Configurando RBAC e Start VM on Connect no Azure Virtual Desktop

Steps and Tech
1 de abr.
3 min de leitura

Você não precisa (NEM DEVE) manter todas as VMs do seu host pool ligadas 24/7. Principalmente em ambientes pessoais ou com baixa demanda, deixar a VM desligada até o momento da conexão economiza recursos e salva dinheiro. 🤑

O recurso Start VM on Connect faz exatamente isso. Mas para funcionar, você precisa configurar o controle de acesso (RBAC) corretamente.

Neste artigo, você vai aprender como configurar o RBAC (Role-Based Access Control) no AVD e ativar o Start VM on Connect sem dor de cabeça.

O que são RBAC e Start VM on Connect?

Pra começar, aqui vai um resumo rápido:

O Azure RBAC é um sistema de autorização mais recente que fornece gerenciamento de acesso refinado para recursos do Azure. O RBAC do Azure inclui muitas funções internas, pode ser atribuído em escopos diferentes e permite que você crie funções personalizadas próprias

Funções do Azure, funções do Microsoft Entra e funções clássicas de administrador de assinatura | Microsoft Learn

RBAC: Esse é o controle de acesso baseado em funções. Com ele, você consegue definir exatamente o que cada pessoa pode (ou não pode) fazer no AVD. É aquele reforço na segurança sem precisar de muitas restrições.
Start VM on Connect: Esse recurso faz as VMs ligarem automaticamente quando alguém tenta se conectar. É perfeito pra economizar $$$ e não deixar máquinas ligadas à toa, consumindo recursos e $.

Além disso, em resumo é uma funcionalidade que liga automaticamente a VM de um host pool quando um usuário tenta se conectar
- Perfeito para cenários com:
  - Host pools pessoais (um usuário por VM)
  - Máquinas que não precisam estar ligadas o tempo todo
  - Otimização de custos
    🔋 A VM só liga se estiver desligada. Se já estiver ligada, a sessão é iniciada normalmente. 😊

Agora que já deu pra entender a base, vamos ao que interessa!

Elementos do RBAC que você precisa configurar

Security Principal: O AVD ARM Provider

Role Definition: Desktop Virtualization Power On Contributor

Scope: O grupo de recursos onde estão suas VMs

Configurando RBAC no Azure Virtual Desktop

Planeje quem faz o quê Quem precisa acessar o AVD? E o que essas pessoas podem fazer? Escolha funções que se encaixem na necessidade. Você pode usar funções padrão, como Virtual Machine User, ou criar algo mais personalizado com mais permissões, ou menos...
Acesse e configure no portal do Azure Vá até o Host Pool do seu AVD e abra a aba Access Control (IAM). Lá, você adiciona os usuários ou grupos e define as funções específicas. Bem simples!

Configurando Start VM on Connect

Habilite a funcionalidade No portal do Azure, acesse as propriedades do Host Pool e habilite o Start VM on Connect. É literalmente só virar uma chave.

Certifique-se de que as VMs estão prontas: Verifique o grupo de recursos e veja se as VMs têm o Power Management configurado certinho pra usar o recurso.

Testes! Tente conectar na VM e veja a mágica acontecer! As VMs ligam sozinhas e o usuário entra sem dor de cabeça e sem ter a necessidade de deixá-la ligada "forever".

Como Configurar RBAC no Azure

A configuração do RBAC no Azure é simples e pode ser feita através do portal do Azure.

Acesse o grupo de recursos onde estão suas VMs do AVD

Vá em Controle de acesso (IAM) > + Adicionar atribuição de função
Escolha a função: Desktop Virtualization Power On Contributor
Em membro, selecione "Identidade atribuída pelo sistema"
Busque por:

Virtual Desktop..

Conclua a atribuição , adicionando o usuário.

Isso garante que o serviço do AVD tenha permissão para iniciar VMs em nome do usuário.

Testando!

Desligue manualmente a VM de um host pool pessoal
Tente conectar com o usuário via cliente AVD
A VM será ligada automaticamente — e a sessão iniciada

DICA:

Se não funcionar:

Verifique se a função RBAC está atribuída corretamente
Cheque logs no Azure Monitor
Confirme que a VM está no mesmo grupo de recursos configurado no RBAC
O Start VM on Connect não expande permissões do usuário final, ele só liga a VM. 🙇‍♂️
Use esse recurso com host pools personal (um-para-um) para garantir previsibilidade.
Se possível, combine com políticas de desligamento automático para mais economia.