产品文档
Citrix DaaS
查看 PDF

创建加入了混合 Azure Active Directory 的目录

December 6, 2023
投稿者: 
C

本文介绍如何使用 Citrix DaaS 创建已加入混合 Azure Active Directory (AD) 的目录。

您可以使用完整配置界面或 PowerShell 创建加入了 Azure AD 的目录。

有关要求、限制和注意事项的信息，请参阅已加入混合 Azure Active Directory。

使用“完整配置”界面

以下信息用于补充创建计算机目录中的指导信息。要创建加入了混合 Azure AD 的目录，请遵循该文章中的常规指南，注意加入了混合 Azure AD 的目录特定的详细信息。

在目录创建向导中执行以下操作：

  • 在计算机标识页面上，选择加入了混合 Azure Active Directory。创建的计算机归某个组织所有，并使用属于该组织的 Active Directory 域服务帐户登录。它们存在于云端和本地。

注意：

如果您选择加入了混合 Azure Active Directory 作为标识类型，则目录中的每台计算机都必须具有相应的 AD 计算机帐户。

使用 PowerShell

以下是 PowerShell 步骤，等效于“完整配置”中的操作。有关如何使用远程 PowerShell SDK 创建目录的信息，请参阅 https://developer-docs.citrix.com/projects/citrix-virtual-apps-desktops-sdk/en/latest/creating-a-catalog/。

本地加入了 AD 的目录与加入了混合 Azure AD 的目录之间的区别在于标识池和计算机帐户的创建。

要创建标识池以及加入了混合 Azure AD 的目录的帐户，请执行以下操作：

New-AcctIdentityPool -AllowUnicode -IdentityType "HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
New-AcctADAccount -IdentityPoolName "HybridAADJoinedCatalog" -Count 10 -ADUserName "corp\admin1" -ADPassword $password
Set-AcctAdAccountUserCert -IdentityPoolName "HybridAADJoinedCatalog" -All -ADUserName "corp\admin1" -ADPassword $password
<!--NeedCopy-->

注意：

$password 是具有写入权限的 AD 用户帐户的匹配密码。

用于创建加入了混合 Azure AD 的目录的所有其他命令与加入了传统本地 AD 的目录的命令相同。

查看混合 Azure AD 加入进程的状态

在“完整配置”界面中，在交付组中已加入混合 Azure AD 的计算机处于开机状态时，已加入混合 Azure AD 的进程的状态将可见。要查看状态，请使用搜索来标识这些计算机，然后在下部窗格的详细信息选项卡上为每台选中计算机标识。以下信息可能出现在计算机标识中：

  • 已加入混合 Azure AD
  • 尚未加入 Azure AD

注意：

  • 当计算机最初开机时，您可能会遇到混合 Azure AD 加入延迟的情况。这是由默认的计算机标识同步时间间隔（Azure AD Connect 为 30 分钟）引起的。只有在通过 Azure AD Connect 将计算机标识同步到 Azure AD 之后，计算机才处于加入了混合 Azure AD 状态。
  • 如果计算机无法进入已加入混合 Azure AD 状态，则不会在 Delivery Controller 中注册。其注册状态显示为初始化。

此外，使用完整配置界面，您可以了解计算机不可用的原因。为此，请单击搜索节点上的计算机，在下部窗格的详细信息选项卡上选中注册，然后阅读工具提示以获取其他信息。

故障排除

如果计算机无法加入混合 Azure AD，请执行以下操作：

  • 检查计算机帐户是否已通过 Microsoft Azure AD 门户同步到 Azure AD。如果已同步，则会出现尚未加入 Azure AD，表示待注册状态。

    要将计算机帐户同步到 Azure AD，请确保：

    • 计算机帐户位于配置为与 Azure AD 同步的 OU 中。没有 userCertificate 属性的计算机帐户不会同步到 Azure AD，即使它们位于配置为同步的 OU 中亦如此。
    • userCertificate 属性填充到计算机帐户中。使用 Active Directory Explorer 查看该属性。
    • 创建计算机帐户后，Azure AD Connect 必须至少同步过一次。如果未同步，请在 Azure AD Connect 计算机的 PowerShell 控制台中手动运行 Start-ADSyncSyncCycle -PolicyType Delta 命令以触发即时同步。

  • 通过查询 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrix 下 DeviceKeyPairRestored 的值，检查混合 Azure AD 加入的 Citrix 托管设备密钥对是否已正确推送到计算机。

    验证该值是否为 1。如果不是，可能的原因如下：

    • 与预配方案关联的标识池的 IdentityType 未设置为 HybridAzureAD。可以通过运行 Get-AcctIdentityPool 来验证这一点。
    • 未使用与计算机目录相同的预配方案预配计算机。
    • 计算机未加入本地域。加入的本地域是混合 Azure AD 加入的必备条件。

  • 通过在 MCS 预配的计算机上运行 dsregcmd /status /debug 命令来检查诊断消息。

    • 如果混合 Azure AD 加入成功，AzureAdJoined 和 DomainJoined 在命令行输出中为 YES。
    • 如果不成功，请参阅 Microsoft 文档来解决以下问题：https://docs.microsoft.com/en-us/azure/active-directory/devices/troubleshoot-hybrid-join-windows-current。

    • 如果您收到错误消息“服务器消息：在设备上找不到用户证书，ID 为：xxxxxxxxxxxx-xxxxxxxxxxxxxxxxxxxxxx”，则运行以下 PowerShell 命令来修复用户证书：

       Repair-AcctIdentity -IdentityAccountName TEST\VM1 -Target UserCertificate
 <!--NeedCopy-->

有关用户证书问题的更多信息，请参阅 CTX566696。

创建加入了混合 Azure Active Directory 的目录
December 6, 2023
投稿者: 
C
December 6, 2023
投稿者: 
C

在本文中

站点反馈 | 隐私和法律条款 | Cookie 首选项 | 同意设置 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.