07 · Installer, publier et livrer les applications

Version : 1.1 · Date : 2026-10-22 · Domaine 3 : Plan and implement user environments and apps (20 à 25 %)

En une phrase : ce que tout le monde utilise (Microsoft 365 Apps, Teams, OneDrive, Edge) s'installe dans l'image dorée avec les réglages propres au multisession ; le reste se livre par utilisateur avec App Attach, sans toucher à l'image ; les application groups décident si l'utilisateur voit un bureau complet ou seulement des applications (RemoteApp).

Ce que l'examen demande#

Repris mot pour mot du guide d'étude AZ-140 (compétences du 20/07/2026), bloc Install and configure apps on a session host :

Prérequis vus ailleurs : la hiérarchie host pool → application group → workspace et les types de host pool au chapitre 03 · 1, l'image dorée au chapitre 04, FSLogix et Application Masking au chapitre 02, les rôles RBAC et la jonction des session hosts au chapitre 05 · 4, la multimedia redirection et les propriétés RDP au chapitre 06.

1. Choisir une méthode de déploiement#

1.1 Installer ou livrer : deux questions différentes#

Deux questions se posent pour chaque application, à ne pas confondre :

1. Comment arrive-t-elle sur le session host ? Installée dans l'image, installée par un outil de gestion, ou attachée à la connexion (App Attach).
2. Comment l'utilisateur la voit-il ? Dans un bureau complet (Desktop application group) ou seule, dans une fenêtre intégrée à son poste (RemoteApp application group).

Le Cloud Adoption Framework pour AVD résume la règle : les applications universelles (sécurité, Microsoft 365) vont dans l'image, construite automatiquement ; tout le reste (applications réservées à un groupe, applications incompatibles entre elles) est livré dynamiquement par utilisateur. App Attach est la méthode prise en charge pour cette livraison dynamique.

1.2 Les méthodes comparées#

Recommandation sécurité Microsoft : ne pas donner les droits d'administration aux utilisateurs sur les bureaux virtuels ; les logiciels passent par les outils de gestion (Intune…) ; en multisession, pas d'installation par les utilisateurs.

1.3 Arbre de décision#

flowchart TD
    A[Nouvelle application] --> B{Utilisée par tous<br/>les utilisateurs du host pool ?}
    B -- Oui --> C[Golden image<br/>Azure VM Image Builder]
    B -- Non --> D{Format MSIX, Appx<br/>ou App-V possible ?}
    D -- Oui --> E[App Attach<br/>attribuée par groupe]
    D -- Non --> F{Host pool personal<br/>ou parc géré par Intune ?}
    F -- Oui --> G[Intune ou<br/>Configuration Manager]
    F -- Non --> H[Host pool dédié<br/>avec son image]
    C --> I{Bureau complet<br/>ou application seule ?}
    E --> I
    G --> I
    H --> I
    I -- Bureau --> J[Desktop application group]
    I -- Application seule --> K[RemoteApp application group<br/>host pool pooled]

2. Créer et configurer un application group#

2.1 Les deux types et leurs règles#

Un application group regroupe ce qu'un host pool met à disposition : le bureau complet ou une liste d'applications.

Règles communes :

• Un application group est lié à un seul host pool ; un host pool peut avoir plusieurs application groups.
• Un application group doit être enregistré dans un workspace pour apparaître dans le flux de l'utilisateur ; il hérite du deployment scope du host pool et ne s'enregistre que dans un workspace de même scope.
• Ses métadonnées sont stockées dans la région du host pool (pas de champ séparé).
• Un utilisateur attribué à plusieurs RemoteApp application groups du même host pool voit l'ensemble de leurs applications.
• Créé par le portail avec le host pool, un Desktop application group nommé {hostpool}-DAG est créé d'office, quel que soit le preferred type ; on peut le supprimer si l'on ne veut que des RemoteApp. Ce n'est pas le cas en PowerShell ou en CLI.

2.2 Le Preferred application group type#

Sur un pooled host pool, le paramètre Preferred application group type (Desktop ou RemoteApp, RailApplications en PowerShell et CLI) évite qu'un utilisateur ouvre en même temps un bureau et une RemoteApp du même host pool, ce qui créerait deux sessions sur le même host pool (session hosts surchargés, écran noir, applications qui plantent).

À retenir :

• Le preferred type se choisit à la création et se modifie ensuite (Host pools > Properties > Preferred app group type), avec le rôle Desktop Virtualization Host Pool Contributor. Valeur par défaut dans le portail : Desktop.
• Il ne joue que pour un utilisateur attribué aux deux types sur le même host pool. Des utilisateurs différents peuvent voir des types différents sur le même host pool ; un utilisateur peut voir un bureau d'un host pool et des RemoteApp d'un autre.
• Pour qu'un même utilisateur ait bureau et applications, la réponse est : deux host pools.
• Le schéma d'URI ms-avd:connect permet de contourner le preferred type : déconseillé.

