Pool de identidades de identidade de máquina híbrida unida ao Microsoft Entra

Last published : Nov 13, 2026
Este artigo descreve como criar catálogos híbridos ingressados no Microsoft Entra.
Para obter informações sobre requisitos, limitações e considerações, consulte Microsoft Entra híbrido unido.
Related information
Pools de identidade de diferentes tipos de junção de identidade de máquina

Usar o Web Studio

As informações a seguir são um suplemento à orientação em Criar catálogos de máquinas. Para criar catálogos híbridos ingressados no Azure AD, siga a orientação geral desse artigo, observando os detalhes específicos dos catálogos híbridos ingressados no Azure AD.
No assistente de criação de catálogo:
  • Na página Identidades da Máquina, selecione Microsoft Entra híbrido ingressado. As máquinas criadas são de propriedade de uma organização e são conectadas com uma conta do Active Directory Domain Services que pertence a essa organização. Elas existem na nuvem e no local.
Observação:
Se você selecionar Microsoft Entra híbrido ingressado como o tipo de identidade, cada máquina no catálogo deve ter uma conta de computador AD correspondente.

Usar PowerShell

A seguir estão as etapas do PowerShell equivalentes às operações no Web Studio. Para obter informações sobre como criar um catálogo usando o SDK do PowerShell Remoto, consulte <https://developer-docs.citrix.com/projects/citrix-virtual-apps-desktops-sdk/en/latest/creating-a-catalog/>.
A diferença entre catálogos unidos ao AD local e catálogos híbridos do Microsoft Entra reside na criação do pool de identidades e das contas de máquina.
Para criar um pool de identidades junto com as contas para catálogos híbridos ingressados no Microsoft Entra:
New-AcctIdentityPool -AllowUnicode -IdentityType "HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
New-AcctADAccount -IdentityPoolName "HybridAADJoinedCatalog" -Count 10 -ADUserName "corp\admin1" -ADPassword $password
Set-AcctAdAccountUserCert -IdentityPoolName "HybridAADJoinedCatalog" -All -ADUserName "corp\admin1" -ADPassword $password
Observação:
$password é a senha correspondente para uma conta de usuário AD com Permissões de Gravação.
Todos os outros comandos usados para criar catálogos unidos ao Microsoft Entra híbrido são os mesmos que para catálogos tradicionais unidos ao AD local.

Visualizar o status do processo de ingresso híbrido do Microsoft Entra

No Web Studio, o status do processo de ingresso híbrido do Microsoft Entra é visível quando as máquinas híbridas ingressadas no Microsoft Entra em um grupo de entrega estão em estado ligado. Para visualizar o status, use Pesquisar para identificar essas máquinas e, em seguida, para cada uma, verifique Identidade da Máquina na guia Detalhes no painel inferior. As seguintes informações podem aparecer em Identidade da Máquina:
  • Unido hibridamente ao Microsoft Entra
  • Ainda não ingressado no Azure AD
Observação:
  • Você pode experimentar um ingresso híbrido atrasado do Microsoft Entra quando a máquina é ligada inicialmente. Isso é causado pelo intervalo de sincronização de identidade da máquina padrão (30 minutos do Microsoft Entra Connect). A máquina está no estado híbrido ingressado no Microsoft Entra somente depois que as identidades da máquina são sincronizadas com o Microsoft Entra ID através do Microsoft Entra Connect.
  • Se as máquinas não conseguirem entrar no estado de junção híbrida do Microsoft Entra, elas não serão registradas no Delivery Controller. O status de registro delas aparece como Inicialização.
Além disso, usando o Web Studio, você pode descobrir por que as máquinas estão indisponíveis. Para fazer isso, clique em uma máquina no nó Pesquisar, verifique Registro na guia Detalhes no painel inferior e, em seguida, leia a dica de ferramenta para obter informações adicionais.

Solução de problemas

Se as máquinas não conseguirem ser unidas hibridamente ao Microsoft Entra, faça o seguinte:
  • Verifique se a conta da máquina foi sincronizada com o Microsoft Entra ID através do portal do Microsoft Entra ID. Se sincronizada, Ainda não ingressado no Azure AD aparece, indicando o status de registro pendente.
    Para sincronizar contas de máquina com o Microsoft Entra ID, certifique-se de que:
    • A conta da máquina está na UO configurada para ser sincronizada com o Microsoft Entra ID. Contas de máquina sem o atributo userCertificate não são sincronizadas com o Microsoft Entra ID, mesmo que estejam na UO configurada para ser sincronizada.
    • O atributo userCertificate é preenchido na conta da máquina. Use o Active Directory Explorer para visualizar o atributo.
    • O Microsoft Entra Connect deve ter sido sincronizado pelo menos uma vez após a criação da conta da máquina. Caso contrário, execute manualmente o comando Start-ADSyncSyncCycle -PolicyType Delta no console do PowerShell da máquina do Microsoft Entra Connect para acionar uma sincronização imediata.
  • Verifique se o par de chaves do dispositivo gerenciado pelo Citrix para o ingresso híbrido do Microsoft Entra foi corretamente enviado para a máquina consultando o valor de DeviceKeyPairRestored em HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrix.
    Verifique se o valor é 1. Caso contrário, as possíveis razões são:
    • IdentityType do pool de identidades associado ao esquema de provisionamento não está definido como HybridAzureAD. Você pode verificar isso executando Get-AcctIdentityPool.
    • A máquina não foi provisionada usando o mesmo esquema de provisionamento do catálogo de máquinas.
    • A máquina não está ingressada no domínio local. O ingresso no domínio local é um pré-requisito do Microsoft Entra hybrid joined.
  • Verifique as mensagens de diagnóstico executando o comando dsregcmd /status /debug na máquina provisionada pelo MCS.
    • Se o Microsoft Entra hybrid join for bem-sucedido, AzureAdJoined e DomainJoined serão SIM na saída da linha de comando.
    • Caso contrário, consulte a documentação da Microsoft para solucionar os problemas: <https://docs.microsoft.com/pt-br/azure/active-directory/devices/troubleshoot-hybrid-join-windows-current>.
    • Se você receber a mensagem de erro Server Message: The user certificate is not found on the device with id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx, então execute o seguinte comando PowerShell para reparar o certificado do usuário:
      Repair-AcctIdentity -IdentityAccountName TEST\VM1 -Target UserCertificate
      Para obter mais informações sobre o problema do certificado do usuário, consulte CTX566696.