# Azure Virtual Desktop (AVD) Azure Virtual Desktop (AVD)

Azure Virtual Desktop ist der von Microsoft verwaltete Desktop- und App-Virtualisierungsdienst in Azure. Die Plattform kombiniert einen vollständig gemanagten Control Plane mit kundenseitig betriebenen Session Hosts, FSLogix-Profilen, Microsoft Entra ID und Azure-Netzwerkdiensten für skalierbare Remote-Workloads. Azure Virtual Desktop is Microsoft's managed desktop and application virtualization service in Azure. The platform combines a fully managed control plane with customer-operated session hosts, FSLogix profiles, Microsoft Entra ID, and Azure networking services for scalable remote workloads.

Host Pools Host Pools
Pooled oder Personal Pooled or personal
Session Hosts Session Hosts
Azure-VM-Flotte Azure VM fleet
FSLogix FSLogix
Profilcontainer Profile containers
App Attach App Attach
Dynamische MSIX-Apps Dynamic MSIX apps
Scaling Scaling
Zeitplanbasiert Schedule driven
WVD und AVD bezeichnen denselben Kerndienst WVD and AVD refer to the same core service

Windows Virtual Desktop wurde 2021 in Azure Virtual Desktop umbenannt. Mit dem neuen Namen kamen die ARM-basierte Verwaltungsoberfläche, tiefere Azure-Integration, zusätzliche Sicherheitsfunktionen und ein klarer Fokus auf Desktop- und App-Bereitstellung in Enterprise-Landing-Zones. Windows Virtual Desktop was renamed Azure Virtual Desktop in 2021. The new name arrived together with ARM-based management, deeper Azure integration, additional security features, and a clearer focus on desktop and application delivery in enterprise landing zones.

Architektur Architecture

Control Plane, Datenpfad, Reverse Connect und Betriebsgrenzen. Control plane, data path, reverse connect, and operational boundaries.

Bereitstellung Deployment

Host Pools, Application Groups und Workspaces sauber modellieren. Model host pools, application groups, and workspaces cleanly.

Session Hosts Session Hosts

VM-Serien, Images, Gallery-Versionen und Multisession. VM series, images, gallery versions, and multisession.

Netzwerk Networking

VNet-Design, Subnet-Größe, Shortpath und ausgehende Konnektivität. VNet design, subnet sizing, Shortpath, and outbound connectivity.

FSLogix FSLogix

Profilcontainer, Storage-Backends und Registry-Basiskonfiguration. Profile containers, storage backends, and baseline registry configuration.

Sicherheit Security

Conditional Access, Defender, Private Link und Sitzungsrichtlinien. Conditional Access, Defender, Private Link, and session policies.

Monitoring Monitoring

Workbook, Log Analytics, KQL und Agent-Gesundheit. Workbook, Log Analytics, KQL, and agent health.

Autoscaling Autoscaling

Scaling Plans für Ramp-up, Peak und Off-peak. Scaling plans for ramp-up, peak, and off-peak.

App Attach App Attach

MSIX App Attach für dynamische Anwendungsbereitstellung. MSIX App Attach for dynamic application delivery.

PowerShell & Bicep PowerShell & Bicep

Automatisierung mit Az.DesktopVirtualization, Bicep und KQL. Automation with Az.DesktopVirtualization, Bicep, and KQL.

## Architektur Architecture

AVD trennt die Plattform sauber in einen von Microsoft betriebenen Control Plane und einen kundenseitig verantworteten Data Plane. Der Benutzer verbindet sich nicht per eingehendem RDP-Port auf die VM, sondern über Reverse Connect zum Microsoft-Dienst, der die Sitzung an den passenden Session Host vermittelt. AVD cleanly separates the platform into a Microsoft-operated control plane and a customer-responsible data plane. The user does not connect through an inbound RDP port to the VM; instead, Reverse Connect uses the Microsoft service to broker the session to the appropriate session host.

Zum Control Plane gehören Vermittlung, Gateway, Webzugriff, Feed-Veröffentlichung und Telemetrie. Zum Data Plane gehören Session Hosts, VNet, DNS, Identitätsintegration, Profilspeicher sowie die Performance- und Härtungsentscheidungen für die eigentlichen Benutzerworkloads. The control plane includes brokering, gateway, web access, feed publication, and telemetry. The data plane includes session hosts, VNets, DNS, identity integration, profile storage, and the performance and hardening decisions for the actual user workloads.

Control Plane Service Control plane service | Funktion Function | Verwaltet durch Managed by | Hinweise Notes
--- | --- | --- | ---
RD Broker RD Broker | Sitzungsvermittlung, Zuordnung des Benutzers zu einem Host und Lastverteilung. Session brokering, assigning the user to a host, and balancing load. | Microsoft Microsoft | Beachtet Host-Pool-Typ, Drain Mode, Session Limit und Feed-Zuweisung. Honors host pool type, drain mode, session limit, and feed assignment.
RD Gateway RD Gateway | RDP-Proxy und Transport für Reverse Connect über TLS. RDP proxy and transport for Reverse Connect over TLS. | Microsoft Microsoft | Kein direkter öffentlicher RDP-Zugriff auf Session Hosts erforderlich. No direct public RDP access to session hosts is required.
Web Client Web Client | HTML5-Zugriff auf Desktop oder RemoteApp im Browser. HTML5 browser access to desktop or RemoteApp. | Microsoft Microsoft | Nützlich für Gastgeräte, Kioske und Just-in-time-Zugriffe ohne Clientinstallation. Useful for guest devices, kiosks, and just-in-time access without client installation.
Session Hosts Session Hosts | Ausführung von Benutzerdesktop, Apps und GPO-/Intune-Richtlinien. Run user desktops, applications, and GPO/Intune policies. | Kunde Customer | Windows 10/11 Enterprise multisession oder persönliche Single-Session-VMs. Windows 10/11 Enterprise multisession or personal single-session VMs.
FSLogix Storage FSLogix Storage | Persistenter Speicher für Benutzerprofile und optionale Office-Caches. Persistent storage for user profiles and optional Office caches. | Kunde Customer | Typisch Azure Files Premium oder Azure NetApp Files mit SMB. Typically Azure Files Premium or Azure NetApp Files with SMB.
VNet / Subnet VNet / subnet | Namensauflösung, Routing, Private Endpoints und Line-of-Business-Konnektivität. Name resolution, routing, private endpoints, and line-of-business connectivity. | Kunde Customer | Subnet-Sizing, DNS, Firewall und UDRs bestimmen Reichweite und Latenz. Subnet sizing, DNS, firewall, and UDRs define reachability and latency.

Der AVD-Control-Plane ist vollständig gemanagtes PaaS The AVD control plane is fully managed PaaS

Microsoft betreibt Broker, Gateway, Webzugriff und Diensttelemetrie als Plattformdienst. Kundenseitig gemanagt werden nur Session Hosts, Images, Identitätsanbindung, Profilspeicher und die Netzwerkzone, in der die Hosts laufen. Microsoft operates the broker, gateway, web access, and service telemetry as a platform service. Customers manage only session hosts, images, identity integration, profile storage, and the network zone where the hosts run.

- Depth First konsolidiert Sitzungen auf wenigen Hosts und spart Kosten, Breadth First verteilt Last gleichmäßiger für bessere Benutzererfahrung. Depth First consolidates sessions onto fewer hosts and saves cost, while Breadth First spreads load more evenly for a better user experience.
- Reverse Connect reduziert Angriffsfläche, weil keine eingehenden TCP-3389-Regeln auf den Session Hosts benötigt werden. Reverse Connect reduces attack surface because no inbound TCP 3389 rules are required on session hosts.
- Diagnostikdaten aus AVD sollten in denselben Log-Analytics-Arbeitsbereich wie VM- und Security-Daten fließen, damit Korrelationen möglich bleiben. AVD diagnostic data should land in the same Log Analytics workspace as VM and security data so correlations remain possible.
- Ein Host Pool ist eine logische Steuerungsebene; die eigentliche Compute-Kapazität steckt ausschließlich in den Session-Host-VMs. A host pool is a logical control plane object; the actual compute capacity resides entirely in the session-host VMs.

## Bereitstellung Deployment

Die Basishierarchie in AVD besteht aus Host Pools, Application Groups und Workspaces. Der Host Pool beschreibt die Sammlung von Session Hosts und das Verteilungsverhalten. Application Groups publizieren entweder komplette Desktops oder einzelne RemoteApps. Workspaces bündeln diese Anwendungsfeeds für den Endbenutzer. The base hierarchy in AVD consists of host pools, application groups, and workspaces. The host pool describes the collection of session hosts and the load-distribution behavior. Application groups publish either full desktops or individual RemoteApps. Workspaces bundle these application feeds for the end user.

Pooled Host Pools werden für geteilte Kapazität, maximale Auslastung und Standardisierung verwendet. Personal Host Pools weisen einem Benutzer dauerhaft denselben Desktop zu und sind ideal, wenn lokale Maschinenidentität, persistente Gerätebeziehung oder Spezialsoftware gefragt sind. Pooled host pools are used for shared capacity, maximum utilization, and standardization. Personal host pools assign the same desktop to a user permanently and are ideal when local machine identity, persistent device affinity, or specialist software is required.