2.3 Mise en œuvre#

Portail : Azure Virtual Desktop > Application groups > Create : onglet Basics (host pool, Application group type Desktop ou RemoteApp, nom), puis Application groups (ajout d'applications si RemoteApp : au moins un session host allumé et disponible), Assignments, Workspace (enregistrement), Advanced (diagnostic settings).

PowerShell (module Az.DesktopVirtualization) :

# Créer un RemoteApp application group sur un host pool existant
$hostPoolArmPath = (Get-AzWvdHostPool -Name 'hp01' -ResourceGroupName 'rg-avd').Id

$parameters = @{
    Name                 = 'hp01-RAG-Finance'
    ResourceGroupName    = 'rg-avd'
    ApplicationGroupType = 'RemoteApp'    # ou 'Desktop'
    HostPoolArmPath      = $hostPoolArmPath
    Location             = 'westeurope'
}
New-AzWvdApplicationGroup @parameters

# L'enregistrer dans un workspace
$appGroupPath = (Get-AzWvdApplicationGroup -Name 'hp01-RAG-Finance' -ResourceGroupName 'rg-avd').Id
Update-AzWvdWorkspace -Name 'ws-avd' -ResourceGroupName 'rg-avd' -ApplicationGroupReference $appGroupPath

# Fixer le preferred type du host pool (Desktop ou RailApplications)
Update-AzWvdHostPool -Name 'hp01' -ResourceGroupName 'rg-avd' -PreferredAppGroupType 'RailApplications'

Azure CLI (extension desktopvirtualization) : az desktopvirtualization hostpool update --preferred-app-group-type … pour le preferred type. La publication d'applications RemoteApp, elle, n'existe pas en Azure CLI (section 4).

3. Attribuer les utilisateurs#

L'attribution est un role assignment Azure RBAC : le rôle Desktop Virtualization User donné à un utilisateur ou à un groupe, avec pour scope l'application group. Microsoft recommande d'attribuer des groupes plutôt que des utilisateurs.

# Attribuer un groupe Microsoft Entra à un application group
$parameters = @{
    ObjectId           = (Get-AzADGroup -DisplayName 'GG-AVD-Finance').Id
    ResourceName       = 'hp01-RAG-Finance'
    ResourceGroupName  = 'rg-avd'
    RoleDefinitionName = 'Desktop Virtualization User'
    ResourceType       = 'Microsoft.DesktopVirtualization/applicationGroups'
}
New-AzRoleAssignment @parameters

En Azure CLI : az role assignment create --assignee-object-id … --role "Desktop Virtualization User" --scope {id de l'application group}.

4. Publier une application en RemoteApp#

4.1 Les sources et les paramètres#

Une application s'ajoute à un RemoteApp application group depuis trois sources :

Paramètres de l'application :

• Application identifier (unique dans le groupe) et Display name (ce que voit l'utilisateur).
• Require command line : Do not allow (DoNotAllow), Allow any (Allow), Require (Require, avec un argument fixe) ; par exemple Excel ouvert sur un modèle précis.
• Icon path et Icon index (en général 0).
• Show in portal ; Create desktop shortcut (Preview) (raccourci sur le poste, demande Intune).

Prérequis : rôle Desktop Virtualization Application Group Contributor au minimum, au moins un session host allumé et disponible (l'application doit être installée sur les session hosts du host pool : sur tous, sinon elle manque selon le session host attribué), et l'application group enregistré dans un workspace. Pas d'Azure CLI : portail ou PowerShell.

4.2 PowerShell#

# 1. Lister les applications du Start menu des session hosts
Get-AzWvdStartMenuItem -ApplicationGroupName 'hp01-RAG-Finance' -ResourceGroupName 'rg-avd' |
    Select-Object Name, AppAlias

# 2. Publier depuis le Start menu (AppAlias renvoyé par la commande précédente)
$parameters = @{
    Name               = 'WordPad'
    AppAlias           = 'wordpad'
    GroupName          = 'hp01-RAG-Finance'
    ResourceGroupName  = 'rg-avd'
    CommandLineSetting = 'DoNotAllow'
}
New-AzWvdApplication @parameters

