Die Funktion „Unified Application Management“ in Nerdio Manager verwendet das Winget Microsoft-Paketverwaltungstool, um Anwendungen innerhalb Ihrer Azure Virtual Desktop-Instanz zu installieren, zu entfernen und zu verwalten. Alle Aktionen werden im administrativen Benutzerkontext ausgeführt, daher muss ein Dienstkonto verfügbar sein, um diese Aktionen durchzuführen. Dies ist für Winget-Bereitstellungen sowohl auf AVD- als auch auf Intune-Geräten erforderlich. Standardmäßig verwendet Nerdio Manager ein lokales Benutzerkonto, das automatisch durch die Nerdio-Anwendungsbereitstellungsaufgabe erstellt wird. Alternativ können Kunden, die Active Directory und Gruppenrichtlinie verwenden, bei Bedarf ein dediziertes Dienstkonto bereitstellen. Anleitungen hierzu finden Sie im Abschnitt Active Directory-Dienstkonto.
Standardprozess zur Anmeldeinformationsverwaltung – Lokales Konto (Nerdio Manager v6.5 und höher)
Standardmäßig erstellt und verwendet Nerdio Manager ein lokales Benutzerkonto, um die Bereitstellung von Winget-Anwendungen über die UAM-Funktion zu erleichtern. Nach der Erstellung werden den Anmeldedaten ein zufällig generiertes 30-stelliges Passwort zugewiesen, das 10 Sonderzeichen enthält. Das Passwort ist pro Desktop eindeutig, wodurch sichergestellt wird, dass die Anmeldeinformation nicht für den Zugriff auf andere Desktops in der Umgebung verwendet werden kann.
Wenn eine Anwendungsbereitstellungsaufgabe stattfindet, wird das Dienstkonto:
-
Aktiviert
-
Mit einem rotierten Passwort versehen
-
Der lokalen Administratorgruppe hinzugefügt, um die Installationsaufgabe auszuführen
Sobald die Aufgabe abgeschlossen ist, wird das Dienstkonto:
-
Deaktiviert
-
Wird aus der lokalen Administratorgruppe entfernt
-
Wird mit einem rotierten Passwort versehen.
Die Anmeldedaten für das Dienstkonto werden an keinem Ort gespeichert und vor der Verwendung aktualisiert.
Credential Manager-Dienstkonto (vor Nerdio Manager v6.5)
Vor v6.5 verwaltet Nerdio Manager die Erstellung und Verwendung eines lokalen Administratorkontos auf der Ziel-VM mithilfe des Credential Manager-Tools, das Anmeldedaten sicher auf dem Ziel-Desktop speichert. Diese Anmeldedaten dürfen nur von einem Mitglied der lokalen Administratorgruppe gelesen werden.
Nach der Erstellung werden den Anmeldedaten ein zufällig generiertes, 30-stelliges Passwort zugewiesen, das 10 Sonderzeichen enthält. Das Passwort ist pro Desktop eindeutig, wodurch sichergestellt wird, dass die Anmeldedaten nicht für den Zugriff auf andere Desktops in der Umgebung verwendet werden können.
Diese Anmeldedaten werden direkt auf dem Desktop vom Credential Manager abgerufen, wenn eine Aktion zugewiesen wurde (installieren, aktualisieren, entfernen). Die Anmeldedaten verbleiben auf dem Ziel-Desktop und sind nicht in Skripten enthalten, die zur Verwaltung der Anwendung verwendet werden.
Active Directory-Dienstkonto
Warnung
Ein vom Kunden erstelltes Active Directory-Dienstkonto ist in den meisten Fällen nicht erforderlich. Um dieses Thema weiter zu besprechen, wenden Sie sich bitte an den Nerdio-Support.
In seltenen Fällen erfordert Unified Application Management für eine optimale Funktion ein Domänen-Dienstkonto, um WinGet-Installations- und Deinstallationsaktionen durchzuführen. Dieses Dienstkonto muss über lokale Administratorrechte auf den Desktops verfügen, auf denen es Anwendungen verwaltet. Zusätzlich muss für dieses Dienstkonto die Multi-Faktor-Authentifizierung deaktiviert sein.
