Tags: Windows 365 · Cloud PC · Azure · VDI · Intune · Entra ID

Por Duarte Spínola · 4 de Julho de 2026

Windows 365 Cloud PC: Desktops na Cloud para PMEs em 2026

O Windows 365 Cloud PC é o serviço de DaaS (Desktop-as-a-Service) da Microsoft que coloca um ambiente Windows completo na nuvem, atribuído individualmente a cada utilizador. Ao contrário do Azure Virtual Desktop, o Windows 365 oferece um desktop pessoal, sempre disponível, com recursos fixos e um modelo de licenciamento por utilizador previsível — ideal para PMEs que pretendem eliminar a gestão de VDI on-premises. Este guia cobre licenciamento, provisioning policies, integração com Intune, imagens customizadas, redirects, networking, backup, cenários de uso e boas práticas, com base na documentação oficial Microsoft.

Para ferramentas complementares de gestão, consulta os artigos sobre Windows Admin Center, Microsoft Entra MFA e Quick Assist e Remote Help.

Conteúdos

• 1. O Que é o Windows 365 Cloud PC
• 2. Windows 365 vs Azure Virtual Desktop
• 3. Licenciamento e Planos
• 4. Provisioning Policies
• 5. Configurar Intune Integration
• 6. Imagens Customizadas
• 7. Acesso via Web, Desktop e Mobile
• 8. Configurar Redirects (impressoras, drives, clipboard)
• 9. Gestão com Intune
• 10. Networking e Azure Network Connection
• 11. Backup e Recuperação
• 12. Cenários de Uso para PME
• 13. Boas Práticas
• 14. Checklist de Implementação

1. O Que é o Windows 365 Cloud PC

O Windows 365 Cloud PC é um serviço cloud que fornece um ambiente de trabalho Windows 11 (ou Windows 10) completo, alojado na infraestrutura do Azure e entregue através do Remote Desktop Protocol. Cada utilizador recebe um Cloud PC dedicado, com CPU, RAM e armazenamento fixos, que persiste entre sessões — tal como se fosse uma máquina física ou VM local, mas a correr na nuvem.

Lançado em Agosto de 2021, o Windows 365 tem evoluído significativamente. Em 2026, a plataforma oferece integração nativa com Microsoft Intune, suporte para Windows 11 24H2, Microsoft Teams optimizado com AV redirection, GPU dedicada em planos Frontline e Enterprise, e expansão para mais de 15 regiões do Azure em Portugal Continental e Europa.

Principais características

• Desktop dedicado — cada utilizador tem o seu próprio Cloud PC, não partilhado nem pooled.
• Recursos fixos — o CPU, RAM e disco não variam; o utilizador recebe sempre o mesmo desempenho.
• Gestão via Intune — todos os Cloud PCs aparecem como dispositivos no Microsoft Intune e podem receber políticas, aplicações e configurações.
• Acesso multiplataforma — web, Windows, macOS, iOS, Android e Linux (via browser).
• Autenticação Entra ID — MFA, Conditional Access e SSPR aplicam-se automaticamente.
• Modelo de licenciamento previsível — preço por utilizador/mês, sem custos variáveis de computação.

A documentação oficial está disponível em learn.microsoft.com — Windows 365 Enterprise overview.

2. Windows 365 vs Azure Virtual Desktop

A Microsoft oferece duas soluções de desktop virtual: Windows 365 (DaaS) e Azure Virtual Desktop (AVD — VDI). Embora partilhem tecnologia subjacente, o modelo de consumo, gestão e custos é completamente diferente. A escolha depende do perfil dos utilizadores, orçamento e capacidade de gestão da equipa de IT.

Aspecto	Windows 365 Cloud PC	Azure Virtual Desktop
Modelo	DaaS — desktop dedicado	VDI — pooled ou dedicado
Licenciamento	Por utilizador/mês (fixo)	Pay-as-you-go (variável)
Recursos	Fixos (SKU fixo)	Configuráveis (qualquer tamanho de VM)
Gestão	Intune + portal Intune	Azure Portal + Intune opcional
Escalonamento	Manual (atribuir licenças)	Automático (autoscaling)
Custo	Previsível	Pode variar consoante uso
Multi-sessão	Não (1 utilizador por PC)	Sim (Windows 10/11 Multi-session)
Ideal para	PMEs, trabalhadores remotos, consultores	Grandes organizações, task workers

Quando escolher cada um

Escolha Windows 365 se:

• Tem até ~500 utilizadores com necessidades padronizadas.
• Prefere um custo fixo mensal e orçamento previsível.
• Não quer gerir infraestrutura Azure (VMs, storage accounts, host pools).
• Os utilizadores precisam de um desktop pessoal que persiste entre sessões.

Escolha AVD se:

• Tem centenas ou milhares de utilizadores e precisa de multi-sessão.
• Precisa de escalonamento automático (task workers em turnos).
• Quer controlo granular sobre VMs, imagens, networking e storage.
• Já tem investimento em Azure e equipa com competências de infraestrutura.

