Microsoft Entra ハイブリッド参加済みマシンIDのIDプール

• を選択します。作成されたマシンは組織が所有し、その組織に属する Active Directory アカウントでサインインされます。
• デバイス管理のために、作成されたマシンを Microsoft Intune (Configuration Manager を含む) に登録するには、 を選択します。カタログ作成中のエラーを回避するには、マスターイメージが次の要件を満たしていることを確認してください。
  • VDA バージョン 2405 以降がインストールされていること。
  • サイトコードが割り当てられていない Configuration Manager クライアントがインストールされていること。詳細については、この Microsoft の記事を参照してください。

• 「拡張属性の追加」をクリックして、一意のカスタムデータをEntra IDデバイスオブジェクトに直接保存します。「拡張属性の追加」ページで、「拡張属性」と「値」を追加します。

• 追加の拡張属性を変更または追加するには、「Microsoft Entraデバイス拡張属性」ページに移動します。鉛筆アイコンをクリックし、拡張属性を追加または更新します。
• Microsoft EntraサービスアカウントなしでMCSカタログに拡張属性を追加するには：
  1. 「サービスアカウント」ページに移動します。Microsoft Intra IDのMicrosoft Entraサービスアカウントを選択します。
  2. Microsoft Entraデバイス拡張属性ページに移動し、「拡張属性の追加」をクリックします。

New-AcctIdentityPool -AllowUnicode -IdentityType "HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
New-AcctIdentity -IdentityPoolName "HybridAADJoinedCatalog" -Count 10 -ADUserName "corp\admin1" -ADPassword $password
Set-AcctAdAccountUserCert -IdentityPoolName "HybridAADJoinedCatalog" -All -ADUserName "corp\admin1" -ADPassword $password

New-AcctIdentityPool -IdentityPoolName HybridAzureAD -NamingScheme ACC#### -NamingSchemeType Numeric -Domain "abc.local" -IdentityType HybridAzureAD -ServiceAccountUid $serviceAccountUid -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"} Get-AcctADAccount -IdentityPoolName MyPool

Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{"extensionAttribute1" = "val1"; "extensionAttribute2" = "val2"} Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{} Set-AcctIdentityPool -IdentityPoolName MyPool -EntraIDExtensionAttributes @{extensionAttribute1 = ""; extensionAttribute2 = ""}

• Microsoft Entraハイブリッド参加済み
• Microsoft Entra IDにまだ参加していません

• マシンアカウントがMicrosoft Microsoft Entra IDポータルを介してMicrosoft Entra IDに同期されているか確認します。同期されている場合、Microsoft Entra IDにまだ参加していませんと表示され、登録保留中のステータスを示します。
  マシンアカウントをMicrosoft Entra IDに同期するには、以下を確認してください。
  • マシンアカウントが、Microsoft Entra IDと同期するように構成されているOU内にあること。userCertificate属性を持たないマシンアカウントは、同期するように構成されているOU内にあってもMicrosoft Entra IDに同期されません。
  • userCertificate属性がマシンアカウントに設定されていること。属性を表示するには、Active Directory Explorerを使用します。
  • マシンアカウントが作成された後、Microsoft Entra Connectが少なくとも1回同期されている必要があります。同期されていない場合は、Microsoft Entra ConnectマシンのPowerShellコンソールでStart-ADSyncSyncCycle -PolicyType Deltaコマンドを手動で実行して、即時同期をトリガーします。
• Microsoft Entra ハイブリッド参加用のCitrix管理デバイスキーペアが、HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrix の下にある DeviceKeyPairRestored の値をクエリすることで、マシンに正しくプッシュされているか確認します。
  値が1であることを確認します。そうでない場合、考えられる理由は次のとおりです。
  • プロビジョニングスキームに関連付けられたIDプールのIdentityTypeがHybridAzureADに設定されていません。これはGet-AcctIdentityPoolを実行して確認できます。
  • マシンがマシンカタログと同じプロビジョニングスキームを使用してプロビジョニングされていません。
  • マシンがローカルドメインに参加していません。ローカルドメイン参加は、Microsoft Entra ハイブリッド参加の前提条件です。
• MCSでプロビジョニングされたマシンでdsregcmd /status /debugコマンドを実行して、診断メッセージを確認します。
  • Microsoft Entra ハイブリッド参加が成功した場合、コマンドラインの出力でAzureAdJoinedとDomainJoinedがYESになります。
  • そうでない場合、問題をトラブルシューティングするにはMicrosoftのドキュメントを参照してください: <https://docs.microsoft.com/ja-jp/azure/active-directory/devices/troubleshoot-hybrid-join-windows-current>。
  • エラーメッセージ「Server Message: The user certificate is not found on the device with id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx」が表示された場合は、ユーザー証明書を修復するために次のPowerShellコマンドを実行します。
    Repair-AcctIdentity -IdentityAccountName TEST\VM1 -Target UserCertificate
    ユーザー証明書の問題の詳細については、CTX566696を参照してください。

• マシンIDページで、Microsoft Entraハイブリッド参加を選択し、次にConfiguration ManagerでMicrosoft Intuneにマシンを登録するを選択します。このアクションを使用すると、Configuration ManagerとMicrosoft Intune（つまり、共同管理）がVMを管理します。

New-AcctIdentityPool -AllowUnicode -DeviceManagementType "IntuneWithSCCM" IdentityType="HybridAzureAD" -IdentityPoolName "CoManagedCatalog" -NamingScheme "CoManaged-VM-##" -NamingSchemeType "Numeric" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"

• Intuneライセンスを確認する
  Microsoft Entra テナントに適切な Intune ライセンスが割り当てられているか確認します。Microsoft Intune のライセンス要件については、Microsoft Intune licensing を参照してください。
• Microsoft Entra ハイブリッド参加ステータスを確認する
  MCSプロビジョニングされたマシンがMicrosoft Entra ハイブリッド参加済みであるか確認します。Microsoft Entra ハイブリッド参加済みでない場合、マシンは共同管理の対象になりません。Microsoft Entra ハイブリッド参加の問題をトラブルシューティングするには、トラブルシューティングを参照してください。
• 共同管理の適格性を確認する
  • MCS でプロビジョニングされたマシンに、期待される Configuration Manager サイトが正しく割り当てられているか確認します。割り当てられたサイトを取得するには、影響を受けるマシンで次の PowerShell コマンドを実行します。
    (New-Object -ComObject "Microsoft.SMS.Client").GetAssignedSite()
  • VM にサイトが割り当てられていない場合は、次のコマンドを使用して、Configuration Manager サイトが自動的に検出できるか確認します。
    (New-Object -ComObject "Microsoft.SMS.Client").AutoDiscoverSite()
  • サイトコードが検出できない場合は、Configuration Manager 環境で境界と境界グループが適切に構成されていることを確認してください。詳細については、Considerations を参照してください。
  • Configuration Manager クライアントのサイト割り当てに関する問題がないか、C:\Windows\CCM\Logs\ClientLocation.log を確認してください。
  • マシンの共同管理の状態を確認します。影響を受けるマシンで Configuration Manager コントロールパネルを開き、General タブに移動します。共同管理プロパティの値は Enabled である必要があります。そうでない場合は、C:\Windows\CCM\Logs\CoManagementHandler.log の下のログを確認してください。
• Intune 登録を確認する
  すべての前提条件が満たされていても、マシンが Microsoft Intune への登録に失敗する場合があります。Intune 登録の問題については、Application and Services Logs > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider の下の Windows イベントログを確認してください。