Azure Virtual Desktop 세션 호스트의 Windows 업데이트 관리는 항상 모두가 의견은 있지만 아무도 공식 Microsoft 지침을 인용할 수 없는 주제 중 하나였습니다. 이번 주에 게시된 새 문서로 그 상황이 바뀌었습니다. Microsoft가 Windows 11 Enterprise, 다중 세션, Windows Server 세션 호스트에 걸쳐 월별 보안 업데이트, 기능 업데이트, OS 버전 업그레이드의 지원되는 방법을 공식적으로 정리한 것입니다.
Azure Update Manager, 골든 이미지, 그리고 운에 기댄 혼합 방식으로 지금까지 운영해 왔다면, 이 지침은 제대로 된 서비스 전략을 세울 수 있는 프레임워크를 제공합니다.
두 가지 서비스 모델
Microsoft는 AVD 세션 호스트를 최신 상태로 유지하는 두 가지 접근 방식을 공식화했습니다.
즉시 패치(In-Place Patch)
Windows Update, Windows Update for Business, Azure Update Manager 또는 Configuration Manager를 사용하여 실행 중인 세션 호스트에 OS 업데이트를 직접 적용합니다. Windows Server를 관리해 본 사람이라면 누구나 익숙한 전통적인 방식입니다.
가장 적합한 경우:
- 세션 호스트가 적은 소규모 환경
- 개인 데스크톱(사용자-VM 1:1)
- 상태 저장형이거나 대수가 적은 Windows Server 세션 호스트
단점:
- 시간이 지나면서 호스트 간 구성 드리프트 발생
- 패치가 문제를 일으키면 롤백이 어려움
- 같은 풀 안에서도 호스트 간 사용자 환경 불일치
이미지 기반 서비스(Image-Based Servicing)
골든 이미지에 오프라인으로 업데이트를 적용합니다. 업데이트된 이미지는 Azure Compute Gallery에 게시되며, 해당 버전 관리 이미지에서 새 세션 호스트를 배포하거나 기존 호스트를 다시 이미징합니다.
가장 적합한 경우:
- 풀링형 및 다중 세션 호스트 풀
- 일관성이 중요한 규제 환경
- 자동화 도구(Packer, DevOps 파이프라인, Nerdio)를 갖춘 조직
장점:
- 버전 관리 이미지로 만든 모든 호스트가 동일
- 롤백이 간단 — Compute Gallery의 이전 이미지 버전으로 되돌리면 됨
- 감사 및 규정 준수 문서화가 용이
Windows 11 Enterprise 다중 세션을 실행하는 대부분의 프로덕션 AVD 환경에서는 이미지 기반 서비스를 기본으로 해야 합니다. 일관성과 롤백 이점이 이미지 수명 주기 유지의 운영 오버헤드를 능가합니다.
OS별 권장 사항
Windows 11 Enterprise 다중 세션
AVD의 기본 OS이며, Microsoft 지침은 명확합니다: 이미지 기반 서비스를 사용하세요.
권장 워크플로:
- Azure Compute Gallery에서 버전 관리 다중 세션 이미지 유지
- 자동화(Packer, Azure DevOps, Nerdio)로 매월 이미지 패치
- 이미지에 보안 업데이트와 앱 업데이트 적용
- Sysprep 실행 후 새 버전 게시
- 호스트 드레인, 자동 크기 조정 비활성화, 통제된 배치로 새 호스트 배포
- 대규모 배포 전에 새 이미지로 드레인된 호스트 1대 이상 테스트
- 새 버전이 프로덕션에서 검증될 때까지 이전 이미지 버전 유지
기능 업데이트(예: Windows 11 23H2에서 24H2로)는 프로덕션 호스트에 대한 즉시 업그레이드가 아닌 이미지 새로 고침으로 취급하세요. Windows Update for Business 정책(예: “대상 기능 버전”)을 사용하여 기능 업데이트가 이미지에 적용되는 시점을 제어하세요.
