ハイブリッド アジュール アクティブ ディレクトリ 参加済み

注：

2023年7月以降、マイクロソフトはアジュール アクティブ ディレクトリ (アジュール AD) をマイクロソフト エントラ ID に名称変更しました。このドキュメントでは、アジュール アクティブ ディレクトリ、アジュール AD、または AAD への言及はすべてマイクロソフト エントラ ID を指します。

この記事では、システム要件セクションで概説されている要件に加えて、Hybrid Azure Active Directory (HAAD) 参加済みカタログおよびMicrosoft Intuneに登録されたHybrid Azure AD参加済みカタログのIDプールを作成するための要件について説明します。

Hybrid Azure AD参加済みマシンは、オンプレミスのADを認証プロバイダーとして使用します。これらをオンプレミスのADのドメインユーザーまたはグループに割り当てることができます。Azure ADシームレスSSOエクスペリエンスを有効にするには、ドメインユーザーをAzure ADに同期する必要があります。

注：

Hybrid Azure AD参加済みVMは、フェデレーションIDインフラストラクチャとマネージドIDインフラストラクチャの両方でサポートされています。

ハイブリッド Azure Active Directory 参加済みに関する要件

• VDAタイプ：シングルセッション（デスクトップのみ）またはマルチセッション（アプリとデスクトップ）
• VDAバージョン：2212以降
• プロビジョニングタイプ：Machine Creation Services™ (MCS)、永続的および非永続的
• 割り当てタイプ：専用およびプール
• ホスティングプラットフォーム：任意のハイパーバイザーまたはクラウドサービス

ハイブリッド Azure Active Directory 参加済みの制限事項

• Citrix Federated Authentication Service (FAS) を使用する場合、シングルサインオンはAzure ADではなくオンプレミスのADに転送されます。この場合、ユーザーログオン時にプライマリ更新トークン (PRT) が生成されるようにAzure AD証明書ベース認証を構成することをお勧めします。これにより、セッション内のAzure ADリソースへのシングルサインオンが容易になります。そうしないと、PRTが存在せず、Azure ADリソースへのSSOは機能しません。Citrix Federated Authentication Service (FAS) を使用してハイブリッド参加済みVDAへのAzure ADシングルサインオン (SSO) を実現する方法については、Hybrid-joined VDAsを参照してください。
• マシンカタログの作成または更新時にイメージ準備をスキップしないでください。イメージ準備をスキップする場合は、マスターVMがAzure ADまたはHybrid Azure AD参加済みではないことを確認してください。

ハイブリッド アジュール アクティブ ディレクトリ参加済みに関する考慮事項

• Hybrid Azure Active Directory参加済みマシンを作成するには、ターゲットドメインでWrite userCertificate権限が必要です。カタログ作成時に、その権限を持つ管理者の資格情報を入力していることを確認してください。

• Hybrid Azure AD参加プロセスはCitrixによって管理されます。マスターVMでWindowsによって制御されるautoWorkplaceJoinを次のように無効にする必要があります。autoWorkplaceJoinを手動で無効にするタスクは、VDAバージョン2212以前でのみ必要です。

  1. gpedit.mscを実行します。
  2. コンピューターの構成 > 管理用テンプレート > Windows コンポーネント > デバイス登録に移動します。
  3. ドメイン参加済みコンピューターをデバイスとして登録するを無効に設定します。

• マシンIDを作成する際に、Azure ADと同期するように構成されている組織単位（OU）を選択します。

• Windows 11 22H2ベースのマスターVMの場合、システムアカウントを使用してシステム起動時に次のコマンドを実行するスケジュールされたタスクをマスターVMに作成します。マスターVMでタスクをスケジュールするこのタスクは、VDAバージョン2212以前でのみ必要です。

   $VirtualDesktopKeyPath = 'HKLM:\Software\AzureAD\VirtualDesktop'
   $WorkplaceJoinKeyPath = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin'
   $MaxCount = 60
  
   for ($count = 1; $count -le $MaxCount; $count++)
   {
     if ((Test-Path -Path $VirtualDesktopKeyPath) -eq $true)
     {
       $provider = (Get-Item -Path $VirtualDesktopKeyPath).GetValue("Provider", $null)
       if ($provider -eq 'Citrix')
       {
           break;
       }
  
       if ($provider -eq 1)
       {
           Set-ItemProperty -Path $VirtualDesktopKeyPath -Name "Provider" -Value "Citrix" -Force
           Set-ItemProperty -Path $WorkplaceJoinKeyPath -Name "autoWorkplaceJoin" -Value 1 -Force
           Start-Sleep 5
           dsregcmd /join
           break
       }
     }
  
