Citrix DaaS

Unido a Azure Active Directory híbrido

Nota:

Esta función se implementará por fases. Es posible que aún no se haya activado para su cuenta.

En este artículo se describe cómo crear catálogos unidos a Azure Active Directory (AD) híbrido mediante Citrix DaaS.

Las máquinas unidas a Azure AD híbrido utilizan AD local como el proveedor de autenticación. Puede asignarlas a usuarios o a grupos de dominio en AD local. Para habilitar la experiencia integrada de SSO para Azure AD, debe tener los usuarios del dominio sincronizados con Azure AD.

Requisitos

  • Plano de control: Citrix DaaS

  • Tipo de VDA: VDA para SO de sesión única o multisesión

  • Versión de VDA: 2112 o una posterior

  • Tipo de aprovisionamiento: Persistente y No persistente de Machine Creation Services (MCS)

  • Tipo de asignación: Dedicada y agrupada

  • Plataforma de alojamiento: Cualquier hipervisor o servicio de la nube

  • Las máquinas virtuales maestras no deben estar unidas a Azure AD

Limitaciones

  • Si se utiliza Servicio de autenticación federada (FAS) de Citrix, el inicio de sesión único (SSO) se dirige a AD local en lugar de a Azure AD.

Consideraciones

  • Las máquinas virtuales maestras pueden estar unidas a AD en instancias locales o no unidas a ningún dominio. Sin embargo, no deben estar unidas a Azure AD. Puede ejecutar dsregcmd /status en las máquinas virtuales maestras para comprobar el estado actual de la unión a Azure AD híbrido y usar dsregcmd /leave para desvincularse.

  • La creación de máquinas unidas a Azure Active Directory híbrido requiere el permiso Write userCertificate en el dominio de destino. Asegúrese de introducir las credenciales de un administrador con ese permiso durante la creación del catálogo.

  • Citrix administra el proceso de unión a Azure AD híbrido. Debe inhabilitar autoWorkplaceJoin controlado por Windows en las máquinas virtuales maestras de esta manera:

    1. Ejecute gpedit.msc.
    2. Vaya a Configuración del equipo > Plantillas administrativas > Componentes de Windows > Registro de dispositivos.
    3. Inhabilite la opción Registrar los equipos asociados a un dominio como dispositivos.
  • Seleccione la unidad organizativa (OU) configurada para sincronizarse con Azure AD al crear las identidades de las máquinas.

Crear catálogos unidos a Azure AD híbrido

Puede crear catálogos unidos a Azure AD mediante la interfaz de Configuración completa o PowerShell.

Usar la interfaz de Configuración completa

La información siguiente complementa a las instrucciones del artículo Crear catálogos de máquinas. Para crear catálogos unidos a Azure AD híbrido, siga las instrucciones generales de ese artículo y tenga en cuenta los detalles específicos sobre los catálogos unidos a Azure AD híbrido.

En el asistente para la creación de catálogos:

  • En la página Identidades de máquinas, seleccione Unido a Azure Active Directory híbrido. Las máquinas creadas son propiedad de una organización en las que se ha iniciado sesión con una cuenta de Active Directory Domain Services perteneciente a esa organización. Existen en la nube y en instancias locales.

Nota:

Si selecciona Unido a Azure Active Directory híbrido como el tipo de identidad, cada máquina del catálogo debe tener una cuenta de equipo de AD correspondiente.

Mediante PowerShell

He aquí los pasos de PowerShell equivalentes a las operaciones de Configuración completa. Para obtener información sobre cómo crear un catálogo con el SDK de PowerShell remoto, consulte https://developer-docs.citrix.com/projects/citrix-virtual-apps-desktops-sdk/en/latest/creating-a-catalog/.

La diferencia entre los catálogos unidos a AD local y los unidos a Azure AD híbrido radica en la creación del grupo de identidades y las cuentas de máquina.

