Azure Virtual Desktop 快速上手
Azure Virtual Desktop 快速上手
本月（2025年11月）微软公布 Azure Virtual Desktop（AVD）可以为外部身份提供 AVD 虚拟桌面资源，分配资源的管理流程并未发生变化。于是 gOxiA 决定认真地做一次 AVD 上手，也就有了这篇分享！
如果你是 Windows 传统基础架构的专家，那么不会对 AVD 陌生，它主要提供的服务就是我们过去使用的 RDS 和 Remote App，而 AVD 基于 Azure，并提供了很多不同的特性：
- 可以选择 Windows 10、Windows 11、Windows Server 为用户提供完整的 Windows 体验。
- 可以使用单会话模式将设备分配给单一用户，也可以共享模式使用。
- 提供了完整的桌面，也支持 RemoteApp 来提供单个或多个应用。
- 可选内置 Microsoft 365 企业版应用，并优化以适应多用户虚拟场景。
- 允许安装你能从任何地方运行的业务线或自定义应用，包括 Win32、MSIX 和 Appx 格式的应用。（PS：目前还提供了 App Attach 支持，这也是 gOxiA 后续要测试的。）
- 提供面向外部使用的软件即服务（SaaS）。
- 替换现有的远程桌面服务（RDS）部署。
- 通过统一的管理体验，管理来自不同 Windows 和 Windows Server 系统的桌面和应用。
- 支持本地以混合配置托管桌面和应用，还支持 Azure Local。
AVD 允许跨平台的客户端联接，供不同用户应用场景使用，包含：Windows、macOS、iOS/iPadOS、Android/Chrome OS，甚至是 Web browser 和 Meta Quest。这是一个令人感到振奋的特性！借助 Azure 我们可以在全球多个数据中心部署我们的 AVD 为全球用户提供无处不在的 Windows 体验！并且 AVD 目前已经支持 GPU，我们可以为高级用户提供强大的 GPU 算力！
心动不如行动，打开 Azure Portal 创建一个资源组，并创建一个虚拟网络，这里 gOxiA 将默认子网改为了一个 192.168.192.0/24 的网络。
接下来，我们转到 Azure 虚拟桌面，首先创建主机池，这里我们首选应用组类型为“桌面”，并采用“共用”类型主机池。
下一步便是创建会话主机，因为是快速上手，推荐在该向导页面就添加虚拟机，为了能够为用户提供 Windows 11 25H2 桌面体验和 Microsoft 365 应用，gOxiA 选择了 Windows 11 Enterprise multi-session, Version 25H2 + Microsoft 365 Apps，这是一个特殊的 Windows 11 版本，基于企业版底座，主要特性就是支持多用户会话模式，在过去 RDS 时代我们只能基于 Windows Server 提供共用模式。
其他配置主要就是绑定使用的虚拟网络，我们前面已经创建。因为不使用混合模式，所以目录基于 Microsoft Entra ID，最后别忘记为会话主机配置一个本地管理员。
再下一步，便会指引我们注册桌面应用组，每一个应用组都要属于一个工作区，所以在进行应用组注册时会提示新建工作区。
到这里我们基本就算创建完成了，一路跟随向导完成配置等待我们首个 AVD 创建完毕吧！半杯白茶的时间回来就能看到所有的必须资源都已经创建配置完毕！接下来我们要配置应用组权限允许特定的用户可以访问 AVD。
由于我们配置使用 EntraID 访问和登录，还需要参考官方文档进行额外的配置。
Configure single sign-on for Azure Virtual Desktop using Microsoft Entra ID | Microsoft Learn
最后，为主机池配置 RDP ，将“Microsoft Entra 单一登录” 改为“连接将使用 Microsoft Entra 身份验证来提供单一登录”，以允许 EntraID 进行身份验证。
如果遇到了账户登录问题，强烈建议参考和学习以下官方文档。
Azure Windows VMs and Microsoft Entra ID | Microsoft Learn
现在，在客户端上安装和使用 Windows App 登录被授权的账号体验 AVD 吧！下图展示了 gOxiA 通过 MSA 账号登录 Windows App 并访问 AVD 虚拟桌面的实例。
Windows 11 时间点还原功能概览
Windows 11 时间点还原功能概览
微软 11月21日发布的 Windows 11 Insider Preview Build 26220.7271 (Dev & Beta Channels) 公告中提到了一个新的功能“Point-in-time restore” - 时间点还原！这是在“快速计算机恢复” - QMR 之后又一个 Windows 恢复功能。时间点还原旨在使用户能够快速将设备恢复到之前备份的完整状态之下，帮助减少停机的时间，并有效简化故障排查所耗费的人力和时间成本。
该功能逻辑是通过 VSS 技术定期备份整个系统的状态，实现当需要对设备系统进行完整状态恢复时可通过 WinRE 加载并进行恢复。如果你已经安装了 26220.7271 便可以在 Windows “设置” 应用中定位到 “系统 - 恢复” 页面中找到“时间点还原”。