Dieses Dokument bietet Anleitungen für die Erstellung und Zuweisung von Berechtigungen für das Dienstkonto in Active Directory (AD), Entra Domain Services und Szenarien mit hybrider Einbindung. Wir empfehlen außerdem, eine Azure-Richtlinie für bedingten Zugriff zuzuweisen, um den Zugriff auf eine Reihe vordefinierter Netzwerke zu beschränken.
Anmerkung
Für die Durchführung dieser Aufgaben sind Berechtigungen als Active Directory-Domänenadministrator erforderlich.
-
Stellen Sie in Ihrer Active Directory-Benutzer und -Computer (ADUC)-Konsole sicher, dass Ihre Azure Virtual Desktop (AVD)-Sitzungshosts in einer dedizierten AVD-Organisationseinheit (OU) enthalten sind. Wenn Ihre AVD-Desktops derzeit mit dem restlichen Bestand vermischt sind, sollte eine verschachtelte OU erstellt und die AVD-Desktops an diesen Ort verschoben werden. Dies ermöglicht die Anwendung bestehender Gruppenrichtlinien, erlaubt uns aber auch, eine neue Richtlinie auf unsere AVD-Desktops als Ziel anzuwenden. Wenn Ihre AVD-Desktops auf mehrere dedizierte OUs verteilt sind, richten Sie alle in diesem Dokument beschriebenen Richtlinien auf alle AVD-OUs als Ziel aus.
-
Stellen Sie in Ihrer ADUC-Konsole sicher, dass eine dedizierte OU für Dienstkonten vorhanden ist. Dies ermöglicht es uns, eine neue Richtlinie so zuzuweisen, dass die interaktive Anmeldung an unserem Dienstkonto verweigert wird.
Anmerkung
Diese Einschränkung kann auch auf eine Gruppe von Dienstkonten angewendet werden. Wenn diese in Ihrer Umgebung bereits vorhanden ist, fügen Sie bitte das neue Dienstkonto der Gruppe hinzu und wenden Sie die bestehende Richtlinie auf Ihre AVD-Desktop-OU als Ziel an.
-
Erstellen Sie innerhalb der dedizierten OU für Dienstkonten ein neues User-Konto gemäß Ihren internen Namenskonventionen. Legen Sie ein hochkomplexes Passwort fest und aktivieren Sie als einzige Erstellungsoption „Passwort läuft nie ab“. Erfassen Sie das Konto- und Passwortpaar in Ihrem unternehmenseigenen Schlüsselverwaltungssystem.
Die erste zu erstellende Richtlinie weist dem Dienstkonto lokale Administratorberechtigungen auf AVD-Desktops zu.
So erstellen Sie die Richtlinie für lokale Administratoren:
-
Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole der Domäne.
-
Klicken Sie mit der rechten Maustaste auf Gruppenrichtlinienobjekte und wählen Sie Neu.
-
Vergeben Sie einen geeigneten Namen gemäß Ihren unternehmensweiten Namenskonventionen. Wir verwenden COMP_ManageAVDLocalAdministrator.
-
Klicken Sie nach der Erstellung mit der rechten Maustaste darauf und wählen Sie Bearbeiten.
-
Navigieren Sie zu Computerkonfiguration > Einstellungen > Systemsteuerungseinstellungen > Lokale Benutzer und Gruppen.
-
Klicken Sie im mittleren Bereich mit der rechten Maustaste und wählen Sie Neu > Lokale Gruppe.
-
Geben Sie im Popup-Fenster die folgenden Informationen ein:
-
Aktion: Auf aktualisieren setzen.
-
Gruppenname: Wählen Sie „...“ und dann Administratoren (integriert) aus.
-
-
Sobald Sie alle erforderlichen Informationen eingegeben haben, wählen Sie Hinzufügen und dann OK.
Die erste Richtlinie wurde erstellt.
-
Kehren Sie zur Hauptseite der Gruppenrichtlinie zurück.
-
Navigieren Sie zu der AVD-Organisationseinheit (OU), in der sich die AVD-Desktopobjekte befinden.
-
Klicken Sie mit der rechten Maustaste auf diese Organisationseinheit (OU) und wählen Sie Vorhandenes GPO verlinken….
-
Wählen Sie die oben erstellte Richtlinie aus und klicken Sie auf OK.
Die erste Richtlinie ist nun verlinkt.
Diese Richtlinie verhindert, dass das Dienstkonto für die direkte Anmeldung an einem Desktop verwendet wird. Dies ist ein optionaler, aber empfohlener Schritt.
