ハイブリッドAzure Active Directory参加済みカタログの作成
この記事では、ハイブリッド Azure Active Directory (AD) 参加済みカタログを作成する方法について説明します。
Web Studio または PowerShell を使用して、Azure AD 参加済みカタログを作成できます。
要件、制限、および考慮事項については、「ハイブリッドAzure Active Directory参加済み」を参照してください。
Web Studioの使用
以下の情報は、マシンカタログの作成 のガイダンスを補足するものです。ハイブリッド Azure AD 参加済みカタログを作成するには、その記事の一般的なガイダンスに従い、ハイブリッド Azure AD 参加済みカタログに固有の詳細に注意してください。
カタログ作成ウィザードで：
-
Machine Identitiesページで、Hybrid Azure Active Directory joinedを選択します。作成されたマシンは組織が所有し、その組織に属するActive Directory Domain Servicesアカウントでサインインされます。これらはクラウドとオンプレミスの両方に存在します。
注:
IDタイプとしてHybrid Azure Active Directory joinedを選択した場合、カタログ内の各マシンには対応するADコンピューターアカウントが必要です。
PowerShellの使用
以下は、Web Studio での操作に相当する PowerShell の手順です。Remote PowerShell SDK を使用してカタログを作成する方法については、
<https://developer-docs.citrix.com/projects/citrix-virtual-apps-desktops-sdk/en/latest/creating-a-catalog/> を参照してください。
オンプレミスAD参加済みカタログとハイブリッドAzure AD参加済みカタログの違いは、IDプールとマシンアカウントの作成方法にあります。
ハイブリッドAzure AD参加済みカタログのIDプールとアカウントを作成するには：
New-AcctIdentityPool -AllowUnicode -IdentityType "HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
New-AcctADAccount -IdentityPoolName "HybridAADJoinedCatalog" -Count 10 -ADUserName "corp\admin1" -ADPassword $password
Set-AcctAdAccountUserCert -IdentityPoolName "HybridAADJoinedCatalog" -All -ADUserName "corp\admin1" -ADPassword $password
注:
$password は、書き込み権限を持つADユーザーアカウントの一致するパスワードです。
ハイブリッド Azure AD 参加済みカタログの作成に使用されるその他のコマンドはすべて、従来のオンプレミス AD 参加済みカタログの場合と同じです。
ハイブリッド Azure AD 参加プロセスのステータスを表示する
Web Studio では、デリバリーグループ内のハイブリッド Azure AD 参加済みマシンが電源オン状態の場合に、ハイブリッド Azure AD 参加プロセスのステータスが表示されます。ステータスを表示するには、検索 を使用してそれらのマシンを特定し、下部ペインの タブで各マシンの を確認します。 には、次の情報が表示されます。
-
ハイブリッド Azure AD参加済み
-
Azure AD にまだ参加していません
注記:
トラブルシューティング
マシンがハイブリッド Azure AD 参加に失敗した場合は、次の操作を行います。
-
マシンアカウントが Microsoft Azure AD ポータルを介して Azure AD に同期されているか確認します。同期されている場合、「まだ Azure AD に参加していません」と表示され、登録ステータスが保留中であることを示します。マシンアカウントをAzure ADに同期するには、以下を確認してください。
-
マシンアカウントが、Azure AD と同期するように構成されている OU にあること。userCertificate 属性を持たないマシンアカウントは、同期するように構成されている OU にあっても Azure AD に同期されません。
-
属性 userCertificate がマシンアカウントに設定されます。Active Directory Explorer を使用して属性を表示します。
-
マシンアカウントが作成された後、Azure AD Connect が少なくとも一度は同期されている必要があります。そうでない場合は、Azure AD Connect マシンの PowerShell コンソールで
Start-ADSyncSyncCycle -PolicyType Deltaコマンドを手動で実行して、即時同期をトリガーします。
-
-
ハイブリッド Azure AD 参加用の Citrix 管理対象デバイスキーペアが、HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrix の下の DeviceKeyPairRestored の値を照会することで、マシンに正しくプッシュされているかを確認します。値が1であることを確認します。そうでない場合、考えられる理由は次のとおりです。
-
プロビジョニングスキームに関連付けられている ID プールの
IdentityTypeがHybridAzureADに設定されていません。これはGet-AcctIdentityPoolを実行して確認できます。 -
マシンがマシンカタログと同じプロビジョニングスキームを使用してプロビジョニングされていません。
-
マシンがローカルドメインに参加していません。ローカルドメインへの参加は、ハイブリッド Azure AD 参加の前提条件です。
-
-
MCSでプロビジョニングされたマシンで
dsregcmd /status /debugコマンドを実行して、診断メッセージを確認します。-
ハイブリッド Azure AD 参加が成功した場合、コマンドラインの出力で AzureAdJoined と DomainJoined が YES になります。
-
そうでない場合、問題をトラブルシューティングするにはMicrosoftのドキュメントを参照してください:
<https://docs.microsoft.com/ja-jp/azure/active-directory/devices/troubleshoot-hybrid-join-windows-current>。 -
エラーメッセージ「Server Message: The user certificate is not found on the device with id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx」が表示された場合は、ユーザー証明書を修復するために次のPowerShellコマンドを実行します。
Repair-AcctIdentity -IdentityAccountName TEST\VM1 -Target UserCertificateユーザー証明書の問題の詳細については、CTX566696を参照してください。
-