添加 Microsoft Azure 映像

可通过三种方法将映像添加到 Microsoft Azure。请根据您的需求选择最佳方法，并确保在继续操作前满足所有必备条件。有关更多信息，请参阅管理 Microsoft Azure 提供程序部署的映像。

如果您计划对 Edge 网关 (AKS) 部署使用加密，请在 Microsoft Azure 订阅中启用加密。在订阅级别启用 EncryptionAtHostSupported 功能将采用磁盘加密。要启用此功能，请按照使用 Azure 门户通过主机加密来启用端到端加密的“必备条件”一节中的步骤操作。

添加映像的方法

您可以使用三种方法将映像添加到 Microsoft Azure：

1. **从 Microsoft Azure 应用商店添加映像：**如果您需要的映像基于 Azure 应用商店中提供的最新操作系统内部版本，请使用此选项。

2. **使用 Microsoft 自定义虚拟机添加映像：**如果您在 Azure 中具有自定义工作流可生成用于准备映像的基础虚拟机，请使用此选项。此方法还支持在 Microsoft Azure 专用主机上托管的自定义虚拟机（包括使用 UEM 管理的虚拟机）中添加映像。请参阅部署 Microsoft Azure Edge 的要求检查表。

3. **从 Microsoft Azure 计算库添加映像：**如果您的 Microsoft Azure 计算库中已存在现有映像，请使用此选项。

必备条件

添加映像之前，请确保满足以下必备条件：

• 规划虚拟机型号： 根据部署 Microsoft Azure Edge 的要求检查表中所述的要求，确定虚拟机型号。

• 网关状态： 确保 Unified Access Gateway 和 Horizon Edge Gateway 处于“就绪”状态。

• 订阅验证：

  • 确认您的订阅具有足够的 CPU 内核配额用于选定的虚拟机型号。有关受支持的型号类型，请参阅部署 Microsoft Azure Edge 的要求检查表。

  • 如果使用支持 EncryptionAtHostSupported 的虚拟机型号，请确保您的订阅启用了主机加密功能。有关详细信息，请参阅上述同一文档。注意：只有 Linux 映像虚拟机支持主机加密，而池虚拟机则不支持这种加密。

• 网络和 IP 地址验证：

  • 确认租户（桌面）子网允许足够数量的 IP 地址。

  • 确保您为 Microsoft RDP 访问置备了所需数量的公用 IP 地址。

• URL 可访问性： 确认 softwareupdate.omnissa.com 可使用 TCP 协议通过 443 端口进行访问（可解析和访问）。有关更多详细信息，请参阅在 Microsoft Azure 中部署 Horizon Cloud 的端口和协议要求。

• 虚拟网络配置： 确保至少为提供程序选择了一个虚拟网络和租户（桌面）子网。

• 客户机操作系统支持： 确定是否支持映像的客户机操作系统。有关兼容性信息，请参阅互操作性列表。

• Red Hat Enterprise Linux (RHEL) - 自带订阅 (BYOS)：对 Red Hat Enterprise Linux 映像使用自带订阅 (BYOS) 选项时，需要为 Azure 订阅在 Azure 上启用 Red Hat 产品的 Cloud Access 功能。

  必须通过以下方式在 Red Hat 订阅管理中配置 Red Hat Cloud Access。

  • 在 Azure 上启用 Red Hat 产品的 Cloud Access 功能。

  • 将 Microsoft Azure 订阅 ID 添加到 Cloud Access。

  如果未启用 Red Hat Cloud Access，则无法完成映像导入操作。 有关分步说明，请参阅 Red Hat Cloud Access。

• UEM 载入工作流：在 UEM 中使用组织 ID 创建载入工作流（请参阅使用工作流执行操作）。同时，创建一个 UEM OAuth 客户端以进行所需的设置配置。