# 3. Publier par chemin de fichier, avec argument imposé
$parameters = @{
    Name                = 'Excel-Finance'
    GroupName           = 'hp01-RAG-Finance'
    ResourceGroupName   = 'rg-avd'
    FilePath            = 'C:\Program Files\Microsoft Office\root\Office16\EXCEL.EXE'
    IconPath            = 'C:\Program Files\Microsoft Office\root\Office16\EXCEL.EXE'
    IconIndex           = '1'
    CommandLineSetting  = 'Require'
    CommandLineArgument = '/t http://MySite/finance-template.xltx'
    ShowInPortal        = $true
}
New-AzWvdApplication @parameters

4.3 Applications du Microsoft Store (MSIX installées)#

Le chemin d'une application MSIX installée contient son numéro de version, qui change à chaque mise à jour. On publie donc par l'alias shell, avec une icône copiée à un emplacement local stable :

$parameters = @{
    Name                 = 'Microsoft Paint'
    ResourceGroupName    = 'rg-avd'
    ApplicationGroupName = 'hp01-RAG-Finance'
    FilePath             = 'shell:appsFolder\Microsoft.Paint_8wekyb3d8bbwe!App'
    CommandLineSetting   = 'DoNotAllow'
    IconPath             = 'C:\Icons\Microsoft Paint.png'
    IconIndex            = '0'
    ShowInPortal         = $true
}
New-AzWvdApplication @parameters

Même principe pour new Teams en RemoteApp : shell:appsFolder\MSTeams_8wekyb3d8bbwe!MSTeams (section 9).

5. Créer un package pour App Attach#

5.1 Les formats acceptés#

Les packages MSIX et Appx sont placés dans une image disque avant d'être ajoutés :

5.2 Les étapes#

1. Obtenir un MSIX : auprès de l'éditeur, ou en convertissant l'installeur existant (.exe, .msi) avec le MSIX Packaging Tool, sur une VM propre (sans autres logiciels qui pollueraient la capture).

2. Signer le package avec un certificat de code signing (OID 1.3.6.1.5.5.7.3.3) et y apposer un horodatage (timestamp) pour qu'il reste valide après l'expiration du certificat.

3. Créer l'image disque avec MSIXMGR (msixmgr.exe, téléchargé depuis Microsoft) :

   rem Image CimFS (recommandée)
   msixmgr.exe -Unpack -packagePath "C:\msix\myapp.msix" -destination "C:\msix\myapp\myapp.cim" -applyACLs -create -fileType cim -rootDirectory apps
   
   rem Image VHDX
   msixmgr.exe -Unpack -packagePath "C:\msix\myapp.msix" -destination "C:\msix\myapp.vhdx" -applyACLs -create -fileType vhdx -rootDirectory apps
   

   Une image CIM se crée sur une version de Windows égale ou antérieure à celle des session hosts qui la monteront.

4. Copier l'image (pour CimFS : le .cim et ses fichiers associés) sur le file share App Attach (section 6.2).

5.3 La chaîne de confiance des certificats#

Chaque package MSIX ou Appx contient un certificat : toute la chaîne doit être approuvée par les session hosts, sinon l'application ne s'enregistre pas.

5.4 Couper les mises à jour automatiques des applications MSIX#

Sur les session hosts (ou l'image), pour qu'une application livrée par App Attach ne soit pas mise à jour par le Store :

rem Désactiver les mises à jour automatiques du Microsoft Store
reg add HKLM\Software\Policies\Microsoft\WindowsStore /v AutoDownload /t REG_DWORD /d 0x2 /f
rem Désactiver Content Delivery Manager (installation automatique d'applications)
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\ContentDeliveryManager /v PreInstalledAppsEnabled /t REG_DWORD /d 0 /f
reg add HKLM\Software\Microsoft\Windows\CurrentVersion\ContentDeliveryManager\Debug /v ContentDeliveryAllowedOverride /t REG_DWORD /d 0x2 /f

6. Livrer les applications avec App Attach#

6.1 Le principe#

App Attach monte à la connexion de l'utilisateur l'image disque (ou le package App-V) depuis un file share, puis enregistre les applications pour cet utilisateur. Rien n'est installé dans l'image ni sur le disque du session host.

Ce qu'apporte App Attach (page d'aperçu Microsoft) :

• livraison en RemoteApp ou dans le bureau ; droits par application et par utilisateur : un utilisateur de bureau ne voit que les applications App Attach qui lui sont attribuées ;
• un même package pour plusieurs host pools ;
• session hosts Windows client ou Windows Server (2022 et 2025 depuis le 14 avril 2026), dans la même région Azure que le package ;
• mise à jour sans fenêtre de maintenance ; plusieurs versions de la même application en même temps sur un session host ;
• télémétrie d'usage et de santé dans Log Analytics.

