Microsoft Entra joined マシン ID の ID プール

1. 新しいリソースの場所
   • Citrix Cloud™ 管理 UI > 左上のハンバーガーメニュー > リソースの場所 に移動します。
   • + リソースの場所 をクリックします。
   • 新しいリソースの場所の名前を入力し、保存 をクリックします。
2. ホスティング接続を作成します。詳細については、接続の作成と管理 セクションを参照してください。Azure にマシンを展開する場合は、Azure Resource Manager への接続 を参照してください。

Studio を使用する

1. イメージ ページで:
   • 機能レベルとして 2106 以降を選択します。
   • 「マシンプロファイルを使用」を選択し、リストから適切なマシンを選択します。
2. 「マシンID」ページで:
   1. 「Microsoft Entra joined」を選択します。作成されたマシンは組織によって所有され、その組織に属するMicrosoft Entraアカウントでサインインされます。それらはクラウドにのみ存在します。
      「注：」:
      • 「Microsoft Entra joined」IDタイプには、カタログの最小機能レベルとしてバージョン2106以降が必要です。
      • マシンは、ホスティング接続がバインドされているテナントに関連付けられているMicrosoft Entraドメインに結合されます。

   2. 「サービスアカウントの選択」をクリックし、リストから利用可能なサービスアカウントを選択します。マシンIDが結合するMicrosoft Entraテナントに適したサービスアカウントが利用できない場合は、サービスアカウントを作成できます。サービスアカウントの詳細については、「Microsoft Entraサービスアカウント」を参照してください。
      「注：」:
      選択したサービスアカウントは、さまざまな理由により正常でない状態になっている可能性があります。「管理者 > サービスアカウント」に移動して詳細を表示し、推奨事項に従って問題を修正できます。または、マシンカタログ操作を続行し、後で問題を修正することもできます。問題を修正しないと、古くなったMicrosoft Entra joinedまたはMicrosoft Intune enrolledデバイスが生成され、マシンのMicrosoft Entra joinがブロックされる可能性があります。

   3. 「拡張属性の追加」をクリックして、Entra IDデバイスオブジェクトに一意のカスタムデータを直接保存します。「拡張属性の追加」ページで、「拡張属性」と「値」を追加します。
      「注：」:
      • 最大15個の拡張属性を追加できます。
      • 名前は一意である必要があり、値は空にできません。

   4. Active Directoryアカウントオプションを選択します。
      • 「新しいActive Directoryアカウントを作成」:
        • 「新しいActive Directoryアカウントを作成」を選択し、既存のIDプールを使用して新しいアカウントを作成する場合は、それらのアカウントのドメインを選択し、アカウントの命名スキームを指定します。
        • 「新しいActive Directoryアカウントを作成」を選択し、既存のIDプールを使用して新しいアカウントを作成する場合は、リストからIDプールを選択します。
      • 既存のActive Directoryアカウントを使用: CSVファイルから参照またはインポートし、パスワードをリセットするか、すべてのアカウントに同じパスワードを指定できます。
   • アカウントの命名スキームを指定します。

