Pool d'identités de machines avec identité de machine activée pour Microsoft Intune

Dernière publication : Nov 03, 2026
Cet article décrit comment créer un pool d'identités de machines avec identité de machine activée pour Microsoft Intune à l'aide de Citrix DaaS.
Vous pouvez créer :
Pour plus d'informations sur les exigences, les limitations et les considérations, consultez Microsoft Intune.
Related information
Pools d'identités de différents types de jonction d'identité de machine

Créer des catalogues Microsoft Entra inscrits dans Microsoft Intune

Vous pouvez créer des catalogues Microsoft Entra inscrits dans Microsoft Intune pour les machines virtuelles persistantes et non persistantes à l'aide de Studio et de PowerShell.
Pour plus d'informations sur les exigences, les limitations et les considérations, consultez :

Utiliser Studio

Les informations suivantes complètent les directives de Créer des catalogues de machines.
Dans l'assistant de création de catalogue :
  • Sur la page Identités de machines :
    • Sélectionnez Joint à Microsoft Entra, puis Inscrire les machines dans Microsoft Intune. Si cette option est activée, inscrivez les machines dans Microsoft Intune pour la gestion. Vous pouvez créer des catalogues joints à Microsoft Entra et inscrits dans Microsoft Intune pour les machines virtuelles persistantes et non persistantes à session unique et multi-session. Cependant, pour les machines virtuelles non persistantes, la version du VDA doit être 2407 ou ultérieure.
    • Cliquez sur Sélectionner un compte de service et sélectionnez un compte de service disponible dans la liste. Si aucun compte de service approprié n'est disponible pour le locataire Microsoft Entra auquel les identités de machine seront jointes, vous pouvez créer un compte de service. Pour plus d'informations sur les comptes de service, consultez Comptes de service Microsoft Entra.
      Remarque :
      Le compte de service que vous avez sélectionné peut être dans un état non sain pour diverses raisons. Vous pouvez accéder à Administrateurs > Comptes de service pour afficher les détails et résoudre les problèmes conformément aux recommandations. Alternativement, vous pouvez poursuivre l'opération de catalogue de machines et résoudre les problèmes ultérieurement. Si vous ne résolvez pas le problème, des appareils joints à Microsoft Entra ou inscrits à Microsoft Intune obsolètes sont générés, ce qui peut bloquer la jonction Microsoft Entra des machines.
    • Cliquez sur Ajouter des attributs d'extension pour stocker des données personnalisées uniques directement sur vos objets d'appareil Entra ID. Sur la page Ajouter des attributs d'extension, ajoutez Attributs d'extension et Valeur.
      Remarque :
      • Vous pouvez ajouter un maximum de 15 attributs d'extension.
      • Le nom et la valeur doivent être uniques et ne peuvent pas être vides.

Ajouter ou modifier des attributs d'extension

Pour modifier ou ajouter des attributs d'extension supplémentaires à un catalogue de machines MCS existant, ou ajouter des attributs d'extension à un catalogue MCS sans compte de service, utilisez l'assistant Modifier le catalogue de machines.
  • Pour modifier ou ajouter des attributs d'extension supplémentaires, accédez à la page Attributs d'extension de périphérique Microsoft Entra. Cliquez sur l'icône en forme de crayon, puis ajoutez ou mettez à jour les attributs d'extension.
  • Pour ajouter des attributs d'extension à un catalogue MCS sans compte de service Microsoft Entra :
    1. Accédez à la page Compte de service. Sélectionnez un compte de service Microsoft Entra pour l'ID Microsoft Intra.
    2. Accédez à la page Attributs d'extension de périphérique Microsoft Entra, cliquez sur Ajouter des attributs d'extension.