App Attach et l'ancien MSIX app attach : l'ancien mode (package défini dans chaque host pool, New-AzWvdMsixPackage) ne fait ni App-V, ni attribution par utilisateur, ni partage d'un package entre host pools. La page d'aperçu ne décrit plus que App Attach (aucune date de retrait publiée au 22/10/2026). À l'examen, choisir App Attach.

6.2 Le file share et ses permissions#

Identité : session hosts Microsoft Entra joined ou AD DS ; Microsoft Entra Domain Services n'est pas pris en charge (tableau Identity providers de la page d'aperçu, que la ligne Azure NetApp Files de la même page contredit : retenir le tableau). Les comptes utilisateurs attribués doivent être hybrides (créés dans AD DS et synchronisés) ; les groupes, non.

6.3 Ajouter une application App Attach#

Le package App Attach est une ressource Azure, indépendante d'un host pool. Trois conditions pour qu'un utilisateur la reçoive :

1. le package est assigné au host pool ;
2. l'utilisateur est dans un Desktop ou un RemoteApp application group de ce host pool (pour la RemoteApp, l'application doit avoir été ajoutée au RemoteApp application group ; on ne peut pas ajouter une application MSIX ou Appx à un Desktop application group, elle apparaît d'elle-même dans le bureau) ;
3. le package est attribué à l'utilisateur ou à son groupe (rôle Desktop Virtualization User au scope du package).

Rôles de l'administrateur : Desktop Virtualization Contributor sur le resource group pour ajouter les images ; Microsoft.Authorization/roleAssignments/write (User Access Administrator ou Owner) pour attribuer les utilisateurs.

Paramètres du package :

Portail : Azure Virtual Desktop > App Attach > Create : host pool, chemin de l'image sur le file share, package, nom affiché, registration type, state, puis Assignments (groupes). Pour la RemoteApp : Application groups > {RemoteApp group} > Applications > + Add > Application source : App Attach.

PowerShell (Az.DesktopVirtualization 4.2.1 ou plus ; aucune commande Azure CLI pour App Attach) :

# 1. Lire les informations du package depuis son image sur le file share
$parameters = @{
    HostPoolName      = 'hp01'
    ResourceGroupName = 'rg-avd'
    Path              = '\\stavdappattach.file.core.windows.net\appattach\myapp\myapp.cim'
}
$app = Import-AzWvdAppAttachPackageInfo @parameters

# 2. Créer le package App Attach (On-demand, actif)
$parameters = @{
    Name                            = 'myapp'
    ResourceGroupName               = 'rg-avd'
    Location                        = 'westeurope'
    FailHealthCheckOnStagingFailure = 'NeedsAssistance'
    ImageIsRegularRegistration      = $false      # $true = Log on blocking
    ImageDisplayName                = 'My App'
    ImageIsActive                   = $true
}
New-AzWvdAppAttachPackage -AppAttachPackage $app @parameters

# 3. Attribuer un groupe au package
$appAttachPackage = Get-AzWvdAppAttachPackage -Name 'myapp' -ResourceGroupName 'rg-avd'
New-AzRoleAssignment -ObjectId (Get-AzADGroup -DisplayName 'GG-AVD-MyApp').Id `
    -RoleDefinitionName 'Desktop Virtualization User' -Scope $appAttachPackage.Id

# 4. Publier l'application dans un RemoteApp application group
$parameters = @{
    Name                     = 'myapp'
    ApplicationType          = 'MsixApplication'
    MsixPackageFamilyName    = $app.ImagePackageFamilyName
    MsixPackageApplicationId = '{ApplicationID}'   # identifiant de l'application dans le package
    GroupName                = 'hp01-RAG-Finance'
    ResourceGroupName        = 'rg-avd'
    CommandLineSetting       = 'DoNotAllow'
}
New-AzWvdApplication @parameters

Gestion courante : Update-AzWvdAppAttachPackage -HostPoolReference $hostPoolIds change les host pools (la liste remplace la précédente ; @() retire toutes les assignations) ; Remove-AzWvdAppAttachPackage supprime le package.

6.4 Nouvelles versions#

Dans les deux cas, l'utilisateur reçoit la nouvelle version à sa prochaine connexion.

6.5 App-V par App Attach#

Un package .appv s'ajoute comme un MSIX, sans image disque. Les fichiers App-V Dynamic Configuration placés à côté et préfixés du nom du package sont détectés automatiquement : \\share\folder\filename_UserConfig.xml et \\share\folder\filename_DeploymentConfig.xml (la configuration utilisateur ne s'applique qu'aux connexions de bureau).

