Azure Virtual Desktop ou Citrix : architectures, performances et coûts

AVD ou Citrix : commencer par le besoin, pas par le logo

Un bureau virtuel qui coûte moins cher, mais qui ralentit l’application métier ou rend une imprimante inutilisable, n’est pas une économie. Le bon choix dépend des utilisateurs simultanés, de la proximité des données, des périphériques et de la capacité de l’équipe à exploiter la plateforme.

Ce guide compare Azure Virtual Desktop dans Azure, Citrix DaaS et Citrix Virtual Apps and Desktops (CVAD) autogéré. Il distingue aussi AVD pour Azure Local et AVD Hybrid : garder les machines dans son centre de données ne signifie pas que le plan de contrôle fonctionne sans le nuage. Les recommandations et le budget de simulation ci-dessous sont une méthode de décision, pas un benchmark ni une soumission commerciale.

Les trois architectures à comparer

AVD organise la publication en host pools, groupes d’applications et workspaces. Il offre des bureaux personnels, des pools partagés et RemoteApp. L’équipe n’installe pas elle-même le broker AVD.

Citrix DaaS utilise des catalogues et Delivery Groups. Dans une architecture classique avec Cloud Connectors, prévoir leur redondance dans chaque resource location; Citrix recommande au moins deux connecteurs. Les flux HDX ne passent pas forcément par eux : le chemin dépend de Gateway, Rendezvous et des options retenues.

CVAD laisse davantage de composants sous votre responsabilité. Les bases SQL de site, de journalisation et de surveillance, les contrôleurs et l’accès StoreFront doivent entrer dans le plan d’exploitation. Un VDA est installé sur les machines qui livrent les sessions Citrix.

• Microsoft — fonctionnement d’AVD ↗
• Citrix — architecture DaaS ↗
• Citrix — composants CVAD ↗

Et si les applications doivent rester sur place?

AVD pour Azure Local et AVD Hybrid sont deux options distinctes. AVD Hybrid utilise Azure Arc pour inscrire les hôtes locaux au service AVD. Sa documentation exclut Windows Enterprise multi-session ainsi que l’autoscaling, la gestion d’alimentation et Start VM on Connect. Ne transposez donc pas un devis AVD Azure à cette architecture.

Citrix reste une option à évaluer pour piloter plusieurs environnements compatibles depuis un même outillage. La liste des hyperviseurs et fonctions pris en charge dépend de la version et du mode de provisionnement. Le choix du moteur de virtualisation et celui du système de publication sont deux décisions différentes.

Citrix peut aussi fournir la couche de livraison sur des ressources Azure avec les droits Microsoft appropriés. « AVD ou Citrix » n’est donc pas toujours un choix exclusif : comparez ce qu’ajoute Citrix et le coût de cette couche.

• Microsoft — limites d’AVD Hybrid ↗
• Microsoft — modèles Azure, Azure Local et Hybrid ↗
• Comparer les plateformes pour quitter VMware →

Questionnaire de dimensionnement avant le devis

Ne dimensionnez pas simplement 100 comptes comme 100 sessions actives, ni 100 sessions comme 100 VM. Mesurez la charge par groupe d’utilisateurs; une densité convenable pour une application légère peut être insuffisante pour un navigateur chargé, Teams et un logiciel de conception.

• Combien d’utilisateurs nommés, simultanés et connectés aux pointes? Quels horaires, fuseaux et besoins de garde?
• Bureau complet ou quelques applications? Sessions partagées ou poste personnel persistant? Quels logiciels interdisent le multiutilisateur?
• Où sont SQL, les fichiers et les applications? Mesurer la latence entre l’hôte de session et ces services, pas seulement entre le poste client et le bureau.
• Quels écrans, résolutions, GPU, scanners, imprimantes, lecteurs de cartes, caméras et casques faut-il tester?
• Quel volume de profils, de cache Outlook et de données OneDrive? Quel rythme de croissance et quelle fenêtre de connexion matinale?
• Quels objectifs de reprise, contraintes de résidence des données et moyens d’accès de secours?
• Quelles licences sont déjà payées? Qui soutient les utilisateurs, les images, le stockage et les incidents hors des heures ouvrables?

