Настройка Приватный канал с помощью виртуального рабочего стола Azure

В этой статье показано, как настроить Приватный канал с виртуальным рабочим столом Azure для частного подключения к удаленным ресурсам. Дополнительные сведения об использовании Приватный канал с виртуальным рабочим столом Azure, включая ограничения, см. в Приватный канал Azure с виртуальным рабочим столом Azure.

Необходимые компоненты

Чтобы использовать Приватный канал с виртуальным рабочим столом Azure, вам потребуется следующее:

• Существующий пул узлов с узлами сеансов, группой приложений и рабочей областью.

• Существующая виртуальная сеть и подсеть , которую вы хотите использовать для частных конечных точек.

• Необходимые разрешения управления доступом на основе ролей Azure для создания частных конечных точек.

• Если вы используете клиент удаленного рабочего стола для Windows, необходимо использовать версию 1.2.4066 или более поздней, чтобы подключиться с помощью частной конечной точки.

• Если вы хотите использовать Azure CLI или Azure PowerShell локально, ознакомьтесь с помощью Azure CLI и Azure PowerShell с виртуальным рабочим столом Azure, чтобы убедиться, что у вас установлено расширение Azure CLI для настольных компьютеров или модуль PowerShell Az.DesktopVirtualization. Кроме того, используйте Azure Cloud Shell.

• Командлеты Azure PowerShell для виртуального рабочего стола Azure, поддерживающие Приватный канал, находятся в предварительной версии. Чтобы использовать эти командлеты, которые были добавлены в версии 5.0.0.0, необходимо скачать и установить предварительную версию модуля Az.DesktopVirtualization.

Включение Приватный канал с помощью Виртуального рабочего стола Azure в подписке

Чтобы использовать Приватный канал с виртуальным рабочим столом Azure, необходимо повторно зарегистрировать поставщик ресурсов Microsoft.DesktopVirtualization в каждой подписке, которую вы хотите использовать Приватный канал с виртуальным рабочим столом Azure.

Внимание

Для Azure для государственных организаций США и Azure, управляемых 21Vianet, также необходимо зарегистрировать функцию для каждой подписки.

Регистрация Приватный канал с помощью виртуального рабочего стола Azure (Только Azure для государственных организаций США и Azure, управляемых только 21Vianet)

Чтобы зарегистрировать Приватный канал виртуального рабочего стола Azure, выполните следующие действия.

1. Войдите на портал Azure.

2. В строке поиска введите подписки и выберите соответствующую запись службы.

3. Выберите имя подписки, а затем в разделе Параметры выберите функции предварительной версии.

4. Выберите раскрывающийся список для типа фильтра и задайте для него значение Microsoft.DesktopVirtualization.

5. Выберите Приватный канал виртуального рабочего стола Azure, а затем нажмите кнопку "Зарегистрировать".

Повторная регистрация поставщика ресурсов

Чтобы повторно зарегистрировать поставщик ресурсов Microsoft.DesktopVirtualization :

1. Войдите на портал Azure.

2. В строке поиска введите подписки и выберите соответствующую запись службы.

3. Выберите имя подписки, а затем в разделе Параметры выберите поставщиков ресурсов.

4. Найдите и выберите Microsoft.DesktopVirtualization, а затем снова зарегистрируйтесь.

5. Убедитесь, что состояние Microsoft.DesktopVirtualization зарегистрировано.

Создание частных конечных точек

В процессе установки вы создаете частные конечные точки для следующих ресурсов в зависимости от вашего сценария.

1. Как клиенты, так и виртуальные машины узла сеансов используют частные маршруты. Вам потребуются следующие частные конечные точки:

   Характер использования	Тип ресурса	Целевой подресурс	Количество конечных точек	Количество IP-адресов
   Подключение ions к пулам узлов	Microsoft.DesktopVirtualization/hostpools	подключение	Один на пул узлов	Четыре на конечную точку
   Скачивание веб-канала	Microsoft.DesktopVirtualization/workspaces	feed	Один на рабочую область	Два на конечную точку
   Начальное обнаружение веб-каналов	Microsoft.DesktopVirtualization/workspaces	global	Только один для всех развертываний виртуального рабочего стола Azure	Один на конечную точку

2. Клиенты используют общедоступные маршруты, а виртуальные машины узла сеансов используют частные маршруты. Вам нужны следующие частные конечные точки. Конечные точки для рабочих областей не требуются.

   Характер использования	Тип ресурса	Целевой подресурс	Количество конечных точек	Количество IP-адресов
   Подключение ions к пулам узлов	Microsoft.DesktopVirtualization/hostpools	подключение	Один на пул узлов	Четыре на конечную точку

Внимание

Выделение IP-адресов может изменяться по мере увеличения спроса на IP-адреса. Во время расширения емкости для частных конечных точек требуются дополнительные адреса. Важно учитывать потенциальное исчерпание адресного пространства и обеспечить достаточное пространство для роста. Дополнительные сведения об определении соответствующей конфигурации сети для частных конечных точек в концентраторе или периферийной топологии см. в дереве принятия решений для Приватный канал развертывания.

Подключение ions к пулам узлов

Чтобы создать частную конечную точку для подресурса подключения к пулу узлов, выберите соответствующую вкладку для сценария и выполните действия.

Портал

Вот как создать частную конечную точку для подресурса подключения для подключений к пулу узлов с помощью портал Azure.

1. Войдите на портал Azure.

2. В строке поиска введите виртуальный рабочий стол Azure и выберите соответствующую запись службы, чтобы перейти к обзору виртуального рабочего стола Azure.

3. Выберите пулы узлов, а затем выберите имя пула узлов, для которого требуется создать вложенный ресурс подключения .

4. В обзоре пула узлов выберите "Сеть", а затем подключения к частной конечной точке и, наконец , новую частную конечную точку.

