Documentation produit
Citrix Virtual Apps and Desktops
Current Release Service 2511 2507 LTSR 2503 2411 2407 2402 LTSR 2311 2203 LTSR
Voir PDF

Pool d’identités de machines jointes à Microsoft Entra hybride

July 9, 2026
Contributeur: 
C C

Cet article décrit comment créer un pool d’identités de :

  • Catalogues joints à Microsoft Entra hybride
  • Catalogues joints à Microsoft Entra hybride inscrits dans Microsoft Intune

Pour plus d’informations sur les exigences, les limitations et les considérations, consultez Joints à Microsoft Entra hybride.

Créer des catalogues joints à Microsoft Entra hybride

Utiliser Web Studio

Les informations suivantes complètent les directives de Créer des catalogues de machines.

Sur la page Identités de machines de l’assistant de création de catalogue :

  • Sélectionnez Jointes à Microsoft Entra hybride. Les machines créées appartiennent à une organisation et sont connectées avec un compte Active Directory qui appartient à cette organisation.

  • Pour inscrire les machines créées dans Microsoft Intune (y compris Configuration Manager) pour la gestion des appareils, sélectionnez Inscrire les machines dans Microsoft Intune avec Configuration Manager. Pour éviter les erreurs lors de la création du catalogue, assurez-vous que l’image principale répond aux exigences suivantes :

    • Dispose de la version 2405 ou ultérieure du VDA installée.
    • Dispose du client Configuration Manager installé avec le code de site non attribué. Pour plus d’informations, consultez cet article de Microsoft.

Remarque :

Si vous sélectionnez Jointes à Microsoft Entra hybride comme type d’identité, chaque machine du catalogue doit avoir un compte d’ordinateur AD correspondant.

  • Cliquez sur Ajouter des attributs d’extension pour stocker des données personnalisées uniques directement sur vos objets d’appareil Entra ID. Sur la page Ajouter des attributs d’extension, ajoutez Attributs d’extension et Valeur.

Remarque :

  • Vous pouvez ajouter un maximum de 15 attributs d’extension.
  • Le nom et la valeur doivent être uniques et ne peuvent pas être vides.

Ajouter ou modifier des attributs d’extension

Pour modifier ou ajouter des attributs d’extension supplémentaires à un catalogue de machines MCS existant, ou pour ajouter des attributs d’extension à un catalogue MCS sans compte de service, utilisez l’assistant Modifier le catalogue de machines.

  • Pour modifier ou ajouter des attributs d’extension supplémentaires, accédez à la page Attributs d’extension de l’appareil Microsoft Entra. Cliquez sur l’icône en forme de crayon, puis ajoutez ou mettez à jour les attributs d’extension.

  • Pour ajouter des attributs d’extension à un catalogue MCS sans compte de service Microsoft Entra :

    1. Accédez à la page Compte de service. Sélectionnez un compte de service Microsoft Entra pour l’ID Microsoft Intra.
    2. Accédez à la page Attributs d’extension de l’appareil Microsoft Entra, cliquez sur Ajouter des attributs d’extension.

Utiliser PowerShell

Voici les étapes PowerShell équivalentes aux opérations dans Web Studio. Pour plus d’informations sur la création d’un catalogue à l’aide du SDK PowerShell distant, consultez https://developer-docs.citrix.com/projects/citrix-virtual-apps-desktops-sdk/en/latest/creating-a-catalog/.

La différence entre les catalogues joints à un AD local et les catalogues joints hybrides Microsoft Entra réside dans la création du pool d’identités et des comptes de machine.

Pour créer un pool d’identités avec les comptes pour les catalogues joints hybrides Microsoft Entra :

New-AcctIdentityPool -AllowUnicode -IdentityType "HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
New-AcctIdentity -IdentityPoolName "HybridAADJoinedCatalog" -Count 10 -ADUserName "corp\admin1" -ADPassword $password
Set-AcctAdAccountUserCert -IdentityPoolName "HybridAADJoinedCatalog" -All -ADUserName "corp\admin1" -ADPassword $password
<!--NeedCopy-->

Remarque :

$password est le mot de passe correspondant à un compte utilisateur AD avec des autorisations d’écriture.

Toutes les autres commandes utilisées pour créer des catalogues joints hybrides Microsoft Entra sont les mêmes que pour les catalogues traditionnels joints à un AD sur site.

Pour créer un nouveau pool d’identités avec des attributs d’extension spécifiés et l’associer à un compte de service, exécutez ce qui suit :

New-AcctIdentityPool -IdentityPoolName HybridAzureAD -NamingScheme ACC#### -NamingSchemeType Numeric -Domain "abc.local" -IdentityType HybridAzureAD -ServiceAccountUid $serviceAccountUid -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"}
<!--NeedCopy-->

Lorsqu’une VM est mise sous tension pour la première fois, après avoir rejoint Microsoft Entra ID, la VM signale son deviceId Entra ID à MCS.

Par exemple : Pour vérifier le EntraIDDeviceID, exécutez Get-AcctADAccount ou Get-AcctIdentity.