Desktop Application Groups publizieren den vollständigen Windows-Desktop. RemoteApp Application Groups publizieren nur ausgewählte Anwendungen. Ein Workspace kann mehrere Application Groups bündeln, sodass Abteilungen und Regionen getrennt, aber benutzerfreundlich veröffentlicht werden können. Desktop application groups publish the full Windows desktop. RemoteApp application groups publish selected applications only. A workspace can aggregate multiple application groups so that departments and regions can be separated while still being presented cleanly to users.

Ebene Level | Objekt Object | Zweck Purpose | Beispiel Example
--- | --- | --- | ---
1 1 | Workspace Workspace | Benutzerfeed und logischer Einstiegspunkt für veröffentlichte Ressourcen. User feed and logical landing point for published resources. | ws-emea-prod-01 ws-emea-prod-01
2 2 | Application Group Application Group | Publiziert Desktop oder RemoteApps aus einem Host Pool. Publishes a desktop or RemoteApps from a host pool. | dag-finance-prod-01 oder rag-sap-prod-01 dag-finance-prod-01 or rag-sap-prod-01
3 3 | Host Pool Host Pool | Definiert Lastverteilung, Pooling-Modell, RDP-Eigenschaften und Session-Limits. Defines load balancing, pooling model, RDP properties, and session limits. | hp-pooled-prod-01 hp-pooled-prod-01
4 4 | Session Host Session Host | Tatsächliche Azure-VM, auf der Benutzersitzungen laufen. Actual Azure VM where user sessions run. | avd-prd-001.contoso.local avd-prd-001.contoso.local

- Pro Host Pool sollte ein klares Lastprofil gelten, zum Beispiel Knowledge Worker, Contact Center oder GPU-optimierte CAD-Workloads. Each host pool should represent a clear workload profile such as knowledge workers, contact center, or GPU-optimized CAD workloads.
- Registration Tokens für Session Hosts müssen nur kurzlebig sein und nach dem Join erneuert oder gelöscht werden. Registration tokens for session hosts should be short lived and renewed or removed after join.
- RemoteApp und Desktop sollten nur dann im selben Workspace landen, wenn die Zielgruppe und das Supportmodell identisch sind. RemoteApp and desktop should live in the same workspace only when the target audience and support model are the same.
- Namensstandards nach Region, Umgebung und Persona erleichtern Monitoring, Automatisierung und Kostenanalyse. Naming standards by region, environment, and persona simplify monitoring, automation, and cost analysis.

PowerShell PowerShell

    Import-Module Az.DesktopVirtualization

    $resourceGroup = 'rg-avd-prod-ne'
    $location = 'northeurope'

    $hostPool = New-AzWvdHostPool `
      -ResourceGroupName $resourceGroup `
      -Name 'hp-pooled-prod-01' `
      -Location $location `
      -HostPoolType 'Pooled' `
      -LoadBalancerType 'DepthFirst' `
      -PreferredAppGroupType 'Desktop' `
      -MaxSessionLimit 16 `
      -StartVMOnConnect:$true

    $appGroup = New-AzWvdApplicationGroup `
      -ResourceGroupName $resourceGroup `
      -Name 'dag-pooled-prod-01' `
      -Location $location `
      -ApplicationGroupType 'Desktop' `
      -HostPoolArmPath $hostPool.Id

    $workspace = New-AzWvdWorkspace `
      -ResourceGroupName $resourceGroup `
      -Name 'ws-pooled-prod-01' `
      -Location $location

    Register-AzWvdApplicationGroup `
      -ResourceGroupName $resourceGroup `
      -WorkspaceName $workspace.Name `
      -ApplicationGroupPath $appGroup.Id

## Session Hosts & Images Session Hosts & Images

Session Hosts sind gewöhnliche Azure-VMs, die den AVD-Agent und den Boot Loader ausführen. Für produktive Umgebungen empfiehlt sich ein Golden-Image-Ansatz mit reproduzierbarer Härtung, Sprachpaketen, Microsoft 365 Apps, Sicherheitstools und abgestimmten Performance-Optimierungen. Session hosts are standard Azure VMs that run the AVD agent and boot loader. For production environments, a golden-image approach is recommended with reproducible hardening, language packs, Microsoft 365 Apps, security tools, and tuned performance optimizations.

Die Wahl der VM-Serie hängt stark von Persona, CPU/RAM-Verhältnis, Storage-IO und gegebenenfalls GPU-Bedarf ab. Für Office- und Browser-lastige Workloads werden häufig Dsv5- oder Esv5-Serien gewählt, während Visualisierung und CAD eher NV- oder NC-basierte Profile benötigen. VM series selection depends strongly on persona, CPU-to-RAM ratio, storage I/O, and any GPU requirement. Dsv5 or Esv5 series are often chosen for Office- and browser-heavy workloads, while visualization and CAD require NV- or NC-based profiles more often.

VM-Serie VM series | Typische Nutzung Typical use | Stärken Strengths | Hinweise Notes
--- | --- | --- | ---
D-series v5 D-series v5 | Allgemeine Office-, Browser- und Wissensarbeiter-Desktops. General Office, browser, and knowledge-worker desktops. | Ausgewogenes Verhältnis aus CPU, RAM und Kosten. Balanced CPU, RAM, and cost profile. | Häufig erste Wahl für gepoolte Multisession-Hosts. Often the first choice for pooled multisession hosts.
E-series v5 E-series v5 | Speicherintensive Anwendungen, große Office-Datensätze, Teams und mehrere Browserfenster. Memory-heavy applications, large Office datasets, Teams, and many browser windows. | Mehr RAM pro vCPU reduziert Paging und verbessert Dichte. Higher RAM per vCPU reduces paging and improves density. | Nützlich für rechenarme, aber speicherstarke Personas. Useful for personas that are light on CPU but heavy on memory.
NV-series NV-series | Grafische Workloads, 3D, Visualisierung, GPU-beschleunigte Apps. Graphical workloads, 3D, visualization, and GPU-accelerated apps. | vGPU-Fähigkeiten und bessere Medien-/Rendering-Leistung. vGPU capabilities and stronger media/rendering performance. | Treiberpflege, Lizenzierung und Kosten sorgfältig planen. Plan drivers, licensing, and cost carefully.
F-series F-series | CPU-lastige, aber speicherarme Fachanwendungen und Build-/Test-nahe Desktops. CPU-heavy but memory-light business applications and build/test-adjacent desktops. | Hohe Taktung pro Kern und günstige CPU-Dichte. High clock speed per core and cost-effective CPU density. | Für typische Office-Personas oft zu wenig RAM pro vCPU. Often too little RAM per vCPU for typical Office personas.

Azure Compute Gallery bringt Konsistenz in mehrere Regionen Azure Compute Gallery brings consistency across regions

Nutzen Sie Azure Compute Gallery mit versionierten Images, damit Session Hosts in mehreren Regionen auf identischen Golden Images basieren. Versionen lassen sich kontrolliert promoten, replizieren und bei Problemen gezielt zurückrollen. Use Azure Compute Gallery with versioned images so session hosts across multiple regions are based on identical golden images. Versions can be promoted, replicated, and rolled back in a controlled way when issues occur.

- Ein Golden Image wird typischerweise per Sysprep generalisiert und anschließend als Version in eine Azure Compute Gallery veröffentlicht. A golden image is typically generalized with Sysprep and then published as a version into Azure Compute Gallery.
- Azure Image Builder automatisiert Baseline-Patching, Agent-Installation, Treiber und Validierung in einer nachvollziehbaren Pipeline. Azure Image Builder automates baseline patching, agent installation, drivers, and validation in a repeatable pipeline.
- Microsoft 365 Apps sollten auf Multisession-Betrieb, Shared Computer Activation und Teams Optimization abgestimmt werden. Microsoft 365 Apps should be aligned for multisession operation, shared computer activation, and Teams optimization.
- Antiviren- und Defender-Ausschlüsse für FSLogix und Caches sollten nur nach Herstellervorgaben gesetzt werden. Antivirus and Defender exclusions for FSLogix and caches should be set only according to vendor guidance.

PowerShell PowerShell

    $gallery = New-AzGallery `
      -ResourceGroupName 'rg-images-prod-ne' `
      -Name 'galAvdProdNe' `
      -Location 'northeurope' `
      -Description 'Azure Virtual Desktop gallery'

    $imageDefinition = New-AzGalleryImageDefinition `
      -GalleryName $gallery.Name `
      -ResourceGroupName 'rg-images-prod-ne' `
      -Location 'northeurope' `
      -Name 'win11-23h2-avd-ms' `
      -OsState 'Generalized' `
      -OsType 'Windows' `
      -Publisher 'Contoso' `
      -Offer 'AVD' `
      -Sku 'win11-multisession'

    New-AzGalleryImageVersion `
      -GalleryName $gallery.Name `
      -GalleryImageDefinitionName $imageDefinition.Name `
      -ResourceGroupName 'rg-images-prod-ne' `
      -Name '1.0.0' `
      -Location 'northeurope' `
      -SourceImageId '/subscriptions/<subId>/resourceGroups/rg-images-prod-ne/providers/Microsoft.Compute/images/img-avd-win11-23h2'

### Multisession mit Windows 10/11 Enterprise Multisession with Windows 10/11 Enterprise

Azure Virtual Desktop ist die einzige Microsoft-Plattform, die Windows 10 oder Windows 11 Enterprise im Multisession-Modell bereitstellt. Mehrere Benutzer teilen sich dabei denselben Windows-Client-Host, was Lizenzrechte, Benutzererfahrung und VM-Auslastung deutlich von klassischem VDI oder RDSH unterscheidet. Azure Virtual Desktop is the only Microsoft platform that provides Windows 10 or Windows 11 Enterprise in a multisession model. Multiple users share the same Windows client host, which makes licensing, user experience, and VM utilization notably different from classic VDI or RDSH.

