Produktdokumentation
Citrix Virtual Apps and Desktops
Service Current Release 2402 LTSR 2311 2308 2305 2303 2212 2209 2206 2203 LTSR 1912 LTSR
PDF anzeigen

Azure Active Directory-Hybrideinbindung

November 25, 2025
Beitrag von: 
C

Hinweis:

Seit Juli 2023 hat Microsoft Azure Active Directory (Azure AD) in Microsoft Entra ID umbenannt. In diesem Dokument bezieht sich jeder Verweis auf Azure Active Directory, Azure AD oder AAD jetzt auf die Microsoft Entra ID.

In diesem Artikel werden die Anforderungen zum Erstellen eines Identitätspools aus in Hybrid Azure Active Directory (HAAD) eingebundenen Katalogen und in Hybrid Azure AD eingebundenen Katalogen, die in Microsoft Intune registriert sind, zusätzlich zu den im Abschnitt “Systemanforderungen” beschriebenen Anforderungen beschrieben.

Maschinen mit Azure AD-Hybrideinbindung verwenden das On-Premises–AD als Authentifizierungsanbieter. Sie können sie Domänenbenutzern oder Gruppen im On-Premises–AD zuweisen. Um eine nahtlose SSO-Erfahrung für Azure AD zu ermöglichen, müssen die Domänenbenutzer mit Azure AD synchronisiert werden.

Hinweis:

VMs mit Azure AD-Hybrideinbindung werden in Infrastrukturen mit Verbund- und verwalteter Identität unterstützt.

Anforderungen für die Hybrideinbindung in Azure Active Directory

  • VDA-Typ: Einzelsitzung (nur Desktops) und Multisitzung (Apps und Desktops)
  • VDA-Version: 2212 oder höher
  • Bereitstellungstyp: Machine Creation Services™ (MCS), persistent und nicht persistent
  • Zuweisungstyp: dediziert und gepoolt
  • Hostingplattform: Beliebiger Hypervisor oder Cloudservice

Einschränkungen für Hybrid Azure Active Directory

  • Wenn Sie den Citrix Verbundauthentifizierungsdienst (FAS) verwenden, wird Single Sign-On an das On-Premises–AD und nicht an Azure AD weitergeleitet. In diesem Fall wird empfohlen, die zertifikatbasierte Azure AD-Authentifizierung zu konfigurieren. Der primäre Aktualisierungstoken (PRT) wird dann bei der Benutzeranmeldung generiert und ermöglicht einen Single Sign-On bei Azure AD-Ressourcen in der Sitzung. Andernfalls fehlt der primäre Aktualisierungstoken (PRT), und der Single Sign-On für Azure AD-Ressourcen funktioniert nicht. Informationen zum Erreichen von Azure AD Single Sign-On (SSO) bei VDAs mit Hybrideinbindung mithilfe des Citrix Verbundauthentifizierungsdiensts (FAS) finden Sie unter VDAs mit Hybrideinbindung.
  • Überspringen Sie nicht die Imagevorbereitung, während Sie Maschinenkataloge erstellen oder aktualisieren. Wenn Sie die Imagevorbereitung überspringen möchten, dürfen die Master-VMs nicht in Azure AD oder Azure AD Hybrid eingebunden sein.

Überlegungen zur Hybrideinbindung in Azure Active Directory

  • Zum Erstellen hybrider, in Azure Active Directory eingebundener Maschinen ist die Berechtigung Benutzerzertifikat schreiben in der Zieldomäne erforderlich. Stellen Sie sicher, dass Sie sich bei der Katalogerstellung als Administrator mit dieser Berechtigung anmelden.

  • Der Prozess der Azure AD-Hybrideinbindung wird von Citrix verwaltet. Sie müssen autoWorkplaceJoin, gesteuert von Windows, in den Master-VMs wie folgt deaktivieren. Die Aufgabe, autoWorkplaceJoin manuell zu deaktivieren, ist nur für VDA-Version 2212 oder früher erforderlich.

    1. Führen Sie gpedit.msc aus.
    2. Navigieren Sie zu Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Geräteregistrierung.
    3. Legen Sie für In die Domäne eingebundene Computer als Geräte registrieren die Option Deaktiviert fest.

  • Wählen Sie die für die Synchronisierung mit Azure AD konfigurierte Organisationseinheit, wenn Sie die Maschinenidentitäten erstellen.

  • Erstellen Sie auf Master-VMs mit Windows 11 22H2 einen geplanten Task, der die folgenden Befehle beim Systemstart mit dem SYSTEM-Konto ausführt. Das Planen eines Task in der Master-VM ist nur für VDA-Version 2212 oder früher erforderlich.

       $VirtualDesktopKeyPath = 'HKLM:\Software\AzureAD\VirtualDesktop'
 $WorkplaceJoinKeyPath = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin'
 $MaxCount = 60

 for ($count = 1; $count -le $MaxCount; $count++)
 {
   if ((Test-Path -Path $VirtualDesktopKeyPath) -eq $true)
   {
     $provider = (Get-Item -Path $VirtualDesktopKeyPath).GetValue("Provider", $null)
     if ($provider -eq 'Citrix')
     {
         break;
     }

     if ($provider -eq 1)
     {
         Set-ItemProperty -Path $VirtualDesktopKeyPath -Name "Provider" -Value "Citrix" -Force
         Set-ItemProperty -Path $WorkplaceJoinKeyPath -Name "autoWorkplaceJoin" -Value 1 -Force
         Start-Sleep 5
         dsregcmd /join
         break
     }
   }

   Start-Sleep 1
 }
 <!--NeedCopy-->
  • Standardmäßig synchronisiert Azure AD Connect alle 30 Minuten. Es kann bis zu 30 Minuten dauern, bis die bereitgestellten Maschinen beim ersten Start in das hybride Azure AD eingebunden werden.

