Pool de identidades de identidade de máquina habilitada para Microsoft Intune
Este artigo descreve como criar um pool de identidades de identidade de máquina habilitada para Microsoft Intune usando o Citrix DaaS.
Você pode criar:
-
Catálogos unidos ao Microsoft Entra inscritos no Microsoft Intune para VMs persistentes e não persistentes, de sessão única e multi-sessão. Para criar catálogos, consulte Criar catálogos unidos ao Microsoft Entra inscritos no Microsoft Intune.
-
Catálogos híbridos unidos ao Microsoft Entra inscritos no Microsoft Intune para VMs persistentes de sessão única e multi-sessão usando credencial de dispositivo com capacidade de cogestão. Para criar catálogos, consulte Criar catálogos híbridos unidos ao Microsoft Entra inscritos no Microsoft Intune. Você também pode criar catálogos híbridos unidos ao Microsoft Entra inscritos no Microsoft Intune para VMs não persistentes de sessão única e multi-sessão. No entanto, isso está atualmente em Pré-visualização. Consulte Inscrição de VMs não persistentes unidas ao Hybrid Entra ID no Microsoft Intune.
Para obter informações sobre requisitos, limitações e considerações, consulte Microsoft Intune.
Criar catálogos unidos ao Microsoft Entra inscritos no Microsoft Intune
Você pode criar catálogos unidos ao Microsoft Entra inscritos no Microsoft Intune para VMs persistentes e não persistentes usando o Studio e o PowerShell.
Para obter informações sobre requisitos, limitações e considerações, consulte:
Usar o Studio
As informações a seguir são um complemento às orientações em Criar catálogos de máquinas.
No assistente de criação de catálogo:
-
Na página Identidades da Máquina:
-
Selecione Microsoft Entra joined e depois Registrar as máquinas no Microsoft Intune. Se ativado, registre as máquinas no Microsoft Intune para gerenciamento. Você pode criar catálogos unidos ao Microsoft Entra registrados no Microsoft Intune para VMs persistentes e não persistentes de sessão única e multi-sessão. No entanto, para VMs não persistentes, você deve ter a versão do VDA 2407 ou posterior.
-
Clique em Selecionar conta de serviço e selecione uma conta de serviço disponível na lista. Se uma conta de serviço adequada não estiver disponível para o locatário do Microsoft Entra ao qual as identidades da máquina se juntarão, você poderá criar uma conta de serviço. Para obter informações sobre contas de serviço, consulte Contas de serviço do Microsoft Entra.Nota:A conta de serviço que você selecionou pode estar em um status não saudável devido a várias razões. Você pode ir para Administradores > Contas de Serviço para visualizar detalhes e corrigir os problemas de acordo com as recomendações. Alternativamente, você pode prosseguir com a operação do catálogo de máquinas e corrigir os problemas mais tarde. Se você não corrigir o problema, dispositivos unidos ao Microsoft Entra ou registrados no Microsoft Intune obsoletos serão gerados, o que pode bloquear a união das máquinas ao Microsoft Entra.
-
Clique em Adicionar Atributos de Extensão para armazenar dados exclusivos e personalizados diretamente em seus objetos de dispositivo do Entra ID. Na página Adicionar Atributos de Extensão, adicione Atributos de extensão e Valor.Nota:
-
Você pode adicionar um máximo de 15 atributos de extensão.
-
O nome e o valor devem ser únicos e não podem estar vazios.
-
-
Adicionar ou modificar atributos de extensão
Para alterar ou adicionar atributos de extensão adicionais a um catálogo de máquinas MCS existente, ou adicionar atributos de extensão a um catálogo MCS sem uma conta de serviço, use o assistente Editar Catálogo de Máquinas.
-
Para alterar ou adicionar atributos de extensão adicionais, navegar para a página Atributos de Extensão de Dispositivo do Microsoft Entra. Clique no ícone de lápis e adicione ou atualize os atributos de extensão.
-
Para adicionar atributos de extensão a um catálogo MCS sem uma conta de serviço do Microsoft Entra:
-
navegar para a página Conta de Serviço. Selecione uma conta de serviço do Microsoft Entra para o Microsoft Intra ID.
-
Vá para a página Atributos de Extensão de Dispositivo do Microsoft Entra, clique em Adicionar Atributos de Extensão.
-
Usar PowerShell
A seguir estão as etapas do PowerShell que são equivalentes às operações no Studio.
