Sind die Rollen Global Administrator und Subscription Owner für die Installation erforderlich? Warum?
Ja. Diese erweiterten Rollen sind nur während der Installation aus den folgenden Gründen erforderlich:
-
Global Administrator wird einmal am Ende des Installationsprozesses benötigt, um den erforderlichen Berechtigungen für die Nerdio Enterprise App auf Tenant-Ebene die Einwilligung zu erteilen. Nach diesem Schritt läuft Nerdio Manager unter seiner eigenen verwalteten Identität, ohne dass ein weiterer Zugriff als Global Administrator erforderlich ist.
-
Subscription Owner stellt Azure-Ressourcen bereit und konfiguriert diese (zum Beispiel App Service, SQL und Key Vault) und registriert das Abrechnungsobjekt für die Lizenzierung von Nerdio Manager.
Nach der Installation sind diese Rollen für die laufende Nutzung nicht mehr erforderlich.
Siehe: Azure Berechtigungen und Nerdio Manager für Details.
Warum ist die Azure Owner-Rolle für das Azure-Abonnement erforderlich?
Die Azure Owner-Rolle ist erforderlich, um:
-
Erstellen und konfigurieren Sie Ressourcen wie App Service, Key Vault, Storage-Konto und SQL-Datenbank.
-
Registrieren Sie das SaaS-Abrechnungsobjekt für die Lizenzierung.
Nach der Bereitstellung können die Berechtigungen auf Contributor oder User Access Administrator reduziert werden, was dem Least Privilege-Prinzip entspricht.
Siehe Implementation Guide und Azure built-in roles für Details.
Müssen Benutzer die Rollen Global Administrator oder Subscription Owner nach der Installation beibehalten?
Nein. Diese Berechtigungen sind nach der Installation nicht erforderlich.
Die Verwaltung erfolgt über:
-
Die integrierten RBAC-Rollen von Nerdio Manager.
-
Azure RBAC, sofern zutreffend.
Ist der Installationsprozess automatisiert oder kann er manuell durchgeführt und für jeden Schritt verschiedenen Personen zugewiesen werden?
Die Installation erfolgt primär automatisiert über die Azure Marketplace-Bereitstellung.
Administratoren können optional einen Teil des Prozesses manuell durchführen, indem sie die Entra ID-Anwendung vorab erstellen und ihr die Einwilligung erteilen, mithilfe des Advanced Installation Guide.
Die restlichen Ressourcen (App Service, Key Vault, Speicher, SQL, etc.) werden automatisch über die Marketplace-ARM-Vorlage bereitgestellt.
-
Standard-Installation: Vollständig automatisiert über den Azure Marketplace (~15–20 Minuten).
-
Erweiterte Installation: Aufgeteilt zwischen:
-
Entra ID-Administrator (erstellt App-Registrierung und erteilt Einwilligung).
-
Azure Subscription Owner (stellt die Infrastruktur bereit).
-
Siehe Erweiterte Installation: Entra ID-Anwendung erstellen und Microsoft Learn – ARM-Vorlage für Details.
Welche API-Berechtigungen sind erforderlich? Welche sind optional oder verhandelbar?
Die meisten Berechtigungen sind für die volle Nerdio Manager-Funktionalität erforderlich. Die folgenden delegierten Berechtigungen werfen jedoch häufig Fragen auf:
-
Optional – wünschenswert:
-
Application.ReadWrite.All (delegiert): Ermöglicht das Lifecycle-Management von App-Registrierungen.
-
AppRoleAssignment.ReadWrite.All (delegated): Unterstützt die automatisierte Zuweisung von Rollen.
-
-
Wenn ausgeschlossen:
-
REST-APIs für die automatisierte Zuweisung von Benutzern funktionieren nicht.
-
Installierte App-Regel-Sets erfordern möglicherweise manuelle Aktualisierungen.
-
Nerdio Manager folgt den Prinzipien des Least Privilege-Designs und verwendet Berechtigungen auf Anwendungsebene nur, wenn dies unbedingt erforderlich ist.
Welches Peering ist erforderlich, wenn Nerdio Manager mit privaten Endpunkten verwendet wird?
Die Notwendigkeit eines Virtual Network (VNet)-Peerings hängt davon ab, wie Nerdio Manager bereitgestellt wird und wie das allgemeine Netzwerklayout aussieht:
-
Wenn kein Peering erforderlich ist:
-
Nerdio Manager kann im selben Subnetz wie die AVD-Sitzungshosts oder Cloud-PCs bereitgestellt werden.
