Crea cataloghi aggiunti a Hybrid Azure Active Directory

Nota:

Da luglio 2023, Microsoft ha rinominato Azure Active Directory (Azure AD) in Microsoft Entra ID. In questo documento, qualsiasi riferimento ad Azure Active Directory, Azure AD o AAD si riferisce ora a Microsoft Entra ID.

Questo articolo descrive come creare cataloghi aggiunti a Hybrid Azure Active Directory (AD).

È possibile creare cataloghi aggiunti ad Azure AD utilizzando Web Studio o PowerShell.

Per informazioni su requisiti, limitazioni e considerazioni, vedere Aggiunto a Hybrid Azure Active Directory.

Usa Web Studio

Le seguenti informazioni sono un supplemento alle indicazioni in Creare cataloghi di macchine. Per creare cataloghi aggiunti a Hybrid Azure AD, seguire le indicazioni generali di tale articolo, tenendo conto dei dettagli specifici dei cataloghi aggiunti a Hybrid Azure AD.

Nella procedura guidata di creazione del catalogo:

• Nella pagina Identità macchina, selezionare Aggiunto a Hybrid Azure Active Directory. Le macchine create sono di proprietà di un’organizzazione e vi si accede con un account di Active Directory Domain Services appartenente a tale organizzazione. Esistono nel cloud e on-premise.

Nota:

Se si seleziona Aggiunto a Hybrid Azure Active Directory come tipo di identità, ogni macchina nel catalogo deve avere un account computer AD corrispondente.

Usa PowerShell

Di seguito sono riportati i passaggi di PowerShell equivalenti alle operazioni in Web Studio. Per informazioni su come creare un catalogo utilizzando l’SDK Remote PowerShell, vedere https://developer-docs.citrix.com/projects/citrix-virtual-apps-desktops-sdk/en/latest/creating-a-catalog/.

La differenza tra i cataloghi aggiunti ad AD on-premise e quelli aggiunti a Hybrid Azure AD risiede nella creazione del pool di identità e degli account macchina.

Per creare un pool di identità insieme agli account per i cataloghi ibridi aggiunti ad Azure AD:

New-AcctIdentityPool -AllowUnicode -IdentityType "HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
New-AcctADAccount -IdentityPoolName "HybridAADJoinedCatalog" -Count 10 -ADUserName "corp\admin1" -ADPassword $password
Set-AcctAdAccountUserCert -IdentityPoolName "HybridAADJoinedCatalog" -All -ADUserName "corp\admin1" -ADPassword $password
<!--NeedCopy-->

Nota:

$password è la password corrispondente per un account utente AD con autorizzazioni di scrittura.

Tutti gli altri comandi utilizzati per creare cataloghi ibridi aggiunti ad Azure AD sono gli stessi dei cataloghi AD tradizionali locali.

Visualizzare lo stato del processo di aggiunta ibrida ad Azure AD

In Web Studio, lo stato del processo di aggiunta ibrida ad Azure AD è visibile quando le macchine ibride aggiunte ad Azure AD in un gruppo di consegna sono in stato di accensione. Per visualizzare lo stato, utilizzare Cerca per identificare tali macchine e quindi per ciascuna controllare Identità macchina nella scheda Dettagli nel riquadro inferiore. Le seguenti informazioni possono apparire in Identità macchina:

• Ibrido aggiunto ad Azure AD
• Non ancora aggiunto ad Azure AD

Nota:

• Potrebbe verificarsi un ritardo nell’aggiunta ibrida ad Azure AD quando la macchina si accende inizialmente. Ciò è causato dall’intervallo di sincronizzazione predefinito dell’identità della macchina (30 minuti di Azure AD Connect). La macchina si trova nello stato di aggiunta ibrida ad Azure AD solo dopo che le identità della macchina sono state sincronizzate con Azure AD tramite Azure AD Connect.
• Se le macchine non riescono a raggiungere lo stato di aggiunta ibrida ad Azure AD, non vengono registrate con il Delivery Controller. Il loro stato di registrazione appare come Inizializzazione.

Inoltre, utilizzando Web Studio, è possibile scoprire perché le macchine non sono disponibili. Per farlo, fare clic su una macchina nel nodo Cerca, controllare Registrazione nella scheda Dettagli nel riquadro inferiore, quindi leggere il tooltip per ulteriori informazioni.

Risoluzione dei problemi

Se le macchine non riescono a essere aggiunte ibride ad Azure AD, eseguire le seguenti operazioni:

• Verificare se l’account della macchina è stato sincronizzato con Azure AD tramite il portale Microsoft Azure AD. Se sincronizzato, appare Non ancora aggiunto ad Azure AD, indicando lo stato di registrazione in sospeso.

  Per sincronizzare gli account macchina con Azure AD, assicurarsi che:

  • L’account macchina si trova nell’unità organizzativa configurata per essere sincronizzata con Azure AD. Gli account macchina senza l’attributo userCertificate non vengono sincronizzati con Azure AD anche se si trovano nell’unità organizzativa configurata per la sincronizzazione.
  • L’attributo userCertificate viene popolato nell’account macchina. Utilizzare Active Directory Explorer per visualizzare l’attributo.
  • Azure AD Connect deve essere stato sincronizzato almeno una volta dopo la creazione dell’account macchina. In caso contrario, eseguire manualmente il comando Start-ADSyncSyncCycle -PolicyType Delta nella console PowerShell della macchina Azure AD Connect per attivare una sincronizzazione immediata.

• Verificare se la coppia di chiavi del dispositivo gestito da Citrix per l’aggiunta ibrida ad Azure AD è stata correttamente inviata alla macchina interrogando il valore di DeviceKeyPairRestored sotto HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrix.

  Verificare che il valore sia 1. In caso contrario, le possibili ragioni sono:

  • IdentityType del pool di identità associato allo schema di provisioning non è impostato su HybridAzureAD. È possibile verificarlo eseguendo Get-AcctIdentityPool.
  • La macchina non è stata sottoposta a provisioning utilizzando lo stesso schema di provisioning del catalogo macchine.
  • La macchina non è aggiunta al dominio locale. L’aggiunta al dominio locale è un prerequisito per l’aggiunta ibrida ad Azure AD.

• Controllare i messaggi diagnostici eseguendo il comando dsregcmd /status /debug sulla macchina sottoposta a provisioning MCS.

  • Se l’aggiunta ibrida ad Azure AD ha esito positivo, AzureAdJoined e DomainJoined sono YES nell’output della riga di comando.

  • In caso contrario, fare riferimento alla documentazione Microsoft per la risoluzione dei problemi: https://docs.microsoft.com/it-it/azure/active-directory/devices/troubleshoot-hybrid-join-windows-current.

  • Se viene visualizzato il messaggio di errore Server Message: The user certificate is not found on the device with id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx, eseguire il seguente comando PowerShell per riparare il certificato utente:

     Repair-AcctIdentity -IdentityAccountName TEST\VM1 -Target UserCertificate
     <!--NeedCopy-->
    

    Per maggiori informazioni sul problema del certificato utente, consultare CTX566696.