Para uma análise detalhada do AVD, consulte a documentação oficial do Azure Virtual Desktop.

3. Licenciamento e Planos

O Windows 365 está disponível em duas edições principais: Business (até 300 Cloud PCs, sem necessidade de subscrição Azure) e Enterprise (sem limite, integrado com Intune e Azure). A escolha depende do tamanho da organização e dos requisitos de gestão.

Windows 365 Business

Desenhado para pequenas empresas (até 300 utilizadores), o plano Business não requer subscrição Azure nem Intune — a gestão é feita através do portal web windows365.microsoft.com. Inclui:

• Até 300 Cloud PCs por tenant.
• Gestão via portal web (sem Intune).
• Suporte para imagem padrão ou imagens customizadas da galeria.
• Sem Azure Network Connection (rede isolada da Microsoft).

Windows 365 Enterprise

Para organizações que precisam de gestão avançada, o plano Enterprise requer licença Microsoft Intune e oferece:

• Sem limite de Cloud PCs.
• Gestão total via Intune (políticas, aplicações, compliance).
• Azure Network Connection para ligação a VNet on-premises.
• Imagens customizadas armazenadas no Azure.
• Suporte para Conditional Access e Microsoft Defender para Endpoint.

SKUs disponíveis

SKU	vCPU	RAM	Disco	Uso típico
1 vCPU / 2 GB / 64 GB	1	2 GB	64 GB	Light (email, web)
2 vCPU / 4 GB / 128 GB	2	4 GB	128 GB	Standard (Office, browser)
2 vCPU / 8 GB / 128 GB	2	8 GB	128 GB	Standard+
4 vCPU / 16 GB / 256 GB	4	16 GB	256 GB	Power user
8 vCPU / 32 GB / 512 GB	8	32 GB	512 GB	Dev / engenharia

Frontline plans

Os Windows 365 Frontline permitem partilhar licenças entre utilizadores que não precisam de acesso simultâneo (trabalhadores por turnos). Cada licença Frontline permite um Cloud PC activo em simultâneo, mas pode ser atribuída a até 3 utilizadores. Isso reduz o custo para cenários de turnos ou consultores part-time.

4. Provisioning Policies

As Provisioning Policies definem como cada Cloud PC é criado: qual imagem, que rede, que domínio (Entra ID ou híbrido), e que configurações se aplicam no primeiro boot. Cada política produz Cloud PCs idênticos para os utilizadores atribuídos, garantindo consistência.

Criar uma Provisioning Policy (portal Intune)

1. Aceder ao Intune admin center → Devices → Windows 365 → Provisioning policies.
2. Clicar em + Create policy.
3. Definir o nome, descrição e plataforma (Windows 11).
4. Seleccionar a imagem (galeria Microsoft ou customizada).
5. Configurar o tipo de junção: Microsoft Entra joined ou Hybrid Entra joined.
6. Seleccionar a Azure Network Connection (se aplicável).
7. Atribuir a grupos de utilizadores Entra ID.
8. Rever e criar.

Para gerir provisioning policies via Microsoft Graph PowerShell:

# Instalar módulo Microsoft Graph PowerShell
Install-Module Microsoft.Graph -Scope CurrentUser -Force
Connect-MgGraph -Scopes "CloudPC.ReadWrite.All","Group.Read.All"

# Listar provisioning policies existentes
Get-MgDeviceManagementVirtualEndpointProvisioningPolicy | 
    Select-Object DisplayName, Description, ImageType, DomainJoinType

# Criar uma nova provisioning policy
$params = @{
    displayName = "PME-Standard-Provisioning"
    description = "Policy para utilizadores standard da PME"
    imageId = "MicrosoftWindowsDesktop_Windows_11_Enterprise_24H2"
    imageType = "gallery"
    domainJoinConfiguration = @{
        domainJoinType = "azureADJoin"
    }
    provisioningPolicyId = ""
}

New-MgDeviceManagementVirtualEndpointProvisioningPolicy -BodyParameter $params

Tipos de junção

Tipo	Descrição	Requisitos
Entra ID Join	Cloud PC junta-se ao Entra ID directamente	Apenas Entra ID (sem AD on-prem)
Hybrid Entra Join	Cloud PC junta-se ao AD local e sincroniza com Entra ID	Azure AD Connect + Azure Network Connection

5. Configurar Intune Integration

O Windows 365 Enterprise é gerido integralmente através do Microsoft Intune. Cada Cloud PC aparece automaticamente como um dispositivo Windows 11 no Intune, recebendo políticas de configuração, compliance, aplicações e scripts — exactamente como um PC físico.

