Contas de serviço do Microsoft Entra

Last published : Nov 03, 2026
Uma conta de serviço do Microsoft Entra é um contêiner para armazenar o ID do aplicativo e o segredo de um principal de serviço do Microsoft Entra, que possui permissões suficientes para gerenciar dispositivos ingressados no Microsoft Entra ou registrados no Microsoft Intune. O MCS pode usar essa conta de serviço para limpar automaticamente quaisquer dispositivos Microsoft Entra ou Microsoft Intune obsoletos gerados durante o ciclo de vida das máquinas provisionadas.
Related information
Contas de serviço

Permissões necessárias para um principal de serviço do Microsoft Entra

As permissões necessárias para um principal de serviço do Microsoft Entra usado por uma conta de serviço dependem dos recursos habilitados para a conta de serviço.
  • Para a conta de serviço com capacidade de gerenciamento de dispositivos ingressados no Microsoft Entra, o principal de serviço do Microsoft Entra deve ter a permissão Device.ReadWrite.All em seu locatário do Microsoft Entra.
  • Para a conta de serviço com capacidade de gerenciamento de dispositivos registrados no Microsoft Intune, o principal de serviço do Microsoft Entra deve ter a permissão DeviceManagementManagedDevices.ReadWrite.All em seu locatário do Microsoft Entra.
  • Para a conta de serviço com capacidade de gerenciamento de grupo de segurança do Microsoft Entra, o principal de serviço do Microsoft Entra deve ter as permissões Group.ReadWrite.All e GroupMember.ReadWrite.All em seu locatário do Microsoft Entra.

Limitação

O controle de acesso baseado em função do Microsoft Entra não é atualmente suportado. Portanto, atribua as permissões do Microsoft Entra diretamente ao principal de serviço.

Criar uma conta de serviço do Microsoft Entra

Use o Studio ou o PowerShell para criar uma conta de serviço do Microsoft Entra.

Pré-requisito

Para criar uma conta de serviço do Microsoft Entra, certifique-se de concluir a seguinte tarefa:
  • Crie um principal do Microsoft Entra em seu locatário do Microsoft Entra com permissões suficientes com base nos recursos que você deseja habilitar para a conta de serviço.

Usar o Studio

  1. No bloco DaaS, clique em Gerenciar.
  2. No painel esquerdo, selecione Administradores.
  3. Na guia Contas de Serviço, clique em Criar Conta de Serviço.
  4. Na página Tipo de Identidade, selecione Microsoft Entra ID. Uma nova opção para rotear o tráfego é habilitada.
    1. Marque a caixa de seleção Roteie o tráfego por meio dos Citrix Cloud Connectors.
    2. Selecione as zonas disponíveis para rotear o tráfego e clique em Avançar.
  5. Na página Credenciais, insira o ID do locatário do Microsoft Entra, o ID do aplicativo e o segredo do cliente e defina a data de expiração da credencial.
  6. Escolha os recursos para a conta de serviço.
  7. Selecione um ou mais escopos para a conta de serviço.
  8. Insira um nome amigável e uma descrição (opcional) para a conta de serviço.
  9. Clique em Concluir para finalizar a criação.
Nota:
  • O recurso de gerenciamento de dispositivos ingressados no Microsoft Entra é selecionado por padrão e você não pode desmarcá-lo.
  • Para usar um aplicativo Microsoft Entra multilocatário, que é convidado para o seu locatário, o ID do locatário do Microsoft Entra que você inseriu deve ser o seu próprio ID de locatário, e não o ID do locatário inicial do aplicativo.