Para crear un grupo de identidades junto con las cuentas de los catálogos unidos a Azure AD híbrido:

New-AcctIdentityPool -AllowUnicode -IdentityType="HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
New-AcctADAccount -IdentityPoolName "HybridAADJoinedCatalog" -Count 10 -ADUserName "corp\admin1" -ADPassword $password
Set-AcctAdAccountUserCert -IdentityPoolName "HybridAADJoinedCatalog" -All -ADUserName "corp\admin1" -ADPassword $password
<!--NeedCopy-->

Nota:

$password es la contraseña correspondiente de una cuenta de usuario de AD con permisos de escritura.

Todos los demás comandos que se utilizan para crear catálogos unidos a Azure AD híbrido son los mismos que se usan para los catálogos tradicionales unidos a AD local.

Ver el estado del proceso de unión a Azure AD híbrido

En la interfaz de Configuración completa, el estado del proceso de unión a Azure AD híbrido es visible cuando las máquinas unidas a Azure AD híbrido de un grupo de entrega están encendidas. Para ver el estado, utilice Buscar para identificar esas máquinas y, a continuación, para cada una de ellas, compruebe la identidad de la máquina en la ficha Detalles del panel inferior. Esta información puede aparecer en Identidad de la máquina:

  • Unido a Azure AD híbrido

  • Aún no se ha unido a Azure AD

Nota:

  • Es posible que se produzca una demora en la unión a Azure AD híbrido cuando la máquina se enciende por primera vez. Esto se debe al intervalo de sincronización de identidad de máquina predeterminado (30 minutos de Azure AD Connect). La máquina se halla en estado unido a Azure AD híbrido solamente después de que las identidades de máquina se hayan sincronizado con Azure AD a través de Azure AD Connect.
  • Si las máquinas no están unidas a Azure AD híbrido, no se registran en el Delivery Controller. Su estado de registro aparece como Inicialización.

Además, mediante la interfaz de Configuración completa, puede averiguar por qué las máquinas no están disponibles. Para ello, haga clic en una máquina del nodo Buscar, marque Registro en la ficha Detalles del panel inferior y, a continuación, lea el texto de ayuda para obtener información adicional.

Solucionar problemas

Si las máquinas no logran unirse a Azure AD híbrido, haga lo siguiente:

  • Compruebe si la cuenta de máquina se ha sincronizado con Azure AD a través del portal de Microsoft Azure AD. Si se ha sincronizado, aparece Aún no se ha unido a Azure AD, que indica que el estado de registro está pendiente.

    Para sincronizar las cuentas de máquina con Azure AD, asegúrese de lo siguiente:

    • La cuenta de máquina está en la OU configurada para sincronizarse con Azure AD. Las cuentas de máquina sin el atributo userCertificate no se sincronizan con Azure AD aunque estén en la OU configurada para sincronizarse.

    • El atributo userCertificate se rellena en la cuenta de la máquina. Utilice Active Directory Explorer para ver el atributo.

    • Azure AD Connect debe haberse sincronizado al menos una vez después de haber creado la cuenta de máquina. Si no es el caso, ejecute manualmente el comando Start-ADSyncSyncCycle -PolicyType Delta en la consola de PowerShell de la máquina de Azure AD Connect para activar una sincronización inmediata.

  • Para comprobar si el par de claves de dispositivos administrados por Citrix para la unión a Azure AD híbrido se ha insertado correctamente en la máquina, consulte el valor de DeviceKeyPairRestored en HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrix.

    Verifique que el valor sea 1. Si no es así, he aquí una serie de posibles razones:

    • IdentityType del grupo de identidades asociado al esquema de aprovisionamiento no está establecido en HybridAzureAD. Esto lo puede verificar Get-IdentityPool.

    • La máquina no se aprovisiona con el mismo esquema de aprovisionamiento del catálogo de máquinas.

    • La máquina no está unida al dominio local. La unión al dominio local es un requisito previo para la unión a Azure AD híbrido.

  • Para comprobar los mensajes de diagnóstico, ejecute el comando dsregcmd /status /debug en la máquina aprovisionada por MCS.

    Si la unión a Azure AD híbrido se realiza correctamente, AzureAdJoined y DomainJoined son YES en el resultado de la línea de comandos.

    Si no es así, consulte la documentación de Microsoft para solucionar los problemas: https://docs.microsoft.com/en-us/azure/active-directory/devices/troubleshoot-hybrid-join-windows-current.

Unido a Azure Active Directory híbrido