5. На вкладке "Основы" выполните следующие сведения:

   Параметр	Значение и описание
   Отток подписок	Выберите подписку, в которой вы хотите создать частную конечную точку в раскрывающемся списке.
   Группа ресурсов	Это автоматически по умолчанию использует ту же группу ресурсов, что и рабочая область для частной конечной точки, но вы также можете выбрать альтернативу существующей из раскрывающегося списка или создать новую.
   Имя.	Введите имя новой частной конечной точки.
   Имя сетевого интерфейса	Имя сетевого интерфейса заполняется автоматически на основе имени, заданного частной конечной точкой, но можно также указать другое имя.
   Область/регион	Это автоматически по умолчанию используется в том же регионе Azure, что и рабочая область, где развертывается частная конечная точка. Это должен быть тот же регион, что и виртуальные сети и узлы сеансов.

   После завершения этой вкладки нажмите кнопку "Далее: Ресурс".

6. На вкладке "Ресурс" проверьте значения для подписки, типа ресурса и ресурса, а затем для целевого подресурса выберите подключение. После завершения этой вкладки нажмите кнопку Далее: виртуальная сеть.

7. На вкладке виртуальная сеть заполните следующие сведения:

   Параметр	Значение и описание
   Виртуальная сеть	Выберите виртуальную сеть, в которой вы хотите создать частную конечную точку в раскрывающемся списке.
   Подсеть	Выберите подсеть виртуальной сети, в которой вы хотите создать частную конечную точку в раскрывающемся списке.
   Сетевая политика для частных конечных точек	Выберите изменение , если вы хотите выбрать политику сети подсети. Дополнительные сведения см. в разделе "Управление политиками сети для частных конечных точек".
   Конфигурация частного IP-адреса	Выберите динамически выделить IP-адрес или статически выделить IP-адрес. Адресное пространство находится в выбранной подсети. Если вы решили статически выделить IP-адреса, необходимо заполнить имя и частный IP-адрес для каждого указанного члена.
   Группа безопасности приложений	Необязательно. Выберите существующую группу безопасности приложений для частной конечной точки из раскрывающегося списка или создайте новую. Вы также можете добавить его позже.

   После завершения этой вкладки нажмите кнопку "Далее: DNS".

8. На вкладке DNS выберите, следует ли использовать зону Azure Частная зона DNS, выбрав "Да" или "Нет" для интеграции с частной зоной DNS. Если выбрать "Да", выберите подписку и группу ресурсов, в которой необходимо создать частную зону privatelink.wvd.microsoft.comDNS. Дополнительные сведения см. в статье Конфигурация DNS для частной конечной точки Azure.

   После завершения этой вкладки нажмите кнопку "Далее: Теги".

9. Необязательно. На вкладке "Теги " можно ввести все необходимые пары "имя-значение", а затем нажмите кнопку "Далее: просмотр и создание".

10. На вкладке "Проверка и создание " убедитесь, что проверка проходит и просматривает сведения, используемые во время развертывания.

11. Выберите "Создать ", чтобы создать частную конечную точку для подресурса подключения.

Azure PowerShell

Ниже показано, как создать частную конечную точку для подресурса подключения , используемого для подключений к пулу узлов с помощью модулей Az.Network и Az.DesktopVirtualization PowerShell.

Внимание

В следующих примерах необходимо изменить <placeholder> значения для собственных.

1. Запустите Azure Cloud Shell в портал Azure с типом терминала PowerShell или запустите PowerShell на локальном устройстве.

   1. Если вы используете Cloud Shell, убедитесь, что контекст Azure задан в подписке, которую вы хотите использовать.

   2. Если вы используете PowerShell локально, сначала войдите в Azure PowerShell, убедитесь , что контекст Azure установлен в подписке, которую вы хотите использовать.

2. Получите сведения о виртуальной сети и подсети, которую вы хотите использовать для частной конечной точки, и сохраните их в переменной, выполнив следующие команды:

   # Get the subnet details for the virtual network
   $subnet = (Get-AzVirtualNetwork -Name <VNetName> -ResourceGroupName <ResourceGroupName>).Subnets | ? Name -eq <SubnetName>
   

3. Создайте подключение службы Приватный канал для пула узлов с вложенным ресурсом подключения, выполнив следующие команды.

   # Get the resource ID of the host pool
   $hostPoolId = (Get-AzWvdHostPool -Name <HostPoolName> -ResourceGroupName <ResourceGroupName>).Id
   
   # Create the service connection
   $parameters = @{
       Name = '<ServiceConnectionName>'
       PrivateLinkServiceId = $hostPoolId
       GroupId = 'connection'
   }
   
   $serviceConnection = New-AzPrivateLinkServiceConnection @parameters
   

4. Наконец, создайте частную конечную точку, выполнив команды в одном из следующих примеров.

   1. Чтобы создать частную конечную точку с динамически выделенным IP-адресом:

      # Specify the Azure region. This must be the same region as your virtual network and session hosts.
      $location = '<Location>'
      
      # Create the private endpoint
      $parameters = @{
          Name = '<PrivateEndpointName>'
          ResourceGroupName = '<ResourceGroupName>'
          Location = $location
          Subnet = $subnet
          PrivateLinkServiceConnection = $serviceConnection
      }
      
      New-AzPrivateEndpoint @parameters
      

   2. Чтобы создать частную конечную точку со статически выделенными IP-адресами:

      # Specify the Azure region. This must be the same region as your virtual network and session hosts.
      $location = '<Location>'
      
      # Create a hash table for each private endpoint IP configuration
      $ip1 = @{
          Name = 'ipconfig1'
          GroupId = 'connection'
          MemberName = 'broker'
          PrivateIPAddress = '<IPAddress>'
      }
      
      $ip2 = @{
          Name = 'ipconfig2'
          GroupId = 'connection'
          MemberName = 'diagnostics'
          PrivateIPAddress = '<IPAddress>'
      }
      
      $ip3 = @{
          Name = 'ipconfig3'
          GroupId = 'connection'
          MemberName = 'gateway-ring-map'
          PrivateIPAddress = '<IPAddress>'
      }
      
      $ip4 = @{
          Name = 'ipconfig4'
          GroupId = 'connection'
          MemberName = 'web'
          PrivateIPAddress = '<IPAddress>'
      }
      
