
|
azkms.core.windows.net |
1688 |
Windows-Aktivierung |
Internet |
|
mrsglobalsteus2prod.blob.core.windows.net |
443 |
Updates für Agent und SXS-Stack |
AzureCloud |
|
wvdportalstorageblob.blob.core.windows.net |
443 |
Azure-Portal-Support |
Azure Cloud |
|
169.254.169.254 |
80 |
N/A |
|
|
168.63.129.16 |
80 |
N/A |
|
|
oneocsp.microsoft.com |
80 |
Zertifikate |
N/A |
|
www.microsoft.com |
80 |
Zertifikate |
N/A |
|
Das Storage-Konto von Nerdio Manager cssa. Die Adresse dieses Storage-Kontos ist für jede Nerdio Manager Installation eindeutig. Für die öffentliche Azure-Cloud beginnt sie mit cssa und endet mit blob.core.windows.net. |
N/V |
Installation des AVD-Agenten, des FSLogix-Agenten und einiger anderer Tools. |
N/V |
Warnung
-
Microsoft hat die Umstellung von den in der folgenden Tabelle aufgeführten URLs, die zuvor für den Agentendatenverkehr verwendet wurden, abgeschlossen. Diese URLs werden nicht mehr unterstützt. Um zu verhindern, dass Ihre Sitzungshost-VMs den Status Benötigt Unterstützung anzeigen, stellen Sie sicher, dass Sie *.prod.warm.ingest.monitor.core.windows.net zulassen, falls Sie dies noch nicht getan haben. Wenn Sie die veralteten URLs zuvor explizit zugelassen haben, stellen Sie außerdem sicher, dass Sie diese entfernen.
-
Die Azure DSC-Erweiterung ist nicht mehr als dediziertes Azure-Tag verfügbar und wird am 31. März 2028 eingestellt. Bevor Sie die DSC-Erweiterung aktivieren, beachten Sie bitte, dass eine neuere Version von DSC jetzt allgemein verfügbar ist, die Azure Machine Configuration heißt. Der Azure Machine Configuration-Dienst umfasst Funktionen der DSC-Erweiterung sowie häufig angeforderte Funktionen aus dem Kundenfeedback von Microsoft. Azure Machine Configuration umfasst zudem Unterstützung für Hybridcomputer durch Arc-fähige Server.
Weitere Details finden Sie unter Einführung in den Azure Desired State Configuration-Erweiterungshandler.
-
Microsoft ist dazu übergegangen, umfassendere Tags zu verwenden, die die DSC-Erweiterungsfunktionalität abdecken. Um sicherzustellen, dass die DSC-Erweiterung weiterhin ordnungsgemäß funktioniert, empfiehlt Microsoft insbesondere die Verwendung der folgenden Tags:
-
AzureAutomation: Ermöglicht Azure Automation DSC die Kommunikation mit dem Automatisierungsdienst und das Abrufen von Konfigurationen.
-
GuestAndHybridManagement: Ermöglicht die Verwaltung von VM-Erweiterungen, einschließlich DSC.
-
Speicher: Erforderlich, wenn die DSC-Konfigurationen, Skripte oder Module in einem Azure-Speicherkonto gespeichert sind.
-
KeyVault: Erforderlich, wenn die DSC-Erweiterung Anmeldeinformationen oder Geheimnisse aus Azure Key Vault abruft.
-
Tabelle 4. Nicht mehr unterstützt
|
Adresse |
Ausgehender TCP-Port |
Zweck |
Tag |
|---|---|---|---|
|
production.diagnostics.monitoring.core.windows.net |
443 |
Agentendatenverkehr |
AzureCloud |
|
*xt.blob.core.windows.net |
443 |
Agentendatenverkehr |
AzureCloud |
|
*eh.servicebus.windows.net |
443 |
Agentendatenverkehr |
AzureCloud |
|
*xt.table.core.windows.net |
443 |
Agentendatenverkehr |
AzureCloud |
|
*xt.queue.core.windows.net |
443 |
Agentendatenverkehr |
AzureCloud |
Für Azure Virtual Desktop-Sitzungshosts müssen zusätzliche Ports geöffnet werden, wenn Dateifreigaben für FSLogix verwendet werden. Weitere Informationen zu den Netzwerkanforderungen für FSLogix finden Sie in diesem Microsoft Artikel.
