-
-
Identitätspools verschiedener Verbindungstypen von Maschinenidentitäten
-
Cloud Connector Standalone Citrix Secure Ticketing Authority (STA)-Dienst
-
-
-
-
Vergleichen, Priorisieren, Modellieren und Problembehandlung für Richtlinien
-
-
Citrix Diagnostic Facility-Trace beim Systemstart aufzeichnen
This content has been machine translated dynamically.
Dieser Inhalt ist eine maschinelle Übersetzung, die dynamisch erstellt wurde. (Haftungsausschluss)
Cet article a été traduit automatiquement de manière dynamique. (Clause de non responsabilité)
Este artículo lo ha traducido una máquina de forma dinámica. (Aviso legal)
此内容已经过机器动态翻译。 放弃
このコンテンツは動的に機械翻訳されています。免責事項
이 콘텐츠는 동적으로 기계 번역되었습니다. 책임 부인
Este texto foi traduzido automaticamente. (Aviso legal)
Questo contenuto è stato tradotto dinamicamente con traduzione automatica.(Esclusione di responsabilità))
This article has been machine translated.
Dieser Artikel wurde maschinell übersetzt. (Haftungsausschluss)
Ce article a été traduit automatiquement. (Clause de non responsabilité)
Este artículo ha sido traducido automáticamente. (Aviso legal)
この記事は機械翻訳されています.免責事項
이 기사는 기계 번역되었습니다.책임 부인
Este artigo foi traduzido automaticamente.(Aviso legal)
这篇文章已经过机器翻译.放弃
Questo articolo è stato tradotto automaticamente.(Esclusione di responsabilità))
Translation failed!
Identitätspool von Microsoft Entra hybrid eingebundenen Maschinenidentitäten
Dieser Artikel beschreibt, wie Sie einen Identitätspool erstellen für:
- Microsoft Entra hybrid eingebundene Kataloge
- Microsoft Entra hybrid eingebundene Kataloge, die in Microsoft Intune registriert sind
Informationen zu Anforderungen, Einschränkungen und Überlegungen finden Sie unter Microsoft Entra hybrid joined.
Erstellen von Microsoft Entra hybrid eingebundenen Katalogen
Verwenden von Web Studio
Die folgenden Informationen ergänzen die Anleitung unter Maschinenkataloge erstellen.
Auf der Seite Maschinenidentitäten des Assistenten zur Katalogerstellung:
-
Wählen Sie Microsoft Entra hybrid joined. Die erstellten Maschinen gehören einer Organisation und werden mit einem Active Directory-Konto angemeldet, das zu dieser Organisation gehört.
-
Um die erstellten Maschinen zur Geräteverwaltung in Microsoft Intune (einschließlich Configuration Manager) zu registrieren, wählen Sie Enroll the machines in Microsoft Intune with Configuration Manager. Um Fehler bei der Katalogerstellung zu vermeiden, stellen Sie sicher, dass das Masterimage die folgenden Anforderungen erfüllt:
- VDA-Version 2405 oder höher ist installiert.
- Der Configuration Manager-Client ist installiert, wobei der Standortcode nicht zugewiesen ist. Weitere Informationen finden Sie in diesem Microsoft-Artikel.
Hinweis:
Wenn Sie Microsoft Entra hybrid joined als Identitätstyp auswählen, muss jede Maschine im Katalog ein entsprechendes AD-Computerkonto haben.
Verwenden von PowerShell
Die folgenden PowerShell-Schritte entsprechen den Vorgängen in Web Studio. Informationen zum Erstellen eines Katalogs mit dem Remote PowerShell SDK finden Sie unter https://developer-docs.citrix.com/projects/citrix-virtual-apps-desktops-sdk/en/latest/creating-a-catalog/.
Der Unterschied zwischen lokalen AD-verbundenen Katalogen und Microsoft Entra hybrid-verbundenen Katalogen liegt in der Erstellung des Identitätspools und der Maschinenkonten.
So erstellen Sie einen Identitätspool zusammen mit den Konten für Microsoft Entra hybrid eingebundene Kataloge:
New-AcctIdentityPool -AllowUnicode -IdentityType "HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
New-AcctIdentity -IdentityPoolName "HybridAADJoinedCatalog" -Count 10 -ADUserName "corp\admin1" -ADPassword $password
Set-AcctAdAccountUserCert -IdentityPoolName "HybridAADJoinedCatalog" -All -ADUserName "corp\admin1" -ADPassword $password
<!--NeedCopy-->
Hinweis:
$passwordist das passende Kennwort für ein AD-Benutzerkonto mit Schreibberechtigungen.
Alle anderen Befehle zum Erstellen von Microsoft Entra hybrid eingebundenen Katalogen sind dieselben wie für herkömmliche lokale AD-verbundene Kataloge.