Get-AcctADAccount -IdentityPoolName MyPool
<!--NeedCopy-->

Après le redémarrage, pour les VM persistantes et non persistantes, le EntraIDDeviceID reste le même.

Remarque :

MCS supprime automatiquement les ID de périphérique et les attributs d’extension associés lorsque vous supprimez une VM du catalogue mais ne la supprimez pas d’Azure.

Pour modifier les attributs d’extension du catalogue existant, exécutez ce qui suit :

Remarque :

  • Après la mise à niveau des VM de catalogue existantes vers la version 2511 ou ultérieure du VDA, un redémarrage est nécessaire. Ce redémarrage permet à la VM de signaler son deviceId Entra ID à MCS, ce qui permet ensuite à MCS de configurer les attributs d’extension de la VM.
  • Le catalogue existant doit disposer d’un compte de service de type AzureAD avec l’autorisation « Device.ReadWrite.All ».

Pour ajouter de nouveaux attributs :

Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"}
<!--NeedCopy-->

Pour supprimer des attributs existants

Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{}
<!--NeedCopy-->

OU

Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{extensionAttribute1 = ""; extensionAttribute2 = ""}
<!--NeedCopy-->

Set-AcctIdentityPool met également à jour les attributs d’extension de l’appareil Entra ID pour les machines virtuelles déjà jointes à Entra ID et possédant une valeur EntraIDDeviceID dans leurs identités.

Afficher l’état du processus de jonction hybride Microsoft Entra

Dans Web Studio, l’état du processus de jonction hybride Microsoft Entra est visible lorsque les machines jointes hybrides Microsoft Entra d’un groupe de mise à disposition sont sous tension. Pour afficher l’état, utilisez Rechercher pour identifier ces machines, puis pour chacune, vérifiez Identité de la machine sous l’onglet Détails dans le volet inférieur. Les informations suivantes peuvent apparaître dans Identité de la machine :

  • Jointe hybride Microsoft Entra
  • Pas encore jointe à Microsoft Entra ID

Remarque :

  • Vous pourriez rencontrer un délai dans la jonction hybride Microsoft Entra lorsque la machine démarre initialement. Ceci est dû à l’intervalle de synchronisation par défaut de l’identité de la machine (30 minutes de Microsoft Entra Connect). La machine est dans l’état de jonction hybride Microsoft Entra uniquement après que les identités de la machine sont synchronisées avec Microsoft Entra ID via Microsoft Entra Connect.
  • Si les machines ne parviennent pas à être dans l’état de jonction hybride Microsoft Entra, elles ne sont pas enregistrées auprès du Delivery Controller. Leur état d’enregistrement apparaît comme Initialisation.

De plus, en utilisant Web Studio, vous pouvez savoir pourquoi les machines sont indisponibles. Pour ce faire, cliquez sur une machine dans le nœud Rechercher, vérifiez Enregistrement sous l’onglet Détails dans le volet inférieur, puis lisez l’info-bulle pour des informations supplémentaires.

Dépannage

Si les machines ne parviennent pas à être jointes hybrides Microsoft Entra, procédez comme suit :

  • Vérifiez si le compte de machine a été synchronisé avec Microsoft Entra ID via le portail Microsoft Entra ID. Si synchronisé, Pas encore jointe à Microsoft Entra ID apparaît, indiquant un état d’enregistrement en attente.

    Pour synchroniser les comptes de machine avec Microsoft Entra ID, assurez-vous que :

    • Le compte de machine se trouve dans l’unité d’organisation (OU) configurée pour être synchronisée avec Microsoft Entra ID. Les comptes de machine sans l’attribut userCertificate ne sont pas synchronisés avec Microsoft Entra ID même s’ils se trouvent dans l’unité d’organisation configurée pour être synchronisée.
    • L’attribut userCertificate est renseigné dans le compte de machine. Utilisez Active Directory Explorer pour afficher l’attribut.
    • Microsoft Entra Connect doit avoir été synchronisé au moins une fois après la création du compte machine. Si ce n’est pas le cas, exécutez manuellement la commande Start-ADSyncSyncCycle -PolicyType Delta dans la console PowerShell de la machine Microsoft Entra Connect pour déclencher une synchronisation immédiate.

  • Vérifiez si la paire de clés de périphérique gérée par Citrix pour la jonction hybride Microsoft Entra est correctement poussée vers la machine en interrogeant la valeur de DeviceKeyPairRestored sous HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrix.

    Vérifiez que la valeur est 1. Si ce n’est pas le cas, les raisons possibles sont :

    • IdentityType du pool d’identités associé au schéma de provisionnement n’est pas défini sur HybridAzureAD. Vous pouvez le vérifier en exécutant Get-AcctIdentityPool.
    • La machine n’est pas provisionnée à l’aide du même schéma de provisionnement que le catalogue de machines.
    • La machine n’est pas jointe au domaine local. La jonction au domaine local est une condition préalable à la jonction hybride Microsoft Entra.

  • Vérifiez les messages de diagnostic en exécutant la commande dsregcmd /status /debug sur la machine provisionnée par MCS.

