Anmerkung
Diese Funktion ist nur in der Edition Nerdio ManagerPremium verfügbar.
Traditionelle Nerdio Manager-Bereitstellungen sollten den Schritten und Anweisungen in unserem Installationshandbuch folgen. Weitere Informationen finden Sie im Nerdio Manager Installationshandbuch. Die hier beschriebenen erweiterten Installationsmethoden sollten nur in spezifischen, gerechtfertigten Situationen verwendet werden.
Warnung
Dies ist eine erweiterte, benutzerdefinierte Installation von Nerdio Manager, die nur für besondere Umstände empfohlen wird. Bitte verwenden Sie dies mit dem Rat und der Anleitung des Nerdio-Support. Bitte kontaktieren Sie uns bei Fragen unter: nme.support@getnerdio.com.
Die standardmäßige und gebräuchlichste Methode zur Installation von Nerdio Manager ist die Bereitstellung in einem einzelnen Azure-Mandanten, der sowohl User und Gruppen (den Identitätsmandanten) als auch die VMs und Sitzungshosts (den Bereitstellungsmandanten) enthält.
Es ist auch möglich, Nerdio Manager so zu installieren, dass separate Azure-Tenants für Identität und Bereitstellung verwendet werden. Dies nennen wir eine Bereitstellung mit „getrennter Identität“.
-
Alle abrechenbaren Ressourcen (Nerdio Manager unterstützende Komponenten, VMs, Netzwerkmanagement, Speicher etc.) werden in einem Abonnement innerhalb des Bereitstellungsmandanten bereitgestellt.
-
Alle User, Gruppen und AVD-Ressourcen werden in einem Abonnement innerhalb des Identitätsmandanten bereitgestellt.
-
Die im Identitätsmandanten bereitgestellten AVD-Ressourcen umfassen Workspaces, Hostpools und App-Gruppen. Dies sind alles nicht abgerechnete Ressourcen, die im Identitäts-Mandanten existieren, damit User und Gruppen zugewiesen werden können.
-
Die Ressourcen im Deployment-Tenant sind bei den AVD-Komponenten innerhalb des Identitäts-Tenant registriert.
-
Voraussetzungen und Anforderungen:
-
Die Installation erfordert die Ausführung eines PowerShell-Skripts (erfordert Az-Module). Die Cloud Shell oder automatisierte Methoden unterstützen keine erweiterten Installationen.
-
Der Azure-Tenant, der die User-Konten enthält (Identity-Tenant), sollte ein finanziertes Azure-Abonnement enthalten. Dies ist eine Anforderung dafür, dass AVD die Workspaces und Hostpools registrieren kann.
-
Globaler Administrator oder privilegierter Rollenadministrator in Kombination mit Cloud-Anwendungsadministrator sowie ein Cloud-natives User-Konto als Owner im Deployment-Tenant (empfohlen wird *onmicrosoft.com).
-
Globaler Administrator oder privilegierter Rollenadministrator in Kombination mit Cloud-Anwendungsadministrator sowie ein Cloud-natives User-Konto als Owner im Identitäts-Tenant (empfohlen wird *onmicrosoft.com).
-
Der Deployment-User sollte als Gast-User in den Identity-Tenant eingeladen werden und die Owner-Rechte als globaler Admin oder privilegierter Rollenadministrator in Kombination mit Cloud-Anwendungsadministrator sowie als Owner des Abonnements erhalten.
Anmerkung
Dies ist temporär und gilt nur für die anfängliche Bereitstellung und Konfiguration. Sobald abgeschlossen, sollte der Gast-User aus dem Deployment-Tenant entfernt und die Rechte entzogen werden.
-
Der Identity-Tenant benötigt ein Azure-Abonnement, damit die AVD-Ressourcen registriert werden können. Dies ist eine Anforderung von AVD und nicht Nerdio Manager.
Das folgende Verfahren beschreibt, wie eine Nerdio Manager Split Identity Installation durchgeführt wird.
So führen Sie eine Split Identity Installation durch:
-
Stellen Sie vom Deployment-Tenant aus Nerdio Manager über den Azure Marketplace in einer neuen (leeren) Ressourcengruppe bereit. Folgen Sie dem normalen Installationsprozess und laden Sie das Az PowerShell-Skript für die Konfiguration herunter.