目前时间点还原包含以下几个选项：
- 功能开/关，如果为启用状态，还原点会自动被创建。如果当前硬盘容量大于200GB，则该功能默认启用，否则需要手动开启。
- 还原点频率，即控制备份的频率，可配置为每4，12，16，24小时备份一次。默认为每24小时备份一次。
- 还原点保留期，定义了还原点在系统上保存的时间长度，直到它们被自动删除。可配置为6，12，16，24，72小时。默认为72小时。
- 最大用量限制，定义了 VSS 在设备上捕获还原点所占的总容量的上限。最低为2G，默认为2%。我们可以分配更大的容量空间，未使用的剩余空间仍旧可以被系统使用，所以它不是一个固定的保留空间。
由于时间点还原在启用后是在后台自动执行捕获备份的，所以我们当前还无法确认它的实际进度。当我们要对系统进行完整的恢复时，只需要进入 Windows 高级启动模式即可在"疑难解答"页面中看到“时间点恢复”选项，如下图所示：
需要注意，如果设备之前启用了 BitLocker，必须获取恢复密钥才能使用时间点还原对设备进行恢复。
说到这里，gOxiA 肯定大家也会有一些疑惑，时间点还原看起来很像 Windows 的另一个功能 - “系统保护”/“系统还原”。
它们都基于 VSS 技术对硬盘数据进行快照，但却有很大的不同，具体可参考下表。
| 时间点还原 | 系统还原 | |
| 配置 | 系统设置 | 控制面板 |
| 触发 | 定时，仅自动 | 事件或手动 |
| 保留 | 每个还原点最长72小时 | 无限期 |
| 目标范围 | 全系统状态，包含用户数据 | 系统文件和设置，应用和用户数据范围各异 |
| 影响 | 设计以最小化存储影响 | 对存储空间的影响更大 |
| 管理 | 将支持强大的远程管理 | 无现代管理 |
此外，我们还需要关注时间点还原功能的以下方面：
- 恢复只能在 WinRE 本地发起。
- 如果硬盘已 Bitlocker 加密，Bitlocker 恢复密钥是必须的。
- 设备关机、睡眠或现代待机模式，重启或硬盘满载等情况下，将无法保证还原点能在配置的准确频率下被捕获。
- 使用 EFS 加密文件时可能会影响时间点恢复的可靠性。
- 对于拥有多个卷的设备，只有 MainOS 卷会被恢复。
- 不支持导出或挂载还原点作为独立映像。
本文最后的知识点，时间点还原是一种全面的恢复解决方案，意味着整个系统状态，包含用户文件、应用程序、设置、密码、证书等数据都会被恢复到所选的还原点状态，所以还原点之后的任何本地数据都会丢失。但存储在云服务（OneDrive）中的数据不会受到影响。由于时间点还原功能还处在测试预览状态，gOxiA 会密切关注这一功能的改进，并提交使用反馈！如果你有任何想法也可以一起交流探讨。
推荐官方文档：
HOWTO: 解决 Windows Insider 0x800BFA0E 错误
HOWTO: 解决 Windows Insider 0x800BFA0E 错误
好久没有分享关于排错的日志，今天简单分享一个最近遇到的 Windows Insider 0x800BFA0E 错误，该错误代码是 Windows Insider Program 专有的，而且官方没有披露相关代码的含义，在 Windows Insider Troubleshooting 中也没有找到任何线索，那我们该如何着手去排错呢？！
回顾该设备的历史情况，已加入到 Intune，使用 M365 账号的登录，先前可见 Windows 预览体验计划是被预先配置的，因为用户无法更改。转到 Intune 管理中心排查设备策略，初步怀疑与更新策略有关。
检查默认的更新策略，发现“启用预发布的内部版本”为未配置，查询 Intune 审核日志可见该策略之前有被重新修改，经确认该配置之前未启用状态，且发布频道设定为“Windows 预览体验计划 - 发布预览”，之后因某些设备要更改发布频道，则在 Intune 上变更了该策略以允许用户自行配置，之后该策略设置在设备端被取消，用户可自主控制 Windows Insider 频道，在加入过程中便于到了前面截图中的 0x800BFA0E 错误。
综上所述，问题应该发生在策略设置取消后，之前的配置信息残留在了某个位置。Windows 上重要的配置存储就是注册表了，当然也可能保存在某些文件中，比较繁琐的排查方法是检索那些关键词，例如先从微软官方文档中了解到发布频道的信息 - Deeper look at flighting，然后逐步去排查可疑信息的位置。
如果你也能够非常熟练使用 Sysinternals，那将变得非常容易。哦！说到这里我需要特别致敬一下我非常敬重的一个技术超群的殿堂级大佬 - Mark Russionovich，有幸在 2011 年亚特兰大见过一面，还拿到了亲笔签名的 Zero Day: A Novel！
炫完回归正题，经排查确认 Windows Insider 相关信息仅保存在注册表中，项值“WindowsSelfHost”，位于“HKLM\SOFTWARE\Microsoft”，如果你有兴趣可以逐一查阅其中的信息，那么下来要解决我们当前遇到的问题只需要删除 WindowsSelfHost 项即可，可以使用命令行，或者使用注册表编辑器，随你的喜好！
reg delete "HKLM\SOFTWARE\Microsoft\WindowsSelfHost" /f
最后重新启动设备便可手动重新注册并选择发布频道！
