Hybrid in Azure Active Directory eingebunden

Hinweis:

Seit Juli 2023 hat Microsoft Azure Active Directory (Azure AD) in Microsoft Entra ID umbenannt. In diesem Dokument bezieht sich jede Referenz auf Azure Active Directory, Azure AD oder AAD nun auf Microsoft Entra ID.

Dieser Artikel beschreibt die Anforderungen für die Erstellung von Hybrid Azure Active Directory (HAAD)-verbundenen Katalogen zusätzlich zu den im Abschnitt „Systemanforderungen“ aufgeführten Anforderungen.

Hybrid Azure AD-verbundene Maschinen verwenden das lokale AD als Authentifizierungsanbieter. Sie können sie Domänenbenutzern oder -gruppen im lokalen AD zuweisen. Um die nahtlose Azure AD-SSO-Erfahrung zu ermöglichen, müssen die Domänenbenutzer mit Azure AD synchronisiert werden.

Hinweis:

Hybrid Azure AD-verbundene VMs werden sowohl in föderierten als auch in verwalteten Identitätsinfrastrukturen unterstützt.

Anforderungen

• VDA-Typ: Single-Session (nur Desktops) oder Multi-Session (Apps und Desktops)
• VDA-Version: 2212 oder höher
• Bereitstellungstyp: Machine Creation Services™ (MCS), persistent und nicht-persistent
• Zuweisungstyp: Dediziert und gepoolt
• Hosting-Plattform: Jeder Hypervisor oder Cloud-Dienst

Einschränkungen

• Wenn Citrix Federated Authentication Service (FAS) verwendet wird, wird Single Sign-On an das lokale AD statt an Azure AD weitergeleitet. In diesem Fall wird empfohlen, die zertifikatbasierte Azure AD-Authentifizierung zu konfigurieren, damit das primäre Aktualisierungstoken (PRT) bei der Benutzeranmeldung generiert wird, was das Single Sign-On zu Azure AD-Ressourcen innerhalb der Sitzung erleichtert. Andernfalls ist das PRT nicht vorhanden und SSO zu Azure AD-Ressourcen funktioniert nicht. Informationen zum Erreichen von Azure AD Single Sign-On (SSO) für hybrid-verbundene VDAs mithilfe von Citrix Federated Authentication Service (FAS) finden Sie unter Hybrid-verbundene VDAs.
• Überspringen Sie die Image-Vorbereitung nicht beim Erstellen oder Aktualisieren von Maschinenkatalogen. Wenn Sie die Image-Vorbereitung überspringen möchten, stellen Sie sicher, dass die Master-VMs nicht Azure AD oder Hybrid Azure AD beigetreten sind.

Überlegungen

• Das Erstellen von Hybrid Azure Active Directory-verbundenen Maschinen erfordert die Write userCertificate-Berechtigung in der Zieldomäne. Stellen Sie sicher, dass Sie bei der Katalogerstellung die Anmeldeinformationen eines Administrators mit dieser Berechtigung eingeben.

• Der Hybrid Azure AD-Beitrittsprozess wird von Citrix verwaltet. Sie müssen autoWorkplaceJoin, das von Windows gesteuert wird, in den Master-VMs wie folgt deaktivieren. Die Aufgabe des manuellen Deaktivierens von autoWorkplaceJoin ist nur für VDA-Version 2212 oder früher erforderlich.

  1. Führen Sie gpedit.msc aus.
  2. Navigieren Sie zu Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Geräteregistrierung.
  3. Setzen Sie Domänenverbundene Computer als Geräte registrieren auf Deaktiviert.

• Wählen Sie die Organisationseinheit (OE) aus, die für die Synchronisierung mit Azure AD konfiguriert ist, wenn Sie die Maschinenidentitäten erstellen.

• Für Windows 11 22H2-basierte Master-VMs erstellen Sie eine geplante Aufgabe in der Master-VM, die die folgenden Befehle beim Systemstart über das SYSTEM-Konto ausführt. Diese Aufgabe, eine Aufgabe in der Master-VM zu planen, ist nur für VDA-Version 2212 oder früher erforderlich.

   $VirtualDesktopKeyPath = 'HKLM:\Software\AzureAD\VirtualDesktop'
   $WorkplaceJoinKeyPath = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin'
   $MaxCount = 60
  
   for ($count = 1; $count -le $MaxCount; $count++)
   {
     if ((Test-Path -Path $VirtualDesktopKeyPath) -eq $true)
     {
       $provider = (Get-Item -Path $VirtualDesktopKeyPath).GetValue("Provider", $null)
       if ($provider -eq 'Citrix')
       {
           break;
       }
  
       if ($provider -eq 1)
       {
           Set-ItemProperty -Path $VirtualDesktopKeyPath -Name "Provider" -Value "Citrix" -Force
           Set-ItemProperty -Path $WorkplaceJoinKeyPath -Name "autoWorkplaceJoin" -Value 1 -Force
           Start-Sleep 5
           dsregcmd /join
           break
       }
     }
  
     Start-Sleep 1
   }
   <!--NeedCopy-->
  

• Standardmäßig synchronisiert Azure AD Connect alle 30 Minuten. Die bereitgestellten Maschinen können beim ersten Start bis zu 30 Minuten benötigen, um Hybrid Azure AD beizutreten.

Nächste Schritte

Weitere Informationen zum Erstellen von Hybrid Azure Active Directory-verbundenen Katalogen finden Sie unter Hybrid Azure Active Directory-verbundene Kataloge erstellen.