Microsoft 在 2026 年 5 月悄悄交付了一項里程碑能力：適用於 Azure Virtual Desktop 中雲端專屬與外部身分識別的 FSLogix 設定檔容器已正式發行（GA）。自 2025 年 11 月起處於公開預覽的功能已跨越終點線 — 而對於仍主要為支援 AVD 而執行內部部署網域控制站的組織而言，這是一則改變計算的公告。

這不是漸進式更新。對於相當比例的企業 AVD 環境而言，FSLogix GA 對 Entra 專屬身分識別的支援，是雲端原生拼圖的最後一塊。

變更內容

Azure Virtual Desktop 的 2026 年 5 月「最新消息」頁面現在刊載了此項目：

FSLogix support for cloud-only and external identities is now generally available

You can now provide FSLogix profile containers for both cloud-only and external identities. With this functionality, you can provide the same user experience on a pooled host pool that you already can for hybrid users.

This capability is already built-in to existing versions of FSLogix.

「already built-in to existing versions」此註記是刻意的。無需安裝新的 FSLogix 代理程式。若您執行的是合理較新的 FSLogix 版本，GA 能力早已存在於您的工作階段主機上 — 改變的是支援狀態，以及從正式環境部署中移除「預覽」星號。

為何這比表面看來更重要

對 Active Directory 的最後依賴

多年來，執行共用 AVD 主機集區搭配漫遊設定檔需要網域控制站。並非因為 AVD 本身 — Microsoft Entra 加入的工作階段主機早已受到支援 — 而是因為 FSLogix 設定檔容器需要 Active Directory Domain Services (AD DS) 或 Azure Active Directory Domain Services (AADDS) 以對 Azure Files 共用進行 Kerberos 驗證。

雲端專屬使用者雖然擁有完全有效的 Entra ID 帳戶，卻無法在共用集區上使用 FSLogix，除非有網域控制站，或接受顯著降級的設定檔體驗。

該依賴現已消除。

隨著 Azure Files 上的 Entra Kerberos 驗證達到穩定的正式環境支援，FSLogix 現在可以僅使用雲端專屬使用者的 Entra ID 身分識別對 Azure Files 共用進行驗證 — 無需網域控制站。設定檔容器體驗與混合式 AD 使用者自第一天起所擁有的體驗完全相同。

外部身分識別終於獲得持續性設定檔

在此版本之前，存取 AVD 的 B2B 來賓使用者面臨次等體驗。在沒有 FSLogix 支援的情況下，外部身分識別會收到在工作階段結束時即消失的暫時設定檔 — 無持續性設定、無快取認證、無一致的應用程式狀態。

對於使用 AVD 為承包商、合作夥伴或受管理服務提供者提供工作區的組織，這是一項重大限制，通常迫使兩種變通做法之一：為外部工作者建立內部「影子」帳戶，或接受不一致的設定檔體驗。

兩種變通做法現已不再需要。 外部 B2B 身分識別可在與內部使用者相同的共用主機集區上，獲得 FSLogix 支援的持續性設定檔。

此舉解除的情境

GA 公告開啟了先前被封鎖或需要令人不安妥協的數種部署模式：

完全 Entra 專屬組織 — 新創公司、雲端原生公司，以及從未部署 AD DS 的組織，現在可以建置完整的 AVD 環境，配備共用主機集區與持續性 FSLogix 設定檔，而無需建立網域控制站。

網域控制站除役 — 對於主要為支援 FSLogix/AVD 而執行 AD DS 基礎結構的組織，此公告可能會加速 DC 除役時間表。如果 FSLogix 與混合式加入是您的網域控制站存在的最後兩個理由，那麼第一個理由現已解決。

B2B 與承包商工作區 — 受管理服務提供者、專業服務公司，以及任何擁有大量承包商或合作夥伴群體的組織，現在可以透過受支援的正式環境等級機制，為外部身分識別提供持續性 AVD 工作區。

政府與受規範環境 — 在內部部署基礎結構會帶來合規或資料主權複雜性的產業中，組織現在可以移除該依賴，同時為共用工作階段維持完整的設定檔持續性。

多租用戶架構 — 管理多個 Entra 租用戶的組織可以為每個租用戶建立乾淨的主機集區設定，而無需跨租用戶身分識別同盟的複雜度。

設定需求

對於準備部署的組織，以下是 Entra 專屬 FSLogix 架構所需的項目：

Azure Files 搭配 Entra Kerberos

  • 以 Entra 專屬身分識別來源設定儲存體帳戶（非 AD DS / AADDS）
  • 在儲存體帳戶上啟用 Entra Kerberos
  • 將 Storage File Data SMB Share Contributor RBAC 角色指派給需要設定檔存取權的使用者
  • 從 Entra 加入的用戶端設定目錄層級 SMB ACL
  • 在儲存體帳戶應用程式註冊上授與管理員同意

關鍵： 您必須將 Azure Files 儲存體帳戶應用程式從任何要求 MFA 的 Conditional Access 政策中排除。這是導致 Entra 專屬部署中 FSLogix 容器掛載失敗的最常見設定錯誤 — 且失敗會以看起來像儲存體或網路問題的不透明錯誤呈現。