HDX et RDP Shortpath : tester l’expérience réelle

AVD démarre la connexion par le transport inverse TCP, puis peut utiliser UDP avec RDP Shortpath. Sur réseau public, STUN ou un relais TURN peuvent établir ce transport; si UDP échoue, TCP sert de repli. Un déploiement Shortpath privé avec écouteur utilise normalement UDP 3390 et exige une règle réseau ciblée.

Citrix Adaptive Transport privilégie EDT et peut revenir à TCP. HDX englobe davantage que le transport : la qualité dépend aussi des canaux, de la redirection et du client. Il ne suffit pas d’opposer « HDX rapide » à « RDP lent ».

Exécutez le même scénario depuis le bureau, le domicile et une liaison dégradée : ouverture de session, changement d’application, frappe, défilement, visioconférence et impression. Relevez le transport réellement négocié. Le client natif et le navigateur ne doivent pas être supposés équivalents.

Pour Teams, le multimédia et les périphériques spécialisés, validez la matrice exacte client/OS/agent et les optimisations prises en charge. Aucun choix de protocole ne compense une base de données éloignée ou un hôte saturé.

• Microsoft — RDP Shortpath et exigences réseau ↗
• Citrix — Adaptive Transport et EDT ↗

FSLogix et profils : le stockage fait partie du chemin critique

FSLogix place le profil dans un conteneur VHD/VHDX. Ce n’est pas réservé à AVD : il peut faire partie d’un environnement Citrix si les droits de licence sont respectés. Le Profile Container inclut normalement les données Office; ajouter un conteneur ODFC séparé demande une raison précise.

Citrix Profile Management est une autre approche à évaluer. N’activez pas deux moteurs pour gérer les mêmes données sans exclusions et conception explicites.

Pour le pilote, mesurez l’ouverture simultanée des profils, les temps d’attachement, la latence SMB et la capacité disponible. Vérifiez les permissions de partage et NTFS, l’authentification et la compatibilité Kerberos du stockage. Un hôte joint à Entra ne garantit pas à lui seul l’accès au partage.

Prévoyez la récupération d’un profil corrompu et la restauration des données utilisateur. Cloud Cache n’est pas une sauvegarde. Ne réutilisez pas aveuglément le même profil entre deux versions de Windows ou deux plateformes pendant une migration.

• Microsoft — conteneurs FSLogix et coexistence ↗
• Microsoft — prérequis d’identité et de profils ↗
• Auditer Kerberos et les dépendances RC4 →

Gestion des images : industrialiser sans perdre le retour arrière

Pour AVD, les modèles d’image personnalisée reposent sur Azure Image Builder; Azure Compute Gallery permet de conserver et distribuer des versions. Pour Citrix, Machine Creation Services (MCS) provisionne des machines depuis une image. Citrix Provisioning est une autre technologie, avec ses propres dépendances de streaming et de cache.

Choisissez une chaîne reproductible : image de base, applications, mises à jour, configuration de sécurité, tests, puis promotion au groupe pilote. Conservez la version précédente et les paramètres de publication.

Ne transposez pas les étapes d’une chaîne à l’autre : Citrix indique notamment de ne pas lancer Sysprep sur une image maître MCS. Le retrait d’un hôte doit permettre de finir les sessions avant son remplacement.

Une nouvelle image ne restaure pas automatiquement un profil transformé par une application. Le plan de retour arrière doit couvrir aussi les données et les compatibilités. Limitez les variantes d’images aux besoins réellement différents.

• Microsoft — créer des images AVD ↗
• Citrix — création de catalogues et préparation MCS ↗

Autoscaling : réduire les heures sans sacrifier les connexions

AVD dans Azure propose des scaling plans. Citrix Autoscale combine des décisions basées sur l’horaire et sur la charge. Dans les deux cas, validez le type de pool/catalogue, les droits de gestion d’alimentation et les fonctions prises en charge.

Notre approche : préchauffer avant l’arrivée des utilisateurs, conserver une réserve, empêcher les nouvelles sessions sur les hôtes à retirer et définir le traitement des sessions déconnectées. Toute fermeture forcée doit être annoncée et approuvée par le métier.

Évitez deux outils qui commandent l’alimentation des mêmes VM. Testez les pointes imprévues et le temps nécessaire pour démarrer une machine. Une VM désallouée peut économiser le calcul Azure, mais ses disques et plusieurs services continuent d’être facturés.