Anzeigen des Status des Microsoft Entra Hybrid Join-Prozesses
Im Web Studio ist der Status des Microsoft Entra Hybrid Join-Prozesses sichtbar, wenn Microsoft Entra hybrid eingebundene Maschinen in einer Bereitstellungsgruppe eingeschaltet sind. Um den Status anzuzeigen, verwenden Sie Suchen, um diese Maschinen zu identifizieren, und überprüfen Sie dann für jede Maschine die Maschinenidentität auf der Registerkarte Details im unteren Bereich. Die folgenden Informationen können unter Maschinenidentität angezeigt werden:
- Microsoft Entra hybrid joined
- Not yet joined to Microsoft Entra ID
Hinweis:
- Es kann zu einer verzögerten Microsoft Entra Hybrid Join kommen, wenn die Maschine zum ersten Mal eingeschaltet wird. Dies wird durch das Standard-Synchronisierungsintervall für Maschinenidentitäten (30 Minuten von Microsoft Entra Connect) verursacht. Die Maschine befindet sich erst im Microsoft Entra Hybrid Joined-Zustand, nachdem die Maschinenidentitäten über Microsoft Entra Connect mit Microsoft Entra ID synchronisiert wurden.
- Wenn Maschinen nicht in den Microsoft Entra Hybrid Joined-Zustand wechseln, werden sie nicht beim Delivery Controller registriert. Ihr Registrierungsstatus wird als Initialisierung angezeigt.
Mit dem Web Studio können Sie auch erfahren, warum Maschinen nicht verfügbar sind. Klicken Sie dazu auf eine Maschine im Knoten Suchen, überprüfen Sie die Registrierung auf der Registerkarte Details im unteren Bereich und lesen Sie dann den Tooltip für zusätzliche Informationen.
Fehlerbehebung
Wenn Maschinen nicht Microsoft Entra hybrid eingebunden werden, gehen Sie wie folgt vor:
-
Überprüfen Sie, ob das Maschinenkonto über das Microsoft Entra ID-Portal mit Microsoft Entra ID synchronisiert wurde. Wenn synchronisiert, wird Not yet joined to Microsoft Entra ID angezeigt, was einen ausstehenden Registrierungsstatus anzeigt.
Um Maschinenkonten mit Microsoft Entra ID zu synchronisieren, stellen Sie sicher, dass:
- Das Maschinenkonto sich in der OU befindet, die für die Synchronisierung mit Microsoft Entra ID konfiguriert ist. Maschinenkonten ohne das Attribut userCertificate werden nicht mit Microsoft Entra ID synchronisiert, selbst wenn sie sich in der für die Synchronisierung konfigurierten OU befinden.
- Das Attribut userCertificate im Maschinenkonto ausgefüllt ist. Verwenden Sie den Active Directory Explorer, um das Attribut anzuzeigen.
- Microsoft Entra Connect mindestens einmal nach der Erstellung des Maschinenkontos synchronisiert wurde. Falls nicht, führen Sie den Befehl
Start-ADSyncSyncCycle -PolicyType Deltamanuell in der PowerShell-Konsole der Microsoft Entra Connect-Maschine aus, um eine sofortige Synchronisierung auszulösen.
-
Überprüfen Sie, ob das von Citrix verwaltete Geräteschlüsselpaar für Microsoft Entra Hybrid Join korrekt auf die Maschine übertragen wurde, indem Sie den Wert von DeviceKeyPairRestored unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrix abfragen.
Vergewissern Sie sich, dass der Wert 1 ist. Wenn nicht, sind mögliche Gründe:
-
IdentityTypedes mit dem Bereitstellungsschema verknüpften Identitätspools ist nicht aufHybridAzureADeingestellt. Sie können dies überprüfen, indem SieGet-AcctIdentityPoolausführen. - Die Maschine wurde nicht mit demselben Bereitstellungsschema des Maschinenkatalogs bereitgestellt.
- Die Maschine ist nicht mit der lokalen Domäne verbunden. Die lokale Domänenverbindung ist eine Voraussetzung für den Microsoft Entra Hybrid Join.
-
-
Überprüfen Sie die Diagnosemeldungen, indem Sie den Befehl
dsregcmd /status /debugauf der von MCS bereitgestellten Maschine ausführen.-
Wenn der Microsoft Entra Hybrid Join erfolgreich ist, sind AzureAdJoined und DomainJoined in der Ausgabe der Befehlszeile auf YES gesetzt.
-
Andernfalls lesen Sie die Microsoft-Dokumentation zur Fehlerbehebung: https://docs.microsoft.com/en-us/azure/active-directory/devices/troubleshoot-hybrid-join-windows-current.
-
Wenn Sie die Fehlermeldung Server Message: The user certificate is not found on the device with id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx erhalten, führen Sie den folgenden PowerShell-Befehl aus, um das Benutzerzertifikat zu reparieren:
Repair-AcctIdentity -IdentityAccountName TEST\VM1 -Target UserCertificate <!--NeedCopy-->Weitere Informationen zum Problem mit dem Benutzerzertifikat finden Sie unter CTX566696.
-
Erstellen von in Microsoft Intune registrierten Microsoft Entra Hybrid Joined-Katalogen
Sie können Co-Management-fähige Kataloge für in Microsoft Intune registrierte Microsoft Entra Hybrid Joined-Kataloge für persistente Einzel- und Mehrsitzungs-VMs erstellen. Sie können Co-Management-fähige Kataloge sowohl mit Studio als auch mit PowerShell erstellen.
