Azure Virtual Desktop (AVD) est une solution Microsoft permettant une expérience de bureau à distance sécurisée depuis n’importe où. Quels sont ces composants ? Ses cas d’usage ? Les profils des utilisateurs ? Les questions autour de cet outil sont nombreuses : nous vous proposons donc, dans ce nouvel article, de découvrir et de comprendre ce qu’est Azure Virtual Desktop.

 

Historique d’Azure Virtual Desktop

 

Tout d’abord, faisons un peu d’histoire pour comprendre pourquoi Azure Virtual Desktop a vu le jour.

En 1998, Microsoft commercialise Windows NT 4.0 Terminal Server Edition, la première version du célèbre OS de l’éditeur avec lequel il est possible de se connecter à distance à une session Windows.

Puis en 2008, Microsoft poursuit son cheminement en améliorant et renommant son produit lors de la sortie de Windows Server 2008 : Terminal Server (TS) devient alors RDS (Remote Desktop Services).

10 années plus tard, RDMI (Remote Desktop Modern Infrastructure) voit le jour.

L’arrivée du Cloud public Azure accélère l’adoption du mode PaaS, et la solution y fait son apparition sous le nom WVD (Windows Virtual Desktop), et c’est en 2019 que Microsoft choisira de le renommer. WVD évolue en AVD (Azure Virtual Desktop), son nom actuel.

En complément de cette solution Virtual Desktop Infrastructure (VDI), Microsoft a lancé en 2021 Windows 365, une solution qui diffère d’AVD, et complète la famille de produits Microsoft. Nous verrons également ce qu’apporte ce nouveau produit.

Bien évidemment, la solution RDS sur Windows Server on-premise est toujours disponible

 

Le principe d’Azure Virtual Desktop

 

Comme vous l’aurez compris, Azure Virtual Desktop est la solution VDI de Microsoft dans Azure.

Elle permet de déléguer la gestion du control plane, de ses composants et de sa sécurité à Microsoft afin de se concentrer sur la configuration et la personnalisation des bureaux et des applications que vous publierez à destination de vos utilisateurs finaux.

L’objectif est d’apporter une expérience utilisateur identique qu’avec les versions Windows 10, 11 et Windows Server 2016, 2019 ou 2022 déjà connues, en les optimisant par l’intégration native des applications Microsoft 365.

À l’image des autres abréviations IaaS, PaaS ou CaaS, AVD a aussi la sienne : DaaS (Desktop-as-a-Service).

 

AVD vs la solution RDS historique

 

Pour bien comprendre le principe de base d’AVD, il est important de connaitre les différents composants de la solution RDS (Remote Desktop Services) historique.

 

Remote Desktop Session Host

 

Il s’agit du serveur exécutant les applications au travers des bureaux que vous partagez avec les utilisateurs.

 

Remote Desktop Gateway

 

Le Remote Desktop Gateway offre aux utilisateurs un accès aux bureaux Windows et aux applications publiées. Il s’agit de la porte d’entrée RDS.

C’est lui qui s’assure de chiffrer la communication entre les clients et le serveur.

 

Remote Desktop Connection Broker

 

Le Remote Desktop Connection Broker est le composant gérant les demandes de connexion de session entrante depuis Remote Desktop Gateway vers les groupes de Remote Desktop Session Host.

Il s’assure également d’équilibrer la charge entre les différents sessions hosts.

 

Remote Desktop Web Access

 

Le Remote Desktop Web Access offre aux utilisateurs finaux un accès à des bureaux et des applications via le portail web au travers d’un navigateur  du client lourd.

 

Remote Desktop Licensing

 

Le Remote Desktop Licensing est simplement le serveur sur lequel les licences sont activées pour l’ensemble des utilisateurs finaux, en mode per user ou per device. Ce service est sollicité dès la connexion d’un utilisateur pour s’assurer de ses droits d’utilisation du service.

 

RDS dans Azure

 

Si l’on transpose les éléments vus précédemment dans la solution Azure Virtual Desktop, vous n’aurez à gérer que les Remote Desktop Session Host.

Graphiquement, Microsoft s’occupera de :

 

Tous ces éléments sont également appelés le « control plane ».