Multisession erhöht die Dichte, erfordert aber klare Governance für CPU-Spitzen, Browser-Speicherverbrauch, Teams-Audio/Video und Profil-I/O. Lasttests pro Persona sind deshalb wichtiger als pauschale Benutzer-pro-vCPU-Regeln. Multisession increases density but requires clear governance for CPU spikes, browser memory consumption, Teams audio/video, and profile I/O. Persona-based load testing is therefore more important than generic users-per-vCPU rules.

- Shared Computer Activation ist für Microsoft 365 Apps in AVD essenziell. Shared Computer Activation is essential for Microsoft 365 Apps in AVD.
- OneDrive Known Folder Move und Files On-Demand reduzieren Profilgröße und Anmeldezeit. OneDrive Known Folder Move and Files On-Demand reduce profile size and sign-in time.
- Session Limits und Drain Mode schützen den Pool während Wartung und Störungsbehebung. Session limits and drain mode protect the pool during maintenance and troubleshooting.

## Netzwerk Networking

Session Hosts werden in ein kundeneigenes VNet eingebunden und verwenden dessen DNS-, Routing- und Sicherheitsrichtlinien. Dadurch können AVD-Desktops private Anwendungen, Dateifreigaben, Domänencontroller, Proxys, Firewalls und Private Endpoints so nutzen wie andere Azure-Workloads auch. Session hosts are joined to a customer-owned VNet and inherit its DNS, routing, and security policies. This allows AVD desktops to use private applications, file shares, domain controllers, proxies, firewalls, and private endpoints just like other Azure workloads.

Für große gepoolte Umgebungen ist ein Subnet im Bereich /24 oder größer oft sinnvoll, weil Session Hosts, Wartungsfenster, Blue/Green-Rollouts und Reservekapazität gleichzeitig Adressen benötigen. Eine zu knappe Adressierung wird bei Scale-out, Rebuilds und kurzfristiger Überbuchung schnell zum Engpass. For large pooled environments, a /24 or larger subnet is often sensible because session hosts, maintenance windows, blue/green rollouts, and reserve capacity all require addresses at the same time. Overly tight address space becomes a bottleneck quickly during scale-out, rebuilds, and temporary overprovisioning.

Option Option | Verwendung Use case | Verwaltung Management | Bemerkungen Remarks
--- | --- | --- | ---
Microsoft-managed network Microsoft-managed network | Schneller Start mit minimalem Netzwerkdesign für bestimmte Bereitstellungsmodelle. Fast start with minimal network design for selected deployment models. | Microsoft Microsoft | Weniger Flexibilität für private App-Konnektivität und eigene Routingpfade. Less flexibility for private application connectivity and custom routing paths.
Customer-managed VNet Customer-managed VNet | Standard für Enterprise-AVD mit Hybridzugriff, DNS-Kontrolle und Segmentierung. Standard choice for enterprise AVD with hybrid access, DNS control, and segmentation. | Kunde Customer | Empfohlen für Landing Zones mit Private Endpoints, Firewalls und Hub-Spoke-Design. Recommended for landing zones with private endpoints, firewalls, and hub-spoke design.
Private Link Private Link | Privater Zugriff auf unterstützte PaaS-Dienste wie Storage, Key Vault oder SQL. Private access to supported PaaS services such as Storage, Key Vault, or SQL. | Kunde Customer | Wichtig für Profilspeicher, Secrets und Datenpfade ohne öffentliches Internet. Important for profile storage, secrets, and data paths without public internet exposure.
RDP Shortpath für gemanagte Netzwerke RDP Shortpath for managed networks | Direkter UDP-basierter Medien- und Datapfad in vertrauenswürdigen Netzwerken. Direct UDP-based media and data path in trusted networks. | Kunde Customer | Senkt Latenz und verbessert Stabilität bei Hybrid- oder Campus-Konnektivität. Reduces latency and improves stability for hybrid or campus connectivity.
RDP Shortpath für öffentliche Netzwerke RDP Shortpath for public networks | Direkter Verbindungsaufbau auch über nicht gemanagte Netze mit zusätzlicher Prüfung. Direct connectivity over unmanaged networks with additional validation. | Kunde Customer | Nützlich für Homeoffice-Szenarien, sofern Firewall und NAT den Pfad zulassen. Useful for work-from-home scenarios when firewall and NAT behavior allow the path.

Erforderliche ausgehende Konnektivität für Session Hosts umfasst in der Praxis HTTPS zu Microsoft Entra ID, AVD-Control-Plane, Azure Monitor und gegebenenfalls Azure Storage oder Key Vault. RDP Shortpath nutzt zusätzlich UDP 3390 zwischen Client und Hostpfad, wenn die Topologie dies erlaubt. Required outbound connectivity for session hosts typically includes HTTPS to Microsoft Entra ID, the AVD control plane, Azure Monitor, and optionally Azure Storage or Key Vault. RDP Shortpath additionally uses UDP 3390 between client and host path when the topology allows it.

- TCP 443 zu AVD-Dienstendpunkten wie wvd.microsoft.com und verwandten Dienstdomänen. TCP 443 to AVD service endpoints such as wvd.microsoft.com and related service domains.
- TCP 443 zu login.microsoftonline.com und anderen Microsoft-Entra-ID-Endpunkten für Authentifizierung und Tokenfluss. TCP 443 to login.microsoftonline.com and other Microsoft Entra ID endpoints for authentication and token flow.
- TCP 443 zu Azure Monitor, Log Analytics und Eventing-Endpunkten für Telemetrie und Health Reporting. TCP 443 to Azure Monitor, Log Analytics, and eventing endpoints for telemetry and health reporting.
- TCP 443 zu Azure Files, Azure NetApp Files, Key Vault oder Anwendungsschnittstellen im eigenen Tenant. TCP 443 to Azure Files, Azure NetApp Files, Key Vault, or application endpoints inside the tenant.
- UDP 3390 für RDP Shortpath, sofern bestmögliche Medienqualität und geringere Latenz gewünscht sind. UDP 3390 for RDP Shortpath when best possible media quality and lower latency are desired.

NSG-Regeln sollten UDP 3390 für RDP Shortpath zulassen NSG rules should allow UDP 3390 for RDP Shortpath

Wenn Shortpath blockiert wird, fällt AVD auf den Gateway-basierten Transport zurück. Die Sitzung funktioniert dann weiterhin, jedoch mit potenziell höherer Latenz und schwächerer Audio-/Video-Performance. When Shortpath is blocked, AVD falls back to the gateway-based transport. The session continues to work, but potentially with higher latency and weaker audio/video performance.

PowerShell PowerShell

    $rg = 'rg-avd-prod-ne'
    $hostPool = 'hp-pooled-prod-01'
    $sessionHost = 'avd-prd-001.contoso.local'

    # Drain Mode aktivieren: keine neuen Sitzungen zulassen.
    Update-AzWvdSessionHost `
      -ResourceGroupName $rg `
      -HostPoolName $hostPool `
      -Name $sessionHost `
      -AllowNewSession:$false

    # In einigen Automationsbeispielen wird dieselbe Aktion als Set-AzWvdSessionHost bezeichnet.
    Set-AzWvdSessionHost `
      -ResourceGroupName $rg `
      -HostPoolName $hostPool `
      -Name $sessionHost `
      -AllowNewSession:$false

## FSLogix Profile Container FSLogix Profile Container

FSLogix ist der Standardmechanismus für persistente Benutzerprofile in AVD. Statt klassischer Roaming Profiles oder User Profile Disks wird das Benutzerprofil als VHDX-Container auf einem zentralen Storage-Backend gemountet. Dadurch bleiben Outlook-Cache, Office-Anmeldung, OneDrive-Metadaten und viele Profilpfade deutlich konsistenter. FSLogix is the standard mechanism for persistent user profiles in AVD. Instead of classic roaming profiles or user profile disks, the user profile is mounted as a VHDX container from a central storage backend. This keeps Outlook cache, Office sign-in state, OneDrive metadata, and many profile paths far more consistent.

Roaming Profiles kopieren viele Dateien bei An- und Abmeldung und skalieren für moderne Office-Workloads schlecht. UPD stammt aus der RDS-Welt und ist funktional eingeschränkter. FSLogix liefert für AVD die beste Kombination aus Performance, Benutzererfahrung und Microsoft-Supportfähigkeit. Roaming profiles copy many files during sign-in and sign-out and scale poorly for modern Office workloads. UPD comes from the RDS world and is functionally more limited. FSLogix provides the best combination of performance, user experience, and Microsoft supportability for AVD.

