Windows Enterprise 다중 세션 원격 데스크톱

Microsoft Intune을 통한 Azure Virtual Desktop 다중 세션이 이제 일반 공급됩니다.

이제 Microsoft Intune을 사용하여 공유 Windows 클라이언트 디바이스를 관리할 수 있는 것처럼 Microsoft Intune 관리 센터에서 Windows Enterprise 다중 세션 원격 데스크톱을 관리할 수 있습니다. 이러한 VM(가상 머신)을 관리할 때 디바이스를 대상으로 하는 디바이스 기반 구성 또는 사용자를 대상으로 하는 사용자 기반 구성을 사용할 수 있습니다.

Windows Enterprise 다중 세션은 Azure의 Azure Virtual Desktop에만 제공되는 새로운 원격 데스크톱 세션 호스트입니다. 다음과 같은 이점을 제공합니다.

• 여러 동시 사용자 세션을 허용합니다.
• 사용자에게 친숙한 Windows 환경을 제공합니다.
• 기존 사용자별 Microsoft 365 라이선스의 사용을 지원합니다.

GCC(미국 정부 커뮤니티), GCC High 및 DoD의 Azure Government Cloud에서 만든 Windows Enterprise 다중 세션 VM을 관리할 수 있습니다.

개요

Windows Enterprise 다중 세션용 Microsoft Intune의 디바이스 구성 지원은 일반적으로 GA(일반 공급)입니다. 즉, OS scope 정의되고 시스템 컨텍스트에 설치하도록 구성된 앱은 디바이스 그룹에 할당될 때 Azure Virtual Desktop 다중 세션 VM에 적용할 수 있습니다.

Windows Enterprise 다중 세션 VM용 Microsoft Intune의 사용자 구성 지원을 일반적으로 사용할 수 있습니다. 이를 통해 다음을 수행할 수 있습니다.

• 설정 카탈로그를 사용하여 사용자 범위 정책을 구성하고 사용자 그룹에 할당합니다. 검색 막대를 사용하여 범위가 "사용자"로 설정된 모든 구성을 검색할 수 있습니다.

• 사용자 인증서를 구성하고 사용자에게 할당합니다.

• 사용자 컨텍스트에 설치하고 사용자에게 할당할 PowerShell 스크립트를 구성합니다.

필수 구성 요소

이 기능은 다음과 같은 Windows Enterprise 다중 세션 VM을 지원합니다.

• Azure Resource Manager를 통해 배포된 풀링된 호스트 풀에서 원격 데스크톱으로 설정합니다.
• Intune과 동일한 테넌트에서.
• 1.0.2944.1400 이상의 Azure Virtual Desktop 에이전트 버전을 실행합니다.
• 다음 방법 중 하나를 사용하여 Microsoft Intune에 조인되고 등록된 하이브리드를 Microsoft Entra.
  • Active Directory 그룹 정책으로 구성되고, 디바이스 자격 증명을 사용하도록 설정하고, 하이브리드 조인을 Microsoft Entra 디바이스를 자동으로 등록하도록 설정합니다.
  • Configuration Manager 공동 관리
• Microsoft Entra Azure Portal Intune을 사용하여 VM 등록을 사용하도록 설정하여 Microsoft Intune에 가입 및 등록되었습니다.
• 라이선스: 사용자 또는 디바이스가 Microsoft API를 통해 Microsoft Intune 서비스에 대한 액세스를 포함하여 Microsoft Intune 서비스에서 직접 또는 간접적으로 혜택을 받을 경우 적절한 Azure Virtual Desktop 및 Microsoft Intune 라이선스가 필요합니다. 자세한 내용은 Microsoft Intune 라이선스를 참조하세요.
• Azure Virtual Desktop 라이선스 요구 사항에 대한 자세한 내용은 Azure Virtual Desktop 라이선싱을 참조하세요.

제한 사항

Intune은 이미 등록된 컴퓨터의 복제된 이미지 사용을 지원하지 않습니다. 여기에는 AVD(Azure Virtual Desktop)와 같은 물리적 디바이스와 가상 디바이스가 모두 포함됩니다. 디바이스 간에 디바이스 등록 또는 ID 토큰이 복제되면 Intune 디바이스 등록 또는 동기화 오류가 발생합니다.

• 자세한 내용은 모바일 디바이스 등록 - Windows 클라이언트 관리 및 인증서 인증 디바이스 등록 - Windows 클라이언트 관리를 참조하세요.
• 이미지 복제와 관련된 문제 해결에 대한 자세한 내용은 오류 hr 0x8007064c: 컴퓨터가 이미 등록되어 있습니다.를 참조하세요.

Windows Enterprise 다중 세션 VM은 별도의 OS 버전으로 처리되며 일부 Windows Enterprise 구성은 이 버전에서 지원되지 않습니다. Microsoft Intune 사용은 동일한 VM의 Azure Virtual Desktop 관리에 의존하거나 영향을 주지 않습니다.