      # Create the private endpoint IP configurations
      $ipConfig1 = New-AzPrivateEndpointIpConfiguration @ip1
      $ipConfig2 = New-AzPrivateEndpointIpConfiguration @ip2
      $ipConfig3 = New-AzPrivateEndpointIpConfiguration @ip3
      $ipConfig4 = New-AzPrivateEndpointIpConfiguration @ip4
      
      # Create the private endpoint
      $parameters = @{
          Name = '<PrivateEndpointName>'
          ResourceGroupName = '<ResourceGroupName>'
          Location = $location
          Subnet = $subnet
          PrivateLinkServiceConnection = $serviceConnection
          IpConfiguration = $ipConfig1, $ipConfig2, $ipConfig3, $ipConfig4
      }
      
      New-AzPrivateEndpoint @parameters
      

   Выходные данные должны совпадать со следующими выходными данными. Убедитесь, что значение для ProvisioningState выполнено успешно.

   ResourceGroupName Name            Location ProvisioningState Subnet
   ----------------- ----            -------- ----------------- ------
   privatelink       endpoint-hp01   uksouth  Succeeded
   

5. Необходимо настроить DNS для частной конечной точки, чтобы разрешить DNS-имя частной конечной точки в виртуальной сети. Имя частной зоны DNS .privatelink.wvd.microsoft.com Инструкции по созданию и настройке частной зоны DNS с помощью Azure PowerShell см. в статье "Настройка частной зоны DNS".

Azure CLI

Ниже показано, как создать частную конечную точку для подресурса подключения, используемого для подключений к пулу узлов с помощью расширений сетевой и desktopvirtualization для Azure CLI.

Внимание

В следующих примерах необходимо изменить <placeholder> значения для собственных.

1. Запустите Azure Cloud Shell в портал Azure с типом терминала Bash или запустите Azure CLI на локальном устройстве.

   1. Если вы используете Cloud Shell, убедитесь, что контекст Azure задан в подписке, которую вы хотите использовать.

   2. Если вы используете Azure CLI локально, сначала войдите в Azure CLI, убедитесь , что контекст Azure установлен в подписке, которую вы хотите использовать.

2. Создайте подключение службы Приватный канал и частную конечную точку для пула узлов с вложенным ресурсом подключения, выполнив команды в одном из следующих примеров.

   1. Чтобы создать частную конечную точку с динамически выделенным IP-адресом:

      # Specify the Azure region. This must be the same region as your virtual network and session hosts.
      location=<Location>
      
      # Get the resource ID of the host pool
      hostPoolId=$(az desktopvirtualization hostpool show \
          --name <HostPoolName> \
          --resource-group <ResourceGroupName> \
          --query [id] \
          --output tsv)
      
      # Create a service connection and the private endpoint
      az network private-endpoint create \
          --name <PrivateEndpointName> \
          --resource-group <ResourceGroupName> \
          --location $location \
          --vnet-name <VNetName> \
          --subnet <SubnetName> \
          --connection-name <ConnectionName> \
          --private-connection-resource-id $hostPoolId \
          --group-id connection \
          --output table
      

   2. Чтобы создать частную конечную точку со статически выделенными IP-адресами:

      # Specify the Azure region. This must be the same region as your virtual network and session hosts.
      location=<Location>
      
      # Get the resource ID of the host pool
      hostPoolId=$(az desktopvirtualization hostpool show \
          --name <HostPoolName> \
          --resource-group <ResourceGroupName> \
          --query [id] \
          --output tsv)
      
      # Store each private endpoint IP configuration in a variable
      ip1={name:ipconfig1,group-id:connection,member-name:broker,private-ip-address:<IPAddress>}
      ip2={name:ipconfig2,group-id:connection,member-name:diagnostics,private-ip-address:<IPAddress>}
      ip3={name:ipconfig3,group-id:connection,member-name:gateway-ring-map,private-ip-address:<IPAddress>}
      ip4={name:ipconfig4,group-id:connection,member-name:web,private-ip-address:<IPAddress>}
      
      # Create a service connection and the private endpoint
      az network private-endpoint create \
          --name <PrivateEndpointName> \
          --resource-group <ResourceGroupName> \
          --location $location \
          --vnet-name <VNetName> \
          --subnet <SubnetName> \
          --connection-name <ConnectionName> \
          --private-connection-resource-id $hostPoolId \
          --group-id connection \
          --ip-configs [$ip1,$ip2,$ip3,$ip4] \
          --output table
      

   Выходные данные должны совпадать со следующими выходными данными. Убедитесь, что значение для ProvisioningState выполнено успешно.

   CustomNetworkInterfaceName    Location    Name                  ProvisioningState    ResourceGroup
   ----------------------------  ----------  --------------------  -------------------  ---------------
                                 uksouth     endpoint-hp01         Succeeded            privatelink
   

3. Необходимо настроить DNS для частной конечной точки, чтобы разрешить DNS-имя частной конечной точки в виртуальной сети. Имя частной зоны DNS .privatelink.wvd.microsoft.com Инструкции по созданию и настройке частной зоны DNS с помощью Azure CLI см. в статье "Настройка частной зоны DNS".

Внимание

Необходимо создать частную конечную точку для подресурса подключения для каждого пула узлов, который вы хотите использовать с Приватный канал.

---

Скачивание веб-канала

Чтобы создать частную конечную точку для подресурса канала для рабочей области, выберите соответствующую вкладку для вашего сценария и выполните действия.

Портал

1. В обзоре виртуального рабочего стола Azure выберите рабочие области, а затем выберите имя рабочей области, для которой требуется создать подресурс веб-канала .

2. В обзоре рабочей области выберите "Сеть", затем подключения к частной конечной точке и, наконец , новую частную конечную точку.

