Identitätspool von Microsoft Entra hybrid eingebundenen Maschinenidentitäten

Dieser Artikel beschreibt, wie Sie einen Identitätspool erstellen für:

Microsoft Entra hybrid eingebundene Kataloge Microsoft Entra hybrid eingebundene Kataloge, die in Microsoft Intune registriert sind

Informationen zu Anforderungen, Einschränkungen und Überlegungen finden Sie unter Microsoft Entra hybrid eingebunden.

Microsoft Entra hybrid eingebundene Kataloge erstellen

Web Studio verwenden

Die folgenden Informationen ergänzen die Anleitung unter Maschinenkataloge erstellen.

Auf der Seite Maschinenidentitäten des Assistenten zur Katalogerstellung:

• Wählen Sie Microsoft Entra hybrid eingebunden. Die erstellten Maschinen gehören einer Organisation und werden mit einem Active Directory-Konto angemeldet, das zu dieser Organisation gehört.

• Um die erstellten Maschinen zur Geräteverwaltung in Microsoft Intune (einschließlich Configuration Manager) zu registrieren, wählen Sie Maschinen in Microsoft Intune mit Configuration Manager registrieren. Um Fehler während der Katalogerstellung zu vermeiden, stellen Sie sicher, dass das Masterimage die folgenden Anforderungen erfüllt:

  • VDA-Version 2405 oder höher ist installiert.
  • Der Configuration Manager-Client ist installiert, wobei der Sitecode nicht zugewiesen ist. Weitere Informationen finden Sie in diesem Microsoft-Artikel.

Hinweis:

Wenn Sie Microsoft Entra hybrid eingebunden als Identitätstyp auswählen, muss jede Maschine im Katalog ein entsprechendes AD-Computerkonto haben.

PowerShell verwenden

Die folgenden PowerShell-Schritte entsprechen den Vorgängen in Web Studio. Informationen zum Erstellen eines Katalogs mit dem Remote PowerShell SDK finden Sie unter https://developer-docs.citrix.com/projects/citrix-virtual-apps-desktops-sdk/en/latest/creating-a-catalog/.

Der Unterschied zwischen lokalen AD-verbundenen Katalogen und Microsoft Entra Hybrid-verbundenen Katalogen liegt in der Erstellung des Identitätspools und der Maschinenkonten.

So erstellen Sie einen Identitätspool zusammen mit den Konten für Microsoft Entra Hybrid-verbundene Kataloge:

New-AcctIdentityPool -AllowUnicode -IdentityType "HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
New-AcctIdentity -IdentityPoolName "HybridAADJoinedCatalog" -Count 10 -ADUserName "corp\admin1" -ADPassword $password
Set-AcctAdAccountUserCert -IdentityPoolName "HybridAADJoinedCatalog" -All -ADUserName "corp\admin1" -ADPassword $password
<!--NeedCopy-->

Hinweis:

$password ist das passende Kennwort für ein AD-Benutzerkonto mit Schreibberechtigungen.

Alle anderen Befehle zum Erstellen von Microsoft Entra Hybrid-verbundenen Katalogen sind dieselben wie für herkömmliche lokale AD-verbundene Kataloge.

Status des Microsoft Entra Hybrid Join-Prozesses anzeigen

Im Web Studio ist der Status des Microsoft Entra Hybrid Join-Prozesses sichtbar, wenn Microsoft Entra Hybrid-verbundene Maschinen in einer Bereitstellungsgruppe eingeschaltet sind. Um den Status anzuzeigen, verwenden Sie Suchen, um diese Maschinen zu identifizieren, und überprüfen Sie dann für jede Maschine die Maschinenidentität auf der Registerkarte Details im unteren Bereich. Die folgenden Informationen können unter Maschinenidentität angezeigt werden:

• Microsoft Entra Hybrid-verbunden
• Noch nicht mit Microsoft Entra ID verbunden

Hinweis:

• Es kann zu einer verzögerten Microsoft Entra Hybrid-Verbindung kommen, wenn die Maschine zum ersten Mal eingeschaltet wird. Dies wird durch das standardmäßige Synchronisierungsintervall der Maschinenidentität (30 Minuten von Microsoft Entra Connect) verursacht. Die Maschine befindet sich erst dann im Microsoft Entra Hybrid-verbundenen Zustand, wenn die Maschinenidentitäten über Microsoft Entra Connect mit Microsoft Entra ID synchronisiert wurden.
• Wenn Maschinen nicht in den Microsoft Entra Hybrid-verbundenen Zustand wechseln können, werden sie nicht beim Delivery Controller registriert. Ihr Registrierungsstatus wird als Initialisierung angezeigt.