    • Si la jonction hybride Microsoft Entra est réussie, AzureAdJoined et DomainJoined sont YES dans la sortie de la ligne de commande.

    • Si ce n’est pas le cas, consultez la documentation Microsoft pour résoudre les problèmes : https://docs.microsoft.com/fr-fr/azure/active-directory/devices/troubleshoot-hybrid-join-windows-current.

    • Si vous recevez le message d’erreur Server Message: The user certificate is not found on the device with id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx, exécutez la commande PowerShell suivante pour réparer le certificat utilisateur :

       Repair-AcctIdentity -IdentityAccountName TEST\VM1 -Target UserCertificate
 <!--NeedCopy-->

      Pour plus d’informations sur le problème de certificat utilisateur, consultez CTX566696.

Créer des catalogues joints hybrides Microsoft Entra inscrits dans Microsoft Intune

Vous pouvez créer des catalogues activés pour la cogestion pour les catalogues joints hybrides Microsoft Entra inscrits dans Microsoft Intune pour les machines virtuelles persistantes à session unique et multi-sessions. Vous pouvez créer des catalogues activés pour la cogestion à l’aide de Studio et de PowerShell.

Utiliser Web Studio

Les informations suivantes complètent les directives de Créer des catalogues de machines.

Dans l’assistant Configuration du catalogue de machines :

  • Sur la page Identités de machine, sélectionnez Jointes à Microsoft Entra hybride, puis Inscrire les machines dans Microsoft Intune avec Configuration Manager. Grâce à cette action, Configuration Manager et Microsoft Intune (c’est-à-dire cogérées) gèrent les machines virtuelles.

Utiliser PowerShell

Voici les étapes PowerShell équivalentes aux étapes de Studio.

Pour inscrire des machines dans Microsoft Intune avec Configuration Manager à l’aide du SDK PowerShell distant, utilisez le paramètre DeviceManagementType dans New-AcctIdentityPool. Cette fonctionnalité nécessite que le catalogue soit joint à Microsoft Entra hybride et que Microsoft Entra ID possède la licence Microsoft Intune appropriée.

La différence entre les catalogues joints à Microsoft Entra hybride et ceux activés pour la cogestion réside dans la création du pool d’identités. Par exemple :

New-AcctIdentityPool -AllowUnicode -DeviceManagementType "IntuneWithSCCM" IdentityType="HybridAzureAD" -IdentityPoolName "CoManagedCatalog" -NamingScheme "CoManaged-VM-##" -NamingSchemeType "Numeric" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
<!--NeedCopy-->

Dépannage

Si les machines ne parviennent pas à s’inscrire dans Microsoft Intune ou n’atteignent pas l’état de cogestion, procédez comme suit :

  • Vérifier la licence Intune

    Vérifiez si votre locataire Microsoft Entra dispose de la licence Intune appropriée. Consultez Licences Microsoft Intune pour connaître les exigences de licence de Microsoft Intune.

  • Vérifier l’état de la jonction hybride Microsoft Entra

    Vérifiez si les machines provisionnées par MCS sont jointes à Microsoft Entra hybride. Les machines ne sont pas éligibles à la cogestion si elles ne sont pas jointes à Microsoft Entra hybride. Consultez Dépannage pour résoudre les problèmes de jonction hybride Microsoft Entra.

  • Vérifier l’éligibilité à la cogestion

    • Vérifiez si les machines provisionnées par MCS sont correctement affectées au site Configuration Manager attendu. Pour obtenir le site affecté, exécutez la commande PowerShell suivante sur les machines concernées.

       (New-Object -ComObject "Microsoft.SMS.Client").GetAssignedSite()
 <!--NeedCopy-->

    • Si aucun site n’est affecté à la machine virtuelle, utilisez la commande suivante pour vérifier si le site Configuration Manager peut être découvert automatiquement.

       (New-Object -ComObject "Microsoft.SMS.Client").AutoDiscoverSite()
 <!--NeedCopy-->

    • Assurez-vous que les limites et les groupes de limites sont bien configurés dans votre environnement Configuration Manager si aucun code de site ne peut être découvert. Consultez Considérations pour plus de détails.

    • Vérifiez C:\Windows\CCM\Logs\ClientLocation.log pour tout problème d’affectation de site client Configuration Manager.

    • Vérifiez les états de cogestion des machines. Ouvrez le panneau de configuration de Configuration Manager sur les machines affectées et accédez à l’onglet Général. La valeur de la propriété Cogestion doit être Activée. Si ce n’est pas le cas, vérifiez les journaux sous C:\Windows\CCM\Logs\CoManagementHandler.log.

  • Vérifier l’inscription Intune

    Les machines peuvent échouer à s’inscrire à Microsoft Intune même si toutes les conditions préalables sont remplies. Vérifiez les journaux d’événements Windows sous Journaux des applications et des services > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider pour les problèmes d’inscription Intune.

Pool d’identités de machines jointes à Microsoft Entra hybride
July 9, 2026
Contributeur: 
C C
July 9, 2026
Contributeur: 
C C

Dans cet article

Commentaires sur le site | Your privacy choices footer linkVos préférences de confidentialité | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.