3. На вкладке "Основы" выполните следующие сведения:

   Параметр	Значение и описание
   Отток подписок	Выберите подписку, в которой вы хотите создать частную конечную точку в раскрывающемся списке.
   Группа ресурсов	Это автоматически по умолчанию использует ту же группу ресурсов, что и рабочая область для частной конечной точки, но вы также можете выбрать альтернативу существующей из раскрывающегося списка или создать новую.
   Имя.	Введите имя новой частной конечной точки.
   Имя сетевого интерфейса	Имя сетевого интерфейса заполняется автоматически на основе имени, заданного частной конечной точкой, но можно также указать другое имя.
   Область/регион	Это автоматически по умолчанию используется в том же регионе Azure, что и рабочая область, где развертывается частная конечная точка. Это должен быть тот же регион, что и виртуальная сеть.

   После завершения этой вкладки нажмите кнопку "Далее: Ресурс".

4. На вкладке "Ресурс" проверьте значения для подписки, типа ресурса и ресурса, а затем для целевого подресурса выберите веб-канал. После завершения этой вкладки нажмите кнопку Далее: виртуальная сеть.

5. На вкладке виртуальная сеть заполните следующие сведения:

   Параметр	Значение и описание
   Виртуальная сеть	Выберите виртуальную сеть, в которой вы хотите создать частную конечную точку в раскрывающемся списке.
   Подсеть	Выберите подсеть виртуальной сети, в которой вы хотите создать частную конечную точку в раскрывающемся списке.
   Сетевая политика для частных конечных точек	Выберите изменение , если вы хотите выбрать политику сети подсети. Дополнительные сведения см. в разделе "Управление политиками сети для частных конечных точек".
   Конфигурация частного IP-адреса	Выберите динамически выделить IP-адрес или статически выделить IP-адрес. Адресное пространство находится в выбранной подсети. Если вы решили статически выделить IP-адреса, необходимо заполнить имя и частный IP-адрес для каждого указанного члена.
   Группа безопасности приложений	Необязательно. Выберите существующую группу безопасности приложений для частной конечной точки из раскрывающегося списка или создайте новую. Вы также можете добавить его позже.

   После завершения этой вкладки нажмите кнопку "Далее: DNS".

6. На вкладке DNS выберите, следует ли использовать зону Azure Частная зона DNS, выбрав "Да" или "Нет" для интеграции с частной зоной DNS. Если выбрать "Да", выберите подписку и группу ресурсов, в которой необходимо создать частную зону privatelink.wvd.microsoft.comDNS. Дополнительные сведения см. в статье Конфигурация DNS для частной конечной точки Azure.

   После завершения этой вкладки нажмите кнопку "Далее: Теги".

7. Необязательно. На вкладке "Теги " можно ввести все необходимые пары "имя-значение", а затем нажмите кнопку "Далее: просмотр и создание".

8. На вкладке "Проверка и создание " убедитесь, что проверка проходит и просматривает сведения, используемые во время развертывания.

9. Выберите "Создать ", чтобы создать частную конечную точку для подресурса канала.

Azure PowerShell

1. В том же сеансе PowerShell создайте подключение службы Приватный канал для рабочей области с подресурсом канала, выполнив следующие команды. В этих примерах используются та же виртуальная сеть и подсеть.

   # Get the resource ID of the workspace
   $workspaceId = (Get-AzWvdWorkspace -Name <WorkspaceName> -ResourceGroupName <ResourceGroupName>).Id
   
   # Create the service connection
   $parameters = @{
       Name = '<ServiceConnectionName>'
       PrivateLinkServiceId = $workspaceId
       GroupId = 'feed'
   }
   
   $serviceConnection = New-AzPrivateLinkServiceConnection @parameters
   

2. Наконец, создайте частную конечную точку, выполнив команды в одном из следующих примеров.

   1. Чтобы создать частную конечную точку с динамически выделенным IP-адресом:

      # Specify the Azure region. This must be the same region as your virtual network.
      $location = '<Location>'
      
      # Create the private endpoint
      $parameters = @{
          Name = '<PrivateEndpointName>'
          ResourceGroupName = '<ResourceGroupName>'
          Location = $location
          Subnet = $subnet
          PrivateLinkServiceConnection = $serviceConnection
      }
      
      New-AzPrivateEndpoint @parameters
      

   2. Чтобы создать частную конечную точку со статически выделенным IP-адресом:

      # Specify the Azure region. This must be the same region as your virtual network.
      $location = '<Location>'
      
      # Create a hash table for each private endpoint IP configuration
      $ip1 = @{
          Name = 'ipconfig1'
          GroupId = 'feed'
          MemberName = 'web-r1'
          PrivateIPAddress = '<IPAddress>'
      }
      
      $ip2 = @{
          Name = 'ipconfig2'
          GroupId = 'feed'
          MemberName = 'web-r0'
          PrivateIPAddress = '<IPAddress>'
      }
      
      # Create the private endpoint IP configurations
      $ipConfig1 = New-AzPrivateEndpointIpConfiguration @ip1
      $ipConfig2 = New-AzPrivateEndpointIpConfiguration @ip2
      
      # Create the private endpoint
      $parameters = @{
          Name = '<PrivateEndpointName>'
          ResourceGroupName = '<ResourceGroupName>'
          Location = $location
          Subnet = $subnet
          PrivateLinkServiceConnection = $serviceConnection
          IpConfiguration = $ipConfig1, $ipConfig2
      }
      
      New-AzPrivateEndpoint @parameters
      

   Результат должен быть аналогичен следующему. Убедитесь, что значение для ProvisioningState выполнено успешно.

   ResourceGroupName Name            Location ProvisioningState Subnet
   ----------------- ----            -------- ----------------- ------
   privatelink       endpoint-ws01   uksouth  Succeeded
   

3. Необходимо настроить DNS для частной конечной точки, чтобы разрешить DNS-имя частной конечной точки в виртуальной сети. Имя частной зоны DNS .privatelink.wvd.microsoft.com Инструкции по созданию и настройке частной зоны DNS с помощью Azure PowerShell см. в статье "Настройка частной зоны DNS".

Azure CLI

1. В том же сеансе CLI создайте подключение службы Приватный канал и частную конечную точку для рабочей области с подресурсом канала, выполнив следующие команды.

