ハイブリッド Azure Active Directory 参加済み

要件

• VDA の種類: シングルセッション (デスクトップのみ) またはマルチセッション (アプリとデスクトップ)
• VDA バージョン: 2212 以降
• プロビジョニングの種類: Machine Creation Services™ (MCS)、永続的および非永続的
• 割り当ての種類: 専用およびプール
• ホスティングプラットフォーム: 任意のハイパーバイザーまたはクラウドサービス

制限事項

• Citrix Federated Authentication Service (FAS) を使用する場合、シングルサインオンは Azure AD ではなくオンプレミスの AD に向けられます。この場合、ユーザーログオン時にプライマリ更新トークン (PRT) が生成されるように Azure AD 証明書ベースの認証を構成することをお勧めします。これにより、セッション内の Azure AD リソースへのシングルサインオンが容易になります。そうしないと、PRT が存在せず、Azure AD リソースへの SSO は機能しません。Citrix Federated Authentication Service (FAS) を使用してハイブリッド参加済み VDA への Azure AD シングルサインオン (SSO) を実現する方法については、「ハイブリッド参加済み VDA」を参照してください。
• マシンカタログの作成または更新中にイメージの準備をスキップしないでください。イメージの準備をスキップしたい場合は、マスターVMがAzure ADまたはハイブリッドAzure ADに参加していないことを確認してください。

考慮事項

• ハイブリッドAzure Active Directoryに参加しているマシンを作成するには、ターゲットドメインでWrite userCertificate権限が必要です。カタログ作成時に、その権限を持つ管理者の資格情報を入力していることを確認してください。
• ハイブリッドAzure AD参加プロセスはCitrixによって管理されます。マスターVMでWindowsによって制御されるautoWorkplaceJoinを次のように無効にする必要があります。autoWorkplaceJoinを手動で無効にするタスクは、VDAバージョン2212以前の場合にのみ必要です。
  1. gpedit.mscを実行します。
  2. コンピューターの構成 > 管理用テンプレート > Windows コンポーネント > デバイス登録に移動します。
  3. ドメイン参加済みコンピューターをデバイスとして登録するを無効に設定します。
• マシン ID を作成するときに、Azure AD と同期するように構成されている組織単位 (OU) を選択します。
• Windows 11 22H2ベースのマスターVMの場合、SYSTEMアカウントを使用してシステム起動時に次のコマンドを実行するスケジュールされたタスクをマスターVMで作成します。マスターVMでタスクをスケジュールするこのタスクは、VDAバージョン2212以前の場合にのみ必要です。
  $VirtualDesktopKeyPath = 'HKLM:\Software\AzureAD\VirtualDesktop'
$WorkplaceJoinKeyPath = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin'
$MaxCount = 60

for ($count = 1; $count -le $MaxCount; $count++)
{
  if ((Test-Path -Path $VirtualDesktopKeyPath) -eq $true)
  {
    $provider = (Get-Item -Path $VirtualDesktopKeyPath).GetValue("Provider", $null)
    if ($provider -eq 'Citrix')
    {
        break;
    }

    if ($provider -eq 1)
    {
        Set-ItemProperty -Path $VirtualDesktopKeyPath -Name "Provider" -Value "Citrix" -Force
        Set-ItemProperty -Path $WorkplaceJoinKeyPath -Name "autoWorkplaceJoin" -Value 1 -Force
        Start-Sleep 5
        dsregcmd /join
        break
    }
  }

  Start-Sleep 1
}
• デフォルトでは、Azure AD Connect は 30 分ごとに同期します。プロビジョニングされたマシンが最初の起動時にハイブリッド Azure AD に参加するまで、最大 30 分かかる場合があります。

次のステップ