Pool de identidades de máquinas com identidade associada ao Microsoft Entra

1. Novo local de recurso
   • navegar para a UI de administração do Citrix Cloud™ > menu hambúrguer superior esquerdo > Locais de Recursos.
   • Clique em + Local de Recurso.
   • Insira um nome para o novo local de recurso e clique em Salvar.
2. Crie uma conexão de hospedagem. Consulte a seção Criar e gerenciar conexões para obter detalhes. Ao implantar máquinas no Azure, consulte Conexão com o Azure Resource Manager.

Usar o Studio

1. Na página Imagem:
   • Selecione 2106 ou posterior como o nível funcional.
   • Selecione Usar um perfil de máquina e selecione a máquina apropriada da lista.
2. Na página Identidades da Máquina:
   1. Selecione Ingressado no Microsoft Entra. As máquinas criadas são de propriedade de uma organização e são acessadas com uma conta do Microsoft Entra que pertence a essa organização. Elas existem apenas na nuvem.
      Nota:
      • O tipo de identidade Ingressado no Microsoft Entra requer a versão 2106 ou posterior como nível funcional mínimo para o catálogo.
      • As máquinas são ingressadas no domínio Microsoft Entra associado ao locatário ao qual a conexão de hospedagem está vinculada.

   2. Clique em Selecionar conta de serviço e selecione uma conta de serviço disponível na lista. Se uma conta de serviço adequada não estiver disponível para o locatário do Microsoft Entra ao qual as identidades da máquina serão ingressadas, você poderá criar uma conta de serviço. Para obter informações sobre a conta de serviço, consulte Contas de serviço do Microsoft Entra.
      Nota:
      A conta de serviço que você selecionou pode estar em um status não íntegro devido a vários motivos. Você pode ir para Administradores > Contas de Serviço para visualizar detalhes e corrigir os problemas de acordo com as recomendações. Alternativamente, você pode prosseguir com a operação do catálogo de máquinas e corrigir os problemas mais tarde. Se você não corrigir o problema, dispositivos ingressados no Microsoft Entra ou registrados no Microsoft Intune obsoletos serão gerados, o que pode bloquear o ingresso das máquinas no Microsoft Entra.

   3. Clique em Adicionar Atributos de Extensão para armazenar dados exclusivos e personalizados diretamente em seus objetos de dispositivo do Entra ID. Na página Adicionar Atributos de Extensão, adicione Atributos de extensão e Valor.
      Nota:
      • Você pode adicionar um máximo de 15 atributos de extensão.
      • O nome deve ser exclusivo e o valor não pode estar vazio.

   4. Selecione uma opção de conta do Active Directory:
      • Criar novas contas do Active Directory:
        • Se você selecionar Criar novas contas do Active Directory e usar um pool de identidades existente para criar novas contas, selecione um domínio para essas contas e especifique um esquema de nomenclatura de conta.
        • Se você selecionar Criar novas contas do Active Directory e usar um pool de identidades existente para criar novas contas, selecione um pool de identidades na lista.
      • Usar contas existentes do Active Directory: Você pode procurar ou importar de um arquivo CSV e redefinir a senha ou especificar a mesma senha para todas as contas.
   • Especifique um esquema de nomenclatura de conta.

