Hybrid in Azure Active Directory eingebunden

Hinweis:

Seit Juli 2023 hat Microsoft Azure Active Directory (Azure AD) in Microsoft Entra ID umbenannt. In diesem Dokument beziehen sich alle Verweise auf Azure Active Directory, Azure AD oder AAD nun auf Microsoft Entra ID.

Dieser Artikel beschreibt die Anforderungen für die Erstellung eines Identitätspools von Hybrid Azure Active Directory (HAAD)-verbundenen Katalogen und Hybrid Azure AD-verbundenen Katalogen, die in Microsoft Intune registriert sind, zusätzlich zu den im Abschnitt Systemanforderungen dargelegten Anforderungen.

Hybrid Azure AD-verbundene Maschinen verwenden das lokale AD als Authentifizierungsanbieter. Sie können sie Domänenbenutzern oder -gruppen im lokalen AD zuweisen. Um eine nahtlose Azure AD SSO-Erfahrung zu ermöglichen, müssen die Domänenbenutzer mit Azure AD synchronisiert werden.

Hinweis:

Hybrid Azure AD-verbundene VMs werden sowohl in föderierten als auch in verwalteten Identitätsinfrastrukturen unterstützt.

Anforderungen für Hybrid Azure Active Directory-verbundene Systeme

• VDA-Typ: Einzelsitzung (nur Desktops) oder Mehrfachsitzung (Apps und Desktops)
• VDA-Version: 2212 oder höher
• Bereitstellungstyp: Machine Creation Services™ (MCS), persistent und nicht-persistent
• Zuweisungstyp: Dediziert und gepoolt
• Hosting-Plattform: Jeder Hypervisor oder Cloud-Dienst

Einschränkungen für Hybrid Azure Active Directory-verbundene Systeme

• Wenn Citrix Federated Authentication Service (FAS) verwendet wird, wird das Single Sign-On an das lokale AD statt an Azure AD weitergeleitet. In diesem Fall wird empfohlen, die zertifikatbasierte Azure AD-Authentifizierung zu konfigurieren, damit das primäre Aktualisierungstoken (PRT) bei der Benutzeranmeldung generiert wird, was das Single Sign-On zu Azure AD-Ressourcen innerhalb der Sitzung erleichtert. Andernfalls ist das PRT nicht vorhanden, und SSO für Azure AD-Ressourcen funktioniert nicht. Informationen zum Erreichen von Azure AD Single Sign-On (SSO) für hybrid-verbundene VDAs mithilfe von Citrix Federated Authentication Service (FAS) finden Sie unter Hybrid-verbundene VDAs.
• Überspringen Sie die Image-Vorbereitung nicht beim Erstellen oder Aktualisieren von Maschinenkatalogen. Wenn Sie die Image-Vorbereitung überspringen möchten, stellen Sie sicher, dass die Master-VMs nicht mit Azure AD oder Hybrid Azure AD verbunden sind.

Überlegungen zu Hybrid Azure Active Directory-verbundenen Geräten

• Das Erstellen von Hybrid Azure Active Directory-verbundenen Maschinen erfordert die Write userCertificate Berechtigung in der Zieldomäne. Stellen Sie sicher, dass Sie bei der Katalogerstellung die Anmeldeinformationen eines Administrators mit dieser Berechtigung eingeben.

• Der Hybrid Azure AD-Beitrittsprozess wird von Citrix verwaltet. Sie müssen autoWorkplaceJoin, das von Windows gesteuert wird, in den Master-VMs wie folgt deaktivieren. Die Aufgabe, autoWorkplaceJoin manuell zu deaktivieren, ist nur für VDA-Version 2212 oder früher erforderlich.

  1. Führen Sie gpedit.msc aus.
  2. Navigieren Sie zu Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Geräteregistrierung.
  3. Setzen Sie Domänenverbundene Computer als Geräte registrieren auf Deaktiviert.

• Wählen Sie die Organisationseinheit (OE) aus, die für die Synchronisierung mit Azure AD konfiguriert ist, wenn Sie die Maschinenidentitäten erstellen.

• Erstellen Sie für eine Windows 11 22H2-basierte Master-VM eine geplante Aufgabe in der Master-VM, die die folgenden Befehle beim Systemstart über das SYSTEM-Konto ausführt. Diese Aufgabe, eine Aufgabe in der Master-VM zu planen, ist nur für VDA-Version 2212 oder früher erforderlich.

   $VirtualDesktopKeyPath = 'HKLM:\Software\AzureAD\VirtualDesktop'
   $WorkplaceJoinKeyPath = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin'
   $MaxCount = 60
  
   for ($count = 1; $count -le $MaxCount; $count++)
   {
     if ((Test-Path -Path $VirtualDesktopKeyPath) -eq $true)
     {
       $provider = (Get-Item -Path $VirtualDesktopKeyPath).GetValue("Provider", $null)
       if ($provider -eq 'Citrix')
       {
           break;
       }
  
       if ($provider -eq 1)
       {
           Set-ItemProperty -Path $VirtualDesktopKeyPath -Name "Provider" -Value "Citrix" -Force
           Set-ItemProperty -Path $WorkplaceJoinKeyPath -Name "autoWorkplaceJoin" -Value 1 -Force
           Start-Sleep 5
           dsregcmd /join
           break
       }
     }
  
     Start-Sleep 1
   }
   <!--NeedCopy-->
  

• Standardmäßig synchronisiert Azure AD Connect alle 30 Minuten. Es kann bis zu 30 Minuten dauern, bis die bereitgestellten Maschinen beim ersten Start Hybrid Azure AD-verbunden sind.