-
Es kann sich auch in einem anderen Subnetz innerhalb desselben VNet befinden. In diesen Fällen ist kein Peering erforderlich.
-
-
Wenn Peering erforderlich ist:
-
Wenn Nerdio Manager in einem dedizierten VNet mit aktivierten privaten Endpunkten während der Installation bereitgestellt wird, ist möglicherweise ein Peering erforderlich zwischen:
-
Dem Nerdio Manager VNet, in dem sich der private Endpunkt und die Web-App befinden.
-
Allen vorhandenen VNets, die AVD-Sitzungshosts oder Speicherressourcen (zum Beispiel FSLogix, MSIX oder Profilcontainer) hosten.
-
-
-
Empfohlene Vorgehensweise für größere Umgebungen:
-
Platzieren Sie Nerdio Manager in einem Verwaltungs-VNet und Subnetz.
-
Stellen Sie AVD-Sitzungshosts und zugehörige Ressourcen (zum Beispiel Speicher) in separaten VNets bereit.
-
Verknüpfen Sie diese VNets per Peering mit dem Nerdio Manager Verwaltungs-VNet für zentralisierte Steuerung und Skalierbarkeit.
-
Anmerkung
Dieses Modell unterstützt Umgebungen mit vielen Sitzungshosts oder strengeren Anforderungen an die Netzwerksegmentierung.
Sind öffentliche Endpunkte während der Installation vorübergehend erforderlich, selbst bei sicheren Bereitstellungen?
Ja. Vorübergehender öffentlicher Zugriff ist erforderlich für:
-
Key Vault, während der Installationsphase (Geheimnisse werden sicher geschrieben).
-
Andere Dienste, die während der anfänglichen Ausführung der ARM-Vorlage verwendet werden.
Nach der Installation werden diese Komponenten so bereitgestellt, dass sie, sofern konfiguriert, private Endpunkte verwenden.
Welche Optionen gibt es für die Verwendung privater Endpunkte mit Nerdio Manager?
Die folgenden Ansätze zur Verwendung privater Endpunkte mit Nerdio Manager werden unterstützt:
-
Sichere Bereitstellung (empfohlen)
-
Nerdio Manager stellt während der Installation alle erforderlichen Ressourcen mit privaten Endpunkten bereit.
-
Dies ist die effizienteste und vollständig unterstützte Methode.
-
-
Skriptbasierte Härtung nach der Bereitstellung
-
Verwenden Sie das von Nerdio Manager bereitgestellte Härtungs-Runbook, um private Endpunkte nach der Bereitstellung anzuwenden.
-
Dies ist ideal für Kunden, die zunächst ohne private Endpunkte bereitstellen, die Bereitstellung aber später absichern möchten.
-
-
Vollständig manuelle Härtung
-
Für Umgebungen mit hochspezifischen Sicherheits- oder DNS-Anforderungen (zum Beispiel bei Nichtverwendung von Azure DNS).
-
Erfordert die manuelle Konfiguration von privaten Endpunkten, DNS-Einstellungen und möglicherweise Netzwerkrouten, die über das hinausgehen, was das Härtungsskript abdeckt.
-
Anmerkung
Ab Nerdio Manager Version 7.4 unterstützen nun alle Nerdio Manager-Kernmodule eine gehärtete Bereitstellung unter Verwendung privater Endpunkte, ohne dass eine Hybrid Worker-VM erforderlich ist (für Skripte unter 500 KB). Dies umfasst:
-
Unified Application Management (UCA)
-
Intune Insights
-
Private WinGet
-
Azure Runbooks / Automation
-
Azure AI Analytics
Nimmt Nerdio Manager an der Authentifizierung oder RDP-Konnektivität für AVD oder Cloud PCs teil?
Nein. Nerdio Manager:
-
Leitet Authentifizierungs- oder RDP-Datenverkehr nicht weiter.
-
Die native Azure AD- oder Entra ID-Authentifizierung wird nicht geändert.
-
Operiert außerhalb der AVD-Steuerungs- und Datenebenen.
Wenn ein Token von einem Administrator generiert wird, wird dieses Token dann mit anderen Usern geteilt?
Nein. Jede Identität (User oder Dienstprinzipal) erhält ihr eigenes Token. Token werden nicht geteilt, was sichere, prüfbare und isolierte Aktivitäten gewährleistet.
Weitere Informationen finden Sie unter Microsoft Learn – Zugriffstoken und Überwachungsprotokolle in Entra ID.
