产品文档
Citrix DaaS™
查看 PDF

Azure AD 服务帐户

September 12, 2025
投稿者: 
C C

Azure AD 服务帐户是一个容器，用于存储 Azure AD 服务主体（service principal）的应用程序 ID 和密钥，该服务主体具有足够的权限来管理已加入 Azure AD 或已注册 Microsoft Intune 的设备。MCS 可以使用此服务帐户自动清理在预配计算机生命周期中生成的任何陈旧 Azure AD 或 Microsoft Intune 设备。

Azure AD 服务主体所需的权限

服务帐户使用的 Azure AD 服务主体所需的权限取决于为该服务帐户启用的功能。

  • 对于具有 Azure AD 加入设备管理功能的服务帐户，Azure AD 服务主体必须在您的 Azure AD 租户中拥有 Device.ReadWrite.All 权限。
  • 对于具有 Microsoft Intune 注册设备管理功能的服务帐户，Azure AD 服务主体必须在您的 Azure AD 租户中拥有 DeviceManagementManagedDevices.ReadWrite.All 权限。
  • 对于具有 Azure AD 安全组管理功能的服务帐户，Azure AD 服务主体必须在您的 Azure AD 租户中拥有 Group.ReadWrite.All 和 GroupMember.ReadWrite.All 权限。

限制

Azure AD 基于角色的访问控制当前不受支持。因此，请直接将 Azure AD 权限分配给服务主体。

创建 Azure AD 服务帐户

使用 Studio 或 PowerShell 创建 Azure AD 服务帐户。

先决条件

要创建 Azure AD 服务帐户，请务必完成以下任务：

  • 在您的 Azure AD 租户中创建 Azure AD 主体，并根据您要为服务帐户启用的功能授予足够的权限。

使用 Studio

  1. 在 DaaS 磁贴中，单击管理。
  2. 在左侧窗格中，选择管理员。
  3. 在服务帐户选项卡中，单击创建服务帐户。
  4. 在身份类型页面上，选择 Azure Active Directory。此时将启用一个用于路由流量的新选项。
    1. 选中通过 Citrix Cloud™ Connectors 路由流量复选框。
    2. 选择可用于路由流量的区域，然后单击下一步。
  5. 在凭据页面上，输入 Azure AD 租户 ID、应用程序 ID 和客户端密钥，然后设置凭据过期日期。
  6. 选择服务帐户的功能。
  7. 为服务帐户选择一个或多个范围。
  8. 输入服务帐户的友好名称和描述（可选）。
  9. 单击完成以完成创建。

注意：

  • 默认情况下，已选择 Azure AD 加入设备管理功能，您无法取消选择它。
  • 要使用已邀请到您的租户的多租户 Azure AD 应用程序，您输入的 Azure AD 租户 ID 必须是您自己的租户 ID，而不是应用程序的家庭租户 ID。

使用 PowerShell

或者，您可以使用 PowerShell 命令创建 Azure AD 服务帐户。例如：

$tenantId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
$applicationId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
$applicationSecret = xxxxxxxxxxxxxxx
$credential = ConvertTo-SecureString -String $applicationSecret -AsPlainText -Force

New-AcctServiceAccount -IdentityProviderType AzureAD -IdentityProviderIdentifier $tenantId -AccountId $applicationId -AccountSecret $credential -SecretExpiryTime 2030/08/15 -Capabilities @("AzureADDeviceManagement","IntuneDeviceManagement") -DisplayName 'MyApplication' -Description 'Service account for Azure AD tenant'
<!--NeedCopy-->

将 Azure AD 加入设备管理迁移到服务帐户

以前，Citrix® 提供了在创建或编辑到 Microsoft Azure Resource Manager 的托管连接时启用 Azure AD 加入设备管理的选项。MCS 使用与托管连接一起存储的 Azure AD 服务主体（预配 SPN）的权限来管理陈旧的 Azure AD 加入设备。借助服务帐户，您可以使用与服务帐户一起存储的专用 Azure AD 服务主体（身份管理 SPN）来管理已加入 Azure AD 或已注册 Microsoft Intune 的设备。

Citrix 建议从由托管连接提供支持的设备管理迁移到由服务帐户提供支持的设备管理，以分离预配 SPN 和身份管理 SPN 的职责。

对于已启用 Azure AD 加入设备管理的任何现有托管连接，您可以按如下方式将其禁用：

  1. 在 Studio 中，从左侧窗格中选择托管。
  2. 选择连接，然后在操作栏中选择编辑连接。
  3. 在连接属性页面上，清除启用 Azure AD 加入设备管理复选框。
  4. 单击保存以应用更改。

注意：

当前，在创建新的托管连接时，您无法启用 Azure AD 加入设备管理。

路由 Azure AD 设备管理和安全组管理流量

创建和修改 Azure AD 服务帐户，以通过 Citrix Cloud Connector 将 Azure AD 设备管理和安全组管理流量从 Delivery Controller 路由到 Azure AD。

在创建或修改 Azure AD 服务帐户时，请包含以下自定义属性：

CustomProperties: {"ProxyHypervisorTrafficThroughConnector":true,"ZoneUid":["<zone uid>"]}

注意：

$ZoneUid 是网络流量要路由到的区域（资源位置）的 Uid。从 Get-ConfigZone 命令获取 Uid。

例如：

  • 用于创建新的 Azure AD 服务帐户：

     $tenantId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
 $applicationId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
 $applicationSecret = xxxxxxxxxxxxxxx
 $SecureString = ConvertTo-SecureString -String "Secretstring" -AsPlainText -Force
 New-AcctServiceAccount -IdentityProviderType AzureAD -IdentityProviderIdentifier "<Identity provider ID>" -AccountId "<Account ID>" -AccountSecret $SecureString -SecretExpiryTime <yyyy-mm-dd>  -Capabilities @("AzureADDeviceManagement","IntuneDeviceManagement") -DisplayName "<Display name>" -CustomProperties '{"ProxyHypervisorTrafficThroughConnector":true,"ZoneUid":["<Zone UID>"]}'
 <!--NeedCopy-->

  • 用于修改现有 Azure AD 服务帐户：

     Set-AcctServiceAccount -ServiceAccountUid $serviceAccountUid -CustomProperties '{"ProxyHypervisorTrafficThroughConnector":true,"ZoneUid":[$ZoneUid]}'
 <!--NeedCopy-->

后续步骤

Azure AD 服务帐户
September 12, 2025
投稿者: 
C C
September 12, 2025
投稿者: 
C C

在本文中

站点反馈 | Your privacy choices footer link您的隐私选择 | 隐私和法律条款 | Cookie 首选项 | 同意设置 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.