Documentación de productos
Citrix DaaS™
Ver PDF

Cuentas de servicio de Microsoft Entra

March 25, 2026
Contribución de: 
C

Una cuenta de servicio de Microsoft Entra es un contenedor para almacenar el ID de aplicación y el secreto de una entidad de servicio de Microsoft Entra, que tiene permisos suficientes para administrar dispositivos unidos a Microsoft Entra o inscritos en Microsoft Intune. MCS puede usar esta cuenta de servicio para limpiar automáticamente cualquier dispositivo obsoleto de Microsoft Entra o Microsoft Intune generado durante el ciclo de vida de las máquinas aprovisionadas.

Permisos necesarios para una entidad de servicio de Microsoft Entra

Los permisos necesarios para una entidad de servicio de Microsoft Entra utilizada por una cuenta de servicio dependen de las capacidades habilitadas para la cuenta de servicio.

  • Para la cuenta de servicio con capacidad de administración de dispositivos unidos a Microsoft Entra, la entidad de servicio de Microsoft Entra debe tener el permiso Device.ReadWrite.All en tu inquilino de Microsoft Entra.
  • Para la cuenta de servicio con capacidad de administración de dispositivos inscritos en Microsoft Intune, la entidad de servicio de Microsoft Entra debe tener el permiso DeviceManagementManagedDevices.ReadWrite.All en tu inquilino de Microsoft Entra.
  • Para la cuenta de servicio con capacidad de administración de grupos de seguridad de Microsoft Entra, la entidad de servicio de Microsoft Entra debe tener los permisos Group.ReadWrite.All y GroupMember.ReadWrite.All en tu inquilino de Microsoft Entra.

Limitación

El control de acceso basado en roles de Microsoft Entra no es compatible actualmente. Por lo tanto, asigna los permisos de Microsoft Entra directamente a la entidad de servicio.

Crear una cuenta de servicio de Microsoft Entra

Usa Studio o PowerShell para crear una cuenta de servicio de Microsoft Entra.

Requisito previo

Para crear una cuenta de servicio de Microsoft Entra, asegúrate de completar la siguiente tarea:

  • Crea una entidad de servicio de Microsoft Entra en tu inquilino de Microsoft Entra con permisos suficientes según las capacidades que quieras habilitar para la cuenta de servicio.

Usar Studio

  1. En el mosaico de DaaS, haz clic en Administrar.
  2. En el panel izquierdo, selecciona Administradores.
  3. En la ficha Cuentas de servicio, haz clic en Crear cuenta de servicio.
  4. En la página Tipo de identidad, selecciona Microsoft Entra ID. Se habilita una nueva opción para enrutar el tráfico.
    1. Selecciona la casilla de verificación Enrutar el tráfico a través de Citrix Cloud Connectors.
    2. Selecciona las zonas disponibles para enrutar el tráfico y haz clic en Siguiente.
  5. En la página Credenciales, introduce el ID de inquilino de Microsoft Entra, el ID de aplicación y el secreto de cliente, y establece la fecha de caducidad de las credenciales.
  6. Elige las capacidades para la cuenta de servicio.
  7. Selecciona uno o varios ámbitos para la cuenta de servicio.
  8. Introduce un nombre descriptivo y una descripción (opcional) para la cuenta de servicio.
  9. Haz clic en Finalizar para completar la creación.

Nota:

  • La capacidad de administración de dispositivos unidos a Microsoft Entra está seleccionada de forma predeterminada y no puedes anular la selección.
  • Para usar una aplicación de Microsoft Entra multiinquilino, que está invitada a tu inquilino, el ID de inquilino de Microsoft Entra que introdujiste debe ser tu propio ID de inquilino y no el ID de inquilino principal de la aplicación.

