Criar catálogos unidos ao Azure Active Directory Híbrido

Nota:

Desde julho de 2023, a Microsoft renomeou o Azure Active Directory (Azure AD) para Microsoft Entra ID. Neste documento, qualquer referência a Azure Active Directory, Azure AD ou AAD agora se refere a Microsoft Entra ID.

Este artigo descreve como criar catálogos unidos ao Azure Active Directory (AD) Híbrido.

Você pode criar catálogos unidos ao Azure AD usando o Web Studio ou o PowerShell.

Para obter informações sobre requisitos, limitações e considerações, consulte Unido ao Azure Active Directory Híbrido.

Usar o Web Studio

As informações a seguir são um complemento às orientações em Criar catálogos de máquinas. Para criar catálogos unidos ao Azure AD híbrido, siga as orientações gerais desse artigo, observando os detalhes específicos dos catálogos unidos ao Azure AD híbrido.

No assistente de criação de catálogo:

• Na página Identidades da Máquina, selecione Unido ao Azure Active Directory Híbrido. As máquinas criadas são de propriedade de uma organização e são conectadas com uma conta do Active Directory Domain Services que pertence a essa organização. Elas existem na nuvem e no local.

Nota:

Se você selecionar Unido ao Azure Active Directory Híbrido como o tipo de identidade, cada máquina no catálogo deve ter uma conta de computador AD correspondente.

Usar o PowerShell

A seguir estão as etapas do PowerShell equivalentes às operações no Web Studio. Para obter informações sobre como criar um catálogo usando o SDK do PowerShell Remoto, consulte https://developer-docs.citrix.com/projects/citrix-virtual-apps-desktops-sdk/en/latest/creating-a-catalog/.

A diferença entre catálogos unidos ao AD local e catálogos unidos ao Azure AD híbrido reside na criação do pool de identidades e das contas de máquina.

Para criar um pool de identidades junto com as contas para catálogos híbridos ingressados no Azure AD:

New-AcctIdentityPool -AllowUnicode -IdentityType "HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
New-AcctADAccount -IdentityPoolName "HybridAADJoinedCatalog" -Count 10 -ADUserName "corp\admin1" -ADPassword $password
Set-AcctAdAccountUserCert -IdentityPoolName "HybridAADJoinedCatalog" -All -ADUserName "corp\admin1" -ADPassword $password
<!--NeedCopy-->

Nota:

$password é a senha correspondente para uma conta de usuário do AD com Permissões de Gravação.

Todos os outros comandos usados para criar catálogos híbridos ingressados no Azure AD são os mesmos que para catálogos tradicionais ingressados no AD local.

Visualizar o status do processo de ingresso híbrido no Azure AD

No Web Studio, o status do processo de ingresso híbrido no Azure AD é visível quando as máquinas híbridas ingressadas no Azure AD em um grupo de entrega estão em estado ligado. Para visualizar o status, use Pesquisar para identificar essas máquinas e, em seguida, para cada uma, verifique Identidade da Máquina na guia Detalhes no painel inferior. As seguintes informações podem aparecer em Identidade da Máquina:

• Híbrido ingressado no Azure AD
• Ainda não ingressado no Azure AD

Nota:

• Você pode experimentar um ingresso híbrido atrasado no Azure AD quando a máquina é ligada inicialmente. Isso é causado pelo intervalo de sincronização de identidade de máquina padrão (30 minutos do Azure AD Connect). A máquina está no estado de ingresso híbrido no Azure AD somente depois que as identidades da máquina são sincronizadas com o Azure AD por meio do Azure AD Connect.
• Se as máquinas não conseguirem entrar no estado de ingresso híbrido no Azure AD, elas não serão registradas no Delivery Controller. O status de registro delas aparece como Inicialização.

Além disso, usando o Web Studio, você pode descobrir por que as máquinas estão indisponíveis. Para fazer isso, clique em uma máquina no nó Pesquisar, verifique Registro na guia Detalhes no painel inferior e, em seguida, leia a dica de ferramenta para obter informações adicionais.

Solução de problemas

Se as máquinas não conseguirem ser ingressadas no Azure AD híbrido, faça o seguinte:

• Verifique se a conta da máquina foi sincronizada com o Azure AD por meio do portal do Microsoft Azure AD. Se sincronizada, Ainda não ingressado no Azure AD aparece, indicando status de registro pendente.

  Para sincronizar contas de máquina com o Azure AD, certifique-se de que:

  • A conta de máquina está na OU configurada para ser sincronizada com o Azure AD. Contas de máquina sem o atributo userCertificate não são sincronizadas com o Azure AD, mesmo que estejam na OU configurada para ser sincronizada.
  • O atributo userCertificate é preenchido na conta de máquina. Use o Active Directory Explorer para visualizar o atributo.
  • O Azure AD Connect deve ter sido sincronizado pelo menos uma vez após a criação da conta de máquina. Caso contrário, execute manualmente o comando Start-ADSyncSyncCycle -PolicyType Delta no console do PowerShell da máquina do Azure AD Connect para acionar uma sincronização imediata.

• Verifique se o par de chaves do dispositivo gerenciado pelo Citrix para junção híbrida do Azure AD foi enviado corretamente para a máquina, consultando o valor de DeviceKeyPairRestored em HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrix.

  Verifique se o valor é 1. Caso contrário, as possíveis razões são:

  • IdentityType do pool de identidades associado ao esquema de provisionamento não está definido como HybridAzureAD. Você pode verificar isso executando Get-AcctIdentityPool.
  • A máquina não foi provisionada usando o mesmo esquema de provisionamento do catálogo de máquinas.
  • A máquina não está unida ao domínio local. A junção ao domínio local é um pré-requisito para a junção híbrida do Azure AD.

• Verifique as mensagens de diagnóstico executando o comando dsregcmd /status /debug na máquina provisionada por MCS.

  • Se a junção híbrida do Azure AD for bem-sucedida, AzureAdJoined e DomainJoined serão YES na saída da linha de comando.

  • Caso contrário, consulte a documentação da Microsoft para solucionar os problemas: https://docs.microsoft.com/pt-br/azure/active-directory/devices/troubleshoot-hybrid-join-windows-current.

  • Se você receber a mensagem de erro Server Message: The user certificate is not found on the device with id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx, execute o seguinte comando PowerShell para reparar o certificado do usuário:

     Repair-AcctIdentity -IdentityAccountName TEST\VM1 -Target UserCertificate
     <!--NeedCopy-->
    

    Para obter mais informações sobre o problema do certificado do usuário, consulte CTX566696.