Настройка управляемого удостоверения в виртуальном рабочем столе Azure (предварительная версия)

Важно!

Поддержка управляемых удостоверений для пулов узлов Виртуального рабочего стола Azure в настоящее время доступна в предварительной версии. Юридические условия, применимые к функциям Azure, находящимся в бета-версии, предварительной версии или другим образом, еще не выпущенным в общедоступной версии, см. в Дополнительных условиях использования предварительных версий Microsoft Azure.

Виртуальный рабочий стол Azure поддерживает назначение разрешений управляемым удостоверениям для Azure ресурсов для функций, которые должны выполнять операции Azure Resource Manager (ARM) на виртуальных машинах, хранилище ключей и виртуальных сетях в подписке Azure. Управляемое удостоверение можно использовать для следующих функций:

Автомасштабирование.
Обновление узла сеанса.
Запустите виртуальную машину при подключении.
Виртуальный рабочий стол Azure для Azure Local.

Некоторые функции Виртуального рабочего стола Azure не могут использовать управляемое удостоверение. Функции, требующие Назначьте роли RBAC Azure для ролей Microsoft Entra субъекту-службе, используя подход субъекта-службы виртуального рабочего стола Azure:

Присоединение приложения (при использовании файлов Azure и узлов сеансов, присоединенных к Microsoft Entra ID).

При использовании управляемого удостоверения у вас есть два варианта:

Управляемое удостоверение, назначенное системой
Назначенное пользователем управляемое удостоверение

Подробнее о различиях между управляемыми удостоверениями, назначаемыми системой и пользователем.

Предварительные условия

Чтобы создать и назначить пулу узлов назначенное системой управляемое удостоверение, требуется следующее.

Существующий пул узлов.
Учетная запись Azure, назначенная участнику пула узлов виртуализации рабочих столов в области пула узлов или выше.
Если вы хотите использовать интерфейс командной строки Azure или Azure PowerShell локально, см. статью Использование интерфейса командной строки Azure и Azure PowerShell с виртуальным рабочим столом Azure, чтобы убедиться, что установлено расширение командной строки Azure для DesktopVirtualization или модуль PowerShell Az.DesktopVirtualization. Или используйте Azure Cloud Shell.

Создание и назначение назначенного системой управляемого удостоверения

Выберите соответствующую вкладку для вашего сценария.

Портал Azure
Azure PowerShell

Вот как создать назначенное системой управляемое удостоверение с помощью портала Azure:

Войдите на портал Azure.
В строке поиска введите Виртуальный рабочий стол Azure и выберите соответствующую запись службы
Выберите Host pools, а затем выберите имя пула узлов, который нужно настроить.
Выберите "Удостоверение (предварительная версия)".
Выберите Назначить управляемое удостоверение, чтобы установить флажок, а затем выберите Назначенное системой управляемое удостоверение.
Нажмите кнопку "Сохранить", чтобы создать и назначить назначенное системой управляемое удостоверение.

В этой статье описано, как создать назначенное системой управляемое удостоверение с помощью Azure PowerShell. Обязательно измените значения <placeholder> на свои собственные.

Откройте Azure Cloud Shell в портал Azure с помощью типа терминала PowerShell или запустите PowerShell на локальном устройстве.
- Если вы используете Cloud Shell, убедитесь, что в качестве контекста Azure задана подписка, которую вы хотите использовать.
- Если вы используете PowerShell локально, сначала войдите в Azure PowerShell, а затем убедитесь, что в качестве контекста Azure задана подписка, которую вы хотите использовать.

Получение текущих значений пула узлов:

$parameters = @{
    Name = '<HostPoolName>'
    ResourceGroupName = '<ResourceGroupName>'
}

$existingHostPool = Get-AzWvdHostPool @parameters

Выполните New-AzWvdHostPool команду с теми же данными, только измените значение IdentityType на «SystemAssigned». Так как этот пул узлов уже существует, эта команда изменяет только свойство IdentityType :

$parameters = @{
    Name = $existingHostPool.Name
    ResourceGroupName = $existingHostPool.ResourceGroupName
    Location = $existingHostPool.Location
    HostPoolType = $existingHostPool.HostPoolType
    LoadBalancerType = $existingHostPool.LoadBalancerType
    PreferredAppGroupType = $existingHostPool.PreferredAppGroupType
    IdentityType = 'SystemAssigned'
}

New-AzWvdHostPool @parameters

Чтобы проверка изменений, запустите следующую команду:

$parameters = @{
    Name = '<HostPoolName>'
    ResourceGroupName = '<ResourceGroupName>'
}

Get-AzWvdHostPool @parameters | Format-Table Name, IdentityType

Результат должен быть похож на следующий пример:

Name        IdentityType
----------- ----------------
contosohp01 SystemAssigned

Предварительные условия

Чтобы назначить назначенное пользователем управляемое удостоверение пулу узлов требуется:

Существующий пул узлов.
Назначенная учетная запись Azure:
1. Участник пула узлов виртуализации рабочих столов в областях пула узлов или выше.
2. Оператор управляемого удостоверения в области управляемого удостоверения или выше.
Если вы хотите использовать интерфейс командной строки Azure или Azure PowerShell локально, см. статью Использование интерфейса командной строки Azure и Azure PowerShell с виртуальным рабочим столом Azure, чтобы убедиться, что установлено расширение командной строки Azure для DesktopVirtualization или модуль PowerShell Az.DesktopVirtualization. Или используйте Azure Cloud Shell.

