Hybrid Azure Active Directory参加済みマシンIDのIDプール
注:
2023 年 7 月以降、Microsoft は Azure Active Directory (Azure AD) を Microsoft Entra ID に名称変更しました。このドキュメントでは、Azure Active Directory、Azure AD、または AAD へのすべての参照は、Microsoft Entra ID を指します。
この記事では、以下のIDプールを作成する方法について説明します。
-
Hybrid Azure Active Directory (AD) 参加済みカタログ
-
Microsoft Intuneに登録されているHybrid Azure AD参加済みカタログ
要件、制限、および考慮事項については、Hybrid Azure Active Directory 参加済み を参照してください。
Hybrid Azure Active Directory (AD) 参加済みカタログの作成
Web Studioを使用する
以下の情報は、マシンカタログの作成 のガイダンスを補足するものです。
-
Hybrid Azure Active Directory参加済みを選択します。作成されたマシンは組織によって所有され、その組織に属するActive Directoryアカウントでサインインされます。
-
デバイス管理のために作成されたマシンを Microsoft Intune (Configuration Manager を含む) に登録するには、 を選択します。カタログ作成中のエラーを回避するには、マスターイメージが次の要件を満たしていることを確認してください。
-
VDA バージョン 2405 以降がインストールされていること。
-
サイトコードが割り当てられていない Configuration Manager クライアントがインストールされていること。詳細については、この Microsoft の記事を参照してください。
-
注:
IDタイプとしてハイブリッド Azure Active Directory 参加済みを選択した場合、カタログ内の各マシンには対応するADコンピューターアカウントが必要です。
PowerShell を使用する
以下は、Web Studio での操作に相当する PowerShell の手順です。Remote PowerShell SDK を使用してカタログを作成する方法については、
<https://developer-docs.citrix.com/projects/citrix-virtual-apps-desktops-sdk/en/latest/creating-a-catalog/> を参照してください。
オンプレミスAD参加済みカタログとHybrid Azure AD参加済みカタログの違いは、IDプールとマシンアカウントの作成にあります。
Hybrid Azure AD参加済みカタログのアカウントとともにIDプールを作成するには、次の手順を実行します。
New-AcctIdentityPool -AllowUnicode -IdentityType "HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
New-AcctIdentity -IdentityPoolName "HybridAADJoinedCatalog" -Count 10 -ADUserName "corp\admin1" -ADPassword $password
Set-AcctAdAccountUserCert -IdentityPoolName "HybridAADJoinedCatalog" -All -ADUserName "corp\admin1" -ADPassword $password
注:
$password は、書き込み権限を持つADユーザーアカウントの一致するパスワードです。
ハイブリッドAzure AD参加済みカタログを作成するために使用される他のすべてのコマンドは、従来のオンプレミスAD参加済みカタログと同じです。
Hybrid Azure AD参加プロセスのステータスの表示
Web Studioでは、デリバリーグループ内のハイブリッドAzure AD参加済みマシンが電源オンの状態にある場合、ハイブリッドAzure AD参加プロセスのステータスが表示されます。ステータスを表示するには、検索を使用してそれらのマシンを特定し、各マシンの下部ペインにある詳細タブでマシンIDを確認します。マシンIDには次の情報が表示されます。
-
ハイブリッドAzure AD参加済み
-
Azure ADにまだ参加していません
注:
-
マシンが最初に電源オンになったときに、ハイブリッドAzure AD参加の遅延が発生する場合があります。これは、デフォルトのマシンID同期間隔（Azure AD Connectの30分）が原因です。マシンは、マシンIDがAzure AD Connectを介してAzure ADに同期された後にのみ、ハイブリッドAzure AD参加済み状態になります。
-
マシンがハイブリッド Azure AD 参加状態にならなかった場合、Delivery Controller に登録されません。登録ステータスは Initialization と表示されます。
また、Web Studio を使用して、マシンが利用できない理由を確認できます。そのためには、検索ノードでマシンをクリックし、下部ペインの詳細タブで登録を確認し、ツールチップを読んで追加情報を確認します。
トラブルシューティング
マシンがハイブリッド Azure AD 参加に失敗した場合は、次の操作を行います。
-
マシンアカウントが Microsoft Azure AD ポータルを通じて Azure AD に同期されているか確認します。同期されている場合、Not yet joined to Azure AD と表示され、登録が保留中であることを示します。マシンアカウントを Azure AD に同期するには、以下を確認してください。
-
マシンアカウントが Azure AD と同期するように構成されている OU にあること。userCertificate 属性を持たないマシンアカウントは、同期するように構成されている OU にあっても Azure AD に同期されません。
-
マシンアカウントに属性 userCertificate が設定されていること。属性を表示するには、Active Directory Explorer を使用します。
-
マシンアカウントが作成された後、Azure AD Connect が少なくとも一度は同期されている必要があります。同期されていない場合は、Azure AD Connect マシンの PowerShell コンソールで
Start-ADSyncSyncCycle -PolicyType Deltaコマンドを手動で実行して、即時同期をトリガーします。
-
-
ハイブリッド Azure AD 参加用の Citrix 管理デバイスキーペアがマシンに正しくプッシュされているか、HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrix の下の DeviceKeyPairRestored の値をクエリして確認します。値が 1 であることを確認します。そうでない場合、考えられる理由は次のとおりです。
