Identitätspool von Microsoft Entra hybrid eingebundener Maschinenidentität

Last published : Nov 13, 2026
Dieser Artikel beschreibt, wie man Kataloge mit Microsoft Entra Hybrid-Join erstellt.
Informationen zu Anforderungen, Einschränkungen und Überlegungen finden Sie unter Microsoft Entra hybrid eingebunden.
Related information
Identitätspools verschiedener Maschinenidentitäts-Beitrittstypen

Verwenden Sie das Web Studio

Die folgenden Informationen ergänzen die Anleitung in Maschinenkataloge erstellen. Um Hybrid Azure AD Joined-Kataloge zu erstellen, befolgen Sie die allgemeinen Anweisungen in diesem Artikel, wobei Sie die spezifischen Details für Hybrid Azure AD Joined-Kataloge beachten sollten.
Im Assistenten zur Katalogerstellung:
  • Wählen Sie auf der Seite Maschinenidentitäten die Option Microsoft Entra Hybrid-Joined aus. Die erstellten Maschinen gehören einer Organisation und werden mit einem Active Directory Domain Services-Konto angemeldet, das zu dieser Organisation gehört. Sie existieren in der Cloud und lokal.
Hinweis:
Wenn Sie Microsoft Entra Hybrid-Joined als Identitätstyp auswählen, muss jede Maschine im Katalog über ein entsprechendes AD-Computerkonto verfügen.

Verwenden von PowerShell

Im Folgenden sind PowerShell-Schritte aufgeführt, die den Vorgängen im Web Studio entsprechen. Informationen zum Erstellen eines Katalogs mit dem Remote PowerShell SDK finden Sie unter <https://developer-docs.citrix.com/projects/citrix-virtual-apps-desktops-sdk/en/latest/creating-a-catalog/>.
Der Unterschied zwischen lokalen AD-verbundenen Katalogen und Microsoft Entra hybrid-verbundenen Katalogen liegt in der Erstellung des Identitätspools und der Maschinenkonten.
So erstellen Sie einen Identitätspool zusammen mit den Konten für Microsoft Entra Hybrid-Joined-Kataloge:
New-AcctIdentityPool -AllowUnicode -IdentityType "HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
New-AcctADAccount -IdentityPoolName "HybridAADJoinedCatalog" -Count 10 -ADUserName "corp\admin1" -ADPassword $password
Set-AcctAdAccountUserCert -IdentityPoolName "HybridAADJoinedCatalog" -All -ADUserName "corp\admin1" -ADPassword $password
Hinweis:
$password ist das passende Kennwort für ein AD-Benutzerkonto mit Schreibberechtigungen.
Alle anderen Befehle zum Erstellen von Microsoft Entra hybrid beigetretenen Katalogen sind dieselben wie für herkömmliche lokale AD-beigetretene Kataloge.

Status des Microsoft Entra Hybrid-Join-Prozesses anzeigen

Im Web Studio ist der Status des Microsoft Entra Hybrid-Join-Prozesses sichtbar, wenn Microsoft Entra Hybrid-Joined-Maschinen in einer Bereitstellungsgruppe eingeschaltet sind. Um den Status anzuzeigen, verwenden Sie Suchen, um diese Maschinen zu identifizieren, und überprüfen Sie dann für jede Maschine die Maschinenidentität auf der Registerkarte Details im unteren Bereich. Die folgenden Informationen können unter Maschinenidentität angezeigt werden:
  • Microsoft Entra hybrid verbunden
  • Noch nicht mit Azure AD verbunden
Hinweis:
  • Es kann zu einer verzögerten Microsoft Entra Hybrid-Join-Verbindung kommen, wenn die Maschine zum ersten Mal eingeschaltet wird. Dies wird durch das standardmäßige Synchronisierungsintervall für Maschinenidentitäten (30 Minuten von Microsoft Entra Connect) verursacht. Die Maschine befindet sich erst im Microsoft Entra Hybrid-Joined-Zustand, nachdem die Maschinenidentitäten über Microsoft Entra Connect mit Microsoft Entra ID synchronisiert wurden.
  • Wenn Maschinen nicht in den hybriden Microsoft Entra-Verbindungsstatus gelangen, werden sie nicht beim Delivery Controller registriert. Ihr Registrierungsstatus wird als Initialisierung angezeigt.
Mithilfe des Web Studios können Sie auch erfahren, warum Maschinen nicht verfügbar sind. Klicken Sie dazu auf eine Maschine im Knoten Suchen, überprüfen Sie die Registrierung auf der Registerkarte Details im unteren Bereich, und lesen Sie dann den Tooltip für weitere Informationen.

