Microsoft Entra 混合加入的计算机身份的身份池
本文介绍了如何创建 Microsoft Entra 混合联接目录。
有关要求、限制和注意事项的信息，请参阅 Microsoft Entra 混合加入。
使用 Web Studio
以下信息是对 创建计算机目录 中指导的补充。要创建混合 Azure AD 联接目录，请遵循该文章中的一般指导，同时注意混合 Azure AD 联接目录的特定详细信息。
在目录创建向导中：
-
在计算机身份页面上，选择Microsoft Entra 混合联接。创建的计算机由组织拥有，并使用属于该组织的 Active Directory 域服务帐户登录。它们存在于云中和本地。
注意：
如果选择Microsoft Entra 混合联接作为身份类型，则目录中的每台计算机都必须具有相应的 AD 计算机帐户。
使用 PowerShell
以下是与 Web Studio 中的操作等效的 PowerShell 步骤。有关如何使用远程 PowerShell SDK 创建目录的信息，请参阅
<https://developer-docs.citrix.com/projects/citrix-virtual-apps-desktops-sdk/en/latest/creating-a-catalog/>。
本地 AD 加入的目录与 Microsoft Entra 混合加入的目录之间的区别在于身份池和计算机帐户的创建。
要创建身份池以及 Microsoft Entra 混合联接目录的帐户，请执行以下操作：
New-AcctIdentityPool -AllowUnicode -IdentityType "HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
New-AcctADAccount -IdentityPoolName "HybridAADJoinedCatalog" -Count 10 -ADUserName "corp\admin1" -ADPassword $password
Set-AcctAdAccountUserCert -IdentityPoolName "HybridAADJoinedCatalog" -All -ADUserName "corp\admin1" -ADPassword $password
注意：
$password 是具有写入权限的 AD 用户帐户的匹配密码。
用于创建 Microsoft Entra 混合加入的目录的所有其他命令与传统本地 AD 加入的目录相同。
查看 Microsoft Entra 混合联接过程的状态
在 Web Studio 中，当交付组中的 Microsoft Entra 混合联接计算机处于开机状态时，Microsoft Entra 混合联接过程的状态可见。要查看状态，请使用 搜索 识别这些计算机，然后对于每台计算机，检查下部窗格中详细信息选项卡上的计算机身份。以下信息可能出现在计算机身份中：
-
Microsoft Entra 混合加入
-
尚未联接到 Azure AD
注意：
-
计算机首次开机时，您可能会遇到 Microsoft Entra 混合联接延迟。这是由默认的计算机身份同步间隔（Microsoft Entra Connect 的 30 分钟）引起的。只有在计算机身份通过 Microsoft Entra Connect 同步到 Microsoft Entra ID 后，计算机才处于 Microsoft Entra 混合联接状态。
-
如果计算机未能处于 Microsoft Entra 混合加入状态，它们不会向 Delivery Controller 注册。它们的注册状态显示为“初始化”。
此外，使用 Web Studio，您可以了解计算机不可用的原因。为此，请在搜索节点上单击一台计算机，检查下部窗格中详细信息选项卡上的注册，然后阅读工具提示以获取更多信息。
故障排除
如果计算机未能进行 Microsoft Entra 混合加入，请执行以下操作：
-
检查计算机帐户是否已通过 Microsoft Entra ID 门户同步到 Microsoft Entra ID。如果已同步，则显示尚未联接到 Azure AD，表示注册状态待定。要将计算机帐户同步到 Microsoft Entra ID，请确保：
-
计算机帐户位于配置为与 Microsoft Entra ID 同步的 OU 中。即使计算机帐户位于配置为同步的 OU 中，没有 userCertificate 属性的计算机帐户也不会同步到 Microsoft Entra ID。
-
userCertificate 属性在计算机帐户中填充。使用 Active Directory Explorer 查看该属性。
-
计算机帐户创建后，Microsoft Entra Connect 必须至少同步过一次。如果没有，请在 Microsoft Entra Connect 计算机的 PowerShell 控制台中手动运行
Start-ADSyncSyncCycle -PolicyType Delta命令以触发立即同步。
-
-
通过查询 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrix 下的 DeviceKeyPairRestored 值，检查 Citrix 托管设备密钥对是否已正确推送到 Microsoft Entra 混合联接计算机。验证该值为 1。如果不是，可能的原因有：
-
与预配方案关联的身份池的
IdentityType未设置为HybridAzureAD。您可以通过运行Get-AcctIdentityPool来验证这一点。 -
计算机未通过计算机目录的相同预配方案进行预配。
-
计算机未加入本地域。加入本地域是 Microsoft Entra 混合加入的先决条件。
-
-
通过在 MCS 预配的计算机上运行
dsregcmd /status /debug命令来检查诊断消息。-
如果 Microsoft Entra 混合加入成功，命令行输出中的 AzureAdJoined 和 DomainJoined 为 YES。
-
如果不是，请参阅 Microsoft 文档以排查问题：
<https://docs.microsoft.com/zh-cn/azure/active-directory/devices/troubleshoot-hybrid-join-windows-current>。 -
如果您收到错误消息 Server Message: The user certificate is not found on the device with id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx，请运行以下 PowerShell 命令来修复用户证书：
Repair-AcctIdentity -IdentityAccountName TEST\VM1 -Target UserCertificate有关用户证书问题的更多信息，请参阅 CTX566696。
-