Utiliser PowerShell

Voici les étapes PowerShell équivalentes aux opérations dans Studio.
Pour inscrire des machines dans Microsoft Intune à l'aide du SDK PowerShell distant, utilisez le paramètre DeviceManagementType dans New-AcctIdentityPool. Cette fonctionnalité nécessite que le catalogue soit joint à Microsoft Entra et que Microsoft Entra ID possède la licence Microsoft Intune correcte. Par exemple :
New-AcctIdentityPool -AllowUnicode -DeviceManagementType "Intune" IdentityType="AzureAD" -WorkgroupMachine -IdentityPoolName "AzureADJoinedCatalog" -NamingScheme "AzureAD-VM-##" -NamingSchemeType "Numeric" -ServiceAccountUid $serviceAccountUid -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
Par exemple : Pour créer un nouveau pool d'identités avec des attributs d'extension spécifiés et l'associer à un compte de service, exécutez ce qui suit :
New-AcctIdentityPool -IdentityPoolName MyPool -NamingScheme ACC#### -NamingSchemeType Numeric -Domain "abc.local" -IdentityType AzureAD -ServiceAccountUid $serviceAccountUid -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"}
Lorsqu'une VM est mise sous tension pour la première fois, après avoir rejoint Microsoft Entra ID, la VM signale son deviceId Entra ID à MCS.
Par exemple : Pour vérifier le EntraIDDeviceID, exécutez Get-AcctADAccount ou Get-AcctIdentity.
Get-AcctADAccount -IdentityPoolName MyPool
Après le redémarrage, pour les VM persistantes, le EntraIDDeviceID reste le même. Pour les VM non persistantes, il y a un nouveau EntraIDDeviceID après chaque redémarrage.
Remarque :
MCS supprime automatiquement les attributs d'extension associés lorsque vous supprimez une VM du catalogue mais ne la supprimez pas d'Azure.
Par exemple : Pour modifier les attributs d'extension du catalogue existant, exécutez ce qui suit :
Remarque :
  • Après la mise à niveau des VM de catalogue existantes vers la version 2511 ou ultérieure du VDA, un redémarrage est nécessaire. Ce redémarrage permet à la VM de signaler son deviceId Entra ID à MCS, ce qui permet ensuite à MCS de configurer les attributs d'extension de la VM.
  • Le catalogue existant doit disposer d'un compte de service de type AzureAD avec la permission « Device.ReadWrite.All ».
Pour ajouter de nouveaux attributs :
Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"}
Pour supprimer des attributs existants
Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{}
OU
Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{extensionAttribute1 = ""; extensionAttribute2 = ""}
Set-AcctIdentityPool met également à jour les attributs d'extension de l'appareil Entra ID pour les machines virtuelles qui sont déjà jointes à Entra ID et possèdent une valeur EntraIDDeviceID dans leurs identités.
Par exemple : Pour créer un catalogue Microsoft Entra inscrit dans Microsoft Intune à l'aide d'une image préparée :
New-ProvScheme -ProvisioningSchemeName <name> -ImageVersionSpecUid <preparedVersionSpecUid> -HostingUnitUid <hostingUnitUid> -IdentityPoolUid <IdentityPoolUid> [-CleanOnBoot] -NetworkMapping @{"0"="XDHyp:\HostingUnits\<hostingunitName>\<region>.region\virtualprivatecloud.folder\<resourcegroupName>.resourcegroup\<vnetName>.virtualprivatecloud\<sunNetName>.network"} -ServiceOffering <serviceofferingPath> [-MachineProfile <machineProfilePath>] [-CustomProperties <>]

Dépannage

Si les machines ne parviennent pas à s'inscrire à Microsoft Intune, procédez comme suit :
  • Vérifiez si les machines provisionnées par MCS sont jointes à Microsoft Entra. Les machines ne parviennent pas à s'inscrire à Microsoft Intune si elles ne sont pas jointes à Microsoft Entra. Consultez Dépannage pour résoudre les problèmes de jonction à Microsoft Entra.
  • Vérifiez si votre locataire Microsoft Entra dispose de la licence Intune appropriée. Consultez <https://learn.microsoft.com/fr-fr/mem/intune/fundamentals/licenses> pour connaître les exigences de licence de Microsoft Intune.
  • Pour les catalogues qui utilisent des images principales avec VDA version 2206 ou antérieure, vérifiez l'état de provisionnement de l'extension AADLoginForWindows pour les machines. Si l'extension AADLoginForWindows n'existe pas, les raisons possibles sont :
    • IdentityType du pool d'identités associé au schéma de provisionnement n'est pas défini sur AzureAD ou DeviceManagementType n'est pas défini sur Intune. Vous pouvez le vérifier en exécutant Get-AcctIdentityPool.
    • La politique Azure a bloqué l'installation de l'extension AADLoginForWindows.
  • Pour dépanner les échecs de provisionnement de l'extension AADLoginForWindows, vous pouvez consulter les journaux sous C:\WindowsAzure\Logs\Plugins\Microsoft.Azure.ActiveDirectory.AADLoginForWindows sur la machine provisionnée par MCS.
    Remarque :
    MCS ne s'appuie pas sur l'extension AADLoginForWindows pour joindre une machine virtuelle à Microsoft Entra ID et l'inscrire à Microsoft Intune lors de l'utilisation d'une image principale avec VDA version 2209 ou ultérieure. Dans ce cas, l'extension AADLoginForWindows n'est pas installée sur la machine provisionnée par MCS. Par conséquent, les journaux de provisionnement de l'extension AADLoginForWindows ne peuvent pas être collectés.
  • Vérifiez les journaux d'événements Windows sous Journaux des applications et des services > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider.
  • Le compte de service que vous avez sélectionné peut être dans un état non sain pour diverses raisons. Vous pouvez accéder à Administrateurs > Comptes de service pour afficher les détails et résoudre les problèmes conformément aux recommandations. Si vous ne résolvez pas le problème, des appareils joints à Microsoft Entra ou inscrits à Microsoft Intune obsolètes sont générés, ce qui peut bloquer la jonction des machines à Microsoft Entra.

