Unión híbrida a Microsoft Entra

Este artículo describe los requisitos para crear un grupo de identidades de catálogos unidos a Microsoft Entra híbrido y catálogos unidos a Microsoft Entra híbrido inscritos en Microsoft Intune, además de los requisitos descritos en la sección de requisitos del sistema.

Las máquinas unidas a Microsoft Entra híbrido utilizan AD local como proveedor de autenticación. Puede asignarlas a usuarios o grupos de dominio en AD local. Para habilitar la experiencia de inicio de sesión único (SSO) sin interrupciones de Microsoft Entra ID, debe tener los usuarios de dominio sincronizados con Microsoft Entra ID.

Nota:

Las máquinas virtuales unidas a Microsoft Entra híbrido son compatibles tanto en infraestructuras de identidad federadas como administradas.

Requisitos para la unión híbrida a Microsoft Entra

• Tipo de VDA: Sesión única (solo escritorios) o multisesión (aplicaciones y escritorios)
• Versión de VDA: 2212 o posterior
• Tipo de aprovisionamiento: Machine Creation Services™ (MCS), Persistente y no persistente
• Tipo de asignación: Dedicado y agrupado
• Plataforma de alojamiento: Cualquier hipervisor o servicio en la nube

Limitaciones para la unión híbrida a Microsoft Entra

• Si se utiliza Citrix Federated Authentication Service (FAS), el inicio de sesión único se dirige a AD local en lugar de a Microsoft Entra ID. En este caso, se recomienda configurar la autenticación basada en certificados de Microsoft Entra para que el token de actualización principal (PRT) se genere al iniciar sesión el usuario, lo que facilita el inicio de sesión único en los recursos de Microsoft Entra dentro de la sesión. De lo contrario, el PRT no estará presente y el SSO a los recursos de Microsoft Entra no funcionará. Para obtener información sobre cómo lograr el inicio de sesión único (SSO) de Microsoft Entra en VDA unidos a híbrido mediante Citrix Federated Authentication Service (FAS), consulte VDA unidos a híbrido.
• No omita la preparación de la imagen al crear o actualizar catálogos de máquinas. Si desea omitir la preparación de la imagen, asegúrese de que las máquinas virtuales maestras no estén unidas a Microsoft Entra ni a Microsoft Entra híbrido.

Consideraciones para la unión híbrida a Microsoft Entra

• La creación de máquinas unidas a Microsoft Entra híbrido requiere el permiso Write userCertificate en el dominio de destino. Asegúrese de introducir las credenciales de un administrador con ese permiso durante la creación del catálogo.

• El proceso de unión híbrida a Microsoft Entra es gestionado por Citrix. Debe deshabilitar autoWorkplaceJoin controlado por Windows en las máquinas virtuales maestras de la siguiente manera. La tarea de deshabilitar manualmente autoWorkplaceJoin solo es necesaria para la versión 2212 de VDA o anterior.

  1. Ejecute gpedit.msc.
  2. Vaya a Configuración del equipo > Plantillas administrativas > Componentes de Windows > Registro de dispositivos.
  3. Establezca Registrar equipos unidos a un dominio como dispositivos en Deshabilitado.

• Seleccione la Unidad Organizativa (OU) que está configurada para sincronizarse con Microsoft Entra ID al crear las identidades de la máquina.

• Para una VM maestra basada en Windows 11 22H2, cree una tarea programada en la VM maestra que ejecute los siguientes comandos al inicio del sistema usando la cuenta SYSTEM. Esta tarea de programar una tarea en la VM maestra solo es necesaria para la versión 2212 de VDA o anterior.

   $VirtualDesktopKeyPath = 'HKLM:\Software\AzureAD\VirtualDesktop'
   $WorkplaceJoinKeyPath = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin'
   $MaxCount = 60
  
   for ($count = 1; $count -le $MaxCount; $count++)
   {
     if ((Test-Path -Path $VirtualDesktopKeyPath) -eq $true)
     {
       $provider = (Get-Item -Path $VirtualDesktopKeyPath).GetValue("Provider", $null)
       if ($provider -eq 'Citrix')
       {
           break;
       }
  
       if ($provider -eq 1)
       {
           Set-ItemProperty -Path $VirtualDesktopKeyPath -Name "Provider" -Value "Citrix" -Force
           Set-ItemProperty -Path $WorkplaceJoinKeyPath -Name "autoWorkplaceJoin" -Value 1 -Force
           Start-Sleep 5
           dsregcmd /join
           break
       }
     }
  
     Start-Sleep 1
   }
   <!--NeedCopy-->
  

• De forma predeterminada, Microsoft Entra Connect se sincroniza cada 30 minutos. Las máquinas aprovisionadas pueden tardar hasta 30 minutos en unirse a Microsoft Entra híbrido durante el primer arranque.

