启用 Microsoft Intune 的计算机身份的身份池

Last published : Oct 24, 2026
本文介绍如何使用 Citrix DaaS 创建启用 Microsoft Intune 的计算机身份的身份池。
您可以创建：
有关要求、限制和注意事项的信息，请参阅Microsoft Intune。
Related information
不同计算机身份加入类型的身份池

创建已加入 Microsoft Entra 并注册到 Microsoft Intune 的目录

您可以使用 Studio 和 PowerShell 为持久和非持久 VM 创建已加入 Microsoft Entra 并注册到 Microsoft Intune 的目录。
有关要求、限制和注意事项的信息，请参阅：

使用 Studio

以下信息是对创建计算机目录中指南的补充。
在目录创建向导中：
  • 在计算机身份页面上：
    • 选择 Microsoft Entra joined，然后选择 Enroll the machines in Microsoft Intune。如果启用，请将计算机注册到 Microsoft Intune 进行管理。您可以创建已注册到 Microsoft Intune 的 Microsoft Entra joined 目录，用于持久和非持久的单会话和多会话 VM。但是，对于非持久 VM，VDA 版本必须为 2407 或更高版本。
    • 单击 Select service account，然后从列表中选择一个可用的服务帐户。如果 Microsoft Entra 租户没有可用于加入计算机身份的合适服务帐户，您可以创建一个服务帐户。有关服务帐户的信息，请参阅Microsoft Entra 服务帐户。
      注意：
      您选择的服务帐户可能由于各种原因处于不健康状态。您可以转到 Administrators > Service Accounts 以查看详细信息 并根据建议修复问题。或者，您可以继续执行计算机目录操作，稍后修复问题。如果您不修复此问题，将生成过时的 Microsoft Entra joined 或 Microsoft Intune 注册设备，这可能会阻止计算机加入 Microsoft Entra。
    • 单击 Add Extension Attributes 以将唯一的自定义数据直接存储在您的 Entra ID 设备对象上。在 Add Extension Attributes 页面上，添加 Extension attributes 和 Value。
      注意：
      • 您最多可以添加 15 个扩展属性。
      • 名称和值必须唯一且不能为空。

添加或修改扩展属性

要更改或向现有 MCS 计算机目录添加其他扩展属性，或者向没有服务帐户的 MCS 目录添加扩展属性，请使用 Edit Machine Catalog 向导。
  • 要更改或添加其他扩展属性，请导航到 Microsoft Entra Device Extension Attributes 页面。单击铅笔图标，然后添加或更新扩展属性。
  • 要向没有 Microsoft Entra 服务帐户的 MCS 目录添加扩展属性：
    1. 导航到 Service Account 页面。为 Microsoft Intra ID 选择一个 Microsoft Entra 服务帐户。
    2. 转到 Microsoft Entra 设备扩展属性页面，单击 Add Extension Attributes。