Usar PowerShell

Visualizar o status do processo de união ao Microsoft Entra

• Unido ao Microsoft Entra
• Ainda não ingressado no Microsoft Entra ID

Grupo de Entrega

Habilitar Rendezvous

Solução de problemas

• Verifique se a identidade gerenciada atribuída ao sistema está habilitada para as máquinas. As máquinas provisionadas por MCS devem ter isso habilitado automaticamente. O processo de ingresso no Microsoft Entra falha sem uma identidade gerenciada atribuída ao sistema. Se a identidade gerenciada atribuída ao sistema não estiver habilitada para máquinas provisionadas por MCS, a possível razão é:
  • IdentityType do pool de identidades associado ao esquema de provisionamento não está definido como AzureAD. Você pode verificar isso executando Get-AcctIdentityPool.
• Para catálogos que usam imagens mestre com VDA versão 2206 ou anterior, verifique o status de provisionamento da extensão AADLoginForWindows para as máquinas. Se a extensão AADLoginForWindows não existir, as possíveis razões são:
  • IdentityType do pool de identidades associado ao esquema de provisionamento não está definido como AzureAD. Você pode verificar isso executando Get-AcctIdentityPool.
  • A instalação da extensão AADLoginForWindows está bloqueada pela política do Azure.
• Para solucionar problemas de falhas de provisionamento da extensão AADLoginForWindows, você pode verificar os logs em C:\WindowsAzure\Logs\Plugins\Microsoft.Azure.ActiveDirectory.AADLoginForWindows na máquina provisionada pelo MCS.
  Nota:
  O MCS não depende da extensão AADLoginForWindows para unir uma VM ao Microsoft Entra ID ao usar uma imagem mestre com VDA versão 2209 ou posterior. Neste caso, a extensão AADLoginForWindows não será instalada na máquina provisionada pelo MCS. Portanto, os logs de provisionamento da extensão AADLoginForWindows não podem ser coletados.

• Verifique o status de junção do Microsoft Entra e os logs de depuração executando o comando dsregcmd /status na máquina provisionada pelo MCS.
• Verifique os logs de eventos do Windows em Logs de Aplicativos e Serviços > Microsoft > Windows > Registro de Dispositivo de Usuário.
• Verifique se o gerenciamento de dispositivos do Microsoft Entra está configurado corretamente executando Get-Item -LiteralPath XDHyp:\Connections\${HostingConnectionName}.
  Certifique-se de que o valor de:
  • a propriedade AzureAdDeviceManagement em CustomProperties seja true
  • a propriedade Citrix_MCS_AzureAdDeviceManagement_PermissionGranted nos metadados seja true
  Se Citrix_MCS_AzureAdDeviceManagement_PermissionGranted for false, isso indica que o ServicePrincipal do aplicativo usado pela conexão de hospedagem não tem permissões suficientes para realizar o gerenciamento de dispositivos do Microsoft Entra. Para resolver isso, atribua ao ServicePrincipal a função de Administrador de Dispositivo na Nuvem.

Grupos de segurança dinâmicos do Microsoft Entra

• Criar um catálogo de máquinas com grupo de segurança dinâmico do Microsoft Entra
• Habilitar o recurso de grupo de segurança para um catálogo do Microsoft Entra
• Excluir um catálogo de máquinas com grupo de segurança de dispositivo unido ao Microsoft Entra

Crie um grupo de segurança dinâmico do Microsoft Entra sob um grupo de segurança atribuído do Microsoft Entra ID existente

• Obtenha informações do grupo de segurança.
• Obtenha todos os grupos de segurança atribuídos do Microsoft Entra ID que são sincronizados de um servidor AD local ou os grupos de segurança atribuídos aos quais as funções do Microsoft Entra podem ser atribuídas.
• Obtenha todos os grupos de segurança dinâmicos do Microsoft Entra.
• Adicione o grupo de segurança dinâmico do Microsoft Entra como membro do grupo atribuído do Microsoft Entra ID.
• Remova a associação entre o grupo de segurança dinâmico do Microsoft Entra e o grupo de segurança atribuído do Microsoft Entra ID quando o grupo de segurança dinâmico do Microsoft Entra for excluído junto com o catálogo de máquinas.

1. Abra Microsoft graph explorer e faça login no Microsoft Entra ID.
2. Certifique-se de que você tenha consentimento para as permissões Group.ReadWrite.All e GroupMember.ReadWrite.All.
3. Obtenha o token de acesso do Microsoft graph explorer. Use este token de acesso ao executar os comandos PowerShell.