Pré-requisitos

• Licença Windows 365 Enterprise atribuída aos utilizadores.
• Licença Microsoft Intune (incluída no Microsoft 365 E3/E5 ou Intune standalone).
• Microsoft Entra ID (Premium P1 mínimo para Conditional Access).
• Conta de administrador com permissões de Intune Administrator ou Global Admin.

Verificar a integração

# Conectar ao Microsoft Graph
Connect-MgGraph -Scopes "DeviceManagementManagedDevices.Read.All"

# Listar Cloud PCs registados no Intune
Get-MgDeviceManagementManagedDevice -Filter "operatingSystem eq 'Windows'" |
    Where-Object { $_.Model -eq "Cloud PC" } |
    Select-Object DeviceName, UserPrincipalName, ComplianceState, 
           OperatingSystemVersion, LastSyncDateTime |
    Format-Table -AutoSize

# Verificar estado de compliance
Get-MgDeviceManagementManagedDevice -Filter "Model eq 'Cloud PC'" |
    Select-Object DeviceName, ComplianceState, 
           @{N='Compliance';E={if($_.ComplianceState -eq 0){'Compliant'}else{'Non-compliant'}}} |
    Format-Table -AutoSize

Aplicar políticas a Cloud PCs

Para aplicar configurações apenas a Cloud PCs (sem afectar PCs físicos), use filtros do Intune baseados no modelo de dispositivo:

# Criar um filtro no Intune para Cloud PCs
# No portal: Devices → Filters → Create filter

# Propriedade do filtro:
#   Property: device.deviceModel
#   Operator: Equals
#   Value: Cloud PC

# Via Microsoft Graph PowerShell:
$filterParams = @{
    displayName = "Cloud PC Only"
    description = "Filtra apenas dispositivos Windows 365 Cloud PC"
    platform = "windows10Corporate"
    rule = 'device.deviceModel -eq "Cloud PC"'
}

New-MgDeviceManagementAssignmentFilter -BodyParameter $filterParams

# Usar o filtro ao atribuir uma política de configuração
# Na atribuição, seleccionar "Filtered" e escolher o filtro criado

6. Imagens Customizadas

As imagens do Windows 365 determinam o sistema operativo, aplicações pré-instaladas e configurações que cada Cloud PC recebe no provisionamento. A Microsoft oferece imagens da galeria (Windows 10/11 Enterprise, com Office, com Teams, etc.), mas é possível criar imagens customizadas com software específico da organização.

Imagens da galeria

As imagens da galeria são mantidas pela Microsoft e actualizadas mensalmente. Incluem:

• Windows 11 Enterprise (24H2)
• Windows 11 Enterprise + Microsoft 365 Apps
• Windows 10 Enterprise (22H2) — para compatibilidade
• Windows 11 Enterprise + Dev Tools (Visual Studio, SDKs)

Criar uma imagem customizada

Para criar uma imagem customizada, é necessário preparar uma VM no Azure, instalar as aplicações e configurações desejadas, executar o Sysprep e guardar a imagem como Managed Image ou Azure Compute Gallery:

# 1. Criar VM temporária no Azure (a partir de imagem base da galeria)
az vm create \
  --resource-group "rg-w365-images" \
  --name "vm-image-template" \
  --image "MicrosoftWindowsDesktop:windows-11:win11-24h2-ent:latest" \
  --size "Standard_D4s_v5" \
  --admin-username "adminuser" \
  --admin-password "TempP@ssw0rd123!"

# 2. Ligação RDP à VM e instalar aplicações
#    - Software da empresa (ERP, CRM, etc.)
#    - Microsoft 365 Apps (se não incluído)
#    - Antivírus / Defender para Endpoint
#    - Configurações de registry, serviços, etc.

# 3. Generalizar a VM com Sysprep
az vm run-command invoke \
  --resource-group "rg-w365-images" \
  --name "vm-image-template" \
  --command-id RunPowerShellScript \
  --scripts "C:\Windows\System32\Sysprep\sysprep.exe /oobe /generalize /shutdown"

# 4. Criar Managed Image a partir da VM
az image create \
  --resource-group "rg-w365-images" \
  --name "img-w365-custom-v1" \
  --source "vm-image-template"

# 5. Registar a imagem no Windows 365 (portal Intune)
#    Devices → Windows 365 → Custom images → Add
#    Seleccionar a subscription, resource group e managed image

Boas práticas para imagens

• Manter a imagem enxuta — instalar apenas software universal; software específico deve ser instalado via Intune após provisionamento.
• Não incluir dados de utilizador — a imagem é partilhada por todos os Cloud PCs da política.
• Versionar imagens — manter pelo menos 2 versões para permitir rollback.
• Testar antes de atribuir — criar uma política de teste com a nova imagem e validar.
• Automatizar com Packer — usar ferramentas como HashiCorp Packer para construir imagens de forma reprodutível.

7. Acesso via Web, Desktop e Mobile

O Windows 365 suporta múltiplos clientes de acesso, permitindo aos utilizadores ligar-se ao seu Cloud PC a partir de praticamente qualquer dispositivo. A experiência é consistente e o estado da sessão persiste entre dispositivos.