   1. Чтобы создать частную конечную точку с динамически выделенным IP-адресом:

      # Specify the Azure region. This must be the same region as your virtual network.
      location=<Location>
      
      # Get the resource ID of the workspace
      workspaceId=$(az desktopvirtualization workspace show \
          --name <WorkspaceName> \
          --resource-group <ResourceGroupName> \
          --query [id] \
          --output tsv)
      
      # Create a service connection and the private endpoint
      az network private-endpoint create \
          --name <PrivateEndpointName> \
          --resource-group <ResourceGroupName> \
          --location $location \
          --vnet-name <VNetName> \
          --subnet <SubnetName> \
          --connection-name <ConnectionName> \
          --private-connection-resource-id $workspaceId \
          --group-id feed \
          --output table
      

   2. Чтобы создать частную конечную точку со статически выделенными IP-адресами:

      # Specify the Azure region. This must be the same region as your virtual network.
      location=<Location>
      
      # Get the resource ID of the workspace
      workspaceId=$(az desktopvirtualization workspace show \
          --name <WorkspaceName> \
          --resource-group <ResourceGroupName> \
          --query [id] \
          --output tsv)
      
      # Store each private endpoint IP configuration in a variable
      ip1={name:ipconfig1,group-id:feed,member-name:web-r1,private-ip-address:<IPAddress>}
      ip2={name:ipconfig2,group-id:feed,member-name:web-r0,private-ip-address:<IPAddress>}
      
      # Create a service connection and the private endpoint
      az network private-endpoint create \
          --name <PrivateEndpointName> \
          --resource-group <ResourceGroupName> \
          --location $location \
          --vnet-name <VNetName> \
          --subnet <SubnetName> \
          --connection-name <ConnectionName> \
          --private-connection-resource-id $workspaceId \
          --group-id feed \
          --ip-configs [$ip1,$ip2] \
          --output table
      

   Результат должен быть аналогичен следующему. Убедитесь, что значение для ProvisioningState выполнено успешно.

   CustomNetworkInterfaceName    Location    Name                  ProvisioningState    ResourceGroup
   ----------------------------  ----------  --------------------  -------------------  ---------------
                                 uksouth     endpoint-ws01         Succeeded            privatelink
   

2. Необходимо настроить DNS для частной конечной точки, чтобы разрешить DNS-имя частной конечной точки в виртуальной сети. Имя частной зоны DNS .privatelink.wvd.microsoft.com Инструкции по созданию и настройке частной зоны DNS с помощью Azure CLI см. в статье "Настройка частной зоны DNS".

Внимание

Необходимо создать частную конечную точку для подресурса канала для каждой рабочей области, которую вы хотите использовать с Приватный канал.

Начальное обнаружение веб-каналов

Чтобы создать частную конечную точку для глобального подресурса, используемого для первоначального обнаружения веб-канала, выберите соответствующую вкладку для вашего сценария и выполните действия.

Внимание

• Создайте только одну частную конечную точку для глобального подресурса для всех развертываний Виртуального рабочего стола Azure.

• Частная конечная точка глобального подресурса любой рабочей области управляет общим полным доменным именем (FQDN) для первоначального обнаружения веб-канала. Это, в свою очередь, обеспечивает обнаружение веб-каналов для всех рабочих областей. Так как рабочая область, подключенная к частной конечной точке, так важна, удаление приведет к остановке работы всех процессов обнаружения веб-каналов. Рекомендуется создать неиспользуемую рабочую область заполнителя для глобального подресурса.

Портал

1. В обзоре виртуального рабочего стола Azure выберите рабочие области, а затем выберите имя рабочей области, которую вы хотите использовать для глобального подресурса.

   1. Необязательно. Вместо этого создайте рабочую область заполнителя, чтобы завершить глобальную конечную точку, выполнив инструкции по созданию рабочей области.

2. В обзоре рабочей области выберите "Сеть", затем подключения к частной конечной точке и, наконец , новую частную конечную точку.

3. На вкладке "Основы" выполните следующие сведения:

   Параметр	Значение и описание
   Отток подписок	Выберите подписку, в которой вы хотите создать частную конечную точку в раскрывающемся списке.
   Группа ресурсов	Это автоматически по умолчанию использует ту же группу ресурсов, что и рабочая область для частной конечной точки, но вы также можете выбрать альтернативу существующей из раскрывающегося списка или создать новую.
   Имя.	Введите имя новой частной конечной точки.
   Имя сетевого интерфейса	Имя сетевого интерфейса заполняется автоматически на основе имени, заданного частной конечной точкой, но можно также указать другое имя.
   Область/регион	Это автоматически по умолчанию используется в том же регионе Azure, что и рабочая область, где будет развернута частная конечная точка. Это должен быть тот же регион, что и виртуальная сеть.

   После завершения этой вкладки нажмите кнопку "Далее: Ресурс".

4. На вкладке "Ресурс" проверьте значения для подписки, типа ресурса и ресурса, а затем для целевого подресурса выберите глобальный. После завершения этой вкладки нажмите кнопку Далее: виртуальная сеть.

5. На вкладке виртуальная сеть заполните следующие сведения:

   Параметр	Значение и описание
   Виртуальная сеть	Выберите виртуальную сеть, в которой вы хотите создать частную конечную точку в раскрывающемся списке.
   Подсеть	Выберите подсеть виртуальной сети, в которой вы хотите создать частную конечную точку в раскрывающемся списке.
   Сетевая политика для частных конечных точек	Выберите изменение , если вы хотите выбрать политику сети подсети. Дополнительные сведения см. в разделе "Управление политиками сети для частных конечных точек".
   Конфигурация частного IP-адреса	Выберите динамически выделить IP-адрес или статически выделить IP-адрес. Адресное пространство находится в выбранной подсети. Если вы решили статически выделить IP-адреса, необходимо заполнить имя и частный IP-адрес для каждого указанного члена.
   Группа безопасности приложений	Необязательно. Выберите существующую группу безопасности приложений для частной конечной точки из раскрывающегося списка или создайте новую. Вы также можете добавить его позже.