FSLogix-Komponente FSLogix component | Funktion Function | Typischer Nutzen Typical benefit
--- | --- | ---
Profile Container Profile Container | Mountet das gesamte Benutzerprofil als VHDX. Mounts the entire user profile as a VHDX. | Schnelle Anmeldung und konsistente Windows-/Office-Erfahrung. Fast sign-in and consistent Windows/Office experience.
Office Container Office Container | Separiert Office-bezogene Daten wie OST oder Suchindex. Separates Office-related data such as OST or search index. | Gezielte Optimierung für Outlook und M365-Apps. Targeted optimization for Outlook and Microsoft 365 Apps.
App Masking App Masking | Blendet Anwendungen oder Features abhängig von Regeln ein oder aus. Shows or hides applications or features based on rules. | Unterstützt Persona-spezifische App-Landschaften auf gemeinsamen Images. Supports persona-specific application landscapes on shared images.
Java Rule Editor Java Rule Editor | Verwaltet Java-spezifische Zuweisungen und Regeln. Manages Java-specific assignments and rules. | Hilfreich, wenn mehrere Java-Laufzeiten parallel betrieben werden müssen. Helpful when multiple Java runtimes must coexist.

Storage-Backend Storage backend | IOPS/Performance IOPS/performance | Kosten Cost | HA-Hinweise HA notes
--- | --- | --- | ---
Azure Files SMB Premium Azure Files SMB Premium | Gute Low-Latency-Performance für viele Standard-AVD-Workloads. Good low-latency performance for many standard AVD workloads. | Mittel bis hoch je nach Provisioning. Medium to high depending on provisioning. | Zonen- und Replikationsoptionen prüfen; AD/Entra-Integration sauber testen. Review zone and replication options; test AD/Entra integration carefully.
Azure NetApp Files Azure NetApp Files | Sehr hohe Performance und stabile Latenz für große oder sensible Profile. Very high performance and stable latency for large or sensitive profiles. | Höher, aber oft effizient für große Enterprise-Pools. Higher, but often efficient for large enterprise pools. | Starke Option für kritische Multisession-Umgebungen mit vielen gleichzeitigen Logons. Strong option for critical multisession environments with many concurrent sign-ins.
Storage Spaces Direct Storage Spaces Direct | Abhängig vom Design der zugrunde liegenden HCI-/IaaS-Lösung. Depends on the design of the underlying HCI/IaaS solution. | Variabel, oft komplexer Betrieb. Variable, often with more complex operations. | Nur sinnvoll, wenn eigene Dateidienste bewusst betrieben werden sollen. Useful only when you intentionally want to operate your own file services.

FSLogix-Storage und Session Hosts sollten nicht in verschiedenen Regionen liegen Do not place FSLogix storage and session hosts in different regions

Cross-Region-Latenz verlangsamt Anmeldungen, vergrößert das Risiko für Profilsperren und verschlechtert die Benutzererfahrung deutlich. Platzieren Sie Profile, Session Hosts und Kernanwendungen nach Möglichkeit in derselben Azure-Region oder in einer bewusst getesteten Metro-Architektur. Cross-region latency slows sign-ins, increases the risk of profile locks, and materially degrades user experience. Place profiles, session hosts, and core applications in the same Azure region whenever possible, or in a deliberately tested metro architecture.

- Cloud Cache kann Resilienz verbessern, erhöht aber Komplexität und sollte nur mit klarer Designbegründung eingesetzt werden. Cloud Cache can improve resilience, but it also increases complexity and should be used only with clear design justification.
- Antimalware-Scans auf VHDX-Dateien, Suchindizes und Cache-Pfaden müssen nach Microsoft-Empfehlung abgestimmt werden. Antimalware scans on VHDX files, search indexes, and cache paths must be aligned with Microsoft guidance.
- Profile Cleanup bei Defekten oder abrupten Abmeldungen sollte in den Betriebsprozess eingeplant werden. Profile cleanup after corruption or abrupt sign-outs should be included in the operating model.
- FSLogix-Profilgröße, IOPS-Spitzen und Logon-Dauer gehören zu den wichtigsten Kapazitätsmetriken eines Host Pools. FSLogix profile size, IOPS peaks, and sign-in duration are among the most important capacity metrics for a host pool.

PowerShell PowerShell

    New-Item -Path 'HKLM:\SOFTWARE\FSLogix\Profiles' -Force | Out-Null
    New-ItemProperty -Path 'HKLM:\SOFTWARE\FSLogix\Profiles' -Name 'Enabled' -PropertyType DWord -Value 1 -Force | Out-Null
    New-ItemProperty -Path 'HKLM:\SOFTWARE\FSLogix\Profiles' -Name 'DeleteLocalProfileWhenVHDShouldApply' -PropertyType DWord -Value 1 -Force | Out-Null
    New-ItemProperty -Path 'HKLM:\SOFTWARE\FSLogix\Profiles' -Name 'VHDLocations' -PropertyType MultiString -Value '\\stfslogixprd01.file.core.windows.net\profiles' -Force | Out-Null
    New-ItemProperty -Path 'HKLM:\SOFTWARE\FSLogix\Profiles' -Name 'IsDynamic' -PropertyType DWord -Value 1 -Force | Out-Null

## Benutzererfahrung User Experience

AVD stellt native Clients für Windows, macOS, iOS und Android sowie einen HTML5-Webclient bereit. Welche Option optimal ist, hängt von Gerätestandard, Peripheriebedarf, Sicherheitsmodell und Offline-/Browserrestriktionen ab. AVD offers native clients for Windows, macOS, iOS, and Android, plus an HTML5 web client. The best option depends on device standards, peripheral requirements, security model, and browser/offline constraints.

Die Benutzererfahrung wird neben CPU und Storage stark durch RDP-Eigenschaften geprägt. Hier steuern Administratoren Umleitungen für Zwischenablage, Laufwerke, Drucker, Mikrofon, Kamera oder USB-Geräte sowie Anzeige- und Multimonitor-Verhalten. Beyond CPU and storage, user experience is heavily shaped by RDP properties. Administrators control redirections for clipboard, drives, printers, microphone, camera, and USB devices, as well as display and multi-monitor behavior here.

- Windows App und der klassische Windows AVD Client bieten die größte Funktionsbreite für Peripherie und Multimedia. Windows App and the classic Windows AVD client provide the broadest feature set for peripherals and multimedia.
- Der Web Client eignet sich für browserbasierte Zugriffe ohne lokale Installation, unterstützt aber nicht jede Spezialumleitung. The web client is suitable for browser-based access without local installation, but it does not support every advanced redirection scenario.
- macOS-, iOS- und Android-Clients sind für mobile und BYOD-Szenarien wichtig, sollten aber separat gegen Kamera-, Mikrofon- und Tastatur-Layouts getestet werden. macOS, iOS, and Android clients are important for mobile and BYOD scenarios, but camera, microphone, and keyboard layouts should be tested separately.
- Client-Versionen und Policies sollten zentral überwacht werden, weil Medienoptimierung und Feature-Parität sich laufend weiterentwickeln. Client versions and policies should be monitored centrally because media optimization and feature parity evolve continuously.

RDP-Eigenschaftsgruppe RDP property group | Beispiele Examples | Ziel Goal
--- | --- | ---
Display Display | Mehrere Monitore, dynamische Auflösung, Skalierung, Farbtiefe. Multiple monitors, dynamic resolution, scaling, color depth. | Lesbarkeit, ergonomische Nutzung und GPU-/Bandbreitenbalance. Readability, ergonomic use, and GPU/bandwidth balance.
Devices Devices | Laufwerke, Drucker, Smartcards, Kameras, Mikrofone, USB-Umleitung. Drives, printers, smart cards, cameras, microphones, USB redirection. | Peripherie kontrolliert verfügbar machen. Expose peripherals in a controlled way.
Clipboard Clipboard | Text, Bilder, Dateitransfer und Richtlinien für Copy/Paste. Text, images, file transfer, and policies for copy/paste. | Benutzerkomfort mit Datenabflusskontrolle verbinden. Combine user convenience with data-exfiltration control.
Audio Audio | Wiedergabe lokal oder remote, Mikrofonumleitung, Echounterdrückung. Local or remote playback, microphone redirection, echo suppression. | Teams, Softphones und Medienwiedergabe stabil betreiben. Run Teams, softphones, and media playback reliably.
Session behavior Session behavior | Reconnect, Idle Timeout, Single Sign-On, Startprogramm, AAD-Join-Optionen. Reconnect, idle timeout, single sign-on, start program, AAD join options. | Sitzungsfluss, Sicherheit und Supportbarkeit steuern. Control session flow, security, and supportability.

Teams Media Optimization verbessert Audio und Video deutlich Teams Media Optimization significantly improves audio and video

Für AVD sollte Teams nach Möglichkeit mit Media Optimization betrieben werden. Die Verarbeitung von Audio- und Video-Streams wandert dadurch teilweise auf den Endpunkt, was Latenz senkt und die CPU-Last auf dem Session Host reduziert. Whenever possible, Teams on AVD should use media optimization. This moves part of the audio and video processing to the endpoint, lowering latency and reducing CPU load on the session host.

- Testen Sie Drucker- und USB-Umleitung nur für klar definierte Gerätegruppen, da Fehlersuche und Supportaufwand sonst stark steigen. Enable printer and USB redirection only for clearly defined device groups because troubleshooting and support effort otherwise rise sharply.
- Grafisch anspruchsvolle Apps profitieren von GPU-VMs, dynamischer Auflösung und sauber abgestimmter Bandbreite. Graphics-intensive applications benefit from GPU VMs, dynamic resolution, and cleanly tuned bandwidth.