7. Microsoft 365 Apps#

7.1 Les éditions et l'activation#

• Windows 10 et 11 Enterprise multi-session n'acceptent que Microsoft 365 Apps for enterprise et Microsoft 365 Apps for business fourni avec Microsoft 365 Business Premium.
• Plusieurs utilisateurs partagent le même session host : il faut la shared computer activation (SharedComputerLicensing = 1) ; chaque utilisateur obtient un jeton de licence à sa connexion. Réglable aussi par GPO : Computer Configuration\Policies\Administrative Templates\Microsoft Office 2016 (Machine)\Licensing Settings.
• Le plus simple : partir d'une image Windows 11 Enterprise multi-session + Microsoft 365 Apps de l'Azure Marketplace, déjà préparée. Sinon, installer dans l'image dorée avec l'Office Deployment Tool (ODT).

7.2 Installer avec l'Office Deployment Tool#

Setup.exe /configure configuration.xml

Exemple de configuration publié par Microsoft pour AVD :

<Configuration>
  <Add OfficeClientEdition="64" Channel="MonthlyEnterprise">
    <Product ID="O365ProPlusRetail">
      <Language ID="en-US" />
      <Language ID="MatchOS" />
      <ExcludeApp ID="Groove" />
      <ExcludeApp ID="Lync" />
      <ExcludeApp ID="OneDrive" />
      <ExcludeApp ID="Teams" />
    </Product>
  </Add>
  <RemoveMSI/>
  <Updates Enabled="FALSE"/>
  <Display Level="None" AcceptEULA="TRUE" />
  <Logging Level="Standard" Path="%temp%\WVDOfficeInstall" />
  <Property Name="FORCEAPPSHUTDOWN" Value="TRUE"/>
  <Property Name="SharedComputerLicensing" Value="1"/>
</Configuration>

7.3 Gérer dans la durée#

• Réglages par défaut des utilisateurs : charger la ruche du profil par défaut (reg load HKU\TempDefault C:\Users\Default\NTUSER.DAT) pour régler, par exemple, l'Outlook Cached Exchange Mode (…\outlook\cached mode, enable, syncwindowsetting), puis reg unload.
• Masquer les notifications de mise à jour : HKLM\SOFTWARE\Policies\Microsoft\office\16.0\common\officeupdate, hideupdatenotifications = 1 et hideenabledisableupdates = 1.
• Profils : les données Office (OST, index de recherche, cache) vont dans le conteneur FSLogix (profile container ou ODFC container, chapitre 02 · 9).
• Sécurité : Microsoft recommande Security Policy Advisor pour Microsoft 365 Apps for enterprise.
• Limite connue : la recherche de gabarits Visio peut mal fonctionner dans AVD.

8. OneDrive#

8.1 Installation per-machine#

OneDrive s'installe normalement par utilisateur ; sur un session host, il s'installe par machine :

rem 1. Si Office l'a installé par utilisateur, le désinstaller
"C:\Install\OneDriveSetup.exe" /uninstall
rem 2. Activer l'installation pour tous les utilisateurs
REG ADD "HKLM\Software\Microsoft\OneDrive" /v "AllUsersInstall" /t REG_DWORD /d 1 /reg:64
rem 3. Installer en per-machine
"C:\Install\OneDriveSetup.exe" /allusers
rem 4. Démarrer OneDrive à la connexion de chaque utilisateur
REG ADD "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /v OneDrive /t REG_SZ /d "C:\Program Files\Microsoft OneDrive\OneDrive.exe /background" /f
rem 5. Connexion silencieuse avec le compte Windows
REG ADD "HKLM\SOFTWARE\Policies\Microsoft\OneDrive" /v "SilentAccountConfig" /t REG_DWORD /d 1 /f
rem 6. Rediriger les dossiers connus (Desktop, Documents, Pictures) vers OneDrive
REG ADD "HKLM\SOFTWARE\Policies\Microsoft\OneDrive" /v "KFMSilentOptIn" /t REG_SZ /d "{TenantId}" /f

8.2 OneDrive en multisession et en non persistant#

9. Microsoft Teams#

9.1 Le principe de l'optimisation#

Sans optimisation, l'audio et la vidéo des appels sont traités sur le session host et renvoyés par RDP : CPU élevé, qualité médiocre. Avec la media optimization, le session host ne garde que l'interface : les appels et réunions sont redirigés vers le poste, qui échange le média directement avec l'autre participant.

Microsoft demande, même avec new Teams, d'installer aussi le WebRTC Redirector Service : l'utilisateur qui passe d'un poste compatible SlimCore à un poste qui ne l'est pas garde l'optimisation (WebRTC).

Classic Teams : pour le VDI (dont AVD), fin du support le 1er octobre 2026, fin de disponibilité le 1er avril 2027. Toute nouvelle installation se fait avec new Teams.

