ハイブリッド Azure Active Directory 参加済みカタログを作成する
注:
2023年7月以降、MicrosoftはAzure Active Directory (Azure AD) をMicrosoft Entra IDに名称変更しました。このドキュメントでは、Azure Active Directory、Azure AD、またはAADへのすべての参照は、Microsoft Entra IDを指します。
この記事では、ハイブリッド Azure Active Directory (AD) 参加済みカタログを作成する方法について説明します。
Web Studio または PowerShell を使用して、Azure AD 参加済みカタログを作成できます。
要件、制限、および考慮事項については、「ハイブリッドAzure Active Directory参加済み」を参照してください。
Web Studioを使用する
以下の情報は、マシンカタログの作成 のガイダンスを補足するものです。ハイブリッド Azure AD 参加済みカタログを作成するには、その記事の一般的なガイダンスに従い、ハイブリッド Azure AD 参加済みカタログに固有の詳細に注意してください。
カタログ作成ウィザードで：
-
マシンIDページで、ハイブリッドAzure Active Directory参加済みを選択します。作成されたマシンは組織によって所有され、その組織に属するActive Directory Domain Servicesアカウントでサインインされます。これらはクラウドとオンプレミスの両方に存在します。
注:
IDの種類としてハイブリッドAzure Active Directory参加済みを選択した場合、カタログ内の各マシンには対応するADコンピューターアカウントが必要です。
PowerShell を使用する
以下は、Web Studio での操作に相当する PowerShell の手順です。Remote PowerShell SDK を使用してカタログを作成する方法については、
<https://developer-docs.citrix.com/projects/citrix-virtual-apps-desktops-sdk/en/latest/creating-a-catalog/> を参照してください。
オンプレミス AD 参加済みカタログとハイブリッド Azure AD 参加済みカタログの違いは、ID プールとマシンアカウントの作成方法にあります。
ハイブリッド Azure AD 参加済みカタログのアカウントとともに ID プールを作成するには：
New-AcctIdentityPool -AllowUnicode -IdentityType "HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
New-AcctADAccount -IdentityPoolName "HybridAADJoinedCatalog" -Count 10 -ADUserName "corp\admin1" -ADPassword $password
Set-AcctAdAccountUserCert -IdentityPoolName "HybridAADJoinedCatalog" -All -ADUserName "corp\admin1" -ADPassword $password
注:
$password は、書き込み権限を持つADユーザーアカウントの一致するパスワードです。
ハイブリッド Azure AD 参加済みカタログの作成に使用されるその他のすべてのコマンドは、従来のオンプレミス AD 参加済みカタログの場合と同じです。
ハイブリッド Azure AD 参加プロセスのステータスを表示する
Web Studioでは、デリバリーグループ内のハイブリッドAzure AD参加済みマシンが電源オン状態の場合に、ハイブリッドAzure AD参加プロセスのステータスが表示されます。ステータスを表示するには、Search を使用してそれらのマシンを特定し、下部ペインの 「詳細」 タブで各マシンの 「マシンID」 を確認します。「マシンID」 には次の情報が表示されます。
-
ハイブリッド Azure AD参加済み
-
Azure AD にまだ参加していません
注:
-
マシンの初期電源投入時に、ハイブリッドAzure AD参加が遅延する場合があります。これは、デフォルトのマシンID同期間隔（Azure AD Connectの30分）が原因です。マシンは、マシンIDがAzure AD Connectを介してAzure ADに同期された後にのみ、ハイブリッドAzure AD参加済み状態になります。
-
マシンがハイブリッドAzure AD参加済み状態にならない場合、それらはDelivery Controllerに登録されません。登録ステータスは 「初期化」 と表示されます。
また、Web Studioを使用して、マシンが利用できない理由を知ることができます。そのためには、「検索」 ノードでマシンをクリックし、下部ペインの 「詳細」 タブで 「登録」 を確認し、ツールヒントを読んで追加情報を確認します。
トラブルシューティング
マシンがハイブリッド Azure AD 参加済みにならなかった場合は、次の操作を行います。
-
Microsoft Azure ADポータルを通じて、マシンアカウントがAzure ADに同期されているかどうかを確認します。同期されている場合、「まだAzure ADに参加していません」 と表示され、登録ステータスが保留中であることを示します。マシンアカウントをAzure ADに同期するには、以下を確認してください:
-
マシンアカウントが、Azure ADと同期するように構成されているOU内にあること。userCertificate属性を持たないマシンアカウントは、同期するように構成されているOU内にあっても、Azure ADには同期されません。
-
マシンアカウントにuserCertificate属性が入力されていること。この属性を表示するには、Active Directory Explorerを使用します。
-
マシンアカウントが作成された後、Azure AD Connectが少なくとも1回は同期されている必要があります。同期されていない場合は、Azure AD ConnectマシンのPowerShellコンソールで
Start-ADSyncSyncCycle -PolicyType Deltaコマンドを手動で実行し、即時同期をトリガーします。
-
-
ハイブリッドAzure AD参加用のCitrix管理デバイスキーペアがマシンに正しくプッシュされているか、HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrix の下の DeviceKeyPairRestored の値をクエリして確認します。値が1であることを確認します。そうでない場合、考えられる理由は次のとおりです。
-
プロビジョニングスキームに関連付けられているIDプール
IdentityTypeがHybridAzureADに設定されていません。これはGet-AcctIdentityPoolを実行して確認できます。 -
マシンが、マシンカタログと同じプロビジョニングスキームを使用してプロビジョニングされていない。
-
マシンがローカルドメインに参加していない。ローカルドメインへの参加は、ハイブリッドAzure AD参加の前提条件です。
-
-
MCSでプロビジョニングされたマシンで
dsregcmd /status /debugコマンドを実行して、診断メッセージを確認します。-
ハイブリッドAzure AD参加が成功した場合、コマンドラインの出力で AzureAdJoined と DomainJoined が YES になります。
-
そうでない場合、問題をトラブルシューティングするにはMicrosoftのドキュメントを参照してください:
<https://docs.microsoft.com/ja-jp/azure/active-directory/devices/troubleshoot-hybrid-join-windows-current>。 -
エラーメッセージ「Server Message: The user certificate is not found on the device with id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx」が表示された場合は、次のPowerShellコマンドを実行してユーザー証明書を修復してください。
Repair-AcctIdentity -IdentityAccountName TEST\VM1 -Target UserCertificateユーザー証明書の問題の詳細については、CTX566696を参照してください。
-