   После завершения этой вкладки нажмите кнопку "Далее: DNS".

6. На вкладке DNS выберите, следует ли использовать зону Azure Частная зона DNS, выбрав "Да" или "Нет" для интеграции с частной зоной DNS. Если выбрать "Да", выберите подписку и группу ресурсов, в которой необходимо создать частную зону privatelink-global.wvd.microsoft.comDNS. Дополнительные сведения см. в статье Конфигурация DNS для частной конечной точки Azure.

   После завершения этой вкладки нажмите кнопку "Далее: Теги".

7. Необязательно. На вкладке "Теги " можно ввести все необходимые пары "имя-значение", а затем нажмите кнопку "Далее: просмотр и создание".

8. На вкладке "Проверка и создание " убедитесь, что проверка проходит и просматривает сведения, используемые во время развертывания.

9. Выберите "Создать ", чтобы создать частную конечную точку для глобального подресурса.

Azure PowerShell

1. Необязательно. Создайте рабочую область заполнителя, чтобы завершить глобальную конечную точку, выполнив инструкции по созданию рабочей области.

2. В том же сеансе PowerShell создайте подключение службы Приватный канал для рабочей области с глобальным вложенным ресурсом, выполнив следующие команды. В этих примерах используются та же виртуальная сеть и подсеть.

   # Get the resource ID of the workspace
   $workspaceId = (Get-AzWvdWorkspace -Name <WorkspaceName> -ResourceGroupName <ResourceGroupName>).Id
   
   # Create the service connection
   $parameters = @{
       Name = '<ServiceConnectionName>'
       PrivateLinkServiceId = $workspaceId
       GroupId = 'global'
   }
   
   $serviceConnection = New-AzPrivateLinkServiceConnection @parameters
   

3. Наконец, создайте частную конечную точку, выполнив команды в одном из следующих примеров.

   1. Чтобы создать частную конечную точку с динамически выделенным IP-адресом:

      # Specify the Azure region. This must be the same region as your virtual network.
      $location = '<Location>'
      
      # Create the private endpoint
      $parameters = @{
          Name = '<PrivateEndpointName>'
          ResourceGroupName = '<ResourceGroupName>'
          Location = $location
          Subnet = $subnet
          PrivateLinkServiceConnection = $serviceConnection
      }
      
      New-AzPrivateEndpoint @parameters
      

   2. Чтобы создать частную конечную точку со статически выделенным IP-адресом:

      # Specify the Azure region. This must be the same region as your virtual network.
      $location = '<Location>'
      
      $ip = @{
          Name = '<IPConfigName>'
          GroupId = 'global'
          MemberName = 'web'
          PrivateIPAddress = '<IPAddress>'
      }
      
      $ipConfig = New-AzPrivateEndpointIpConfiguration @ip
      
      # Create the private endpoint
      $parameters = @{
          Name = '<PrivateEndpointName>'
          ResourceGroupName = '<ResourceGroupName>'
          Location = $location
          Subnet = $subnet
          PrivateLinkServiceConnection = $serviceConnection
          IpConfiguration = $ipconfig
      }
      
      New-AzPrivateEndpoint @parameters
      

   Результат должен быть аналогичен следующему. Убедитесь, что значение для ProvisioningState выполнено успешно.

   ResourceGroupName Name            Location ProvisioningState Subnet
   ----------------- ----            -------- ----------------- ------
   privatelink       endpoint-global uksouth  Succeeded
   

4. Необходимо настроить DNS для частной конечной точки, чтобы разрешить DNS-имя частной конечной точки в виртуальной сети. Имя частной зоны DNS .privatelink-global.wvd.microsoft.com Инструкции по созданию и настройке частной зоны DNS с помощью Azure PowerShell см. в статье "Настройка частной зоны DNS".

Azure CLI

1. Необязательно. Создайте рабочую область заполнителя, чтобы завершить глобальную конечную точку, выполнив инструкции по созданию рабочей области.

2. В том же сеансе CLI создайте подключение службы Приватный канал и частную конечную точку рабочей области с глобальным подресурсом, выполнив следующие команды:

   1. Чтобы создать частную конечную точку с динамически выделенным IP-адресом:

      # Specify the Azure region. This must be the same region as your virtual network.
      location=<Location>
      
      # Get the resource ID of the workspace
      workspaceId=$(az desktopvirtualization workspace show \
          --name <WorkspaceName> \
          --resource-group <ResourceGroupName> \
          --query [id] \
          --output tsv)
      
      # Create a service connection and the private endpoint
      az network private-endpoint create \
          --name <PrivateEndpointName> \
          --resource-group <ResourceGroupName> \
          --location $location \
          --vnet-name <VNetName> \
          --subnet <SubnetName> \
          --connection-name <ConnectionName> \
          --private-connection-resource-id $workspaceId \
          --group-id global \
          --output table
      

   2. Чтобы создать частную конечную точку со статически выделенными IP-адресами:

      # Specify the Azure region. This must be the same region as your virtual network.
      location=<Location>
      
      # Get the resource ID of the workspace
      workspaceId=$(az desktopvirtualization workspace show \
          --name <WorkspaceName> \
          --resource-group <ResourceGroupName> \
          --query [id] \
          --output tsv)
      
      # Store each private endpoint IP configuration in a variable
      ip={name:ipconfig,group-id:global,member-name:web,private-ip-address:<IPAddress>}
      
      # Create a service connection and the private endpoint
      az network private-endpoint create \
          --name <PrivateEndpointName> \
          --resource-group <ResourceGroupName> \
          --location $location \
          --vnet-name <VNetName> \
          --subnet <SubnetName> \
          --connection-name <ConnectionName> \
          --private-connection-resource-id $workspaceId \
          --group-id global \
          --ip-config $ip \
          --output table
      

   Результат должен быть аналогичен следующему. Убедитесь, что значение для ProvisioningState выполнено успешно.

