Microsoft Entra サービスアカウント
Microsoft Entra サービスアカウントは、Microsoft Entra に参加しているデバイスまたは Microsoft Intune に登録されているデバイスを管理するのに十分な権限を持つ Microsoft Entra サービスプリンシパルのアプリケーション ID とシークレットを保存するためのコンテナです。MCS はこのサービスアカウントを使用して、プロビジョニングされたマシンのライフサイクル中に生成された古い Microsoft Entra または Microsoft Intune デバイスを自動的にクリーンアップできます。
Microsoft Entra サービスプリンシパルに必要な権限
サービスアカウントで使用される Microsoft Entra サービスプリンシパルに必要な権限は、そのサービスアカウントで有効になっている機能によって異なります。
-
Microsoft Entra 参加済みデバイス管理機能を持つサービスアカウントの場合、Microsoft Entra サービスプリンシパルは、Microsoft Entra テナントで
Device.ReadWrite.All権限を持っている必要があります。 -
Microsoft Intune 登録済みデバイス管理機能を持つサービスアカウントの場合、Microsoft Entra サービスプリンシパルは、Microsoft Entra テナントで
DeviceManagementManagedDevices.ReadWrite.All権限を持っている必要があります。 -
Microsoft Entra セキュリティグループ管理機能を持つサービスアカウントの場合、Microsoft Entra サービスプリンシパルは、Microsoft Entra テナントで
Group.ReadWrite.AllおよびGroupMember.ReadWrite.All権限を持っている必要があります。
制限事項
Microsoft Entra ロールベースのアクセス制御は現在サポートされていません。そのため、Microsoft Entra の権限をサービスプリンシパルに直接割り当ててください。
Microsoft Entra サービスアカウントを作成する
Studio または PowerShell を使用して、Microsoft Entra サービスアカウントを作成します。
前提条件
Microsoft Entra サービスアカウントを作成するには、次のタスクを完了していることを確認してください。
-
サービスアカウントで有効にする機能に基づいて、十分な権限を持つ Microsoft Entra プリンシパルを Microsoft Entra テナントに作成します。
Studio を使用する
-
「DaaS」タイルで、「管理」をクリックします。
-
左側のペインで、「管理者」を選択します。
-
「サービスアカウント」タブで、「サービスアカウントの作成」をクリックします。
-
「IDの種類」ページで、「Microsoft Entra ID」を選択します。トラフィックをルーティングするための新しいオプションが有効になります。
-
「Citrix Cloud Connectors を介してトラフィックをルーティング」チェックボックスを選択します。
-
トラフィックをルーティングできるゾーンを選択し、「次へ」をクリックします。
-
-
「資格情報」ページで、Microsoft Entra テナント ID、アプリケーション ID、クライアントシークレットを入力し、資格情報の有効期限を設定します。
-
サービスアカウントの機能を決定します。
-
サービスアカウントのスコープを1つ以上選択します。
-
サービスアカウントのフレンドリ名と説明（オプション）を入力します。
-
「完了」をクリックして作成を完了します。
「注：」:
-
Microsoft Entra 参加済みデバイス管理の機能はデフォルトで選択されており、選択を解除することはできません。
-
テナントに招待されたマルチテナントの Microsoft Entra アプリケーションを使用するには、入力した Microsoft Entra テナント ID が、アプリケーションのホームテナント ID ではなく、自身のテナント ID である必要があります。
PowerShell を使用する
あるいは、PowerShellコマンドを使用してMicrosoft Entraサービスアカウントを作成できます。例：
$tenantId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
$applicationId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
$applicationSecret = xxxxxxxxxxxxxxx
$credential = ConvertTo-SecureString -String $applicationSecret -AsPlainText -Force
New-AcctServiceAccount -IdentityProviderType AzureAD -IdentityProviderIdentifier $tenantId -AccountId $applicationId -AccountSecret $credential -SecretExpiryTime 2030/08/15 -Capabilities @("AzureADDeviceManagement","IntuneDeviceManagement") -DisplayName 'MyApplication' -Description 'Service account for Microsoft Entra tenant'
Microsoft Entra参加済みデバイス管理をサービスアカウントに移行する
以前は、Citrix®はMicrosoft Azure Resource Managerへのホスティング接続を作成または編集する際に、Microsoft Entra参加済みデバイス管理を有効にするオプションを提供していました。MCSは、ホスティング接続とともに保存されたMicrosoft Entraサービスプリンシパル（プロビジョニングSPN）の権限を使用して、古いMicrosoft Entra参加済みデバイスを管理していました。サービスアカウントを使用すると、サービスアカウントとともに保存された専用のMicrosoft Entraサービスプリンシパル（ID管理SPN）を使用して、Microsoft Entra参加済みデバイスまたはMicrosoft Intune登録済みデバイスを管理できます。
Citrixは、プロビジョニングSPNとID管理SPNの責任を分離するために、ホスティング接続によるデバイス管理からサービスアカウントによるデバイス管理への移行を推奨しています。
Microsoft Entra参加済みデバイス管理がすでに有効になっている既存のホスティング接続については、次のように無効にできます。
-
Studioで、左ペインのホスティングを選択します。
-
接続を選択し、アクションバーで接続の編集を選択します。
-
接続プロパティページで、Microsoft Entra参加済みデバイス管理を有効にするチェックボックスをオフにします。
-
保存をクリックして変更を適用します。
注：
現在、新しいホスティング接続を作成する際に、Microsoft Entra参加済みデバイス管理を有効にすることはできません。
Microsoft Entraデバイス管理およびセキュリティグループ管理トラフィックをルーティングする
Microsoft Entraサービスアカウントを作成および変更して、Delivery ControllerからCitrix Cloud Connectorを介してMicrosoft Entra IDへのMicrosoft Entraデバイス管理およびセキュリティグループ管理トラフィックをルーティングします。
Microsoft Entraサービスアカウントを作成または変更する際に、次のカスタムプロパティを含めます。
CustomProperties: {"ProxyHypervisorTrafficThroughConnector":true,"ZoneUid":["<zone uid>"]}
注:
$ZoneUid は、ネットワークトラフィックのルーティング先となるゾーン（リソースロケーション）の Uid です。Uid は Get-ConfigZone コマンドから取得します。
例:
-
新しい Microsoft Entra サービスアカウントを作成する場合:
$tenantId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
$applicationId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
$applicationSecret = xxxxxxxxxxxxxxx
$SecureString = ConvertTo-SecureString -String "Secretstring" -AsPlainText -Force
New-AcctServiceAccount -IdentityProviderType AzureAD -IdentityProviderIdentifier "<Identity provider ID>" -AccountId "<Account ID>" -AccountSecret $SecureString -SecretExpiryTime <yyyy-mm-dd> -Capabilities @("AzureADDeviceManagement","IntuneDeviceManagement") -DisplayName "<Display name>" -CustomProperties '{"ProxyHypervisorTrafficThroughConnector":true,"ZoneUid":["<Zone UID>"]}' -
既存の Microsoft Entra サービスアカウントを変更する場合:
Set-AcctServiceAccount -ServiceAccountUid $serviceAccountUid -CustomProperties '{"ProxyHypervisorTrafficThroughConnector":true,"ZoneUid":[$ZoneUid]}'
次のステップ
-
Microsoft Entra 参加済みカタログを作成するには、Microsoft Entra 参加済みマシン ID の ID プール を参照してください。
-
サービスアカウントを管理するには、サービスアカウントの管理 を参照してください。