Hybrid Azure AD ist Katalogen beigetreten, die bei Microsoft Intune registriert sind

Hybride, mit Azure AD verbundene Kataloge, persistente Einzel- und Multisitzungs-VMs, die bei Microsoft Intune registriert sind, verwenden die Geräteanmeldedaten mit Co-Management-Funktion.

Mit der gemeinsamen Verwaltung können Sie Geräte mit Windows 10 oder höher gleichzeitig verwalten, indem Sie sowohl Configuration Manager als auch Microsoft Intune verwenden. Weitere Informationen finden Sie unter Gemeinsame Verwaltung.

Voraussetzungen für mit Hybrid Azure AD verbundene Kataloge, die bei Microsoft Intune registriert sind

Bevor Sie dieses Feature aktivieren, achten Sie auf Folgendes:

  • Ihre Azure-Umgebung erfüllt die Lizenzanforderungen für die Verwendung von Microsoft Intune. Weitere Informationen finden Sie in der Microsoft-Dokumentation.
  • Sie verfügen über eine gültige Configuration Manager-Bereitstellung mit aktivierter gemeinsamer Verwaltung. Weitere Informationen finden Sie in der Microsoft-Dokumentation.

Anforderungen für mit Hybrid Azure AD verbundene Kataloge, die bei Microsoft Intune registriert sind

  • Steuerungsebene: Citrix DaaS™
  • VDA-Typ: Einzelsitzung oder Mehrfachsitzung
  • VDA-Version: 2407 oder höher
  • Provisioning: Maschinenerstellungsdienst (MCS), Persistent. Hybride Azure AD-verbundene Kataloge, die in Microsoft Intune für nicht persistente Einzel- und Mehrfachsitzungs-VMs registriert sind, befinden sich derzeit in der Vorschauphase. Siehe Registrierung von Hybrid-Entra-ID-verbundenen, nicht persistenten VMs in Microsoft Intune.
  • Zuweisungstyp: dediziert und gepoolt
  • Hostingplattform: Beliebiger Hypervisor oder Cloudservice

Einschränkungen für mit Hybrid Azure AD verbundene Kataloge, die bei Microsoft Intune registriert sind

  • Überspringen Sie nicht die Imagevorbereitung, während Sie Maschinenkataloge erstellen oder aktualisieren.
  • Die internetbasierte Clientverwaltung (IBCM) von Configuration Manager wird nicht unterstützt.

Überlegungen zu mit Hybrid Azure AD verbundenen Katalogen, die bei Microsoft Intune registriert sind

  • Die Intune-Registrierung kann sich verzögern, wenn zu viele Maschinen im Katalog gleichzeitig eingeschaltet werden.

    Microsoft verhängt eine Intune-Registrierungsbeschränkung pro Mandant, die die Anzahl der Geräte begrenzt, die innerhalb eines bestimmten Zeitraums registriert werden können. Die zulässige Anzahl von Geräten hängt von der Anzahl der Microsoft Intune-Lizenzen ab, die dem Mandanten zugeordnet sind. Erkundigen Sie sich bei Ihrem Microsoft-Kontoteam nach dem zulässigen Limit für Ihren Mandanten. Dieser Ansatz hilft dabei, die Microsoft Intune-Registrierung für große Umgebungen besser zu skalieren.

    Bei persistenten Maschinen ist möglicherweise eine anfängliche Wartezeit erforderlich, bis alle Geräte die Intune-Registrierung abgeschlossen haben.

    Erwägen Sie bei nicht persistenten Maschinen die Begrenzung der gleichzeitigen Energieaktionen entweder in Autoscale™ oder in manuellen Energieaktionen.

  • Konfigurieren Sie Cloud Attach von Configuration Manager. Weitere Informationen finden Sie in der Microsoft-Dokumentation.
  • Installieren Sie den Configuration Manager-Client manuell auf der Master-VM mit .\CCMSetup.exe /mp:SCCMServer /logon FSP=SCCMServer, ohne den Standortcode zuzuweisen. Der SCCMServer ist der SCCM-Servername in Ihrer Umgebung. Weitere Informationen finden Sie in der Microsoft-Dokumentation.

  • Von MCS erstellte Maschinen verwenden den automatischen Standortzuweisungsmechanismus, um Standortgrenzgruppen zu finden, die in den Active Directory-Domänendiensten veröffentlicht wurden. Vergewissern Sie sich, dass die -Grenzen und die Grenzgruppen von Configuration Manager in Ihrer Umgebung konfiguriert sind. Wenn die automatische Standortzuweisung nicht verfügbar ist, kann ein statischer Configuration Manager-Standortcode in der Master-VM über die folgende Registrierungseinstellung konfiguriert werden:

    Schlüssel:

       HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\MachineIdentityServiceAgent\DeviceManagement
 <!--NeedCopy-->

    Wertname: MdmSccmSiteCode

    Werttyp: String

    Wertdaten: der Site-Code, der zugewiesen werden soll

So geht es weiter

Weitere Informationen zum Erstellen eines Identitätspools aus Hybrid Azure Active Directory-verbundenen Katalogen finden Sie unter Identitätspool aus Hybrid Azure Active Directory-verbundenen Maschinenidentitäten.

Azure Active Directory-Hybrideinbindung
November 25, 2025
Beitrag von: 
C
November 25, 2025
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Your privacy choices footer linkIhre Datenschutzauswahl | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.