Produktdokumentation
Citrix Virtual Apps and Desktops
Service Current Release 2402 LTSR 2311 2308 2305 2303 2212 2209 2206 2203 LTSR 1912 LTSR
PDF anzeigen

In Active Directory eingebunden

April 6, 2026
Beitrag von: 
C C

Active Directory ist für die Authentifizierung und Autorisierung erforderlich. Die Kerberos-Infrastruktur in Active Directory wird verwendet, um die Authentizität und Vertraulichkeit der Kommunikation mit den Delivery Controllern zu gewährleisten. Informationen zu Kerberos finden Sie in der Microsoft-Dokumentation.

  • Der Artikel Systemanforderungen listet die unterstützten funktionalen Ebenen für die Gesamtstruktur und Domäne auf. Um Policy Modeling zu verwenden, muss der Domänencontroller auf allen unterstützten Server-Betriebssystemen ausgeführt werden. Dies hat keinen Einfluss auf die funktionale Ebene der Domäne.

  • Dieses Produkt unterstützt:

  • Bereitstellungen, bei denen die Benutzerkonten und Computerkonten in Domänen einer einzelnen Active Directory-Gesamtstruktur vorhanden sind. Benutzer- und Computerkonten können in beliebigen Domänen innerhalb einer einzelnen Gesamtstruktur vorhanden sein. Alle funktionalen Ebenen der Domäne und der Gesamtstruktur werden in diesem Bereitstellungstyp unterstützt.
  • Bereitstellungen, bei denen Benutzerkonten in einer Active Directory-Gesamtstruktur vorhanden sind, die sich von der Active Directory-Gesamtstruktur unterscheidet, welche die Computerkonten der Controller und virtuellen Desktops enthält. Bei diesem Bereitstellungstyp müssen die Domänen, die die Controller- und virtuellen Desktop-Computerkonten enthalten, den Domänen vertrauen, die Benutzerkonten enthalten. Gesamtstrukturvertrauensstellungen oder externe Vertrauensstellungen können verwendet werden. Alle funktionalen Ebenen der Domäne und der Gesamtstruktur werden in diesem Bereitstellungstyp unterstützt.
  • Bereitstellungen, bei denen die Computerkonten für Controller in einer Active Directory-Gesamtstruktur vorhanden sind, die sich von einer oder mehreren zusätzlichen Active Directory-Gesamtstrukturen unterscheidet, welche die Computerkonten der virtuellen Desktops enthalten. Bei diesem Bereitstellungstyp muss eine bidirektionale Vertrauensstellung zwischen den Domänen, die die Controller-Computerkonten enthalten, und allen Domänen, die die virtuellen Desktop-Computerkonten enthalten, bestehen. Bei diesem Bereitstellungstyp müssen alle Domänen, die Controller- oder virtuelle Desktop-Computerkonten enthalten, auf der funktionalen Ebene “Windows 2000 native” oder höher sein. Alle funktionalen Ebenen der Gesamtstruktur werden unterstützt.
  • Beschreibbare Domänencontroller. Schreibgeschützte Domänencontroller werden nicht unterstützt.

Optional können Virtual Delivery Agents (VDAs) in Active Directory veröffentlichte Informationen verwenden, um zu bestimmen, bei welchen Controllern sie sich registrieren können (Ermittlung). Diese Methode wird hauptsächlich aus Gründen der Abwärtskompatibilität unterstützt und ist nur verfügbar, wenn sich die VDAs in derselben Active Directory-Gesamtstruktur wie die Controller befinden. Informationen zu dieser Ermittlungsmethode finden Sie unter Active Directory OU-basierte Ermittlung und CTX118976.

Hinweis:

Ändern Sie den Computernamen oder die Domänenmitgliedschaft eines Delivery Controller™ nicht, nachdem die Site konfiguriert wurde.

Bereitstellung in einer Umgebung mit mehreren Active Directory-Gesamtstrukturen

  • In einer Active Directory-Umgebung mit mehreren Gesamtstrukturen können Sie bei vorhandenen unidirektionalen oder bidirektionalen Vertrauensstellungen DNS-Weiterleitungen oder bedingte Weiterleitungen für die Namensauflösung und Registrierung verwenden. Um den entsprechenden Active Directory-Benutzern das Erstellen von Computerkonten zu ermöglichen, verwenden Sie den Assistenten für die Delegierung von Berechtigungen. Details zu diesem Assistenten finden Sie in der Microsoft-Dokumentation.

Es sind keine Reverse-DNS-Zonen in der DNS-Infrastruktur erforderlich, wenn entsprechende DNS-Weiterleitungen zwischen Gesamtstrukturen vorhanden sind.