Usar PowerShell

Alternativamente, puedes usar comandos de PowerShell para crear una cuenta de servicio de Microsoft Entra. Por ejemplo:

$tenantId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
$applicationId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
$applicationSecret = xxxxxxxxxxxxxxx
$credential = ConvertTo-SecureString -String $applicationSecret -AsPlainText -Force

New-AcctServiceAccount -IdentityProviderType AzureAD -IdentityProviderIdentifier $tenantId -AccountId $applicationId -AccountSecret $credential -SecretExpiryTime 2030/08/15 -Capabilities @("AzureADDeviceManagement","IntuneDeviceManagement") -DisplayName 'MyApplication' -Description 'Service account for Microsoft Entra tenant'
<!--NeedCopy-->

Migrar la administración de dispositivos unidos a Microsoft Entra a una cuenta de servicio

Anteriormente, Citrix® ofrecía una opción para habilitar la administración de dispositivos unidos a Microsoft Entra al crear o modificar una conexión de alojamiento a Microsoft Azure Resource Manager. MCS utilizaba los permisos de la entidad de servicio de Microsoft Entra (SPN de aprovisionamiento) almacenados junto con la conexión de alojamiento para administrar el dispositivo unido a Microsoft Entra obsoleto. Con las cuentas de servicio, puedes usar una entidad de servicio de Microsoft Entra dedicada (SPN de administración de identidades) almacenada junto con una cuenta de servicio para administrar dispositivos unidos a Microsoft Entra o inscritos en Microsoft Intune.

Citrix recomienda migrar de la administración de dispositivos basada en conexiones de alojamiento a la administración de dispositivos basada en cuentas de servicio para separar la responsabilidad del SPN de aprovisionamiento y el SPN de administración de identidades.

Para cualquier conexión de alojamiento existente que ya esté habilitada con la administración de dispositivos unidos a Microsoft Entra, puedes deshabilitarla de la siguiente manera:

  1. Desde Studio, selecciona Alojamiento en el panel izquierdo.
  2. Selecciona la conexión y, a continuación, selecciona Modificar conexión en la barra de acciones.
  3. En la página Propiedades de conexión, desactiva la casilla de verificación Habilitar la administración de dispositivos unidos a Microsoft Entra.
  4. Haz clic en Guardar para aplicar los cambios.

Nota:

Actualmente, no puedes habilitar la administración de dispositivos unidos a Microsoft Entra al crear una nueva conexión de alojamiento.

Enrutar el tráfico de administración de dispositivos y grupos de seguridad de Microsoft Entra

Crea y modifica una cuenta de servicio de Microsoft Entra para enrutar el tráfico de administración de dispositivos y grupos de seguridad de Microsoft Entra desde Delivery Controller a Microsoft Entra ID a través de Citrix Cloud Connector.

Incluye la siguiente propiedad personalizada al crear o modificar una cuenta de servicio de Microsoft Entra:

CustomProperties: {"ProxyHypervisorTrafficThroughConnector":true,"ZoneUid":["<zone uid>"]}

Nota:

$ZoneUid es el Uid de la zona (ubicación de recursos) a la que se quiere enrutar el tráfico de red. Obtén el Uid del comando Get-ConfigZone.

Por ejemplo:

  • Para crear una nueva cuenta de servicio de Microsoft Entra:

     $tenantId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
 $applicationId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
 $applicationSecret = xxxxxxxxxxxxxxx
 $SecureString = ConvertTo-SecureString -String "Secretstring" -AsPlainText -Force
 New-AcctServiceAccount -IdentityProviderType AzureAD -IdentityProviderIdentifier "<Identity provider ID>" -AccountId "<Account ID>" -AccountSecret $SecureString -SecretExpiryTime <yyyy-mm-dd>  -Capabilities @("AzureADDeviceManagement","IntuneDeviceManagement") -DisplayName "<Display name>" -CustomProperties '{"ProxyHypervisorTrafficThroughConnector":true,"ZoneUid":["<Zone UID>"]}'
 <!--NeedCopy-->

  • Para modificar una cuenta de servicio de Microsoft Entra existente:

     Set-AcctServiceAccount -ServiceAccountUid $serviceAccountUid -CustomProperties '{"ProxyHypervisorTrafficThroughConnector":true,"ZoneUid":[$ZoneUid]}'
 <!--NeedCopy-->

Qué hacer a continuación

Cuentas de servicio de Microsoft Entra
March 25, 2026
Contribución de: 
C
March 25, 2026
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Your privacy choices footer linkSus opciones de privacidad | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.