Hybrid in Azure Active Directory eingebunden

Anforderungen

• VDA-Typ: Einzelsitzung (nur Desktops) oder Mehrfachsitzung (Apps und Desktops)
• VDA-Version: 2212 oder höher
• Bereitstellungstyp: Machine Creation Services™ (MCS), persistent und nicht-persistent
• Zuweisungstyp: Dediziert und gepoolt
• Hosting-Plattform: Jeder Hypervisor oder Cloud-Dienst

Einschränkungen

• Wenn der Citrix Federated Authentication Service (FAS) verwendet wird, wird Single Sign-On an das lokale AD statt an Azure AD geleitet. In diesem Fall wird empfohlen, die zertifikatbasierte Azure AD-Authentifizierung zu konfigurieren, damit das Primary Refresh Token (PRT) bei der Benutzeranmeldung generiert wird, was Single Sign-On für Azure AD-Ressourcen innerhalb der Sitzung erleichtert. Andernfalls ist das PRT nicht vorhanden, und SSO für Azure AD-Ressourcen funktioniert nicht. Informationen zum Erreichen von Azure AD Single Sign-On (SSO) für hybrid eingebundene VDAs mithilfe des Citrix Federated Authentication Service (FAS) finden Sie unter Hybrid-joined VDAs.
• Überspringen Sie die Imagevorbereitung nicht beim Erstellen oder Aktualisieren von Maschinenkatalogen. Wenn Sie die Imagevorbereitung überspringen möchten, stellen Sie sicher, dass die Master-VMs nicht in Azure AD oder Hybrid Azure AD eingebunden sind.

Überlegungen

• Zum Erstellen von hybrid in Azure Active Directory eingebundenen Maschinen ist die Write userCertificate-Berechtigung in der Zieldomäne erforderlich. Stellen Sie sicher, dass Sie bei der Katalogerstellung die Anmeldeinformationen eines Administrators mit dieser Berechtigung eingeben.
• Der Hybrid Azure AD-Beitrittsprozess wird von Citrix verwaltet. Sie müssen autoWorkplaceJoin, das von Windows gesteuert wird, in den Master-VMs wie folgt deaktivieren. Die Aufgabe, autoWorkplaceJoin manuell zu deaktivieren, ist nur für VDA-Version 2212 oder früher erforderlich.
  1. Führen Sie gpedit.msc aus.
  2. Navigieren Sie zu Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Geräteregistrierung.
  3. Setzen Sie Domänenverbundene Computer als Geräte registrieren auf Deaktiviert.
• Wählen Sie die Organisationseinheit (OU) aus, die für die Synchronisierung mit Azure AD konfiguriert ist, wenn Sie die Maschinenidentitäten erstellen.
• Für Master-VMs auf Basis von Windows 11 22H2 erstellen Sie in der Master-VM eine geplante Aufgabe, die beim Systemstart die folgenden Befehle unter Verwendung des SYSTEM-Kontos ausführt. Diese Aufgabe, eine Aufgabe in der Master-VM zu planen, ist nur für VDA-Version 2212 oder früher erforderlich.
  $VirtualDesktopKeyPath = 'HKLM:\Software\AzureAD\VirtualDesktop'
$WorkplaceJoinKeyPath = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin'
$MaxCount = 60

for ($count = 1; $count -le $MaxCount; $count++)
{
  if ((Test-Path -Path $VirtualDesktopKeyPath) -eq $true)
  {
    $provider = (Get-Item -Path $VirtualDesktopKeyPath).GetValue("Provider", $null)
    if ($provider -eq 'Citrix')
    {
        break;
    }

    if ($provider -eq 1)
    {
        Set-ItemProperty -Path $VirtualDesktopKeyPath -Name "Provider" -Value "Citrix" -Force
        Set-ItemProperty -Path $WorkplaceJoinKeyPath -Name "autoWorkplaceJoin" -Value 1 -Force
        Start-Sleep 5
        dsregcmd /join
        break
    }
  }

  Start-Sleep 1
}
• Standardmäßig synchronisiert Azure AD Connect alle 30 Minuten. Die bereitgestellten Maschinen können beim ersten Start bis zu 30 Minuten benötigen, um hybrid in Azure AD eingebunden zu werden.

Nächste Schritte