Mithilfe des Web Studios können Sie auch erfahren, warum Maschinen nicht verfügbar sind. Klicken Sie dazu auf eine Maschine im Knoten Suchen, überprüfen Sie die Registrierung auf der Registerkarte Details im unteren Bereich, und lesen Sie dann den Tooltip für weitere Informationen.

Fehlerbehebung

Wenn Maschinen nicht erfolgreich in Microsoft Entra hybrid eingebunden werden können, gehen Sie wie folgt vor:

• Überprüfen Sie im Microsoft Entra ID-Portal, ob das Maschinenkonto mit Microsoft Entra ID synchronisiert wurde. Wenn synchronisiert, wird Not yet joined to Azure AD angezeigt, was einen ausstehenden Registrierungsstatus anzeigt.

  Um Maschinenkonten mit Microsoft Entra ID zu synchronisieren, stellen Sie sicher:

  • Das Maschinenkonto befindet sich in der OU, die für die Synchronisierung mit Microsoft Entra ID konfiguriert ist. Maschinenkonten ohne das Attribut userCertificate werden nicht mit Microsoft Entra ID synchronisiert, selbst wenn sie sich in der für die Synchronisierung konfigurierten OU befinden.
  • Das Attribut userCertificate wird im Maschinenkonto ausgefüllt. Verwenden Sie den Active Directory Explorer, um das Attribut anzuzeigen.
  • Microsoft Entra Connect muss mindestens einmal synchronisiert worden sein, nachdem das Maschinenkonto erstellt wurde. Falls nicht, führen Sie den Befehl Start-ADSyncSyncCycle -PolicyType Delta manuell in der PowerShell-Konsole der Microsoft Entra Connect-Maschine aus, um eine sofortige Synchronisierung auszulösen.

• Überprüfen Sie, ob das von Citrix verwaltete Geräteschlüsselpaar für die Microsoft Entra Hybrid-Einbindung korrekt auf die Maschine übertragen wurde, indem Sie den Wert von DeviceKeyPairRestored unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrix abfragen.

  Vergewissern Sie sich, dass der Wert 1 ist. Wenn nicht, sind mögliche Gründe:

  • IdentityType des Identitätspools, der dem Bereitstellungsschema zugeordnet ist, ist nicht auf HybridAzureAD eingestellt. Sie können dies überprüfen, indem Sie Get-AcctIdentityPool ausführen.
  • Die Maschine wird nicht mit demselben Bereitstellungsschema des Maschinenkatalogs bereitgestellt.
  • Die Maschine ist nicht mit der lokalen Domäne verbunden. Die lokale Domänenverbindung ist eine Voraussetzung für die Microsoft Entra Hybrid-Einbindung.

• Überprüfen Sie Diagnosemeldungen, indem Sie den Befehl dsregcmd /status /debug auf der MCS-bereitgestellten Maschine ausführen.

  • Wenn die Microsoft Entra Hybrid-Einbindung erfolgreich ist, sind AzureAdJoined und DomainJoined in der Ausgabe der Befehlszeile YES.

  • Wenn nicht, lesen Sie die Microsoft-Dokumentation zur Fehlerbehebung: https://docs.microsoft.com/de-de/azure/active-directory/devices/troubleshoot-hybrid-join-windows-current.

  • Wenn Sie die Fehlermeldung Server Message: The user certificate is not found on the device with id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx erhalten, führen Sie den folgenden PowerShell-Befehl aus, um das Benutzerzertifikat zu reparieren:

     Repair-AcctIdentity -IdentityAccountName TEST\VM1 -Target UserCertificate
     <!--NeedCopy-->
    

    Weitere Informationen zum Problem mit Benutzerzertifikaten finden Sie unter CTX566696.

Erstellen von in Microsoft Intune registrierten Microsoft Entra Hybrid Joined-Katalogen

Sie können Co-Management-fähige Kataloge für in Microsoft Intune registrierte Microsoft Entra Hybrid Joined-Kataloge für persistente Einzel- und Mehrsitzungs-VMs erstellen. Sie können Co-Management-fähige Kataloge sowohl mit Web Studio als auch mit PowerShell erstellen.