   CustomNetworkInterfaceName    Location    Name                  ProvisioningState    ResourceGroup
   ----------------------------  ----------  --------------------  -------------------  ---------------
                                 uksouth     endpoint-global       Succeeded            privatelink
   

3. Необходимо настроить DNS для частной конечной точки, чтобы разрешить DNS-имя частной конечной точки в виртуальной сети. Имя частной зоны DNS .privatelink-global.wvd.microsoft.com Инструкции по созданию и настройке частной зоны DNS с помощью Azure CLI см. в статье "Настройка частной зоны DNS".

Закрытие общедоступных маршрутов

После создания частных конечных точек можно также контролировать, разрешен ли трафик из общедоступных маршрутов. Это можно контролировать на детальном уровне с помощью виртуального рабочего стола Azure или более широкого использования группы безопасности сети (NSG) или Брандмауэр Azure.

Управление маршрутами с помощью виртуального рабочего стола Azure

С помощью виртуального рабочего стола Azure можно самостоятельно управлять общедоступным трафиком для рабочих областей и пулов узлов. Выберите соответствующую вкладку для вашего сценария и выполните действия. Это невозможно настроить в Azure CLI. Эти действия необходимо повторить для каждой рабочей области и пула узлов, которые вы используете с Приватный канал.

Портал

Рабочие области

1. В обзоре виртуального рабочего стола Azure выберите рабочие области, а затем выберите имя рабочей области для управления общедоступным трафиком.

2. В обзоре пула узлов выберите "Сеть", а затем перейдите на вкладку "Общедоступный доступ ".

3. Выберите один из следующих параметров.

   Параметр	Description
   Включение общедоступного доступа из всех сетей	Конечные пользователи могут получить доступ к каналу через общедоступный Интернет или частные конечные точки.
   Отключение общедоступного доступа и использование закрытого доступа	Конечные пользователи могут получить доступ только к каналу через частные конечные точки.

4. Выберите Сохранить.

Пулы узлов

1. В обзоре виртуального рабочего стола Azure выберите пулы узлов, а затем выберите имя пула узлов для управления общедоступным трафиком.

2. В обзоре пула узлов выберите "Сеть", а затем перейдите на вкладку "Общедоступный доступ ".

3. Выберите один из следующих параметров.

   Параметр	Description
   Включение общедоступного доступа из всех сетей	Конечные пользователи могут безопасно обращаться к узлам веб-канала и сеансов через общедоступный Интернет или частные конечные точки.
   Включение общедоступного доступа для конечных пользователей, использование частного доступа для узлов сеансов	Конечные пользователи могут безопасно получить доступ к каналу через общедоступный Интернет, но должны использовать частные конечные точки для доступа к узлам сеансов.
   Отключение общедоступного доступа и использование закрытого доступа	Конечные пользователи могут получить доступ только к узлам веб-канала и сеанса через частные конечные точки.

4. Выберите Сохранить.

Azure PowerShell

Внимание

Командлеты Azure PowerShell для виртуального рабочего стола Azure, поддерживающие Приватный канал, находятся в предварительной версии. Чтобы использовать эти командлеты, которые были добавлены в версии 5.0.0.0, необходимо скачать и установить предварительную версию модуля Az.DesktopVirtualization.

Рабочие области

1. В том же сеансе PowerShell можно отключить открытый доступ и использовать частный доступ, выполнив следующую команду:

   $parameters = @{
       Name = '<WorkspaceName>'
       ResourceGroupName = '<ResourceGroupName>'
       PublicNetworkAccess = 'Disabled'
   }
   
   Update-AzWvdWorkspace @parameters
   

2. Чтобы включить общедоступный доступ из всех сетей, выполните следующую команду:

   $parameters = @{
       Name = '<WorkspaceName>'
       ResourceGroupName = '<ResourceGroupName>'
       PublicNetworkAccess = 'Enabled'
   }
   
   Update-AzWvdWorkspace @parameters
   

Пулы узлов

1. В том же сеансе PowerShell можно отключить открытый доступ и использовать частный доступ, выполнив следующую команду:

   $parameters = @{
       Name = '<HostPoolName>'
       ResourceGroupName = '<ResourceGroupName>'
       PublicNetworkAccess = 'Disabled'
   }
   
   Update-AzWvdHostPool @parameters 
   

2. Чтобы включить общедоступный доступ из всех сетей, выполните следующую команду:

   $parameters = @{
       Name = '<HostPoolName>'
       ResourceGroupName = '<ResourceGroupName>'
       PublicNetworkAccess = 'Enabled'
   }
   
   Update-AzWvdHostPool @parameters
   

3. Чтобы использовать общедоступный доступ для конечных пользователей, но используйте частный доступ для узлов сеансов, выполните следующую команду:

   $parameters = @{
       Name = '<HostPoolName>'
       ResourceGroupName = '<ResourceGroupName>'
       PublicNetworkAccess = 'EnabledForSessionHostsOnly'
   }
   
   Update-AzWvdHostPool @parameters
   

4. Чтобы использовать частный доступ для конечных пользователей, но используйте общедоступный доступ для узлов сеансов, выполните следующую команду:

   $parameters = @{
       Name = '<HostPoolName>'
       ResourceGroupName = '<ResourceGroupName>'
       PublicNetworkAccess = 'EnabledForClientsOnly'
   }
   
   Update-AzWvdHostPool @parameters
   

Внимание

Изменение доступа к узлам сеансов не повлияет на существующие сеансы. После изменения частной конечной точки на пул узлов необходимо перезапустить службу загрузчика агента удаленного рабочего стола (RDAgentBootLoader) на каждом узле сеансов в пуле узлов. При изменении конфигурации сети пула узлов также необходимо перезапустить эту службу. Вместо перезапуска службы можно перезапустить каждый узел сеанса.

Блокировать общедоступные маршруты с помощью групп безопасности сети или Брандмауэр Azure

Если вы используете группы безопасности сети или Брандмауэр Azure для управления подключениями с клиентских устройств пользователей или узлов сеансов к частным конечным точкам, можно использовать тег службы WindowsVirtualDesktop для блокировки трафика из общедоступного Интернета. Если вы блокируете общедоступный интернет-трафик с помощью этого тега службы, весь трафик службы использует только частные маршруты.