-
プロビジョニングスキームに関連付けられている ID プールの
IdentityTypeがHybridAzureADに設定されていません。これはGet-AcctIdentityPoolを実行して確認できます。 -
マシンが、マシンカタログと同じプロビジョニングスキームを使用してプロビジョニングされていない。
-
マシンがローカルドメインに参加していない。ローカルドメインへの参加は、ハイブリッド Azure AD 参加の前提条件です。
-
-
MCS でプロビジョニングされたマシンで
dsregcmd /status /debugコマンドを実行して、診断メッセージを確認します。-
ハイブリッドAzure AD参加が成功した場合、コマンドラインの出力でAzureAdJoinedとDomainJoinedがYESになります。
-
そうでない場合、問題をトラブルシューティングするにはMicrosoftのドキュメントを参照してください:
<https://docs.microsoft.com/ja-jp/azure/active-directory/devices/troubleshoot-hybrid-join-windows-current>。 -
エラーメッセージ Server Message: The user certificate is not found on the device with id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx が表示された場合は、次の PowerShell コマンドを実行してユーザー証明書を修復してください:
Repair-AcctIdentity -IdentityAccountName TEST\VM1 -Target UserCertificateユーザー証明書の問題の詳細については、CTX566696を参照してください。
-
Microsoft Intuneに登録されたハイブリッドAzure AD参加カタログの作成
Microsoft Intuneに登録されたハイブリッドAzure AD参加カタログ向けに、永続的なシングルセッションおよびマルチセッションVM用の共同管理対応カタログを作成できます。共同管理対応カタログは、StudioとPowerShellの両方を使用して作成できます。
Web Studioを使用する
以下の情報は、マシンカタログの作成のガイダンスを補足するものです。
マシンカタログのセットアップウィザードで、:
-
マシンIDページで、ハイブリッドAzure Active Directory参加済みを選択し、次にConfiguration Managerを使用してMicrosoft Intuneにマシンを登録を選択します。このアクションを使用すると、Configuration ManagerとMicrosoft Intune（つまり、共同管理）がVMを管理します。
PowerShell を使用する
以下は、Studio の手順に相当する PowerShell の手順です。
Remote PowerShell SDK を使用して Configuration Manager でマシンを Microsoft Intune に登録するには、
New-AcctIdentityPool の DeviceManagementType パラメーターを使用します。この機能には、カタログがハイブリッド Azure AD 参加済みであり、Azure AD が適切な Microsoft Intune ライセンスを所有している必要があります。
ハイブリッドAzure AD参加カタログと共同管理対応カタログの違いは、IDプールの作成方法にあります。例：
New-AcctIdentityPool -AllowUnicode -DeviceManagementType "IntuneWithSCCM" IdentityType="HybridAzureAD" -IdentityPoolName "CoManagedCatalog" -NamingScheme "CoManaged-VM-##" -NamingSchemeType "Numeric" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
トラブルシューティング
マシンがMicrosoft Intuneへの登録に失敗したり、共同管理状態に到達できなかったりした場合は、次の操作を行います。
-
Intuneライセンスを確認するAzure ADテナントに適切なIntuneライセンスが割り当てられているか確認します。Microsoft Intuneのライセンス要件については、Microsoft Intune licensingを参照してください。
-
Hybrid Azure AD参加の状態を確認するMCSでプロビジョニングされたマシンがHybrid Azure ADに参加しているか確認します。Hybrid Azure ADに参加していない場合、マシンは共同管理の対象になりません。Hybrid Azure AD参加の問題のトラブルシューティングについては、Troubleshootを参照してください。
-
共同管理の適格性を確認する
-
MCSでプロビジョニングされたマシンに、予期されるConfiguration Managerサイトが正しく割り当てられているか確認します。割り当てられたサイトを取得するには、影響を受けるマシンで次のPowerShellコマンドを実行します。
(New-Object -ComObject "Microsoft.SMS.Client").GetAssignedSite() -
VMにサイトが割り当てられていない場合は、次のコマンドを使用して、Configuration Managerサイトが自動的に検出できるか確認します。
(New-Object -ComObject "Microsoft.SMS.Client").AutoDiscoverSite() -
サイトコードが検出できない場合は、Configuration Manager 環境で境界と境界グループが適切に構成されていることを確認してください。詳細については、Considerations を参照してください。
-
Configuration Manager クライアントのサイト割り当てに関する問題がないか、
C:\Windows\CCM\Logs\ClientLocation.logを確認してください。 -
マシンの共同管理状態を確認します。影響を受けるマシンでConfiguration Managerコントロールパネルを開き、全般タブに移動します。共同管理プロパティの値はEnabledである必要があります。そうでない場合は、
C:\Windows\CCM\Logs\CoManagementHandler.logの下のログを確認してください。
-
-
Intune 登録を確認するすべての前提条件が満たされていても、マシンが Microsoft Intune への登録に失敗する場合があります。Intune 登録の問題については、Application and Services Logs > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider の下の Windows イベントログを確認してください。