Créer des catalogues joints hybrides Microsoft Entra inscrits dans Microsoft Intune

Vous pouvez créer des catalogues activés pour la cogestion pour les catalogues joints hybrides Microsoft Entra inscrits dans Microsoft Intune pour les VM persistantes à session unique et multi-session. Vous pouvez créer des catalogues activés pour la cogestion à l'aide de Studio et de PowerShell.
Pour plus d'informations sur les exigences, les limitations et les considérations, consultez :

Utiliser Studio

Les informations suivantes complètent les directives de Créer des catalogues de machines.
Dans l'assistant Configuration du catalogue de machines :
  • Sur la page Identités de machine, sélectionnez Joint hybride Microsoft Entra, puis Inscrire les machines dans Microsoft Intune avec Configuration Manager. Grâce à cette action, Configuration Manager et Microsoft Intune (c'est-à-dire cogérés) gèrent les VM.
  • Cliquez sur Ajouter des attributs d'extension pour stocker des données personnalisées uniques directement sur vos objets d'appareil Entra ID. Sur la page Ajouter des attributs d'extension, ajoutez Attributs d'extension et Valeur.
    Remarque :
    • Vous pouvez ajouter un maximum de 15 attributs d'extension.
    • Le nom et la valeur doivent être uniques et ne peuvent pas être vides.

Ajouter ou modifier des attributs d'extension

Pour modifier ou ajouter des attributs d'extension supplémentaires à un catalogue de machines MCS existant, ou ajouter des attributs d'extension à un catalogue MCS sans compte de service, utilisez l'assistant Modifier le catalogue de machines.
  • Pour modifier ou ajouter des attributs d'extension supplémentaires, accédez à la page Attributs d'extension d'appareil Microsoft Entra. Cliquez sur l'icône en forme de crayon, puis ajoutez ou mettez à jour les attributs d'extension.
  • Pour ajouter des attributs d'extension à un catalogue MCS sans compte de service Microsoft Entra :
    1. Accédez à la page Compte de service. Sélectionnez un compte de service Microsoft Entra pour l'ID Microsoft Intra.
    2. Accédez à la page Attributs d'extension de périphérique Microsoft Entra, cliquez sur Ajouter des attributs d'extension.

Utiliser PowerShell

Voici les étapes PowerShell équivalentes aux étapes de Studio.
Pour inscrire des machines dans Microsoft Intune avec Configuration Manager à l'aide du SDK PowerShell distant, utilisez le paramètre DeviceManagementType dans New-AcctIdentityPool. Cette fonctionnalité nécessite que le catalogue soit joint de manière hybride à Microsoft Entra et que Microsoft Entra ID possède la licence Microsoft Intune correcte.
La différence entre les catalogues joints de manière hybride à Microsoft Entra et ceux activés pour la cogestion réside dans la création du pool d'identités. Par exemple :
New-AcctIdentityPool -AllowUnicode -DeviceManagementType "IntuneWithSCCM" IdentityType="HybridAzureAD" -IdentityPoolName "CoManagedCatalog" -NamingScheme "CoManaged-VM-##" -NamingSchemeType "Numeric" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
Par exemple : Pour créer un nouveau pool d'identités avec des attributs d'extension spécifiés et l'associer à un compte de service, exécutez ce qui suit :
New-AcctIdentityPool -IdentityPoolName HybridAzureAD -NamingScheme ACC#### -NamingSchemeType Numeric -Domain "abc.local" -IdentityType HybridAzureAD -ServiceAccountUid $serviceAccountUid -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"}
Lorsqu'une machine virtuelle est mise sous tension pour la première fois, après avoir rejoint Microsoft Entra ID, la machine virtuelle signale son deviceId Entra ID à MCS.
Par exemple : Pour vérifier le EntraIDDeviceID, exécutez Get-AcctADAccount ou Get-AcctIdentity.
Get-AcctADAccount -IdentityPoolName MyPool
Après le redémarrage, pour les machines virtuelles persistantes et non persistantes, le EntraIDDeviceID reste le même.
Remarque :
MCS supprime automatiquement les ID de périphérique et les attributs d'extension associés lorsque vous supprimez une machine virtuelle du catalogue mais ne la supprimez pas d'Azure.
Par exemple : Pour modifier les attributs d'extension du catalogue existant, exécutez ce qui suit :
Remarque :
  • Après la mise à niveau des machines virtuelles de catalogue existantes vers la version VDA 2511 ou ultérieure, un redémarrage est nécessaire. Ce redémarrage permet à la machine virtuelle de signaler son deviceId Entra ID à MCS, ce qui permet ensuite à MCS de configurer les attributs d'extension de la machine virtuelle.
  • Le catalogue existant doit disposer d'un compte de service de type AzureAD avec l'autorisation "Device.ReadWrite.All".
Pour ajouter de nouveaux attributs :
Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"}
Pour supprimer des attributs existants
Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{}
OU
Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{extensionAttribute1 = ""; extensionAttribute2 = ""}
Set-AcctIdentityPool met également à jour les attributs d'extension de l'appareil Entra ID pour les machines virtuelles qui sont déjà jointes à Entra ID et possèdent une valeur EntraIDDeviceID dans leurs identités.
Vous pouvez également créer un catalogue persistant Hybrid Microsoft Entra inscrit dans Microsoft Intune à l'aide d'une image préparée. Pour l'ensemble complet des commandes PowerShell permettant de créer la définition d'image, la version d'image et la spécification de version d'image préparée, consultez :
  • Environnement de virtualisation Azure : Utiliser PowerShell.
  • Environnement de virtualisation VMware : Utiliser PowerShell
Après avoir créé la spécification de version d'image préparée, créez le pool d'identités et le catalogue de machines. Par exemple :
New-AcctIdentityPool -IdentityPoolName "mypool" -NamingScheme ACC##  -NamingSchemeType "Numeric"  -ZoneUid $zoneuid -Domain $domainName -OU "OU=HAAD Computers,DC=haad,DC=link" -IdentityType "HybridAzureAD" -DeviceManagement IntuneWithSCCM