## Sicherheit Security

AVD-Sicherheit ist eine Kombination aus Identität, Sitzungsrichtlinien, Netzwerksegmentierung, Host-Härtung und Überwachung. Weil der Control Plane gemanagt ist, verschiebt sich der Sicherheitsfokus auf die Identitätskette, den Hostzustand, den Datenpfad zu Anwendungen und den Umgang mit Datenabfluss aus der Sitzung. AVD security is a combination of identity, session policies, network segmentation, host hardening, and monitoring. Because the control plane is managed, the security focus shifts to the identity chain, host state, data path to applications, and the handling of data exfiltration from the session.

Microsoft Entra ID Conditional Access, MFA, Defender for Cloud, Defender for Endpoint, Intune und Azure-Netzwerkfunktionen ergänzen sich. Die stärkste Absicherung entsteht, wenn Zugriff, Gerätezustand, Protokollierung und Reaktion gemeinsam modelliert werden. Microsoft Entra ID Conditional Access, MFA, Defender for Cloud, Defender for Endpoint, Intune, and Azure networking capabilities complement each other. The strongest protection emerges when access, device state, logging, and response are modeled together.

Sicherheitskontrolle Security control | Wirkung What it does | Hinweise Notes
--- | --- | ---
Entra ID Conditional Access Entra ID Conditional Access | Steuert Zugriff nach Benutzer, Risiko, Standort, Gerät oder App. Controls access by user, risk, location, device, or app. | Ideal für Webclient, RemoteApp und privilegierte Administratorpfade. Ideal for the web client, RemoteApp, and privileged admin paths.
MFA MFA | Erzwingt starken zweiten Faktor für Anmeldungen und Kontextwechsel. Requires a strong second factor for sign-ins and context changes. | Sollte mit Authentication Strengths und phishing-resistenten Methoden kombiniert werden. Should be combined with authentication strengths and phishing-resistant methods.
Microsoft Defender for Cloud Microsoft Defender for Cloud | Bewertet Sicherheitslage, JIT-Zugriff, Schwachstellen und Empfehlungen. Assesses security posture, JIT access, vulnerabilities, and recommendations. | Nützlich für Session Hosts, Subscriptions und Governance-Reporting. Useful for session hosts, subscriptions, and governance reporting.
Intune Enrollment Intune enrollment | Verwaltet Compliance, Konfigurationen und Update-Richtlinien für passende Szenarien. Manages compliance, configuration, and update policies where supported. | Besonders relevant für Entra-joined oder personalisierte AVD-Geräte. Especially relevant for Entra-joined or personalized AVD devices.
JIT VM Access JIT VM access | Öffnet Verwaltungsports nur zeitlich begrenzt bei Bedarf. Opens management ports only for a limited time when needed. | Auch bei AVD sollte Admin-Zugriff restriktiv und nachvollziehbar bleiben. Even with AVD, admin access should remain restrictive and traceable.
Private Link Private Link | Hält Storage-, Daten- und Secret-Zugriffe im privaten Netzwerkpfad. Keeps storage, data, and secret access on private network paths. | Wichtig für FSLogix, Key Vault und sensible Backend-Dienste. Important for FSLogix, Key Vault, and sensitive backend services.
Screen Capture Protection Screen Capture Protection | Blockiert Bildschirmaufnahmen in unterstützten Clients. Blocks screen capture in supported clients. | Erhöht Schutz bei sensiblen Fachanwendungen und Daten. Increases protection for sensitive business applications and data.
Watermarking Watermarking | Zeigt Identitäts- oder Sitzungskennzeichen als Overlay an. Displays identity or session markers as an overlay. | Abschreckung und Forensik für Screenshots oder Aufnahmen. Deterrence and forensics for screenshots or recordings.
Clipboard Transfer Restriction Clipboard transfer restriction | Begrenzt oder verhindert Copy/Paste zwischen Client und Session. Limits or blocks copy/paste between client and session. | Wichtige Data-Loss-Prevention-Maßnahme für regulierte Umgebungen. An important data-loss-prevention control for regulated environments.

Session Hosts niemals direkt mit öffentlicher IP exponieren Never expose session hosts directly with a public IP

AVD ist für Reverse Connect ausgelegt. Öffentliche IP-Adressen oder direkte eingehende RDP-Freigaben auf Session Hosts umgehen das Sicherheitsmodell, vergrößern die Angriffsfläche und erschweren Auditing sowie Just-in-time-Kontrolle. AVD is designed for Reverse Connect. Public IP addresses or direct inbound RDP exposure on session hosts bypass the security model, enlarge the attack surface, and make auditing and just-in-time control harder.

AVD-Rolle AVD role | Typischer Scope Typical scope | Einsatz Typical use
--- | --- | ---
Desktop Virtualization Contributor Desktop Virtualization Contributor | Resource Group oder Host-Pool-Ebene Resource group or host-pool scope | Vollständige Verwaltung von AVD-Objekten ohne generelle Owner-Rechte. Full management of AVD objects without broad owner permissions.
Desktop Virtualization User Desktop Virtualization User | Application Group Application group | Endbenutzerberechtigung auf Desktop oder RemoteApp. End-user entitlement to a desktop or RemoteApp.
Desktop Virtualization Session Host Operator Desktop Virtualization Session Host Operator | Host Pool Host pool | Drain Mode, Sitzungssteuerung und Host-nahe Betriebsaufgaben. Drain mode, session control, and host-adjacent operational tasks.
Desktop Virtualization Host Pool Contributor Desktop Virtualization Host Pool Contributor | Host Pool Host pool | Ändert Host-Pool-Eigenschaften ohne vollständige Rechte auf alle AVD-Ressourcen. Changes host-pool properties without full rights across all AVD resources.

- Least Privilege bedeutet in AVD oft getrennte Rollen für Plattformbetrieb, Image-Team, Netzwerk und Helpdesk. Least privilege in AVD often means separate roles for platform operations, image engineering, networking, and help desk.
- Defender for Endpoint auf Session Hosts liefert wertvolle Telemetrie für verdächtige Prozesse, Makros und Browser-Angriffe. Defender for Endpoint on session hosts provides valuable telemetry for suspicious processes, macros, and browser attacks.
- Privileged Access Workstations oder Jump Hosts sollten für AVD-Admin-Konten Standard sein. Privileged access workstations or jump hosts should be standard for AVD administrator accounts.

## Monitoring & Diagnostics Monitoring & Diagnostics

Azure Monitor für AVD liefert Workbooks, Metriken und Diagnoseprotokolle für Verbindungsaufbau, Feed-Probleme, Hostregistrierung und Agent-Gesundheit. Die beste Wirkung erzielt das Monitoring, wenn Host Pool, Application Group und Workspace ihre Diagnostic Settings in denselben Log-Analytics-Workspace schreiben. Azure Monitor for AVD provides workbooks, metrics, and diagnostic logs for connection setup, feed issues, host registration, and agent health. Monitoring delivers the most value when host pool, application group, and workspace diagnostic settings all write to the same Log Analytics workspace.

Wichtige Tabellen in Log Analytics sind WVDConnections, WVDErrors, WVDCheckpoints, WVDHostRegistrations und WVDAgentHealthStatus. Zusammen mit Heartbeat, SecurityEvent, Event und Defender-Daten lässt sich damit der komplette Pfad von Anmeldung bis Betriebssystemproblem nachvollziehen. Important Log Analytics tables include WVDConnections, WVDErrors, WVDCheckpoints, WVDHostRegistrations, and WVDAgentHealthStatus. Combined with Heartbeat, SecurityEvent, Event, and Defender data, they let you trace the full path from sign-in to operating-system issues.

- WVDConnections zeigt Verbindungsstatus, Benutzer, Clientinformationen und Sitzungszustände. WVDConnections shows connection status, user, client information, and session states.
- WVDErrors enthält service- und agentbezogene Fehlercodes für Fehlschläge im Anmeldepfad. WVDErrors contains service and agent error codes for failures in the sign-in path.
- WVDCheckpoints zerlegt den Logon-Prozess in Zeitpunkte und erleichtert Latenzanalysen. WVDCheckpoints breaks the logon process into checkpoints and helps with latency analysis.
- WVDHostRegistrations zeigt, ob Session Hosts sich erfolgreich im Host Pool registrieren. WVDHostRegistrations shows whether session hosts register successfully with the host pool.
- WVDAgentHealthStatus macht den Zustand von Agent und Boot Loader transparent. WVDAgentHealthStatus exposes the health of the AVD agent and boot loader.

Diagnoseziel Diagnostic goal | Abfrageidee Query pattern | Nutzen Insight
--- | --- | ---
Verbindungslatenz Connection latency | WVDCheckpoints nach Zeitdifferenz zwischen PreConnection und ShellStart auswerten. Analyze WVDCheckpoints by time delta between PreConnection and ShellStart. | Zeigt, ob Storage, Authentifizierung oder GPO den Logon verlangsamen. Shows whether storage, authentication, or GPO is slowing down logon.
Anmeldefehler Sign-in failures | WVDErrors nach UserName, ErrorCode und ClientOS gruppieren. Group WVDErrors by UserName, ErrorCode, and ClientOS. | Isoliert wiederkehrende Fehlerbilder pro Anwendung, Client oder Region. Isolates recurring failure patterns per app, client, or region.
Session-Host-Gesundheit Session-host health | WVDAgentHealthStatus mit Heartbeat und CPU/Memory-Metriken korrelieren. Correlate WVDAgentHealthStatus with Heartbeat and CPU/memory metrics. | Erkennt Hosts mit Agentproblemen, Neustartbedarf oder Leistungsengpässen. Detects hosts with agent problems, reboot needs, or performance bottlenecks.

