Citrix Virtual Apps and Desktops

Joint à Active Directory

November 25, 2025

Contributeur:

Active Directory est requis pour l’authentification et l’autorisation. L’infrastructure Kerberos dans Active Directory est utilisée pour garantir l’authenticité et la confidentialité des communications avec les Delivery Controller. Pour de plus amples informations sur Kerberos, veuillez consulter la documentation Microsoft.

L’article Configuration système requise répertorie les niveaux fonctionnels pris en charge de la forêt et du domaine. Pour utiliser la modélisation de stratégie, le contrôleur de domaine doit être exécuté sur tous les systèmes d’exploitation de serveur pris en charge. Cela n’affecte pas le niveau fonctionnel du domaine.

Ce produit prend en charge ce qui suit :

Déploiements dans lesquels les comptes utilisateurs et les comptes d’ordinateur existent dans des domaines d’une seule forêt Active Directory. Les comptes utilisateurs et d’ordinateur peuvent exister dans des domaines arbitraires au sein d’une même forêt. Tous les niveaux fonctionnels de domaine et de forêt sont pris en charge dans ce type de déploiement.
Déploiements dans lesquels les comptes utilisateurs existent dans une forêt Active Directory différente de la forêt Active Directory contenant les comptes d’ordinateurs des contrôleurs et des bureaux virtuels. Dans ce type de déploiement, les domaines contenant les comptes d’ordinateurs du Controller et des bureaux virtuels doivent approuver les domaines contenant les comptes utilisateurs. Des approbations de forêt ou des approbations externes peuvent être utilisées. Tous les niveaux fonctionnels de domaine et de forêt sont pris en charge dans ce type de déploiement.
Déploiements dans lesquels les comptes d’ordinateur des Controller existent dans une forêt Active Directory différente d’une ou plusieurs forêts Active Directory supplémentaires qui contiennent les comptes d’ordinateur des bureaux virtuels. Dans ce type de déploiement, une approbation bidirectionnelle doit exister entre les domaines contenant les comptes d’ordinateur des Controller et tous les domaines contenant les comptes d’ordinateurs des bureaux virtuels. Dans ce type de déploiement, tous les domaines contenant les comptes d’ordinateurs des contrôleurs ou des bureaux virtuels doivent figurer au niveau fonctionnel « natif de Windows 2000 » ou supérieur. Tous les niveaux fonctionnels de forêt sont pris en charge.
Contrôleurs de domaine accessibles en écriture. Les contrôleurs de domaine en lecture seule ne sont pas pris en charge.

Facultativement, les VDA (Virtual Delivery Agents) peuvent utiliser des informations publiées dans Active Directory pour déterminer les Controller avec lesquels ils peuvent s’enregistrer (découverte). Cette méthode est principalement prise en charge pour la rétrocompatibilité, et est uniquement disponible si les VDA se trouvent dans la même forêt Active Directory que les Controller. Pour de plus amples informations sur cette méthode de découverte, consultez Découverte basée sur unité d’organisation Active Directory et l’article CTX118976.

Remarque :

Ne modifiez pas le nom de l’ordinateur ni l’appartenance au domaine d’un Delivery Controller™ une fois le site configuré.

Déployer dans un environnement Active Directory avec des forêts multiples

Dans un environnement Active Directory avec plusieurs forêts, si des approbations à sens unique ou bidirectionnelles sont en place, vous pouvez utiliser les redirecteurs DNS ou conditionnels pour la recherche de nom et l’enregistrement. Pour autoriser les utilisateurs Active Directory appropriés à créer des comptes d’ordinateurs, utilisez l’Assistant Délégation de contrôle. Reportez-vous à la documentation Microsoft pour plus d’informations sur cet assistant.

Aucune zone DNS inversée n’est nécessaire dans l’infrastructure DNS si des redirecteurs DNS appropriés sont en place entre les forêts.

La clé SupportMultipleForest n’est nécessaire que si le VDA et le Controller se trouvent dans des forêts différentes que les noms Active Directory et NetBIOS soient différents ou non. Utilisez les informations suivantes pour ajouter la clé de registre au VDA et aux Delivery Controller :

Attention :

Toute utilisation incorrecte de l’Éditeur du Registre peut générer des problèmes sérieux, pouvant vous obliger à réinstaller le système d’exploitation. Citrix® ne peut pas garantir que les problèmes résultant d’une utilisation incorrecte de l’Éditeur du Registre puissent être résolus. Utilisez l’Éditeur du Registre à vos propres risques. Effectuez une copie de sauvegarde de votre registre avant de le modifier.

Sur le VDA, configurez : HKEY_LOCAL_MACHINE\Software\Citrix\VirtualDesktopAgent\SupportMultipleForest.