Usar PowerShell

Alternativamente, você pode usar comandos PowerShell para criar uma conta de serviço do Microsoft Entra. Por exemplo:
$tenantId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
$applicationId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
$applicationSecret = xxxxxxxxxxxxxxx
$credential = ConvertTo-SecureString -String $applicationSecret -AsPlainText -Force

New-AcctServiceAccount -IdentityProviderType AzureAD -IdentityProviderIdentifier $tenantId -AccountId $applicationId -AccountSecret $credential -SecretExpiryTime 2030/08/15 -Capabilities @("AzureADDeviceManagement","IntuneDeviceManagement") -DisplayName 'MyApplication' -Description 'Service account for Microsoft Entra tenant'

Migrar o gerenciamento de dispositivos unidos ao Microsoft Entra para a conta de serviço

Anteriormente, a Citrix® fornecia uma opção para habilitar o gerenciamento de dispositivos unidos ao Microsoft Entra ao criar ou editar uma conexão de hospedagem com o Microsoft Azure Resource Manager. O MCS usava as permissões do principal de serviço do Microsoft Entra (SPN de provisionamento) armazenadas junto com a conexão de hospedagem para gerenciar o dispositivo unido ao Microsoft Entra obsoleto. Com as contas de serviço, você pode usar um principal de serviço do Microsoft Entra dedicado (SPN de gerenciamento de identidade) armazenado junto com uma conta de serviço para gerenciar dispositivos unidos ao Microsoft Entra ou registrados no Microsoft Intune.
A Citrix recomenda migrar do gerenciamento de dispositivos baseado em conexão de hospedagem para o gerenciamento de dispositivos baseado em conta de serviço para separar a responsabilidade do SPN de provisionamento e do SPN de gerenciamento de identidade.
Para quaisquer conexões de hospedagem existentes que já estejam habilitadas com o gerenciamento de dispositivos unidos ao Microsoft Entra, você pode desativá-lo da seguinte forma:
  1. No Studio, selecione Hospedagem no painel esquerdo.
  2. Selecione a conexão e, em seguida, selecione Editar Conexão na barra de ações.
  3. Na página Propriedades da Conexão, desmarque a caixa de seleção Habilitar gerenciamento de dispositivos unidos ao Microsoft Entra.
  4. Clique em Salvar para aplicar as alterações.
Nota:
Atualmente, você não pode habilitar o gerenciamento de dispositivos unidos ao Microsoft Entra ao criar uma nova conexão de hospedagem.

Encaminhar o tráfego de gerenciamento de dispositivos Microsoft Entra e gerenciamento de grupos de segurança

Crie e modifique uma conta de serviço do Microsoft Entra para rotear o tráfego de gerenciamento de dispositivos Microsoft Entra e gerenciamento de grupos de segurança do Delivery Controller para o Microsoft Entra ID através do Citrix Cloud Connector.
Inclua a seguinte propriedade personalizada ao criar ou modificar uma conta de serviço do Microsoft Entra:
CustomProperties: {"ProxyHypervisorTrafficThroughConnector":true,"ZoneUid":["<zone uid>"]}
Observação:
O $ZoneUid é o Uid da zona (local do recurso) para onde o tráfego de rede deve ser roteado. Obtenha o Uid do comando Get-ConfigZone.
Por exemplo:
  • Para criar uma nova conta de serviço do Microsoft Entra:
    $tenantId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
    $applicationId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
    $applicationSecret = xxxxxxxxxxxxxxx
    $SecureString = ConvertTo-SecureString -String "Secretstring" -AsPlainText -Force
    New-AcctServiceAccount -IdentityProviderType AzureAD -IdentityProviderIdentifier "<Identity provider ID>" -AccountId "<Account ID>" -AccountSecret $SecureString -SecretExpiryTime <yyyy-mm-dd>  -Capabilities @("AzureADDeviceManagement","IntuneDeviceManagement") -DisplayName "<Display name>" -CustomProperties '{"ProxyHypervisorTrafficThroughConnector":true,"ZoneUid":["<Zone UID>"]}'
  • Para modificar uma conta de serviço do Microsoft Entra existente:
    Set-AcctServiceAccount -ServiceAccountUid $serviceAccountUid -CustomProperties '{"ProxyHypervisorTrafficThroughConnector":true,"ZoneUid":[$ZoneUid]}'

Próximos passos

  • Para criar catálogos unidos ao Microsoft Entra, consulte Pool de identidades de identidade de máquina unida ao Microsoft Entra.
  • Para gerenciar contas de serviço, consulte Gerenciar contas de serviço.