Cloud Workplace Foundation
Azure Virtual Desktop y Windows 365 en una arquitectura, una configuración y una operación. Vosotros decidís qué escritorio se adapta a cada grupo de usuarios, nosotros construimos la plataforma subyacente como código y la operamos. El segundo grupo de usuarios deja de ser un proyecto y pasa a ser un use case.
Cada uno de estos escritorios fue una buena decisión
El primer escritorio virtual suele ser un Host Pool para el call center, bien construido, y los usuarios están satisfechos. Luego llegan los engineers con sus propias máquinas, las compañeras en home office con Windows 365, el turno en la sede con Frontline. Cada una de esas decisiones fue acertada, y cada una arrastró consigo su propia cadena de obligaciones que nadie pidió.
- Nuevo tipo de escritorioUn proyecto más y un equipo más que necesita conocerlo
- Image propioUn Golden Image más que alguien mantiene a mano
- Parcheo manualFines de semana de parches y sesiones que alguien tiene que cerrar
- Apps empaquetadas dos vecesLa misma aplicación, construida dos veces y probada dos veces
- DriftAl cabo de un año, ningún entorno se parece al otro
- Costes y riesgoMás manos en la operación y más superficie para errores
- Con Cloud Workplace Foundation
- Un framework
- Un proceso de imagen
- Un empaquetado
- Sin drift
Sin framework, cada escritorio es un caso especial
La causa no son los equipos que construyeron los entornos, sino que cada uno nació como un producto independiente. Hay tres consecuencias que aparecen casi siempre.
- CostesCada tipo de escritorio tiene sus propios hosts, sus propias imágenes y su propio conocimiento en el equipo. La capacidad solo puede planificarse por entorno, no por grupo de usuarios, y se paga por una reserva que rara vez alguien consume.
- RiesgoLas security baselines mantenidas a mano van divergiendo con el tiempo. Lo que aplica en un Host Pool falta en el otro, y la pregunta sobre qué versión está en producción acaba respondiéndola una auditoría.
- VelocidadUn equipo nuevo recibe un proyecto nuevo: diseño, imagen, policies, empaquetado, validación. Pasan semanas hasta el primer escritorio seguro, aunque cada pieza lleve tiempo disponible en algún lugar de la organización.
Cuatro tipos de escritorio, un framework
Cada grupo de usuarios recibe el escritorio que se adapta a su trabajo, y los cuatro corren sobre la misma plataforma. Las aplicaciones y la configuración del cliente son iguales en todos los casos; solo difiere la infraestructura subyacente: en Azure Virtual Desktop la construimos y operamos como código, en Windows 365 la opera Microsoft y nosotros proporcionamos la Azure Network Connection y la configuración por encima. La elección del tipo es, por tanto, una cuestión de trabajo, no de arquitectura.
Azure Virtual DesktopAVD PooledVarios usuarios comparten un Session Host. La opción más eficiente en coste cuando muchas personas trabajan de forma similar. | Azure Virtual DesktopAVD PersonalCada usuario tiene su propia máquina virtual, con su propio estado y plena potencia. | Windows 365Windows 365 EnterpriseUn Cloud PC personal por usuario, infraestructura en Microsoft. El escritorio para quienes trabajan desde cualquier lugar. | Windows 365Windows 365 FrontlineCloud PCs dedicados para empleados que trabajan por turnos y solo necesitan su escritorio durante el turno. | |
|---|---|---|---|---|
| Escritorio propio por usuario | no incluido | incluido | incluido | incluido |
| Session Hosts compartidos con Scaling Plans | incluido | no incluido | no incluido | no incluido |
| Nueva imagen mensual desde la Image Factory | incluido | no incluido | no incluido | no incluido |
| La licencia sigue al turno, no a la persona | no incluido | no incluido | no incluido | incluido |
| Infraestructura como código, operada por glueckkanja | incluido | incluido | no incluido | no incluido |
| Infraestructura operada por Microsoft, Azure Network Connection de glueckkanja | no incluido | no incluido | incluido | incluido |
| Intune Policy Blueprints y Defender for Endpoint | incluido | incluido | incluido | incluido |
| RealmJoin con más de 2.500 aplicaciones | incluido | incluido | incluido | incluido |
| Típico para | Call center, externos, trabajadores de temporada | Engineers, Power User | Remote Knowledge Worker | Frontline, trabajo por turnos |
- Escritorio propio por usuario
- Session Hosts compartidos con Scaling Plans
- Nueva imagen mensual desde la Image Factory
- La licencia sigue al turno, no a la persona