UEM 管理必备条件

您的组织应运行 UEM 2602 及更高版本。

• 应为 Intelligent Hub 受管模式配置注册 OG 设置。

• 创建 UEM OAuth 客户端并将其添加到 IMS 的 UEM 集成部分中，以便 IMS 可以与 UEM 集成。

• 在同一部分中，添加用于将设备注册到 UEM 的注册参数。

• 在 UEM 中，“工作流步骤状态报告间隔”应设置为 5 分钟。

• 在 UEM 中，创建一个载入工作流，以在设备注册后立即运行。包含最佳配置映像中所需的所有应用程序、配置文件、脚本等（请参阅“使用工作流执行操作”）。

• 在此工作流中包含一个受管资源配置文件，用于保留应用程序、基准和配置文件以及取消注册。如果映像不会在池中注册到 UEM，则保留 Hub 设置可以保持为默认值。

• 必须在置备模式下使用 Intelligent HUB 置备虚拟机映像。安装 Hub 时，请使用以下命令：Msiexec -- PROVISIONHUB=Y

• 1. 如果映像将在池中使用，则在工作流中包含一个脚本，以将“推迟注册功能标记”注册表设置设为 True：

  HKEY_LOCAL_MACHINE\SOFTWARE\AIRWATCH\Feature\DeferEnrollmentFeatureFlag - True
  

从 Microsoft Azure 应用商店添加映像

使用此选项添加映像时，Azure 将使用所选操作系统部署新虚拟机。添加映像后，可根据需要自定义该映像。最后，您必须发布映像，才能使其可在池模板中使用。

注意：

• 在映像发布过程中，Horizon Agent 安装仅支持 Windows 映像。

• 对于 Linux 映像，必须手动执行 Horizon Agent 安装。

  发布 Linux 映像之前，请在 Linux 虚拟机上安装受支持的适用于 Linux 的 Horizon Agent。

  有关安装说明，请参阅：

  • 在 Linux 虚拟机上安装 Horizon Agent
  • 安装 Horizon Agent 的 Linux 依赖项包

  如果要更新现有 Linux 映像，请参阅：

  • 在 Linux 虚拟机上升级 Horizon Agent

  有关支持的 Linux 分发包、Horizon Agent 版本和互操作性信息，请参阅互操作性列表。

• 支持的 Linux 操作系统映像包括 Ubuntu 22.04 LTS、Ubuntu 24.04 LTS 和 Red Hat Enterprise Linux (RHEL) 8.6、9.6（仅限单会话）。

• 仅 Windows 映像支持使用 UEM 管理选项。

步骤

1. 在 Horizon Universal Console 的左侧菜单中选择映像。

2. 在映像页面上，单击添加，然后选择相应的选项。

3. 在常规信息部分中，添加唯一的映像名称，然后单击下一步。

   映像版本名称后将自动附加短划线以创建映像副本名称（Image-1-0、Image-1-100）。

4. 您可以添加对映像的描述。

5. 在标记字段中，添加新标记。为标记指定唯一的名称。保存映像时会保存新标记。

6. 在映像源部分中，选择 Microsoft Azure 应用商店，然后单击下一步。

7. 在目标子部分中，选择站点、Horizon Edge 和提供程序。

8. 在虚拟机详细信息子部分中，选择操作系统、代次类型、虚拟机型号类型和虚拟机型号。

   如果选择 Linux 操作系统，请根据操作系统发行版选择相应的许可证类型：

   • Red Hat Enterprise Linux：选择即付即用 (PAYG) 或自带订阅 (BYOS)。

     BYOS 选项要求为订阅在 Azure 上启用 Red Hat 产品的 Cloud Access 功能。

   • Ubuntu：只有即付即用 (PAYG) 可用。

9. 在 V1 和 V2 之间选择代次类型。

10. 对于 Windows 映像，操作系统仅支持特定的安全类型。系统将自动在标准和受信任启动之间选择安全类型选项，并停用未选中的选项。

    如果选择 V1，将仅激活标准作为安全类型。标准可为虚拟机提供基本的安全级别。

    如果选择 V2，将默认为安全类型激活受信任启动。安全引导默认处于启用状态，可提供针对 bootkit、rootkit 和内核级恶意软件的保护。另外，虚拟可信平台模块 (Virtual Trusted Platform Module, vTPM) 也默认处于启用状态，可安全地存储密钥、私钥并验证虚拟机引导完整性。受信任启动可提供增强的安全保护，防御针对第 2 代虚拟机的高级攻击。