En complément, Azure assurera la gestion des éléments suivants, qui font partie des services managés standards :

 

Mais que vous reste-t-il à gérer ? Eh bien, seulement les éléments en lien direct avec la valeur que vous voudrez apportez au produit, c’est-à-dire :

• Les publications : mettrez-vous à disposition des bureaux complets ou bien seulement des applications  ?
• Les Images : souhaitez-vous utiliser les images standard du market place ou construire votre propre image ?
• Les identités : qui devra accéder au service ? Comment ? Sous quelles conditions ?
• Les règles : de quelle manière le load-balancing devra-t-il fonctionner ? Utiliserez-vous un scaling plan ?
• Les stratégies : qu’il s’agisse de stratégies d’accès réseau ou de stratégies ordinateur, vous devrez définir celles qui vous conviennent. Les VM doivent-elles accéder à Internet ? À d’autres réseaux internes ? Les espaces de stockage doivent-ils aussi être accessibles depuis Internet ? De même, si vous utilisez AD Domain Service, vous pourrez continuer d’utiliser des GPO (Group Policy Objects). Et si vous optez pour de l’Azure AD joined, alors Intune saura vous aider à garder la maîtrise des session hosts. Les équipes ayant déployé RDS on-premise ne sont pas en reste, car il vous est possible de migrer vos workloads RDS dans AVD.

 

Les composants d’Azure Virtual Desktop

 

Maintenant que vous connaissez l’origine d’Azure Virtual Desktop et ses éléments sur lesquels vous devez vous concentrer, prenons le temps de vous présenter son vocabulaire :

 

Host pool

 

Un hosts pool est un ensemble de machines virtuelles qui s’enregistrent sur Azure Virtual Desktop en tant qu’hôtes de session. Un pool d’hôtes peut être de deux types :

• Personal, où chaque hôte de session est attribué à des utilisateurs individuels.
• Pooled, où les hôtes de session peuvent accepter les connexions de tout utilisateur autorisé à un groupe d’applications au sein du pool d’hôtes.

Lorsque vous exécutez l’agent Azure Virtual Desktop, toutes les machines virtuelles hôtes de session d’un pool d’hôtes doivent provenir de la même image pour une expérience utilisateur cohérente.

 

Application groups

 

Un groupe d’applications est un regroupement logique d’applications installées sur des hôtes de sessions dans le pool d’hôtes. Un groupe d’applications peut être de deux types :

• RemoteApp, où les utilisateurs accèdent aux RemoteApps que vous sélectionnez individuellement et publiez dans le groupe d’applications.
• Remote Desktop, où les utilisateurs accèdent au bureau complet.

Pour publier des ressources pour les utilisateurs, vous devez les affecter à des groupes d’applications.

 

Workspace

 

Un espace de travail est un regroupement logique de groupes d’applications dans Azure Virtual Desktop. Chaque groupe d’applications Azure Virtual Desktop doit être associé à un espace de travail pour que les utilisateurs puissent voir les applications et bureaux distants qui leur sont publiés.

 

AVD End users

Une fois que vous avez affecté des utilisateurs à leurs groupes d’applications, ils peuvent se connecter à un déploiement Azure Virtual Desktop avec n’importe lequel des clients Azure Virtual Desktop.

Ci-dessous, une vision graphique des différents composants AVD et leur relation :

 

 

Cas d’usage d’Azure Virtual Desktop

 

Comme nous l’avons vu précédemment, Azure Virtual Desktop est avant tout une solution VDI. Elle se base sur des technologies déjà existantes dans le monde Microsoft auxquelles l’éditeur a jouté des fonctionnalités propres au Cloud computing, répondant ainsi de manière flexible et économique aux défis IT actuels.

Faisons le point sur les principaux use cases connus et nouveaux.

 

La sécurité des données

 

Avec AVD, il est possible de choisir le lieu géographique de stockage (disques des machines virtuelles et profils utilisateurs), mais également la zone d’exécution des machines virtuelles. Cette possibilité vous permet donc :

• de garder la maîtrise de région dans lesquelles vos données sont présentes ;
• de respecter des contraintes réglementaires ;
• de limiter les adresses IP de sortie de communication.

 

Les hautes capacités de calcul

 

Héberger ses workloads IaaS dans un Cloud public quel qu’il soit, fournit un accès à de très importantes ressources de calcul. La solution AVD profite également de cette puissance. Ainsi, les ressources de stockage et notamment de calcul peuvent tirer parti de matériels GPU (Graphics Processing Units) récents à destination de profils développeurs ou concepteurs CAO.