PowerShell を使用する

Microsoft Entra 参加プロセスのステータスを表示する

• Microsoft Entra 参加済み
• Microsoft Entra ID にまだ参加していません

デリバリーグループ

Rendezvous を有効にする

トラブルシューティング

• システム割り当てマネージド ID がマシンで有効になっているか確認します。MCS でプロビジョニングされたマシンでは、これが自動的に有効になっている必要があります。システム割り当てマネージド ID がないと、Microsoft Entra 参加プロセスは失敗します。MCS でプロビジョニングされたマシンでシステム割り当てマネージド ID が有効になっていない場合、考えられる理由は次のとおりです。
  • プロビジョニングスキームに関連付けられている ID プールの IdentityType が AzureAD に設定されていません。これは Get-AcctIdentityPool を実行して確認できます。
• VDA バージョン 2206 以前のマスターイメージを使用するカタログの場合、マシンの AADLoginForWindows 拡張機能のプロビジョニングステータスを確認します。AADLoginForWindows 拡張機能が存在しない場合、考えられる理由は次のとおりです。
  • プロビジョニングスキームに関連付けられている ID プールの IdentityType が AzureAD に設定されていません。これは Get-AcctIdentityPool を実行して確認できます。
  • AADLoginForWindows 拡張機能のインストールが Azure ポリシーによってブロックされています。
• AADLoginForWindows 拡張機能のプロビジョニングの失敗をトラブルシューティングするには、MCSでプロビジョニングされたマシン上のC:\WindowsAzure\Logs\Plugins\Microsoft.Azure.ActiveDirectory.AADLoginForWindowsでログを確認できます。
  注：
  MCSは、VDAバージョン2209以降のマスターイメージを使用する場合、VMをMicrosoft Entra IDに参加させるためにAADLoginForWindows拡張機能に依存しません。この場合、AADLoginForWindows拡張機能はMCSでプロビジョニングされたマシンにインストールされません。したがって、AADLoginForWindows拡張機能のプロビジョニングログを収集することはできません。

• MCSでプロビジョニングされたマシンでdsregcmd /statusコマンドを実行して、Microsoft Entra参加ステータスとデバッグログを確認します。
• アプリケーションとサービスログ > Microsoft > Windows > ユーザーデバイス登録の下にあるWindowsイベントログを確認します。
• Get-Item -LiteralPath XDHyp:\Connections\${HostingConnectionName}を実行して、Microsoft Entraデバイス管理が正しく構成されているか確認します。
  次の値を確認してください。
  • CustomProperties内のAzureAdDeviceManagementプロパティがtrueであること
  • メタデータ内のCitrix_MCS_AzureAdDeviceManagement_PermissionGrantedプロパティがtrueであること
  Citrix_MCS_AzureAdDeviceManagement_PermissionGrantedがfalseの場合、ホスティング接続で使用されるアプリケーションのServicePrincipalに、Microsoft Entraデバイス管理を実行するための十分な権限が付与されていないことを示します。これを解決するには、ServicePrincipalにCloud Device Administratorロールを割り当てます。

Microsoft Entra動的セキュリティグループ

• Microsoft Entra 動的セキュリティグループを使用してマシンカタログを作成する
• Microsoft Entra カタログのセキュリティグループ機能を有効にする
• Microsoft Entra 参加済みデバイスセキュリティグループを使用してマシンカタログを削除する

既存の Microsoft Entra ID 割り当て済みセキュリティグループの下に Microsoft Entra 動的セキュリティグループを作成する

• セキュリティグループ情報を取得します。
• オンプレミス AD サーバーから同期された、または Microsoft Entra ロールを割り当てることができるすべての Microsoft Entra ID 割り当て済みセキュリティグループを取得します。
• すべての Microsoft Entra 動的セキュリティグループを取得します。
• Microsoft Entra 動的セキュリティグループを Microsoft Entra ID 割り当て済みグループのメンバーとして追加します。
• マシンカタログとともに Microsoft Entra 動的セキュリティグループが削除されたときに、Microsoft Entra 動的セキュリティグループと Microsoft Entra ID 割り当て済みセキュリティグループ間のメンバーシップを削除します。

1. Microsoft Graph Explorer を開き、Microsoft Entra ID にログインします。
2. Group.ReadWrite.All および GroupMember.ReadWrite.All 権限への同意があることを確認してください。
3. Microsoft Graph Explorer からアクセストークンを取得します。PowerShell コマンドを実行する際に、このアクセストークンを使用します。

1. アクセストークンを取得します。
2. Azure ポータルからグループオブジェクトIDを見つけます。
3. 次の PowerShell コマンドを PowerShell コンソールで実行します:
   Get-AcctAzureADSecurityGroup
-AccessToken <token> -GroupId <GroupUid>
   または、Microsoft Entra サービスアカウントを使用している場合は、次を実行します:
   Get-AcctAzureADSecurityGroup -ServiceAccountUid <guid> -GroupId <GroupUid>