Problembehandlung

Wenn Maschinen nicht hybrid mit Microsoft Entra verbunden werden können, führen Sie die folgenden Schritte aus:
  • Überprüfen Sie, ob das Maschinenkonto über das Microsoft Entra ID-Portal mit Microsoft Entra ID synchronisiert wurde. Wenn synchronisiert, wird Noch nicht mit Azure AD verbunden angezeigt, was den Status der ausstehenden Registrierung angibt.
    Um Maschinenkonten mit Microsoft Entra ID zu synchronisieren, stellen Sie sicher:
    • Das Maschinenkonto befindet sich in der OU, die für die Synchronisierung mit Microsoft Entra ID konfiguriert ist. Maschinenkonten ohne das Attribut userCertificate werden nicht mit Microsoft Entra ID synchronisiert, selbst wenn sie sich in der OU befinden, die für die Synchronisierung konfiguriert ist.
    • Das Attribut userCertificate wird im Maschinenkonto ausgefüllt. Verwenden Sie den Active Directory Explorer, um das Attribut anzuzeigen.
    • Microsoft Entra Connect muss mindestens einmal synchronisiert worden sein, nachdem das Maschinenkonto erstellt wurde. Andernfalls führen Sie den Befehl Start-ADSyncSyncCycle -PolicyType Delta manuell in der PowerShell-Konsole der Microsoft Entra Connect-Maschine aus, um eine sofortige Synchronisierung auszulösen.
  • Überprüfen Sie, ob das von Citrix verwaltete Geräteschlüsselpaar für Microsoft Entra Hybrid-Joined korrekt auf die Maschine übertragen wurde, indem Sie den Wert von DeviceKeyPairRestored unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrix abfragen.
    Überprüfen Sie, ob der Wert 1 ist. Wenn nicht, sind mögliche Gründe:
    • IdentityType des Identitätspools, der dem Bereitstellungsschema zugeordnet ist, ist nicht auf HybridAzureAD eingestellt. Sie können dies überprüfen, indem Sie Get-AcctIdentityPool ausführen.
    • Die Maschine ist nicht mit demselben Bereitstellungsschema des Maschinenkatalogs bereitgestellt.
    • Der Computer ist nicht mit der lokalen Domäne verbunden. Die Verbindung mit der lokalen Domäne ist eine Voraussetzung für die Microsoft Entra Hybrid-Verbindung.
  • Überprüfen Sie Diagnosemeldungen, indem Sie den Befehl dsregcmd /status /debug auf der von MCS bereitgestellten Maschine ausführen.
    • Wenn die Microsoft Entra Hybrid-Verbindung erfolgreich ist, sind AzureAdJoined und DomainJoined in der Ausgabe der Befehlszeile YES.
    • Wenn nicht, lesen Sie die Microsoft-Dokumentation, um die Probleme zu beheben: <https://docs.microsoft.com/de-de/azure/active-directory/devices/troubleshoot-hybrid-join-windows-current>.
    • Wenn Sie die Fehlermeldung Server Message: The user certificate is not found on the device with id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx erhalten, führen Sie dann den folgenden PowerShell-Befehl aus, um das Benutzerzertifikat zu reparieren:
      Repair-AcctIdentity -IdentityAccountName TEST\VM1 -Target UserCertificate
      Weitere Informationen zum Problem mit dem Benutzerzertifikat finden Sie unter CTX566696.