    对于 V2，您也可以选择标准作为安全类型。

11. 选择虚拟机型号类型（有 GPU / 无 GPU）。

12. 从可用选项中选择受支持的虚拟机型号。

    显示的虚拟机型号选项取决于虚拟机型号类型和代次类型选择项。如果选定的虚拟机型号支持主机加密，则将自动激活相应切换开关。 此功能使用平台管理的密钥对临时磁盘和临时操作系统磁盘进行加密。

13. 在网络子部分中，通过滑动相应切换开关来启用公用 IP，以便通过远程桌面协议 (Remote Desktop Protocol, RDP) 连接访问映像，然后选择网络。

    要自定义并优化映像，您需要从在相应网络上运行的映像中创建一个虚拟机以进行登录。因此，您必须提供具有足够资源配额的相应 VNet、子网和公用 IP。

14. 在虚拟机的管理员凭据子部分中，为本地管理员帐户添加可访问映像操作系统并在映像自定义过程中使用的用户名和密码。

    注意：这些凭据用于在映像自定义期间远程访问虚拟机（对于 Windows 映像，使用 RDP；对于 Linux 映像，使用 SSH）。

15. 选择涵盖软件保障的 Windows 许可证（仅基于 Windows 的映像需要），然后单击下一步。 从 Microsoft Azure 应用商店添加映像会使该映像处于_未发布_状态。自定义映像后，必须先发布该映像，然后才能在池模板中使用。

16. 如果客户使用 UEM，则通过启用选项开关来选择使用 UEM 管理；否则，请单击添加。

    从 Microsoft Azure 应用商店添加映像时，创建的映像将处于未发布状态。如果启用了使用 UEM 管理，映像将在准备好发布之前由 UEM 进行自定义。必须先发布该映像，然后才能在池模板中使用。

    **注意：**无法在此工作流中安装 Hub Agent。专用池和浮动池均受支持。

使用 Microsoft Azure 自定义虚拟机添加映像

选择此选项后，现有 Azure 虚拟机将作为自定义映像注册到 Horizon Cloud IMS 服务中。然后，自定义虚拟机将由 IMS 进行管理，并在完成映像发布操作后删除。添加映像后，您可以先执行额外的自定义，然后再将其发布以在池模板中使用。

重要注意事项

• 确保 Azure 虚拟机正常运行，且 Azure 代理处于“就绪”状态。
• 虚拟机及其关联的资源（例如，磁盘、网卡）必须位于同一资源组中。
• 自定义虚拟机的操作系统必须与 UI 中选择的操作系统相匹配。