- Infraestructura como código, operada por glueckkanja
- Infraestructura operada por Microsoft, Azure Network Connection de glueckkanja
- Intune Policy Blueprints y Defender for Endpoint
- RealmJoin con más de 2.500 aplicaciones
Típico para: Call center, externos, trabajadores de temporada
- Escritorio propio por usuario
- Session Hosts compartidos con Scaling Plans
- Nueva imagen mensual desde la Image Factory
- La licencia sigue al turno, no a la persona
- Infraestructura como código, operada por glueckkanja
- Infraestructura operada por Microsoft, Azure Network Connection de glueckkanja
- Intune Policy Blueprints y Defender for Endpoint
- RealmJoin con más de 2.500 aplicaciones
Típico para: Engineers, Power User
- Escritorio propio por usuario
- Session Hosts compartidos con Scaling Plans
- Nueva imagen mensual desde la Image Factory
- La licencia sigue al turno, no a la persona
- Infraestructura como código, operada por glueckkanja
- Infraestructura operada por Microsoft, Azure Network Connection de glueckkanja
- Intune Policy Blueprints y Defender for Endpoint
- RealmJoin con más de 2.500 aplicaciones
Típico para: Remote Knowledge Worker
- Escritorio propio por usuario
- Session Hosts compartidos con Scaling Plans
- Nueva imagen mensual desde la Image Factory
- La licencia sigue al turno, no a la persona
- Infraestructura como código, operada por glueckkanja
- Infraestructura operada por Microsoft, Azure Network Connection de glueckkanja
- Intune Policy Blueprints y Defender for Endpoint
- RealmJoin con más de 2.500 aplicaciones
Típico para: Frontline, trabajo por turnos
Actualizaciones sin interrupciones
Los Pooled Hosts no se parchean en caliente: cada mes los reconstruimos a partir de una nueva imagen. La Image Factory la genera, vosotros la validáis en staging y después se despliega como Green/Blue Deployment: los nuevos hosts entran en el pool, los usuarios cambian en el siguiente inicio de sesión y los hosts anteriores permanecen hasta que nadie los necesita. El retorno está disponible en cualquier momento, y el fin de semana de parches desaparece sin sustituto.
- 1Construir imagenMensualmente desde código, con las últimas actualizaciones y vuestra base de aplicaciones
- 2Desplegar en stagingLa nueva imagen queda disponible en un entorno de staging
- 3Validar imagenVosotros la comprobáis con vuestras aplicaciones; respuesta en dos días laborables
- 4Reemplazar hostsLos nuevos hosts creados a partir de la imagen entran en el pool; los usuarios cambian en el siguiente login
- 5Conservar fallbackLos hosts anteriores permanecen hasta que todos han migrado; rollback disponible en cualquier momento
- 2.500+aplicaciones listas en RealmJoin
- 100 %Infrastructure as Code, desde la Landing Zone hasta la policy
Operación certificadaCloud-native, como código
Lo que marca la diferencia
Cloud Workplace Foundation es Infrastructure as Code al cien por cien: OpenTofu, TerraProvider, Packer y GitHub, operado bajo ISO 27001. Cada entorno puede regenerarse desde cero, cada cambio tiene un plan y un historial, y la documentación no se escribe a mano sino que se genera cada noche a partir del código. Es, por tanto, la única documentación que garantiza reflejar el estado actual.
Todos los hosts están unidos a Entra ID. En el entorno VDI no hay Domain Controllers; las aplicaciones antiguas que necesitan Kerberos lo obtienen a través de Entra Kerberos y Cloud Kerberos Trust. Las nuevas funciones de Microsoft se incorporan continuamente a los blueprints sin necesidad de reconstruir el entorno. La plataforma no envejece, se mantiene.
- Entra ID nativeTodos los hosts unidos a Entra ID, sin Domain Controllers en la VDI, Entra Kerberos y Cloud Kerberos Trust para aplicaciones antiguas
- EvergreenLas nuevas funciones de Microsoft se incorporan continuamente a los blueprints, sin reconstruir el entorno
- Documentation AppLa documentación de vuestro entorno se regenera cada noche a partir del código
- 100 por ciento Infrastructure as CodeOpenTofu, TerraProvider, Packer, GitHub. Azure Confidential VMs opcionales para datos regulados
Lo que cambia para vuestra organización
Una plataforma en lugar de varios productos actúa en cuatro frentes a la vez, para cada grupo de usuarios que tenéis hoy y para cada uno que llegue en el futuro.
VelocidadUn nuevo grupo de usuarios es un use case sobre la plataforma existente, no un proyecto con comité de dirección. Definir, parametrizar, desplegar, validar, publicar.
