Dies ist eine Übergangslösung, bis Microsoft Entra ID mit Kerberos vollständig unterstützt. Anstatt Azure Blob Storage zu verwenden, bietet Azure Files Premium eine schnellere Leistung und unterstützt Backups in Nerdio Manager.
Weitere Details finden Sie unter Store FSLogix-Profilcontainer on Azure Files using Microsoft Entra ID in a cloud only scenario.
Anmerkung
Microsoft hat im November 2025 die Public Preview zur nativ Unterstützung der Cloud-only-Authentifizierung für Azure Files veröffentlicht. Weitere Informationen finden Sie unter Store FSLogix-Profilcontainer on Azure Files using Microsoft Entra ID. Nerdio arbeitet daran, die neue Methode in einer zukünftigen Version nativ zu implementieren.
Warnung
Wenn Ihre Sitzungshosts für Azure Virtual Desktop unter Windows 11 22H2 oder höher ausgeführt werden, entfernt Windows Defender Credential Guard den StorageAccountKey jedes Mal automatisch aus dem Windows-Anmeldeinformations-Manager, wenn ein Sitzungshost gestoppt (dealloziert) wird. Um dies zu verhindern, müssen Sie Credential Guard deaktivieren. Weitere Informationen finden Sie unter Credential Guard overview - Windows Security.
Führen Sie für diese Methode die folgenden Schritte aus:
Der erste Schritt besteht darin, die erforderlichen Azure-Ressourcen zu erstellen. Dies umfasst ein Storage-Konto und eine Datenfreigabe im Storage-Konto.
So erstellen Sie die erforderlichen Azure-Ressourcen:
-
Navigieren Sie in Nerdio Manager zu Cloud-Desktop > Storage > Azure Files.
-
Wählen Sie Add Azure Files.
-
Geben Sie im neuen Dialogfeld die folgenden Informationen ein:
-
Speicherkonto: Geben Sie den Namen für ein neues Speicherkonto ein und wählen Sie dann unter dem Feld Create [your account name] als neues Speicherkonto.
Anmerkung
-
Der Name des Speicherkontos muss innerhalb der Azure-Region global eindeutig sein.
-
Er darf maximal 24 Zeichen, Zahlen und Kleinbuchstaben enthalten und keine Sonderzeichen oder Leerzeichen aufweisen.
-
-
Beschreibung des Speicherkontos: Geben Sie eine aussagekräftige Beschreibung für Ihr Speicherkonto ein.
-
Ressourcengruppe: Wählen Sie aus der Dropdownliste die Ressourcengruppe für das neu erstellte Speicherkonto und die Datenfreigabe aus.
-
Ort: Wählen Sie die Azure-Region aus, in der dieses Speicherkonto und die Datenfreigabe erstellt werden sollen.
Anmerkung
Für AVD-Hostpools muss die Region dieselbe sein wie für die AVD-Sitzungshost-VMs.
-
Leistung: Wählen Sie aus der Dropdownliste die Leistungsstufe für die Azure Files-Datenfreigabe aus.
Tipp
Wir empfehlen Ihnen, Premium für die beste Benutzererfahrung auszuwählen. Beachten Sie, dass diese Einstellung nach der Erstellung des Storage-Kontos nicht mehr geändert werden kann.
-
Replikation: Wählen Sie aus der Dropdownliste den Typ der Speicherreplikation aus. LRS ist vordefiniert.
Anmerkung
-
LRS (lokal redundanter Speicher): Kopiert Ihre Daten synchron dreimal innerhalb eines einzelnen physischen Standorts in der primären Region. LRS ist die kostengünstigste Replikationsoption, wird jedoch nicht für Umgebungen empfohlen, die Hochverfügbarkeit oder Dauerhaftigkeit erfordern. Sie bietet die niedrigsten Kosten mit grundlegendem Schutz vor Server-Rack- und Laufwerksausfällen und wird für nicht-kritische Szenarien empfohlen.
-
ZRS (zonenredundanter Speicher): Kopiert Ihre Daten synchron über drei Azure-Verfügbarkeitszonen in der primären Region hinweg. Sie bietet Schutz vor Ausfällen auf Rechenzentrumsebene und wird für Szenarien mit Hochverfügbarkeit empfohlen.
-
-
Name der Datenfreigabe: Geben Sie den Namen für die Datenfreigabe ein, die im Speicherkonto erstellt werden soll.
Anmerkung
-
Es können mehrere Datenfreigaben im selben Speicherkonto vorhanden sein.
-
Namen von Datenfreigaben dürfen nur Kleinbuchstaben, Zahlen und Bindestriche enthalten und müssen mit einem Buchstaben oder einer Zahl beginnen und enden. Der Name darf keine zwei aufeinanderfolgenden Bindestriche enthalten.