工作階段主機

  • 必須為 Microsoft Entra 加入（非混合式加入，非 AD DS 加入）
  • 建議 Windows 11 22H2 或更新版本；最低 Windows 10 21H2
  • 對於外部身分識別支援：Windows 11 搭配最近的累積更新

FSLogix 設定

  • 無需新的 FSLogix 版本 — GA 能力內建於目前版本
  • 設定指向 Azure Files UNC 路徑的 VHDLocations 或 CCDLocations
  • Entra Kerberos 票證擷取在 Entra 加入的主機上會自動處理
  • 確認 FSLogix 為最新版本 — FSLogix 26.01 CU1（2026 年 2 月）是最近的重大更新

組織現在應採取的行動

1. 稽核您的身分識別版圖

對應您 Entra 租用戶中的雲端專屬使用者、B2B 來賓帳戶與承包商身分識別。找出目前存取 AVD 而沒有持續性設定檔的使用者 — 他們是此 GA 公告的立即受益者。

2. 檢視 Conditional Access 政策

部署前，稽核每項套用至 Azure Files 儲存體帳戶的 Conditional Access 政策。確認要求 MFA 的政策已排除儲存體帳戶應用程式。記錄此排除項目，並確保它被擷取至您的 CA 政策清冊中。

3. 在非正式環境主機集區中試驗

建立具有 Entra 加入工作階段主機的試驗主機集區，以 Entra Kerberos 設定 Azure Files，並讓一群具代表性的雲端專屬使用者完成完整的工作階段生命週期。確認跨工作階段與斷線時的設定檔持續性。

4. 評估網域控制站除役整備度

如果您的 AD DS 基礎結構主要為 FSLogix 或混合式加入而存在，請執行正式的依賴分析。FSLogix GA 移除了兩個最常見阻礙因素之一。對於混合式加入，AVD 中的 Entra 加入替代方案已成熟且為正式環境就緒。這可能是網域控制站熄燈的一年。

5. 更新您的 IaC 範本

如果您透過 Bicep、Terraform 或 Azure DevOps 管線管理 AVD 環境，請將 Entra 專屬 FSLogix 設定納入您的登陸區域範本。現在就標準化此模式，可避免隨著更多團隊加入而產生分歧的設定。

6. 在所有工作階段主機上更新 FSLogix

確保您在所有主機集區上執行的是目前的 FSLogix 版本。GA 能力存在於最近版本中，但較舊版本可能不包含與 Entra Kerberos 情境相關的穩定性修正與已知問題解決方案。

未變更的部分

混合式 AD FSLogix 仍完全受支援。 採用混合式身分識別模型的組織不需要遷移至 Entra 專屬儲存體。混合式 AD FSLogix 持續如往常般運作，且仍是具有舊版 AD 依賴環境的正確選擇。

外部身分識別授權需求不變 — 外部使用者必須在資源租用戶中持有適當授權，無論他們在主租用戶中持有何種授權。在大規模佈建外部身分識別工作區前，請確認您的授權模式。

適用於個人主機集區的 FSLogix 不受影響 — 此變更主要影響設定檔漫遊不可或缺的共用主機集區。

Entra ID Protection、Conditional Access 與治理政策對您 Azure Files 儲存體帳戶的責任歸您所有。FSLogix GA 不會改變安全態勢需求 — 它將部署模式延伸至新的身分識別類型。

更宏觀的視角

Microsoft 針對雲端桌面的身分識別策略多年來一直處於明確軌跡上：消除在歷史上使雲端採用複雜化的內部部署基礎結構依賴，同時為尚未能脫離混合式模型的組織維持功能對等。

FSLogix GA 公告是多年度工程投資的結晶：

  • 2022 — 適用於 Entra 加入 VM 的 FSLogix 設定檔容器（公開預覽）
  • 2023–2024 — Azure Files Entra Kerberos 成熟；雲端專屬 FSLogix 情境從變通做法轉為受支援模式
  • 2025 年 11 月 — 適用於雲端專屬與外部身分識別的 FSLogix 進入公開預覽
  • 2026 年 5 月 — 正式發行（GA）

結合其他 2026 年 5 月公告 — 透過 Arc-Enabled Servers 為混合式環境提供 AVD（公開預覽），以及 RDP Multipath 搭配備援 TCP 的持續 GA 推行 — 圖像清晰浮現：Microsoft 正在建構一個無所不在、支援任何身分識別類型、透過任何網路運作的 AVD 平台，無論您的基礎結構是在 Azure、內部部署或兩者兼有。

對於評估 AVD 作為長期人力平台的 IT 決策者，2026 年的發行集合性地回答了大多數剩餘的反對意見。身分識別依賴已消除。連線可靠性達企業等級。基礎結構彈性現在涵蓋從裸機到雲端。

問題不再是 AVD 能否處理您的使用案例。而是您何時開始遷移。

需要協助掌握 Azure Virtual Desktop 變更嗎？ Big Hat Group 協助組織設計、部署與管理 AVD 環境 — 包含 Entra 專屬身分識別架構、FSLogix 設定與網域控制站除役規劃。聯絡我們以評估您對雲端原生 AVD 的整備度，或規劃下一個部署階段。

Big Hat Group 是 Microsoft 合作夥伴，專精於 Azure Virtual Desktop、現代化端點管理與 Microsoft 365 部署。