Windows 11 Enterprise(단일 세션 / 개인 데스크톱)
개인 데스크톱의 경우 지침은 더 유연합니다:
- 소규모 환경: Azure Update Manager 또는 WUfB 링으로 즉시 패치
- 대규모 환경: 일관성을 위해 이미지 기반 서비스와 호스트 교체를 고려
- 새 개인 데스크톱용 기본 이미지를 주기적으로 새로 고침
Windows Server 세션 호스트
Windows Server 세션 호스트는 기존 서버 패치 패턴을 따릅니다:
- 소규모/상태 저장형 서버에는 Azure Update Manager, WSUS, ConfigMgr로 월별 즉시 패치
- 대규모 풀이나 규정 준수에 민감한 환경에서는 버전 관리 Windows Server 이미지로 이미지 기반 서비스
- Windows 11과 동일한 드레인 및 자동 크기 조정 비활성화 규율 적용
월별 보안 업데이트: Azure Update Manager 접근 방식
즉시 패치를 사용하는 환경이나 이미지에 업데이트를 적용해야 하는 경우 Azure Update Manager가 Microsoft 권장 도구입니다.
구성 단계
- 패치 모드를 AutomaticByPlatform으로 설정 — 게스트 OS 내장 Windows Update에 의존하지 않고 플랫폼이 일정을 제어
- 유지 관리 구성 생성:
- 되풀이(예: 매월 Patch Tuesday + 오프셋)
- 유지 관리 기간
- 업데이트 분류(보안, 긴급, 품질)
- 다시 시작 동작 설정
- 동적 범위 사용 — 각 VM을 수동으로 연결하지 말고 태그, 리소스 그룹, 호스트 풀로 대상 지정
운영 모범 사례
흔히 간과되는 두 가지 운영 단계가 중요합니다:
유지 관리 전에 호스트를 드레인하세요. 다시 시작할 호스트에 새 사용자 세션이 연결되지 않도록 패치 전에 세션 호스트를 드레인 모드로 전환하세요. Azure 포털이 드레인 모드 변경을 반영하는 데 최대 60초가 걸릴 수 있습니다. 상태가 즉시 업데이트된다고 가정하지 마세요.
패치 기간에는 자동 크기 조정을 비활성화하세요. 유지 관리 중 자동 크기 조정이 활성화되면 업데이트 워크플로 도중에 호스트를 만들거나 삭제하려 시도하여 패치 일정과 충돌할 수 있습니다. 유지 관리 시작 전에 자동 크기 조정을 비활성화하고 완료 후 다시 활성화하세요.
기능 업데이트와 OS 업그레이드: 이미지로 취급
지침은 기능 업데이트와 OS 버전 업그레이드에 대해 분명합니다: 프로덕션 세션 호스트에 즉시 적용하지 마세요.
대신:
- 대상 OS 버전으로 새 골든 이미지 구축
- 모든 애플리케이션, 에이전트, FSLogix, 모니터링 도구 설치
- 이미지 철저히 테스트 — 로그인, 프로필, Microsoft 365 앱, Teams 최적화, 브라우저, 인쇄, 미디어, 기간 업무 앱
- 새 이미지 버전을 Azure Compute Gallery에 게시
- 호스트 풀을 통제된 배치로 새 이미지에 점진적 마이그레이션
- 새 버전이 검증될 때까지 이전 이미지 버전을 롤백용으로 유지
이미지 구축 중에는 Windows Update for Business 정책으로 대상 기능 버전을 제어하세요. “대상 기능 버전” 그룹 정책 설정으로 설치할 기능 업데이트를 정확히 지정할 수 있어 실수로 인한 업그레이드를 방지합니다.
