Documentação de produtos
Citrix DaaS™
Ver PDF

Contas de serviço do Microsoft Entra

May 4, 2026
Contribuição de: 
C C

Uma conta de serviço do Microsoft Entra é um contêiner para armazenar o ID do aplicativo e o segredo de uma entidade de serviço do Microsoft Entra, que possui permissões suficientes para gerenciar dispositivos ingressados no Microsoft Entra ou registrados no Microsoft Intune. O MCS pode usar essa conta de serviço para limpar automaticamente quaisquer dispositivos obsoletos do Microsoft Entra ou do Microsoft Intune gerados durante o ciclo de vida das máquinas provisionadas.

  • Permissões necessárias para uma entidade de serviço do Microsoft Entra

  • As permissões necessárias para uma entidade de serviço do Microsoft Entra usada por uma conta de serviço dependem dos recursos habilitados para a conta de serviço.

  • Para a conta de serviço com o recurso de gerenciamento de dispositivos ingressados no Microsoft Entra, a entidade de serviço do Microsoft Entra deve ter a permissão Device.ReadWrite.All em seu locatário do Microsoft Entra.
  • Para a conta de serviço com o recurso de gerenciamento de dispositivos registrados no Microsoft Intune, a entidade de serviço do Microsoft Entra deve ter a permissão DeviceManagementManagedDevices.ReadWrite.All em seu locatário do Microsoft Entra.
  • Para a conta de serviço com o recurso de gerenciamento de grupo de segurança do Microsoft Entra, a entidade de serviço do Microsoft Entra deve ter as permissões Group.ReadWrite.All e GroupMember.ReadWrite.All em seu locatário do Microsoft Entra.

Limitação

O controle de acesso baseado em função do Microsoft Entra não é atualmente suportado. Portanto, atribua as permissões do Microsoft Entra diretamente à entidade de serviço.

Criar uma conta de serviço do Microsoft Entra

Use o Studio ou o PowerShell para criar uma conta de serviço do Microsoft Entra.

Pré-requisito

Para criar uma conta de serviço do Microsoft Entra, certifique-se de concluir a seguinte tarefa:

  • Crie uma entidade de serviço do Microsoft Entra em seu locatário do Microsoft Entra com permissões suficientes com base nos recursos que você deseja habilitar para a conta de serviço.

Usar o Studio

  1. No bloco DaaS, clique em “Gerenciar”.
  2. No painel esquerdo, selecione “Administradores”.
  3. Na guia “Contas de Serviço”, clique em “Criar Conta de Serviço”.
  4. Na página “Tipo de Identidade”, selecione “Microsoft Entra ID”. Uma nova opção para rotear o tráfego é habilitada.
    1. Selecione a caixa de seleção “Roteie o tráfego por meio dos Citrix Cloud Connectors”.
    2. Selecione as zonas disponíveis para rotear o tráfego e clique em “Avançar”.
  5. Na página “Credenciais”, insira o ID do locatário do Microsoft Entra, o ID do aplicativo e o segredo do cliente e defina a data de expiração da credencial.
  6. Escolha os recursos para a conta de serviço.
  7. Selecione um ou mais escopos para a conta de serviço.
  8. Insira um nome amigável e uma descrição (opcional) para a conta de serviço.
  9. Clique em “Concluir” para finalizar a criação.

Observação:

  • O recurso de gerenciamento de dispositivos ingressados no Microsoft Entra é selecionado por padrão e você não pode desmarcá-lo.
  • Para usar um aplicativo Microsoft Entra multilocatário, que é convidado para o seu locatário, o ID do locatário do Microsoft Entra que você inseriu deve ser o ID do seu próprio locatário, e não o ID do locatário de origem do aplicativo.