Diagnostic Settings auf Host Pool, App Group und Workspace aktivieren Enable diagnostic settings on host pool, app group, and workspace

Nur wenn alle drei AVD-Ebenen Protokolle senden, lässt sich der End-to-End-Pfad sauber nachvollziehen. Fehlende Daten aus einer Ebene erschweren besonders die Analyse von Feed-, Berechtigungs- und Publikationsfehlern. Only when all three AVD layers send logs can the end-to-end path be reconstructed cleanly. Missing data from one layer makes it especially hard to analyze feed, entitlement, and publication failures.

KQL KQL

    WVDConnections
    | where TimeGenerated > ago(24h)
    | summarize Connections = count() by UserName, State
    | order by Connections desc

## Autoscaling / Auto-Scaling Autoscaling / Auto-Scaling

Scaling Plans automatisieren das Hoch- und Herunterfahren von Session Hosts anhand von Zeitplänen und Lastwerten. Für gepoolte Umgebungen wird damit definiert, wie viele Hosts in Ramp-up, Peak, Ramp-down und Off-peak mindestens verfügbar sind und wann neue Hosts aktiviert oder entleert werden. Scaling plans automate starting and stopping session hosts based on schedules and load values. For pooled environments, they define how many hosts remain available during ramp-up, peak, ramp-down, and off-peak, and when additional hosts are activated or drained.

Wichtig ist die Abstimmung mit Benutzerverhalten, Wartungsfenstern, Update-Ringen und Login-Spitzen. Ein reines Zeitmodell ohne Kenntnis des tatsächlichen Anmeldeprofils spart oft weniger als erwartet oder verschlechtert die Morgen-Performance. The key is to align the plan with user behavior, maintenance windows, update rings, and sign-in peaks. A purely time-based model without real sign-in profile awareness often saves less than expected or degrades morning performance.

Phase Phase | Aktion Action | Typische Schwellen Typical thresholds | Ziel Goal
--- | --- | --- | ---
Ramp-up Ramp-up | Hosts starten und Zielreserve aufbauen. Start hosts and build target reserve capacity. | Minimale Prozentzahl aktiver Hosts vor Arbeitsbeginn. Minimum percentage of active hosts before the workday starts. | Anmeldespitzen abfangen. Absorb sign-in spikes.
Peak Peak | Ausreichend Hosts online halten, neue Hosts bei Schwellwert automatisch aktivieren. Keep enough hosts online and activate more hosts when thresholds are crossed. | CPU, Session-Dichte oder Mindestanzahl aktiver Hosts. CPU, session density, or minimum active-host thresholds. | Stabile Benutzererfahrung zu Kernarbeitszeiten. Stable user experience during core working hours.
Ramp-down Ramp-down | Leere oder entleerte Hosts herunterfahren. Shut down empty or drained hosts. | Abnehmende Sitzungszahlen am Nachmittag oder Abend. Declining session counts later in the day. | Kosten reduzieren, ohne aktive Sitzungen zu stören. Reduce cost without disrupting active sessions.
Off-peak Off-peak | Kleinstmögliche Restkapazität oder Start-on-Connect nutzen. Keep the smallest possible residual capacity or rely on Start VM on Connect. | Nur Notfall- oder Nachtbetrieb vorhalten. Maintain only emergency or overnight capacity. | Maximale Kosteneffizienz außerhalb der Hauptzeiten. Maximize cost efficiency outside peak hours.

Scaling Plans sind kostenlos, Kosten entstehen nur für laufende Hosts Scaling plans are free; you pay only for running hosts

Der AVD-Dienst selbst berechnet keine zusätzliche Gebühr für Scaling Plans. Relevante Kosten entstehen durch laufende VM-Zeit, OS-Disk, Profilspeicher, Netzwerk und ergänzende Sicherheits- oder Monitoring-Dienste. The AVD service itself does not charge an extra fee for scaling plans. Relevant costs come from VM runtime, OS disks, profile storage, networking, and any additional security or monitoring services.

- Start VM on Connect ist besonders für kleine Pools oder Off-peak-Zeiten hilfreich. Start VM on Connect is especially useful for small pools or off-peak periods.
- Drain Mode vor dem Herunterfahren verhindert, dass neue Benutzer auf Hosts landen, die gleich beendet werden. Drain mode before shutdown prevents new users from landing on hosts that are about to be stopped.
- Patch- und Neustartfenster müssen im Scaling Plan berücksichtigt werden, damit Pools nach Updates nicht unterkapazitiv bleiben. Patch and reboot windows must be reflected in the scaling plan so pools do not remain under-capacity after updates.

PowerShell PowerShell

    $plan = New-AzWvdScalingPlan `
      -ResourceGroupName 'rg-avd-prod-ne' `
      -Name 'sp-avd-pooled-prod-01' `
      -Location 'northeurope' `
      -HostPoolType 'Pooled' `
      -TimeZone 'W. Europe Standard Time'

    New-AzWvdScalingPlanPooledSchedule `
      -ResourceGroupName 'rg-avd-prod-ne' `
      -ScalingPlanName $plan.Name `
      -ScalingPlanScheduleName 'weekday-office-hours' `
      -DaysOfWeek @('Monday','Tuesday','Wednesday','Thursday','Friday') `
      -RampUpStartTime '06:30' `
      -RampUpMinimumHostsPct 30 `
      -PeakStartTime '08:00' `
      -RampDownStartTime '17:00' `
      -OffPeakStartTime '19:00' `
      -OffPeakMinimumHostsPct 10

## App Attach / MSIX App Attach App Attach / MSIX App Attach

MSIX App Attach trennt Betriebssystem-Image und Anwendungsbereitstellung stärker voneinander. Anwendungen werden als MSIX-Pakete vorbereitet und bei Bedarf in AVD-Sitzungen eingehängt, anstatt dauerhaft in jedes Golden Image eingebrannt zu werden. MSIX App Attach further separates operating-system images from application delivery. Applications are prepared as MSIX packages and mounted into AVD sessions when needed instead of being permanently baked into every golden image.

Damit lassen sich Image-Versionen schlanker halten und Rollouts gezielter staffeln. App Attach eignet sich vor allem für sauber paketierbare Anwendungen mit wenigen Kernel- oder Treiberabhängigkeiten. Traditionelle Installationen bleiben für komplexe Legacy-Apps oft weiterhin nötig. This keeps image versions leaner and allows more targeted rollout waves. App Attach is most suitable for applications that can be cleanly packaged and have few kernel or driver dependencies. Traditional installations often remain necessary for complex legacy apps.

Schritt Step | Beschreibung Description | Ergebnis Outcome
--- | --- | ---
MSIX paketieren Package as MSIX | Anwendung in ein signiertes MSIX-Paket oder Image-Paket überführen. Convert the application into a signed MSIX package or image package. | Portabler, versionierbarer Paketstand. Portable, versioned package state.
Auf Dateifreigabe hochladen Upload to file share | Paket auf für alle Session Hosts erreichbaren Share legen. Place the package on a share reachable by all session hosts. | Zentraler Paketpfad für Bereitstellung und Updates. Central package path for deployment and updates.
Paket in AVD anlegen Create package in AVD | App Attach Package im AVD-Dienst registrieren. Register the App Attach package in the AVD service. | AVD kennt Version, Pfad und Aktivierungszustand. AVD knows the version, path, and activation state.
Zuweisen an App Group Assign to app group | Paket mit Desktop- oder RemoteApp-Benutzern verknüpfen. Associate the package with desktop or RemoteApp users. | Anwendung wird bedarfsorientiert präsentiert. Application is presented on demand.

App-Attach-Freigaben müssen von allen Session Hosts gleichzeitig erreichbar sein App Attach shares must be reachable by all session hosts at the same time

Wenn einzelne Hosts keinen Zugriff auf den Paketpfad haben, entstehen inkonsistente Anwendungszustände im Pool. Netzwerkpfad, SMB-Berechtigungen, DNS und Paketversionen müssen deshalb für alle Hosts identisch funktionieren. If some hosts cannot reach the package path, the pool ends up with inconsistent application state. Network path, SMB permissions, DNS, and package versions therefore need to work identically across all hosts.

- Code Signing und Paketversionierung gehören in denselben Release-Prozess wie herkömmliche Anwendungsbereitstellung. Code signing and package versioning should be part of the same release process as traditional application deployment.
- Treiber, Browser-Add-ons mit Maschinenkontext oder tiefes COM-/Shell-Integrationstuning erschweren MSIX App Attach. Drivers, machine-context browser add-ins, or deep COM/shell integration can make MSIX App Attach difficult.
- App Attach reduziert Image-Sprawl, ersetzt aber keine saubere Anwendungskompatibilitätsprüfung. App Attach reduces image sprawl but does not replace proper application compatibility testing.

## Disaster Recovery Disaster Recovery

Bei AVD konzentriert sich Disaster Recovery vor allem auf Host Pools, Profilspeicher, Images, Automatisierung und die Erreichbarkeit geschäftskritischer Anwendungen. Der Control Plane ist Microsoft-seitig hochverfügbar; der Engpass liegt meist im kundenseitigen Data Plane und in abhängigen Plattformdiensten. In AVD, disaster recovery focuses mainly on host pools, profile storage, images, automation, and the reachability of business-critical applications. The control plane is highly available on the Microsoft side; the bottleneck usually sits in the customer-managed data plane and dependent platform services.