     Start-Sleep 1
   }
   <!--NeedCopy-->
  

• デフォルトでは、Azure AD Connectは30分ごとに同期します。プロビジョニングされたマシンが最初の起動時にHybrid Azure AD参加済みになるまでに最大30分かかる場合があります。

Microsoft Intune に登録されたハイブリッド アジュール AD 参加済みカタログ

Microsoft Intuneに登録されたHybrid Azure AD参加済みカタログ、永続的なシングルセッションおよびマルチセッションVMは、共同管理機能を持つデバイス資格情報を使用します。

共同管理により、Configuration ManagerとMicrosoft Intuneの両方を使用して、Windows 10以降のデバイスを同時に管理できます。詳細については、共同管理を参照してください。

Microsoft Intuneに登録されたHybrid Azure AD参加済みカタログの前提条件

この機能を有効にする前に、以下を確認してください:

• お使いのAzure環境がMicrosoft Intuneを使用するためのライセンス要件を満たしていること。詳細については、Microsoftドキュメントを参照してください。
• 共同管理が有効になっている有効なConfiguration Manager展開があること。詳細については、Microsoftドキュメントを参照してください。

Microsoft Intuneに登録されたハイブリッドAzure AD参加済みカタログの要件

• VDAタイプ: シングルセッションまたはマルチセッション
• VDAバージョン: 2407以降
• プロビジョニングタイプ: Machine Creation Service (MCS)、永続。非永続的なシングルセッションおよびマルチセッションVM向けにMicrosoft Intuneに登録されたハイブリッドAzure AD参加済みカタログは現在プレビュー中です。ハイブリッドEntra ID参加済み非永続VMのMicrosoft Intuneへの登録を参照してください。
• 割り当てタイプ: 専用およびプール
• ホスティングプラットフォーム: 任意のハイパーバイザーまたはクラウドサービス

Microsoft Intuneに登録されたハイブリッドAzure AD参加済みカタログの制限事項

• マシンカタログの作成または更新時にイメージの準備をスキップしないでください。
• Configuration Managerのインターネットベースのクライアント管理 (IBCM) はサポートされていません。

Microsoft Intuneに登録されたハイブリッドAzure AD参加済みカタログに関する考慮事項

• カタログ内の多数のマシンが同時に電源オンになると、Intuneへの登録が遅れる可能性があります。

  Microsoftは、特定の期間内に登録できるデバイスの数を制限するテナントごとのIntune登録制限を課しています。許可されるデバイスの数は、テナントに関連付けられているMicrosoft Intuneライセンスの数によって異なります。テナントの許可される制限については、Microsoftアカウントチームにお問い合わせください。このアプローチは、大規模な環境でのMicrosoft Intune登録のスケーリングに役立ちます。

  永続マシンでは、すべてのデバイスがIntune登録を完了するまでに初期の待機時間が必要になる場合があります。

  非永続マシンについては、Autoscale™または手動の電源操作のいずれかで、同時電源操作を制限することを検討してください。

• Configuration ManagerのCloud Attachを構成します。詳細については、Microsoftドキュメントを参照してください。
• マスターVMにConfiguration Managerクライアントを手動でインストールし、.\CCMSetup.exe /mp:SCCMServer /logon FSP=SCCMServerでサイトコードを割り当てないでください。SCCMServerは、お使いの環境のSCCMサーバー名です。詳細については、Microsoftドキュメントを参照してください。

• MCSで作成されたマシンは、自動サイト割り当てメカニズムを使用して、Active Directory Domain Servicesに公開されているサイト境界グループを検索します。Configuration Managerの境界と境界グループが環境で構成されていることを確認してください。自動サイト割り当てが利用できない場合は、次のレジストリ設定を通じて、マスターVMで静的なConfiguration Managerサイトコードを構成できます。

  キー:

   HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\MachineIdentityServiceAgent\DeviceManagement
   <!--NeedCopy-->
  

  値の名前: MdmSccmSiteCode

  値の型: 文字列

  値のデータ: the site code to be assigned

次のステップ

Hybrid Azure Active Directory参加済みカタログのIDプール作成の詳細については、Hybrid Azure Active Directory参加済みマシンIDのIDプールを参照してください。