Acesso via Web

O acesso web está disponível em windows365.microsoft.com. O utilizador autentica-se com a conta Entra ID e vê a lista de Cloud PCs atribuídos. Funciona em Edge, Chrome, Firefox e Safari, com suporte para clipboard, impressoras (via browser) e transferência de ficheiros.

Cliente de Desktop (Windows e macOS)

A aplicação Windows 365 App está disponível na Microsoft Store para Windows 10/11 e para macOS. Oferece melhor desempenho que o browser, suporte para múltiplos monitores, redireccionamento USB e modo offline (retoma a sessão onde parou).

# Instalar o Windows 365 App via winget (Windows 10/11)
winget install --id=Microsoft.Windows365 --accept-package-agreements

# Verificar instalação
Get-AppxPackage -Name "*Windows365*" | Select-Object Name, Version

# Para macOS (via Homebrew)
# brew install --cask microsoft-windows-365

# O cliente de desktop suporta:
#   - Múltiplos monitores (até 4)
#   - Redirect de impressoras, clipboard, drives locais
#   - Modo Single Sign-On com Entra ID
#   - Reconnect automático em caso de queda de rede

Acesso Mobile (iOS e Android)

A aplicação Windows App (antiga Remote Desktop) está disponível na App Store e Google Play. Permite aceder ao Cloud PC a partir de smartphone ou tablet, com gestos optimizados para ecrã táctil e suporte para teclado virtual.

Single Sign-On (SSO)

O SSO permite que o utilizador autenticado no dispositivo local (Entra ID) aceda ao Cloud PC sem voltar a introduzir credenciais. Para activar o SSO:

1. No Intune admin center, ir a Devices → Windows 365 → User settings.
2. Editar ou criar uma configuração de utilizador.
3. Activar Enable Single Sign-On.
4. Configurar Conditional Access para exigir MFA no primeiro acesso (não a cada conexão).

# Verificar configuração de SSO via Graph
Connect-MgGraph -Scopes "CloudPC.Read.All"

# Obter user settings do Windows 365
Get-MgDeviceManagementVirtualEndpointUserSetting |
    Select-Object DisplayName, EnableSingleSignOn, LocalAdminDisabled |
    Format-List

8. Configurar Redirects (impressoras, drives, clipboard)

Os redirects permitem que recursos do dispositivo local (cliente) sejam usados dentro do Cloud PC. Isto é essencial para que o utilizador possa imprimir documentos, aceder a pen drives, copiar texto entre o ambiente local e o Cloud PC, e ouvir áudio.

Redirects disponíveis

Redirect	Descrição	Default
Clipboard	Copia e cola entre local e Cloud PC	Activado
Impressoras	Impressoras locais aparecem no Cloud PC	Activado
Drives locais	Discos C:, D:, pens USB visíveis	Desactivado
Áudio	Som reproduzido localmente	Activado
Webcam	Câmara local redireccionada	Activado
USB	Dispositivos USB redireccionados	Desactivado

Configurar redirects via Intune

Os redirects são configurados através de uma Configuration Profile no Intune com o template “Windows 365 Cloud PC Settings”:

# No Intune admin center:
# Devices → Configuration profiles → Create profile
# Platform: Windows 10 and later
# Profile type: Templates → Windows 365 Cloud PC Settings

# Configurações disponíveis:
#   - Redirect clipboard: Disabled / Enabled
#   - Redirect printers: Disabled / Enabled
#   - Redirect drives: Disabled / Enabled
#   - Redirect audio: Disabled / Enabled
#   - Redirect webcam: Disabled / Enabled
#   - Redirect USB devices: Disabled / Enabled (apenas com cliente desktop)

# Via PowerShell (Microsoft Graph):
$params = @{
    displayName = "Cloud PC Redirects - PME"
    description = "Configuração de redirects para todos os Cloud PCs"
    templateType = "cloudPCSettings"
    settings = @{
        clipboardRedirectMode = "enabled"
        printerRedirectMode = "enabled"
        driveRedirectMode = "enabled"
        audioRedirectMode = "enabled"
        webcamRedirectMode = "enabled"
        usbRedirectMode = "disabled"
    }
}

# Atribuir a grupo "All Cloud PC Users"

9. Gestão com Intune

A gestão dos Cloud PCs é feita integralmente via Intune, tal como qualquer dispositivo Windows 11 gerido. As secções anteriores cobriram provisioning policies e redirects; esta secção foca-se nas operações do dia-a-dia: aplicar aplicações, scripts, compliance, actualizações e diagnóstico.

Aplicar aplicações via Intune

As aplicações podem ser implementadas em Cloud PCs através de múltiplos canais: Microsoft Store, Win32 apps (.intunewin), MSIX, Office Click-to-Run e scripts PowerShell. A abordagem mais comum para PMEs é usar Win32 apps empacotadas com a ferramenta Intune Win32 App Packaging.