CostesLa capacidad se planifica por grupo de usuarios y escala con la demanda. Se paga lo que se necesita, no lo que alguien previó hace dos años.
SeguridadLa misma security baseline en cada escritorio, ya sea Pooled, Personal o Cloud PC, verificada como código y actualizada cada mes al nivel de Microsoft. Una auditoría se convierte en una pregunta que responde el código.
ContinuidadEl ciclo de vida mensual de imagen, las actualizaciones Evergreen, el monitoring y los service reviews forman parte del Managed Service. Vuestro equipo conserva las decisiones y cede la operación rutinaria.
Cada nuevo grupo de usuarios arranca sobre la misma plataforma
Un use case es, para nosotros, un grupo de usuarios con su tipo de escritorio, sus aplicaciones y sus reglas. Recorre cinco pasos, en paralelo al Foundation Setup o después, sin problema varios a la vez, y cada grupo adicional sigue el mismo camino. Quien lo ha hecho una vez lo reconoce a la segunda, y a la tercera lo conoce la pipeline.
Cuatro use cases típicos
- AVD PooledCall centerMuchos puestos de trabajo similares, la capacidad sigue el ritmo del día
- AVD PersonalEngineersHerramientas propias y plena potencia en la VM propia
- Windows 365 EnterpriseRemote Knowledge WorkerEl mismo escritorio personal desde cualquier lugar
- Windows 365 FrontlineTrabajo por turnosUn Cloud PC por turno, no por persona
El camino que recorre cada grupo
- 1DefineGrupo de usuarios, tipo de escritorio, aplicaciones, requisitos de red y seguridad
- 2ParameterizeEl blueprint se convierte en vuestro use case: parámetros en el código, no en el portal
- 3DeployLa pipeline despliega infraestructura, policies y aplicaciones
- 4ValidateVosotros validáis con usuarios piloto y vuestras aplicaciones de negocio
- 5Go liveEl grupo de usuarios migra y el Managed Service toma el relevo
Vosotros decidís dónde corre cada workload, nosotros operamos la plataforma
En la capa superior queda lo que solo vosotros podéis saber: qué aplicaciones de negocio necesita vuestra gente y si una nueva imagen funciona con ellas. Las capas inferiores las operamos en el Managed Service, hasta la Landing Zone, que asumimos con la Azure Foundation si aún no la tenéis. El límite está trazado con claridad: allí donde se necesita conocimiento sobre vuestras aplicaciones, no sobre Azure.
- Vuestros usuarios y aplicacionesAplicaciones de negocio, soporte a usuarios finales, aprobación de la nueva imagen en stagingVosotros o vuestro partner*
- Use Cases por grupo de usuariosDefine, Parameterize, Deploy, Validate, Go live, para cada grupo adicional sobre la misma plataformaglueckkanjaCloud Workplace FoundationInfraestructura como código, ciclo de vida mensual de imagen, Intune Policies y Defender, RealmJoin, monitoring y alerting en vuestro tenant, service review mensualCloud PCs: Microsoftglueckkanja
- Landing ZoneSubscriptions y Management Groups, red hub, governance como código. La operáis vosotros o vuestro partner; con la Azure Foundation asumimos también esta capa.Azure Foundation
Sin Azure Foundation, la Landing Zone es vuestra; todo lo que está por encima, hasta vuestras aplicaciones de negocio, lo operamos nosotros.
* En vuestro lado quedan también las pruebas funcionales de vuestras aplicaciones de negocio, las licencias de Microsoft, el consumo de Azure y las licencias de RealmJoin.
Del Ramp-up a los primeros usuarios
- Definir el marcoDefinir el marcoEl proyecto de Ramp-up: diseño, reglas, permisos y procesos. Definimos junto a vosotros cómo quedará la plataforma en vuestro tenant y quién puede hacer qué.
- Construir la FoundationConstruir la FoundationEl Foundation Setup: infraestructura, pipelines IaC, Intune Baselines, red incluyendo Azure Network Connection, seguridad y tooling, todo como código.
- Desplegar grupos de usuariosDesplegar grupos de usuariosLos despliegues de use cases: para cada grupo de usuarios, Define, Parameterize, Deploy, Validate, Go live. En paralelo al Foundation Setup o después, varios a la vez sin problema.
- Operar la plataformaOperar la plataformaManaged Operations: monitoring, ciclo de vida de imagen, Evergreen, service review mensual. A partir de aquí, cada nuevo grupo de usuarios es un use case, no un proyecto.
