Produktdokumentation
Citrix DaaS™
PDF anzeigen

Identitätspool für Microsoft Entra hybrid eingebundene Maschinenidentitäten

March 25, 2026
Beitrag von: 
C

Dieser Artikel beschreibt, wie Sie mithilfe von Citrix DaaS einen Identitätspool für Microsoft Entra hybrid eingebundene Maschinenidentitäten erstellen.

Informationen zu Anforderungen, Einschränkungen und Überlegungen finden Sie unter Microsoft Entra hybrid joined.

Studio verwenden

Die folgenden Informationen ergänzen die Anleitung unter Maschinenkataloge erstellen. Um Microsoft Entra hybrid eingebundene Kataloge zu erstellen, folgen Sie der allgemeinen Anleitung in diesem Artikel und beachten Sie die spezifischen Details für Microsoft Entra hybrid eingebundene Kataloge.

Im Assistenten zur Katalogerstellung:

  1. Auf der Seite Maschinenidentitäten:

    1. Wählen Sie den Identitätstyp als Microsoft Entra hybrid joined aus.

    2. Wählen Sie eine Option für Active Directory-Konten:

      • Neue Active Directory-Konten erstellen:
        • Wenn Sie Neue Active Directory-Konten erstellen auswählen und einen vorhandenen Identitätspool zum Erstellen neuer Konten verwenden, wählen Sie eine Domäne für diese Konten aus und geben Sie ein Kontenbenennungsschema an.
        • Wenn Sie Neue Active Directory-Konten erstellen auswählen und einen vorhandenen Identitätspool zum Erstellen neuer Konten verwenden, wählen Sie einen Identitätspool aus der Liste aus.
      • Vorhandene Active Directory-Konten verwenden: Sie können Konten durchsuchen oder aus einer CSV-Datei importieren und das Kennwort zurücksetzen oder dasselbe Kennwort für alle Konten angeben.
    3. Klicken Sie auf Weiter.

  2. Wählen Sie auf der Seite Domänenanmeldeinformationen ein Dienstkonto aus oder geben Sie die Anmeldeinformationen manuell ein. Ein Microsoft Entra hybrid eingebundener Identitätspool kann auch einem lokalen AD-Dienstkonto zugeordnet werden. Informationen zu Dienstkonten finden Sie unter Lokale Active Directory-Dienstkonten.

PowerShell verwenden

Die folgenden PowerShell-Schritte entsprechen den Vorgängen in Studio.

Der Unterschied zwischen lokalen AD-verbundenen Katalogen und Microsoft Entra hybrid eingebundenen Katalogen liegt in der Erstellung des Identitätspools und der Maschinenkonten.

Neuen Identitätspool erstellen

Beispiel: So erstellen Sie einen Identitätspool zusammen mit den Konten für Microsoft Entra hybrid eingebundene Kataloge:

New-AcctIdentityPool -AllowUnicode -IdentityType "HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
New-AcctADAccount -IdentityPoolName "HybridAADJoinedCatalog" -Count 10 -ADUserName "corp\admin1" -ADPassword $password
Set-AcctAdAccountUserCert -IdentityPoolName "HybridAADJoinedCatalog" -All -ADUserName "corp\admin1" -ADPassword $password
<!--NeedCopy-->

Hinweis:

Das $password ist das passende Kennwort für ein AD-Benutzerkonto mit Schreibberechtigungen.

Alle anderen Befehle, die zum Erstellen von Microsoft Entra hybrid eingebundenen Katalogen verwendet werden, sind dieselben wie für herkömmliche lokale AD-verbundene Kataloge.

Sie können auch ein lokales Dienstkonto einem von MCS erstellten Maschinenkatalog zuordnen, indem Sie ein lokales Dienstkonto dem Identitätspool zuordnen. Sie können einen Identitätspool erstellen oder einen vorhandenen Identitätspool aktualisieren, um ihn einem Dienstkonto zuzuordnen.

Beispiel: So erstellen Sie einen neuen Identitätspool und ordnen ihn einem Dienstkonto zu:

New-AcctIdentityPool -AllowUnicode -IdentityType "HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05" -ServiceAccountUid $serviceAccountUid
<!--NeedCopy-->

Beispiel: So erstellen Sie einen neuen Identitätspool mit angegebenen Erweiterungsattributen und ordnen ihn einem Dienstkonto zu:

New-AcctIdentityPool -IdentityPoolName HybridAzureAD -NamingScheme ACC#### -NamingSchemeType Numeric -Domain "abc.local" -IdentityType HybridAzureAD -ServiceAccountUid $serviceAccountUid -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"}
<!--NeedCopy-->

Wenn eine VM zum ersten Mal eingeschaltet wird, meldet sie nach dem Beitritt zu Microsoft Entra ID ihre Entra ID deviceId an MCS.

