Pool d’identités de machines compatibles avec Microsoft Intune
Remarque
Depuis juillet 2023, Microsoft a renommé Azure Active Directory (Azure AD) Microsoft Entra ID. Dans ce document, toute mention d’Azure Active Directory, d’Azure AD ou d’AAD fait désormais référence à Microsoft Entra ID.
Cet article explique comment créer un pool d’identités de machines compatibles avec Microsoft Intune à l’aide de Citrix DaaS.
Vous pouvez créer :
- des catalogues joints à Azure AD et inscrits dans Microsoft Intune, composés de machines virtuelles persistantes et non persistantes, mono-session et multi-session. Pour créer des catalogues, reportez-vous à la section Créer des catalogues Azure AD inscrits dans Microsoft Intune.
- des catalogues joints à Hybrid Azure AD et inscrits dans Microsoft Intune, composés de machines virtuelles persistantes mono-session et multi-session, à l’aide des informations d’identification de l’appareil et de la fonctionnalité de cogestion. Pour créer des catalogues, reportez-vous à la section Créer des catalogues joints à Hybrid Azure AD inscrits dans Microsoft Intune. Vous pouvez également créer des catalogues joints à Hybrid Azure AD et inscrits dans Microsoft Intune, composés de machines virtuelles mono-session et multi-session non persistantes. Cependant, cette fonctionnalité est actuellement proposée en version Technical Preview. Reportez-vous à la page Inscription de machines virtuelles non persistantes jointes à Hybrid Entra ID dans Microsoft Intune.
Pour plus d’informations sur les exigences, les limites et les considérations, consultez Microsoft Intune.
Créer des catalogues Azure AD inscrits dans Microsoft Intune
À l’aide de Studio et de PowerShell, vous pouvez créer des catalogues Azure AD inscrits dans Microsoft Intune, composés de machines virtuelles persistantes et non persistantes.
Pour plus d’informations sur les exigences, les limites et les considérations, consultez :
- Conditions requises pour les catalogues joints à Azure AD et inscrits dans Microsoft Intune
- Limites applicables aux catalogues joints à Azure AD et inscrits dans Microsoft Intune
Utiliser Studio
Les informations suivantes étayent les instructions disponibles dans la section Créer des catalogues de machines.
Dans l’assistant de création de catalogues :
-
Sur la page Identités des machines :
- Sélectionnez Jonction à Azure Active Directory, puis Inscrire les machines dans Microsoft Intune. Si cette option est activée, inscrivez les machines dans Microsoft Intune pour la gestion. Vous pouvez créer des catalogues joints à Azure AD et inscrits dans Microsoft Intune, composés de machines virtuelles mono-session et multi-session persistantes et non persistantes. Toutefois, pour les machines virtuelles non persistantes, la version du VDA doit être 2407 ou ultérieure.
-
Cliquez sur Sélectionner le compte de service et sélectionnez un compte de service disponible dans la liste. If a suitable service account is not available for the Azure AD tenant that the machine identities will join to, you can create a service account. Pour plus d’informations sur les comptes de service, consultez la page Comptes de service Azure AD.
Remarque
Le compte de service que vous avez sélectionné n’est peut-être pas en bon état d’intégrité pour diverses raisons. Vous pouvez accéder à Administrateurs > Comptes de service pour , consulter les informations et résoudre les problèmes conformément aux recommandations. Alternatively, you can proceed with the machine catalog operation and fix the issues later. If you do not fix the issue, stale Azure AD joined or Microsoft Intune enrolled devices are generated that can block Azure AD join of the machines.
Utiliser PowerShell
Voici les étapes PowerShell équivalentes aux opérations dans Studio.
Pour inscrire des machines dans Microsoft Intune à l’aide du SDK Remote PowerShell, utilisez le paramètre DeviceManagementType dans New-AcctIdentityPool. Cette fonctionnalité nécessite que le catalogue soit joint à Azure AD et qu’Azure AD possède la licence Microsoft Intune correcte. Par exemple :
New-AcctIdentityPool -AllowUnicode -DeviceManagementType "Intune" IdentityType="AzureAD" -WorkgroupMachine -IdentityPoolName "AzureADJoinedCatalog" -NamingScheme "AzureAD-VM-##" -NamingSchemeType "Numeric" -ServiceAccountUid $serviceAccountUid -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
<!--NeedCopy-->
Exemple de création d’un catalogue Azure AD inscrit dans Microsoft Intune à l’aide d’une image préparée :
New-ProvScheme -ProvisioningSchemeName <name> -ImageVersionSpecUid <preparedVersionSpecUid> -HostingUnitUid <hostingUnitUid> -IdentityPoolUid <IdentityPoolUid> [-CleanOnBoot] -NetworkMapping @{"0"="XDHyp:\HostingUnits\<hostingunitName>\<region>.region\virtualprivatecloud.folder\<resourcegroupName>.resourcegroup\<vnetName>.virtualprivatecloud\<sunNetName>.network"} -ServiceOffering <serviceofferingPath> [-MachineProfile <machineProfilePath>] [-CustomProperties <>]
<!--NeedCopy-->
Dépannage
Si l’inscription des machines à Microsoft Intune échoue, procédez comme suit :
-
Vérifiez si les machines provisionnées par MCS sont jointes à Azure AD. L’inscription des machines à Microsoft Intune échoue si elles ne sont pas jointes à Azure AD. Consultez la page Dépannage pour résoudre les problèmes de jonction à Azure AD.