-
Das PowerShell-Skript fragt nach Anmeldedaten und bittet um Bestätigung, ob Sie eine Split Identity-Konfiguration installieren.
-
Melden Sie sich bei der ersten Authentifizierungsaufforderung, bei der Sie sich bei Azure im Deployment-Tenant authentifizieren, als Deployment-Admin-User an.
-
Melden Sie sich bei der zweiten Authentifizierungsaufforderung, bei der Sie sich bei Entra ID im Deployment-Tenant authentifizieren, als Deployment-Admin-User an.
-
Eine dritte Authentifizierungsaufforderung erscheint, bei der Sie sich bei Azure im Identity-Tenant authentifizieren. Melden Sie sich als Identity-Admin-User an.
-
Wenn das Skript 'User '<identity_user_upn>' returned by service does not match user '<deployment_user_upn>' in the request zurückgibt, stellen Sie bitte sicher, dass bei der Authentifizierung mit dem Identity-Userkonto alle anderen im Authentifizierungsdialog aufgeführten User auf 'Abmelden und vergessen' gesetzt werden, um zu vermeiden, dass sich PowerShell mit dem falschen User authentifiziert. Windows hat möglicherweise die Anmeldung des Deployment-Admin-Kontos (oder anderer User) gespeichert.
-
Ein Auswahlfenster wird angezeigt. Wählen Sie das Abonnement aus, das die AVD-Komponenten im Identitäts-Tenant enthalten soll.
-
PowerShell authentifiziert sich möglicherweise automatisch mit gespeicherten Anmeldedaten aus Windows. Falls dies der Fall ist, versuchen Sie es bitte von einer (temporär) neu bereitgestellten Azure-VM aus, um diese Probleme mit gespeicherten Anmeldedaten zu vermeiden.
-
-
Melden Sie sich bei der vierten und letzten Authentifizierungsaufforderung, bei der Sie sich bei Entra ID im Identitäts-Tenant authentifizieren, als Identity-Admin-User an.
-
-
Lassen Sie zu, dass der Rest des Installationsskripts erfolgreich abgeschlossen wird. Stellen Sie sicher, dass Sie die Entra ID-Zustimmung des Administrators erteilen, wenn Sie dazu aufgefordert werden.
Anmerkung
Es kann zwei Aufforderungen zur Zustimmung geben. Stellen Sie sicher, dass Sie sich mit den übereinstimmenden User-Konten authentifizieren (die Zustimmung für den Bereitstellungs-Tenant sollte zuerst angefordert werden).
Sobald die Installation abgeschlossen ist, muss die Split Identity-Konfiguration durchgeführt werden.
So konfigurieren Sie Split Identity:
-
Sobald das Installationsskript beendet ist, suchen und wählen Sie im Identitäts-Tenant unter AzureAD unter Enterprise-Anwendungen 'nerdio-nmw-app' aus und wählen Sie dann Benutzer und Gruppen.
-
Wählen Sie User/Gruppe hinzufügen, suchen und wählen Sie dann das eingeladene Gast-Bereitstellungsadministrator-Konto aus, weisen Sie die Rolle 'WVD Admin' zu und wählen Sie dann Speichern.
-
Öffnen Sie die Nerdio Manager URL erneut und authentifizieren Sie sich als Bereitstellungs-Admin-User.
-
Folgen Sie dem Assistenten und verlinken Sie bei Bedarf Netzwerkmanagement und Ressourcengruppen im Deployment-Tenant.
-
Sobald der Konfigurationsassistent abgeschlossen ist, melden Sie sich mit dem Identitäts-Admin-User-Konto an der Nerdio Manager URL an.
-
Navigieren Sie zu System > Einstellungen > Azure.
-
Wählen Sie im Bereich Verknüpfte Ressourcengruppen die Option Link.
-
Die Liste sollte die verfügbaren Ressourcengruppen innerhalb des Identitäts-Tenants anzeigen. Wählen Sie die Ressourcengruppe aus, die die AVD-Ressourcen innerhalb des Identitäts-Tenants (Workspaces, Hostpools, App-Gruppen etc.) enthalten soll, und verlinken Sie diese.
Anmerkung
-
Dies sind nicht abrechenbare Ressourcen, die sich innerhalb desselben Tenants befinden müssen wie die Benutzer und Gruppen, die AVD zugewiesen sind.
