Microsoft Entra 加入的计算机身份的身份池

1. 新的资源位置
   • 导航到 Citrix Cloud™ 管理员 UI > 左上角汉堡菜单 > 资源位置。
   • 单击 + 资源位置。
   • 输入新资源位置的名称，然后单击 保存。
2. 创建托管连接。有关详细信息，请参阅 创建和管理连接 部分。在 Azure 上部署计算机时，请参阅 连接到 Azure Resource Manager。

使用 Studio

1. 在 映像 页面上：
   • 选择 2106 或更高版本作为功能级别。
   • 选择 使用计算机配置文件 并从列表中选择相应的计算机。
2. 在“计算机身份”页面上：
   1. 选择 Microsoft Entra 已加入。创建的计算机归组织所有，并使用属于该组织的 Microsoft Entra 帐户登录。它们仅存在于云中。
      注意：
      • Microsoft Entra 已加入身份类型要求目录的最低功能级别为版本 2106 或更高版本。
      • 计算机已加入与托管连接所绑定的租户关联的 Microsoft Entra 域。

   2. 单击“选择服务帐户”，然后从列表中选择一个可用的服务帐户。如果用于计算机身份将加入的 Microsoft Entra 租户的合适服务帐户不可用，您可以创建一个服务帐户。有关服务帐户的信息，请参阅Microsoft Entra 服务帐户。
      注意：
      您选择的服务帐户可能由于各种原因处于不健康状态。您可以转到“管理员 > 服务帐户”以查看详细信息 并根据建议修复问题。或者，您可以继续执行计算机目录操作，稍后修复问题。如果您不修复此问题，将生成过时的 Microsoft Entra 已加入或 Microsoft Intune 已注册设备，这可能会阻止计算机加入 Microsoft Entra。

   3. 单击“添加扩展属性”以将唯一的自定义数据直接存储在您的 Entra ID 设备对象上。在“添加扩展属性”页面上，添加“扩展属性”和“值”。
      注意：
      • 您最多可以添加 15 个扩展属性。
      • 名称必须唯一，且值不能为空。

   4. 选择一个 Active Directory 帐户选项：
      • 创建新的 Active Directory 帐户：
        • 如果您选择创建新的 Active Directory 帐户并使用现有身份池创建新帐户，则为这些帐户选择一个域并指定一个帐户命名方案。
        • 如果您选择创建新的 Active Directory 帐户并使用现有身份池创建新帐户，则从列表中选择一个身份池。
      • 使用现有 Active Directory 帐户：您可以浏览或从 CSV 文件导入，并重置密码或为所有帐户指定相同的密码。
   • 指定一个帐户命名方案。

使用 PowerShell

查看 Microsoft Entra 联接过程的状态

• 已加入 Microsoft Entra
• 未加入 Microsoft Entra ID

交付组

启用 Rendezvous

故障排除

• 检查是否为计算机启用了系统分配的托管标识。MCS 预配的计算机必须自动启用此功能。如果没有系统分配的托管标识，Microsoft Entra 加入过程将失败。如果未为 MCS 预配的计算机启用系统分配的托管标识，则可能的原因是：
  • IdentityType 与预配方案关联的身份池未设置为 AzureAD。您可以通过运行 Get-AcctIdentityPool 来验证这一点。
• 对于使用 VDA 2206 或更早版本主映像的目录，请检查计算机的 AADLoginForWindows 扩展的预配状态。如果 AADLoginForWindows 扩展不存在，可能的原因是：
  • IdentityType 与预配方案关联的身份池未设置为 AzureAD。您可以通过运行 Get-AcctIdentityPool 来验证这一点。
  • AADLoginForWindows 扩展安装被 Azure 策略阻止。
• 要排查 AADLoginForWindows 扩展预配失败问题，您可以在 MCS 预配的计算机上检查 C:\WindowsAzure\Logs\Plugins\Microsoft.Azure.ActiveDirectory.AADLoginForWindows 下的日志。
  注意：
  当使用 VDA 2209 或更高版本的主映像时，MCS 不依赖 AADLoginForWindows 扩展将 VM 加入 Microsoft Entra ID。在这种情况下，AADLoginForWindows 扩展将不会安装在 MCS 预配的计算机上。因此，无法收集 AADLoginForWindows 扩展预配日志。

• 通过在 MCS 预配的计算机上运行 dsregcmd /status 命令，检查 Microsoft Entra 加入状态和调试日志。
• 在 应用程序和服务日志 > Microsoft > Windows > 用户设备注册 下检查 Windows 事件日志。
• 通过运行 Get-Item -LiteralPath XDHyp:\Connections\${HostingConnectionName} 检查 Microsoft Entra 设备管理是否已正确配置。
  确保以下值：
  • CustomProperties 中的 AzureAdDeviceManagement 属性为 true
  • 元数据中的 Citrix_MCS_AzureAdDeviceManagement_PermissionGranted 属性为 true
  如果 Citrix_MCS_AzureAdDeviceManagement_PermissionGranted 为 false，则表示托管连接使用的应用程序的 ServicePrincipal 未被授予足够的权限来执行 Microsoft Entra 设备管理。要解决此问题，请为 ServicePrincipal 分配 云设备管理员 角色。

Microsoft Entra 动态安全组

• 使用 Microsoft Entra 动态安全组创建计算机目录
• 为 Microsoft Entra 目录启用安全组功能
• 删除具有 Microsoft Entra 联接设备安全组的计算机目录