Microsoft Azure 自定义虚拟机的必备条件

• **虚拟机型号类型：**自定义虚拟机必须为第 1 代或第 2 代。

• **基于角色的访问控制 (Role-Based Access Control, RBAC)：**为包含自定义虚拟机的资源组设置 RBAC。

• **区域一致性：**目标提供程序区域和自定义虚拟机所在的区域必须相同。

  **注意：**选定的自定义虚拟机将转换为一个广义的映像，无法在映像发布工作流期间重新用作虚拟机。建议保留虚拟机的备份。

步骤

1. 在 Horizon Universal Console 的左侧菜单中选择映像。

2. 在映像页面上，单击添加，然后选择相应的选项。

3. 在常规信息部分中，添加唯一的映像名称，然后单击下一步。 映像版本名称后将自动附加短划线以创建映像副本名称（Image-1-0、Image-1-100）。

4. 您可以添加对映像的描述。

5. 在标记字段中，添加新标记。为标记指定唯一的名称。保存映像时会保存新标记。

6. 在映像源部分中，选择 Microsoft Azure 自定义虚拟机，然后单击下一步。

7. 在目标子部分中，选择站点、Horizon Edge 和提供程序。

8. 在虚拟机详细信息子部分中，选择虚拟机。

   对于此虚拟机选项， 必须事先从下拉列表中选择 Azure 资源组。虽然两个资源组都包含名称模式 hcs-<ProviderInstance_Id>-base-vms，但请选择适用于现有 Microsoft Azure Edge 的相应资源组。所有自定义虚拟机都必须属于所选的资源组。另请注意，映像和任何其他相关资源将位于同一资源组中。您可以在 Microsoft Azure 门户的“虚拟机详细信息”页面上获取资源组名称。

   **注意：**只能使用所选虚拟机的代次类型置备池。

9. 选择此自定义虚拟机的操作系统类型。请务必准确地选择自定义虚拟机的操作系统类型，因为选择后无法对其进行验证。

   如果选择 Linux 操作系统，请根据操作系统发行版选择相应的许可证类型：

   • Red Hat Enterprise Linux：选择即付即用 (PAYG) 或自带订阅 (BYOS)。

     BYOS 选项要求为订阅在 Azure 上启用 Red Hat 产品的 Cloud Access 功能。

   • Ubuntu：只有即付即用 (PAYG) 可用。

10. 在虚拟机的管理员凭据子部分中，为本地管理员帐户添加可访问映像操作系统并在映像自定义过程中使用的用户名和密码。

    • 用户名的长度不能超过 19 个字符，且不能以句点 (.) 结尾。

    • 不能使用 Microsoft Azure 禁止的用户名，例如 guest 或 administrator。

    • 密码必须为 12 到 123 个字符，并且满足以下要求中的三项：小写字母 [a-z]、大写字母 [A-Z]、数字、特殊字符 (!@#$%/^&*)。

    • 不能使用 Microsoft Azure 禁止的一些密码，例如 Password1。

11. 添加基于 Windows 的映像时，选择涵盖软件保障的 Windows 许可证，然后单击添加。

    注意：此选项仅适用于基于 Windows 的映像。Linux 映像不需要 Windows 许可，在添加 Linux 操作系统映像时，应将此复选框保留为未选中状态。

从 Microsoft Azure 计算库添加映像

通常，此选项由受管服务提供程序 (Managed Service Provider, MSP) 使用，这些服务提供程序会先使用 Horizon Cloud 映像管理系统将映像发布到自己的组织，然后再将这些映像复制到客户组织。Microsoft Azure 计算库中的源映像必须包含相应的 Horizon Agent（与 Horizon Cloud 兼容），并且在执行所有自定义后必须进行通用化。Windows 映像必须使用 Microsoft Sysprep 进行通用化，而 Linux 映像必须使用 waagent -deprovision+user 进行通用化。这些映像将直接复制到目标提供程序的 Azure 计算库，并在创建池时按原样使用，而无需发布。

重要注意事项：

• 使用此选项时，选择映像属性下的从源映像复制，并提供将源映像发布到的组织 ID。这可确保从源映像复制所需的属性，如 Horizon Agent 版本和映像元数据。

• 如果您选择覆盖但未提供组织 ID，IMS 服务将不包含有关映像属性的信息，如 Horizon Agent 版本和功能。

Microsoft Azure 计算库的必备条件

• **映像兼容性：**请参阅互操作性列表以确保映像受支持。

• **映像定义：**确认在 Microsoft Azure 计算库映像定义中正确设置了 Microsoft Windows 操作系统的产品和 SKU 值。例如，对于 Microsoft Windows Server 2022，请确保产品值为 windowsserver 且 SKU 值为 2022-datacenter。

