In vielen Tenants, die ich betreue, ist Azure Virtual Desktop (AVD) längst kein Nischenprodukt mehr. Seit die Entra-ID-Integration (früher Azure AD Join) produktiv nutzbar ist, lassen sich Session Hosts komplett ohne klassische Domänencontroller betreiben. Man wird damit Altlasten los und legt zugleich die Basis für eine moderne Geräteverwaltung mit Intune und eine einfachere Identity Governance. Für neue Umgebungen oder branchenspezifische Anforderungen ist das ein deutlicher Fortschritt.

Mit Entra Join hängen die Session Hosts direkt an Entra ID

Sind die AVD-Hosts per Entra Join verbunden, benötigen sie keine ständige Verbindung („Line of Sight“) zu Domänencontrollern im Netzwerk mehr. In Cloud-only- oder teilweise hybriden Umgebungen ist das ein großer Vorteil. Die Session Hosts werden direkt mit Microsoft Entra ID verbunden und lassen sich ganz selbstverständlich über Intune verwalten, ohne dass man auf Hybrid Join oder ein VPN als Krücke angewiesen ist. In meinen Projekten skalieren vor allem kleinere Unternehmen und Organisationen mit starker Cloud-Ausrichtung dadurch spürbar entspannter.

Die Benutzer melden sich mit ihrer Entra-Identität am Host an. Mit RDP Single Sign-On (SSO) lässt sich die Anmeldung so einrichten, dass sie fast ohne Unterbrechung abläuft. Dazu verwendet man im Entra-Portal die Enterprise App „Windows Cloud Login“ für SSO und erteilt den Benutzern (oder einer passenden Gerätegruppe) die notwendige Zustimmung. Zum Nachschlagen eignet sich die offizielle Anleitung von Microsoft: Single Sign-On für Azure Virtual Desktop konfigurieren.

Conditional Access und MFA greifen bei jedem Remotezugriff

Hosts mit Entra Join haben den großen Vorzug, dass sich Conditional Access und MFA für den Remotezugriff konsequent durchsetzen lassen. Der Zugriff auf die AVD-Ressourcen läuft ohnehin immer über die Entra-Authentifizierung, etwa über die AVD-App oder den Webclient. Per Conditional Access legt man deshalb fein abgestuft fest, aus welchen Netzwerken und unter welchen Bedingungen sich jemand anmelden darf. MFA lässt sich auf diesem Weg ebenfalls verpflichtend machen, ohne an umständlichen Workarounds zu basteln. Wer mit den Baseline-Richtlinien für Conditional Access noch nicht angefangen hat, findet einen Einstieg in meinem Beitrag zu Best Practices für Conditional Access in Entra ID.

Die eigentliche Benutzersitzung authentifiziert sich per RDP SSO gegenüber Entra ID. Damit das klappt, muss auf dem Session Host der passende Dienst laufen, und der Benutzer braucht eine unterstützte Lizenz (etwa Microsoft 365 E3/E5 oder eine AVD-Zugriffslizenz). Die erforderliche Zustimmung für die Windows-Cloud-Login-App erteilt man im Entra-Portal einmalig, am besten direkt für die betreffende Gruppe von Hosts oder Benutzern. Die einzelnen Schritte beschreibt die Dokumentation von Microsoft ausführlich.

FSLogix-Profile landen per Entra Kerberos auf Azure Files

Fehlt die klassische Domäne, stehen für den Zugriff auf SMB-Shares auch keine Domänenkonten zur Verfügung. Wie kommen dann persistente Benutzerprofile auf die Hosts? Die Antwort lautet Azure Files mit Unterstützung für Entra Kerberos. Damit greifen Session Hosts, die ausschließlich mit Entra ID verbunden sind, auf Azure-Files-Shares für FSLogix-Profile zu. Der Ablauf ist erfreulich schlank:

flowchart TD
  User["Benutzer meldet sich an"] --> Host["Session Host (Entra joined)"]
  Host --> Auth["Entra ID Authentifizierung"]
  Host --> Kerberos["Entra Kerberos Ticket holen"]
  Kerberos --> AzureFiles["Azure Files SMB-Share"]
  AzureFiles --> FSLogix["FSLogix lädt Profil"]

