Documentazione dei prodotti
Citrix DaaS™
Visualizza PDF

Account di servizio Microsoft Entra

May 4, 2026
Grazie al contributo di: 
C C

Un account di servizio Microsoft Entra è un contenitore per archiviare l’ID applicazione e il segreto di un’entità servizio Microsoft Entra, che dispone di autorizzazioni sufficienti per gestire i dispositivi aggiunti a Microsoft Entra o registrati in Microsoft Intune. MCS può utilizzare questo account di servizio per pulire automaticamente qualsiasi dispositivo Microsoft Entra o Microsoft Intune obsoleto generato durante il ciclo di vita delle macchine sottoposte a provisioning.

  • Autorizzazioni richieste per un’entità servizio Microsoft Entra

  • Le autorizzazioni richieste per un’entità servizio Microsoft Entra utilizzata da un account di servizio dipendono dalle funzionalità abilitate per l’account di servizio.

  • Per l’account di servizio con funzionalità di gestione dei dispositivi aggiunti a Microsoft Entra, l’entità servizio Microsoft Entra deve disporre dell’autorizzazione Device.ReadWrite.All nel tenant Microsoft Entra.
  • Per l’account di servizio con funzionalità di gestione dei dispositivi registrati in Microsoft Intune, l’entità servizio Microsoft Entra deve disporre dell’autorizzazione DeviceManagementManagedDevices.ReadWrite.All nel tenant Microsoft Entra.
  • Per l’account di servizio con funzionalità di gestione dei gruppi di sicurezza Microsoft Entra, l’entità servizio Microsoft Entra deve disporre delle autorizzazioni Group.ReadWrite.All e GroupMember.ReadWrite.All nel tenant Microsoft Entra.

Limitazione

Il controllo degli accessi basato sui ruoli di Microsoft Entra non è attualmente supportato. Pertanto, assegnare le autorizzazioni di Microsoft Entra direttamente all’entità servizio.

Creare un account di servizio Microsoft Entra

Utilizzare Studio o PowerShell per creare un account di servizio Microsoft Entra.

Prerequisito

Per creare un account di servizio Microsoft Entra, assicurarsi di completare l’attività seguente:

  • Creare un’entità Microsoft Entra nel tenant Microsoft Entra con autorizzazioni sufficienti in base alle funzionalità che si desidera abilitare per l’account di servizio.

Utilizzare Studio

  1. Nel riquadro DaaS, fare clic su Gestisci.
  2. Nel riquadro sinistro, selezionare Amministratori.
  3. Nella scheda Account di servizio, fare clic su Crea account di servizio.
  4. Nella pagina Tipo di identità, selezionare Microsoft Entra ID. Viene abilitata una nuova opzione per instradare il traffico.
    1. Selezionare la casella di controllo Instrada il traffico tramite i Citrix Cloud Connector.
    2. Selezionare le zone disponibili per instradare il traffico e fare clic su Avanti.
  5. Nella pagina Credenziali, immettere l’ID tenant Microsoft Entra, l’ID applicazione e il segreto client e impostare la data di scadenza delle credenziali.
  6. Scegliere le funzionalità per l’account di servizio.
  7. Selezionare uno o più ambiti per l’account di servizio.
  8. Immettere un nome descrittivo e una descrizione (facoltativa) per l’account di servizio.
  9. Fare clic su Fine per completare la creazione.

Nota:

  • La funzionalità di gestione dei dispositivi aggiunti a Microsoft Entra è selezionata per impostazione predefinita e non è possibile deselezionarla.
  • Per utilizzare un’applicazione Microsoft Entra multi-tenant, invitata al proprio tenant, l’ID tenant Microsoft Entra immesso deve essere il proprio ID tenant anziché l’ID tenant principale dell’applicazione.