  • Der Schlüssel SupportMultipleForest ist erforderlich, wenn sich VDA und Controller in separaten Gesamtstrukturen befinden, unabhängig davon, ob die Active Directory- und NetBIOS-Namen unterschiedlich sind. Verwenden Sie die folgenden Informationen, um den Registrierungsschlüssel zum VDA und den Delivery Controllern hinzuzufügen:

Vorsicht:

Eine falsche Bearbeitung der Registrierung kann schwerwiegende Probleme verursachen, die möglicherweise eine Neuinstallation Ihres Betriebssystems erfordern. Citrix® kann nicht garantieren, dass Probleme, die aus der falschen Verwendung des Registrierungs-Editors resultieren, behoben werden können. Verwenden Sie den Registrierungs-Editor auf eigenes Risiko. Sichern Sie die Registrierung, bevor Sie sie bearbeiten.

  • Konfigurieren Sie auf dem VDA: HKEY_LOCAL_MACHINE\Software\Citrix\VirtualDesktopAgent\SupportMultipleForest.

  • Name: SupportMultipleForest
  • Typ: REG_DWORD

  • Daten: 0x00000001 (1)

  • Konfigurieren Sie auf allen Delivery Controllern: HKEY_LOCAL_MACHINE\Software\Citrix\DesktopServer\SupportMultipleForest.

  • Name: SupportMultipleForest
  • Typ: REG_DWORD
  • Daten: 0x00000001 (1)

Möglicherweise benötigen Sie eine Reverse-DNS-Konfiguration, wenn Ihr DNS-Namespace von dem von Active Directory abweicht.

Ein Registrierungseintrag wurde hinzugefügt, um die unerwünschte Aktivierung der NTLM-Authentifizierung in VDAs zu vermeiden, die weniger sicher ist als Kerberos. Dieser Eintrag kann anstelle des Eintrags SupportMultipleForest verwendet werden, der weiterhin für die Abwärtskompatibilität genutzt werden kann.

Konfigurieren Sie auf dem VDA: HKEY_LOCAL_MACHINE\Software\Policies\Citrix\VirtualDesktopAgent.

  • Name: SupportMultipleForestDdcLookup
  • Typ: REG_DWORD
  • Daten: 0x00000001 (1)

Dieser Registrierungsschlüssel führt eine DDC-Suche in einer bidirektionalen Vertrauensstellungsumgebung mit mehreren Gesamtstrukturen durch, die es Ihnen ermöglicht, die NTLM-basierte Authentifizierung während des anfänglichen Registrierungsprozesses zu entfernen.

Wenn während der Einrichtung externe Vertrauensstellungen vorhanden sind, ist der Registrierungsschlüssel ListOfSIDs erforderlich. Der Registrierungsschlüssel ListOfSIDs ist auch erforderlich, wenn der Active Directory-FQDN vom DNS-FQDN abweicht oder wenn die Domäne, die den Domänencontroller enthält, einen anderen NetBIOS-Namen als den Active Directory-FQDN hat. Verwenden Sie die folgenden Informationen, um den Registrierungsschlüssel hinzuzufügen:

Suchen Sie für den VDA den Registrierungsschlüssel HKEY_LOCAL_MACHINE\Software\Citrix\VirtualDesktopAgent\ListOfSIDs.

  • Name: ListOfSIDs
  • Typ: REG_SZ
  • Daten: Sicherheits-ID (SID) der Controller. (SIDs sind in den Ergebnissen des Cmdlets Get-BrokerController enthalten.)

Wenn externe Vertrauensstellungen vorhanden sind, nehmen Sie die folgende Änderung am VDA vor:

  1. Suchen Sie die Datei Program Files\Citrix\Virtual Desktop Agent\brokeragent.exe.config.
  2. Erstellen Sie eine Sicherungskopie der Datei.
  3. Öffnen Sie die Datei in einem Textbearbeitungsprogramm wie Notepad.
  4. Suchen Sie den Text allowNtlm="false" und ändern Sie ihn in allowNtlm="true".
  5. Speichern Sie die Datei.

Nachdem Sie den Registrierungsschlüssel ListOfSIDs hinzugefügt und die Datei brokeragent.exe.config bearbeitet haben, starten Sie den Citrix Desktop Service neu, um die Änderungen zu übernehmen.

Die folgende Tabelle listet die unterstützten Vertrauensstellungstypen auf:

Vertrauensstellungstyp Transitivität Richtung In dieser Version unterstützt
Übergeordnete und untergeordnete Transitiv Bidirektional Ja
Gesamtstruktur-Stamm Transitiv Bidirektional Ja
Extern Nicht transitiv Unidirektional oder bidirektional Ja
Gesamtstruktur Transitiv Unidirektional oder bidirektional Ja
Verknüpfung Transitiv Unidirektional oder bidirektional Ja
Realm Transitiv oder nicht transitiv Unidirektional oder bidirektional Nein

Weitere Informationen zu komplexen Active Directory-Umgebungen finden Sie unter CTX134971.

Nächste Schritte

Informationen zum Erstellen eines Identitätspools für in die lokale Active Directory (AD) eingebundene Maschinenidentitäten finden Sie unter Identitätspool für in die lokale Active Directory eingebundene Maschinenidentitäten.

In Active Directory eingebunden
April 6, 2026
Beitrag von: 
C C
April 6, 2026
Beitrag von: 
C C

In diesem Artikel

Feedback zur Site | Your privacy choices footer linkIhre Datenschutzauswahl | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.