New-ProvScheme -ProvisioningSchemeName <name> -ImageVersionSpecUid <preparedVersionSpecUid> -HostingUnitUid <hostingUnitUid> -IdentityPoolUid <IdentityPoolUid> [-CleanOnBoot] -NetworkMapping @{"0"="XDHyp:\HostingUnits\<hostingunitName>\<region>.region\virtualprivatecloud.folder\<resourcegroupName>.resourcegroup\<vnetName>.virtualprivatecloud\<sunNetName>.network"} -ServiceOffering <serviceofferingPath> [-MachineProfile <machineProfilePath>] [-CustomProperties <>]
Remarque :
L'inscription des machines virtuelles non persistantes jointes à Microsoft Entra hybride dans Microsoft Intune est actuellement en préversion.

Dépannage

Si les machines ne parviennent pas à s'inscrire à Microsoft Intune ou à atteindre l'état de cogestion, procédez comme suit :
  • Vérifier la licence Intune
    Vérifiez si votre tenant Microsoft Entra est attribué avec la licence Intune appropriée. Consultez Licences Microsoft Intune pour connaître les exigences de licence de Microsoft Intune.
  • Vérifier l'état de la jonction hybride Microsoft Entra
    Vérifiez si les machines provisionnées par MCS sont jointes en mode hybride à Microsoft Entra. Les machines ne sont pas éligibles à la cogestion si elles ne sont pas jointes en mode hybride à Microsoft Entra. Consultez Dépannage pour résoudre les problèmes de jonction hybride Microsoft Entra.
  • Vérifier l'éligibilité à la cogestion
    • Vérifiez si les machines provisionnées par MCS sont correctement attribuées au site Configuration Manager attendu. Pour obtenir le site attribué, exécutez la commande PowerShell suivante sur les machines concernées.
      (New-Object -ComObject "Microsoft.SMS.Client").GetAssignedSite()
    • Si aucun site n'est attribué à la VM, utilisez la commande suivante pour vérifier si le site Configuration Manager peut être découvert automatiquement.
      (New-Object -ComObject "Microsoft.SMS.Client").AutoDiscoverSite()
    • Assurez-vous que les limites et les groupes de limites sont bien configurés dans votre environnement Configuration Manager si aucun code de site ne peut être découvert. Consultez Considérations pour plus de détails.
    • Vérifiez C:\Windows\CCM\Logs\ClientLocation.log pour tout problème d'attribution de site client Configuration Manager.
    • Vérifiez les états de cogestion des machines. Ouvrez le Panneau de configuration de Configuration Manager sur les machines concernées et accédez à l'onglet Général. La valeur de la propriété Cogestion doit être Activée. Si ce n'est pas le cas, vérifiez les journaux sous C:\Windows\CCM\Logs\CoManagementHandler.log.
  • Vérifier l'inscription Intune
    Les machines peuvent échouer à s'inscrire à Microsoft Intune même si toutes les conditions préalables sont remplies. Vérifiez les journaux d'événements Windows sous Journaux des applications et des services > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider pour les problèmes d'inscription Intune.

Plus d'informations