Lo que viene antes y después
Sin diapositivas, con vuestra arquitectura
El briefing con el equipo de Azure 60 minutos
En 60 minutos repasamos vuestro panorama de escritorios: qué grupos de usuarios hay, qué tipo de escritorio encaja con cada uno y qué parte asume Cloud Workplace Foundation. Sin diapositivas: vuestra arquitectura sobre la mesa, y al final una imagen clara de cómo quedaría vuestra plataforma. Recibiréis una propuesta de cita, no una llamada comercial.
Grupos de usuariosSituación actualQué grupos trabajan hoy en qué escritorios y qué viene a continuación
Tipos de escritorioAsignaciónPooled, Personal, Enterprise o Frontline por grupo de usuarios, con justificación- Modelo de operaciónResponsabilidadesQué asume glueckkanja, qué queda en vuestras manos y qué necesita vuestra Landing Zone para ello
Siguiente pasoRamp-upSi un proyecto de Ramp-up es el punto de entrada adecuado y qué necesita de vuestra parte
Preguntas que escuchamos en la primera conversación
Respondidas de forma concisa. Si vuestra pregunta no está aquí, hacédnosla llegar abajo.
Windows 365 lo gestiona Microsoft, ¿no?
Sí, la infraestructura. Compute, Storage y el aprovisionamiento de los Cloud PCs están en manos de Microsoft, y precisamente por eso no hace falta una Image Factory para ello. Sin embargo, la red, las policies, las security baselines y las aplicaciones siguen siendo responsabilidad vuestra, y ahí es donde entra Cloud Workplace Foundation: con la Azure Network Connection, los Intune Blueprints, Defender for Endpoint y RealmJoin, tanto en el Cloud PC como en el Session Host.
Ya tenemos Azure Virtual Desktop u otra VDI.
No hay problema. Cloud Workplace Foundation es una plataforma, no una migración de golpe. Los grupos de usuarios se trasladan como use cases de forma escalonada, el entorno existente sigue funcionando mientras tanto, y al final operáis un único mundo en lugar de dos.
Nuestras apps necesitan Active Directory.
En la mayoría de los casos necesitan Kerberos, no el Domain Controller. Todos los hosts están unidos a Entra ID, y a través de Entra Kerberos y Cloud Kerberos Trust las aplicaciones antiguas y los recursos compartidos siguen recibiendo su ticket Kerberos. La plataforma no admite de forma deliberada un AD Domain Join clásico de los Session Hosts.
Queremos filtrar el tráfico de los Session Hosts a través de un firewall o un proxy.
En nuestro modelo, Zero Trust termina en el endpoint, no en el firewall. Defender for Endpoint asume la protección web y de red en cada host, lo que elimina el cuello de botella central en el flujo. Diseños alternativos con firewall o proxy son posibles, aunque suponen un trabajo adicional fuera del blueprint.
¿Necesitamos otros Managed Services de glueckkanja para esto?
No. Cloud Workplace Foundation utiliza Entra ID, Intune, Defender y RealmJoin como componentes, pero no requiere ningún otro Managed Service. Quienes ya tienen Managed Intune o Managed Entra integran los escritorios virtuales en el mismo blueprint. Quienes no los tienen, reciben la plataforma igualmente completa.
¿Qué licencias necesitamos?
Microsoft 365 E3 con E5 Security e Intune Plan 1 como base. Para Windows 365 se añaden las licencias Enterprise o Frontline por grupo de usuarios, y para RealmJoin la licencia de RealmJoin. Las licencias permanecen en vuestras manos; el asesoramiento de licencias no forma parte del servicio.
¿Cuánto tiempo se tarda en tener el primer escritorio?
Depende de la Landing Zone, la red y el primer grupo de usuarios, por lo que no damos una cifra genérica que luego habría que justificar. El Foundation Setup y el primer use case corren en paralelo, y en el briefing os decimos, para vuestro entorno concreto, con qué plazos podéis contar.
Estamos regulados y tenemos requisitos especiales sobre el tratamiento de datos.
Para ello existen de forma opcional Azure Confidential VMs como Session Hosts, en las que los datos permanecen cifrados incluso durante el procesamiento. La plataforma en sí la operamos bajo ISO 27001, y tanto el monitoring como Log Analytics corren en vuestro propio tenant.
¿Qué no está incluido?
La Landing Zone, que o bien ya tenéis o bien obtenéis a través de la Azure Foundation, el soporte a usuarios finales, las pruebas funcionales de vuestras aplicaciones de negocio, Windows Server u otros sistemas operativos como Session Host, así como las licencias de Microsoft, el consumo de Azure y las licencias de RealmJoin. La gestión de dispositivos físicos y el MDM para iOS y Android no forman parte de la plataforma, aunque son posibles como extensión con Managed Intune.
