Aderito a Hybrid Azure Active Directory

Nota:

Da luglio 2023, Microsoft ha rinominato Azure Active Directory (Azure AD) in Microsoft Entra ID. In questo documento, qualsiasi riferimento ad Azure Active Directory, Azure AD o AAD si riferisce ora a Microsoft Entra ID.

Questo articolo descrive i requisiti per creare un pool di identità di cataloghi uniti a Hybrid Azure Active Directory (HAAD) e cataloghi uniti a Hybrid Azure AD registrati in Microsoft Intune, oltre ai requisiti delineati nella sezione dei requisiti di sistema.

Le macchine unite a Hybrid Azure AD utilizzano l’AD locale come provider di autenticazione. È possibile assegnarle a utenti o gruppi di dominio nell’AD locale. Per abilitare l’esperienza SSO senza interruzioni di Azure AD, è necessario che gli utenti del dominio siano sincronizzati con Azure AD.

Nota:

Le VM unite a Hybrid Azure AD sono supportate sia nelle infrastrutture di identità federate che gestite.

Requisiti per Hybrid Azure Active Directory unito

• Tipo di VDA: sessione singola (solo desktop) o multi-sessione (app e desktop)
• Versione VDA: 2212 o successiva
• Tipo di provisioning: Machine Creation Services™ (MCS), persistente e non persistente
• Tipo di assegnazione: Dedicato e in pool
• Piattaforma di hosting: qualsiasi hypervisor o servizio cloud

Limitazioni per Hybrid Azure Active Directory unito

• Se viene utilizzato Citrix Federated Authentication Service (FAS), il single sign-on è diretto all’AD locale anziché ad Azure AD. In questo caso, si consiglia di configurare l’autenticazione basata su certificato di Azure AD in modo che il primary refresh token (PRT) venga generato al momento dell’accesso dell’utente, facilitando il single sign-on alle risorse di Azure AD all’interno della sessione. In caso contrario, il PRT non sarà presente e l’SSO alle risorse di Azure AD non funzionerà. Per informazioni su come ottenere il single sign-on (SSO) di Azure AD per i VDA ibridi uniti utilizzando Citrix Federated Authentication Service (FAS), vedere VDA ibridi uniti.
• Non saltare la preparazione dell’immagine durante la creazione o l’aggiornamento dei cataloghi di macchine. Se si desidera saltare la preparazione dell’immagine, assicurarsi che le VM master non siano unite ad Azure AD o Hybrid Azure AD.

Considerazioni per l’unione a Hybrid Azure Active Directory

• La creazione di macchine unite a Hybrid Azure Active Directory richiede l’autorizzazione Write userCertificate nel dominio di destinazione. Assicurarsi di inserire le credenziali di un amministratore con tale autorizzazione durante la creazione del catalogo.

• Il processo di unione a Hybrid Azure AD è gestito da Citrix. È necessario disabilitare autoWorkplaceJoin controllato da Windows nelle VM master come segue. L’attività di disabilitazione manuale di autoWorkplaceJoin è richiesta solo per la versione VDA 2212 o precedente.

  1. Eseguire gpedit.msc.
  2. Passare a Configurazione computer > Modelli amministrativi > Componenti di Windows > Registrazione dispositivi.
  3. Impostare Registra computer aggiunti al dominio come dispositivi su Disabilitato.

• Selezionare l’unità organizzativa (OU) configurata per essere sincronizzata con Azure AD quando si creano le identità delle macchine.

• Per le VM master basate su Windows 11 22H2, creare un’attività pianificata nella VM master che esegua i seguenti comandi all’avvio del sistema utilizzando l’account SYSTEM. Questa attività di pianificazione di un’attività nella VM master è richiesta solo per la versione VDA 2212 o precedente.

   $VirtualDesktopKeyPath = 'HKLM:\Software\AzureAD\VirtualDesktop'
   $WorkplaceJoinKeyPath = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin'
   $MaxCount = 60
  
   for ($count = 1; $count -le $MaxCount; $count++)
   {
     if ((Test-Path -Path $VirtualDesktopKeyPath) -eq $true)
     {
       $provider = (Get-Item -Path $VirtualDesktopKeyPath).GetValue("Provider", $null)
       if ($provider -eq 'Citrix')
       {
           break;
       }
  
       if ($provider -eq 1)
       {
           Set-ItemProperty -Path $VirtualDesktopKeyPath -Name "Provider" -Value "Citrix" -Force
           Set-ItemProperty -Path $WorkplaceJoinKeyPath -Name "autoWorkplaceJoin" -Value 1 -Force
           Start-Sleep 5
           dsregcmd /join
           break
       }
     }
  
     Start-Sleep 1
   }
   <!--NeedCopy-->
  

• Per impostazione predefinita, Azure AD Connect si sincronizza ogni 30 minuti. Le macchine sottoposte a provisioning possono impiegare fino a 30 minuti per essere unite a Hybrid Azure AD durante il primo avvio.