1. Obtenha o token de acesso.
2. Encontre a ID do objeto do grupo no portal do Azure.
3. Execute o seguinte comando PowerShell no console do PowerShell:
   Get-AcctAzureADSecurityGroup
-AccessToken <token> -GroupId <GroupUid>
   Ou, execute o seguinte se você estiver usando uma conta de serviço do Microsoft Entra:
   Get-AcctAzureADSecurityGroup -ServiceAccountUid <guid> -GroupId <GroupUid>

1. Obtenha o token de acesso.
2. Execute o seguinte comando PowerShell no console do PowerShell:
   Get-AcctAzureADSecurityGroup
-AccessToken <token>
-Name <TargetGroupDisplayName>
   Ou, execute o seguinte se você estiver usando uma conta de serviço do Microsoft Entra:
   Get-AcctAzureADSecurityGroup
-ServiceAccountUid <guid>
-Name <TargetGroupDisplayName>

1. Obtenha o token de acesso.
2. Execute o seguinte comando PowerShell no console do PowerShell:
   Get-AcctAzureADSecurityGroup
-AccessToken <token>
-SearchString <displayNameSubString>
   Ou, execute o seguinte se estiver usando uma conta de serviço do Microsoft Entra:
   Get-AcctAzureADSecurityGroup
-ServiceAccountUid <guid>
-SearchString <displayNameSubString>

1. Obtenha o token de acesso.
2. Execute o seguinte comando PowerShell no console do PowerShell:
   Get-AcctAzureADSecurityGroup
-AccessToken <token>
-Assigned true
   Ou, execute o seguinte se estiver usando uma conta de serviço do Microsoft Entra:
   Get-AcctAzureADSecurityGroup
-ServiceAccountUid <guid>
-Assigned true

1. Obtenha o token de acesso.
2. Execute o seguinte comando PowerShell no console do PowerShell:
   Get-AcctAzureADSecurityGroup
-AccessToken <token>
-Dynamic true
   Ou, execute o seguinte se estiver usando uma conta de serviço do Microsoft Entra:
   Get-AcctAzureADSecurityGroup
-ServiceAccountUid <guid>
-Dynamic true

1. Obtenha o token de acesso.
2. Execute o seguinte comando PowerShell no console do PowerShell:
   Get-AcctAzureADSecurityGroup
-AccessToken <token>
-Assigned true
-MaxRecordCount 10
   Ou, execute o seguinte se estiver usando uma conta de serviço do Microsoft Entra:
   Get-AcctAzureADSecurityGroup
-ServiceAccountUid <guid>
-Assigned true
-MaxRecordCount 10

1. Obtenha o token de acesso.
2. Execute o seguinte comando PowerShell no console PowerShell:
   Add-AcctAzureADSecurityGroupMember
-AccessToken <token>
-GroupId <ASG-Id>
-RefGroupId <DSG-Id>
   Ou, execute o seguinte se estiver usando uma conta de serviço do Microsoft Entra:
   Add-AcctAzureADSecurityGroupMember
-ServiceAccountUid <guid>
-GroupId <ASG-Id>
-RefGroupId <DSG-Id>

1. Obtenha o token de acesso.
2. Execute o seguinte comando PowerShell no console PowerShell:
   Get-AcctAzureADSecurityGroupMember
-AccessToken <token>
-GroupId <ASG-Id>
   Ou, execute o seguinte se estiver usando uma conta de serviço do Microsoft Entra:
   Get-AcctAzureADSecurityGroupMember
-ServiceAccountUid <guid>
-GroupId <ASG-Id>
   Nota:
   Get-AcctAzureADSecurityGroupMember fornece apenas os membros diretos do tipo de grupo de segurança sob o grupo de segurança atribuído ao Microsoft Entra ID.

1. Obtenha o token de acesso.
2. Execute o seguinte comando PowerShell no console PowerShell:
   Remove-AcctIdentityPool
-IdentityPoolName "SecurityGroupCatalog"
-AzureADAccessToken $AzureADAccessToken
   Ou, execute o seguinte se estiver usando uma conta de serviço do Microsoft Entra:
   Remove-AcctIdentityPool
-ServiceAccountUid <guid>
-IdentityPoolName "SecurityGroupCatalog"

Modificar nome do grupo de segurança dinâmico do Microsoft Entra

1. Abra a janela do PowerShell.
2. Execute asnp citrix* para carregar os módulos do PowerShell específicos da Citrix.
3. Execute o comando Set-AcctIdentityPool -AzureAdSeurityGroupName [DSG-Name].

Mais informações

• Contas de serviço para gerenciamento de identidade da máquina
• Contas de serviço do Microsoft Entra