9.2 Prérequis#

• Session host Windows 10 ou 11 Enterprise ou multi-session ; les éditions N et KN ne sont pas prises en charge.
• Microsoft Visual C++ Redistributable récent sur le poste et les session hosts.
• Client : Windows App 1.3.252 ou plus, ou Remote Desktop client 1.2.5405.0 ou plus pour SlimCore sous Windows ; sous macOS, la version non Store (MAU) 11.13.2 ou plus (la version Store reste en WebRTC). Optimisation disponible aussi sur iOS/iPadOS (11.2.5+) et Android (11.0.0.78+).
• FSLogix 2210 hotfix 3 (2.9.8716.30241) ou plus pour new Teams avec FSLogix.
• Réseau préparé pour Teams (ports et plages Microsoft 365).

9.3 Mise en œuvre sur le session host (dans l'image)#

# 1. Activer la media optimization pour AVD
New-Item -Path 'HKLM:\SOFTWARE\Microsoft\Teams' -Force
New-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\Teams' -Name IsWVDEnvironment -PropertyType DWORD -Value 1 -Force

# 2. Non persistant : couper la mise à jour automatique de new Teams (mise à jour par l'image)
New-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\Teams' -Name disableAutoUpdate -PropertyType DWORD -Value 1 -Force

rem 3. Installer le WebRTC Redirector Service (MSI téléchargé depuis https://aka.ms/msrdcwebrtcsvc/msi)
rem 4. Installer new Teams per-machine (obligatoire sur un pooled host pool), avec le MSIX local ou UNC
teamsbootstrapper.exe -p -o "C:\Install\MSTeams-x64.msix"

Vérification : dans Teams, Settings > About Teams affiche AVD SlimCore Media Optimized ou AVD Media Optimized ; AVD Media not connected = pas d'optimisation (quitter et relancer Teams). Les périphériques locaux apparaissent dans les réglages audio et vidéo ; Remote audio indique un échec.

Publier new Teams en RemoteApp : File path shell:appsFolder\MSTeams_8wekyb3d8bbwe!MSTeams (section 4.3).

9.4 Clés facultatives et sans optimisation#

Les townhalls et événements en direct ne sont pas optimisés côté participant : rendu sur le session host, gros consommateur de CPU et de mémoire (une optimisation des townhalls est en préversion publique pour les postes Windows).

10. Les navigateurs#

Microsoft Edge est certifié pour Azure Virtual Desktop. La plupart de ses fonctions marchent sans réglage, mais un session host multisession non persistant demande quelques choix :

Google Chrome se gère de la même façon (installation dans l'image, stratégies ADMX, extension de multimedia redirection).

11. Labs conseillés#

Dans un abonnement de test, avec un petit pooled host pool de 1 ou 2 session hosts (Windows 11 Enterprise multi-session

• Microsoft 365 Apps), un workspace et deux groupes de test. Coût : surtout les VM (et un petit storage account Azure Files) ; arrêter les VM entre deux séances et supprimer le resource group à la fin.

Lab 1. Preferred application group type.

1. Créer un RemoteApp application group avec Paint et WordPad (Start menu), enregistré dans le workspace.
2. Attribuer le groupe GG-Test aux deux application groups (le -DAG existe déjà).
3. Avec Windows App : un seul type apparaît (Desktop, le défaut du portail). Passer le preferred type à RemoteApp et rafraîchir le flux.
4. Résultat attendu : seules les applications apparaissent.

Lab 2. Une RemoteApp avec argument imposé.

1. Publier Excel par File path avec Require et un argument (/t sur un modèle), Icon index 1.
2. Publier Paint du Microsoft Store avec shell:appsFolder\Microsoft.Paint_8wekyb3d8bbwe!App et une icône locale.
3. Résultat attendu : Excel s'ouvre sur le modèle ; Paint se lance dans sa fenêtre RemoteApp.

Lab 3. App Attach de bout en bout.

1. Sur une VM propre, convertir un petit installeur avec le MSIX Packaging Tool, signer avec un certificat auto-signé (test) importé sur les session hosts.
2. Créer l'image CIM avec msixmgr.exe, la copier sur un file share Azure Files dédié ; donner les droits (section 6.2).
3. App Attach > Create : host pool, image, On-demand, Active, attribution à GG-Test ; ajouter l'application au RemoteApp application group.
4. Résultat attendu : l'application apparaît pour GG-Test seulement ; Log Analytics montre la santé du package.
5. Créer une version 1.0.1, faire une mise à jour in-place, se reconnecter : la nouvelle version est livrée.