La limite est fixée par vous et plus par les ressources disponibles.

 

Le Bring Your Own Device

 

Un des premiers et des plus courants cas d’utilisation est la possibilité de proposer des environnements virtuels sécurisés auxquels on accède depuis des ordinateurs personnels et/ou publics.

Autrement dit, comment garder la main sur l’environnement de travail professionnel tout en laissant le choix du moyen d’accès à l’utilisateur ?

 

Le Plan de Reprise d’Activités

 

Héberger ses workloads dans Azure permet d’assurer une continuité de l’activité lors de l’indisponibilité d’un de vos sites.

AVD permet ainsi de maintenir l’accès à vos postes et vos données même lors d’incidents.

 

La souplesse

 

Si le nombre de collaborateurs de votre équipe de développeurs et de concepteurs vient à croitre ou décroitre subitement, il vous est possible d’adapter les ressources AVD à votre demande.

 

Le M&A (Merge & Acquisition)

 

Lors du rachat d’une entreprise, AVD permet de fournir facilement et de manière sécurisée un accès à votre Système d’Information (SI).

 

Personnalisation de son image

 

Tout d’abord, même si cela n’est pas obligatoire, il est très courant de personnaliser l’environnement proposé aux utilisateurs. On crée ainsi une image personnalisée du système d’exploitation. C’est ce que l’on appelle la personnalisation de son image.

Microsoft propose différentes versions de Windows :

• Server ;
• Client.

Les versions déjà existantes de Windows Server (2016, 2019, 2022) sont disponibles.

Mais notez également que l’arrivée d’AVD a apporté son lot de nouveautés concernant les OS. En effet, Microsoft a développé une version dédiée de Windows Client. Il s’agit de  Windows Enterprise multisession, disponible en versions 10 et 11.

Cette version, que vous ne trouverez que dans AVD, propose un mode multisession sur un OS Windows Client, c’est-à-dire avec un nombre de sessions simultanées supérieur à 2.

 

Expérience utilisateur Windows

 

Cette version conserve l’expérience que vos utilisateurs finaux connaissent déjà avec Windows 10 et 11.

 

Compatibilité des applications

 

Toutes les applications Win32, UWP que vous utilisez restent compatibles avec Windows Enterprise multisession.

 

Une compatibilité et une intégration native avec Microsoft 365

 

Les applications de la suite Microsoft 365 sont donc déjà installées, et validées pour Windows Enterprise multisession.

 

Mises à jour des fonctionnalités 2 fois par an

 

De nouvelles fonctionnalités, ou mises à jour sont publiées dans le cadre du canal d’entreprise semi-annuel deux fois par an, le deuxième mardi de janvier et juillet.

 

Compatibilité native avec AVD et FS Logix

 

Compatibilité avec AVD

L’intégration d’une machine virtuelle dans un environnement Virtual Desktop en tant que session host impose d’installer un agent sur cette dernière pour lui permette de communiquer avec le control plane AVD.

Aucun souci avec les versions d’OS proposées par Azure, cet agent est intégré nativement.

 

Compatibilité avec FSLogix

 

Avant d’aller plus loin, revenons sur ce qu’est FSLogix.

FSLogix est une société créée en 2012 qui proposait des services complémentaires à la solution RDS de Microsoft, FSLogix Apps et FSLogix Profile Container, « destinés à répondre à des besoins critiques qui existent depuis longtemps dans la virtualisation », c’est-à-dire que ces solutions étaient conçues pour améliorer l’expérience Microsoft Office 365 dans les environnements de bureau virtuels (notamment Outlook et OneDrive).

Microsoft acquiert FSLogix en novembre 2018. Son but est d’adopter ses produits au sein de son service de virtualisation de poste de travail afin de simplifier le process de gestion des profils utilisateur, et ainsi réduire les temps de chargement pour ces derniers.

Techniquement, les profils sont stockés dans un fichier appelé « container ». Ce container est un fichier VHD stockant les profils et permettant d’optimiser sa gestion (chargement et sécurité).