|
Adresse |
Ausgehender TCP-Port |
Zweck |
Tag |
|---|---|---|---|
|
[FQDN des Speichers] |
445 |
SMB-Zugriff auf FSLogix-Datenfreigaben |
N/V |
Die folgende Tabelle enthält optionale URLs, auf die Ihre virtuellen Sitzungshost-Computer möglicherweise auch für andere Dienste zugreifen müssen:
Tabelle 5.
|
Adresse |
Ausgehender TCP-Port |
Zweck |
|---|---|---|
|
login.windows.net |
443 |
Bei Microsoft Online Services und Microsoft 365 anmelden |
|
*.events.data.microsoft.com |
443 |
Telemetriedienst |
|
www.msftconnecttest.com |
443 |
Erkennt, ob der Sitzungshost mit dem Internet verbunden ist |
|
*.prod.do.dsp.mp.microsoft.com |
443 |
Windows Update |
|
*.sfx.ms |
443 |
Updates für die OneDrive-Clientsoftware |
|
*.cloud.microsoft |
443 |
Microsoft 365-Webdarstellungen, einschließlich OneDrive im Web ( |
|
*.digicert.com |
443 |
Zertifikatssperrprüfung |
|
*.azure-dns.com |
443 |
Azure DNS-Auflösung |
|
*.azure-dns.net |
443 |
Azure DNS-Auflösung |
|
raw.githubusercontent.com |
443 |
NVIDIA GPU-Treiber |
|
download.microsoft.com |
443 |
NVIDIA GPU-Treiber |
Anmerkung
OneDrive im Web wechselt zur Adresse onedrive.cloud.microsoft. Wenn Ihre Sitzungshosts das Internet nur über Adressen erreichen, die Sie explizit zugelassen haben, lassen Sie *.cloud.microsoft zu, damit User OneDrive weiterhin in einem Browser öffnen können. Weitere Einzelheiten finden Sie unter OneDrive-Übergang zur cloud.microsoft-Domäne: Was muss ich wissen und tun?
Neben den oben genannten Verbindungen rufen einige Scripted Actions und Nerdio Manager Funktionen Binärdateien von verschiedenen Websites ab, wie z. B. offiziellen Download-Seiten und Open-Source-GitHub-Repos. Sie sollten diese Adressen in Ihre Firewall-Ausschlüsse aufnehmen, wenn Sie die automatisierte Bereitstellung für die aufgeführten Anwendungen nutzen.
Tabelle 6.
|
Adresse |
Port |
Scripted Actions |
Details |
|---|---|---|---|
|
github.com |
443 |
WVD-Optimierung |
Ruft zusätzlichen Code ab |
|
teams.microsoft.com |
443 |
MS Teams installieren |
Lädt MS Teams-Client herunter |
|
microsoft.com |
443 |
Office 365 installieren |
ODT-Tool herunterladen |
|
support.zoom.us |
443 |
Zoom VDI installieren |
Zoom VDI-Client herunterladen |
|
s3.amazonaws.com |
443 |
ControlUp-Agent installieren |
Lädt den ControlUp-Agent herunter |
Bei Bedarf ist es möglich, die Skripte zu lesen und die entsprechenden Downloads abzurufen, die Dateien dann selbst zu hosten und den Code der Scripted Actions so zu ändern, dass er auf Ihre eigenen Server verweist. Dies ermöglicht eine weitere Kontrolle für stark eingeschränkte Umgebungen, kann jedoch zu erhöhtem Wartungsaufwand und höherer Komplexität führen.
Warnung
-
Die Azure-Plattform bindet eine ISO-Datei in das DVD-ROM-Laufwerk ein, wenn eine Windows-VM aus einem generalisierten Image erstellt wird. Aus diesem Grund muss das DVD-ROM-Laufwerk im Betriebssystem des generalisierten Images aktiviert sein. Wenn es deaktiviert ist, bleibt die Windows-VM bei OOBE hängen.
-
Die von Nerdio Manager verwendeten Azure DSC-Erweiterungen nutzen PowerShell und WinRM. Stellen Sie sicher, dass WinRM auf Sitzungshost-VMs nicht deaktiviert ist und dass nicht signierte PowerShell-Skripts auf diesen VMs ausgeführt werden können. Wenn eine GPO WinRM und/oder nicht signierte Skripts einschränkt, schließen Sie die Organisationseinheit (OU), die die Sitzungshosts enthält, aus oder erstellen Sie einen Namenspräfix-Ausschluss.
Kommentare (0 Kommentare)