Azure VDI - Verbindungsproblem

[MaikHSW 13]

Guten Morgen zusammen,

wir machen die ersten Schritte auf Azure VDI.

Hierzu haben wir einen Hostpool mit einem System (Windows + O365) gebucht und in AAD eingebucht (sehen wir dort auch).

Die Anwendungsgruppe haben wir erstellt und verknüpft, hierauf haben wir zwei AAD-Accounts als Desktopvirtualisierungsbenutzer berechtigt.

Abschließend noch einen Arbeitsbereich und fertig war es.

 

Nun haben wir sowohl über Webzugriff als auch über die App das Problem, dass wir den freigegebenen Desktop zwar sehen, er scheinbar aber Probleme beim Login hat und daher die Credentials immer wieder anfordert.

 

Wo ist unser Fehler, wo müssen wir dort etwas tun? RDP ist an dem Host öffentlich aktiviert, daran sollte es nicht scheitern.

 

Habt vielen Dank.

 

 

Gruß

 

 

[Gerber 15]

Moin,

wird AAD genutzt oder Azure Active Directory Domain Services?

Was heißt die Credentials werden immer wieder angefordert?
Der Desktop wird nicht dargestellt oder ihr müsst diese einfach doppelt eingeben?

 

[MaikHSW 13]

vor 46 Minuten schrieb Gerber:

Moin,

wird AAD genutzt oder Azure Active Directory Domain Services?

Was heißt die Credentials werden immer wieder angefordert?
Der Desktop wird nicht dargestellt oder ihr müsst diese einfach doppelt eingeben?

 

 

Moin, 

AAD wird genutzt.

Der Desktop wird auch nach 3x eingeben und MF nicht dargestellt....

Ideen?

 

 

Gruß

 

 

Maik

[Gerber 15]

Hast du mal versucht das ganze mit dem Remote Desktop Tool zu abbonieren?

Was ist wenn du eine Web App deployst, wird diese dargestellt?

[MaikHSW 13]

vor 44 Minuten schrieb Gerber:

Hast du mal versucht das ganze mit dem Remote Desktop Tool zu abbonieren?

Was ist wenn du eine Web App deployst, wird diese dargestellt?

 

Hey,

ich habe auch mal "nur" Word freigegeben, gleiches Verhalten.

Das mit dem RDP Tool ist das gleiche Verhalten, öffnet sich nicht....

 

 

Gruß

 

[Gerber 15]

Mhh, habe ehrlich gesagt immer AADDS oder Active Directory im Einsatz.

Hatte solch ein Verhalten noch nie gesehen...

[MaikHSW 13]

Gibt es denn eine gesonderte Berechtigung für mögliche User?

Oder ist es "nur" das Recht auf der Anwendungsgruppe?

 

[Gerber 15]

Nein tatsächlich reicht das Recht auf die Anwendungsgruppe aus.

Wie genau spiegelt sich denn der Fehler wieder?
Kommt die Anmeldung und es wird versucht sich anzumelden oder was passiert?

Ich bin mir nicht sicher ob noch eine RBAC Rolle in dem Fall (wenn du Azure Active Directory in der AVD Umgebung zum joinen nutzt) auf den Session Host direkt vergeben werden muss, damit sich die User an den VMs anmelden können.
Dies ist z.B. notwendig, wenn du normale VMs in Azure Active Directory integrierst und sich Azure AD Benutzer auf diesen anmelden wollen. Hierzu wird definitiv noch eine RBAC Rolle benötigt...

 

- Du nutzt denke ich kein FSLOGIX für die Profile?

 

 

EDIT:

Du musst die RBAC ROlle wie gedacht zuweisen, damit sich die Benutzer bei Azure Active Directory AVD Umgebungen an den Session Hosts anmelden können:
 

Zitat

• Weisen Sie Ihren Benutzern die Benutzeranmelderolle der virtuellen Maschine zu, damit sie sich bei den VMs anmelden können.

 

 

bearbeitet 6. Februar 2023 von Gerber

[MaikHSW 13]

Hey,

das klingt nach einer Lösung.

Gibt es da eine Doku oder wie ich das wo mache?

Dann würde ich das mal versuchen.

Hab vielen Dank.

 

Gruß

 

 

Maik

[Gerber 15]

Denke ich doch auch, dass die Rolle bei dir fehlt.

Naja einfach auf die Ressource (VMs) die von mir erwähnte RBAC Rolle zuweisen.

Wichtig!!!

Die Rolle sollte im Idealfall auf die RessourcenGruppe der VM gesetzt werden ,damit alle verbunden Ressourcen mit inbegriffen sind.
NICs, public ip, load balancer etc ...

bearbeitet 6. Februar 2023 von Gerber

[MaikHSW 13]

Am 6.2.2023 um 13:35 schrieb Gerber:

Denke ich doch auch, dass die Rolle bei dir fehlt.

Naja einfach auf die Ressource (VMs) die von mir erwähnte RBAC Rolle zuweisen.

Wichtig!!!