Cataloghi uniti a Hybrid Azure AD registrati in Microsoft Intune

I cataloghi uniti a Hybrid Azure AD, le VM persistenti a sessione singola e multipla, registrati in Microsoft Intune utilizzano le credenziali del dispositivo con funzionalità di co-gestione.

La co-gestione consente di gestire contemporaneamente i dispositivi Windows 10 o versioni successive utilizzando sia Configuration Manager che Microsoft Intune. Per maggiori informazioni, vedere Co-gestione.

Prerequisiti per i cataloghi uniti a Hybrid Azure AD registrati in Microsoft Intune

Prima di abilitare questa funzionalità, verificare che:

• L’ambiente Azure soddisfa i requisiti di licenza per l’utilizzo di Microsoft Intune. Per maggiori informazioni, consultare la documentazione Microsoft.
• Si dispone di una distribuzione valida di Configuration Manager con co-gestione abilitata. Per maggiori informazioni, consultare la documentazione Microsoft.

Requisiti per i cataloghi ibridi aggiunti ad Azure AD registrati in Microsoft Intune

• Tipo di VDA: sessione singola o multi-sessione
• Versione VDA: 2407 o successiva
• Tipo di provisioning: Machine Creation Service (MCS), persistente. I cataloghi ibridi aggiunti ad Azure AD registrati in Microsoft Intune per VM non persistenti a sessione singola e multi-sessione sono attualmente in anteprima. Vedere Registrazione di VM non persistenti ibride aggiunte a Entra ID in Microsoft Intune.
• Tipo di assegnazione: dedicato e in pool
• Piattaforma di hosting: qualsiasi hypervisor o servizio cloud

Limitazioni per i cataloghi ibridi aggiunti ad Azure AD registrati in Microsoft Intune

• Non saltare la preparazione dell’immagine durante la creazione o l’aggiornamento dei cataloghi di macchine.
• La gestione client basata su Internet (IBCM) di Configuration Manager non è supportata.

Considerazioni per i cataloghi ibridi aggiunti ad Azure AD registrati in Microsoft Intune

• La registrazione a Intune potrebbe subire ritardi se troppe macchine nel catalogo vengono accese contemporaneamente.

  Microsoft impone una restrizione di registrazione a Intune per tenant che limita il numero di dispositivi che possono essere registrati entro un periodo di tempo specifico. Il numero consentito di dispositivi varia a seconda del numero di licenze Microsoft Intune associate al tenant. Consultare il team account Microsoft per conoscere il limite consentito per il proprio tenant. Questo approccio aiuta la registrazione a Microsoft Intune a scalare meglio per ambienti di grandi dimensioni.

  Per le macchine persistenti, potrebbe essere necessario un tempo di attesa iniziale affinché tutti i dispositivi completino la registrazione a Intune.

  Per le macchine non persistenti, considerare di limitare le azioni di alimentazione simultanee in Autoscale™ o nelle azioni di alimentazione manuali.

• Configurare Cloud Attach di Configuration Manager. Per maggiori informazioni, consultare la documentazione Microsoft.
• Installare manualmente il client di Configuration Manager sulla VM master senza assegnare il codice del sito con .\CCMSetup.exe /mp:SCCMServer /logon FSP=SCCMServer. SCCMServer è il nome del server SCCM nel proprio ambiente. Per maggiori informazioni, consultare la documentazione Microsoft.

• Le macchine create da MCS utilizzano il meccanismo di assegnazione automatica del sito per trovare i gruppi di limiti del sito pubblicati in Active Directory Domain Services. Assicurarsi che i limiti e i gruppi di limiti di Configuration Manager siano configurati nel proprio ambiente. Se l’assegnazione automatica del sito non è disponibile, è possibile configurare un codice sito statico di Configuration Manager nella VM master tramite la seguente impostazione del registro:

  Chiave:

   HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\MachineIdentityServiceAgent\DeviceManagement
   <!--NeedCopy-->
  

  Nome valore: MdmSccmSiteCode

  Tipo di valore: Stringa

  Dati valore: the site code to be assigned

Passi successivi

Per maggiori informazioni sulla creazione di pool di identità di cataloghi uniti a Hybrid Azure Active Directory, consultare Pool di identità di macchine unite a Hybrid Azure Active Directory.