Um die Richtlinie zu erstellen, sind die Schritte ähnlich wie beim vorherigen Vorgang.
-
Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole der Domäne. Klicken Sie mit der rechten Maustaste auf Gruppenrichtlinienobjekte und wählen Sie Neu. Vergeben Sie einen geeigneten Namen gemäß Ihren unternehmensweiten Namenskonventionen. We will use COMP_DenyAppServiceAccountInteractiveLogon.
-
Klicken Sie mit der rechten Maustaste auf Gruppenrichtlinienobjekte und wählen Sie Neu.
-
Vergeben Sie einen geeigneten Namen gemäß Ihren unternehmensweiten Namenskonventionen. We use COMP_DenyAppServiceAccountInteractiveLogon.
-
Klicken Sie nach der Erstellung mit der rechten Maustaste darauf und wählen Sie Bearbeiten.
-
Navigieren Sie zu Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Zuweisen von Benutzerrechten.
-
Bearbeiten Sie die Einstellungen für Anmelden über Remote-Desktop-Dienste verweigern und Lokale Anmeldung verweigern. Geben Sie in beiden Fällen Ihr neu erstelltes Dienstkonto an.
-
Schließen Sie das geöffnete Richtlinienfenster und kehren Sie zur Hauptkonsole für die Gruppenrichtlinienverwaltung zurück.
-
Kehren Sie zur Hauptseite der Gruppenrichtlinien zurück und navigieren Sie zur AVD-Organisationseinheit (OU), in der sich die AVD-Desktopobjekte befinden. Klicken Sie mit der rechten Maustaste auf diese Organisationseinheit (OU) und wählen Sie „Vorhandenes GPO verlinken…“. Wählen Sie die oben erstellte Richtlinie aus und klicken Sie auf OK. Die zweite Richtlinie ist nun verlinkt.
-
Navigieren Sie zu der AVD-Organisationseinheit (OU), in der sich die AVD-Desktopobjekte befinden.
-
Klicken Sie mit der rechten Maustaste auf diese Organisationseinheit (OU) und wählen Sie Vorhandenes GPO verlinken….
-
Wählen Sie die oben erstellte Richtlinie aus und klicken Sie auf OK.
Die zweite Richtlinie ist nun verlinkt.
Die Funktion für das UAM-Servicekonto sollte nur verwendet werden, wenn dies vom Nerdio-Support oder den Engineering-Teams empfohlen wird. Standardmäßig ist die Option zum Konfigurieren eines Servicekontos ausgeblendet.
So aktivieren Sie das Dienstkonto:
-
Fügen Sie die folgende App Service-Einstellung zu Ihrer Nerdio Manager-Umgebung hinzu.
Anwendungseinstellung
Werte
Beschreibung
Features:UamServiceAccountsBoolescher Wert
Standard: False
True
Aktivieren Sie das UI-Element für das Servicekonto, um die Verwendung von Domänen-Servicekonten zu ermöglichen. Dies gilt nur für Geräte, die in das AD eingebunden sind.
-
Starten Sie nach der Konfiguration die Nerdio Manager Webapp neu.
-
Navigieren Sie zu System > Einstellungen > Nerdio.
-
Scrollen Sie nach unten zum Abschnitt Unified Application Management und wählen Sie den Abwärtspfeil aus, um den Abschnitt zu erweitern.
-
Navigieren Sie zum Abschnitt Installation Service Accounts und wählen Sie Hinzufügen aus.
-
Geben Sie die folgenden Informationen ein:
-
Verzeichnis: Wählen Sie aus der Dropdown-Liste den Verzeichnistyp aus.
-
Domäne: Geben Sie die Details der Domäne für das Servicekonto ein.
-
Benutzername: Geben Sie den Benutzernamen für das Servicekonto ein.
-
Passwort: Geben Sie das mit dem Benutzernamen für das Servicekonto verknüpfte Passwort ein.
-
Wählen Sie nach der Konfiguration OK aus.
-
Anmerkung
Die Details des Servicekontos werden bei der Eingabe nicht validiert. Falsche Servicekonten führen zu fehlgeschlagenen Aufgaben beim Versuch, UAM-Anwendungen auf Geräten im Scope bereitzustellen.
Kommentare (0 Kommentare)