구성 프로필 만들기

Windows Enterprise 다중 세션 VM에 대한 구성 정책을 구성하려면 Microsoft Intune 관리 센터의 설정 카탈로그 를 사용합니다.

Windows Enterprise 다중 세션 VM에는 다음 구성 프로필 템플릿만 지원됩니다.

• 신뢰할 수 있는 인증서 - 디바이스를 대상으로 지정할 때 디바이스(컴퓨터) 및 사용자를 대상으로 지정할 때 사용자
• SCEP 인증서 - 디바이스를 대상으로 지정할 때 디바이스(컴퓨터) 및 사용자를 대상으로 지정할 때 사용자
• PKCS 인증서 - 디바이스를 대상으로 지정할 때 디바이스(컴퓨터) 및 사용자를 대상으로 지정할 때 사용자
• VPN - 디바이스 터널 전용

Microsoft Intune은 지원되지 않는 템플릿을 다중 세션 장치에 제공하지 않으며 이러한 정책은 보고서에 해당 사항 없음으로 표시됩니다.

정책을 구성하려면

1. Microsoft Intune 관리 센터에 로그인하고 디바이스>플랫폼>별Windows>디바이스> 관리구성>새 정책만들기>를 선택합니다.
2. 플랫폼에 대해 Windows 10 이상을 선택합니다.
3. 프로필 유형으로 설정 카탈로그를 선택하거나 템플릿을 사용하여 설정을 배포하는 경우 템플릿을 선택한 다음 지원되는 템플릿의 이름을 선택합니다.
4. 만들기를 선택합니다.
5. 기본 페이지에서 이름을 입력하고 필요에 따라 설명>다음을 제공합니다.
6. 구성 설정 페이지에서 설정 추가를 선택합니다.
7. 설정 선택기에서 필터 추가를 선택하고 다음 옵션을 선택합니다.
   • 키: OS 버전
   • 연산자: ==
   • 값: Enterprise 다중 세션
   • 적용을 선택합니다. 이제 필터링된 목록에 Windows Enterprise 다중 세션을 지원하는 모든 구성 프로필 범주가 표시됩니다. 정책에 대한 scope 괄호로 표시됩니다. 사용자 범위의 경우 (사용자)로 표시되고 나머지는 모두 장치 범위가 있는 정책입니다.
8. 필터링된 목록에서 원하는 범주를 선택합니다.
   • 선택한 각 범주에 대해 새 구성 프로필에 적용할 설정을 선택합니다.
   • 각 설정에서 이 구성 프로필에 대해 원하는 값을 선택합니다.
9. 설정 추가가 완료되면 다음 을 선택합니다.
10. 할당 페이지에서 이 프로필에 다음을 할당 > 하려는 디바이스가 포함된 Microsoft Entra 그룹을 선택합니다.
11. 범위 태그 페이지에서 필요에 따라 이 프로필> Next에 적용할 scope 태그를 추가합니다. 범위 태그에 대한 자세한 내용은 분산형 IT에 역할 기반 액세스 제어 및 범위 태그 사용을 참조하세요.
12. 검토 + 만들기 페이지에서 만들기를 선택하여 프로필을 만듭니다.

관리 템플릿

Intune 설정 카탈로그의 관리 템플릿은 몇 가지 제한 사항이 있는 Windows Enterprise 다중 세션에 대해 지원됩니다.

• ADMX 지원 정책이 지원됩니다. 일부 정책은 설정 카탈로그에서 아직 사용할 수 없습니다.
• ADMX 수집 정책이 지원됩니다. ADMX에서 수집되는 정책 범주의 전체 목록은 Win32 및 데스크톱 브리지 앱 정책 구성을 참조하세요. 일부 ADMX 수집 설정은 Windows Enterprise 다중 세션에 적용되지 않습니다.

규정 준수 및 조건부 액세스

Microsoft Intune 관리 센터에서 규정 준수 정책 및 조건부 액세스 정책을 구성하여 Windows Enterprise 다중 세션 VM을 보호할 수 있습니다. 다음 규정 준수 정책은 Windows Enterprise 다중 세션 VM에서 지원됩니다.

• 최소 OS 버전
• 최대 OS 버전
• 유효한 운영 체제 빌드
• 단순 암호
• 암호 유형
• 최소 암호 길이
• 암호 복잡도
• 암호 만료(일)
• 재사용을 방지하기 위한 이전 암호 수
• Microsoft Defender 맬웨어 방지 프로그램
• 최신 Microsoft Defender 맬웨어 방지 보안 인텔리전스
• 방화벽
• 바이러스 검사
• 스파이웨어 방지
• 실시간 보호
• Microsoft Defender 맬웨어 방지 최소 버전
• Defender ATP 위험 점수

다른 모든 정책은 해당 없음으로 보고됩니다.

조건부 액세스 정책은 Windows Enterprise 다중 세션에 대한 사용자 및 디바이스 기반 구성을 모두 지원합니다.