使用 PowerShell

以下是与 Studio 中的操作等效的 PowerShell 步骤。
要使用远程 PowerShell SDK 在 Microsoft Intune 中注册计算机，请在 New-AcctIdentityPool 中使用 DeviceManagementType 参数。此功能要求目录已加入 Microsoft Entra，并且 Microsoft Entra ID 拥有正确的 Microsoft Intune 许可证。例如：
New-AcctIdentityPool -AllowUnicode -DeviceManagementType "Intune" IdentityType="AzureAD" -WorkgroupMachine -IdentityPoolName "AzureADJoinedCatalog" -NamingScheme "AzureAD-VM-##" -NamingSchemeType "Numeric" -ServiceAccountUid $serviceAccountUid -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
例如：要创建具有指定扩展属性的新身份池并将其与服务帐户关联，请运行以下命令：
New-AcctIdentityPool -IdentityPoolName MyPool -NamingScheme ACC#### -NamingSchemeType Numeric -Domain "abc.local" -IdentityType AzureAD -ServiceAccountUid $serviceAccountUid -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"}
虚拟机首次开机并加入 Microsoft Entra ID 后，它会将其 Entra ID deviceId 报告给 MCS。
例如：要检查 EntraIDDeviceID，请运行 Get-AcctADAccount 或 Get-AcctIdentity。
Get-AcctADAccount -IdentityPoolName MyPool
重启后，对于持久性虚拟机，EntraIDDeviceID 保持不变。对于非持久性虚拟机，每次重启后都会有一个新的 EntraIDDeviceID。
注意：
当您从目录中删除虚拟机但未从 Azure 中删除时，MCS 会自动删除关联的扩展属性。
例如：要编辑现有目录的扩展属性，请运行以下命令：
注意：
  • 将现有目录虚拟机升级到 VDA 2511 或更高版本后，需要重新启动。此重新启动允许虚拟机将其 Entra ID deviceId 报告给 MCS，从而使 MCS 能够配置虚拟机的扩展属性。
  • 现有目录应具有具有“Device.ReadWrite.All”权限的 AzureAD 类型服务帐户。
要添加一些新属性：
Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"}
要删除一些现有属性
Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{}
或
Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{extensionAttribute1 = ""; extensionAttribute2 = ""}
Set-AcctIdentityPool 还会更新已加入 Entra ID 并在其身份中具有 EntraIDDeviceID 值的 VM 的 Entra ID 设备的扩展属性。
例如：要使用准备好的映像创建已注册到 Microsoft Intune 的 Microsoft Entra 目录：
New-ProvScheme -ProvisioningSchemeName <name> -ImageVersionSpecUid <preparedVersionSpecUid> -HostingUnitUid <hostingUnitUid> -IdentityPoolUid <IdentityPoolUid> [-CleanOnBoot] -NetworkMapping @{"0"="XDHyp:\HostingUnits\<hostingunitName>\<region>.region\virtualprivatecloud.folder\<resourcegroupName>.resourcegroup\<vnetName>.virtualprivatecloud\<sunNetName>.network"} -ServiceOffering <serviceofferingPath> [-MachineProfile <machineProfilePath>] [-CustomProperties <>]

故障排除

如果计算机无法注册到 Microsoft Intune，请执行以下操作：
  • 检查 MCS 预配的计算机是否已加入 Microsoft Entra。如果计算机未加入 Microsoft Entra，则无法注册到 Microsoft Intune。请参阅故障排除 以解决 Microsoft Entra 加入问题。
  • 检查您的 Microsoft Entra 租户是否已分配适当的 Intune 许可证。有关 Microsoft Intune 的许可证要求，请参阅 <https://learn.microsoft.com/zh-cn/mem/intune/fundamentals/licenses>。
  • 对于使用 VDA 2206 或更早版本主映像的目录，请检查计算机的 AADLoginForWindows 扩展的预配状态。如果 AADLoginForWindows 扩展不存在，可能的原因是：
    • 与预配方案关联的身份池的 IdentityType 未设置为 AzureAD，或者 DeviceManagementType 未设置为 Intune。您可以通过运行 Get-AcctIdentityPool 来验证这一点。
    • Azure 策略已阻止 AADLoginForWindows 扩展的安装。
  • 要解决 AADLoginForWindows 扩展预配失败问题，您可以在 MCS 预配的计算机上检查 C:\WindowsAzure\Logs\Plugins\Microsoft.Azure.ActiveDirectory.AADLoginForWindows 下的日志。
    注意：
    当使用 VDA 2209 或更高版本的主映像时，MCS 不依赖于 AADLoginForWindows 扩展将 VM 加入 Microsoft Entra ID 并注册到 Microsoft Intune。在这种情况下，AADLoginForWindows 扩展不会安装在 MCS 预配的计算机上。因此，无法收集 AADLoginForWindows 扩展预配日志。
  • 检查 Windows 事件日志，路径为 应用程序和服务日志 > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider。
  • 您选择的服务帐户可能由于各种原因处于不正常状态。您可以转到管理员 > 服务帐户以查看详细信息 并根据建议修复问题。如果您不修复此问题，将生成过时的已加入 Microsoft Entra 或已注册 Microsoft Intune 的设备，这可能会阻止计算机加入 Microsoft Entra。

