Hybrid Azure Active Directory-verbunden

Hinweis:

Seit Juli 2023 hat Microsoft Azure Active Directory (Azure AD) in Microsoft Entra ID umbenannt. In diesem Dokument beziehen sich alle Verweise auf Azure Active Directory, Azure AD oder AAD nun auf Microsoft Entra ID.

Dieser Artikel beschreibt die Anforderungen zur Erstellung eines Identitätspools für Hybrid Azure Active Directory (HAAD)-verbundene Kataloge und in Microsoft Intune registrierte Hybrid Azure AD-verbundene Kataloge, zusätzlich zu den im Abschnitt Systemanforderungen dargelegten Anforderungen.

Hybrid Azure AD-verbundene Maschinen verwenden das lokale AD als Authentifizierungsanbieter. Sie können sie Domänenbenutzern oder -gruppen im lokalen AD zuweisen. Um eine nahtlose Azure AD SSO-Erfahrung zu ermöglichen, müssen die Domänenbenutzer mit Azure AD synchronisiert werden.

Hinweis:

Hybrid Azure AD-verbundene VMs werden sowohl in föderierten als auch in verwalteten Identitätsinfrastrukturen unterstützt.

Anforderungen für Hybrid Azure Active Directory-verbunden

• VDA-Typ: Einzelsitzung (nur Desktops) oder Mehrfachsitzung (Apps und Desktops)
• VDA-Version: 2212 oder höher
• Bereitstellungstyp: Machine Creation Services™ (MCS), persistent und nicht-persistent
• Zuweisungstyp: Dediziert und gepoolt
• Hosting-Plattform: Jeder Hypervisor oder Cloud-Dienst

Einschränkungen für Hybrid Azure Active Directory-verbunden

• Wenn Citrix Federated Authentication Service (FAS) verwendet wird, wird das Single Sign-On an das lokale AD statt an Azure AD geleitet. In diesem Fall wird empfohlen, die zertifikatbasierte Azure AD-Authentifizierung zu konfigurieren, damit das primäre Aktualisierungstoken (PRT) bei der Benutzeranmeldung generiert wird, was das Single Sign-On zu Azure AD-Ressourcen innerhalb der Sitzung erleichtert. Andernfalls ist das PRT nicht vorhanden und SSO zu Azure AD-Ressourcen funktioniert nicht. Informationen zum Erreichen von Azure AD Single Sign-On (SSO) für hybrid verbundene VDAs mithilfe von Citrix Federated Authentication Service (FAS) finden Sie unter Hybrid-joined VDAs.
• Überspringen Sie die Image-Vorbereitung nicht beim Erstellen oder Aktualisieren von Maschinenkatalogen. Wenn Sie die Image-Vorbereitung überspringen möchten, stellen Sie sicher, dass die Master-VMs nicht Azure AD oder Hybrid Azure AD beigetreten sind.

Überlegungen zu Hybrid Azure Active Directory Joined

• Das Erstellen von Hybrid Azure Active Directory Joined-Maschinen erfordert die Write userCertificate Berechtigung in der Zieldomäne. Stellen Sie sicher, dass Sie bei der Katalogerstellung die Anmeldeinformationen eines Administrators mit dieser Berechtigung eingeben.

• Der Hybrid Azure AD-Beitrittsprozess wird von Citrix verwaltet. Sie müssen autoWorkplaceJoin, das von Windows gesteuert wird, in den Master-VMs wie folgt deaktivieren. Die Aufgabe, autoWorkplaceJoin manuell zu deaktivieren, ist nur für VDA-Version 2212 oder früher erforderlich.

  1. Führen Sie gpedit.msc aus.
  2. Navigieren Sie zu Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Geräteregistrierung.
  3. Legen Sie Domänenverbundene Computer als Geräte registrieren auf Deaktiviert fest.

• Wählen Sie die Organisationseinheit (OE) aus, die für die Synchronisierung mit Azure AD konfiguriert ist, wenn Sie die Maschinenidentitäten erstellen.

• Für Master-VMs auf Basis von Windows 11 22H2 erstellen Sie eine geplante Aufgabe in der Master-VM, die die folgenden Befehle beim Systemstart mit dem SYSTEM-Konto ausführt. Diese Aufgabe, eine Aufgabe in der Master-VM zu planen, ist nur für VDA-Version 2212 oder früher erforderlich.

   $VirtualDesktopKeyPath = 'HKLM:\Software\AzureAD\VirtualDesktop'
   $WorkplaceJoinKeyPath = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin'
   $MaxCount = 60
  
   for ($count = 1; $count -le $MaxCount; $count++)
   {
     if ((Test-Path -Path $VirtualDesktopKeyPath) -eq $true)
     {
       $provider = (Get-Item -Path $VirtualDesktopKeyPath).GetValue("Provider", $null)
       if ($provider -eq 'Citrix')
       {
           break;
       }
  
       if ($provider -eq 1)
       {
           Set-ItemProperty -Path $VirtualDesktopKeyPath -Name "Provider" -Value "Citrix" -Force
           Set-ItemProperty -Path $WorkplaceJoinKeyPath -Name "autoWorkplaceJoin" -Value 1 -Force
           Start-Sleep 5
           dsregcmd /join
           break
       }
     }
  
     Start-Sleep 1
   }
   <!--NeedCopy-->
  

• Standardmäßig synchronisiert Azure AD Connect alle 30 Minuten. Es kann bis zu 30 Minuten dauern, bis die bereitgestellten Maschinen beim ersten Start Hybrid Azure AD beigetreten sind.

