Microsoft Entra hybrid beigetreten

Dieser Artikel beschreibt die Anforderungen für die Erstellung eines Identitätspools von Microsoft Entra hybrid beigetretenen Katalogen und in Microsoft Intune registrierten Microsoft Entra hybrid beigetretenen Katalogen, zusätzlich zu den im Abschnitt Systemanforderungen dargelegten Anforderungen.

Microsoft Entra hybrid beigetretene Maschinen verwenden lokales AD als Authentifizierungsanbieter. Sie können sie Domänenbenutzern oder -gruppen im lokalen AD zuweisen. Um die nahtlose SSO-Erfahrung von Microsoft Entra ID zu ermöglichen, müssen die Domänenbenutzer mit Microsoft Entra ID synchronisiert werden.

Hinweis:

Microsoft Entra hybrid beigetretene VMs werden sowohl in föderierten als auch in verwalteten Identitätsinfrastrukturen unterstützt.

Anforderungen für Microsoft Entra hybrid beigetreten

• VDA-Typ: Einzelsitzung (nur Desktops) oder Mehrfachsitzung (Apps und Desktops)
• VDA-Version: 2212 oder höher
• Bereitstellungstyp: Machine Creation Services™ (MCS), persistent und nicht-persistent
• Zuweisungstyp: Dediziert und gepoolt
• Hosting-Plattform: Jeder Hypervisor oder Cloud-Dienst

Einschränkungen für Microsoft Entra hybrid beigetreten

• Wenn Citrix Federated Authentication Service (FAS) verwendet wird, wird Single Sign-On an das lokale AD statt an Microsoft Entra ID geleitet. In diesem Fall wird empfohlen, die zertifikatbasierte Authentifizierung von Microsoft Entra zu konfigurieren, damit das primäre Aktualisierungstoken (PRT) bei der Benutzeranmeldung generiert wird, was das Single Sign-On zu Microsoft Entra-Ressourcen innerhalb der Sitzung erleichtert. Andernfalls ist das PRT nicht vorhanden und SSO zu Microsoft Entra-Ressourcen funktioniert nicht. Informationen zum Erreichen von Microsoft Entra Single Sign-On (SSO) für hybrid beigetretene VDAs mithilfe von Citrix Federated Authentication Service (FAS) finden Sie unter Hybrid-joined VDAs.
• Überspringen Sie die Image-Vorbereitung nicht beim Erstellen oder Aktualisieren von Maschinenkatalogen. Wenn Sie die Image-Vorbereitung überspringen möchten, stellen Sie sicher, dass die Master-VMs nicht Microsoft Entra oder Microsoft Entra hybrid beigetreten sind.

Überlegungen zu Microsoft Entra hybrid beigetreten

• Zum Erstellen von Microsoft Entra hybrid beigetretenen Maschinen ist die Write userCertificate-Berechtigung in der Zieldomäne erforderlich. Stellen Sie sicher, dass Sie bei der Katalogerstellung die Anmeldeinformationen eines Administrators mit dieser Berechtigung eingeben.

• Der Microsoft Entra Hybrid-Beitrittsprozess wird von Citrix verwaltet. Sie müssen autoWorkplaceJoin, das von Windows gesteuert wird, in den Master-VMs wie folgt deaktivieren. Das manuelle Deaktivieren von autoWorkplaceJoin ist nur für VDA-Version 2212 oder früher erforderlich.

  1. Führen Sie gpedit.msc aus.
  2. Navigieren Sie zu Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Geräteregistrierung.
  3. Setzen Sie Domänenverbundene Computer als Geräte registrieren auf Deaktiviert.

• Wählen Sie die Organisationseinheit (OE) aus, die für die Synchronisierung mit Microsoft Entra ID konfiguriert ist, wenn Sie die Maschinenidentitäten erstellen.

• Erstellen Sie für Windows 11 22H2 basierte Master-VMs eine geplante Aufgabe in der Master-VM, die die folgenden Befehle beim Systemstart mit dem SYSTEM-Konto ausführt. Diese Aufgabe, eine Aufgabe in der Master-VM zu planen, ist nur für VDA-Version 2212 oder früher erforderlich.

   $VirtualDesktopKeyPath = 'HKLM:\Software\AzureAD\VirtualDesktop'
   $WorkplaceJoinKeyPath = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin'
   $MaxCount = 60
  
   for ($count = 1; $count -le $MaxCount; $count++)
   {
     if ((Test-Path -Path $VirtualDesktopKeyPath) -eq $true)
     {
       $provider = (Get-Item -Path $VirtualDesktopKeyPath).GetValue("Provider", $null)
       if ($provider -eq 'Citrix')
       {
           break;
       }
  
       if ($provider -eq 1)
       {
           Set-ItemProperty -Path $VirtualDesktopKeyPath -Name "Provider" -Value "Citrix" -Force
           Set-ItemProperty -Path $WorkplaceJoinKeyPath -Name "autoWorkplaceJoin" -Value 1 -Force
           Start-Sleep 5
           dsregcmd /join
           break
       }
     }
  
     Start-Sleep 1
   }
   <!--NeedCopy-->
  

• Standardmäßig synchronisiert Microsoft Entra Connect alle 30 Minuten. Die bereitgestellten Maschinen können beim ersten Start bis zu 30 Minuten benötigen, um Microsoft Entra hybrid beigetreten zu sein.