创建已注册到 Microsoft Intune 的 Microsoft Entra 混合加入目录

您可以为已注册到 Microsoft Intune 的 Microsoft Entra 混合加入目录创建启用共同管理的目录，用于持久性单会话和多会话 VM。您可以使用 Studio 和 PowerShell 创建启用共同管理的目录。
有关要求、限制和注意事项的信息，请参阅：

使用 Studio

以下信息是对 创建计算机目录 中指南的补充。
在“计算机目录设置”向导中：
  • 在“计算机身份”页面上，选择“Microsoft Entra 混合加入”，然后选择“使用 Configuration Manager 将计算机注册到 Microsoft Intune”。通过此操作，Configuration Manager 和 Microsoft Intune（即共同管理）将管理 VM。
  • 单击“添加扩展属性”以将唯一的自定义数据直接存储在您的 Entra ID 设备对象上。在“添加扩展属性”页面上，添加“扩展属性”和“值”。
    注意：
    • 您最多可以添加 15 个扩展属性。
    • 名称和值必须唯一且不能为空。

添加或修改扩展属性

要更改或向现有 MCS 计算机目录添加其他扩展属性，或向没有服务帐户的 MCS 目录添加扩展属性，请使用“编辑计算机目录”向导。
  • 要更改或添加其他扩展属性，请导航到“Microsoft Entra 设备扩展属性”页面。单击铅笔图标，然后添加或更新扩展属性。
  • 若要在没有 Microsoft Entra 服务帐户的情况下向 MCS 目录添加扩展属性：
    1. 导航到服务帐户页面。为 Microsoft Intra ID 选择一个 Microsoft Entra 服务帐户。
    2. 转到 Microsoft Entra 设备扩展属性页面，单击添加扩展属性。

使用 PowerShell

以下是与 Studio 中的步骤等效的 PowerShell 步骤。
要使用 Remote PowerShell SDK 通过 Configuration Manager 将计算机注册到 Microsoft Intune，请在 New-AcctIdentityPool 中使用 DeviceManagementType 参数。此功能要求目录已加入 Microsoft Entra 混合，并且 Microsoft Entra ID 拥有正确的 Microsoft Intune 许可证。
Microsoft Entra 混合加入目录与启用共同管理的目录之间的区别在于身份池的创建。例如：
New-AcctIdentityPool -AllowUnicode -DeviceManagementType "IntuneWithSCCM" IdentityType="HybridAzureAD" -IdentityPoolName "CoManagedCatalog" -NamingScheme "CoManaged-VM-##" -NamingSchemeType "Numeric" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
例如：要创建具有指定扩展属性的新身份池并将其与服务帐户关联，请运行以下命令：
New-AcctIdentityPool -IdentityPoolName HybridAzureAD -NamingScheme ACC#### -NamingSchemeType Numeric -Domain "abc.local" -IdentityType HybridAzureAD -ServiceAccountUid $serviceAccountUid -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"}
当虚拟机首次开机并加入 Microsoft Entra ID 后，它会将其 Entra ID deviceId 报告给 MCS。
例如：要检查 EntraIDDeviceID，请运行 Get-AcctADAccount 或 Get-AcctIdentity。
Get-AcctADAccount -IdentityPoolName MyPool
重启后，对于持久性和非持久性虚拟机，EntraIDDeviceID 保持不变。
注意：
当您从目录中删除虚拟机但未从 Azure 中删除时，MCS 会自动删除关联的设备 ID 和扩展属性。
例如：要编辑现有目录的扩展属性，请运行以下命令：
注意：
  • 将现有目录 VM 升级到 VDA 2511 或更高版本后，需要重新启动。此重新启动允许 VM 将其 Entra ID deviceId 报告给 MCS，从而使 MCS 能够配置 VM 的扩展属性。
  • 现有目录应具有 AzureAD 类型的服务帐户，并具有“Device.ReadWrite.All”权限。
要添加一些新属性：
Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"}
要删除一些现有属性
Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{}
或
Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{extensionAttribute1 = ""; extensionAttribute2 = ""}
Set-AcctIdentityPool 还会更新已加入 Entra ID 并在其身份中拥有 EntraIDDeviceID 值的 VM 的 Entra ID 设备的扩展属性。
您还可以使用准备好的映像创建已注册到 Microsoft Intune 的持久混合 Microsoft Entra 目录。有关创建映像定义、映像版本和准备好的映像版本规范的完整 PowerShell 命令集，请参阅：
  • Azure 虚拟化环境：使用 PowerShell。
  • VMware 虚拟化环境：使用 PowerShell
创建准备好的映像版本规范后，创建身份池和计算机目录。例如：
New-AcctIdentityPool -IdentityPoolName "mypool" -NamingScheme ACC##  -NamingSchemeType "Numeric"  -ZoneUid $zoneuid -Domain $domainName -OU "OU=HAAD Computers,DC=haad,DC=link" -IdentityType "HybridAzureAD" -DeviceManagement IntuneWithSCCM