Usar o PowerShell

Alternativamente, você pode usar comandos do PowerShell para criar uma conta de serviço do Microsoft Entra. Por exemplo:


$tenantId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
$applicationId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
$applicationSecret = xxxxxxxxxxxxxxx
$credential = ConvertTo-SecureString -String $applicationSecret -AsPlainText -Force

New-AcctServiceAccount -IdentityProviderType AzureAD -IdentityProviderIdentifier $tenantId -AccountId $applicationId -AccountSecret $credential -SecretExpiryTime 2030/08/15 -Capabilities @("AzureADDeviceManagement","IntuneDeviceManagement") -DisplayName 'MyApplication' -Description 'Service account for Microsoft Entra tenant'

<!--NeedCopy-->

## Migrar o gerenciamento de dispositivos ingressados no Microsoft Entra para a conta de serviço

Anteriormente, a Citrix® fornecia uma opção para habilitar o gerenciamento de dispositivos ingressados no Microsoft Entra ao criar ou editar uma conexão de hospedagem com o Microsoft Azure Resource Manager. O MCS usava as permissões da entidade de serviço do Microsoft Entra (SPN de provisionamento) armazenadas junto com a conexão de hospedagem para gerenciar o dispositivo obsoleto ingressado no Microsoft Entra. Com as contas de serviço, você pode usar uma entidade de serviço do Microsoft Entra dedicada (SPN de gerenciamento de identidade) armazenada junto com uma conta de serviço para gerenciar dispositivos ingressados no Microsoft Entra ou registrados no Microsoft Intune.

A Citrix recomenda migrar do gerenciamento de dispositivos baseado em conexão de hospedagem para o gerenciamento de dispositivos baseado em conta de serviço para separar a responsabilidade do SPN de provisionamento e do SPN de gerenciamento de identidade.

Para quaisquer conexões de hospedagem existentes que já estejam habilitadas com o gerenciamento de dispositivos ingressados no Microsoft Entra, você pode desabilitá-lo da seguinte forma:

    1. No Studio, selecione “Hospedagem” no painel esquerdo.
  1. Selecione a conexão e, em seguida, selecione “Editar Conexão” na barra de ações.
  2. Na página “Propriedades da Conexão”, desmarque a caixa de seleção “Habilitar gerenciamento de dispositivos ingressados no Microsoft Entra”.
  3. Clique em “Salvar” para aplicar as alterações.

  • Observação:

  • Atualmente, você não pode habilitar o gerenciamento de dispositivos ingressados no Microsoft Entra ao criar uma nova conexão de hospedagem.

Roteie o gerenciamento de dispositivos do Microsoft Entra e o tráfego de gerenciamento de grupo de segurança

Crie e modifique uma conta de serviço do Microsoft Entra para rotear o gerenciamento de dispositivos do Microsoft Entra e o tráfego de gerenciamento de grupo de segurança do Delivery Controller para o Microsoft Entra ID por meio do Citrix Cloud Connector.

Inclua a seguinte propriedade personalizada ao criar ou modificar uma conta de serviço do Microsoft Entra:

CustomProperties: {"ProxyHypervisorTrafficThroughConnector":true,"ZoneUid":["<zone uid>"]}

Observação:

O $ZoneUid é o Uid da zona (local do recurso) para a qual o tráfego de rede deve ser roteado. Obtenha o Uid do comando Get-ConfigZone.

Por exemplo:

  • Para criar uma nova conta de serviço do Microsoft Entra:

    
 $tenantId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
 $applicationId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
 $applicationSecret = xxxxxxxxxxxxxxx
 $SecureString = ConvertTo-SecureString -String "Secretstring" -AsPlainText -Force
 New-AcctServiceAccount -IdentityProviderType AzureAD -IdentityProviderIdentifier "<Identity provider ID>" -AccountId "<Account ID>" -AccountSecret $SecureString -SecretExpiryTime <yyyy-mm-dd>  -Capabilities @("AzureADDeviceManagement","IntuneDeviceManagement") -DisplayName "<Display name>" -CustomProperties '{"ProxyHypervisorTrafficThroughConnector":true,"ZoneUid":["<Zone UID>"]}'

 <!--NeedCopy-->

    Para modificar uma conta de serviço do Microsoft Entra existente:

    
 Set-AcctServiceAccount -ServiceAccountUid $serviceAccountUid -CustomProperties '{"ProxyHypervisorTrafficThroughConnector":true,"ZoneUid":[$ZoneUid]}'

 <!--NeedCopy-->

Próximos passos

Contas de serviço do Microsoft Entra
May 4, 2026
Contribuição de: 
C C
May 4, 2026
Contribuição de: 
C C

Neste artigo

Feedback do site | Your privacy choices footer linkSuas escolhas de privacidade | Privacidade e termos legais | Preferências de cookies | Configurações de consentimento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.