Documentación de productos
Citrix DaaS
Ver PDF

Cuentas de servicio de Azure AD

September 15, 2025
Contribución de: 
C

Una cuenta de servicio de Azure AD es un contenedor para almacenar el ID y el secreto de aplicación de una entidad principal de servicio de Azure AD, que tiene los permisos suficientes para administrar dispositivos unidos a Azure AD o inscritos en Microsoft Intune. MCS puede usar esta cuenta de servicio para eliminar automáticamente cualquier dispositivo obsoleto de Azure AD o Microsoft Intune generado durante el ciclo de vida de las máquinas aprovisionadas.

Permisos necesarios para una entidad principal de servicio de Azure AD

Los permisos que se necesitan para una entidad principal de servicio de Azure AD usada por una cuenta de servicio dependen de las capacidades que tenga habilitadas la cuenta de servicio.

  • Para una cuenta de servicio con capacidad de administración de dispositivos unidos a Azure AD, la entidad principal de servicio de Azure AD debe tener el permiso Device.ReadWrite.All en el arrendatario de Azure AD.
  • Para una cuenta de servicio con capacidad de administración de dispositivos inscritos en Microsoft Intune, la entidad principal de servicio de Azure AD debe tener el permiso DeviceManagementManagedDevices.ReadWrite.All en el arrendatario de Azure AD.
  • Para la cuenta de servicio con capacidad de administración de grupos de seguridad de Azure AD, la entidad principal de servicio de Azure AD debe tener permisos Group.ReadWrite.All y GroupMember.ReadWrite.All en el arrendatario de Azure AD.

Limitación

Actualmente no se admite el control de acceso por roles de Azure AD. Por lo tanto, asigne los permisos de Azure AD directamente a la entidad principal de servicio.

Crear una cuenta de servicio de Azure AD

Use Studio o PowerShell para crear una cuenta de servicio de Azure AD.

Requisito previo

Para crear una cuenta de servicio de Azure AD, deberá completar la siguiente tarea:

  • Cree una entidad principal de Azure AD en su arrendatario de Azure AD con los permisos suficientes en función de las capacidades que quiera habilitar para la cuenta de servicio.

Usar Studio

  1. En el mosaico de DaaS, haga clic en Administrar.
  2. En el panel izquierdo, seleccione Administradores.
  3. En la ficha Cuentas de servicio, haga clic en Crear cuenta de servicio.
  4. En la página Tipo de identidad, seleccione Azure Active Directory. Se habilita una nueva opción para redirigir el tráfico.
    1. Seleccione la casilla de verificación Redirigir tráfico a través de Citrix Cloud Connectors.
    2. Seleccione las zonas disponibles para redirigir el tráfico y haga clic en Siguiente.
  5. En la página Credenciales, introduzca el ID de arrendatario, el ID de aplicación y el secreto del cliente de Azure AD y establezca la fecha de caducidad de la credencial.
  6. Elija las capacidades de la cuenta de servicio.
  7. Seleccione uno o más ámbitos para la cuenta de servicio.
  8. Introduzca un nombre descriptivo y una descripción (opcional) para la cuenta de servicio.
  9. Para completar la creación, haga clic en Finalizar.

Nota: No

  • La capacidad de administrar dispositivos unidos a Azure AD está seleccionada de forma predeterminada y no se puede deseleccionar.
  • Para usar una aplicación multiarrendatario de Azure AD que se haya invitado a su entorno, el ID de arrendatario de Azure AD introducido debe ser su propio ID de arrendatario, no el ID de arrendatario de donde procede la aplicación.

Usar PowerShell

Como alternativa, puede usar los comandos de PowerShell para crear una cuenta de servicio de Azure AD. Por ejemplo:

  $tenantId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  $applicationId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  $applicationSecret = xxxxxxxxxxxxxxx
  $credential = ConvertTo-SecureString -String $applicationSecret -AsPlainText -Force

  New-AcctServiceAccount -IdentityProviderType AzureAD -IdentityProviderIdentifier $tenantId -AccountId $applicationId -AccountSecret $credential -SecretExpiryTime 2030/08/15 -Capabilities @("AzureADDeviceManagement","IntuneDeviceManagement") -DisplayName 'MyApplication' -Description 'Service account for Azure AD tenant'
<!--NeedCopy-->

Migrar la administración de dispositivos unidos de Azure AD a la cuenta de servicio

Anteriormente, Citrix ofrecía una opción para habilitar la administración de dispositivos unidos a Azure AD al crear o modificar una conexión de host a Microsoft Azure Resource Manager. MCS usaba los permisos de la entidad principal de servicio de Azure AD (SPN de aprovisionamiento) almacenados junto con la conexión de host para administrar el dispositivo obsoleto unido a Azure AD. Con las cuentas de servicio, puede usar una entidad principal de servicio dedicada de Azure AD (SPN de administración de identidades) almacenada junto con una cuenta de servicio para administrar los dispositivos unidos a Azure AD o inscritos en Microsoft Intune.

Citrix recomienda usar cuentas de servicio, en vez de conexiones de host, para administrar los dispositivos; de esta forma se separan el SPN de aprovisionamiento y el SPN de administración de identidades.

Para cualquier conexión de host existente que ya tenga habilitada la administración de dispositivos unidos a Azure AD, puede inhabilitarla de la siguiente manera:

  1. En Studio, seleccione Alojamiento en el panel de la izquierda.
  2. Seleccione la conexión y, a continuación, seleccione Modificar conexión en la barra de acciones.
  3. En la página Propiedades de la conexión, desactive la casilla Habilitar la administración de dispositivos unidos a Azure AD.
  4. Haga clic en Guardar para aplicar los cambios.

Nota: No

Actualmente, no puede habilitar la administración de dispositivos unidos a Azure AD al crear una nueva conexión de host.

Qué hacer a continuación

Cuentas de servicio de Azure AD
September 15, 2025
Contribución de: 
C
September 15, 2025
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Your privacy choices footer linkSus opciones de privacidad | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.