Microsoft Entra ハイブリッド参加済みマシンIDのIDプール
この記事では、以下のIDプールを作成する方法について説明します。
-
Microsoft Entra ハイブリッド参加済みカタログ
-
Microsoft Intune に登録されている Microsoft Entra ハイブリッド参加済みカタログ
要件、制限、考慮事項については、Microsoft Entra ハイブリッド参加済みを参照してください。
Microsoft Entra ハイブリッド参加済みカタログを作成する
Web Studio を使用する
以下の情報は、マシンカタログの作成のガイダンスを補足するものです。
カタログ作成ウィザードのマシンIDページで:
-
Microsoft Entra ハイブリッド参加済みを選択します。作成されたマシンは組織によって所有され、その組織に属するActive Directoryアカウントでサインインされます。
-
デバイス管理のために作成されたマシンをMicrosoft Intune (Configuration Managerを含む) に登録するには、Configuration Managerを使用してマシンをMicrosoft Intuneに登録するを選択します。カタログ作成中のエラーを回避するには、マスターイメージが次の要件を満たしていることを確認してください。
-
VDAバージョン2405以降がインストールされていること。
-
サイトコードが割り当てられていないConfiguration Managerクライアントがインストールされていること。詳細については、このMicrosoft記事を参照してください。
-
注：
IDタイプとしてMicrosoft Entra ハイブリッド参加済みを選択した場合、カタログ内の各マシンには、対応するADコンピューターアカウントが必要です。
PowerShell を使用する
以下は、Web Studio での操作に相当する PowerShell の手順です。Remote PowerShell SDK を使用してカタログを作成する方法については、
<https://developer-docs.citrix.com/projects/citrix-virtual-apps-desktops-sdk/en/latest/creating-a-catalog/> を参照してください。
オンプレミスのAD参加済みカタログとMicrosoft Entraハイブリッド参加済みカタログの違いは、IDプールとマシンアカウントの作成にあります。
Microsoft Entra ハイブリッド参加カタログのアカウントとともにIDプールを作成するには：
New-AcctIdentityPool -AllowUnicode -IdentityType "HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
New-AcctIdentity -IdentityPoolName "HybridAADJoinedCatalog" -Count 10 -ADUserName "corp\admin1" -ADPassword $password
Set-AcctAdAccountUserCert -IdentityPoolName "HybridAADJoinedCatalog" -All -ADUserName "corp\admin1" -ADPassword $password
注：
$password は、書き込み権限を持つ AD ユーザーアカウントの一致するパスワードです。
Microsoft Entra ハイブリッド参加済みカタログの作成に使用されるその他のコマンドはすべて、従来のオンプレミス AD 参加済みカタログの場合と同じです。
Microsoft Entra ハイブリッド参加プロセスのステータスを表示する
Web Studio では、デリバリーグループ内の Microsoft Entra ハイブリッド参加済みマシンが電源オン状態の場合に、Microsoft Entra ハイブリッド参加プロセスのステータスが表示されます。ステータスを表示するには、Search を使用してそれらのマシンを特定し、下部ペインの タブで各マシンの を確認します。 には、次の情報が表示されます。
-
Microsoft Entra ハイブリッド参加済み
-
まだ Microsoft Entra ID に参加していません
注：
-
マシンが最初に電源オンになったときに、Microsoft Entra ハイブリッド参加が遅延する場合があります。これは、デフォルトのマシン ID 同期間隔（Microsoft Entra Connect の 30 分）が原因です。マシンは、マシン ID が Microsoft Entra Connect を介して Microsoft Entra ID に同期された後にのみ、Microsoft Entra ハイブリッド参加状態になります。
トラブルシューティング
マシンがMicrosoft Entraハイブリッド参加に失敗した場合は、次の操作を行います。
-
マシンアカウントがMicrosoft Entra IDポータルを通じてMicrosoft Entra IDに同期されているか確認します。同期されている場合、Not yet joined to Microsoft Entra IDと表示され、登録が保留中であることを示します。マシンアカウントをMicrosoft Entra IDに同期するには、以下を確認してください。
-
マシンアカウントが、Microsoft Entra IDと同期するように構成されているOU内にあること。userCertificate属性を持たないマシンアカウントは、同期するように構成されているOU内にあってもMicrosoft Entra IDに同期されません。
-
マシンアカウントにuserCertificate属性が設定されていること。属性を表示するには、Active Directory Explorerを使用します。
-
マシンアカウントが作成された後、Microsoft Entra Connectが少なくとも1回同期されている必要があります。同期されていない場合は、Microsoft Entra ConnectマシンのPowerShellコンソールで
Start-ADSyncSyncCycle -PolicyType Deltaコマンドを手動で実行して、即時同期をトリガーします。
-
-
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrixの下にあるDeviceKeyPairRestoredの値を照会して、Microsoft Entraハイブリッド参加用のCitrix管理対象デバイスキーペアがマシンに正しくプッシュされているか確認します。値が1であることを確認します。そうでない場合、考えられる理由は次のとおりです。
-
プロビジョニングスキームに関連付けられているIDプールの
IdentityTypeがHybridAzureADに設定されていません。これはGet-AcctIdentityPoolを実行して確認できます。 -
マシンがマシンカタログと同じプロビジョニングスキームを使用してプロビジョニングされていない。