L’autoscaling local ne produit pas mécaniquement les mêmes économies qu’un compteur cloud : le matériel, le support et une partie des licences restent engagés. AVD Hybrid n’offre pas les fonctions d’alimentation de l’AVD Azure.

• Microsoft — configurer les scaling plans ↗
• Citrix — Autoscale ↗

Sécurité et haute disponibilité : répartir les responsabilités

Un plan de contrôle géré ne prend pas en charge vos sauvegardes, votre image ou votre application. Pour chaque scénario, documentez la panne d’un hôte, du partage de profils, de l’identité, de la liaison et de la région.

AVD exige un plan de reprise des ressources que vous gérez. Pour CVAD, ajoutez les contrôleurs, SQL et les points d’entrée. Pour Citrix DaaS, Local Host Cache peut maintenir certains services de courtage en cas de perte du plan de contrôle, sous conditions; il ne constitue pas une garantie générale de fonctionnement hors ligne.

Appliquez MFA résistante à l’hameçonnage lorsque le chemin d’authentification la prend en charge, accès conditionnel testé, moindre privilège administratif et séparation des comptes. Limitez presse-papiers, lecteurs, impression et USB selon le besoin métier. Gardez les ports d’administration hors d’Internet.

Testez avec un compte standard les autorisations de publication, les redirections et le refus d’accès attendu. Alertez sur les échecs de connexion, les profils temporaires, les machines non enregistrées et la saturation. Fixez RPO/RTO à partir d’un exercice de reprise, pas uniquement d’un SLA fournisseur.

• Microsoft — reprise après sinistre AVD ↗
• Citrix — limites de Local Host Cache ↗
• Sécuriser les postes d’administration Microsoft 365 →

Licences : ce qui est inclus et ce qui ne l’est pas

Pour l’usage interne d’AVD avec Windows Enterprise, certaines licences Microsoft 365 ou Windows donnent déjà les droits d’accès; Microsoft 365 Business Premium et E3/E5 font partie des options documentées. Cela ne rend pas gratuits le calcul, le stockage, le réseau ni toutes les applications.

Windows Server implique des droits RDS appropriés. Les utilisateurs externes et les variantes locales ont des modalités distinctes. Vérifiez aussi les droits FSLogix, l’activation partagée de Microsoft 365 Apps, les logiciels métier et les licences GPU.

Citrix ajoute son contrat de souscription. Demandez le SKU exact, la métrique utilisateur/appareil ou concurrence applicable, le minimum d’achat, les droits hybrides, les fonctions incluses et les conditions de renouvellement. Le nombre de sessions simultanées n’est pas forcément le nombre de licences à acheter.

Pour CVAD, vérifiez également la compatibilité License Activation Service (LAS). Citrix fixe au 15 avril 2026 la fin de son ancien système de licences par fichiers. Un environnement local n’est donc pas automatiquement sans dépendance d’activation cloud.

• Microsoft — droits d’accès et coûts d’infrastructure ↗
• Citrix — migration et compatibilité LAS ↗

Budget comparatif : un exemple transparent pour 100 utilisateurs

Voici une simulation pédagogique en dollars canadiens, hors taxes, et non des tarifs Azure ou Citrix annoncés. Elle sert à voir l’effet des hypothèses; remplacez chaque ligne par un prix de calculateur ou une soumission. Hypothèse : 100 utilisateurs, 60 simultanés, 6 hôtes de 8 vCPU/32 Gio; 10 sessions par hôte est une cible à tester, pas une capacité garantie.

On suppose 260 heures facturées par hôte et par mois, avec un coût de calcul hypothétique de 0,60 $/h. Les 6 hôtes donnent 936 $/mois. À 730 heures, ils coûteraient 2 628 $ : 1 692 $ d’écart avant les coûts qui ne s’arrêtent pas. Cette topologie n’est pas dimensionnée N+1; ajoutez la réserve validée par le pilote.