Lab 4. Teams optimisé.

1. Dans l'image (ou sur le session host de test) : IsWVDEnvironment = 1, WebRTC Redirector Service, new Teams per-machine.
2. Se connecter depuis Windows App à jour, ouvrir Settings > About Teams.
3. Résultat attendu : AVD SlimCore Media Optimized ; les périphériques locaux sont listés.

12. Les pièges d'examen#

13. Scénarios d'entraînement#

1. Contoso a un pooled host pool hp-finance. Les comptables veulent seulement Excel et l'application métier SAGE, sans bureau ; les contrôleurs veulent le bureau complet. Comment configurer ?

Un RemoteApp application group (Excel, SAGE) attribué aux comptables, le Desktop application group attribué aux contrôleurs. Les populations sont distinctes : le preferred type n'a pas d'effet ici. Si un contrôleur veut aussi les RemoteApp sans bureau, il faut un second host pool.

2. Après l'ajout d'un groupe aux deux application groups de hp01, ses membres ne voient plus que le bureau. Ils devaient voir les applications. Que faire ?

Passer le Preferred application group type de hp01 à RemoteApp (Properties, ou Update-AzWvdHostPool -PreferredAppGroupType RailApplications). Rôle requis : Desktop Virtualization Host Pool Contributor.

3. Une application de dessin industriel n'est utilisée que par 30 personnes ; chaque version demande aujourd'hui une nouvelle image pour 400 session hosts. Que proposer ?

Convertir l'application en MSIX (MSIX Packaging Tool), la signer, créer une image CimFS avec msixmgr.exe, la déposer sur un file share dédié, créer un package App Attach attribué au groupe des 30 utilisateurs, assigné aux host pools concernés. Les nouvelles versions passent en in-place ou side by side, sans nouvelle image.

4. Les session hosts sont Microsoft Entra joined ; App Attach échoue au montage de l'image depuis Azure Files. Que vérifier ?

Le rôle Reader and Data Access sur le storage account pour les service principals Azure Virtual Desktop et Azure Virtual Desktop ARM Provider ; le storage account dans le même abonnement que les VM et la même région ; un storage account dédié (l'ARM Provider voit tout le compte). Vérifier aussi le certificat du package.

5. L'équipe veut publier Excel pour qu'il s'ouvre toujours sur le modèle finance-template.xltx. Comment ?

RemoteApp par File path C:\Program Files\Microsoft Office\root\Office16\EXCEL.EXE, Require command line avec l'argument /t {chemin du modèle} (CommandLineSetting = 'Require', CommandLineArgument). Portail ou PowerShell, pas d'Azure CLI.

6. L'image dorée doit contenir Microsoft 365 Apps pour un host pool Windows 11 multi-session. Quelle édition, quels réglages ?

Microsoft 365 Apps for enterprise (ou for business avec Business Premium), installé par l'ODT : 64 bits, Monthly Enterprise Channel, SharedComputerLicensing = 1, Updates Enabled = FALSE, OneDrive et Teams exclus pour être installés en per-machine. Alternative : l'image Marketplace Windows 11 Enterprise multi-session + Microsoft 365 Apps.

7. Les utilisateurs d'un pooled host pool perdent leur cache OneDrive à chaque connexion et la synchronisation recommence. Cause et correction ?

Le cache n'est pas conservé : OneDrive en non persistant exige FSLogix (profile container ou ODFC, version 2009 hotfix 1 ou plus) ; OneDrive installé per-machine, SilentAccountConfig, Files On-Demand pour limiter la taille du conteneur.

8. Pendant les réunions Teams, les session hosts sont à 90 % de CPU ; la bannière affiche AVD Media not connected. Que faire ?

Vérifier IsWVDEnvironment = 1, new Teams per-machine, le WebRTC Redirector Service installé, le Visual C++ Redistributable sur le poste et le session host, Windows App à jour (SlimCore : 1.3.252+), puis relancer Teams. Attendu : AVD SlimCore Media Optimized.

9. Un utilisateur Mac utilise Windows App installée depuis l'App Store : Teams reste en AVD Media Optimized. Pourquoi ?

SlimCore sous macOS exige la version non Store (MAU) de Windows App (11.13.2+), qui contient le plugin ; la version Store reste en optimisation WebRTC.

10. Sur un pooled host pool, Edge n'a pas la même version d'un session host à l'autre et certains profils plantent après une mise à jour. Que recommander ?

Edge dans l'image, mises à jour automatiques coupées, mise à jour par l'image ; données par Enterprise sync ; ne pas mettre tout le User Data folder dans le profil (exclure les caches).

