Nerdio Manager verwendet die Azure Files-Freigabetechnologie, um App Attach-Pakete und die zugehörigen Metadaten zu speichern. Sie können eine vorhandene Azure Files-Freigabe verwenden oder mit Nerdio Manager eine neue erstellen.
Anmerkung
Was Sie konfigurieren müssen, hängt davon ab, wie Ihre Sitzungshosts eingebunden sind. Mit Entra ID verbundene Hosts und mit AD DS verbundene Hosts haben unterschiedliche, sich nicht überschneidende Anforderungen. Arbeiten Sie den Abschnitt durch, der zu Ihren Hosts passt.
App Attach unterstützt die folgenden Identitätsanbieter:
-
Microsoft Entra ID
-
Active Directory Domain Services (AD DS)
Hintergrundinformationen zu App Attach selbst finden Sie im Microsoft-Artikel App attach and MSIX app attach in Azure Virtual Desktop.
Mit Entra ID verbundene Hosts können App Attach-Anwendungen verwenden. Die einzigen Anforderungen betreffen das Storage-Konto, das die App Attach-Images enthält:
-
Es muss sich im selben Abonnement wie die Sitzungshosts befinden.
-
Es muss über eine Rollenzuweisung Reader and Data Access verfügen, zu deren Mitgliedern Azure Virtual Desktop und Windows Virtual Desktop ARM Provider gehören.
Nerdio Manager erstellt diese Rollenzuweisung für Sie, wenn Sie Entra ID host support für das Storage-Konto aktivieren. Sie können dies für eine neue Freigabe oder eine bereits vorhandene Freigabe tun.
Anmerkung
Das Storage-Konto kann mit Active Directory verbunden, mit Entra ID verbunden oder gar nicht verbunden sein. Sie müssen für Hosts, die mit Entra ID verbunden sind, weder Berechtigungen auf Freigabeebene noch Berechtigungen für New Technology File System konfigurieren.
So aktivieren Sie die Entra ID-Hostunterstützung für eine vorhandene Azure Files-Freigabe:
-
Navigieren Sie zu Cloud-Desktops > Speicher > Azure Files.
-
Finden Sie die Azure Files-Freigabe, in der Ihre App Attach-Images gespeichert sind.
-
Wählen Sie im Aktionsmenü der Freigabe Verwalten aus.
-
Wechseln Sie im Assistenten zum Tab Storage-Konto und wählen Sie Entra ID host support aus.
-
Wählen Sie SPEICHERN aus.
Anmerkung
Durch Aktivieren dieser Option wird dem Storage-Konto die Rollenzuweisung Reader and Data Access mit Azure Virtual Desktop und Windows Virtual Desktop ARM Provider als Mitgliedern hinzugefügt. Wenn Sie die Zuweisung lieber selbst vornehmen möchten, fügen Sie dem Storage-Konto unter Zugriffssteuerung (IAM) im Azure-Portal die Rolle mit denselben zwei Mitgliedern hinzu.
Alle drei der folgenden Bedingungen sind zwingend erforderlich:
-
Das Storage-Konto, in dem die App Attach-Images gespeichert sind, ist mit AD DS verbunden.
-
Auf der Datenfreigabe sind die App Attach-Berechtigungen für New Technology File System konfiguriert.
-
Freigabeberechtigungen sind konfiguriert.
New Technology File System-Standardberechtigungen für Datenfreigaben
-
BUILTIN\Administrators:(OI)(CI)(F) -
BUILTIN\Users:(RX) -
BUILTIN\Users:(OI)(CI)(IO)(GR,GE) -
NT AUTHORITY\Authenticated Users:(OI)(CI)(M) -
NT AUTHORITY\SYSTEM:(OI)(CI)(F) -
NT AUTHORITY\SYSTEM:(F) -
CREATOR OWNER:(OI)(CI)(IO)(F)
New Technology File System-Berechtigungen für App Attach-Datenfreigaben
-
BUILTIN\Users:(RX) -
BUILTIN\Users:(OI)(CI)(IO)(GR,GE) -
NT AUTHORITY\Authenticated Users:(OI)(CI)(M) -
CREATOR OWNER:(OI)(CI)(IO)(F)
Tipp
Lassen Sie Nerdio Manager diese Berechtigungen zuweisen, statt sie manuell festzulegen. Wählen Sie im Azure Files-Assistenten New Technology File System-Dateiberechtigungen zuweisen und dann App Attach, wodurch authentifizierten Usern Leseberechtigungen für Unterverzeichnisse in der Datenfreigabe erteilt werden. Dies ist die empfohlene Option für Datenfreigaben mit App Attach-Anwendungen.
Anmerkung
Beim Zuweisen von New Technology File System-Dateiberechtigungen wird automatisch eine temporäre VM erstellt, die die Aufgabe der Berechtigungszuweisung ausführt.
Wählen Sie eine der folgenden Konfigurationen.
Option 1: Schreibgeschützter Zugriff für alle authentifizierten Identitäten
Legen Sie die Standardfreigabeberechtigung für das Storage-Konto für alle authentifizierten Identitäten auf mindestens Storage File Data SMB Share Reader fest.
Verwenden Sie in Nerdio Manager die Option Freigabeberechtigungen im Azure Files-Assistenten, um dies festzulegen. SMB Share Reader gewährt allen authentifizierten Usern schreibgeschützten Zugriff auf die Datenfreigabe. Dies ist für App Attach erforderlich.
Option 2: Schreibgeschützter Zugriff für Domänencomputer
-
Erstellen Sie in Active Directory eine neue globale Sicherheitsgruppe in einer Organisationseinheit (OU), die mit ADConnect mit Entra ID synchronisiert wird.
-
Fügen Sie Domain Computers der neuen Gruppe hinzu.
-
Öffnen Sie im Azure-Portal die Zugriffssteuerung der Datenfreigabe und fügen Sie die neue Sicherheitsgruppe mit mindestens der Rolle Storage File Data SMB Share Reader hinzu.
Anmerkung
Möglicherweise müssen Sie auf den nächsten Synchronisierungszyklus warten, damit neue Gruppen in Entra ID verfügbar sind.
Option 3: Eine benutzerdefinierte Konfiguration
Jede Konfiguration, die den Sitzungshost-Computerobjekten mindestens Lesezugriff auf die Datenfreigabe gewährt, wird unterstützt. Passen Sie die oben genannten Optionen an die Sicherheitsrichtlinien Ihrer Organisation an.
Kommentare (0 Kommentare)