Hybrid Azure AD Joined-Kataloge, die in Microsoft Intune registriert sind

Hybrid Azure AD Joined-Kataloge, persistente Einzel- und Mehrsitzungs-VMs, die in Microsoft Intune registriert sind, verwenden die Gerätezugangsdaten mit Co-Management-Funktion.

Co-Management ermöglicht Ihnen die gleichzeitige Verwaltung von Windows 10- oder neueren Geräten sowohl mit Configuration Manager als auch mit Microsoft Intune. Weitere Informationen finden Sie unter Co-Management.

Voraussetzungen für Hybrid Azure AD Joined-Kataloge, die in Microsoft Intune registriert sind

Bevor Sie diese Funktion aktivieren, stellen Sie sicher, dass:

• Ihre Azure-Umgebung erfüllt die Lizenzanforderungen zur Nutzung von Microsoft Intune. Weitere Informationen finden Sie in der Microsoft-Dokumentation.
• Sie verfügen über eine gültige Configuration Manager-Bereitstellung mit aktivierter Co-Verwaltung. Weitere Informationen finden Sie in der Microsoft-Dokumentation.

Anforderungen für in Microsoft Intune registrierte Hybrid Azure AD-verbundene Kataloge

• VDA-Typ: Einzelsitzung oder Multisitzung
• VDA-Version: 2407 oder höher
• Bereitstellungstyp: Machine Creation Service (MCS), persistent. In Microsoft Intune registrierte Hybrid Azure AD-verbundene Kataloge für nicht-persistente Einzel- und Multisitzungs-VMs befinden sich derzeit in der Vorschauphase. Siehe Registrierung von Hybrid Entra ID-verbundenen nicht-persistenten VMs in Microsoft Intune.
• Zuweisungstyp: Dediziert und gepoolt
• Hosting-Plattform: Jeder Hypervisor oder Cloud-Dienst

Einschränkungen für in Microsoft Intune registrierte Hybrid Azure AD-verbundene Kataloge

• Überspringen Sie die Image-Vorbereitung nicht beim Erstellen oder Aktualisieren von Maschinenkatalogen.
• Internetbasiertes Client-Management (IBCM) von Configuration Manager wird nicht unterstützt.

Überlegungen für in Microsoft Intune registrierte Hybrid Azure AD-verbundene Kataloge

• Die Intune-Registrierung kann sich verzögern, wenn zu viele Maschinen im Katalog gleichzeitig eingeschaltet werden.

  Microsoft legt eine Intune-Registrierungsbeschränkung pro Mandant fest, die die Anzahl der Geräte begrenzt, die innerhalb eines bestimmten Zeitrahmens registriert werden können. Die zulässige Anzahl von Geräten variiert je nach der Anzahl der Microsoft Intune-Lizenzen, die dem Mandanten zugeordnet sind. Wenden Sie sich an Ihr Microsoft-Kundenbetreuungsteam, um die zulässige Grenze für Ihren Mandanten zu erfahren. Dieser Ansatz hilft der Microsoft Intune-Registrierung, in großen Umgebungen besser zu skalieren.

  Bei persistenten Maschinen kann eine anfängliche Wartezeit erforderlich sein, bis alle Geräte die Intune-Registrierung abgeschlossen haben.

  Bei nicht-persistenten Maschinen sollten Sie die gleichzeitigen Energieaktionen in Autoscale™ oder manuelle Energieaktionen begrenzen.

• Konfigurieren Sie Cloud Attach des Configuration Manager. Weitere Informationen finden Sie in der Microsoft-Dokumentation.
• Installieren Sie den Configuration Manager-Client manuell auf der Master-VM, ohne den Standortcode mit .\CCMSetup.exe /mp:SCCMServer /logon FSP=SCCMServer zuzuweisen. SCCMServer ist der SCCM-Servername in Ihrer Umgebung. Weitere Informationen finden Sie in der Microsoft-Dokumentation.

• Von MCS erstellte Maschinen verwenden den automatischen Standortzuweisungsmechanismus, um Standortgrenzgruppen zu finden, die in den Active Directory-Domänendiensten veröffentlicht sind. Stellen Sie sicher, dass die Grenzen und Grenzgruppen des Configuration Manager in Ihrer Umgebung konfiguriert sind. Wenn die automatische Standortzuweisung nicht verfügbar ist, kann ein statischer Configuration Manager-Standortcode in der Master-VM über die folgende Registrierungseinstellung konfiguriert werden:

  Schlüssel:

   HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\MachineIdentityServiceAgent\DeviceManagement
   <!--NeedCopy-->
  

  Wertname: MdmSccmSiteCode

  Werttyp: String

  Wertdaten: the site code to be assigned

Nächste Schritte

Weitere Informationen zum Erstellen von Identitätspools von Hybrid Azure Active Directory-verbundenen Katalogen finden Sie unter Identitätspool von Hybrid Azure Active Directory-verbundenen Maschinenidentitäten.