엔드포인트 보안

플랫폼 Windows를 선택하여 다중 세션 VM에 대한 엔드포인트 보안에서 프로필을 구성할 수 있습니다. 해당 플랫폼을 사용할 수 없는 경우 프로필은 다중 세션 VM에서 지원되지 않습니다.

자세한 내용은 Microsoft Intune에서 엔드포인트 보안 정책으로 디바이스 보안 관리를 참조하세요.

애플리케이션 배포

모든 Windows 앱은 다음과 같은 제한 사항으로 Windows Enterprise 다중 세션에 배포할 수 있습니다.

• 모든 앱은 시스템/디바이스 컨텍스트에 설치하도록 구성하고 디바이스를 대상으로 지정해야 합니다. 웹 앱은 항상 기본적으로 사용자 컨텍스트에 적용되므로 다중 세션 VM에는 적용되지 않습니다.
• 모든 앱은 필수 또는 제거 앱 할당 의도로 구성해야 합니다. 사용 가능한 앱 배포 의도는 다중 세션 VM에서 지원되지 않습니다.
• 시스템 컨텍스트에서 설치하도록 구성된 Win32 앱이 사용자 컨텍스트에서 설치하도록 구성된 앱에 대해 종속성 또는 대체 관계가 있는 경우 앱이 설치되지 않습니다. Windows Enterprise 다중 세션 VM에 적용하려면 시스템 컨텍스트 앱의 별도 instance 만들거나 모든 앱 종속성이 시스템 컨텍스트에 설치되도록 구성되어 있는지 확인합니다.
• Azure Virtual Desktop RemoteApp 및 MSIX 앱 연결은 현재 Microsoft Intune에서 지원되지 않습니다.

스크립트 배포

시스템 컨텍스트에서 실행되도록 구성되고 디바이스에 할당된 스크립트는 Windows Enterprise 다중 세션에서 지원됩니다. 로그온한 자격 증명을 사용하여 이 스크립트 실행을 아니요로 설정하여 스크립트를 스크립트 설정에서 구성할 수 있습니다.

사용자 컨텍스트에서 실행되도록 구성되고 사용자에게 할당된 스크립트는 Windows Enterprise 다중 세션에서 지원됩니다. 로그온한 자격 증명을 사용하여 이 스크립트 실행을 예로 설정하여 스크립트를 스크립트 설정에서 구성할 수 있습니다.

클라이언트 정책 Windows 업데이트

설정 카탈로그를 사용하여 Windows Enterprise 다중 세션 VM에 대한 품질(보안) 업데이트에 대한 Windows 업데이트 설정을 관리할 수 있습니다. 카탈로그에서 지원되는 설정을 찾으려면 엔터프라이즈 다중 세션에 대한 설정 필터를 구성한 다음 비즈니스용 Windows 업데이트 카테고리를 확장합니다.

Windows CSP 설명서를 여는 링크와 함께 카탈로그에서 다음 설정을 사용할 수 있습니다.

• 활성 시간 종료
• 활성 시간 최대 범위
• 활성 시간 시작
• '업데이트 일시 중지' 기능 차단
• 기한 유예 기간 구성
• 품질 업데이트 기간(일) 연기
• 품질 업데이트 시작 시간 일시 중지
• 품질 업데이트 기한(일)

원격 작업

다음 Windows 데스크톱 디바이스 원격 작업은 지원되지 않으며 UI에서 회색으로 표시되고 Windows Enterprise 다중 세션 VM용 Graph에서 사용하지 않도록 설정됩니다.

• Windows Autopilot 재설정
• BitLocker 키 순환
• 새로 시작
• 원격 잠금
• 암호 다시 설정
• 초기화

사용 중지

Azure에서 VM을 삭제하면 분리된 디바이스 레코드가 Microsoft Intune 관리 센터에 남게 됩니다. AVD 컴퓨터는 30일 후에 자동으로 삭제되고 60일 후에 영구적으로 제거됩니다. 자세한 내용은 다음 항목을 참조하세요.

• Intune 디바이스 정리 규칙 사용.
• 정리 규칙을 사용하여 디바이스 자동 제거

보안 기준

보안 기준은 Windows Enterprise 다중 세션에 사용할 수 있습니다. 사용할 수 있는 보안 기준을 검토하고 설정 카탈로그에서 권장 정책 및 값을 구성하는 것이 좋습니다.

Windows Enterprise 다중 세션 VM에서 지원되지 않는 추가 구성

OOBE(Out of Box Experience) 등록은 Windows Enterprise 다중 세션에 대해 지원되지 않습니다. 이러한 제한 사항은 다음을 의미합니다.

• Windows Autopilot 및 상업적 OOBE가 지원되지 않습니다.
• 등록 상태 페이지는 지원되지 않습니다.

Microsoft Intune에서 관리하는 Windows Enterprise 다중 세션은 현재 중국 Sovereign Cloud 지원되지 않습니다.

문제 해결

다음 섹션에서는 일반적인 문제에 대한 문제 해결 지침을 제공합니다.

등록 문제

구성 문제

다음 단계

Azure Virtual Desktop에 대해 자세히 알아봅니다.