-
マシンがローカルドメインに参加していない。ローカルドメイン参加は、Microsoft Entraハイブリッド参加の前提条件です。
-
-
MCSプロビジョニング済みマシンで
dsregcmd /status /debugコマンドを実行して、診断メッセージを確認します。-
Microsoft Entra ハイブリッド参加が成功した場合、コマンドラインの出力でAzureAdJoinedとDomainJoinedがYESになります。
-
そうでない場合、問題をトラブルシューティングするにはMicrosoftのドキュメントを参照してください:
<https://docs.microsoft.com/ja-jp/azure/active-directory/devices/troubleshoot-hybrid-join-windows-current>。 -
エラーメッセージ「Server Message: The user certificate is not found on the device with id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx」が表示された場合は、ユーザー証明書を修復するために、以下のPowerShellコマンドを実行します。
Repair-AcctIdentity -IdentityAccountName TEST\VM1 -Target UserCertificateユーザー証明書の問題に関する詳細については、CTX566696を参照してください。
-
Microsoft Intune に登録されている Microsoft Entra ハイブリッド参加カタログを作成する
永続的なシングルセッションおよびマルチセッションVM向けに、Microsoft Intune に登録されている Microsoft Entra ハイブリッド参加カタログの共同管理が有効なカタログを作成できます。共同管理が有効なカタログは、StudioとPowerShellの両方を使用して作成できます。
Web Studio を使用する
以下の情報は、マシンカタログの作成のガイダンスを補足するものです。
マシンカタログのセットアップウィザードで:
-
マシンIDページで、Microsoft Entra ハイブリッド参加を選択し、次にConfiguration ManagerでマシンをMicrosoft Intuneに登録を選択します。このアクションを使用すると、Configuration ManagerとMicrosoft Intune（つまり、共同管理）がVMを管理します。
PowerShell を使用する
以下は、Studio の手順に相当する PowerShell の手順です。
Remote PowerShell SDKを使用して、Configuration ManagerでマシンをMicrosoft Intuneに登録するには、
New-AcctIdentityPoolのDeviceManagementTypeパラメーターを使用します。この機能には、カタログがMicrosoft Entra ハイブリッド参加済みであり、Microsoft Entra IDが適切なMicrosoft Intuneライセンスを所有している必要があります。
Microsoft Entra ハイブリッド参加カタログと共同管理が有効なカタログの違いは、IDプールの作成にあります。例:
New-AcctIdentityPool -AllowUnicode -DeviceManagementType "IntuneWithSCCM" IdentityType="HybridAzureAD" -IdentityPoolName "CoManagedCatalog" -NamingScheme "CoManaged-VM-##" -NamingSchemeType "Numeric" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
トラブルシューティング
マシンがMicrosoft Intuneへの登録に失敗した場合、または共同管理状態に到達できない場合は、以下を実行してください。
-
Intuneライセンスを確認するMicrosoft Entra テナントに適切な Intune ライセンスが割り当てられているか確認します。Microsoft Intune のライセンス要件については、Microsoft Intune licensing を参照してください。
-
Microsoft Entra ハイブリッド参加の状態を確認しますMCS でプロビジョニングされたマシンが Microsoft Entra ハイブリッド参加済みであるか確認します。Microsoft Entra ハイブリッド参加済みでない場合、そのマシンは共同管理の対象になりません。Microsoft Entra ハイブリッド参加の問題のトラブルシューティングについては、トラブルシューティングを参照してください。
-
共同管理の適格性を確認します
-
MCS でプロビジョニングされたマシンに、予期される Configuration Manager サイトが正しく割り当てられているか確認します。割り当てられたサイトを取得するには、影響を受けるマシンで次の PowerShell コマンドを実行します。
(New-Object -ComObject "Microsoft.SMS.Client").GetAssignedSite() -
VM にサイトが割り当てられていない場合は、次のコマンドを使用して Configuration Manager サイトが自動的に検出されるか確認します。
(New-Object -ComObject "Microsoft.SMS.Client").AutoDiscoverSite() -
サイトコードが検出できない場合は、Configuration Manager 環境で境界と境界グループが適切に構成されていることを確認してください。詳細については、Considerations を参照してください。
-
Configuration Manager クライアントのサイト割り当てに関する問題がないか、
C:\Windows\CCM\Logs\ClientLocation.logを確認してください。 -
マシンの共同管理の状態を確認します。影響を受けるマシンで Configuration Manager コントロールパネルを開き、General タブに移動します。共同管理プロパティの値は Enabled である必要があります。そうでない場合は、
C:\Windows\CCM\Logs\CoManagementHandler.logの下のログを確認してください。
-
-
Intune 登録を確認しますすべての前提条件が満たされていても、マシンが Microsoft Intune への登録に失敗する場合があります。Intune 登録の問題については、Application and Services Logs > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider の下の Windows イベントログを確認してください。