Session Hosts können oft schneller neu bereitgestellt als vollständig repliziert werden. Darum sollte DR stärker auf reproduzierbare Images, Infrastruktur als Code, FSLogix-Speicherstrategie und Identitäts-/DNS-Resilienz setzen als auf manuelle Host-Rettung. Session hosts can often be rebuilt faster than fully replicated. DR should therefore emphasize reproducible images, infrastructure as code, FSLogix storage strategy, and identity/DNS resilience over manual host rescue.

Strategie Strategy | Beschreibung Description | Geeignet für Best for
--- | --- | ---
Active-active Multi-Region Active-active multi-region | Mehrere Host Pools in verschiedenen Regionen, Benutzer und Workloads verteilt oder umschaltbar. Multiple host pools in different regions with users and workloads distributed or switchable. | Kritische Workloads mit geringer tolerierbarer Unterbrechung. Critical workloads with little tolerance for interruption.
Active-passive mit FSLogix Geo-Replikation Active-passive with FSLogix geo-replication | Sekundäre Region mit vorbereiteten Images und repliziertem Profilspeicher. Secondary region with prepared images and replicated profile storage. | Kostensensitiver DR-Ansatz mit akzeptabler Aktivierungszeit. Cost-sensitive DR approach with acceptable activation time.
Azure Site Recovery für Session Hosts Azure Site Recovery for session hosts | Replikation bestehender Session-Host-VMs in eine Zielregion. Replicate existing session-host VMs into a target region. | Spezialfälle mit schwer reproduzierbaren Hosts oder Legacy-Abhängigkeiten. Special cases with hard-to-rebuild hosts or legacy dependencies.

- Typische RPO-Ziele für Profilspeicher liegen im Minutenbereich, wenn Replikation oder Snapshots sauber umgesetzt sind. Typical RPO targets for profile storage are measured in minutes when replication or snapshots are implemented properly.
- Typische RTO-Ziele hängen davon ab, ob Host Pools bereits warm bereitstehen oder aus Image und IaC neu gebaut werden müssen. Typical RTO targets depend on whether host pools are already warm or have to be rebuilt from images and IaC.
- DNS, Domänencontroller, Key Vault, Storage und line-of-business Anwendungen müssen Teil desselben DR-Plans sein. DNS, domain controllers, Key Vault, storage, and line-of-business applications must all be part of the same DR plan.
- Regelmäßige Failover-Tests sind wichtiger als ein theoretisches RTO im Architekturpapier. Regular failover tests matter more than a theoretical RTO written in an architecture document.

Geo-redundante Azure-Files-Strategien können das Wiederanlaufziel verbessern Geo-redundant Azure Files strategies can improve restart objectives

Geo-redundante oder sekundär replizierte Speicherstrategien für FSLogix helfen, die Wiederanlaufzeit zu verkürzen. Entscheidend ist jedoch der getestete Failover-Prozess inklusive Authentifizierung, SMB-Zugriff, DNS-Umschaltung und erneuter Host-Bereitstellung. Geo-redundant or secondarily replicated storage strategies for FSLogix help shorten restart time. What matters most, however, is a tested failover process that includes authentication, SMB access, DNS cutover, and host redeployment.

## Preismodell / Pricing Pricing Model

Bei AVD entstehen die wesentlichen Kosten nicht durch den Dienst selbst, sondern durch die darunterliegende Infrastruktur. Compute, Profilspeicher, Netzwerk, Sicherheitsdienste und Betriebswerkzeuge bestimmen den Großteil der Gesamtbetriebskosten. With AVD, the major costs do not come from the service itself but from the underlying infrastructure. Compute, profile storage, networking, security services, and operational tooling drive most of the total cost of ownership.

Kosteneffizienz entsteht durch die richtige Poolgröße, Multisession-Dichte, Autoscaling, Reserved Instances oder Savings Plans, passende Storage-SKU und kontrollierte Image-/App-Strategie. Ohne Nutzungsdaten ist Kostenoptimierung in AVD meist nur Vermutung. Cost efficiency comes from the right pool size, multisession density, autoscaling, reserved instances or savings plans, the appropriate storage SKU, and a controlled image/application strategy. Without usage data, cost optimization in AVD is mostly guesswork.

Kostenkomponente Cost component | Beschreibung Description | Bemerkung Notes
--- | --- | ---
Session-Host-VMs Session-host VMs | Compute für laufende Desktop- oder App-Sitzungen. Compute for running desktop or application sessions. | Größter Hebel für Optimierung über Sizing und Autoscaling. Largest optimization lever through sizing and autoscaling.
FSLogix-Storage FSLogix storage | Azure Files, Azure NetApp Files oder andere SMB-Backends für Profile. Azure Files, Azure NetApp Files, or other SMB backends for profiles. | Leistung und Anmeldedauer hängen stark von der gewählten SKU ab. Performance and sign-in duration depend heavily on the chosen SKU.
Networking Egress Networking egress | Ausgehender Datenverkehr zu Nutzern oder angebundenen Diensten. Outbound data transfer to users or connected services. | Medien-Workloads und Regionenmix beeinflussen Egress deutlich. Media workloads and regional mix can materially change egress cost.
AVD-Dienst AVD service | Control Plane, Feed, Brokering und Managementfunktionen. Control plane, feed, brokering, and management functions. | Kein separater AVD-Servicepreis pro Benutzer bei eligiblem Lizenzrecht. No separate per-user AVD service fee when eligible licensing rights exist.
Windows 10/11 Multisession-Recht Windows 10/11 multisession entitlement | Nutzungsrecht über qualifizierende Microsoft- oder Windows-Lizenzen. Usage right through qualifying Microsoft or Windows licenses. | Lizenzberechtigung sauber mit Beschaffung und Compliance abstimmen. Align licensing eligibility carefully with procurement and compliance.

Lizenz License | AVD Right-to-use AVD right to use | Hinweis Note
--- | --- | ---
Microsoft 365 E3 / E5 Microsoft 365 E3 / E5 | Ja Yes | Enthält die erforderlichen Windows-Enterprise-Rechte für AVD-Zugriff. Includes the required Windows Enterprise rights for AVD access.
Microsoft 365 F3 Microsoft 365 F3 | Ja Yes | Geeignet für Frontline-Szenarien, sofern der Workload und Gerätemix passen. Suitable for frontline scenarios when workload and device mix fit.
Windows 10/11 Enterprise E3 / E5 Windows 10/11 Enterprise E3 / E5 | Ja Yes | Bietet das grundlegende Nutzungsrecht für unterstützte AVD-Szenarien. Provides the core usage right for supported AVD scenarios.

AVD selbst hat keine zusätzliche Pro-Benutzer-Gebühr oberhalb der Basislizenz AVD itself has no additional per-user fee beyond the base entitlement

Sobald ein qualifizierendes Windows- oder Microsoft-365-Lizenzrecht vorhanden ist, wird der AVD-Control-Plane nicht separat pro Benutzer berechnet. Kosten entstehen primär in Azure-Infrastruktur und ergänzenden Managementdiensten. Once a qualifying Windows or Microsoft 365 entitlement is in place, the AVD control plane is not billed separately per user. Costs primarily arise from Azure infrastructure and complementary management services.

- Reserved Instances oder Savings Plans sind besonders effektiv für Personal Host Pools und planbare 24x7-Desktops. Reserved Instances or Savings Plans are especially effective for personal host pools and predictable 24x7 desktops.
- Pooled Multisession reduziert Kosten oft drastisch, wenn Persona, Anwendungen und Supportmodell standardisierbar sind. Pooled multisession often reduces cost dramatically when personas, applications, and the support model can be standardized.
- Die teuerste AVD-Umgebung ist oft die, die wegen schlechter Performance überdimensioniert oder wegen schlechter Governance unterausgelastet bleibt. The most expensive AVD environment is often the one that stays oversized because of poor performance or underutilized because of weak governance.

## Vergleich mit Windows 365 und Citrix Comparison with Windows 365 and Citrix

AVD, Windows 365 und Citrix DaaS adressieren ähnliche Zielbilder, setzen aber andere Schwerpunkte. AVD bietet maximale Azure-Nähe, Windows 365 priorisiert Einfachheit und vorhersehbare Benutzerkosten, Citrix DaaS bringt zusätzliche Protokoll- und Managementfunktionen für komplexe Enterprise-Szenarien. AVD, Windows 365, and Citrix DaaS target similar outcomes but emphasize different priorities. AVD offers the deepest Azure integration, Windows 365 prioritizes simplicity and predictable per-user cost, and Citrix DaaS adds protocol and management capabilities for complex enterprise scenarios.