Para registrar máquinas no Microsoft Intune usando o SDK do PowerShell Remoto, use o parâmetro
DeviceManagementType em New-AcctIdentityPool. Este recurso exige que o catálogo esteja associado ao Microsoft Entra e que o Microsoft Entra ID possua a licença correta do Microsoft Intune. Por exemplo:
New-AcctIdentityPool -AllowUnicode -DeviceManagementType "Intune" IdentityType="AzureAD" -WorkgroupMachine -IdentityPoolName "AzureADJoinedCatalog" -NamingScheme "AzureAD-VM-##" -NamingSchemeType "Numeric" -ServiceAccountUid $serviceAccountUid -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
Por exemplo: Para criar um novo pool de identidades com atributos de extensão especificados e associá-lo a uma conta de serviço, execute o seguinte:
New-AcctIdentityPool -IdentityPoolName MyPool -NamingScheme ACC#### -NamingSchemeType Numeric -Domain "abc.local" -IdentityType AzureAD -ServiceAccountUid $serviceAccountUid -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"}
Quando uma VM é ligada pela primeira vez, após ingressar no Microsoft Entra ID, a VM reporta seu deviceId do Entra ID ao MCS.
Por exemplo: Para verificar o
EntraIDDeviceID, execute Get-AcctADAccount ou Get-AcctIdentity.
Get-AcctADAccount -IdentityPoolName MyPool
Após a reinicialização, para VMs persistentes, o
EntraIDDeviceID permanece o mesmo. Para VMs não persistentes, há um novo EntraIDDeviceID após cada reinicialização.
Nota:
O MCS remove automaticamente os atributos de extensão associados quando você exclui uma VM do catálogo, mas não a exclui do Azure.
Por exemplo: Para editar atributos de extensão para o catálogo existente, execute o seguinte:
Nota:
-
Após atualizar as VMs do catálogo existente para a versão 2511 ou posterior do VDA, é necessária uma reinicialização. Essa reinicialização permite que a VM reporte seu deviceId do Entra ID ao MCS, permitindo que o MCS configure os atributos de extensão da VM.
-
O catálogo existente deve ter uma conta de serviço do tipo AzureAD com a permissão "Device.ReadWrite.All".
Para adicionar novos atributos:
Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"}
Para remover alguns atributos existentes
Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{}
OU
Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{extensionAttribute1 = ""; extensionAttribute2 = ""}
Set-AcctIdentityPool também atualiza os atributos de extensão do dispositivo Entra ID para VMs que já estão unidas ao Entra ID e possuem um valor EntraIDDeviceID em suas identidades.
Por exemplo: Para criar um catálogo do Microsoft Entra inscrito no Microsoft Intune usando uma imagem preparada:
New-ProvScheme -ProvisioningSchemeName <name> -ImageVersionSpecUid <preparedVersionSpecUid> -HostingUnitUid <hostingUnitUid> -IdentityPoolUid <IdentityPoolUid> [-CleanOnBoot] -NetworkMapping @{"0"="XDHyp:\HostingUnits\<hostingunitName>\<region>.region\virtualprivatecloud.folder\<resourcegroupName>.resourcegroup\<vnetName>.virtualprivatecloud\<sunNetName>.network"} -ServiceOffering <serviceofferingPath> [-MachineProfile <machineProfilePath>] [-CustomProperties <>]
Solução de problemas
Se as máquinas falharem ao se inscrever no Microsoft Intune, faça o seguinte:
-
Verifique se as máquinas provisionadas pelo MCS estão unidas ao Microsoft Entra. As máquinas falham ao se inscrever no Microsoft Intune se não estiverem unidas ao Microsoft Entra. Consulte Solução de problemas para solucionar problemas de junção ao Microsoft Entra.
-
Verifique se o seu locatário do Microsoft Entra está atribuído com a licença Intune apropriada. Consulte
<https://learn.microsoft.com/pt-br/mem/intune/fundamentals/licenses>para os requisitos de licença do Microsoft Intune. -
Para catálogos que usam imagens mestras com VDA versão 2206 ou anterior, verifique o status de provisionamento da extensão AADLoginForWindows para as máquinas. Se a extensão AADLoginForWindows não existir, as possíveis razões são:
-
IdentityTypedo pool de identidades associado ao esquema de provisionamento não está definido comoAzureADouDeviceManagementTypenão está definido comoIntune. Você pode verificar isso executandoGet-AcctIdentityPool. -
A política do Azure bloqueou a instalação da extensão AADLoginForWindows.
-
-
Para solucionar falhas de provisionamento da extensão AADLoginForWindows, você pode verificar os logs em
C:\WindowsAzure\Logs\Plugins\Microsoft.Azure.ActiveDirectory.AADLoginForWindowsna máquina provisionada pelo MCS.Nota:O MCS não depende da extensãoAADLoginForWindowspara unir uma VM ao Microsoft Entra ID e se inscrever no Microsoft Intune ao usar uma imagem mestra com VDA versão 2209 ou posterior. Neste caso, a extensãoAADLoginForWindowsnão é instalada na máquina provisionada pelo MCS. Portanto, os logs de provisionamento da extensãoAADLoginForWindowsnão podem ser coletados. -
Verifique os logs de eventos do Windows em Logs de Aplicativos e Serviços > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider.