Verwenden von Web Studio
Die folgenden Informationen ergänzen die Anleitung unter Maschinenkataloge erstellen.
Im Assistenten zur Einrichtung des Maschinenkatalogs:
- Wählen Sie auf der Seite Maschinenidentitäten die Option Microsoft Entra Hybrid Joined und anschließend Maschinen in Microsoft Intune mit Configuration Manager registrieren. Durch diese Aktion verwalten Configuration Manager und Microsoft Intune (d. h. Co-Management) die VMs.
Verwenden von PowerShell
Im Folgenden sind die PowerShell-Schritte aufgeführt, die den Schritten in Studio entsprechen.
Um Maschinen in Microsoft Intune mit Configuration Manager über das Remote PowerShell SDK zu registrieren, verwenden Sie den Parameter DeviceManagementType in New-AcctIdentityPool. Diese Funktion erfordert, dass der Katalog Microsoft Entra Hybrid Joined ist und dass die Microsoft Entra ID über die korrekte Microsoft Intune-Lizenz verfügt.
Der Unterschied zwischen Microsoft Entra Hybrid Joined-Katalogen und Co-Management-fähigen Katalogen liegt in der Erstellung des Identitätspools. Zum Beispiel:
New-AcctIdentityPool -AllowUnicode -DeviceManagementType "IntuneWithSCCM" IdentityType="HybridAzureAD" -IdentityPoolName "CoManagedCatalog" -NamingScheme "CoManaged-VM-##" -NamingSchemeType "Numeric" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
<!--NeedCopy-->
Fehlerbehebung
Wenn Maschinen nicht in Microsoft Intune registriert werden können oder den Co-Management-Status nicht erreichen, gehen Sie wie folgt vor:
-
Intune-Lizenz überprüfen Überprüfen Sie, ob Ihrem Microsoft Entra-Mandanten die entsprechende Intune-Lizenz zugewiesen ist. Die Lizenzanforderungen für Microsoft Intune finden Sie unter Microsoft Intune-Lizenzierung.
-
Microsoft Entra Hybrid Join-Status überprüfen Überprüfen Sie, ob die von MCS bereitgestellten Maschinen Microsoft Entra Hybrid Joined sind. Die Maschinen sind nicht für das Co-Management geeignet, wenn sie nicht Microsoft Entra Hybrid Joined sind. Informationen zur Behebung von Microsoft Entra Hybrid Join-Problemen finden Sie unter Fehlerbehebung.
- Co-Management-Berechtigung überprüfen
-
Überprüfen Sie, ob die von MCS bereitgestellten Maschinen der erwarteten Configuration Manager-Site korrekt zugewiesen sind. Um die zugewiesene Site zu erhalten, führen Sie den folgenden PowerShell-Befehl auf den betroffenen Maschinen aus.
(New-Object -ComObject "Microsoft.SMS.Client").GetAssignedSite() <!--NeedCopy--> -
Wenn der VM keine Site zugewiesen ist, verwenden Sie den folgenden Befehl, um zu überprüfen, ob die Configuration Manager-Site automatisch erkannt werden kann.
(New-Object -ComObject "Microsoft.SMS.Client").AutoDiscoverSite() <!--NeedCopy--> - Stellen Sie sicher, dass Begrenzungen (Boundaries) und Begrenzungsgruppen (Boundary Groups) in Ihrer Configuration Manager-Umgebung gut konfiguriert sind, falls kein Site-Code erkannt werden kann. Weitere Informationen finden Sie unter Überlegungen.
- Überprüfen Sie
C:\Windows\CCM\Logs\ClientLocation.logauf Probleme bei der Zuweisung der Configuration Manager-Client-Site. - Überprüfen Sie die Co-Management-Status der Maschinen. Öffnen Sie die Configuration Manager-Systemsteuerung auf den betroffenen Maschinen und wechseln Sie zur Registerkarte Allgemein. Der Wert der Eigenschaft Co-Management muss Enabled sein. Ist dies nicht der Fall, überprüfen Sie die Protokolle unter
C:\Windows\CCM\Logs\CoManagementHandler.log.
-
- Intune-Registrierung überprüfen Maschinen können möglicherweise nicht in Microsoft Intune registriert werden, selbst wenn alle Voraussetzungen erfüllt sind. Überprüfen Sie die Windows-Ereignisprotokolle unter Anwendungs- und Dienstprotokolle > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider auf Probleme bei der Intune-Registrierung.
Teilen
Teilen
This Preview product documentation is Citrix Confidential.
You agree to hold this documentation confidential pursuant to the terms of your Citrix Beta/Tech Preview Agreement.
The development, release and timing of any features or functionality described in the Preview documentation remains at our sole discretion and are subject to change without notice or consultation.
The documentation is for informational purposes only and is not a commitment, promise or legal obligation to deliver any material, code or functionality and should not be relied upon in making Citrix product purchase decisions.
If you do not agree, select I DO NOT AGREE to exit.