Microsoft Entra hybrid beigetretene Kataloge, die in Microsoft Intune registriert sind

Microsoft Entra hybrid beigetretene Kataloge, persistente Einzel- und Mehrsitzungs-VMs, die in Microsoft Intune registriert sind, verwenden die Gerätezugangsdaten mit Co-Management-Funktion.

Co-Management ermöglicht Ihnen die gleichzeitige Verwaltung von Windows 10- oder neueren Geräten mithilfe von Configuration Manager und Microsoft Intune. Weitere Informationen finden Sie unter Co-Management.

Voraussetzungen für Microsoft Entra hybrid beigetretene Kataloge, die in Microsoft Intune registriert sind

Bevor Sie diese Funktion aktivieren, stellen Sie sicher, dass:

• Ihre Azure-Umgebung die Lizenzanforderungen für die Verwendung von Microsoft Intune erfüllt. Weitere Informationen finden Sie in der Microsoft-Dokumentation.
• Sie über eine gültige Configuration Manager-Bereitstellung mit aktiviertem Co-Management verfügen. Weitere Informationen finden Sie in der Microsoft-Dokumentation.

Anforderungen für in Microsoft Intune registrierte Microsoft Entra hybrid eingebundene Kataloge

• VDA-Typ: Einzel- oder Mehrfachsitzung
• VDA-Version: 2407 oder höher
• Bereitstellungstyp: Machine Creation Service (MCS), persistent. Microsoft Entra hybrid eingebundene Kataloge, die in Microsoft Intune für nicht-persistente Einzel- und Mehrfachsitzungs-VMs registriert sind, befinden sich derzeit in der Vorschau. Siehe Registrierung von Hybrid Entra ID eingebundenen nicht-persistenten VMs in Microsoft Intune.
• Zuweisungstyp: Dediziert und gepoolt
• Hosting-Plattform: Jeder Hypervisor oder Cloud-Dienst

Einschränkungen für in Microsoft Intune registrierte Microsoft Entra hybrid eingebundene Kataloge

• Überspringen Sie die Image-Vorbereitung nicht beim Erstellen oder Aktualisieren von Maschinenkatalogen.
• Die internetbasierte Clientverwaltung (IBCM) des Configuration Manager wird nicht unterstützt.

Überlegungen für in Microsoft Intune registrierte Microsoft Entra hybrid eingebundene Kataloge

• Die Intune-Registrierung kann sich verzögern, wenn zu viele Maschinen im Katalog gleichzeitig eingeschaltet werden.

  Microsoft legt eine Intune-Registrierungsbeschränkung pro Mandant fest, die die Anzahl der Geräte begrenzt, die innerhalb eines bestimmten Zeitrahmens registriert werden können. Die zulässige Anzahl von Geräten variiert je nach der Anzahl der Microsoft Intune-Lizenzen, die dem Mandanten zugeordnet sind. Wenden Sie sich an Ihr Microsoft-Konto-Team, um das zulässige Limit für Ihren Mandanten zu erfahren. Dieser Ansatz hilft der Microsoft Intune-Registrierung, in großen Umgebungen besser zu skalieren.

  Für persistente Maschinen kann eine anfängliche Wartezeit erforderlich sein, bis alle Geräte die Intune-Registrierung abgeschlossen haben.

  Für nicht-persistente Maschinen sollten Sie die gleichzeitigen Energieaktionen entweder in Autoscale™ oder bei manuellen Energieaktionen begrenzen.

• Konfigurieren Sie Cloud Attach des Configuration Manager. Weitere Informationen finden Sie in der Microsoft-Dokumentation.
• Installieren Sie den Configuration Manager-Client manuell auf der Master-VM, ohne den Standortcode mit .\CCMSetup.exe /mp:SCCMServer /logon FSP=SCCMServer zuzuweisen. Der SCCMServer ist der SCCM-Servername in Ihrer Umgebung. Weitere Informationen finden Sie in der Microsoft-Dokumentation.

• Von MCS erstellte Maschinen verwenden den Mechanismus zur automatischen Standortzuweisung, um Standortbegrenzungsgruppen zu finden, die in den Active Directory-Domänendiensten veröffentlicht sind. Stellen Sie sicher, dass die Grenzen und Begrenzungsgruppen von Configuration Manager in Ihrer Umgebung konfiguriert sind. Wenn die automatische Standortzuweisung nicht verfügbar ist, kann ein statischer Configuration Manager-Standortcode in der Master-VM über die folgende Registrierungseinstellung konfiguriert werden:

  Schlüssel:

   HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\MachineIdentityServiceAgent\DeviceManagement
   <!--NeedCopy-->
  

  Wertname: MdmSccmSiteCode

  Werttyp: String

  Wertdaten: the site code to be assigned

Nächste Schritte

Weitere Informationen zum Erstellen eines Identitätspools von Microsoft Entra hybrid eingebundenen Katalogen finden Sie unter Identitätspool von Microsoft Entra hybrid eingebundener Maschinenidentität.