Ainsi, les profils étant externalisés sur un espace de stockage (Azure Storage Account) et centralisés, l’utilisateur aura toujours accès à un et un seul contexte utilisateur, quelle que soit la machine sur laquelle il se connecte. Le stockage des données du profil utilisateur est distingué du système d’exploitation.

 

Revenons-en à AVD :

Bien évidemment, vous pouvez gérer les profils des utilisateurs de manière classique. Mais si vous souhaitez gérer vos profils avec FSLogix, là aussi, un agent est nécessaire en local sur la machine.

Aucun souci avec les versions d’OS proposées par Azure, cet agent est intégré nativement. Il vous suffira de le configurer.

Ensuite, il faut savoir que la mise en œuvre d’AVD implique le déploiement de vos sessions hosts, les machines virtuelles sur lesquelles vous partagerez le bureau et/ou les applications publiées.

 

Par expérience, il y a fort à parier que vous ayez en interne certaines exigences (limitations des droits utilisateurs, personnalisation de l’interface graphique, installation de composants de sécurité…) qui devront être respectées. Ce qui signifie que vous serez amenés à déployer des images personnalisées, sur mesure, qui respecteront ces contraintes.

 

Il existe différentes méthodes pour personnaliser ces images. Voici les 4 manières les plus courantes de les customiser.

 

Utiliser l’image du market place à chaque déploiement

 

Cette manière est la plus simple, et celle que je propose en premier plan. Le but est de déployer le session host en s’appuyant sur une image fournie dans Azure Market place. Cela peut être Windows Entreprise multisession ou Windows Server, avec ou sans les applications Microsoft 365 préinstallées.

Puis, vous la personnalisez en exécutant un script PowerShell, développé par vos soins, en fin de création.

 

Avantages :

• Vous utilisez la dernière version de l’OS proposé par Microsoft ;
• Vous n’avez pas à gérer d’espace pour stocker une image personnalisée complète.

 

Inconvénients :

• Vous devez vous assurer que l’image déployée est toujours opérationnelle (est-ce qu’une nouvelle fonctionnalité n’impacte pas mon script ou mes applis) ?
• Toutes les étapes de votre personnalisation doivent être possibles en PowerShell.

 

Créer une golden image

 

Avec cette méthode, vous créez une machine virtuelle classique, que vous personnalisez en installant toutes vos applications et en paramétrant ce dont vous avez besoin. Puis, vous exécutez l’historique et traditionnel outil Sysprep, vous éteignez la machine et vous la désallouez.

Vous obtenez ainsi votre Golden image.

 

Avantages :

• Votre image est figée et vous maitrisez ces modifications ;
• Vous pouvez versionner les images que vous créez.

 

Inconvénients :

• Il est nécessaire de mettre en place une Shared Image Gallery afin d’héberger vos images ;
• Vous serez facturé pour l’espace de stockage.

 

Utiliser Azure VM Image Builder

 

Avec Azure Image Builder, vous pourrez créer une image en vous basant sur un OS Windows ou Linux, sur lequel vous apportez vos personnalisations. Ensuite, vous pourrez stocker cette dernière sur une Azure Shared Images Gallery et en gérer le versioning.

 

Avantages :

• Prend en charge des systèmes d’exploitation autres que ceux AVD. Il peut donc être adopté au-delà d’AVD.
• Écriture de manière déclarative (ARM).

 

Inconvénients :

• N’est pas disponible dans toutes les régions Azure.

 

Utiliser Hashicorp Packer

 

Il s’agit de l’outil open source d’Hashicorp pour créer des images de machine virtuelle. L’image de leur produit Terraform, c’est une approche déclarative.

Pour y parvenir, il vous faudra assurer les prérequis de votre environnement AVD, créer un fichier HCL contenant toutes les instructions de l’image à créer, puis exécuter ce fichier dans Azure.

 

Avantages :

• Vous pouvez facilement personnaliser une image du Market place ;
• Packer est un outil multi-plateforme ;
• Écriture de manière déclarative (HCL).

 

Inconvénients :

• Nécessite de connaitre l’outil Hashicorp Packer (https://www.packer.io/).

 

Vos besoins et vos appétences vous aideront à choisir.

Dans tous les cas, vous pourrez déployer vos sessions en Infrastructure-as-Code (IaC).