Die Rolle sollte im Idealfall auf die RessourcenGruppe der VM gesetzt werden ,damit alle verbunden Ressourcen mit inbegriffen sind.
NICs, public ip, load balancer etc ...

 

Hey, 

klang zu einfach....

Die Hostgruppe hat die RBAC-Rollen nicht. Dies scheint für Azure VMs, nicht jedoch für VDI Umgebungen zu gelten (Rolle nicht auswählbar).

Daher kann ich weder auf dem System, noch auf dem Hostpool das Recht vergeben.

Any further ideas?

 

 

Gruß

[Gerber 15]

Hey,

naja die Rolle muss auch auf die VM und nicht auf den Hostpool 😅😅
Deswegen nochmal die Frage:

Hast du die Rollen direkt auf die VMs zugewiesen, welche in dem Hostpool vorhanden sind?

[MaikHSW 13]

vor 2 Stunden schrieb Gerber:

Hey,

naja die Rolle muss auch auf die VM und nicht auf den Hostpool 😅😅
Deswegen nochmal die Frage:

Hast du die Rollen direkt auf die VMs zugewiesen, welche in dem Hostpool vorhanden sind?

 

Hey,

ja nee, in dem Hostpool habe ich genau eine VM und auf dieser kann ich keine Rollen zuweisen bzw. verändern.

Die Punkte gibt es im Menü schlicht nicht, auch kein IAM oder anderes.

Daher kann ich dieses Recht dort nicht vergeben. Ist es eine Eigenheit einer VM und Azure VDI ist vielleicht an der Stelle anders?

Es ist ja auch keine "echte" VM, sondern es wird als "Sitzungshost" benannt, was vermutlich bereits den Unterschied ausmacht.

 

 

Gruß

bearbeitet 7. Februar 2023 von MaikHSW

[MaikHSW 13]

Hey @Gerber, 

du hattest Recht, ich bin nur wunderbar falsch abgebogen.

In der VDI Konsole findest du keine RBAC Rollenzuweisung, das ist ein totes Pferd.

Gehst du hingegen auf die virtuelle Maschine selbst (ja, die wird doppelt angezeigt scheinbar!) geht dein Weg genau so und ist die Lösung.

Was mich persönlich daran nervt:

- Warum geht das nicht über die VDI Übersicht?

- Warum ist VDI nicht so intelligent und setzt das Recht mit?

- Wenn VMs aus der VDI Übersicht gelöscht werden ist anzunehmen, dass die VM weg ist. Falsch, denn sie läuft kostenintensiv weiter unter VMs (Seiteneffekt, den ich ebenfalls gefunden habe)

Also aus UX Sicht noch zu  optimieren plus die Doku habe ich bei MS im Bereich VDI nicht gefunden. 

Daher: vielen lieben Dank!

 

 

Gruß

 

 

Maik

[Gerber 15]

Kein Problem.

Naja, es gibt immer Vor und Nachteile und jeder sieht das etwas anders.
Die Azure Virtual Desktop Umgebung wird ständig weiterentwickelt, so dass bestimmte Änderungen mit Sicherheit kommen.

 

Zitat

- Warum geht das nicht über die VDI Übersicht?

Hier musst du Microsoft Fragen

 

Zitat

- Warum ist VDI nicht so intelligent und setzt das Recht mit?

Die Azure Authentifizierung gab/gibt es noch nicht so lange als Möglichkeit die Session Hosts einzubinden.
Eventuell wird dies noch nachgezogen.

Dasselbe Spiel ist aber auch wie erwähnt wenn man außerhalb von AVD die Authentifizierung per Azure AD auf eine VM angibt. Auch dort wird dies nicht automatisch gesetzt.

Vermutlich ist dies so gewollt.

 

Zitat

- Wenn VMs aus der VDI Übersicht gelöscht werden ist anzunehmen, dass die VM weg ist. Falsch, denn sie läuft kostenintensiv weiter unter VMs (Seiteneffekt, den ich ebenfalls gefunden habe)

 

Naja, du bist ja in der AVD Umgebung und löscht somit den SessionHost inklusive Token/Registrierung aus dem Pool.
Auch onPremise wenn du einen Terminalserver Cluster hast und einen Terminalserver entfernst, wird dieser nicht deinstalliert .

 

Zitat

 die Doku habe ich bei MS im Bereich VDI nicht gefunden. 

Das was ich dir geschrieben hatte ist in der Doku von MS vorhanden.
Ich wusste zwar, dass eine Rolle benötigt wird (außerhalb von VDI mit AAD) was mich vllt ein wenig näher an die Info gebracht hat.
Allerdings ist es beschrieben.

 

######

 

Ich denke einfach, dass du zu wenig im Bereich Azure unterwegs bist und dich diese Dinge deswegen stören.

Als Azure Consultant bin ich täglich nur in Azure unterwegs und ja es gibt gewisse Dinge wo man sich denkt, waaaaarum aber auch das Gegenteil.

Azure tickt einfach anders als OnPremise, was man mit er Zeit mitbekommt.

###

 

Zitat

Daher: vielen lieben Dank!

Kein Problem.
Bei Fragen gerne melden.

 

Grüße

Phil