# Empacotar uma aplicação Win32 para Intune
# 1. Descarregar IntuneWinAppUtil.exe da Microsoft
#    https://github.com/Microsoft/Microsoft-Win32-Content-Prep-Tool

# 2. Preparar pasta de instalação
#    /app-source/
#      ├── instalador.msi
#      └── install.cmd

# 3. Empacotar
IntuneWinAppUtil.exe `
    -c "C:\app-source" `
    -s instalador.msi `
    -o "C:\app-output" `
    -q

# 4. No Intune admin center:
#    Apps → Windows → Add → App type: Windows app (Win32)
#    Selecionar o ficheiro .intunewin gerado
#    Comando de instalação: msiexec /i instalador.msi /qn
#    Comando de desinstalação: msiexec /x {ProductCode} /qn
#    Atribuir a grupo de utilizadores ou dispositivos

Compliance policies

As políticas de compliance garantem que os Cloud PCs cumprem os requisitos de segurança antes de permitir acesso a recursos corporativos:

• BitLocker — embora o storage do Azure já seja cifrado, o BitLocker adiciona uma camada extra.
• Defender para Endpoint — nível de proteção contra ameaças (ver artigo Microsoft Defender para Endpoint em PMEs).
• Windows Updates — versão mínima do SO e patches em dia.
• Antivírus — Microsoft Defender Antimalware activo.

# Verificar estado de compliance dos Cloud PCs
Connect-MgGraph -Scopes "DeviceManagementManagedDevices.Read.All"

Get-MgDeviceManagementManagedDevice -Filter "Model eq 'Cloud PC'" |
    Select-Object DeviceName, 
           UserPrincipalName,
           @{N='Estado';E={
               switch($_.ComplianceState){
                   0 {'Compliant'}
                   1 {'Non-compliant'}
                   2 {'In grace period'}
                   3 {'Config manager'}
                   default {'Unknown'}
               }
           }},
           LastSyncDateTime |
    Sort-Object DeviceName |
    Format-Table -AutoSize

# Forçar sync de um Cloud PC específico
$deviceId = "0000-0000-0000-0000"
Invoke-MgDeviceManagementManagedDeviceSync -ManagedDeviceId $deviceId

Restart e reprovision

Para reiniciar um Cloud PC ou forçar reprovisionamento (recriar do zero com a imagem actual):

# Reiniciar um Cloud PC
$cloudPcId = "abc-123-def-456"

# Via Microsoft Graph
Invoke-MgDeviceManagementVirtualEndpointCloudPcRestart -CloudPcId $cloudPcId

# Reprovisionar (atenção: apaga todos os dados do utilizador)
Invoke-MgDeviceManagementVirtualEndpointCloudPcReprovision -CloudPcId $cloudPcId

# Verificar estado após operação
Get-MgDeviceManagementVirtualEndpointCloudPc -CloudPcId $cloudPcId |
    Select-Object DisplayName, Status, LastModifiedDateTime

10. Networking e Azure Network Connection

Por defeito, os Cloud PCs são criados numa rede virtual gerida pela Microsoft, sem conectividade directa a recursos on-premises. Para cenários que exigem acesso a servidores locais (ERP, ficheiros partilhados, bases de dados), é necessário configurar uma Azure Network Connection (ANC).

O que é uma Azure Network Connection

A ANC liga os Cloud PCs a uma VNet Azure específica da organização. Isso permite:

• Acesso a recursos on-premises via VPN Site-to-Site ou ExpressRoute.
• Resolução de DNS personalizada (para nomes internos).
• Hybrid Entra Join (junta o Cloud PC ao AD local).
• Tráfego de Cloud PCs sujeito a NSGs (Network Security Groups) e Azure Firewall.

Criar uma Azure Network Connection

# Pré-requisitos:
#   - Subscrição Azure
#   - VNet Azure com subnet dedicada para Cloud PCs
#   - Permissões de Network Contributor na subscrição

# 1. No Intune admin center:
#    Devices → Windows 365 → Azure Network Connection → Create

# 2. Configurações:
#    - Connection type: Azure AD Join ou Hybrid Azure AD Join
#    - Subscription: selecionar subscrição
#    - Resource group: selecionar RG
#    - VNet: selecionar VNet
#    - Subnet: selecionar subnet (mínimo /24 recomendado)
#    - DNS suffix: contoso.local (para Hybrid)
#    - AD domain: contoso.local (para Hybrid)
#    - OU path: OU=CloudPCs,DC=contoso,DC=local