Aspekt Aspect | AVD AVD | Windows 365 Windows 365 | Citrix DaaS Citrix DaaS
--- | --- | --- | ---
Managementmodell Management model | Azure-nativ, hoher Freiheitsgrad, eigenes Betriebsmodell. Azure-native, high flexibility, own operating model. | Stärker serviceorientiert und vereinfacht. More service-oriented and simplified. | Zusätzliche Citrix-Steuerungsebene über Azure oder andere Clouds. Additional Citrix control layer across Azure or other clouds.
VM-Besitz VM ownership | Kunde besitzt und betreibt Session Hosts. Customer owns and operates session hosts. | Microsoft verwaltet Cloud PCs stärker als Dienst. Microsoft manages Cloud PCs more like a service. | Kunde oder Partner betreibt VMs, Citrix steuert Broker/HDX-Ebene. Customer or partner operates VMs while Citrix drives the broker/HDX layer.
Networking Networking | Volle Azure-VNet-Integration und Private-Endpoint-Muster. Full Azure VNet integration and private endpoint patterns. | Einfacher, aber weniger flexibel je nach Edition und Join-Modell. Simpler but less flexible depending on edition and join model. | Sehr flexibel, oft mit zusätzlicher Netzwerk- und Appliance-Komplexität. Very flexible, often with additional networking and appliance complexity.
FSLogix FSLogix | Standardbaustein für persistente Profile. Standard building block for persistent profiles. | Weniger zentral, da personalisierte Cloud PCs häufiger persistent sind. Less central because personalized Cloud PCs are often persistent already. | FSLogix oder alternative Profilstrategien je nach Design. FSLogix or alternative profile strategies depending on design.
Preismodell Pricing model | Azure-Infrastruktur plus qualifizierende Lizenz. Azure infrastructure plus qualifying license. | Fixer Preis pro Benutzer und Cloud PC-Größe. Fixed price per user and Cloud PC size. | Citrix-Lizenz plus darunterliegende Infrastruktur. Citrix license plus underlying infrastructure.
Multisession Multi-session | Ja, zentrale Stärke von AVD. Yes, a core strength of AVD. | Nein, primär persönliche Cloud PCs. No, primarily personal Cloud PCs. | Ja, abhängig vom darunterliegenden Desktop-Modell. Yes, depending on the underlying desktop model.
GPU-Unterstützung GPU support | Ja, über passende Azure-GPU-VMs. Yes, through appropriate Azure GPU VMs. | Begrenzt und stark editionsabhängig. Limited and strongly edition-dependent. | Ja, mit starker Optimierung für spezielle Grafik-Szenarien. Yes, with strong optimization for specialized graphics scenarios.
Citrix HDX Citrix HDX | Nein, AVD nutzt Microsoft Remote Desktop/Reverse Connect. No, AVD uses Microsoft Remote Desktop/Reverse Connect. | Nein, Microsoft-Clientprotokoll. No, Microsoft client protocol. | Ja, Citrix HDX ist ein zentrales Differenzierungsmerkmal. Yes, Citrix HDX is a core differentiator.
Image-Management Image management | Azure Compute Gallery, Image Builder, IaC. Azure Compute Gallery, Image Builder, and IaC. | Einfacher, aber weniger granular in manchen Betriebsmodellen. Simpler but less granular in some operating models. | Stark, aber häufig mit zusätzlicher Tool- und Prozessschicht. Strong, but often with an extra tooling and process layer.
Skalierung Scaling | Scaling Plans und Azure-Automatisierung. Scaling plans and Azure automation. | Größe pro Cloud PC fix, weniger elastisch pro Tag. Cloud PC size is fixed, less elastic during the day. | Citrix Autoscale und weitreichende Policy-Steuerung. Citrix Autoscale and extensive policy control.
Identität Identity | Tief integriert mit Entra ID, AD DS und Hybridmodellen. Deeply integrated with Entra ID, AD DS, and hybrid models. | Stark an Microsoft-Identität gekoppelt. Tightly coupled to Microsoft identity. | Flexible Identity- und Directory-Kopplung, aber komplexer. Flexible identity and directory options, but more complex.
BCDR BCDR | Azure-Regionen, Gallery, FSLogix und IaC als Fundament. Azure regions, gallery, FSLogix, and IaC as the foundation. | Einfacher pro Benutzer, aber weniger steuerbar bei Pool-Szenarien. Simpler per user but less controllable for pooled scenarios. | Sehr ausbaubar, jedoch abhängig von Citrix-Design und Lizenzmodell. Highly expandable, but dependent on Citrix design and licensing model.

Windows 365 steht für Einfachheit, AVD für Flexibilität, Citrix für Spezialfeatures Choose Windows 365 for simplicity, AVD for flexibility, and Citrix for specialized features

Windows 365 passt gut zu klar personalisierten Desktops mit wenig Betriebsaufwand. AVD ist ideal, wenn Multisession, Kostenoptimierung und tiefe Azure-Kontrolle zählen. Citrix lohnt sich besonders dort, wo HDX, Spezialdruck, ausgefeilte Policies oder heterogene Plattformen gefordert sind. Windows 365 fits well when you want clearly personal desktops with low operational overhead. AVD is ideal when multisession, cost optimization, and deep Azure control matter. Citrix is especially valuable when HDX, advanced printing, granular policies, or heterogeneous platforms are required.

## PowerShell & Bicep PowerShell & Bicep

Az.DesktopVirtualization, Az.Compute, Az.Network und Bicep bilden zusammen den Kern einer automatisierbaren AVD-Plattform. Erfolgreiche Umgebungen modellieren Host Pools, Netzwerke, Images, Diagnoseeinstellungen und RBAC konsistent als Code. Az.DesktopVirtualization, Az.Compute, Az.Network, and Bicep together form the core of an automatable AVD platform. Successful environments model host pools, networking, images, diagnostic settings, and RBAC consistently as code.

- Vor jeder Automatisierung sollte der Ressourcenanbieter Microsoft.DesktopVirtualization registriert sein. Before any automation, the Microsoft.DesktopVirtualization resource provider should be registered.
- Deployment-Skripte sollten idempotent sein und dieselben Namens- und Tagging-Regeln wie die Landing Zone verwenden. Deployment scripts should be idempotent and use the same naming and tagging rules as the landing zone.
- Für produktive Pipelines gehören Secret-Handling, RBAC und What-If-Prüfungen in die Release-Logik. Production pipelines should include secret handling, RBAC, and what-if validation in the release logic.

### PowerShell-Bereitstellung PowerShell deployment

PowerShell PowerShell

    Connect-AzAccount
    Set-AzContext -Subscription 'Production-Enterprise'
    Import-Module Az.DesktopVirtualization

    $rg = 'rg-avd-prod-ne'
    $location = 'northeurope'
    $hostPoolName = 'hp-pooled-prod-01'
    $appGroupName = 'dag-pooled-prod-01'
    $workspaceName = 'ws-pooled-prod-01'

    $hostPool = New-AzWvdHostPool `
      -ResourceGroupName $rg `
      -Name $hostPoolName `
      -Location $location `
      -HostPoolType 'Pooled' `
      -LoadBalancerType 'BreadthFirst' `
      -PreferredAppGroupType 'Desktop' `
      -MaxSessionLimit 16 `
      -Description 'Knowledge worker pooled host pool' `
      -StartVMOnConnect:$true

    $appGroup = New-AzWvdApplicationGroup `
      -ResourceGroupName $rg `
      -Name $appGroupName `
      -Location $location `
      -ApplicationGroupType 'Desktop' `
      -FriendlyName 'Finance Desktop' `
      -HostPoolArmPath $hostPool.Id

    $workspace = New-AzWvdWorkspace `
      -ResourceGroupName $rg `
      -Name $workspaceName `
      -Location $location `
      -FriendlyName 'Finance Workspace'

    Register-AzWvdApplicationGroup `
      -ResourceGroupName $rg `
      -WorkspaceName $workspace.Name `
      -ApplicationGroupPath $appGroup.Id

### Betriebsbefehle mit Az.DesktopVirtualization Operations with Az.DesktopVirtualization

PowerShell PowerShell

    $rg = 'rg-avd-prod-ne'
    $hostPool = 'hp-pooled-prod-01'

    Get-AzWvdSessionHost -ResourceGroupName $rg -HostPoolName $hostPool |
        Select-Object Name, AllowNewSession, Status, Sessions

    Disconnect-AzWvdUserSession `
      -ResourceGroupName $rg `
      -HostPoolName $hostPool `
      -SessionHostName 'avd-prd-001.contoso.local' `
      -Id 3

    Remove-AzWvdSessionHost `
      -ResourceGroupName $rg `
      -HostPoolName $hostPool `
      -Name 'avd-prd-009.contoso.local' `
      -Force

### Bicep-Definition für einen Host Pool Bicep definition for a host pool

Bicep Bicep

    param hostPoolName string = 'hp-pooled-prod-01'
    param location string = resourceGroup().location

    resource hostPool 'Microsoft.DesktopVirtualization/hostPools@2024-04-03' = {
      name: hostPoolName
      location: location
      properties: {
        hostPoolType: 'Pooled'
        loadBalancerType: 'BreadthFirst'
        preferredAppGroupType: 'Desktop'
        maxSessionLimit: 16
        startVMOnConnect: true
        validationEnvironment: false
        customRdpProperty: 'audiocapturemode:i:1;redirectclipboard:i:1;redirectprinters:i:0;drivestoredirect:s:*'
        friendlyName: 'Knowledge Worker Pool'
        description: 'Primary AVD pooled host pool'
      }
    }

### KQL für Verbindungsfehler KQL for connection errors

KQL KQL

    WVDErrors
    | where TimeGenerated > ago(24h)
    | summarize Errors = count() by ErrorCode, Source, SessionHostName
    | order by Errors desc