-
-
Beschreibung der Datenfreigabe: Definieren Sie den Namen für die Datenfreigabe.
-
Bereitgestellte Kapazität (GiB): Geben Sie die Größe der bereitgestellten Kapazität ein. Sie sollte 100 GB überschreiten.
Anmerkung
Die bereitgestellte Kapazität definiert die Kosten und die Leistung von Azure Files Premium-Datenfreigaben.
-
Konfiguration des Speicherkontos:
-
Berechtigung auf Freigabeebene: Wählen Sie diese Option, um die Standardberechtigungen auf Freigabeebene für das Speicherkonto festzulegen.
-
SMB-Freigabemitwirkender: Wählen Sie diese Option, um allen authentifizierten Benutzern Lese-/Schreibzugriff auf die Freigabe zu gewähren.
-
SMB-Freigabe-Leser: Wählen Sie diese Option, um allen authentifizierten Benutzern schreibgeschützten Zugriff auf die Freigabe zu gewähren (zum Beispiel App Attach).
-
-
AD oder Entra ID beitreten: Deaktivieren Sie diese Option, um zu verhindern, dass die Datenfreigabe dem AD oder Entra ID beitritt.
-
SMB-Multichannel aktivieren: Wählen Sie diese Option, um die Leistung von Azure Files Premium zu verbessern.
Anmerkung
Azure Files SMB-Multichannel ermöglicht Ihnen die Nutzung mehrerer Netzwerkverbindungen, die eine höhere Leistung bieten. Eine höhere Leistung wird durch Bandbreitenaggregation über mehrere Netzwerkkarten (NICs) und die Nutzung der Receive Side Scaling (RSS)-Unterstützung für Netzwerkkarten erreicht, um die E/A-Last auf mehrere CPUs zu verteilen.
-
-
Datenfreigabekonfiguration:
-
Berechtigungen (SMB Share Contributors): Geben Sie Benutzer, Gruppen und/oder Sicherheitsgruppen an, die die Rolle „Storage File Data SMB Share Contributor“ für die Datenfreigabe erhalten sollen.
Anmerkung
-
Dies ist für den Lese-/Schreibzugriff auf die Datenfreigabe erforderlich.
-
Wenn Sie die Gruppe noch nicht bereitgestellt haben, kann das Feld undefiniert bleiben.
-
-
Benutzer / Gruppen aus Hostpools hinzufügen: Wählen Sie aus der Dropdown-Liste einen oder mehrere Hostpools sowie Benutzer / Gruppen aus, die diesen Hostpools aktuell zugewiesen sind, um ihnen die Rolle „Storage File Data SMB Share Contributor“ für die Datenfreigabe zuzuweisen.
-
NTFS-Dateiberechtigungen zuweisen: Wählen Sie diese Option, um der neu erstellten Datenfreigabe NTFS-Dateiberechtigungen zuzuweisen.
Anmerkung
-
Diese Option erstellt automatisch eine temporäre VM, um die Berechtigungszuweisungsaufgabe auszuführen.
-
Sie können die Konfiguration einer temporären VM in den erweiterten Einstellungen ändern.
Einzelheiten zu den standardmäßigen Dateiberechtigungen für neue Azure Files-Datenfreigaben finden Sie unter Konfigurieren von Verzeichnis- und Dateiberechtigungen für Azure Files-Datenfreigaben.
-
App Attach: Wählen Sie diese Option, um authentifizierten Benutzern Leseberechtigung für Unterverzeichnisse in der Datenfreigabe zu erteilen. Dies wird für Datenfreigaben empfohlen, die App Attach-Anwendungen enthalten.
-
FSLogix: Wählen Sie diese Option, um authentifizierten Benutzern die Berechtigung zum Ändern im Stammverzeichnis der Datenfreigabe zu erteilen, was die Erstellung von FSLogix-Profilordnern ermöglicht. Dies wird für Datenfreigaben empfohlen, die FSLogix-Profile enthalten.
-
-
Erweiterte Einstellungen anzeigen: Erweitern Sie diesen Abschnitt, um die folgenden temporären VM-Einstellungen zu definieren:
-
Name: Geben Sie den Namen ein, der für die temporäre VM verwendet werden soll.
-
Netzwerk: Wählen Sie aus der Dropdown-Liste das Netzwerk aus, in dem die temporäre VM erstellt werden soll. Dieses Netzwerk und die VM benötigen Zugriff auf den oben ausgewählten Speicherort.
-
Desktop-Image: Wählen Sie das Image aus der Dropdown-Liste aus.