Catálogos unidos a Microsoft Entra híbrido inscritos en Microsoft Intune

Los catálogos unidos a Microsoft Entra híbrido, las máquinas virtuales persistentes de sesión única y múltiple, inscritos en Microsoft Intune, utilizan las credenciales del dispositivo con capacidad de administración conjunta.

La administración conjunta le permite administrar simultáneamente dispositivos Windows 10 o posteriores utilizando tanto Configuration Manager como Microsoft Intune. Para obtener más información, consulte Administración conjunta.

Requisitos previos para catálogos unidos a Microsoft Entra híbrido inscritos en Microsoft Intune

Antes de habilitar esta función, verifique que:

• Su entorno de Azure cumple los requisitos de licencia para usar Microsoft Intune. Para obtener más información, consulte la documentación de Microsoft.
• Tiene una implementación válida de Configuration Manager con la administración conjunta habilitada. Para obtener más información, consulte la documentación de Microsoft.

Requisitos para catálogos unidos a Microsoft Entra híbrido inscritos en Microsoft Intune

• Tipo de VDA: Sesión única o multisesión
• Versión de VDA: 2407 o posterior
• Tipo de aprovisionamiento: Machine Creation Service (MCS), persistente. Los catálogos unidos a Azure AD híbrido inscritos en Microsoft Intune para máquinas virtuales de sesión única y multisesión no persistentes se encuentran actualmente en versión preliminar. Consulte Inscripción de máquinas virtuales no persistentes unidas a Entra ID híbrido en Microsoft Intune.
• Tipo de asignación: Dedicado y agrupado
• Plataforma de alojamiento: Cualquier hipervisor o servicio en la nube

Limitaciones para catálogos unidos a Microsoft Entra híbrido inscritos en Microsoft Intune

• No omita la preparación de la imagen al crear o actualizar catálogos de máquinas.
• La administración de clientes basada en Internet (IBCM) de Configuration Manager no es compatible.

Consideraciones para catálogos unidos a Microsoft Entra híbrido inscritos en Microsoft Intune

• La inscripción en Intune podría retrasarse si se encienden demasiadas máquinas del catálogo simultáneamente.

  Microsoft impone una restricción de inscripción en Intune por inquilino que limita el número de dispositivos que se pueden inscribir en un período de tiempo específico. El número permitido de dispositivos varía según el número de licencias de Microsoft Intune asociadas al inquilino. Consulte a su equipo de cuentas de Microsoft para averiguar el límite permitido para su inquilino. Este enfoque ayuda a que la inscripción en Microsoft Intune se escale mejor para entornos grandes.

  Para las máquinas persistentes, puede haber un tiempo de espera inicial necesario para que todos los dispositivos completen la inscripción en Intune.

  Para las máquinas no persistentes, considere limitar las acciones de encendido simultáneas en Autoscale™ o las acciones de encendido manuales.

• Configure Cloud Attach de Configuration Manager. Para obtener más información, consulte la documentación de Microsoft.
• Instale manualmente el cliente de Configuration Manager en la VM maestra sin asignar el código de sitio con .\CCMSetup.exe /mp:SCCMServer /logon FSP=SCCMServer. SCCMServer es el nombre del servidor SCCM en su entorno. Para obtener más información, consulte la documentación de Microsoft.

• Las máquinas creadas por MCS utilizan el mecanismo de asignación automática de sitios para encontrar grupos de límites de sitios que se publican en los Servicios de dominio de Active Directory. Asegúrese de que los límites y grupos de límites de Configuration Manager estén configurados en su entorno. Si la asignación automática de sitios no está disponible, se puede configurar un código de sitio estático de Configuration Manager en la VM maestra a través de la siguiente configuración del Registro:

  Clave:

   HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\MachineIdentityServiceAgent\DeviceManagement
   <!--NeedCopy-->
  

  Nombre del valor: MdmSccmSiteCode

  Tipo de valor: Cadena

  Datos del valor: the site code to be assigned

Qué hacer a continuación

Para obtener más información sobre cómo crear un grupo de identidades de catálogos unidos a Microsoft Entra híbrido, consulte Grupo de identidades de identidad de máquina unida a Microsoft Entra híbrido.