产品文档
Citrix Virtual Apps and Desktops
Service Current Release 2402 LTSR 2311 2308 2305 2303 2212 2209 2206 2203 LTSR 1912 LTSR
查看 PDF

已加入混合 Azure Active Directory

November 25, 2025
投稿者: 
C

注意：

自 2023 年 7 月起，Microsoft 已将 Azure Active Directory (Azure AD) 重命名为 Microsoft Entra ID。 在本文档中，任何对 Azure Active Directory、Azure AD 或 AAD 的引用现在均指 Microsoft Entra ID。

除了“系统要求”部分中概述的要求之外，本文还介绍了创建在 Microsoft Intune 中注册的已建立混合 Azure Active Directory (HAAD) 联接的目录和已建立混合 Azure AD 联接的目录的标识池的要求。

加入了混合 Azure AD 的计算机使用本地 AD 作为身份验证提供商。 您可以将其分配给本地 AD 中的域用户或组。 要启用 Azure AD 无缝 SSO 体验，您需要将域用户同步到 Azure AD。

注意：

联合身份基础结构和托管身份基础结构均支持加入了混合 Azure AD 的 VM。

混合 Azure Active Directory 联接的要求

  • VDA 类型：单会话（仅限桌面）或多会话（应用程序和桌面）
  • VDA 版本：2212 或更高版本
  • 预配类型：Machine Creation Services™ (MCS)，永久和非永久
  • 分配类型：专用和池
  • 托管平台：任何虚拟机管理程序或云服务

混合 Azure Active Directory 联接的限制

  • 如果使用 Citrix 联合身份验证服务 (FAS)，单点登录将定向到本地 AD 而非 Azure AD。 在这种情况下，建议配置基于 Azure AD 证书的身份验证，以便在用户登录时生成主刷新令牌 (PRT)，从而便于在会话中单点登录到 Azure AD 资源。 否则，PRT 将不存在，并且 SSO 到 Azure AD 资源将不起作用。 有关使用 Citrix 联合身份验证服务 (FAS) 实现 Azure AD 单点登录 (SSO) 到加入了混合域的 VDA 的信息，请参阅加入了混合域的 VDA。
  • 创建或更新计算机目录时，请勿跳过映像准备工作。 如果您想跳过映像准备工作，请确保主 VM 未加入 Azure AD 或者未加入混合 Azure AD。

混合 Azure Active Directory 联接的注意事项

  • 创建加入了混合 Azure Active Directory 的计算机需要目标域中的 Write userCertificate 权限。 在创建目录期间，请确保输入具有该权限的管理员的凭据。

  • 加入混合 Azure AD 的过程由 Citrix 进行管理。 您需要在主 VM 中禁用 Windows 控制的 autoWorkplaceJoin，如下所示。 只有 VDA 版本 2212 或更早版本才需要手动禁用 autoWorkplaceJoin。

    1. 运行 gpedit.msc。
    2. 导航到计算机配置 > 管理模板 > Windows 组件 > 设备注册。
    3. 将将加入到域中的计算机注册为设备设置为已禁用。

  • 在创建计算机身份时，请选择配置为与 Azure AD 同步的组织单位 (OU)。

  • 对于基于 Windows 11 22H2 的主 VM，请在主 VM 中创建一个计划任务，使用 SYSTEM 帐户在系统启动时执行以下命令。 只有 VDA 版本 2212 或更早版本才需要执行这项在主 VM 中安排任务的任务。

       $VirtualDesktopKeyPath = 'HKLM:\Software\AzureAD\VirtualDesktop'
 $WorkplaceJoinKeyPath = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin'
 $MaxCount = 60

 for ($count = 1; $count -le $MaxCount; $count++)
 {
   if ((Test-Path -Path $VirtualDesktopKeyPath) -eq $true)
   {
     $provider = (Get-Item -Path $VirtualDesktopKeyPath).GetValue("Provider", $null)
     if ($provider -eq 'Citrix')
     {
         break;
     }

     if ($provider -eq 1)
     {
         Set-ItemProperty -Path $VirtualDesktopKeyPath -Name "Provider" -Value "Citrix" -Force
         Set-ItemProperty -Path $WorkplaceJoinKeyPath -Name "autoWorkplaceJoin" -Value 1 -Force
         Start-Sleep 5
         dsregcmd /join
         break
     }
   }