在现有 Microsoft Entra ID 分配的安全组下创建 Microsoft Entra 动态安全组

• 获取安全组信息。
• 获取所有从本地 AD 服务器同步的 Microsoft Entra ID 分配的安全组，或可分配 Microsoft Entra 角色的已分配安全组。
• 获取所有 Microsoft Entra 动态安全组。
• 将 Microsoft Entra 动态安全组添加为 Microsoft Entra ID 分配组的成员。
• 当 Microsoft Entra 动态安全组与计算机目录一起删除时，删除 Microsoft Entra 动态安全组与 Microsoft Entra ID 分配的安全组之间的成员资格。

1. 打开 Microsoft Graph 浏览器 并登录到 Microsoft Entra ID。
2. 确保您已同意 Group.ReadWrite.All 和 GroupMember.ReadWrite.All 权限。
3. 从 Microsoft Graph Explorer 获取访问令牌。运行 PowerShell 命令时使用此访问令牌。

1. 获取访问令牌。
2. 从 Azure 门户查找组对象 ID。
3. 在 PowerShell 控制台中运行以下 PowerShell 命令：
   Get-AcctAzureADSecurityGroup
-AccessToken <token> -GroupId <GroupUid>
   或者，如果您使用的是 Microsoft Entra 服务帐户，请运行以下命令：
   Get-AcctAzureADSecurityGroup -ServiceAccountUid <guid> -GroupId <GroupUid>

1. 获取访问令牌。
2. 在 PowerShell 控制台中运行以下 PowerShell 命令：
   Get-AcctAzureADSecurityGroup
-AccessToken <token>
-Name <TargetGroupDisplayName>
   或者，如果您使用的是 Microsoft Entra 服务帐户，请运行以下命令：
   Get-AcctAzureADSecurityGroup
-ServiceAccountUid <guid>
-Name <TargetGroupDisplayName>

1. 获取访问令牌。
2. 在 PowerShell 控制台中运行以下 PowerShell 命令：
   Get-AcctAzureADSecurityGroup
-AccessToken <token>
-SearchString <displayNameSubString>
   或者，如果您正在使用 Microsoft Entra 服务帐户，请运行以下命令：
   Get-AcctAzureADSecurityGroup
-ServiceAccountUid <guid>
-SearchString <displayNameSubString>

1. 获取访问令牌。
2. 在 PowerShell 控制台中运行以下 PowerShell 命令：
   Get-AcctAzureADSecurityGroup
-AccessToken <token>
-Assigned true
   或者，如果您正在使用 Microsoft Entra 服务帐户，请运行以下命令：
   Get-AcctAzureADSecurityGroup
-ServiceAccountUid <guid>
-Assigned true

1. 获取访问令牌。
2. 在 PowerShell 控制台中运行以下 PowerShell 命令：
   Get-AcctAzureADSecurityGroup
-AccessToken <token>
-Dynamic true
   或者，如果您正在使用 Microsoft Entra 服务帐户，请运行以下命令：
   Get-AcctAzureADSecurityGroup
-ServiceAccountUid <guid>
-Dynamic true

1. 获取访问令牌。
2. 在 PowerShell 控制台中运行以下 PowerShell 命令：
   Get-AcctAzureADSecurityGroup
-AccessToken <token>
-Assigned true
-MaxRecordCount 10
   或者，如果您正在使用 Microsoft Entra 服务帐户，请运行以下命令：
   Get-AcctAzureADSecurityGroup
-ServiceAccountUid <guid>
-Assigned true
-MaxRecordCount 10

1. 获取访问令牌。
2. 在 PowerShell 控制台中运行以下 PowerShell 命令：
   Add-AcctAzureADSecurityGroupMember
-AccessToken <token>
-GroupId <ASG-Id>
-RefGroupId <DSG-Id>
   或者，如果您使用的是 Microsoft Entra 服务帐户，请运行以下命令：
   Add-AcctAzureADSecurityGroupMember
-ServiceAccountUid <guid>
-GroupId <ASG-Id>
-RefGroupId <DSG-Id>

1. 获取访问令牌。
2. 在 PowerShell 控制台中运行以下 PowerShell 命令：
   Get-AcctAzureADSecurityGroupMember
-AccessToken <token>
-GroupId <ASG-Id>
   或者，如果您使用的是 Microsoft Entra 服务帐户，请运行以下命令：
   Get-AcctAzureADSecurityGroupMember
-ServiceAccountUid <guid>
-GroupId <ASG-Id>
   注意：
   Get-AcctAzureADSecurityGroupMember 仅提供 Microsoft Entra ID 分配的安全组下安全组类型的直接成员。

1. 获取访问令牌。
2. 在 PowerShell 控制台中运行以下 PowerShell 命令：
   Remove-AcctIdentityPool
-IdentityPoolName "SecurityGroupCatalog"
-AzureADAccessToken $AzureADAccessToken
   或者，如果您使用的是 Microsoft Entra 服务帐户，请运行以下命令：
   Remove-AcctIdentityPool
-ServiceAccountUid <guid>
-IdentityPoolName "SecurityGroupCatalog"

修改 Microsoft Entra 动态安全组名称

1. 打开 PowerShell 窗口。
2. 运行 asnp citrix* 以加载 Citrix 专用的 PowerShell 模块。
3. 运行命令 Set-AcctIdentityPool -AzureAdSeurityGroupName [DSG-Name]。

更多信息

• 用于计算机身份管理的服务帐户
• Microsoft Entra 服务帐户