Назначение назначенного пользователем управляемого удостоверения

Выберите соответствующую вкладку для вашего сценария.

Портал Azure
Azure PowerShell

Вот как назначить назначенное пользователем управляемое удостоверение с помощью портала Azure:

Войдите на портал Azure.
В строке поиска введите Виртуальный рабочий стол Azure и выберите соответствующую запись службы
Выберите Host pools, а затем выберите имя пула узлов, который нужно настроить.
Выберите "Удостоверение (предварительная версия)".
Выберите "Назначить управляемое удостоверение", чтобы установить флажок, а затем выберите "Управляемое удостоверение, назначенное пользователем".
Для параметра "Подписка" выберите соответствующую подписку из раскрывающегося меню.
Для существующих управляемых удостоверений, назначенных пользователями, выберите соответствующее управляемое удостоверение из раскрывающегося меню.
Нажмите кнопку "Сохранить", чтобы применить новое управляемое удостоверение.

В этой статье описано, как назначить назначенное пользователем управляемое удостоверение с помощью Azure PowerShell. Обязательно измените значения <placeholder> на свои собственные.

Откройте Azure Cloud Shell в портал Azure с помощью типа терминала PowerShell или запустите PowerShell на локальном устройстве.
- Если вы используете Cloud Shell, убедитесь, что в качестве контекста Azure задана подписка, которую вы хотите использовать.
- Если вы используете PowerShell локально, сначала войдите в Azure PowerShell, а затем убедитесь, что в качестве контекста Azure задана подписка, которую вы хотите использовать.

Получение текущих значений пула узлов:

$parameters = @{
    Name = '<HostPoolName>'
    ResourceGroupName = '<HostPoolResourceGroupName>'
}

$existingHostPool = Get-AzWvdHostPool @parameters

Получите объект управляемых удостоверений, который необходимо назначить пулу узлов.

$parameters = @{
    Name = '<ManagedIdentityName>'
    ResourceGroupName = '<ManagedIdentityResourceGroupName>'
}

$managedIdentity = Get-AzUserAssignedIdentity @parameters

$parameters = @{
    Name = $existingHostPool.Name
    ResourceGroupName = $existingHostPool.ResourceGroupName
    Location = $existingHostPool.Location
    HostPoolType = $existingHostPool.HostPoolType
    LoadBalancerType = $existingHostPool.LoadBalancerType
    PreferredAppGroupType = $existingHostPool.PreferredAppGroupType
    IdentityType = 'UserAssigned'
    IdentityUserAssignedIdentity = @{$managedIdentity.Id = @{}}
}

New-AzWvdHostPool @parameters

Чтобы проверка изменений, запустите следующую команду:

$parameters = @{
    Name = '<HostPoolName>'
    ResourceGroupName = '<ResourceGroupName>'
}

Get-AzWvdHostPool @parameters | Format-Table Name, IdentityType, IdentityUserAssignedIdentity

Результат должен быть похож на следующий пример:

Name        IdentityType     IdentityUserAssignedIdentity
----------- ---------------- ----------------------------
contosohp01 UserAssigned   {...

Удаление управляемого удостоверения

Удаление управляемого удостоверения из пула узлов происходит немного по-разному в зависимости от типа удостоверения управляемого удостоверения:

Назначено системой: после завершения удаления Azure автоматически удалит управляемое удостоверение и все связанные метаданные.
Назначено пользователем: После завершения удаления Azure удаляет связь между пулом узлов и управляемым удостоверением, но больше никаких изменений не вносит. Например, это не изменяет никаких разрешений, назначенных управляемому удостоверению.

Важно!

Для пулов узлов, настроенных с использованием конфигурации узла сеансов , с 1 ноября 2025 года потребуется управляемое удостоверение для добавления узлов сеансов в пул узлов. Это заменяет зависимость от субъекта-службы виртуального рабочего стола Azure и обеспечивает более безопасную конфигурацию. Узнайте больше об использовании управляемых удостоверений с пулами узлов Виртуального рабочего стола Azure.

Выберите соответствующую вкладку для вашего сценария.

Портал Azure
Azure PowerShell

Ниже описано, как удалить управляемое удостоверение с помощью портала Azure.

Войдите на портал Azure.
В строке поиска введите Виртуальный рабочий стол Azure и выберите соответствующую запись службы
Выберите Host pools, а затем выберите имя пула узлов, который нужно настроить.
Выберите "Удостоверение (предварительная версия)".
Снимите флажок "Назначить управляемое удостоверение ".
Нажмите кнопку "Сохранить", чтобы завершить удаление управляемого удостоверения.

