Aggiunto ibrido a Microsoft Entra

Questo articolo descrive i requisiti per creare un pool di identità di cataloghi aggiunti ibridi a Microsoft Entra e cataloghi aggiunti ibridi a Microsoft Entra registrati in Microsoft Intune, oltre ai requisiti delineati nella sezione dei requisiti di sistema.

Le macchine aggiunte ibride a Microsoft Entra utilizzano AD locale come provider di autenticazione. È possibile assegnarle a utenti o gruppi di dominio in AD locale. Per abilitare l’esperienza SSO senza interruzioni di Microsoft Entra ID, è necessario che gli utenti di dominio siano sincronizzati con Microsoft Entra ID.

Nota:

Le VM aggiunte ibride a Microsoft Entra sono supportate sia nelle infrastrutture di identità federate che gestite.

Requisiti per l’aggiunta ibrida a Microsoft Entra

• Tipo di VDA: Sessione singola (solo desktop) o multi-sessione (app e desktop)
• Versione VDA: 2212 o successiva
• Tipo di provisioning: Machine Creation Services™ (MCS), persistente e non persistente
• Tipo di assegnazione: Dedicato e in pool
• Piattaforma di hosting: Qualsiasi hypervisor o servizio cloud

Limitazioni per l’aggiunta ibrida a Microsoft Entra

• Se si utilizza Citrix Federated Authentication Service (FAS), il single sign-on è diretto all’AD locale anziché a Microsoft Entra ID. In questo caso, si consiglia di configurare l’autenticazione basata su certificato di Microsoft Entra in modo che il token di aggiornamento primario (PRT) venga generato al momento dell’accesso dell’utente, il che facilita il single sign-on alle risorse di Microsoft Entra all’interno della sessione. Altrimenti, il PRT non sarà presente e l’SSO alle risorse di Microsoft Entra non funzionerà. Per informazioni su come ottenere il single sign-on (SSO) di Microsoft Entra per i VDA aggiunti ibridi utilizzando Citrix Federated Authentication Service (FAS), vedere VDA aggiunti ibridi.
• Non saltare la preparazione dell’immagine durante la creazione o l’aggiornamento dei cataloghi di macchine. Se si desidera saltare la preparazione dell’immagine, assicurarsi che le VM master non siano aggiunte a Microsoft Entra o aggiunte ibride a Microsoft Entra.

Considerazioni per l’aggiunta ibrida a Microsoft Entra

• La creazione di macchine aggiunte ibridamente a Microsoft Entra richiede l’autorizzazione Write userCertificate nel dominio di destinazione. Assicurati di inserire le credenziali di un amministratore con tale autorizzazione durante la creazione del catalogo.

• Il processo di aggiunta ibrida a Microsoft Entra è gestito da Citrix. È necessario disabilitare autoWorkplaceJoin controllato da Windows nelle VM master come segue. L’attività di disabilitazione manuale di autoWorkplaceJoin è richiesta solo per la versione VDA 2212 o precedente.

  1. Esegui gpedit.msc.
  2. Passa a Configurazione computer > Modelli amministrativi > Componenti di Windows > Registrazione dispositivi.
  3. Imposta Registra computer aggiunti al dominio come dispositivi su Disabilitato.

• Seleziona l’unità organizzativa (OU) configurata per la sincronizzazione con Microsoft Entra ID quando crei le identità delle macchine.

• Per le VM master basate su Windows 11 22H2, crea un’attività pianificata nella VM master che esegue i seguenti comandi all’avvio del sistema utilizzando l’account SYSTEM. Questa attività di pianificazione di un’attività nella VM master è richiesta solo per la versione VDA 2212 o precedente.

   $VirtualDesktopKeyPath = 'HKLM:\Software\AzureAD\VirtualDesktop'
   $WorkplaceJoinKeyPath = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin'
   $MaxCount = 60
  
   for ($count = 1; $count -le $MaxCount; $count++)
   {
     if ((Test-Path -Path $VirtualDesktopKeyPath) -eq $true)
     {
       $provider = (Get-Item -Path $VirtualDesktopKeyPath).GetValue("Provider", $null)
       if ($provider -eq 'Citrix')
       {
           break;
       }
  
       if ($provider -eq 1)
       {
           Set-ItemProperty -Path $VirtualDesktopKeyPath -Name "Provider" -Value "Citrix" -Force
           Set-ItemProperty -Path $WorkplaceJoinKeyPath -Name "autoWorkplaceJoin" -Value 1 -Force
           Start-Sleep 5
           dsregcmd /join
           break
       }
     }
  
     Start-Sleep 1
   }
   <!--NeedCopy-->
  

• Per impostazione predefinita, Microsoft Entra Connect si sincronizza ogni 30 minuti. Le macchine con provisioning possono impiegare fino a 30 minuti per essere aggiunte ibridamente a Microsoft Entra durante il primo avvio.