• Si L = 25 $/utilisateur/mois comme simple hypothèse de sensibilité, DaaS donne 4 636 $ et CVAD 5 000 $. Ce n’est pas une estimation du prix commercial Citrix.
• Ajouter les licences Microsoft manquantes, GPU, capacité de secours, support, projets de migration, réseau privé et trafic sortant selon le cas. Les montants locaux ne sont pas des tarifs Azure.
• Ajouter le temps TI : par exemple 12 h/mois à 100 $/h = 1 200 $. Mesurer le temps de chaque solution; ne pas supposer que CVAD et AVD demandent le même effort.
• À périmètre constant, comparer sur trois ans avec renouvellements, engagements, matériel à remplacer et coût de sortie. Ne réserver que la capacité stable; un engagement inutilisé peut annuler le gain d’autoscaling.

• Microsoft — base du calcul et modèles de facturation ↗
• Calculateur Azure — remplacer les hypothèses par votre région et votre contrat ↗

PowerShell : un inventaire AVD en lecture seule

Depuis un poste d’administration avec Az.Accounts et Az.DesktopVirtualization, authentifiez-vous avec votre compte et sélectionnez explicitement l’abonnement. Un rôle Reader au périmètre concerné permet cet inventaire de ressources; aucune modification de pool n’est effectuée. Le CSV local révèle des noms d’infrastructure : conservez-le dans un espace protégé.

Ce relevé décrit la configuration, pas la consommation facturée ni la densité réellement supportée. Complétez-le par Azure Monitor/AVD Insights; côté Citrix, utilisez Monitor ou Director pour le même protocole de mesure.

Connect-AzAccount
Set-AzContext -SubscriptionId '<subscription-id>'
$ErrorActionPreference = 'Stop'
$rg = 'rg-avd-production'
Get-AzWvdHostPool -ResourceGroupName $rg |
    Select-Object Name, Location, HostPoolType,
        LoadBalancerType, MaxSessionLimit |
    Export-Csv -Path './avd-host-pools.csv' -NoTypeInformation -Encoding utf8

• Microsoft — Get-AzWvdHostPool ↗

Pilote et migration : une grille de décision réutilisable

Exemple de pondération à adapter : compatibilité 30 %, expérience 25 %, exploitation 20 %, coût 15 %, reprise 10 %. Un échec bloquant sur une application critique doit éliminer une option même si son total pondéré est élevé.

• 1. Choisir 10 à 15 utilisateurs représentatifs et lister leurs tâches critiques; ce nombre est un exemple de pilote, pas une règle.
• 2. Établir la référence actuelle : connexion médiane et p95, incidents, réussite impression/scanner, visioconférence et temps des opérations métier.
• 3. Construire deux lots comparables : même localisation des données, applications, ressources et politique de profils. Noter toute différence impossible à éliminer.
• 4. Tester charge du matin, panne d’un hôte, perte du stockage, reconnexion et récupération. Vérifier qu’une capacité de secours démarre réellement.
• 5. Mesurer coût mensuel par utilisateur et par utilisateur simultané, heures TI et satisfaction. Définir les seuils d’acceptation avant les résultats.
• 6. Migrer par groupe, garder temporairement l’ancien accès et un mécanisme de retour documenté. Éviter les écritures concurrentes dans le même profil.
• 7. Retirer l’ancienne plateforme seulement après validation métier, sauvegardes et acceptation du soutien.

Quelle solution choisir dans votre contexte?

Ma recommandation : ne migrez pas uniquement pour supprimer une ligne de licence. Faites prouver à chaque option qu’elle exécute les tâches métier, qu’elle se rétablit après une panne et que votre équipe peut l’exploiter. Le meilleur coût est celui d’un service utilisable et soutenable.

Questions fréquentes

AVD remplace-t-il toujours Citrix? Non. Il faut comparer applications, périphériques, outils d’exploitation, hébergements et expérience réelle.

Citrix DaaS élimine-t-il tous les serveurs de gestion? Non. Le contrôle est géré par Citrix, mais les ressources et certaines dépendances restent à exploiter selon l’architecture.

FSLogix est-il obligatoire partout? Non. C’est un choix de gestion des profils à concevoir et à licencier, pas un substitut au stockage résilient.

Peut-on réutiliser un devis Citrix ou AVD trouvé sur Internet? Seulement comme point de départ. La concurrence, les droits déjà détenus, le contrat, la région et les fonctions incluses doivent être identiques pour comparer.