-
A conta de serviço que você selecionou pode estar em um status não saudável devido a várias razões. Você pode ir para Administradores > Contas de Serviço para ver detalhes e corrigir os problemas de acordo com as recomendações. Se você não corrigir o problema, dispositivos unidos ao Microsoft Entra ou inscritos no Microsoft Intune obsoletos serão gerados, o que pode bloquear a junção ao Microsoft Entra das máquinas.
Criar catálogos híbridos unidos ao Microsoft Entra inscritos no Microsoft Intune
Você pode criar catálogos habilitados para cogestão para catálogos ingressados no Microsoft Entra híbrido registrados no Microsoft Intune para VMs persistentes de sessão única e multi-sessão. Você pode criar catálogos habilitados para cogestão usando o Studio e o PowerShell.
Para obter informações sobre requisitos, limitações e considerações, consulte:
Usar o Studio
As informações a seguir são um complemento às orientações em Criar catálogos de máquinas.
No assistente de Configuração do Catálogo de Máquinas:
-
Na página Identidades da Máquina, selecione Ingressado no Microsoft Entra híbrido e, em seguida, Registrar as máquinas no Microsoft Intune com o Configuration Manager. Com esta ação, o Configuration Manager e o Microsoft Intune (ou seja, cogestionados) gerenciam as VMs.
-
Clique em Adicionar Atributos de Extensão para armazenar dados exclusivos e personalizados diretamente nos objetos de dispositivo do Entra ID. Na página Adicionar Atributos de Extensão, adicione Atributos de extensão e Valor.Nota:
-
Você pode adicionar um máximo de 15 atributos de extensão.
-
O nome e o valor devem ser únicos e não podem estar vazios.
-
Adicionar ou modificar atributos de extensão
Para alterar ou adicionar atributos de extensão adicionais a um catálogo de máquinas MCS existente, ou adicionar atributos de extensão a um catálogo MCS sem uma conta de serviço, use o assistente Editar Catálogo de Máquinas.
-
Para alterar ou adicionar atributos de extensão adicionais, navegar para a página Atributos de Extensão de Dispositivo do Microsoft Entra. Clique no ícone de lápis e adicione ou atualize os atributos de extensão.
-
Para adicionar atributos de extensão a um catálogo MCS sem uma conta de serviço do Microsoft Entra:
-
navegar para a página Conta de Serviço. Selecione uma conta de serviço do Microsoft Entra para o Microsoft Intra ID.
-
Vá para a página Atributos de Extensão de Dispositivo do Microsoft Entra, clique em Adicionar Atributos de Extensão.
-
Usar PowerShell
A seguir estão as etapas do PowerShell equivalentes às etapas no Studio.
Para registrar máquinas no Microsoft Intune com o Configuration Manager usando o SDK do PowerShell Remoto, use o parâmetro
DeviceManagementType em New-AcctIdentityPool. Este recurso exige que o catálogo seja ingressado no Microsoft Entra híbrido e que o Microsoft Entra ID possua a licença correta do Microsoft Intune.
A diferença entre catálogos ingressados no Microsoft Entra híbrido e os habilitados para cogestão reside na criação do pool de identidades. Por exemplo:
New-AcctIdentityPool -AllowUnicode -DeviceManagementType "IntuneWithSCCM" IdentityType="HybridAzureAD" -IdentityPoolName "CoManagedCatalog" -NamingScheme "CoManaged-VM-##" -NamingSchemeType "Numeric" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
Por exemplo: Para criar um novo pool de identidades com atributos de extensão especificados e associá-lo a uma conta de serviço, execute o seguinte:
New-AcctIdentityPool -IdentityPoolName HybridAzureAD -NamingScheme ACC#### -NamingSchemeType Numeric -Domain "abc.local" -IdentityType HybridAzureAD -ServiceAccountUid $serviceAccountUid -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"}
Quando uma VM é ligada pela primeira vez, após ingressar no Microsoft Entra ID, a VM reporta seu deviceId do Entra ID ao MCS.
Por exemplo: Para verificar o
EntraIDDeviceID, execute Get-AcctADAccount ou Get-AcctIdentity.
Get-AcctADAccount -IdentityPoolName MyPool
Após a reinicialização, para VMs persistentes e não persistentes, o
EntraIDDeviceID permanece o mesmo.
Nota:
O MCS remove automaticamente os IDs de dispositivo e atributos de extensão associados quando você exclui uma VM do catálogo, mas não a exclui do Azure.