   Start-Sleep 1
 }
 <!--NeedCopy-->
  • 默认情况下，Azure AD Connect 每 30 分钟同步一次。 在首次启动期间，预配的计算机最多可能需要 30 分钟才能加入混合 Azure AD。

在 Microsoft Intune 中注册的已建立混合 Azure AD 联接的目录

在 Microsoft Intune 中注册的已建立混合 Azure AD 联接的目录、永久性单会话和多会话 VM 使用具有共同管理功能的设备凭据。

通过共同管理，您可以使用 Configuration Manager 和 Microsoft Intune 同时管理 Windows 10 或更高版本的设备。 有关详细信息，请参阅共同管理。

在 Microsoft Intune 中注册的已建立混合 Azure AD 联接的目录的必备条件

启用此功能之前，请验证：

  • 您的 Azure 环境是否满足使用 Microsoft Intune 的许可要求。 有关详细信息，请参阅 Microsoft 文档。
  • 您是否有一个有效的 Configuration Manager 部署，并且启用了共同管理功能。 有关详细信息，请参阅 Microsoft 文档。

在 Microsoft Intune 中注册的已建立混合 Azure AD 联接的目录的要求

  • 控制平面：Citrix DaaS™
  • VDA 类型：单会话或多会话
  • VDA 版本：2407 或更高版本
  • 预配类型：Machine Creation Services (MCS)，永久。 在 Microsoft Intune 中注册的、面向非永久性单会话和多会话 VM 的已建立混合 Azure AD 联接的目录当前处于预览阶段。 请参阅将已建立混合 Entra ID 联接的非永久性 VM 注册到 Microsoft Intune 中。
  • 分配类型：专用和池
  • 托管平台：任何虚拟机管理程序或云服务

在 Microsoft Intune 中注册的已建立混合 Azure AD 联接的目录的限制

  • 创建或更新计算机目录时，请勿跳过映像准备工作。
  • 不支持基于 Internet 的 Configuration Manager 客户端管理 (IBCM)。

在 Microsoft Intune 中注册的已建立混合 Azure AD 联接的目录的注意事项

  • 如果目录中有太多计算机同时启动，Intune 注册可能会延迟。

    Microsoft 对每个租户的 Intune 注册施加了限制，限制了特定时间范围内可以注册的设备数量。 允许的设备数量取决于与租户关联的 Microsoft Intune 许可证的数量。 请咨询您的 Microsoft 客户团队，了解您的租户允许的限制。 这种方法有助于 Microsoft Intune 注册更好地适应大型环境。

    对于永久性计算机，所有设备可能都需要初始等待时间才能完成 Intune 注册。

    对于非永久性计算机，请考虑限制 Autoscale™ 或手动电源操作中的并发电源操作。

  • 配置 Configuration Manager 的云附加。 有关详细信息，请参阅 Microsoft 文档。
  • 在主 VM 上手动安装 Configuration Manager 客户端，而不使用 .\CCMSetup.exe /mp:SCCMServer /logon FSP=SCCMServer 分配站点代码。 SCCMServer 是您环境中的 SCCM 服务器名称。 有关详细信息，请参阅 Microsoft 文档。

  • MCS 创建的计算机使用自动站点分配机制来查找发布到 Active Directory 域服务的站点边界组。 请确保在您的环境中配置了 Configuration Manager 的边界和边界组。 如果自动站点分配不可用，则可以通过以下注册表设置在主 VM 中配置静态 Configuration Manager 站点代码：

    注册表项：

       HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\MachineIdentityServiceAgent\DeviceManagement
 <!--NeedCopy-->

    值名称：MdmSccmSiteCode

    值类型：字符串

    值数据：要分配的站点代码

接下来要去哪里

有关创建已建立混合 Azure Active Directory 联接的目录的标识池的详细信息，请参阅已建立混合 Azure Active Directory 联接的计算机标识的标识池。

已加入混合 Azure Active Directory
November 25, 2025
投稿者: 
C
November 25, 2025
投稿者: 
C

在本文中

站点反馈 | Your privacy choices footer link您的隐私选择 | 隐私和法律条款 | Cookie 首选项 | 同意设置 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.