Crear catálogos unidos a Hybrid Azure Active Directory

Nota:

Desde julio de 2023, Microsoft ha cambiado el nombre de Azure Active Directory (Azure AD) a Microsoft Entra ID. En este documento, cualquier referencia a Azure Active Directory, Azure AD o AAD ahora se refiere a Microsoft Entra ID.

Este artículo describe cómo crear catálogos unidos a Hybrid Azure Active Directory (AD).

Puede crear catálogos unidos a Azure AD mediante Web Studio o PowerShell.

Para obtener información sobre los requisitos, las limitaciones y las consideraciones, consulte Unido a Hybrid Azure Active Directory.

Usar Web Studio

La siguiente información es un complemento de la guía en Crear catálogos de máquinas. Para crear catálogos unidos a Hybrid Azure AD, siga la guía general de ese artículo, teniendo en cuenta los detalles específicos de los catálogos unidos a Hybrid Azure AD.

En el asistente de creación de catálogos:

• En la página Identidades de máquina, seleccione Unido a Hybrid Azure Active Directory. Las máquinas creadas son propiedad de una organización y se inician sesión con una cuenta de Active Directory Domain Services que pertenece a esa organización. Existen en la nube y en el entorno local.

Nota:

Si selecciona Unido a Hybrid Azure Active Directory como tipo de identidad, cada máquina del catálogo debe tener una cuenta de equipo de AD correspondiente.

Usar PowerShell

Los siguientes son pasos de PowerShell equivalentes a las operaciones en Web Studio. Para obtener información sobre cómo crear un catálogo mediante el SDK de PowerShell remoto, consulte https://developer-docs.citrix.com/projects/citrix-virtual-apps-desktops-sdk/en/latest/creating-a-catalog/.

La diferencia entre los catálogos unidos a AD local y los unidos a Hybrid Azure AD radica en la creación del grupo de identidades y las cuentas de máquina.

Para crear un grupo de identidades junto con las cuentas para catálogos unidos a Azure AD híbrido:

New-AcctIdentityPool -AllowUnicode -IdentityType "HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
New-AcctADAccount -IdentityPoolName "HybridAADJoinedCatalog" -Count 10 -ADUserName "corp\admin1" -ADPassword $password
Set-AcctAdAccountUserCert -IdentityPoolName "HybridAADJoinedCatalog" -All -ADUserName "corp\admin1" -ADPassword $password
<!--NeedCopy-->

Nota:

$password es la contraseña correspondiente a una cuenta de usuario de AD con permisos de escritura.

Todos los demás comandos utilizados para crear catálogos unidos a Azure AD híbrido son los mismos que para los catálogos tradicionales unidos a AD local.

Ver el estado del proceso de unión a Azure AD híbrido

En Web Studio, el estado del proceso de unión a Azure AD híbrido es visible cuando las máquinas unidas a Azure AD híbrido de un grupo de entrega están encendidas. Para ver el estado, use Buscar para identificar esas máquinas y, a continuación, para cada una, compruebe Identidad de la máquina en la ficha Detalles del panel inferior. La siguiente información puede aparecer en Identidad de la máquina:

• Unido a Azure AD híbrido
• Aún no unido a Azure AD

Nota:

• Es posible que experimente un retraso en la unión a Azure AD híbrido cuando la máquina se enciende inicialmente. Esto se debe al intervalo de sincronización predeterminado de la identidad de la máquina (30 minutos de Azure AD Connect). La máquina está en estado de unión a Azure AD híbrido solo después de que las identidades de la máquina se sincronicen con Azure AD a través de Azure AD Connect.
• Si las máquinas no logran unirse a Azure AD híbrido, no se registran en el Delivery Controller. Su estado de registro aparece como Inicialización.

Además, con Web Studio, puede averiguar por qué las máquinas no están disponibles. Para ello, haga clic en una máquina en el nodo Buscar, compruebe Registro en la ficha Detalles del panel inferior y, a continuación, lea la información sobre herramientas para obtener información adicional.

Solucionar problemas

Si las máquinas no logran unirse a Azure AD híbrido, haga lo siguiente:

• Compruebe si la cuenta de la máquina se ha sincronizado con Azure AD a través del portal de Microsoft Azure AD. Si está sincronizada, aparece Aún no unido a Azure AD, lo que indica un estado de registro pendiente.

  Para sincronizar las cuentas de máquina con Azure AD, asegúrese de que:

  • La cuenta de máquina está en la OU configurada para sincronizarse con Azure AD. Las cuentas de máquina sin el atributo userCertificate no se sincronizan con Azure AD, incluso si están en la OU configurada para sincronizarse.
  • El atributo userCertificate se rellena en la cuenta de máquina. Utilice el Explorador de Active Directory para ver el atributo.
  • Azure AD Connect debe haberse sincronizado al menos una vez después de crear la cuenta de máquina. Si no es así, ejecute manualmente el comando Start-ADSyncSyncCycle -PolicyType Delta en la consola de PowerShell de la máquina de Azure AD Connect para activar una sincronización inmediata.

• Compruebe si el par de claves del dispositivo administrado por Citrix para la unión híbrida a Azure AD se ha enviado correctamente a la máquina consultando el valor de DeviceKeyPairRestored en HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrix.

  Verifique que el valor sea 1. Si no es así, las posibles razones son:

  • IdentityType del grupo de identidades asociado al esquema de aprovisionamiento no está establecido en HybridAzureAD. Puede verificar esto ejecutando Get-AcctIdentityPool.
  • La máquina no se aprovisiona utilizando el mismo esquema de aprovisionamiento del catálogo de máquinas.
  • La máquina no está unida al dominio local. La unión al dominio local es un requisito previo para la unión híbrida a Azure AD.

• Compruebe los mensajes de diagnóstico ejecutando el comando dsregcmd /status /debug en la máquina aprovisionada por MCS.

  • Si la unión híbrida a Azure AD se realiza correctamente, AzureAdJoined y DomainJoined son YES en la salida de la línea de comandos.

  • Si no es así, consulte la documentación de Microsoft para solucionar los problemas: https://docs.microsoft.com/es-es/azure/active-directory/devices/troubleshoot-hybrid-join-windows-current.

  • Si recibe el mensaje de error Server Message: The user certificate is not found on the device with id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx, ejecute el siguiente comando de PowerShell para reparar el certificado de usuario:

     Repair-AcctIdentity -IdentityAccountName TEST\VM1 -Target UserCertificate
     <!--NeedCopy-->
    

    Para obtener más información sobre el problema del certificado de usuario, consulte CTX566696.