14. Pour aller plus loin (au-delà de l'examen)#

• Automatiser le packaging : pipelines CI/CD qui construisent, signent et convertissent les MSIX, puis déposent les images App Attach (recommandation du Cloud Adoption Framework AVD).
• Application Masking (FSLogix) : masquer une application installée dans l'image à ceux qui n'y ont pas droit, quand App Attach n'est pas possible (chapitre 02 · 11).
• Supervision App Attach : télémétrie d'usage et de santé dans Log Analytics, et AVD Insights (chapitre 08 · 3).
• Teams : MsixUrlBase pour distribuer SlimCore depuis un partage interne quand les postes n'ont pas accès au CDN Microsoft ; teamsbootstrapper.exe -p --installTMA pour installer le Teams Meeting add-in machine-wide.
• Windows 365 et Azure Virtual Desktop partagent la plupart de ces réglages (Teams, Edge, OneDrive).

15. Fiche à retenir#

• Applications pour tous dans l'image ; le reste en App Attach (méthode prise en charge pour la livraison dynamique).
• Desktop application group : un seul par host pool, pooled ou personal ; RemoteApp : plusieurs, pooled seulement.
• Application group = un seul host pool, enregistré dans un workspace pour être visible.
• Preferred application group type : Desktop (défaut portail) ou RemoteApp (RailApplications) ; non défini → Desktop imposé ; bureau et RemoteApp pour le même utilisateur = deux host pools.
• Attribution = rôle Desktop Virtualization User au scope de l'application group (ou du package App Attach), de préférence à des groupes ; il faut roleAssignments/write.
• RemoteApp : sources Start menu, File path, App Attach ; Require command line ; icône locale (UNC possible pour App Attach) ; un session host allumé ; pas d'Azure CLI.
• Application du Store : shell:appsFolder\{PackageFamilyName}!{AppId} ; new Teams : MSTeams_8wekyb3d8bbwe!MSTeams.
• App Attach : MSIX, Appx, App-V ; images CimFS (recommandée), VHDX ; msixmgr.exe -Unpack … -create -fileType cim.
• Certificat de code signing approuvé (toute la chaîne) + horodatage ; auto-signé pour les tests seulement.
• App Attach : même région, file share dédié (pas celui de FSLogix), lecture pour les comptes ordinateur ; Entra joined + Azure Files = Reader and Data Access pour les deux service principals AVD ; pas d'Entra Domain Services ; comptes utilisateurs hybrides.
• Registration On-demand (défaut, recommandé) ou Log on blocking ; state Active/Inactive ; mise à jour side by side ou in-place (version différente).
• Microsoft 365 Apps multisession : for enterprise ou for business (Business Premium), SharedComputerLicensing = 1, mises à jour par l'image, pas de Skype for Business.
• OneDrive per-machine (AllUsersInstall = 1, /allusers), SilentAccountConfig, KFMSilentOptIn ; FSLogix obligatoire en non persistant.
• Teams : IsWVDEnvironment = 1, new Teams per-machine, SlimCore (Windows App 1.3.252+) + WebRTC Redirector Service en repli ; pas d'éditions N/KN ; classic Teams VDI hors support depuis le 01/10/2026.
• Navigateurs : Edge dans l'image, mises à jour par l'image, Enterprise sync, pas tout le User Data folder dans le profil, multimedia redirection pour la vidéo.

Références#

Toutes lues le 22/10/2026 sur Microsoft Learn :

• Study guide for Exam AZ-140
• Platform automation and DevOps considerations for Azure Virtual Desktop (CAF)
• Create a golden image in Azure
• Deliver applications from partner solutions with App Attach
• Security recommendations for Azure Virtual Desktop
• Deploy Azure Virtual Desktop (application groups, workspace, assignments)
• Preferred application group type behavior for pooled host pools
• Set the preferred application group type for a pooled host pool
• Delegated access in Azure Virtual Desktop
• Publish applications with RemoteApp
• App Attach in Azure Virtual Desktop (overview)
• Create an image for App Attach
• Add and manage App Attach applications
• Create an MSIX package from an existing installer (MSIX Packaging Tool)
• Install Office on a custom VHD image
• Overview of shared computer activation for Microsoft 365 Apps
• OneDrive sync app: VDI support
• Silently configure user accounts (OneDrive)
• Use Microsoft Teams on Azure Virtual Desktop
• New VDI solution for Teams (SlimCore)
• Install Teams for Virtualized Desktop Infrastructure (VDI)
• Microsoft Edge for Virtual desktop infrastructure (VDI)
• SleepingTabsEnabled (Microsoft Edge policy)
• Optimizing Windows configuration for VDI desktops
• Multimedia redirection for video playback and calls in a remote session