Pool di identità di macchine con identità ibrida aggiunta a Microsoft Entra

• Selezionare Aggiunto ibrido a Microsoft Entra. Le macchine create sono di proprietà di un'organizzazione e vi si accede con un account di Active Directory appartenente a tale organizzazione.
• Per registrare le macchine create in Microsoft Intune (incluso Configuration Manager) per la gestione dei dispositivi, selezionare Registra le macchine in Microsoft Intune con Configuration Manager. Per evitare errori durante la creazione del catalogo, assicurarsi che l'immagine master soddisfi i seguenti requisiti:
  • Ha installato VDA versione 2405 o successiva.
  • Ha il client di Configuration Manager installato con il codice del sito non assegnato. Per maggiori informazioni, consultare questo articolo Microsoft.

• Fare clic su Aggiungi attributi di estensione per archiviare dati personalizzati e univoci direttamente sugli oggetti dispositivo di Entra ID. Nella pagina Aggiungi attributi di estensione, aggiungere Attributi di estensione e Valore.

• Per modificare o aggiungere attributi di estensione aggiuntivi, passare alla pagina Attributi di estensione del dispositivo Microsoft Entra. Fare clic sull'icona della matita e aggiungere o aggiornare gli attributi di estensione.
• Per aggiungere attributi di estensione a un catalogo MCS senza un account di servizio Microsoft Entra:
  1. Passare alla pagina Account di servizio. Selezionare un account di servizio Microsoft Entra per l'ID Microsoft Intra.
  2. Andare alla pagina Attributi di estensione del dispositivo Microsoft Entra, fare clic su Aggiungi attributi di estensione.

New-AcctIdentityPool -AllowUnicode -IdentityType "HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
New-AcctIdentity -IdentityPoolName "HybridAADJoinedCatalog" -Count 10 -ADUserName "corp\admin1" -ADPassword $password
Set-AcctAdAccountUserCert -IdentityPoolName "HybridAADJoinedCatalog" -All -ADUserName "corp\admin1" -ADPassword $password

New-AcctIdentityPool -IdentityPoolName HybridAzureAD -NamingScheme ACC#### -NamingSchemeType Numeric -Domain "abc.local" -IdentityType HybridAzureAD -ServiceAccountUid $serviceAccountUid -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"} Get-AcctADAccount -IdentityPoolName MyPool

Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"} Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{} Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{extensionAttribute1 = ""; extensionAttribute2 = ""}

• Aggiunto ibrido a Microsoft Entra
• Non ancora aggiunto a Microsoft Entra ID

• Verificare se l'account della macchina è stato sincronizzato con Microsoft Entra ID tramite il portale di Microsoft Entra ID. Se sincronizzato, appare Non ancora aggiunto a Microsoft Entra ID, indicando lo stato di registrazione in sospeso.
  Per sincronizzare gli account delle macchine con Microsoft Entra ID, assicurarsi che:
  • L'account della macchina si trovi nell'unità organizzativa configurata per la sincronizzazione con Microsoft Entra ID. Gli account delle macchine senza l'attributo userCertificate non vengono sincronizzati con Microsoft Entra ID anche se si trovano nell'unità organizzativa configurata per la sincronizzazione.
  • L'attributo userCertificate sia popolato nell'account della macchina. Utilizzare Active Directory Explorer per visualizzare l'attributo.
  • Microsoft Entra Connect deve essere stato sincronizzato almeno una volta dopo la creazione dell'account della macchina. In caso contrario, eseguire manualmente il comando Start-ADSyncSyncCycle -PolicyType Delta nella console PowerShell della macchina Microsoft Entra Connect per attivare una sincronizzazione immediata.
• Verificare se la coppia di chiavi del dispositivo gestito da Citrix per l'aggiunta ibrida a Microsoft Entra è stata correttamente inviata alla macchina interrogando il valore di DeviceKeyPairRestored in HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrix.
  Verificare che il valore sia 1. In caso contrario, le possibili ragioni sono:
  • IdentityType del pool di identità associato allo schema di provisioning non è impostato su HybridAzureAD. È possibile verificarlo eseguendo Get-AcctIdentityPool.
  • La macchina non è stata sottoposta a provisioning utilizzando lo stesso schema di provisioning del catalogo macchine.
  • La macchina non è aggiunta al dominio locale. L'aggiunta al dominio locale è un prerequisito per l'aggiunta ibrida a Microsoft Entra.
• Controllare i messaggi di diagnostica eseguendo il comando dsregcmd /status /debug sulla macchina sottoposta a provisioning MCS.
  • Se l'aggiunta ibrida a Microsoft Entra ha esito positivo, AzureAdJoined e DomainJoined sono YES nell'output della riga di comando.
  • In caso contrario, fare riferimento alla documentazione Microsoft per la risoluzione dei problemi: <https://docs.microsoft.com/it-it/azure/active-directory/devices/troubleshoot-hybrid-join-windows-current>.
  • Se viene visualizzato il messaggio di errore Server Message: The user certificate is not found on the device with id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx, eseguire il seguente comando PowerShell per ripristinare il certificato utente:
    Repair-AcctIdentity -IdentityAccountName TEST\VM1 -Target UserCertificate
    Per maggiori informazioni sul problema del certificato utente, vedere CTX566696.