Внимание

• Убедитесь, что трафик между частными конечными точками и адресами в необходимом списке URL-адресов не блокируется.

• Не блокируйте определенные порты с клиентских устройств пользователя или узлов сеансов в частную конечную точку для ресурса пула узлов с помощью подресурса подключения . Весь диапазон динамических портов TCP от 1 до 65535 до частной конечной точки необходим, так как сопоставление портов используется ко всем глобальным шлюзам через IP-адрес одной частной конечной точки, соответствующий подресурсу подключения . Если вы ограничиваете порты частной конечной точкой, пользователи не смогут успешно подключиться к виртуальному рабочему столу Azure.

Проверка Приватный канал с помощью виртуального рабочего стола Azure

После закрытия общедоступных маршрутов необходимо проверить, работает ли Приватный канал с виртуальным рабочим столом Azure. Это можно сделать, проверка состояние подключения каждой частной конечной точки, состояние узлов сеансов и тестирование, которое пользователи могут обновлять и подключаться к своим удаленным ресурсам.

Проверка состояния подключения для каждой частной конечной точки

Чтобы проверка состояние подключения каждой частной конечной точки, выберите соответствующую вкладку для вашего сценария и выполните действия. Эти действия следует повторить для каждой рабочей области и пула узлов, которые вы используете с Приватный канал.

Портал

Рабочие области

1. В обзоре виртуального рабочего стола Azure выберите рабочие области, а затем выберите имя рабочей области, для которой требуется проверка состояние подключения.

2. В обзоре рабочей области выберите "Сеть", а затем подключения к частной конечной точке.

3. Для указанной частной конечной точки проверка состояние Подключение ion утверждено.

Пулы узлов

1. В обзоре виртуального рабочего стола Azure выберите пулы узлов, а затем выберите имя пула узлов, для которого требуется проверка состояние подключения.

2. В обзоре пула узлов выберите "Сеть", а затем подключения к частной конечной точке.

3. Для указанной частной конечной точки проверка состояние Подключение ion утверждено.

Azure PowerShell

Внимание

Для выполнения следующих команд необходимо использовать предварительную версию модуля Az.DesktopVirtualization. Дополнительные сведения и сведения о скачивании и установке модуля предварительной версии см. в коллекция PowerShell.

Рабочие области

1. В том же сеансе PowerShell выполните следующие команды, чтобы проверка состояние подключения рабочей области:

   (Get-AzWvdWorkspace -Name <WorkspaceName> -ResourceGroupName <ResourceGroupName).PrivateEndpointConnection | FL Name, PrivateLinkServiceConnectionStateStatus, PrivateLinkServiceConnectionStateDescription, PrivateLinkServiceConnectionStateActionsRequired
   

   Результат должен быть аналогичен следующему. Убедитесь, что значение для PrivateLinkService Подключение ionStateStateStatus утверждено.

   Name                                             : endpoint-ws01
   PrivateLinkServiceConnectionStateStatus          : Approved
   PrivateLinkServiceConnectionStateDescription     : Auto-approved
   PrivateLinkServiceConnectionStateActionsRequired : None
   

Пулы узлов

1. В том же сеансе PowerShell выполните следующие команды, чтобы проверка состояние подключения пула узлов:

   (Get-AzWvdHostPool -Name <HostPoolName> -ResourceGroupName <ResourceGroupName).PrivateEndpointConnection | FL Name, PrivateLinkServiceConnectionStateStatus, PrivateLinkServiceConnectionStateDescription, PrivateLinkServiceConnectionStateActionsRequired
   

   Результат должен быть аналогичен следующему. Убедитесь, что значение для PrivateLinkService Подключение ionStateStateStatus утверждено.

   Name                                             : endpoint-hp01
   PrivateLinkServiceConnectionStateStatus          : Approved
   PrivateLinkServiceConnectionStateDescription     : Auto-approved
   PrivateLinkServiceConnectionStateActionsRequired : None
   
   

Azure CLI

1. В том же сеансе CLI выполните следующие команды, чтобы проверка состояние подключения рабочей области или пула узлов:

   az network private-endpoint show \
       --name <PrivateEndpointName> \
       --resource-group <ResourceGroupName> \
       --query "{name:name, privateLinkServiceConnectionStates:privateLinkServiceConnections[].privateLinkServiceConnectionState}"
   

   Результат должен быть аналогичен следующему. Убедитесь, что значение состояния утверждено.

   {
     "name": "endpoint-ws01",
     "privateLinkServiceConnectionStates": [
       {
         "actionsRequired": "None",
         "description": "Auto-approved",
         "status": "Approved"
       }
     ]
   }
   

Проверка состояния узлов сеансов

1. Проверьте состояние узлов сеансов в Виртуальном рабочем столе Azure.

   1. В обзоре виртуального рабочего стола Azure выберите пулы узлов, а затем выберите имя пула узлов.

   2. В разделе "Управление" выберите узлы сеансов.

   3. Просмотрите список узлов сеансов и проверка их состояние доступно.

Проверка возможности подключения пользователей

Чтобы проверить, что пользователи могут подключаться к своим удаленным ресурсам, выполните следующие действия.

1. Используйте клиент удаленного рабочего стола и убедитесь, что вы можете подписаться на рабочие области и обновить их.

2. Наконец, убедитесь, что пользователи могут подключаться к удаленному сеансу.

Следующие шаги

• Узнайте больше о том, как Приватный канал для виртуального рабочего стола Azure на Приватный канал с виртуальным рабочим столом Azure.

• Узнайте, как настроить DNS частной конечной точки Azure в Приватный канал интеграции DNS.

• Общие руководства по устранению неполадок для Приватный канал см. в статье "Устранение неполадок с подключением к частной конечной точке Azure".

• Узнайте, как подключение к службе виртуального рабочего стола Azure работает всети виртуального рабочего стола Azure.

• Список обязательных URL-адресов см. в списке URL-адресов, которые необходимо разблокировать, чтобы обеспечить сетевой доступ к службе виртуального рабочего стола Azure.