Por exemplo: Para editar atributos de extensão para o catálogo existente, execute o seguinte:
Nota:
-
Após atualizar as VMs de catálogo existentes para a versão VDA 2511 ou posterior, é necessário reiniciar. Essa reinicialização permite que a VM relate seu deviceId do Entra ID ao MCS, permitindo que o MCS configure os atributos de extensão da VM.
-
O catálogo existente deve ter uma conta de serviço do tipo AzureAD com a permissão "Device.ReadWrite.All".
Para adicionar novos atributos:
Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"}
Para remover alguns atributos existentes
Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{}
OU
Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{extensionAttribute1 = ""; extensionAttribute2 = ""}
Set-AcctIdentityPool também atualiza os atributos de extensão do dispositivo Entra ID para VMs que já estão unidas ao Entra ID e possuem um valor EntraIDDeviceID em suas identidades.
Você também pode criar um catálogo persistente Híbrido do Microsoft Entra inscrito no Microsoft Intune usando uma imagem preparada. Para o conjunto completo de comandos do PowerShell para criar a definição de imagem, a versão da imagem e a especificação da versão da imagem preparada, consulte:
-
Ambiente de virtualização do Azure: Usar PowerShell.
-
Ambiente de virtualização VMware: Usar PowerShell
Após criar a especificação da versão da imagem preparada, crie o pool de identidades e o catálogo de máquinas. Por exemplo:
New-AcctIdentityPool -IdentityPoolName "mypool" -NamingScheme ACC## -NamingSchemeType "Numeric" -ZoneUid $zoneuid -Domain $domainName -OU "OU=HAAD Computers,DC=haad,DC=link" -IdentityType "HybridAzureAD" -DeviceManagement IntuneWithSCCM
New-ProvScheme -ProvisioningSchemeName <name> -ImageVersionSpecUid <preparedVersionSpecUid> -HostingUnitUid <hostingUnitUid> -IdentityPoolUid <IdentityPoolUid> [-CleanOnBoot] -NetworkMapping @{"0"="XDHyp:\HostingUnits\<hostingunitName>\<region>.region\virtualprivatecloud.folder\<resourcegroupName>.resourcegroup\<vnetName>.virtualprivatecloud\<sunNetName>.network"} -ServiceOffering <serviceofferingPath> [-MachineProfile <machineProfilePath>] [-CustomProperties <>]
Nota:
A inscrição de VMs não persistentes unidas ao Microsoft Entra híbrido no Microsoft Intune está atualmente em visualização.
Solução de problemas
Se as máquinas falharem ao se inscrever no Microsoft Intune ou falharem ao atingir o estado de cogestão, faça o seguinte:
-
Verificar licença do IntuneVerifique se o seu locatário do Microsoft Entra está atribuído com a licença Intune apropriada. Consulte Licenciamento do Microsoft Intune para os requisitos de licença do Microsoft Intune.
-
Verificar o status de ingresso híbrido do Microsoft EntraVerifique se as máquinas provisionadas pelo MCS estão ingressadas no Microsoft Entra híbrido. As máquinas não são elegíveis para co-gerenciamento se não estiverem ingressadas no Microsoft Entra híbrido. Consulte Solução de problemas para solucionar problemas de ingresso híbrido do Microsoft Entra.
-
Verificar a elegibilidade para co-gerenciamento
-
Verifique se as máquinas provisionadas pelo MCS estão corretamente atribuídas ao site esperado do Configuration Manager. Para obter o site atribuído, execute o seguinte comando PowerShell nas máquinas afetadas.
(New-Object -ComObject "Microsoft.SMS.Client").GetAssignedSite() -
Se nenhum site estiver atribuído à VM, use o seguinte comando para verificar se o site do Configuration Manager pode ser descoberto automaticamente.
(New-Object -ComObject "Microsoft.SMS.Client").AutoDiscoverSite() -
Certifique-se de que os limites e grupos de limites estejam bem configurados em seu ambiente do Configuration Manager se nenhum código de site puder ser descoberto. Consulte Considerações para obter detalhes.
-
Verifique
C:\Windows\CCM\Logs\ClientLocation.logpara quaisquer problemas de atribuição de site do cliente do Configuration Manager. -
Verifique os estados de co-gerenciamento das máquinas. Abra o painel de controle do Configuration Manager nas máquinas afetadas e vá para a guia Geral. O valor da propriedade Co-management deve ser Habilitado. Caso contrário, verifique os logs em
C:\Windows\CCM\Logs\CoManagementHandler.log.
-
-
Verificar o registro no IntuneAs máquinas podem falhar ao se registrar no Microsoft Intune mesmo que todos os pré-requisitos sejam satisfeitos. Verifique os logs de eventos do Windows em Logs de Aplicativos e Serviços > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider para problemas de registro no Intune.
Mais informações
-
Contas de serviço do Microsoft Entra