产品文档
Citrix DaaS
查看 PDF

Azure AD 服务帐户

January 28, 2025
投稿者: 
C

Azure AD 服务帐户是一个容器，用于存储 Azure AD 服务主体的应用程序 ID 和机密，该主体具有足够的权限来管理已加入 Azure AD 或已注册 Microsoft Intune 的设备。 MCS 可以使用此服务帐户自动清理在已置备计算机生命周期内生成的任何过时的 Azure AD 或 Microsoft Intune 设备。

Azure AD 服务主体所需的权限

服务帐户使用的 Azure AD 服务主体所需的权限取决于为服务帐户启用的功能。

  • 对于具有已加入 Azure AD 的设备管理功能的服务帐户，Azure AD 服务主体必须具有 设备.ReadWrite.All 权限。
  • 对于具有 Microsoft Intune 注册设备管理功能的服务帐户，Azure AD 服务主体必须具有 DeviceManagementManagedDevices.ReadWrite.All 权限。

限制

目前不支持 Azure AD 基于角色的访问控制。 因此，请将 Azure AD 权限直接分配给服务主体。

创建 Azure AD 服务帐户

使用 Studio 或 PowerShell 创建 Azure AD 服务帐户。

必备条件

要创建 Azure AD 服务帐户，请确保完成以下任务：

  • 根据要启用服务帐户的功能，在 Azure AD 租户中创建具有足够权限的 Azure AD 主体。

使用 Studio

  1. 在 DaaS 磁贴中，单击 管理。
  2. 在左侧窗格中，选择 管理员.
  3. 在 服务帐户 Tab 键中，单击 创建服务帐户.
  4. 在 身份类型 页面上，选择 Azure 活动目录. 在“等效 CLI 命令”中，查看命令并单击“下一步”。
  5. 在 凭据 页面上，输入 Azure AD 租户 ID、应用程序 ID 和客户端密码，并设置凭据到期日期。
  6. 选择服务账户的功能。
  7. 为服务帐户选择一个或多个范围。
  8. 输入服务帐户的友好名称和描述 （可选）。
  9. 点击 完成 以完成创建。

注意：

  • 默认情况下，已加入 Azure AD 的设备管理功能处于选中状态，您无法取消选择它。
  • 要使用受邀加入租户的多租户 Azure AD 应用程序，您输入的 Azure AD 租户 ID 必须是您自己的租户 ID，而不是应用程序的主租户 ID。

使用 PowerShell

或者，可以使用 PowerShell 命令创建 Azure AD 服务帐户。 例如：

  $tenantId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  $applicationId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  $applicationSecret = xxxxxxxxxxxxxxx
  $credential = ConvertTo-SecureString -String $applicationSecret -AsPlainText -Force

  New-AcctServiceAccount -IdentityProviderType AzureAD -IdentityProviderIdentifier $tenantId -AccountId $applicationId -AccountSecret $credential -SecretExpiryTime 2030/08/15 -Capabilities @("AzureADDeviceManagement","IntuneDeviceManagement") -DisplayName 'MyApplication' -Description 'Service account for Azure AD tenant'
<!--NeedCopy-->

将已加入 Azure AD 的设备管理迁移到服务帐户

以前，Citrix 提供了一个选项，用于在创建或编辑与 Microsoft Azure Resource Manager 的托管连接时启用已加入 Azure AD 的设备管理。 MCS 使用与托管连接一起存储的 Azure AD 服务主体（配置 SPN）的权限来管理已加入 Azure AD 的过时设备。 使用服务帐户，可以使用与服务帐户一起存储的专用 Azure AD 服务主体（身份管理 SPN）来管理已加入 Azure AD 或已注册 Microsoft Intune 的设备。

Citrix 建议从托管连接驱动的设备管理迁移到服务帐户驱动的设备管理，以分离配置 SPN 和身份管理 SPN 的责任。

对于已使用已加入 Azure AD 的设备管理启用的任何现有托管连接，您可以按如下方式禁用它：

  1. 从 Studio 中，选择 好客 在左侧窗格中。
  2. 选择连接，然后在操作栏中选择编辑连接。
  3. 在 连接属性 页面上，清除 启用已加入 Azure AD 的设备管理 复选框。
  4. 单击保存以应用所做的更改。

注意：

目前，在创建新的托管连接时，无法启用已加入 Azure AD 的设备管理。

下一步的去向

Azure AD 服务帐户
January 28, 2025
投稿者: 
C
January 28, 2025
投稿者: 
C

在本文中

站点反馈 | Your privacy choices footer link您的隐私选择 | 隐私和法律条款 | Cookie 首选项 | 同意设置 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.