Web Studio verwenden

Die folgenden Informationen ergänzen die Anleitung unter Maschinenkataloge erstellen.

Im Assistenten Maschinenkatalog einrichten:

• Wählen Sie auf der Seite Maschinenidentitäten die Option Microsoft Entra Hybrid Joined und dann Maschinen in Microsoft Intune mit Configuration Manager registrieren. Mit dieser Aktion verwaltet Configuration Manager und Microsoft Intune (d. h. Co-Managed) die VMs.

PowerShell verwenden

Im Folgenden sind die PowerShell-Schritte aufgeführt, die den Schritten in Studio entsprechen.

Um Maschinen in Microsoft Intune mit Configuration Manager über das Remote PowerShell SDK zu registrieren, verwenden Sie den Parameter DeviceManagementType in New-AcctIdentityPool. Diese Funktion erfordert, dass der Katalog Microsoft Entra Hybrid Joined ist und dass Microsoft Entra ID über die korrekte Microsoft Intune-Lizenz verfügt.

Der Unterschied zwischen Microsoft Entra Hybrid Joined-Katalogen und Co-Management-fähigen Katalogen liegt in der Erstellung des Identitätspools. Zum Beispiel:

New-AcctIdentityPool -AllowUnicode -DeviceManagementType "IntuneWithSCCM" IdentityType="HybridAzureAD" -IdentityPoolName "CoManagedCatalog" -NamingScheme "CoManaged-VM-##" -NamingSchemeType "Numeric" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
<!--NeedCopy-->

Problembehandlung

Wenn Maschinen nicht in Microsoft Intune registriert werden können oder den Co-Management-Status nicht erreichen, gehen Sie wie folgt vor:

• Intune-Lizenz überprüfen

  Überprüfen Sie, ob Ihrem Microsoft Entra-Mandanten die entsprechende Intune-Lizenz zugewiesen ist. Die Lizenzanforderungen für Microsoft Intune finden Sie unter Microsoft Intune-Lizenzierung.

• Status des Microsoft Entra Hybrid-Joins überprüfen

  Überprüfen Sie, ob die von MCS bereitgestellten Maschinen in Microsoft Entra hybrid eingebunden sind. Die Maschinen sind nicht für die Co-Verwaltung berechtigt, wenn sie nicht in Microsoft Entra hybrid eingebunden sind. Siehe Problembehandlung, um Probleme mit dem Microsoft Entra Hybrid-Join zu beheben.

• Berechtigung zur Co-Verwaltung überprüfen

  • Überprüfen Sie, ob die von MCS bereitgestellten Maschinen der erwarteten Configuration Manager-Site korrekt zugewiesen sind. Um die zugewiesene Site abzurufen, führen Sie den folgenden PowerShell-Befehl auf den betroffenen Maschinen aus.

     (New-Object -ComObject "Microsoft.SMS.Client").GetAssignedSite()
     <!--NeedCopy-->
    

  • Wenn der VM keine Site zugewiesen ist, verwenden Sie den folgenden Befehl, um zu überprüfen, ob die Configuration Manager-Site automatisch erkannt werden kann.

     (New-Object -ComObject "Microsoft.SMS.Client").AutoDiscoverSite()
     <!--NeedCopy-->
    

  • Stellen Sie sicher, dass Begrenzungen und Begrenzungsgruppen in Ihrer Configuration Manager-Umgebung richtig konfiguriert sind, wenn kein Site-Code erkannt werden kann. Weitere Informationen finden Sie unter Überlegungen.

  • Überprüfen Sie C:\Windows\CCM\Logs\ClientLocation.log auf Probleme bei der Zuweisung von Configuration Manager-Client-Sites.

  • Überprüfen Sie die Co-Verwaltungszustände der Maschinen. Öffnen Sie die Configuration Manager-Systemsteuerung auf den betroffenen Maschinen und wechseln Sie zur Registerkarte Allgemein. Der Wert der Eigenschaft Co-Verwaltung muss Aktiviert sein. Andernfalls überprüfen Sie die Protokolle unter C:\Windows\CCM\Logs\CoManagementHandler.log.

• Intune-Registrierung überprüfen

  Maschinen können sich möglicherweise nicht bei Microsoft Intune registrieren, selbst wenn alle Voraussetzungen erfüllt sind. Überprüfen Sie die Windows-Ereignisprotokolle unter Anwendungs- und Dienstprotokolle > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider auf Probleme bei der Intune-Registrierung.