이미지 수명 주기 구축
규율 있는 이미지 수명 주기는 이미지 기반 서비스의 기반입니다:
- 기본 이미지로 시작 — Azure Marketplace 또는 자체 캡처 이미지 사용
- 애플리케이션, 에이전트, 정책, FSLogix, 모니터링, 보안 도구 설치
- 최신 보안 업데이트 적용 및 지원 버전 확인
- 검증 — 로그인, 프로필, M365 앱, Teams, 브라우저, 인쇄, 미디어, 기간 업무 앱 테스트
- Sysprep 실행 후 게시 — 새 이미지 버전을 Azure Compute Gallery로
- 변경 로그로 이미지 버전 문서화 — 무엇이 업데이트되었는지 기록
- 배치로 배포 — 호스트 드레인, 새 이미지 배포, 테스트 후 확대
자동화 도구로 이 과정을 반복 가능하게 만들 수 있습니다:
- Packer + Azure DevOps 파이프라인: 이미지 빌드 자동화
- Nerdio Manager: 이미지 관리, 자동 크기 조정, 세션 호스트 프로비저닝
- Azure VM Image Builder: Microsoft 네이티브 이미지 빌드 서비스
문서화할 내용
지침은 IT 관리자가 다음에 대한 문서화된 워크플로를 준비해야 한다고 강조합니다:
- 세션 호스트 추가 및 교체
- 새 이미지 버전의 프로덕션 승격
- 이전 이미지 버전으로 롤백
- 이미지 내 애플리케이션 및 에이전트 업데이트
- 유지 관리 전 호스트 드레인
- 장애 후 프로필 또는 호스트 복원
- 캡처한 이미지에서 머신별 아티팩트(도메인 가입 상태, 머신 인증서) 제외
또한 호스트 네트워크가 Microsoft 업데이트 엔드포인트로의 HTTPS 아웃바운드 연결을 허용하는지 확인하세요. 게스트 OS가 업데이트 소스에 도달할 수 있어야 합니다.
규정 준수 고려 사항
규제 환경(HIPAA, FedRAMP 등)에서 지침은 다음을 재확인합니다: 게스트 OS 업데이트는 고객의 책임입니다. Azure는 세션 호스트에 OS 패치를 자동으로 푸시하지 않습니다. 즉, 다음을 의미합니다:
- 게스트 OS 기준을 엄격히 관리
- 감사 가능한 일관성을 위해 이미지 기반 서비스 사용
- Update Manager 보고로 패치 준수 상태 문서화
- 보안 업데이트에서 뒤처지지 않도록 정기적으로 이미지 새로 고침
시나리오별 실용적 시작점
Windows 11 Enterprise 다중 세션 풀링형 호스트 풀: 이미지 기반 서비스를 기본으로. 매월: 누적 업데이트와 앱 업데이트로 이미지 재구축 → 새 이미지 버전 게시 → 호스트 드레인 후 배치 단위 업데이트.
Windows 11 Enterprise 개인 데스크톱: Update Manager 또는 WUfB 링으로 즉시 패치. 새 머신용 기본 이미지를 주기적으로 새로 고침.
Windows Server 세션 호스트: 기존 서버 패치 표준(Update Manager, WSUS, ConfigMgr)을 따름. 대규모 또는 규정 준수에 민감한 풀에서는 이미지 기반 서비스 고려.
이 지침이 지금 중요한 이유
AVD는 2026년에 크게 성숙했습니다. 하이브리드 배포 GA, 동적 자동 크기 조정, 임시 OS 디스크, 자동화된 호스트 풀까지 모두 제공되면서, 업데이트 관리의 공백은 마지막으로 남은 조각 중 하나였습니다. Microsoft가 커뮤니티 지식과 파트너 블로그에 맡기지 않고 권장 접근 방식을 공식 문서화함으로써, IT 팀은 근거 있고 벤더가 공인한 패치 워크플로 전략을 갖게 되었습니다.
AVD 환경에서 여전히 임시방편으로 업데이트를 적용하고 있다면, 이 지침은 제대로 된 서비스 전략을 세울 프레임워크를 제공합니다. 이미 이미지 기반 서비스를 하고 있다면, 이제 그 접근 방식을 검증할 공식 문서를 확보한 것입니다.
Azure Virtual Desktop 업데이트에 대한 지속적인 보도는 AVD What’s New 시리즈를 팔로우하고 X에서 https://x.com/kkaminsk로 연락해 주세요.