Unido a Hybrid Azure Active Directory

Nota:

Desde julio de 2023, Microsoft ha cambiado el nombre de Azure Active Directory (Azure AD) a Microsoft Entra ID. En este documento, cualquier referencia a Azure Active Directory, Azure AD o AAD se refiere ahora a Microsoft Entra ID.

Este artículo describe los requisitos para crear catálogos unidos a Hybrid Azure Active Directory (HAAD), además de los requisitos descritos en la sección de requisitos del sistema.

Las máquinas unidas a Hybrid Azure AD utilizan AD local como proveedor de autenticación. Puede asignarlas a usuarios o grupos de dominio en AD local. Para habilitar la experiencia de SSO sin interrupciones de Azure AD, debe tener los usuarios de dominio sincronizados con Azure AD.

Nota:

Las máquinas virtuales unidas a Hybrid Azure AD son compatibles con infraestructuras de identidad federadas y administradas.

Requisitos

• Tipo de VDA: Sesión única (solo escritorios) o multisesión (aplicaciones y escritorios)
• Versión de VDA: 2212 o posterior
• Tipo de aprovisionamiento: Machine Creation Services™ (MCS), persistente y no persistente
• Tipo de asignación: Dedicado y agrupado
• Plataforma de alojamiento: Cualquier hipervisor o servicio en la nube

Limitaciones

• Si se utiliza Citrix Federated Authentication Service (FAS), el inicio de sesión único se dirige a AD local en lugar de a Azure AD. En este caso, se recomienda configurar la autenticación basada en certificados de Azure AD para que el token de actualización principal (PRT) se genere al iniciar sesión el usuario, lo que facilita el inicio de sesión único en los recursos de Azure AD dentro de la sesión. De lo contrario, el PRT no estará presente y el SSO a los recursos de Azure AD no funcionará. Para obtener información sobre cómo lograr el inicio de sesión único (SSO) de Azure AD en VDA unidos de forma híbrida mediante Citrix Federated Authentication Service (FAS), consulte VDA unidos de forma híbrida.
• No omita la preparación de la imagen al crear o actualizar catálogos de máquinas. Si desea omitir la preparación de la imagen, asegúrese de que las máquinas virtuales maestras no estén unidas a Azure AD o a Hybrid Azure AD.

Consideraciones

• La creación de máquinas unidas a Hybrid Azure Active Directory requiere el permiso Write userCertificate en el dominio de destino. Asegúrese de introducir las credenciales de un administrador con ese permiso durante la creación del catálogo.

• El proceso de unión a Hybrid Azure AD es administrado por Citrix. Debe deshabilitar autoWorkplaceJoin controlado por Windows en las máquinas virtuales maestras de la siguiente manera. La tarea de deshabilitar manualmente autoWorkplaceJoin solo es necesaria para la versión 2212 de VDA o anterior.

  1. Ejecute gpedit.msc.
  2. Vaya a Configuración del equipo > Plantillas administrativas > Componentes de Windows > Registro de dispositivos.
  3. Establezca Registrar equipos unidos a un dominio como dispositivos en Deshabilitado.

• Seleccione la Unidad organizativa (OU) que está configurada para sincronizarse con Azure AD al crear las identidades de la máquina.

• Para una máquina virtual maestra basada en Windows 11 22H2, cree una tarea programada en la máquina virtual maestra que ejecute los siguientes comandos al iniciar el sistema utilizando la cuenta SYSTEM. Esta tarea de programar una tarea en la máquina virtual maestra solo es necesaria para la versión 2212 de VDA o anterior.

   $VirtualDesktopKeyPath = 'HKLM:\Software\AzureAD\VirtualDesktop'
   $WorkplaceJoinKeyPath = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin'
   $MaxCount = 60
  
   for ($count = 1; $count -le $MaxCount; $count++)
   {
     if ((Test-Path -Path $VirtualDesktopKeyPath) -eq $true)
     {
       $provider = (Get-Item -Path $VirtualDesktopKeyPath).GetValue("Provider", $null)
       if ($provider -eq 'Citrix')
       {
           break;
       }
  
       if ($provider -eq 1)
       {
           Set-ItemProperty -Path $VirtualDesktopKeyPath -Name "Provider" -Value "Citrix" -Force
           Set-ItemProperty -Path $WorkplaceJoinKeyPath -Name "autoWorkplaceJoin" -Value 1 -Force
           Start-Sleep 5
           dsregcmd /join
           break
       }
     }
  
     Start-Sleep 1
   }
   <!--NeedCopy-->
  

• De forma predeterminada, Azure AD Connect se sincroniza cada 30 minutos. Las máquinas aprovisionadas pueden tardar hasta 30 minutos en unirse a Hybrid Azure AD durante el primer arranque.

Pasos siguientes

Para obtener más información sobre cómo crear catálogos unidos a Hybrid Azure Active Directory, consulte Crear catálogos unidos a Hybrid Azure Active Directory.