Utilizzare PowerShell

In alternativa, è possibile utilizzare i comandi PowerShell per creare un account di servizio Microsoft Entra. Ad esempio:


$tenantId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
$applicationId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
$applicationSecret = xxxxxxxxxxxxxxx
$credential = ConvertTo-SecureString -String $applicationSecret -AsPlainText -Force

New-AcctServiceAccount -IdentityProviderType AzureAD -IdentityProviderIdentifier $tenantId -AccountId $applicationId -AccountSecret $credential -SecretExpiryTime 2030/08/15 -Capabilities @("AzureADDeviceManagement","IntuneDeviceManagement") -DisplayName 'MyApplication' -Description 'Service account for Microsoft Entra tenant'

<!--NeedCopy-->

  • Migrare la gestione dei dispositivi aggiunti a Microsoft Entra all’account di servizio

In precedenza, Citrix® forniva un’opzione per abilitare la gestione dei dispositivi aggiunti a Microsoft Entra durante la creazione o la modifica di una connessione di hosting a Microsoft Azure Resource Manager. MCS utilizzava le autorizzazioni dell’entità servizio Microsoft Entra (SPN di provisioning) archiviate insieme alla connessione di hosting per gestire il dispositivo aggiunto a Microsoft Entra obsoleto. Con gli account di servizio, è possibile utilizzare un’entità servizio Microsoft Entra dedicata (SPN di gestione delle identità) archiviata insieme a un account di servizio per gestire i dispositivi aggiunti a Microsoft Entra o registrati in Microsoft Intune.

Citrix consiglia di migrare dalla gestione dei dispositivi basata su connessione di hosting alla gestione dei dispositivi basata su account di servizio per separare la responsabilità dell’SPN di provisioning e dell’SPN di gestione delle identità.

Per le connessioni di hosting esistenti già abilitate con la gestione dei dispositivi aggiunti a Microsoft Entra, è possibile disabilitarla come segue:

    1. Da Studio, selezionare Hosting nel riquadro sinistro.
  1. Selezionare la connessione e quindi selezionare Modifica connessione nella barra delle azioni.
  2. Nella pagina Proprietà connessione, deselezionare la casella di controllo Abilita gestione dispositivi aggiunti a Microsoft Entra.
  3. Fare clic su Salva per applicare le modifiche.

  • Nota:

  • Attualmente, non è possibile abilitare la gestione dei dispositivi aggiunti a Microsoft Entra durante la creazione di una nuova connessione di hosting.

Instradare il traffico di gestione dei dispositivi Microsoft Entra e di gestione dei gruppi di sicurezza

Creare e modificare un account di servizio Microsoft Entra per instradare il traffico di gestione dei dispositivi Microsoft Entra e di gestione dei gruppi di sicurezza dal Delivery Controller a Microsoft Entra ID tramite Citrix Cloud Connector.

Includere la seguente proprietà personalizzata durante la creazione o la modifica di un account di servizio Microsoft Entra:

CustomProperties: {"ProxyHypervisorTrafficThroughConnector":true,"ZoneUid":["<zone uid>"]}

Nota:

Il $ZoneUid è l’Uid della zona (posizione della risorsa) a cui il traffico di rete desidera essere instradato. Ottenere l’Uid dal comando Get-ConfigZone.

Ad esempio:

  • Per la creazione di un nuovo account di servizio Microsoft Entra:

    
 $tenantId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
 $applicationId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
 $applicationSecret = xxxxxxxxxxxxxxx
 $SecureString = ConvertTo-SecureString -String "Secretstring" -AsPlainText -Force
 New-AcctServiceAccount -IdentityProviderType AzureAD -IdentityProviderIdentifier "<Identity provider ID>" -AccountId "<Account ID>" -AccountSecret $SecureString -SecretExpiryTime <yyyy-mm-dd>  -Capabilities @("AzureADDeviceManagement","IntuneDeviceManagement") -DisplayName "<Display name>" -CustomProperties '{"ProxyHypervisorTrafficThroughConnector":true,"ZoneUid":["<Zone UID>"]}'

 <!--NeedCopy-->

  • Per la modifica di un account di servizio Microsoft Entra esistente:

    
 Set-AcctServiceAccount -ServiceAccountUid $serviceAccountUid -CustomProperties '{"ProxyHypervisorTrafficThroughConnector":true,"ZoneUid":[$ZoneUid]}'

 <!--NeedCopy-->

Dove andare dopo

Account di servizio Microsoft Entra
May 4, 2026
Grazie al contributo di: 
C C
May 4, 2026
Grazie al contributo di: 
C C

In questo articolo

Feedback sito | Your privacy choices footer linkScelte di privacy | Privacy e condizioni legali | Preferenze cookie | Impostazioni di consenso | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.