步骤

1. 在 Horizon Universal Console 的左侧菜单中选择映像。

2. 在映像页面上，单击添加，然后选择相应的选项。

3. 在常规信息部分中，添加唯一的映像名称，然后单击下一步。映像版本名称后将自动附加短划线以创建映像副本名称（Image-1-0、Image-1-100）。

4. 您可以添加对映像的描述。

5. 在标记字段中，您可以添加新标记。为标记指定唯一的名称。保存映像时会保存新标记。

6. 在映像源部分中，选择 Microsoft Azure 计算库，然后单击下一步。

7. 在目标子部分中，选择站点和 Horizon Edge。

8. 在源映像版本详细信息子部分中，从 Microsoft Azure 门户添加 Microsoft Entra ID 租户 ID。可以通过单击位于映像定义的映像版本上的 JSON 视图链接，来添加从 Microsoft Azure 门户中获取的资源 ID。如果映像是使用 Horizon Universal Console 发布的，则可以从映像版本详细信息页面上映像副本网格的位置路径列中获取此 ID。

   确保所选目标 Horizon Edge 的提供程序对源映像或包含该映像的资源组具有 Microsoft Azure RBAC 读取访问权限。还请确保已使用 Horizon Agent 发布源映像。

   **注意：**使用 Omnissa 受管应用程序时，需要进行以下额外配置：

   • 表顶部的 Omnissa 受管应用程序必须至少对 Azure 计算库或包含映像的资源组具有读取者访问权限。

   • **源订阅：**源 Azure 计算库映像所在的订阅。此订阅可以由 Microsoft 合作伙伴或托管服务提供商 (MSP) 所有。

   • **目标订阅：**Horizon Cloud 提供程序用于创建 Azure 资源（如 Horizon Edge、UAG、映像和池）的订阅。

   • Omnissa 受管应用程序必须具有现有服务主体要求中定义的所需权限。

   • 确保在两个订阅中都分配了适当的 Microsoft Azure RBAC 权限。

9. 为映像属性选择从源映像复制，以使用源映像版本中的属性。

   • 如果受管服务提供程序 (MSP) 支持，则可以将映像从 MSP 组织的提供程序复制到您的提供程序。此过程利用 Horizon 目录中与外部组织 (MSP) 而非您自己的组织相对应的已发布源映像。MSP 提供完整的映像，包括位于服务器或多会话映像中的应用程序的详细信息。

   • 在选择从源映像复制时，请指定最初共享或发布映像的组织 ID。

   • 您可以通过覆盖功能来配置属性。如果要复制不在 Horizon 目录中的源映像，可以使用“覆盖”选项。例如，外部订阅中可由 Horizon 提供程序订阅读取的映像。

   • 导入外部映像时，请确保源映像安装了最新的 Horizon Agent，否则在此映像上作为桌面/服务器池的一部分创建的虚拟机可能会遇到错误。

   • 源映像是已发布的映像，普遍带有必要的代理和软件。因此，池可以直接使用客户组织中相同映像的副本。也可以将其重新发布到其他订阅或区域。您的提供程序必须具有对源映像的适当 RBAC 访问权限。

   • 在选择覆盖时，请指定源映像的操作系统。如果操作系统不支持特定的代次类型，则默认情况下将选择受支持的代次类型。

   • 如果选择 Linux 操作系统，请根据操作系统发行版选择相应的许可证类型：

     • Red Hat Enterprise Linux：选择即付即用 (PAYG) 或自带订阅 (BYOS)。

       BYOS 选项要求为订阅在 Azure 上启用 Red Hat 产品的 Cloud Access 功能。

     • Ubuntu：只有即付即用 (PAYG) 可用。

10. 如果可选，请选择一个代次类型选项。**注意：**支持 Microsoft Azure 第 1 代和第 2 代虚拟机。如果选择 V1，则只能使用 V1 代型号置备池。

11. 在虚拟机详细信息子部分中，选择虚拟机型号类型和虚拟机型号。注意：您选择的代次类型和虚拟机型号类型将用作筛选器，以确定虚拟机型号下拉菜单中可用的虚拟机型号。

12. 在虚拟机的管理员凭据子部分中，添加本地管理员帐户的用户名和密码。此帐户用于访问映像的操作系统，并在映像转换过程中使用。

13. 添加基于 Windows 的映像时，选择涵盖软件保障的 Windows 许可证，然后单击添加。