-
Vérifiez si la licence Intune appropriée est attribuée à votre locataire Azure AD. Consultez la page https://learn.microsoft.com/fr-fr/mem/intune/fundamentals/licenses pour connaître les licences Microsoft Intune requises.
-
Pour les catalogues qui utilisent des images principales avec VDA version 2206 ou antérieure, vérifiez l’état de provisioning de l’extension AADLoginForWindows pour les machines. Si l’extension AADLoginForWindows n’existe pas, les raisons possibles sont les suivantes :
-
Le paramètre
IdentityTypedu pool d’identités associé au schéma de provisioning n’est pas défini surAzureADouDeviceManagementTypen’est pas défini surIntune. Vous pouvez le vérifier en exécutantGet-AcctIdentityPool. -
La stratégie Azure a bloqué l’installation de l’extension AADLoginForWindows.
-
-
Pour résoudre les problèmes de provisioning de l’extension AADLoginForWindows, vous pouvez consulter les journaux sous
C:\WindowsAzure\Logs\Plugins\Microsoft.Azure.ActiveDirectory.AADLoginForWindowssur la machine provisionnée par MCS.Remarque
MCS ne se base pas sur l’extension
AADLoginForWindowspour joindre une machine virtuelle à Azure AD et l’inscrire à Microsoft Intune lorsqu’une image principale est utilisée avec VDA version 2209 ou ultérieure. Dans ce cas, l’extensionAADLoginForWindowsn’est pas installée sur la machine provisionnée par MCS. En conséquence, les journaux de provisioning de l’extensionAADLoginForWindowsne peuvent pas être collectés. -
Consultez les journaux d’événements Windows sous Journaux des applications et des services > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider.
-
Le compte de service que vous avez sélectionné n’est peut-être pas en bon état d’intégrité pour diverses raisons. Vous pouvez accéder à Administrateurs > Comptes de service pour , consulter les informations et résoudre les problèmes conformément aux recommandations. If you do not fix the issue, stale Azure AD joined or Microsoft Intune enrolled devices are generated that can block Azure AD join of the machines.
Créer des catalogues joints à Hybrid Azure AD et inscrits dans Microsoft Intune
Vous pouvez créer des catalogues compatibles avec la cogestion, joints à Hybrid Azure AD et inscrits dans Microsoft Intune, composés de machines virtuelles persistantes mono-session et multi-session. Vous pouvez créer des catalogues compatibles avec la cogestion à l’aide de Studio et de PowerShell.
Pour plus d’informations sur les exigences, les limites et les considérations, consultez :
- Conditions requises pour les catalogues joints à Hybrid Azure AD et inscrits dans Microsoft Intune
- Limites applicables aux catalogues joints à Hybrid Azure AD et inscrits dans Microsoft Intune
Utiliser Studio
Les informations suivantes étayent les instructions disponibles dans la section Créer des catalogues de machines.
Dans l’assistant Configuration du catalogue de machines :
- Sur la page Identités de machines, sélectionnez Jonction à Hybrid Azure Active Directory, puis Inscrire les machines dans Microsoft Intune avec Configuration Manager. Cette action permet à Configuration Manager et à Microsoft Intune de gérer les machines virtuelles (ainsi cogérées).
Utiliser PowerShell
Voici les étapes PowerShell équivalentes aux étapes de Studio.
Pour inscrire des machines dans Microsoft Intune avec Configuration Manager à l’aide du SDK Remote PowerShell, utilisez le paramètre DeviceManagementType dans New-AcctIdentityPool. Cette fonctionnalité nécessite que le catalogue soit joint à Hybrid Azure AD et qu’Azure AD possède la licence Microsoft Intune appropriée.