# 3. Via Microsoft Graph PowerShell:
$params = @{
    displayName = "ANC-PME-Hybrid"
    type = "hybridAzureADJoin"
    subscriptionId = "00000000-0000-0000-0000-000000000000"
    resourceGroupId = "/subscriptions/.../resourceGroups/rg-w365"
    virtualNetworkId = "/subscriptions/.../virtualNetworks/vnet-w365"
    subnetId = "/subscriptions/.../subnets/snet-cloudpc"
    dnsServers = @("10.0.0.10","10.0.0.11")
    adDomainName = "contoso.local"
    organizationalUnit = "OU=CloudPCs,DC=contoso,DC=local"
}

New-MgDeviceManagementVirtualEndpointAzureNetworkConnection -BodyParameter $params

Considerações de rede

Aspecto	Recomendação
Subnet	Mínimo /24 (251 IPs) para permitir crescimento
DNS	Usar DNS on-premises para resolução de nomes internos
NSG	Restringir tráfego de saída apenas ao necessário
Latência	<50ms para UX aceitável; usar ExpressRoute para crítico
Bandwidth	Mínimo 1.5 Mbps/utilizador; 10 Mbps para vídeo Teams

Endpoints de rede necessários

Os clientes de acesso precisam de alcançar os seguintes endpoints (todos na porta 443):

# Endpoints obrigatórios para Windows 365
$endpoints = @(
    "login.microsoftonline.com",           # Autenticação Entra ID
    "*.wvd.microsoft.com",                  # Gateway do Windows 365
    "*.windows365.microsoft.com",          # Portal e API
    "graph.microsoft.com",                   # Microsoft Graph
    "*.resourcemanager.windows.net",        # Azure Resource Manager
    "*.servicebus.windows.net",              # Telemetria
    "go.microsoft.com",                     # Downloads de cliente
    "*.azureedge.net"                        # CDN de cliente
)

# Testar conectividade
foreach ($ep in $endpoints) {
    $clean = $ep -replace "\*\.",""
    $result = Test-NetConnection -ComputerName $clean -Port 443 -WarningAction SilentlyContinue
    $status = if($result.TcpTestSucceeded){"OK"}else{"FALHA"}
    Write-Host "$ep : $status" -ForegroundColor $(if($result.TcpTestSucceeded){'Green'}else{'Red'})
}

11. Backup e Recuperação

O Windows 365 inclui mecanismos nativos de protecção de dados, mas é fundamental compreender as suas limitações e complementar com estratégias adicionais para garantir recuperação em todos os cenários.

Point-in-time restore

Cada Cloud PC tem snapshots automáticos que permitem reverter para um ponto no tempo anterior (até 10 dias atrás no plano Enterprise). Esta funcionalidade é gerida pela Microsoft e não requer configuração adicional.

# Listar pontos de restauro disponíveis para um Cloud PC
$cloudPcId = "abc-123-def-456"

Get-MgDeviceManagementVirtualEndpointCloudPcRestorePoint -CloudPcId $cloudPcId |
    Select-Object Id, 
           @{N='Data';E={[DateTime]::Parse($_.DateTimeStamp)}},
           @{N='Tipo';E={$_.RestorePointType}} |
    Format-Table -AutoSize

# Restaurar um Cloud PC para um ponto específico
$restorePointId = "xyz-789-ghi-012"

$params = @{
    cloudPcId = $cloudPcId
    restorePointId = $restorePointId
}

Invoke-MgDeviceManagementVirtualEndpointCloudPcRestore -BodyParameter $params

# Atenção: o restore reinicia o Cloud PC e o utilizador perde 
# todas as alterações feitas após o ponto de restauro

OneDrive Known Folder Move

A estratégia mais robusta para PMEs é usar o OneDrive Known Folder Move (KFM) para sincronizar automaticamente os documentos do Cloud PC para o OneDrive do utilizador. Isto garante que mesmo num reprovisionamento ou falha, os ficheiros estão seguros:

# Configurar OneDrive KFM via Intune (Configuration Profile)
# Platform: Windows 10 and later
# Template: OneDrive > Known Folder Move

# Via PowerShell (deploy via Intune script):
$onedrivePath = "$env:LOCALAPPDATA\Microsoft\OneDrive\OneDrive.exe"

# Silently move known folders to OneDrive
& $onedrivePath /kfm /silent

# Verificar estado do KFM
Get-ItemProperty -Path "HKCU:\Software\Microsoft\OneDrive\Accounts\Business1" -ErrorAction SilentlyContinue |
    Select-Object UserFolder, UserEmail, HasKfmBeenOptedIn

Estratégia de backup recomendada

Camada	Mecanismo	Objectivo
1 — SO	Point-in-time restore (nativo)	Reverter sistema após alteração problemática
2 — Dados	OneDrive KFM via Intune	Ficheiros do utilizador sincronizados na nuvem
3 — Imagem	Imagem customizada versionada	Reprovisionamento rápido após incidente grave
4 — Compliance	Retention policies no Microsoft Purview	Retenção legal e eDiscovery

12. Cenários de Uso para PME

O Windows 365 é particularmente adequado para vários cenários comuns em PMEs portuguesas. Esta secção descreve os casos típicos e como abordá-los.