Abbildung: Anmeldung und Laden des Profils mit Entra Kerberos auf einem mit Entra ID verbundenen AVD-Host

Die verwendeten Azure-Files-Shares müssen allerdings für die Authentifizierung über Entra ID vorbereitet sein. Wie das geht, erklärt die Dokumentation verständlich: Azure-Files-Authentifizierung mit Azure AD Kerberos für hybride Identitäten aktivieren. Meine Erfahrung: Die Ersteinrichtung hakt gelegentlich, aber wenn das Setup einmal steht, laufen die Profile in aller Regel stabil.

Cloud-only-Benutzer und Legacy-Anwendungen stoßen an Grenzen

So verlockend die reine Cloud-Lösung ist, Hosts mit Entra Join haben auch ihre Tücken. Derzeit funktioniert Azure Files mit Entra Kerberos nur für Benutzer, die per Entra Connect aus einem lokalen AD synchronisiert werden. Reine Cloud-only-Benutzer können im Mai 2024 noch nicht auf SMB-Shares für FSLogix zugreifen. Wer ausschließlich mit Cloud-Identitäten arbeitet, muss die Profile deshalb anderswo ablegen (z. B. lokal oder mit Drittanbieterlösungen). Diesen Nachteil sollte man unbedingt vor der Migration auf dem Schirm haben.

Dazu kommen Legacy-Anwendungen, die nach wie vor NTLM oder klassische Kerberos-Authentifizierung gegen ein lokales AD verlangen. Auf Hosts mit Entra Join laufen sie nicht, solange sie kein modernes Authentifizierungsverfahren beherrschen oder keine Brücke in die On-Premises-Umgebung existiert. In solchen Fällen bleibt vorerst nur ein Mischbetrieb, bei dem ein Teil der Hosts weiterhin klassisch in die Domäne eingebunden ist.

Wer FSLogix sauber mit Azure Files und Entra Kerberos betreiben will, sollte früh klären, wie die Benutzerkonten verwaltet werden und ob wirklich alle Apps ohne On-Premises-Kerberos auskommen. Häufig scheitert es an vergessenen Dienstkonten oder an Benutzern, die nicht synchronisiert werden.

Ein Rollout in fünf Schritten hat sich in meinen Projekten bewährt

Für Azure Virtual Desktop mit Entra Join gehe ich in der Regel in dieser Reihenfolge vor:

  1. Testumgebung mit ersten per Entra Join verbundenen Hosts aufbauen
  2. Intune-Verwaltung, Baseline-Richtlinien, MFA und Conditional Access einführen
  3. Windows-Cloud-Login-App für SSO konfigurieren und Zustimmung erteilen
  4. Azure-Files-Shares mit Entra Kerberos einrichten und testen
  5. Produktivumgebung stufenweise migrieren, Legacy-Apps vorher inventarisieren

Projekte scheitern immer wieder an schlecht vorbereiteten Identitäten oder daran, dass Spezialanwendungen kaum getestet wurden. Am besten fährt man mit einem schrittweisen, kontrollierten Vorgehen und einem engen Draht zu den Anwenderinnen und Anwendern.

Wer die Grenzen kennt, gewinnt mit Entra Join viel Freiheit

Für viele Szenarien ist Azure Virtual Desktop mit Entra Join inzwischen praxistauglich. Weil keine Domänencontroller mehr vorgehalten werden müssen, sinken Kosten und Komplexität, und mit Intune und Conditional Access stehen moderne Verwaltungswerkzeuge bereit. An seine Grenzen stößt das Modell erst, wenn man konsequent nur in der Cloud arbeiten möchte oder viele Altanwendungen betreibt. In gemischten Umgebungen lohnt es sich dagegen sehr, sofern man die Stolpersteine kennt und sorgfältig plant. Wer sich für weitere Vereinfachungen rund um die Microsoft-Cloud interessiert, findet in meinem Artikel zu Entra Cloud Sync und Connect Sync weitere hilfreiche Hinweise.