Welche Daten werden mit dem Lizenzierungsserver von Nerdio Manager geteilt?
Es werden nur die für die Lizenznachverfolgung erforderlichen Metadaten übertragen:
-
Entra ID-Mandanten-ID
-
Azure-Abonnement-ID
-
Nerdio Manager App-Registrierungs-ID
Es werden keine User-, VM- oder Sitzungsdaten weitergegeben.
Weitere Informationen finden Sie unter Speichert Nerdio Manager Kundeninformationen?.
________________________________________
Wie wird das Authentifizierungstoken in Azure gesichert?
Token und Geheimnisse werden in Azure Key Vault gespeichert, was:
-
Verschlüsselt Daten im Ruhezustand und während der Übertragung. Die Verschlüsselungsschlüssel selbst werden innerhalb desselben Azure Key Vault-Dienstes gespeichert und verwaltet.
-
Der Zugriff erfolgt ausschließlich über verwaltete Identität unter RBAC.
-
Gibt Geheimnisse niemals in Protokollen, Code oder Umgebungsvariablen preis.
Weitere Informationen finden Sie unter Azure Key Vault-Sicherheit und Verschlüsselung mit Key Vault.
________________________________________
Was sind die Sicherheitsüberlegungen für die Nerdio Manager Web-App?
-
Verwendet Azure App Service mit verwalteter Identität für sicheren Key Vault-Zugriff.
-
Verschlüsselung im Ruhezustand und während der Übertragung.
-
Vollständige Audit-Protokollierung über Azure Monitor.
-
Optionale Unterstützung für privaten Endpoint zur Zugriffsbeschränkung.
Weitere Informationen finden Sie unter Secure App Service und Privater Endpoint.
________________________________________
Ist die Marketplace-Deployment obligatorisch? Kann dies vorab überprüft werden?
Ja, für die Installation von Nerdio Manager ist eine Marketplace-Deployment erforderlich.
Sie können jedoch:
-
Wählen Sie vor dem Deployment Überprüfen + Erstellen, um alle Komponenten zu untersuchen.
-
Laden Sie die ARM-Vorlage vorab zur internen Überprüfung herunter.
-
Überprüfen Sie nach dem Deployment die Änderungen im Deployment-Verlauf der Ressourcengruppe.
Weitere Informationen finden Sie unter Implementation Guide und ARM-Vorlagen überprüfen/exportieren.
Welcher ausgehende Zugriff ist für das Funktionieren von Nerdio Manager und AVD erforderlich?
Internetzugriff ist erforderlich von:
-
Nerdio Manager-Komponenten für Lizenzierung, Azure-APIs, Protokollierung und allgemeine Plattformfunktionalität.
-
AVD-Sitzungshosts für Broker-Kommunikation, Sitzungsverwaltung, Updates und Integration mit Azure-Diensten.
Zusätzliche Überlegungen: Stellen Sie sicher, dass der ausgehender Zugriff auf Microsoft-URLs erlaubt ist, die verwendet werden von:
-
Windows Update
-
Microsoft Store / MS Winget-Repositorys
-
Azure-Automatisierungs- und Diagnoseendpunkte
Anmerkung
Wenn Sie den Internetzugriff mit privatem DNS oder Firewalls blockieren, stellen Sie sicher, dass die erforderlichen Microsoft-Dienste weiterhin erreichbar sind, entweder durch die Verwendung privater Endpunkte oder durch das Zulassen der entsprechenden Azure-Dienst-Tags.
Weitere Informationen finden Sie unter Erforderlicher ausgehender Internetzugriff von AVD-Sitzungshost-VMs und Firewall-Anforderungen für die VNet-Integration.
________________________________________
Installiert Nerdio Manager einen Agenten auf Sitzungshosts?
Nein, es sei denn, Console Connect ist aktiviert. In diesem Fall wird ein leichtgewichtiger Agent installiert, um sicheres Shadowing und Fernsteuerung für das Helpdesk-Personal zu unterstützen.
Weitere Informationen finden Sie in den Console Connect FAQs.
________________________________________
Kommunizieren Nerdio Manager KI-Funktionen mit externen Diensten?
Nein. Nerdio Manager KI-Funktionen (zum Beispiel Copilot, Autoscaling-Insights):
-
Sind im Tenant enthalten.
-
Werden standardmäßig nicht bereitgestellt.
-
Verwenden interne Modelle, sofern nicht explizit anders konfiguriert (zum Beispiel Azure OpenAI).
Kommentare (0 Kommentare)