Produktdokumentation
Citrix DaaS
PDF anzeigen

Azure AD-Dienstkonten

September 15, 2025
Beitrag von: 
C

Ein Azure AD-Dienstkonto ist ein Container zum Speichern der Anwendungs-ID und des Geheimnisses eines Azure AD-Dienstprinzipals, der über ausreichende Berechtigungen zum Verwalten von in Azure AD eingebundenen oder bei Microsoft Intune registrierten Geräten verfügt. MCS kann dieses Dienstkonto verwenden, um alle veralteten Azure AD- oder Microsoft Intune-Geräte, die während des Lebenszyklus der bereitgestellten Maschinen generiert wurden, automatisch zu reinigen.

Für einen Azure AD-Dienstprinzipal erforderliche Berechtigungen

Die Berechtigungen, die für einen Azure AD-Dienstprinzipal erforderlich sind, der von einem Dienstkonto verwendet wird, hängen von den für das Dienstkonto aktivierten Funktionen ab.

  • Für das Dienstkonto mit der Verwaltungsfunktion für mit Azure AD verbundene Geräte muss der Azure AD-Dienstprinzipal über die Device.ReadWrite.All-Berechtigung in Ihrem Azure AD-Mandanten verfügen.
  • Für das Dienstkonto mit der in Microsoft Intune registrierten Geräteverwaltungsfunktion muss der Azure AD-Dienstprinzipal über die DeviceManagementManagedDevices.ReadWrite.All-Berechtigung in Ihrem Azure AD-Mandanten verfügen.
  • Für das Dienstkonto mit Azure AD-Sicherheitsgruppenverwaltungsfunktion muss der Azure AD-Dienstprinzipal in Ihrem Azure AD-Mandanten über die Berechtigungen Group.ReadWrite.All und GroupMember.ReadWrite.All verfügen.

Einschränkung

Die rollenbasierte Azure AD-Zugriffskontrolle wird derzeit nicht unterstützt. Weisen Sie die Azure AD-Berechtigungen daher direkt dem Dienstprinzipal zu.

Azure AD-Dienstkonto erstellen

Verwenden Sie Studio oder PowerShell, um ein Azure AD-Dienstkonto zu erstellen.

Voraussetzung

Um ein Azure AD-Dienstkonto zu erstellen, müssen Sie die folgende Aufgabe ausführen:

  • Erstellen Sie in Ihrem Azure AD-Mandanten einen Azure AD-Prinzipal mit ausreichenden Berechtigungen, basierend auf den Funktionen, mit denen Sie das Dienstkonto aktivieren möchten.

Studio verwenden

  1. Klicken Sie in der DaaS-Kachel auf Verwalten.
  2. Wählen Sie im linken Bereich Administrators aus.
  3. Klicken Sie in der Registerkarte Dienstkonten auf Dienstkonto erstellen.
  4. Wählen Sie auf der Seite Identitätstyp Azure Active Directory aus. Eine neue Option zum Weiterleiten des Datenverkehrs ist aktiviert.
    1. Aktivieren Sie das Kontrollkästchen Datenverkehr über Citrix Cloud Connectors weiterleiten.
    2. Wählen Sie die für die Verkehrsführung verfügbaren Zonen aus und klicken Sie auf Weiter.
  5. Geben Sie auf der Seite Anmeldeinformationen die Azure AD-Mandanten-ID, die Anwendungs-ID und das Clientgeheimnis ein und legen Sie das Ablaufdatum der Anmeldeinformationen fest.
  6. Wählen Sie die Funktionen für das Dienstkonto aus.
  7. Wählen Sie mindestens einen Bereich für das Dienstkonto aus.
  8. Geben Sie einen benutzerfreundlichen Namen und eine Beschreibung (optional) für das Dienstkonto ein.
  9. Klicken Sie auf Fertigstellen, um die Erstellung abzuschließen.

Hinweis

  • Die Funktion zur Verwaltung verbundener Geräte in Azure AD ist standardmäßig aktiviert und kann nicht abgewählt werden.
  • Um eine mehrmandantenfähige Azure AD-Anwendung zu verwenden, die zu Ihrem Mandanten eingeladen wird, muss die von Ihnen eingegebene Azure AD-Mandanten-ID Ihre eigene Mandanten-ID und nicht die Home-Mandanten-ID der Anwendung sein.

PowerShell verwenden

Alternativ können Sie PowerShell-Befehle verwenden, um ein Azure AD-Dienstkonto zu erstellen. Beispiel:

  $tenantId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  $applicationId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  $applicationSecret = xxxxxxxxxxxxxxx
  $credential = ConvertTo-SecureString -String $applicationSecret -AsPlainText -Force

  New-AcctServiceAccount -IdentityProviderType AzureAD -IdentityProviderIdentifier $tenantId -AccountId $applicationId -AccountSecret $credential -SecretExpiryTime 2030/08/15 -Capabilities @("AzureADDeviceManagement","IntuneDeviceManagement") -DisplayName 'MyApplication' -Description 'Service account for Azure AD tenant'
<!--NeedCopy-->

Migrieren Sie die mit Azure AD verbundene Geräteverwaltung zum Dienstkonto

Bisher bot Citrix eine Option an, um die Verwaltung verbundener Geräte mit Azure AD zu aktivieren, wenn eine Hostingverbindung zu Microsoft Azure Resource Manager erstellt oder bearbeitet wurde. MCS verwendete die Berechtigungen des Azure AD-Dienstprinzipals (Provisioning SPN), die zusammen mit der Hostingverbindung gespeichert waren, um das veraltete, mit Azure AD verbundene Gerät zu verwalten. Bei Dienstkonten können Sie einen dedizierten Azure AD-Dienstprinzipal (Identity Management SPN) verwenden, der zusammen mit einem Dienstkonto gespeichert ist, um Geräte zu verwalten, die mit Azure AD verbunden sind oder bei Microsoft Intune registriert sind.

Citrix empfiehlt die Migration von der Geräteverwaltung über Hostingverbindungen zur Geräteverwaltung über Dienstkonten, um die Verantwortung für die Bereitstellung von SPN und Identitätsverwaltungs-SPN zu trennen.

Für alle vorhandenen Hostingverbindungen, die bereits mit Azure AD Joined Device Management aktiviert sind, können Sie sie wie folgt deaktivieren:

  1. Wählen Sie in Studio im linken Bereich Hosting aus.
  2. Wählen Sie die Verbindung und dann in der Aktionsleiste Verbindung bearbeiten aus.
  3. Deaktivieren Sie auf der Seite Verbindungseigenschaften das Kontrollkästchen Verwaltung in Azure AD eingebundener Geräte aktivieren.
  4. Klicken Sie auf Speichern, um die Änderung zu übernehmen.

Hinweis

Derzeit können Sie die Verwaltung verbundener Geräte mit Azure AD nicht aktivieren, wenn Sie eine neue Hostingverbindung erstellen.

So geht es weiter

Azure AD-Dienstkonten
September 15, 2025
Beitrag von: 
C
September 15, 2025
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Your privacy choices footer linkIhre Datenschutzauswahl | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.