Cenário 1: Trabalhadores Remotos e Híbridos

Para PMEs com colaboradores que trabalham a partir de casa ou em modelo híbrido, o Windows 365 oferece um desktop corporativo acessível de qualquer dispositivo. O utilizador pode usar o seu portátil pessoal, tablet ou até um Thin Client, acedendo ao Cloud PC com as aplicações e dados da empresa.

Vantagens: separação clara entre dados pessoais e corporativos, conformidade com RGPD, acesso a partir de qualquer local, e o Cloud PC mantém-se igual mesmo que o dispositivo local mude.

Cenário 2: Consultores e Prestadores de Serviços

PMEs que trabalham com freelancers e consultores externos podem atribuir um Cloud PC temporário com as aplicações necessárias. Quando o contrato termina, o Cloud PC é revogado — sem risco de dados corporativos ficarem no dispositivo pessoal do consultor.

Cenário 3: Substituição de PCs Físicos

Para PMEs que renovam equipamentos a cada 4–5 anos, o Windows 365 pode substituir PCs físicos por Thin Clients. O custo total de propriedade (TCO) pode ser competitivo, especialmente quando se considera que o Windows 365 inclui Windows Enterprise, gestão via Intune e elimina custos de reparação, substituição de discos e reimaging.

# Estimativa de TCO para 50 utilizadores ao longo de 3 anos
# PC físico:
#   - Aquisição: 800€ x 50 = 40.000€
#   - Manutenção/reparação: 50€/ano x 50 x 3 = 7.500€
#   - Reimaging/implementação: 20h x 50 x 3 anos = 3.000€ (a 50€/h)
#   Total: ~50.500€ (336€/utilizador/ano)

# Windows 365 (SKU 2vCPU/4GB/128GB):
#   - Licença: ~30€/mês x 50 x 36 = 54.000€
#   - Thin Client: 150€ x 50 (uma vez) = 7.500€
#   - Gestão via Intune (já incluída se M365 E3): 0€
#   Total: ~61.500€ (410€/utilizador/ano)

# Diferença: ~74€/utilizador/ano a mais no W365
# Mas inclui: sem downtime de hardware, acesso remoto, 
# zero reimaging, escalabilidade imediata

Cenário 4: Ambiente de Desenvolvimento

Equipas de desenvolvimento podem usar SKUs com mais recursos (8 vCPU, 32 GB RAM) para ter um ambiente de dev padronizado, com Visual Studio, SDKs e ferramentas pré-instaladas numa imagem customizada. Isto elimina o problema de “funciona no meu PC” e garante que todos os developers têm o mesmo ambiente.

Cenário 5: Acesso Seguro a Sistemas Legados

Para PMEs que precisam de aceder a sistemas antigos (ERP local, aplicações Windows 7/8), o Windows 365 pode hospedar esses sistemas num ambiente isolado, acessível apenas via Cloud PC. O Conditional Access pode restringir o acesso a IPs específicos, horários ou dispositivos geridos.

13. Boas Práticas

Com base na experiência de implementação do Windows 365 em PMEs portuguesas, estas são as boas práticas que recomendamos seguir.

Segurança

• Activar MFA obrigatório para todos os acessos ao Cloud PC via Conditional Access (ver artigo Microsoft Entra MFA).
• Desactivar administrador local nos Cloud PCs — os utilizadores não devem ter privilégios de admin. Configurar via User Settings no Intune.
• Configurar Defender para Endpoint em todos os Cloud PCs (ver artigo Microsoft Defender para Endpoint em PMEs).
• Usar Conditional Access para restringir acesso a dispositivos geridos (compliance) e blocar acessos de países não autorizados.
• Desactivar redirect de drives em ambientes com requisitos de DLP (Data Loss Prevention) elevados.

Performance

• Escolher a região do Azure mais próxima dos utilizadores (West Europe para Portugal Continental).
• Não instalar antivírus de terceiros — o Microsoft Defender já está incluído e optimizado.
• Desactivar serviços desnecessários na imagem base (Serviços de indexação, Windows Search se não necessário, etc.).
• Usar FSLogix para profiles se precisar de roaming entre Cloud PCs ou persistência de perfil após reprovisionamento.
• Monitorizar a latência — usar Azure Network Watcher para detectar degradação.

Gestão

• Usar grupos dinâmicos do Entra ID para atribuir licenças Windows 365 automaticamente consoante atributos do utilizador (departamento, cargo).
• Manter imagens actualizadas — actualizar pelo menos trimestralmente com patches e novas versões de software.
• Documentar provisioning policies — manter registo de quais políticas aplicam que configurações a que grupos.
• Configurar alertas do Intune para Cloud PCs non-compliant ou sem sync há mais de 7 dias.
• Rever acessos trimestralmente — remover licenças de utilizadores que já não precisam.