-
Beim Erstellen eines neuen Workspace (als Identitäts-Administrator) sollten die verfügbaren Ressourcengruppen auf die verknüpften Ressourcengruppen im Identitäts-Abonnement beschränkt sein.
-
-
-
Berechtigen Sie nach dem Erstellen eines neuen Workspace zusätzliche Administratorbenutzer aus dem Identitäts-Tenant innerhalb von Nerdio Manager.
Nachdem die Split Identity-Konfiguration durchgeführt wurde, müssen Sie die Berechtigungen und die Zustimmung überprüfen. Während der Anwendungsinstallation sollten Pop-up-Fenster erscheinen, die um Zustimmung zu den Berechtigungen bitten, aber bitte überprüfen Sie, ob die Berechtigungen in beiden Tenants für die Nerdio Manager-Anwendung erteilt wurden.
So überprüfen Sie Berechtigungen und Zustimmung:
-
Überprüfen Sie in Entra ID im Deployment-Tenant, ob die API-Berechtigungen erfolgreich für die Anwendung erteilt wurden. Suchen Sie in Entra ID unter App-Registrierungen, Alle Anwendungen, nach 'nerdio-nmw-app' und wählen Sie das Menü API-Berechtigungen aus.
Anmerkung
Alle aufgeführten Berechtigungen sollten mit einem grünen Häkchen versehen sein. Falls eine Berechtigung nicht mit einem grünen Häkchen versehen ist, wählen Sie bitte die Schaltfläche 'Administratoreinwilligung erteilen'. Nun sollten alle mit grünen Häkchen versehen sein.
-
Überprüfen Sie in Entra ID im Deployment-Tenant, ob die Dienstprinzipalberechtigungen erfolgreich erteilt wurden. Suchen Sie in Entra ID unter Unternehmensanwendungen nach 'nerdio-nmw-app' und wählen Sie das Menü Berechtigungen aus.
Anmerkung
Alle aufgeführten Berechtigungen sollten unter „Erteilt durch“ einen Wert anzeigen. Dort könnte „Ein Administrator“ oder ein Benutzername stehen. (Beides ist in Ordnung.)
-
Überprüfen Sie innerhalb des Entra ID des Identitäts-Tenants, ob die Dienstprinzipalberechtigungen erfolgreich erteilt wurden. Suchen Sie in Entra ID unter Unternehmensanwendungen nach 'nerdio-nmw-app' und wählen Sie das Menü Berechtigungen aus.
Anmerkung
Alle aufgeführten Berechtigungen sollten unter „Erteilt durch“ einen Wert anzeigen. Dort könnte „Ein Administrator“ oder ein Benutzername stehen. (Beides ist in Ordnung.)
Sobald alle Konfigurationsschritte abgeschlossen sind, muss eine Bereinigung durchgeführt werden.
So führen Sie die Bereinigung nach der Installation durch:
-
Die für die Split Identity-Installation verwendeten Admin-User-Konten können entweder gelöscht oder ihnen die globalen Admin- bzw. Abonnement-Owner-Berechtigungen entzogen werden.
-
Der Deployment-Admin-User, der als Gast zum Identitäts-Tenant eingeladen wurde, sollte als AVD-Administrator innerhalb von Nerdio Manager unter System > RBAC > Zuweisungen entfernt werden.
-
Das Gastkonto des Deployment-Admin-Users sollte ebenfalls aus dem Identitäts-Tenant gelöscht werden (in Entra ID unter Benutzer).
Split-Identity-Installationen unterstützen die folgenden Szenarien nicht:
-
Cloud-übergreifende Umgebungen werden nicht unterstützt. Die Ziel-Tenants müssen vom gleichen Typ sein (global-global, gov-gov).
-
Entra ID-verbundene Ressourcen werden nicht unterstützt. Nur Domäne und Entra ID Domain Services werden unterstützt.
-
AVD Monitor Insights wird nicht unterstützt.
-
Start on Connect wird nicht unterstützt.
-
Die Ergebnisse der Kostenverteilung nach User können Variable aufweisen. Das Feature wird nicht unterstützt.
-
Die Ergebnisse der Unified Endpoint Management Intune-Integration können Variable aufweisen. Das Feature wird nicht unterstützt.
Kommentare (0 Kommentare)