Cataloghi aggiunti ibridamente a Microsoft Entra registrati in Microsoft Intune

I cataloghi aggiunti ibridamente a Microsoft Entra, le VM persistenti a sessione singola e multipla, registrati in Microsoft Intune utilizzano le credenziali del dispositivo con funzionalità di co-gestione.

La co-gestione consente di gestire contemporaneamente i dispositivi Windows 10 o versioni successive utilizzando sia Configuration Manager che Microsoft Intune. Per maggiori informazioni, consulta Co-gestione.

Prerequisiti per i cataloghi aggiunti ibridamente a Microsoft Entra registrati in Microsoft Intune

Prima di abilitare questa funzionalità, verifica che:

• Il tuo ambiente Azure soddisfi i requisiti di licenza per l’utilizzo di Microsoft Intune. Per maggiori informazioni, consulta la documentazione Microsoft.
• Disponi di una distribuzione valida di Configuration Manager con la co-gestione abilitata. Per maggiori informazioni, consulta la documentazione Microsoft.

Requisiti per i cataloghi ibridi aggiunti a Microsoft Entra registrati in Microsoft Intune

• Tipo VDA: sessione singola o multisessione
• Versione VDA: 2407 o successiva
• Tipo di provisioning: Machine Creation Service (MCS), persistente. I cataloghi ibridi aggiunti a Microsoft Entra registrati in Microsoft Intune per VM non persistenti a sessione singola e multisessione sono attualmente in anteprima. Vedere Registrazione di VM non persistenti ibride aggiunte a Entra ID in Microsoft Intune.
• Tipo di assegnazione: Dedicato e in pool
• Piattaforma di hosting: Qualsiasi hypervisor o servizio cloud

Limitazioni per i cataloghi ibridi aggiunti a Microsoft Entra registrati in Microsoft Intune

• Non saltare la preparazione dell’immagine durante la creazione o l’aggiornamento dei cataloghi di macchine.
• La gestione client basata su Internet (IBCM) di Configuration Manager non è supportata.

Considerazioni per i cataloghi ibridi aggiunti a Microsoft Entra registrati in Microsoft Intune

• La registrazione a Intune potrebbe subire ritardi se troppe macchine nel catalogo vengono accese contemporaneamente.

  Microsoft impone una restrizione di registrazione a Intune per tenant che limita il numero di dispositivi che possono essere registrati entro un periodo di tempo specifico. Il numero consentito di dispositivi varia a seconda del numero di licenze Microsoft Intune associate al tenant. Consultare il team account Microsoft per conoscere il limite consentito per il proprio tenant. Questo approccio aiuta la registrazione a Microsoft Intune a scalare meglio per ambienti di grandi dimensioni.

  Per le macchine persistenti, potrebbe essere necessario un tempo di attesa iniziale affinché tutti i dispositivi completino la registrazione a Intune.

  Per le macchine non persistenti, considerare di limitare le azioni di alimentazione simultanee in Autoscale™ o le azioni di alimentazione manuali.

• Configurare Cloud Attach di Configuration Manager. Per maggiori informazioni, consultare la documentazione Microsoft.
• Installare manualmente il client di Configuration Manager sulla VM master senza assegnare il codice del sito con .\CCMSetup.exe /mp:SCCMServer /logon FSP=SCCMServer. SCCMServer è il nome del server SCCM nel proprio ambiente. Per maggiori informazioni, consultare la documentazione Microsoft.

• Le macchine create da MCS utilizzano il meccanismo di assegnazione automatica del sito per trovare i gruppi di limiti del sito pubblicati in Active Directory Domain Services. Assicurarsi che i limiti e i gruppi di limiti di Configuration Manager siano configurati nel proprio ambiente. Se l’assegnazione automatica del sito non è disponibile, è possibile configurare un codice sito statico di Configuration Manager nella VM master tramite la seguente impostazione del Registro di sistema:

  Chiave:

   HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\MachineIdentityServiceAgent\DeviceManagement
   <!--NeedCopy-->
  

  Nome valore: MdmSccmSiteCode

  Tipo di valore: Stringa

  Dati valore: the site code to be assigned

Dove andare dopo

Per maggiori informazioni sulla creazione di pool di identità di cataloghi ibridi uniti a Microsoft Entra, consultare Pool di identità di identità macchina ibrida unita a Microsoft Entra.