New-ProvScheme -ProvisioningSchemeName <name> -ImageVersionSpecUid <preparedVersionSpecUid> -HostingUnitUid <hostingUnitUid> -IdentityPoolUid <IdentityPoolUid> [-CleanOnBoot] -NetworkMapping @{"0"="XDHyp:\HostingUnits\<hostingunitName>\<region>.region\virtualprivatecloud.folder\<resourcegroupName>.resourcegroup\<vnetName>.virtualprivatecloud\<sunNetName>.network"} -ServiceOffering <serviceofferingPath> [-MachineProfile <machineProfilePath>] [-CustomProperties <>]
注意：
将 Microsoft Entra 混合加入的非持久性 VM 注册到 Microsoft Intune 目前处于预览阶段。

故障排除

如果计算机未能注册到 Microsoft Intune 或未能达到共同管理状态，请执行以下操作：
  • 检查 Intune 许可证
    检查您的 Microsoft Entra 租户是否已分配适当的 Intune 许可证。有关 Microsoft Intune 的许可证要求，请参阅 Microsoft Intune 许可。
  • 检查混合 Microsoft Entra 联接状态
    检查 MCS 预配的计算机是否已加入 Microsoft Entra 混合联接。如果未加入 Microsoft Entra 混合联接，则计算机不符合共同管理的条件。有关混合 Microsoft Entra 联接问题的疑难解答，请参阅 疑难解答。
  • 检查共同管理资格
    • 检查 MCS 预配的计算机是否已正确分配到预期的 Configuration Manager 站点。要获取分配的站点，请在受影响的计算机上运行以下 PowerShell 命令。
      (New-Object -ComObject "Microsoft.SMS.Client").GetAssignedSite()
    • 如果未向 VM 分配站点，请使用以下命令检查 Configuration Manager 站点是否可以自动发现。
      (New-Object -ComObject "Microsoft.SMS.Client").AutoDiscoverSite()
    • 如果无法发现站点代码，请确保在 Configuration Manager 环境中正确配置了边界和边界组。有关详细信息，请参阅 注意事项。
    • 检查 C:\Windows\CCM\Logs\ClientLocation.log 以了解任何 Configuration Manager 客户端站点分配问题。
    • 检查计算机的共同管理状态。在受影响的计算机上打开Configuration Manager 控制面板，然后转到常规选项卡。共同管理属性的值必须为已启用。如果不是，请检查 C:\Windows\CCM\Logs\CoManagementHandler.log 下的日志。
  • 检查 Intune 注册
    即使满足所有先决条件，计算机也可能无法注册到 Microsoft Intune。请检查 应用程序和服务日志 > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider 下的 Windows 事件日志，以查找 Intune 注册问题。

更多信息