In Microsoft Intune registrierte Hybrid Azure AD-verbundene Kataloge

Hybrid Azure AD-verbundene Kataloge, persistente Einzel- und Mehrsitzungs-VMs, die in Microsoft Intune registriert sind, verwenden die Geräteanmeldeinformationen mit Co-Management-Funktion.

Co-Management ermöglicht es Ihnen, Windows 10- oder neuere Geräte gleichzeitig mit Configuration Manager und Microsoft Intune zu verwalten. Weitere Informationen finden Sie unter Co-Management.

Voraussetzungen für in Microsoft Intune registrierte Hybrid Azure AD-verbundene Kataloge

Bevor Sie diese Funktion aktivieren, stellen Sie sicher, dass:

• Ihre Azure-Umgebung erfüllt die Lizenzanforderungen für die Verwendung von Microsoft Intune. Weitere Informationen finden Sie in der Microsoft-Dokumentation.
• Sie verfügen über eine gültige Configuration Manager-Bereitstellung mit aktivierter Co-Verwaltung. Weitere Informationen finden Sie in der Microsoft-Dokumentation.

Anforderungen für Hybrid Azure AD-verbundene Kataloge, die in Microsoft Intune registriert sind

• VDA-Typ: Einzelsitzung oder Mehrfachsitzung
• VDA-Version: 2407 oder höher
• Bereitstellungstyp: Machine Creation Service (MCS), persistent. Hybrid Azure AD-verbundene Kataloge, die in Microsoft Intune für nicht-persistente Einzel- und Mehrfachsitzungs-VMs registriert sind, befinden sich derzeit in der Vorschauphase. Siehe Registrierung von Hybrid Entra ID-verbundenen nicht-persistenten VMs in Microsoft Intune.
• Zuweisungstyp: Dediziert und gepoolt
• Hosting-Plattform: Jeder Hypervisor oder Cloud-Dienst

Einschränkungen für Hybrid Azure AD-verbundene Kataloge, die in Microsoft Intune registriert sind

• Überspringen Sie die Image-Vorbereitung nicht beim Erstellen oder Aktualisieren von Maschinenkatalogen.
• Internetbasiertes Client-Management (IBCM) von Configuration Manager wird nicht unterstützt.

Überlegungen für Hybrid Azure AD-verbundene Kataloge, die in Microsoft Intune registriert sind

• Die Intune-Registrierung kann sich verzögern, wenn zu viele Maschinen im Katalog gleichzeitig eingeschaltet werden.

  Microsoft legt eine Intune-Registrierungsbeschränkung pro Tenant fest, die die Anzahl der Geräte begrenzt, die innerhalb eines bestimmten Zeitrahmens registriert werden können. Die zulässige Anzahl von Geräten variiert je nach der Anzahl der Microsoft Intune-Lizenzen, die dem Tenant zugeordnet sind. Wenden Sie sich an Ihr Microsoft-Kundenbetreuungsteam, um die zulässige Grenze für Ihren Tenant zu erfahren. Dieser Ansatz hilft der Microsoft Intune-Registrierung, in großen Umgebungen besser zu skalieren.

  Bei persistenten Maschinen kann eine anfängliche Wartezeit erforderlich sein, bis alle Geräte die Intune-Registrierung abgeschlossen haben.

  Für nicht-persistente Maschinen sollten Sie die gleichzeitigen Energieaktionen entweder in Autoscale™ oder bei manuellen Energieaktionen begrenzen.

• Konfigurieren Sie Cloud Attach von Configuration Manager. Weitere Informationen finden Sie in der Microsoft-Dokumentation.
• Installieren Sie den Configuration Manager-Client manuell auf der Master-VM, ohne den Standortcode mit .\CCMSetup.exe /mp:SCCMServer /logon FSP=SCCMServer zuzuweisen. Der SCCMServer ist der SCCM-Servername in Ihrer Umgebung. Weitere Informationen finden Sie in der Microsoft-Dokumentation.

• Von MCS erstellte Maschinen verwenden den Mechanismus zur automatischen Standortzuweisung, um Standortbegrenzungsgruppen zu finden, die in Active Directory Domain Services veröffentlicht sind. Stellen Sie sicher, dass die Begrenzungen und Begrenzungsgruppen von Configuration Manager in Ihrer Umgebung konfiguriert sind. Wenn die automatische Standortzuweisung nicht verfügbar ist, kann ein statischer Configuration Manager-Standortcode in der Master-VM über die folgende Registrierungseinstellung konfiguriert werden:

  Schlüssel:

   HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\MachineIdentityServiceAgent\DeviceManagement
   <!--NeedCopy-->
  

  Wertname: MdmSccmSiteCode

  Werttyp: String

  Wertdaten: the site code to be assigned

Nächste Schritte

Weitere Informationen zum Erstellen von Identitätspools für Hybrid Azure Active Directory-verbundene Kataloge finden Sie unter Identitätspool für Hybrid Azure Active Directory-verbundene Maschinenidentität.