Beispiel: Um die EntraIDDeviceID zu überprüfen, führen Sie Get-AcctADAccount oder Get-AcctIdentity aus.

Get-AcctADAccount -IdentityPoolName MyPool
<!--NeedCopy-->

Nach einem Neustart bleibt die EntraIDDeviceID für persistente und nicht-persistente VMs gleich.

Hinweis:

MCS entfernt automatisch zugeordnete Geräte-IDs und Erweiterungsattribute, wenn Sie eine VM aus dem Katalog löschen, aber nicht aus Azure.

Vorhandenen Identitätspool aktualisieren

Beispiel: So aktualisieren Sie einen vorhandenen Identitätspool, um ihn einem Dienstkonto zuzuordnen:

$identityPoolUid = (Get-ProvScheme -ProvisioningSchemeName "MyProvScheme").IdentityPoolUid

Set-AcctIdentityPool -IdentityPoolUid $identityPoolUid -ServiceAccountUid $serviceAccountUid
<!--NeedCopy-->

Hinweis:

Die $serviceAccountUid muss eine gültige UID eines lokalen Active Directory-Dienstkontos sein.

Beispiel: So bearbeiten Sie Erweiterungsattribute für den vorhandenen Katalog:

Hinweis:

  • Nach dem Upgrade vorhandener Katalog-VMs auf VDA-Version 2511 oder höher ist ein Neustart erforderlich. Dieser Neustart ermöglicht es der VM, ihre Entra ID deviceId an MCS zu melden, wodurch MCS dann die Erweiterungsattribute der VM konfigurieren kann.
  • Der vorhandene Katalog sollte ein Dienstkonto vom Typ AzureAD mit der Berechtigung “Device.ReadWrite.All” haben.

Um neue Attribute hinzuzufügen:

Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"}
<!--NeedCopy-->

Um vorhandene Attribute zu entfernen:

Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{}
<!--NeedCopy-->

ODER

Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{extensionAttribute1 = ""; extensionAttribute2 = ""}
<!--NeedCopy-->

Set-AcctIdentityPool aktualisiert auch die Erweiterungsattribute des Entra ID-Geräts für VMs, die bereits mit Entra ID verbunden sind und einen EntraIDDeviceID-Wert in ihren Identitäten besitzen.

Einen Hybrid Microsoft Entra-Katalog erstellen

Sie können auch einen Hybrid Microsoft Entra-Katalog mithilfe eines vorbereiteten Images erstellen. Den vollständigen Satz von PowerShell-Befehlen zum Erstellen von Image-Definition, Image-Version und vorbereiteter Image-Versionsspezifikation finden Sie unter:

Nachdem Sie die vorbereitete Image-Versionsspezifikation erstellt haben, erstellen Sie den Identitätspool und den Maschinenkatalog. Beispiel:

New-AcctIdentityPool -IdentityPoolName "mypool" -NamingScheme ACC##  -NamingSchemeType "Numeric"  -ZoneUid $zoneuid -Domain $domainName -OU "OU=HAAD Computers,DC=haad,DC=link" -IdentityType "HybridAzureAD"

New-ProvScheme -ProvisioningSchemeName <name> -ImageVersionSpecUid <preparedVersionSpecUid> -HostingUnitUid <hostingUnitUid> -IdentityPoolUid <IdentityPoolUid> [-CleanOnBoot] -NetworkMapping @{"0"="XDHyp:\HostingUnits\<hostingunitName>\<region>.region\virtualprivatecloud.folder\<resourcegroupName>.resourcegroup\<vnetName>.virtualprivatecloud\<sunNetName>.network"} -ServiceOffering <serviceofferingPath> [-MachineProfile <machineProfilePath>] [-CustomProperties <>]
<!--NeedCopy-->

Status des Hybrid Microsoft Entra-Beitrittsprozesses anzeigen

In Studio ist der Status des Hybrid Microsoft Entra-Beitrittsprozesses sichtbar, wenn Microsoft Entra hybrid eingebundene Maschinen in einer Bereitstellungsgruppe eingeschaltet sind. Um den Status anzuzeigen, verwenden Sie die Suche, um diese Maschinen zu identifizieren, und überprüfen Sie dann für jede Maschine die Maschinenidentität auf der Registerkarte Details im unteren Bereich. Die folgenden Informationen können unter Maschinenidentität angezeigt werden:

  • Microsoft Entra hybrid joined
  • Not yet joined to Microsoft Entra ID

Hinweis:

  • Es kann zu einer verzögerten Hybrid Microsoft Entra-Verbindung kommen, wenn die Maschine zum ersten Mal eingeschaltet wird. Dies wird durch das Standard-Synchronisierungsintervall für Maschinenidentitäten (30 Minuten von Microsoft Entra Connect) verursacht. Die Maschine befindet sich erst im Status “Microsoft Entra hybrid joined”, nachdem die Maschinenidentitäten über Microsoft Entra Connect mit Microsoft Entra ID synchronisiert wurden.
  • Wenn Maschinen nicht in den Status “Microsoft Entra hybrid joined” gelangen, werden sie nicht beim Delivery Controller registriert. Ihr Registrierungsstatus wird als Initialisierung angezeigt.

Mithilfe von Studio können Sie auch erfahren, warum Maschinen nicht verfügbar sind. Klicken Sie dazu auf eine Maschine im Knoten Suchen, überprüfen Sie die Registrierung auf der Registerkarte Details im unteren Bereich und lesen Sie dann den Tooltip für zusätzliche Informationen.

Fehlerbehebung

Wenn Maschinen nicht Microsoft Entra hybrid eingebunden werden können, gehen Sie wie folgt vor:

  • Überprüfen Sie, ob das Maschinenkonto über das Microsoft Entra-Portal mit Microsoft Entra ID synchronisiert wurde. Wenn synchronisiert, wird Not yet joined to Microsoft Entra ID angezeigt, was einen ausstehenden Registrierungsstatus anzeigt.

    Um Maschinenkonten mit Microsoft Entra ID zu synchronisieren, stellen Sie sicher, dass:

    • Das Maschinenkonto sich in der OU befindet, die für die Synchronisierung mit Microsoft Entra ID konfiguriert ist. Maschinenkonten ohne das Attribut userCertificate werden nicht mit Microsoft Entra ID synchronisiert, selbst wenn sie sich in der für die Synchronisierung konfigurierten OU befinden.
    • Das Attribut userCertificate im Maschinenkonto ausgefüllt ist. Verwenden Sie den Active Directory Explorer, um das Attribut anzuzeigen.
    • Microsoft Entra Connect mindestens einmal nach der Erstellung des Maschinenkontos synchronisiert wurde. Falls nicht, führen Sie den Befehl Start-ADSyncSyncCycle -PolicyType Delta manuell in der PowerShell-Konsole der Microsoft Entra Connect-Maschine aus, um eine sofortige Synchronisierung auszulösen.

  • Überprüfen Sie, ob das Citrix-verwaltete Geräteschlüsselpaar für den hybriden Microsoft Entra Join korrekt auf den Computer übertragen wurde, indem Sie den Wert von DeviceKeyPairRestored unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrix abfragen.

    Stellen Sie sicher, dass der Wert 1 ist. Andernfalls sind mögliche Gründe:

    • IdentityType des Identitätspools, der dem Bereitstellungsschema zugeordnet ist, ist nicht auf HybridAzureAD eingestellt. Dies können Sie überprüfen, indem Sie Get-AcctIdentityPool ausführen.
    • Der Computer wurde nicht mit demselben Bereitstellungsschema des Maschinenkatalogs bereitgestellt.
    • Der Computer ist nicht mit der lokalen Domäne verbunden. Die Verbindung mit der lokalen Domäne ist eine Voraussetzung für den hybriden Microsoft Entra Join.

  • Überprüfen Sie Diagnosemeldungen, indem Sie den Befehl dsregcmd /status /debug auf dem MCS-bereitgestellten Computer ausführen.

    • Wenn der hybride Microsoft Entra Join erfolgreich ist, sind AzureAdJoined und DomainJoined im Ergebnis der Befehlszeile YES.
    • Andernfalls lesen Sie die Microsoft-Dokumentation zur Fehlerbehebung: https://docs.microsoft.com/en-us/azure/active-directory/devices/troubleshoot-hybrid-join-windows-current.

    • Wenn Sie die Fehlermeldung Server Message: The user certificate is not found on the device with id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx erhalten, führen Sie den folgenden PowerShell-Befehl aus, um das Benutzerzertifikat zu reparieren:

       Repair-AcctIdentity -IdentityAccountName TEST\VM1 -Target UserCertificate
 <!--NeedCopy-->

Weitere Informationen zum Problem mit dem Benutzerzertifikat finden Sie unter CTX566696.

Identitätspool für Microsoft Entra hybrid eingebundene Maschinenidentitäten
March 25, 2026
Beitrag von: 
C
March 25, 2026
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Your privacy choices footer linkIhre Datenschutzauswahl | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.