La différence entre les catalogues joints à Hybrid Azure AD et les catalogues compatibles avec la cogestion réside dans la création du pool d’identités. Par exemple :
New-AcctIdentityPool -AllowUnicode -DeviceManagementType "IntuneWithSCCM" IdentityType="HybridAzureAD" -IdentityPoolName "CoManagedCatalog" -NamingScheme "CoManaged-VM-##" -NamingSchemeType "Numeric" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
<!--NeedCopy-->
Vous pouvez également créer un catalogue Hybrid Azure AD persistant inscrit dans Microsoft Intune à l’aide d’une image préparée. Exemple d’ensemble complet de commandes PowerShell pour créer une définition d’image, une version d’image et une spécification de version d’image préparée, consultez :
- Environnement de virtualisation Azure : Utiliser PowerShell.
- Environnement de virtualisation VMware : Utiliser PowerShell
Après avoir créé la spécification de version de l’image préparée, créez le pool d’identités et le catalogue de machines. Par exemple :
New-AcctIdentityPool -IdentityPoolName "mypool" -NamingScheme ACC## -NamingSchemeType "Numeric" -ZoneUid $zoneuid -Domain $domainName -OU "OU=HAAD Computers,DC=haad,DC=link" -IdentityType "HybridAzureAD" -DeviceManagement IntuneWithSCCM
New-ProvScheme -ProvisioningSchemeName <name> -ImageVersionSpecUid <preparedVersionSpecUid> -HostingUnitUid <hostingUnitUid> -IdentityPoolUid <IdentityPoolUid> [-CleanOnBoot] -NetworkMapping @{"0"="XDHyp:\HostingUnits\<hostingunitName>\<region>.region\virtualprivatecloud.folder\<resourcegroupName>.resourcegroup\<vnetName>.virtualprivatecloud\<sunNetName>.network"} -ServiceOffering <serviceofferingPath> [-MachineProfile <machineProfilePath>] [-CustomProperties <>]
<!--NeedCopy-->
Remarque
L’inscription dans Microsoft Intune des machines virtuelles non persistantes jointes à Hybrid Azure AD est actuellement proposée en version Technical Preview.
Dépannage
Si les machines ne parviennent pas à s’inscrire dans Microsoft Intune ou n’atteignent pas l’état de cogestion, procédez comme suit :
-
Vérifiez la licence Intune
Vérifiez si la licence Intune appropriée est attribuée à votre locataire Azure AD. Reportez-vous à l’article Gestion des licences Microsoft Intune pour connaître les licences Microsoft Intune requises.
-
Vérifiez l’état de jonction à Hybrid Azure AD
Vérifiez si les machines provisionnées par MCS sont jointes à Hybrid Azure AD. Les machines ne sont pas éligibles à la cogestion si elles ne sont pas jointes à Hybrid Azure AD. Consultez la page Dépannage pour résoudre les problèmes de jonction à Hybrid Azure AD.
-
Vérifiez l’éligibilité à la cogestion
-
Vérifiez si les machines provisionnées par MCS sont correctement attribuées au site Configuration Manager attendu. Pour obtenir le site attribué, exécutez la commande PowerShell suivante sur les machines concernées.
(New-Object -ComObject "Microsoft.SMS.Client").GetAssignedSite() <!--NeedCopy--> -
Si aucun site n’est attribué à la machine virtuelle, exécutez la commande suivante pour vérifier si le site Configuration Manager peut être détecté automatiquement.
(New-Object -ComObject "Microsoft.SMS.Client").AutoDiscoverSite() <!--NeedCopy--> -
Si aucun code de site ne peut être détecté, assurez-vous que les limites et groupes de limites sont correctement configurés dans votre environnement Configuration Manager. Pour plus d’informations, reportez-vous à la page Considérations.
-
Consultez les journaux sous
C:\Windows\CCM\Logs\ClientLocation.logpour rechercher tout problème d’attribution de site client Configuration Manager. -
Vérifiez les états de cogestion des machines. Ouvrez le Panneau de configuration de Configuration Manager sur les machines concernées et accédez à l’onglet Général. La valeur de la propriété de cogestion doit être Activé. Si ce n’est pas le cas, consultez les journaux sous
C:\Windows\CCM\Logs\CoManagementHandler.log.
-
-
Vérifier l’inscription à Intune
L’inscription des machines dans Microsoft Intune peut échouer même si toutes les conditions préalables sont satisfaites. Consultez les journaux d’événements Windows sous Journaux des applications et des services > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider pour rechercher tout problème d’inscription à Intune.