-
VM-Größe: Wählen Sie die VM-Größe aus der Dropdown-Liste aus.
Tipp
Wählen Sie eine größere VM aus, damit die Aufgabe schneller abgeschlossen wird.
-
Betriebssystemfestplatte: Wählen Sie die Betriebssystemfestplatte für die temporäre VM aus.
Tipp
Wählen Sie eine Premium-SSD-Festplatte für einen schnelleren Container-Erstellungsprozess aus.
-
Ressourcengruppe: Wählen Sie die Ressourcengruppe für die temporäre VM aus der Dropdown-Liste aus.
-
-
Tags anwenden: Erweitern Sie diesen Abschnitt und geben Sie die Tags an, die auf das neue Speicherkonto und die Freigabe angewendet werden sollen.
-
Tag-Gruppen: Weisen Sie optional Tag-Gruppen zu, falls erforderlich.
-
-
-
-
Wählen Sie OK aus.
-
Kopieren Sie den Namen des Speicherkontos (nicht den Namen der Datenfreigabe) und fügen Sie ihn in Notepad ein. Sie fügen ihn später einer sicheren Variablen in Nerdio Manager hinzu.
-
Kopieren Sie den UNC-Pfad der Azure Files-Datenfreigabe, den Sie in Schritt 4: angeben müssen. Konfigurieren Sie das FSLogix-Profil für ein Hostpool-Profil:
-
Wählen Sie neben dem Namen der Azure Files-Datenfreigabe das Symbol zum Kopieren
aus.
-
Fügen Sie den kopierten UNC-Pfad in Notepad ein.
-
Sobald Sie ein neues Speicherkonto und eine neue Datenfreigabe in diesem Speicherkonto erstellt haben, können Sie nun den Wert StorageAccountKey kopieren, den Sie in das Skript einfügen müssen.
So kopieren Sie den Speicherkontoschlüssel:
-
Navigieren Sie im Azure-Portal zu Speicherkonten und wählen Sie dann den Namen des von Ihnen erstellten Speicherkontos aus.
-
Wählen Sie im linken Bereich im Abschnitt Sicherheit + Netzwerk die Option Zugriffsschlüssel aus.
-
Kopieren Sie unter dem Feld Key1 den Schlüssel und fügen Sie ihn in Notepad ein.
Der nächste Schritt besteht darin, eine skriptbasierte Aktion für den Entra ID Join Windows Credential Manager und die erforderlichen sicheren Variablen zu erstellen.
So erstellen Sie eine skriptbasierte Aktion:
-
Navigieren Sie in Nerdio Manager zu Endpunkte > Automatisierung > Skriptbasierte Aktionen > Windows-Skripte.
-
Wählen Sie Neue Scripted Action aus.
-
Geben Sie im neuen Dialogfeld die folgenden Informationen ein:
-
Name: Enter EntraIDWindowsCredentialManager.
-
Beschreibung: Geben Sie die Beschreibung des Skripts ein.
-
Tags: Wählen Sie aus der Dropdown-Liste optionale Tags für das Skript aus. Diese Tags werden für die Suche und Organisation verwendet.
-
Skriptausführungsmodus: Wählen Sie aus der Dropdown-Liste Individuell mit Neustart aus.
-
Skript: Fügen Sie das folgende Skript in das Feld ein.
Tipp
#Variablen
$storageAccount=$SecureVars.FSlgxStorageAccount
$user="localhost\$($storageAccount)"
$fileserver="$storageAccount.file.core.windows.net"
$secret=$SecureVars.FSLgxSecret
#Erstellen der lokalen Anmeldeinformationen für das Speicherkonto
cmdkey.exe /add:$($fileServer) /user:$($user) /pass:$($secret)
# Überprüfen, ob der Schlüssel vorhanden ist
if (-not(Test-Path \"HKLM:\\Software\\Policies\\Microsoft\\AzureADAccount\")) {
# Erstellen des Schlüssels, falls er nicht vorhanden ist
New-Item -Path "HKLM:\Software\Policies\Microsoft\AzureADAccount" -Force
}
# Hinzufügen oder Ändern der Eigenschaft
New-ItemProperty -Path \"HKLM:\\Software\\Policies\\Microsoft\\AzureADAccount\" -Name \"LoadCredKeyFromProfile\" -Value 1 -Type DWord -Force
#Credential Guard deaktivieren
New-ItemProperty -Path \"HKLM:\\SYSTEM\\CurrentControlSet\\Control\\Lsa\" -Name \"LsaCfgFlags\" -Value 0 -force
-
-
Sobald Sie alle gewünschten Informationen eingegeben haben, wählen Sie Speichern und schließen.