Nom : SupportMultipleForest
Type : REG_DWORD
Données : 0x00000001 (1)

Sur tous les Delivery Controller, configurez : HKEY_LOCAL_MACHINE\Software\Citrix\DesktopServer\SupportMultipleForest.

Nom : SupportMultipleForest
Type : REG_DWORD
Données : 0x00000001 (1)

Vous aurez peut-être besoin d’utiliser une configuration DNS inversée si l’espace de noms DNS est différent de celui d’Active Directory.

Une entrée de registre a été ajoutée pour éviter l’activation indésirable de l’authentification NTLM dans les VDA, qui est moins sécurisé que Kerberos. Cette entrée peut être utilisée à la place de l’entrée SupportMultipleForest, qui peut toujours être utilisée pour la rétrocompatibilité.

Sur le VDA, configurez : HKEY_LOCAL_MACHINE\Software\Policies\Citrix\VirtualDesktopAgent.

Nom : SupportMultipleForestDdcLookup
Type : REG_DWORD
Données : 0x00000001 (1)

Cette clé de registre effectue une recherche DDC dans un environnement avec plusieurs forêts impliquant des approbations bidirectionnelles, ce qui vous permet de supprimer l’authentification basée sur NTLM pendant le processus d’enregistrement initial.

Si des approbations externes sont en place au cours de l’installation, la clé de registre ListOfSIDs est requise. La clé de registre ListOfSIDs est également nécessaire si le nom de domaine complet (FQDN) Active Directory est différent du FQDN DNS ou si le domaine contenant le contrôleur de domaine porte un nom NetBIOS autre que le FQDN Active Directory. Pour ajouter la clé de registre, utilisez les informations suivantes :

Pour le VDA, recherchez la clé de registre HKEY_LOCAL_MACHINE\Software\Citrix\VirtualDesktopAgent\ListOfSIDs.

Nom : ListOfSIDs
Type : REG_SZ
Données : identificateur de sécurité (SID) des Controller (Les SID sont inclus dans les résultats de l’applet de commande Get-BrokerController.)

Lorsque des approbations externes sont en place, apportez la modification suivante sur le VDA :

Recherchez le fichier Program Files\Citrix\Virtual Desktop Agent\brokeragent.exe.config.
Créez une copie de sauvegarde du fichier.
Ouvrez le fichier dans un éditeur de texte tel que le Bloc-notes.
Recherchez le texte allowNtlm="false" et remplacez le texte par allowNtlm="true".
Enregistrez le fichier.

Après l’ajout de la clé de registre ListOfSIDs et la modification du fichier brokeragent.exe.config, redémarrez le service Citrix Desktop pour appliquer les modifications.

Le tableau suivant dresse la liste des types de prise en charge de l’approbation :

Type d’approbation	Transitivité	Direction	Pris en charge dans cette version
Parent et enfant	Transitive	Bidirectionnelle	Oui
Racine d’arborescence	Transitive	Bidirectionnelle	Oui
Externe	Non transitive	Unidirectionnelle ou bidirectionnelle	Oui
Forêt	Transitive	Unidirectionnelle ou bidirectionnelle	Oui
Raccourci	Transitive	Unidirectionnelle ou bidirectionnelle	Oui
Domaine	Transitive ou non transitive	Unidirectionnelle ou bidirectionnelle	Non

Pour de plus amples informations sur les environnements Active Directory complexes, consultez l’article CTX134971.

Autres ressources

Pour plus d’informations sur la création d’un pool d’identités d’une machine jointe à une instance locale d’Active Directory (AD), consultez Pool d’identités de machines jointe à une instance locale d’Active Directory.

La version officielle de ce document est en anglais. Certains contenus de la documentation Cloud Software Group ont été traduits de façon automatique à des fins pratiques uniquement. Cloud Software Group n'exerce aucun contrôle sur le contenu traduit de façon automatique, qui peut contenir des erreurs, des imprécisions ou un langage inapproprié. Aucune garantie, explicite ou implicite, n'est fournie quant à l'exactitude, la fiabilité, la pertinence ou la justesse de toute traduction effectuée depuis l'anglais d'origine vers une autre langue, ou quant à la conformité de votre produit ou service Cloud Software Group à tout contenu traduit de façon automatique, et toute garantie fournie en vertu du contrat de licence de l'utilisateur final ou des conditions d'utilisation des services applicables, ou de tout autre accord avec Cloud Software Group, quant à la conformité du produit ou service à toute documentation ne s'applique pas dans la mesure où cette documentation a été traduite de façon automatique. Cloud Software Group ne pourra être tenu responsable de tout dommage ou problème dû à l'utilisation de contenu traduit de façon automatique.

Cela vous a-t-il été utile ?

Joint à Active Directory

November 25, 2025

Contributeur:

November 25, 2025

Contributeur:

Dans cet article

Déployer dans un environnement Active Directory avec des forêts multiples
Autres ressources

Cela vous a-t-il été utile ?