• Nella pagina Identità macchina, selezionare Ibrido aggiunto a Microsoft Entra e quindi Registra le macchine in Microsoft Intune con Configuration Manager. Con questa azione, Configuration Manager e Microsoft Intune (ovvero, cogestiti) gestiscono le VM.

New-AcctIdentityPool -AllowUnicode -DeviceManagementType "IntuneWithSCCM" IdentityType="HybridAzureAD" -IdentityPoolName "CoManagedCatalog" -NamingScheme "CoManaged-VM-##" -NamingSchemeType "Numeric" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"

• Controllare la licenza Intune
  Verificare che al tenant di Microsoft Entra sia assegnata la licenza Intune appropriata. Vedere Licenze di Microsoft Intune per i requisiti di licenza di Microsoft Intune.
• Controllare lo stato dell'aggiunta ibrida a Microsoft Entra
  Verificare se le macchine con provisioning MCS sono aggiunte in modalità ibrida a Microsoft Entra. Le macchine non sono idonee per la cogestione se non sono aggiunte in modalità ibrida a Microsoft Entra. Vedere Risoluzione dei problemi per risolvere i problemi di aggiunta ibrida a Microsoft Entra.
• Verificare l'idoneità alla cogestione
  • Verificare che alle macchine con provisioning MCS sia assegnato correttamente il sito di Configuration Manager previsto. Per ottenere il sito assegnato, eseguire il seguente comando PowerShell sulle macchine interessate.
    (New-Object -ComObject "Microsoft.SMS.Client").GetAssignedSite()
  • Se nessun sito è assegnato alla VM, utilizzare il seguente comando per verificare se il sito di Configuration Manager può essere rilevato automaticamente.
    (New-Object -ComObject "Microsoft.SMS.Client").AutoDiscoverSite()
  • Assicurarsi che i limiti e i gruppi di limiti siano configurati correttamente nell'ambiente di Configuration Manager se non è possibile rilevare alcun codice del sito. Vedere Considerazioni per i dettagli.
  • Controllare C:\Windows\CCM\Logs\ClientLocation.log per eventuali problemi di assegnazione del sito client di Configuration Manager.
  • Controllare gli stati di cogestione delle macchine. Aprire il pannello di controllo di Configuration Manager sulle macchine interessate e andare alla scheda Generale. Il valore della proprietà Cogestione deve essere Abilitato. In caso contrario, controllare i log in C:\Windows\CCM\Logs\CoManagementHandler.log.
• Verificare la registrazione a Intune
  Le macchine potrebbero non riuscire a registrarsi in Microsoft Intune anche se tutti i prerequisiti sono soddisfatti. Controllare i registri eventi di Windows in Registri applicazioni e servizi > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider per problemi di registrazione a Intune.