So fügen Sie die erforderlichen sicheren Variablen hinzu:
-
Navigieren Sie zu System > Einstellungen.
-
Erstellen Sie im Bereich Nerdio die Speicherkontovariable:
-
Erweitern Sie den Abschnitt Sichere Variablen und wählen Sie dann Add Secure Variable.
-
Geben Sie im neuen Dialogfeld die folgenden Informationen ein:
-
Name: Geben Sie FSlgxStorageAccount ein.
-
Wert: Fügen Sie den Speicherkontonamen ein, den Sie zuvor in Notepad gespeichert haben.
-
Variable nur an die angegebenen Scripted Actions übergeben: Wählen Sie diese Option, um diese Variable nur an die angegebene Scripted Action zu übergeben.
-
Scripted Actions: Wählen Sie aus der Dropdown-Liste das zuvor erstellte EntraIDWindowsCredentialManager-Skript aus.
-
-
Wählen Sie OK aus.
-
-
Erstellen Sie im Bereich Nerdio die FSLogix-Geheimnisvariable:
-
Wählen Sie im Abschnitt Variablen die Option Add Secure Variable.
-
Geben Sie im neuen Dialogfeld die folgenden Informationen ein:
-
Name: Geben Sie FSLgxSecret ein.
-
Wert: Fügen Sie den Speicherkontoschlüssel ein, den Sie zuvor im Editor gespeichert haben.
-
Übergeben Sie die Variable nur an die angegebenen Scripted Actions: Wählen Sie diese Option, um diese Variable nur an die angegebene Scripted Actions zu übermitteln.
Scripted Actions: Wählen Sie aus der Dropdown-Liste das zuvor erstellte EntraIDWindowsCredentialManager-Skript aus.
-
-
Wählen Sie OK aus.
-
Der nächste Schritt besteht darin, die FSLogix-Einstellungen für ein Hostpool-Profil zu konfigurieren.
So konfigurieren Sie die FSLogix-Einstellungen für ein Hostpool-Profil:
-
Navigieren Sie zu Cloud-Desktops > Azure Virtual Desktop > Hostpool-Profile.
-
Wählen Sie neben dem Hostpool-Profil, mit dem Sie arbeiten möchten, das Stiftsymbol
aus.
-
Geben Sie im Dialogfeld FSLogix-Profilspeicherkonfiguration die folgenden Informationen ein:
-
FSLogix-Profilpfad (VHDLocation): Geben Sie den UNC-Pfad der Datenfreigabe \\\\[[STORAGEACCOUNTFQDN]\\[FILESHARE] ein, den Sie zuvor notiert haben.
Anmerkung
Zum Beispiel \\\\aadjfsl (\\\\aadjstorage01.file.core.windows.net\\aadjfsl
-
FSLogix-Registrierungsoptionen:
-
Suchen Sie im Feld Einstellungen nach Namen durchsuchen nach AccessNetworkAsComputerObject.
-
Legen Sie im Bereich Profileinstellungen in der Spalte Konfiguration den Einstellungswert auf 1 fest.
-
-
-
Wählen Sie Speichern.
Anmerkung
Stellen Sie sicher, dass das von Ihnen konfigurierte Hostpool-Profil den relevanten Hostpools zugewiesen ist. Weitere Informationen finden Sie unter Hostpool-Profile verwalten.
Nachdem Sie die FSLogix-Einstellungen für ein Hostpool-Profil konfiguriert haben, müssen Sie Scripted Actions konfigurieren, die auf einzelnen Hostpools ausgeführt werden sollen.
So konfigurieren Sie Scripted Actions für einen Hostpool:
-
Finden Sie den Hostpool, mit dem Sie arbeiten möchten.
-
Wählen Sie im Menü „Weitere Optionen“
die Option Einstellungen aus.
-
Navigieren Sie im Dialogfeld Desktop-Einstellungen zum Bereich Endpoints > Automation > Scripted Actions.
-
Geben Sie die folgenden Informationen ein:
-
Scripted Actions ausführen, wenn Host-VM ERSTELLT wird und Scripted Actions ausführen, wenn Host-VM GESTARTET wird: Aktivieren Sie diese Optionen.
-
Wählen Sie aus den Dropdown-Listen für Skript EntraIDWindowsCredentialManager aus.
-
-
Wählen Sie Speichern oder Speichern und schließen aus.
Um die neuen Einstellungen auf alle Sitzungshosts anzuwenden, nehmen Sie ein Reimaging des Hostpools vor. Das Reimaging stellt sicher, dass jede VM mit der aktualisierten Konfiguration neu erstellt wird. Einzelheiten finden Sie unter Größe anpassen/Reimaging vornehmen eines Hostpools.
Kommentare (0 Kommentare)