В этой статье описано, как удалить управляемое удостоверение с помощью Azure PowerShell. Обязательно измените значения <placeholder> на свои собственные.

Откройте Azure Cloud Shell в портал Azure с помощью типа терминала PowerShell или запустите PowerShell на локальном устройстве.
- Если вы используете Cloud Shell, убедитесь, что в качестве контекста Azure задана подписка, которую вы хотите использовать.
- Если вы используете PowerShell локально, сначала войдите в Azure PowerShell, а затем убедитесь, что в качестве контекста Azure задана подписка, которую вы хотите использовать.

Получение текущих значений пула узлов:

$parameters = @{
    Name = '<HostPoolName>'
    ResourceGroupName = '<ResourceGroupName>'
}

$existingHostPool = Get-AzWvdHostPool @parameters

Выполните New-AzWvdHostPool команду с теми же сведениями, только измените значение IdentityType на "Нет". Так как этот пул узлов уже существует, эта команда изменяет только свойство IdentityType :

$parameters = @{
    Name = $existingHostPool.Name
    ResourceGroupName = $existingHostPool.ResourceGroupName
    Location = $existingHostPool.Location
    HostPoolType = $existingHostPool.HostPoolType
    LoadBalancerType = $existingHostPool.LoadBalancerType
    PreferredAppGroupType = $existingHostPool.PreferredAppGroupType
    IdentityType = 'None'
}

New-AzWvdHostPool @parameters

Чтобы проверка изменений, запустите следующую команду:

$parameters = @{
    Name = '<HostPoolName>'
    ResourceGroupName = '<ResourceGroupName>'
}

Get-AzWvdHostPool @parameters | Format-Table Name, IdentityType

Результат должен быть похож на следующий пример:

Name        IdentityType
----------- ----------------
contosohp01 None

Назначение управляемого удостоверения узлам сеансов в локальной среде

Виртуальный рабочий стол Azure для Azure Local требует, чтобы управляемому удостоверению был предоставлен доступ чтения к узлу сеанса. Эти инструкции предоставят читателю доступ к группе ресурсов, в которой размещены эти ресурсы.

Портал Azure
Azure PowerShell

Вот как назначить доступ читателя для управляемого удостоверения на портале Azure:

Войдите на портал Azure.
В строке поиска введите "Группы ресурсов " и выберите соответствующую запись
Выберите группу ресурсов , содержащую узлы сеансов
В области навигации слева выберите пункт "Контроль доступа" (IAM).
Выберите "Добавить", а затем "Добавить назначение роли"
В поле поиска по имени, описанию, разрешению или идентификатору роли найдите Reader и нажмите кнопку Далее
В поле "Назначить доступ" выберите"Управляемое удостоверение"
Для участников нажмите кнопку "Выбрать участников"
Выберите нужную подписку
В раскрывающемся списке Managed Identity (Управляемое удостоверение ) выберите Hostpool (Хостпул)
Выберите правильное управляемое удостоверение для пула хостов
Нажмите " Выбрать ", а затем "Далее"
Выберите "Рецензирование" + "Назначить"
Просмотрите выбранные параметры, затем выберите "Рецензирование+назначение"

В этой статье описано, как назначить доступ читателя для управляемого удостоверения с помощью Azure PowerShell. Обязательно измените значения <placeholder> на свои собственные.

Откройте Azure Cloud Shell в портал Azure с помощью типа терминала PowerShell или запустите PowerShell на локальном устройстве.
- Если вы используете Cloud Shell, убедитесь, что в качестве контекста Azure задана подписка, которую вы хотите использовать.
- Если вы используете PowerShell локально, сначала войдите в Azure PowerShell, а затем убедитесь, что в качестве контекста Azure задана подписка, которую вы хотите использовать.

Получите объект управляемого удостоверения, назначенный пулу узлов.

$hostPool = Get-AzWvdHostPool -Name "<HOSTPOOL_NAME>" -ResourceGroupName "<RESOURCE_GROUP>"
$HP_PRINCIPAL_ID = $hostPool.IdentityPrincipalId

Назначение доступа читателя в группе ресурсов управляемому удостоверению

New-AzRoleAssignment -ObjectId $HP_PRINCIPAL_ID -RoleDefinitionName "Reader" -ResourceGroupName "<RESOURCE_GROUP>"

Выполните следующие действия, чтобы назначить роли RBAC Azure или Microsoft Entra субъекту службы с использованием подхода управляемых удостоверений.

Обратная связь

Были ли сведения на этой странице полезными?

Last updated on 2026-09-01

Настройка управляемого удостоверения в виртуальном рабочем столе Azure (предварительная версия)

Предварительные условия

Создание и назначение назначенного системой управляемого удостоверения

Предварительные условия

Назначение назначенного пользователем управляемого удостоверения

Удаление управляемого удостоверения

Назначение управляемого удостоверения узлам сеансов в локальной среде

Обратная связь

Дополнительные ресурсы