# Script: Relatório mensal de Cloud PCs
Connect-MgGraph -Scopes "CloudPC.Read.All","DeviceManagementManagedDevices.Read.All"

# Obter todos os Cloud PCs
$cloudPCs = Get-MgDeviceManagementVirtualEndpointCloudPc

# Gerar relatório
$report = $cloudPCs | ForEach-Object {
    [PSCustomObject]@{
        Nome = $_.DisplayName
        Utilizador = $_.UserPrincipalName
        SKU = $_.AllocationPolicy
        Estado = $_.Status
        Provisionado = $_.ProvisioningPolicyId
        ÚltimaModificação = $_.LastModifiedDateTime
    }
}

# Exportar para CSV
$report | Export-Csv -Path "C:\Reports\CloudPC_Report_$(Get-Date -Format yyyy-MM-dd).csv" -NoTypeInformation -Encoding UTF8

# Resumo
Write-Host "Total Cloud PCs: $($report.Count)" -ForegroundColor Cyan
Write-Host "Em uso: $(($report | Where-Object Estado -eq 'provisioned').Count)" -ForegroundColor Green
Write-Host "Com problemas: $(($report | Where-Object Estado -ne 'provisioned').Count)" -ForegroundColor Yellow

14. Checklist de Implementação

Use esta checklist para garantir uma implementação robusta do Windows 365 Cloud PC na sua PME.

Pré-implementação

• ☐ Confirmar que o tenant Entra ID tem licenças adequadas (Premium P1 mínimo).
• ☐ Verificar licenciamento Intune (incluído em M365 E3/E5 ou Intune standalone).
• ☐ Avaliar o número de utilizadores e escolher Business vs Enterprise.
• ☐ Determinar os SKUs necessários por perfil de utilizador (1vCPU/2GB para light, 2vCPU/4GB para standard, 4vCPU/16GB para power).
• ☐ Verificar conectividade de rede — latência para a região do Azure < 50ms.
• ☐ Confirmar que todos os endpoints do Windows 365 são alcançáveis (porta 443).
• ☐ Avaliar se é necessária Azure Network Connection (acesso a recursos on-premises).

Configuração

• ☐ Criar Azure Network Connection (se aplicável) com subnet dedicada.
• ☐ Preparar e testar imagem customizada (ou seleccionar imagem da galeria).
• ☐ Criar Provisioning Policy com imagem, rede e tipo de junção correctos.
• ☐ Configurar User Settings (SSO, administrador local desactivado).
• ☐ Criar filtros do Intune para diferenciar Cloud PCs de dispositivos físicos.
• ☐ Configurar redirects (clipboard, impressoras, drives) conforme política de segurança.
• ☐ Implementar OneDrive Known Folder Move para todos os utilizadores.
• ☐ Configurar Compliance Policies (BitLocker, Defender, updates em dia).
• ☐ Aplicar Conditional Access: exigir MFA, dispositivo compliant, localização permitida.
• ☐ Configurar Microsoft Defender para Endpoint em todos os Cloud PCs.

Teste e validação

• ☐ Atribuir licença Windows 365 a um utilizador de teste.
• ☐ Verificar que o Cloud PC é provisionado em menos de 45 minutos.
• ☐ Testar acesso via web, desktop e mobile.
• ☐ Validar redirects (impressão, clipboard, áudio, webcam).
• ☐ Confirmar que as aplicações da imagem estão instaladas e funcionais.
• ☐ Verificar que o OneDrive KFM está a sincronizar documentos.
• ☐ Testar point-in-time restore e confirmar que funciona.
• ☐ Validar compliance no Intune (estado “Compliant” para todos os Cloud PCs).
• ☐ Testar reprovisionamento e confirmar que os dados são preservados via OneDrive.

Rollout e operação

• ☐ Atribuir licenças em fases (10–20% de cada vez) para detectar problemas cedo.
• ☐ Comunicar aos utilizadores como aceder ao Cloud PC (URL, credenciais, MFA).
• ☐ Documentar procedimentos: provisionamento, reprovisionamento, restore, troubleshooting.
• ☐ Configurar alertas para Cloud PCs non-compliant ou sem sync há mais de 7 dias.
• ☐ Agendar revisão trimestral: imagens, políticas, acessos, performance.
• ☐ Estabelecer procedimento de resposta a incidentes (Cloud PC comprometido, reprovisionamento de emergência).
• ☐ Configurar relatório mensal automatizado (script PowerShell + Graph API).

Artigos Relacionados

• Windows Admin Center: Gestão de Servidores
• Microsoft Entra MFA: Autenticação Multifactor
• Quick Assist e Remote Help: Suporte Remoto
• Hyper-V no Windows Server: Virtualização com PowerShell
• Microsoft Defender para Endpoint em PMEs

Este artigo segue as indicações da documentação oficial Microsoft (actualizada em 2026).