 

Les profils utilisateurs

 

Lorsqu’un utilisateur se connecte sur une machine Windows ou Linux, il possède un profil. Communément appelé le profil utilisateur, il s’agit de l’espace de stockage personnel d’un utilisateur et seulement d’un utilisateur. Dans l’environnement Windows, cela comprend le répertoire « mes documents », « mes Images », « ma Musique », mais également toutes les configurations des produits de la famille M365, dont Outlook.

Comme vous l’aurez compris, dans AVD, un utilisateur se connecte à un host pool qui comprend un ensemble de VM, les session hosts. Lors de la connexion, c’est l’algorithme de load balancing qui oriente l’utilisateur vers l’un ou l’autre session hosts. À chaque connexion, le session host peut différer.

Sans mécanisme garantissant un profil « itinérant », l’utilisateur se retrouverait avec un profil par session host, ce qui serait contreproductif et très dommageable en termes d’expérience utilisateur.

Pour parer à cela, Microsoft propose la solution FS Logix. Le but est tout simplement d’externaliser le profil de l’utilisateur sur un espace de stockage (un blob dans un Storage account) accessible par chacun des session hosts. Il suffit ensuite de configurer chacun des session hosts pour leur indiquer où récupérer le profil utilisateur (par base de registre, PowerShell ou GPO).

Il faut noter que l’utilisation de FS Logix est soumise à licence (Cf. infra). De plus, un agent doit être installé en local sur les session hosts, installé par défaut sur les images du Market place pour AVD.

Si cette action n’est pas obligatoire, je recommande très fortement l’utilisation des profils utilisateur par FS Logix.

 

Le licensing d’Azure Virtual Desktop

 

Licences requises pour l’éligibilité à Azure Virtual Desktop

 

Pour les systèmes d’exploitation :

• Windows 11 Entreprise multisession
• Windows 11 Entreprise
• Windows 10 Entreprise multisession
• Windows 10 Entreprise

Vous devez posséder l’une des licences suivantes :

• Microsoft 365 E3/E5
• Microsoft 365 A3/A5/Student Use Benefits
• Microsoft 365 F3
• Microsoft 365 Business Premium
• Windows 11 and Windows 10 Enterprise E3/E5
• Windows 11 and Windows 10 Education A3/A5
• Windows 11 and Windows 10 VDA E3/E5

Pour les systèmes d’exploitation :

• Windows Server 2022
• Windows Server 2019
• Windows Server 2016
• Windows Server 2012 R2

Vous devez posséder une licence d’accès client (CAL) pour les services Bureau à distance (RDS) avec Software Assurance (par utilisateur ou par appareil) ou licences d’abonnement utilisateur RDS.

• RDS CAL license with active Software Assurance (SA) ou
• RDS User Subscription Licenses

 

Licences requises pour FSLogix

 

FSLogix fonctionne sur tous les systèmes d’exploitation pris en charge par Microsoft, notamment :

• Windows 10 et Windows 11
• Windows Server 2012 R2, 2016, 2019, 2022

 

Vous pouvez utiliser FSLogix si vous disposez de l’une des licences suivantes :

• Microsoft 365 E3/E5
• Microsoft 365 A3/A5/ Student Use Benefits
• Microsoft 365 F1/F3
• Microsoft 365 Business
• Windows 10 Enterprise E3/E5
• Windows 10 Education A3/A5
• Windows 10 VDA per user
• Remote Desktop Services (RDS) Client Access License (CAL)
• Remote Desktop Services (RDS) Subscriber Access License (SAL)
• Azure Virtual Desktop per-user access license

 

Matrice de flux

 

Pour déployer et utiliser Azure Virtual Desktop, vous devez débloquer certaines URL afin que vos session hosts puissent y accéder à tout moment.

En voici la liste :

 

Ces flux devront être autorisés dans vos solutions de filtrage.

 

Landing zone

 

Pour vous accompagner dans l’adoption d’Azure Virtual Desktop, Microsoft vous propose des ressources vous permettant de correctement mettre en place la Landing Zone pour AVD.

Cet « accélérateur » vous garantir d’aborder l’ensemble des éléments de l’écosystème AVD :

 

Je vous invite à consulter dans la documentation Microsoft le document d’architecture de Landing Zone pour AVD.

 

Et Windows 365 dans tout ça ?