1. アクセストークンを取得します。
2. 次の PowerShell コマンドを PowerShell コンソールで実行します:
   Get-AcctAzureADSecurityGroup
-AccessToken <token>
-Name <TargetGroupDisplayName>
   または、Microsoft Entra サービスアカウントを使用している場合は、次を実行します:
   Get-AcctAzureADSecurityGroup
-ServiceAccountUid <guid>
-Name <TargetGroupDisplayName>

1. アクセストークンを取得します。
2. 次の PowerShell コマンドを PowerShell コンソールで実行します:
   Get-AcctAzureADSecurityGroup
-AccessToken <token>
-SearchString <displayNameSubString>
   または、Microsoft Entra サービスアカウントを使用している場合は、以下を実行します。
   Get-AcctAzureADSecurityGroup
-ServiceAccountUid <guid>
-SearchString <displayNameSubString>

1. アクセストークンを取得します。
2. PowerShell コンソールで次の PowerShell コマンドを実行します。
   Get-AcctAzureADSecurityGroup
-AccessToken <token>
-Assigned true
   または、Microsoft Entra サービスアカウントを使用している場合は、以下を実行します。
   Get-AcctAzureADSecurityGroup
-ServiceAccountUid <guid>
-Assigned true

1. アクセストークンを取得します。
2. PowerShell コンソールで次の PowerShell コマンドを実行します。
   Get-AcctAzureADSecurityGroup
-AccessToken <token>
-Dynamic true
   または、Microsoft Entra サービスアカウントを使用している場合は、以下を実行します。
   Get-AcctAzureADSecurityGroup
-ServiceAccountUid <guid>
-Dynamic true

1. アクセストークンを取得します。
2. PowerShell コンソールで次の PowerShell コマンドを実行します。
   Get-AcctAzureADSecurityGroup
-AccessToken <token>
-Assigned true
-MaxRecordCount 10
   または、Microsoft Entra サービスアカウントを使用している場合は、以下を実行します。
   Get-AcctAzureADSecurityGroup
-ServiceAccountUid <guid>
-Assigned true
-MaxRecordCount 10

1. アクセストークンを取得します。
2. PowerShell コンソールで次の PowerShell コマンドを実行します。
   Add-AcctAzureADSecurityGroupMember
-AccessToken <token>
-GroupId <ASG-Id>
-RefGroupId <DSG-Id>
   または、Microsoft Entra サービスアカウントを使用している場合は、次を実行します。
   Add-AcctAzureADSecurityGroupMember
-ServiceAccountUid <guid>
-GroupId <ASG-Id>
-RefGroupId <DSG-Id>

1. アクセストークンを取得します。
2. PowerShell コンソールで次の PowerShell コマンドを実行します。
   Get-AcctAzureADSecurityGroupMember
-AccessToken <token>
-GroupId <ASG-Id>
   または、Microsoft Entra サービスアカウントを使用している場合は、次を実行します。
   Get-AcctAzureADSecurityGroupMember
-ServiceAccountUid <guid>
-GroupId <ASG-Id>
   注:
   Get-AcctAzureADSecurityGroupMember は、Microsoft Entra ID 割り当て済みセキュリティグループの下にあるセキュリティグループタイプの直接のメンバーのみを提供します。

1. アクセストークンを取得します。
2. PowerShell コンソールで次の PowerShell コマンドを実行します。
   Remove-AcctIdentityPool
-IdentityPoolName "SecurityGroupCatalog"
-AzureADAccessToken $AzureADAccessToken
   または、Microsoft Entra サービスアカウントを使用している場合は、次を実行します。
   Remove-AcctIdentityPool
-ServiceAccountUid <guid>
-IdentityPoolName "SecurityGroupCatalog"

Microsoft Entra 動的セキュリティグループ名を変更する

1. PowerShellウィンドウを開きます。
2. Citrix固有のPowerShellモジュールをロードするためにasnp citrix*を実行します。
3. Set-AcctIdentityPool -AzureAdSeurityGroupName [DSG-Name]コマンドを実行します。

詳細情報

• マシンID管理のサービスアカウント
• Microsoft Entraサービスアカウント