 

Vous avez certainement entendu parler de Windows 365. Mais alors qu’est-ce qui diffère entre AVD et Windows 365 ? Pourquoi implémenter une solution plutôt qu’une autre ?

Tout d’abord, en résumé, Windows 365 est un service SaaS complet qui permet de publier en toute sécurité votre bureau Windows personnalisé, vos applications, vos paramètres et votre contenu dans le Cloud Microsoft à destination de n’importe quel appareil.

C’est très similaire à AVD me direz-vous. Effectivement, c’est pour cela qu’il vous faut y regarder de plus près pour comparer.

Tout d’abord AVD est une solution PaaS, alors que Windows 365 est une solution SaaS. Cette première différence est importante, et vous indique donc que votre niveau de responsabilité sera différent selon la solution. On peut donc déjà noter qu’AVD vous apportera plus de flexibilité et de contrôle.

 

Windows 365 : le cloud PC

 

• Bureau personnalisé Windows 10 ou Windows 11
• Service Microsoft complet de bout en bout
• Administration à guichet unique dans Microsoft Endpoint Manager (édition Enterprise)
• Modèle de libre-service direct (édition Business)
• Tarification utilisateur prévisible

 

Azure Virtual Desktop : le cloud VDI

 

• Windows 10, Windows 11 ou Windows Server multisessions ou bureaux personnels
• Diffusion d’applications à distance
• Contrôle total de la configuration et de la gestion
• Prise en charge de Citrix et VMware
• Payez pour ce que vous utilisez / consommez.

Si dans les 2 cas, vous pourrez proposer un bureau personnalisé et persistent à vos utilisateurs finaux, Windows 365 ne vous demandera pas de compétences VDI particulières. À l’inverse AVD vous permettra de publier seulement des applications si vous le souhaitez, de choisir la famille de VM sous-jacente (optimisée sur la GPU, Mémoire, vCPU).

 

Comparaison du modèle de responsabilité

 

À l’image du modèle de responsabilité, vous trouverez ci-dessous un tableau de comparaison des différentes solutions :

 

Les éditions Windows 365

 

Avec Windows 365, il vous est possible de choisir entre plusieurs éditions.

 

Windows 365 Business

 

Pour les petites organisations qui n’ont pas (ou n’ont pas besoin) de Microsoft Endpoint Manager. Cette édition vous permet de disposer rapidement d’un PC dans le Cloud prêt à l’emploi, et concentre l’administration sur quelques tâches clés.

• Simplicité d’accueil et d’administration via windows365.microsoft.com
• Aucun prérequis de licence
• Prise en charge d’Azure AD Join
• Gestion de chaque utilisateur
• Limité aux entreprises < 300 utilisateurs

 

Windows 365 Enterprise

 

Pour les organisations de toutes tailles qui souhaitent une intégration approfondie avec Microsoft Endpoint Manager. Windows 365 Enterprise étend de manière transparente votre parc de terminaux existants, en fournissant les outils et les informations nécessaires pour évoluer vers le Cloud.

• Déploiement et gestion via Microsoft Endpoint Manager
• Nécessite une licence pour Windows 11 ou 10 Enterprise, Microsoft Endpoint Manager et Azure Active Directory P1
• Choix entre Azure AD Join et Hybrid Azure AD Join
• Gestion des groupes d’utilisateurs
• Choix de l’image de la galerie Microsoft ou de l’image fournie par le client
• Rapports détaillés et informations exploitables
• Nombre illimité d’utilisateurs

 

Azure Virtual Desktop : ce qu’il faut retenir

 

Azure Virtual Desktop a connu un fort engouement ces dernières années, à la fois par des clients qui connaissaient ce produit et qui ont compris l’intérêt de ne plus avoir à gérer la partie control plane, mais aussi à la suite des évènements de confinement et de télétravail que nous avons connus. En effet, AVD a permis de donner un accès distant à son SI depuis un poste personnel tout en assurant la sécurité.

Nous vous donnons rendez-vous dans un prochain article dans lequel nous aborderons les différentes manières :

• de l’implémenter dans un monde hybride
• de le sécuriser (pare-feu et Private endpoint)
• de limiter son accès avec l’accès conditionnel

sans oublier de vous expliquer les technologies

• de load balancing et
• de reverse connect

qui sont des mécanismes intrinsèques permettant de sécuriser AVD.