Créer des catalogues joints à un Azure Active Directory hybride

Remarque :

Depuis juillet 2023, Microsoft a renommé Azure Active Directory (Azure AD) en Microsoft Entra ID. Dans ce document, toute référence à Azure Active Directory, Azure AD ou AAD fait désormais référence à Microsoft Entra ID.

Cet article décrit comment créer des catalogues joints à un Azure Active Directory (AD) hybride.

Vous pouvez créer des catalogues joints à Azure AD en utilisant Web Studio ou PowerShell.

Pour plus d’informations sur les exigences, les limitations et les considérations, consultez joints à un Azure Active Directory hybride.

Utiliser Web Studio

Les informations suivantes complètent les directives de Créer des catalogues de machines. Pour créer des catalogues hybrides joints à Azure AD, suivez les directives générales de cet article, en tenant compte des détails spécifiques aux catalogues hybrides joints à Azure AD.

Dans l’assistant de création de catalogue :

• Sur la page Identités de machine, sélectionnez Joint à un Azure Active Directory hybride. Les machines créées appartiennent à une organisation et sont connectées avec un compte Active Directory Domain Services qui appartient à cette organisation. Elles existent dans le cloud et sur site.

Remarque :

Si vous sélectionnez Joint à un Azure Active Directory hybride comme type d’identité, chaque machine du catalogue doit avoir un compte d’ordinateur AD correspondant.

Utiliser PowerShell

Les étapes PowerShell suivantes sont équivalentes aux opérations dans Web Studio. Pour plus d’informations sur la création d’un catalogue à l’aide du SDK PowerShell distant, consultez https://developer-docs.citrix.com/projects/citrix-virtual-apps-desktops-sdk/en/latest/creating-a-catalog/.

La différence entre les catalogues joints à un AD sur site et ceux joints à un Azure AD hybride réside dans la création du pool d’identités et des comptes machine.

Pour créer un pool d’identités avec les comptes pour les catalogues joints à Azure AD hybride :

New-AcctIdentityPool -AllowUnicode -IdentityType "HybridAzureAD" -Domain "corp.local" -IdentityPoolName "HybridAADJoinedCatalog" -NamingScheme "HybridAAD-VM-##" -NamingSchemeType "Numeric" -OU "CN=AADComputers,DC=corp,DC=local" -Scope @() -ZoneUid "81291221-d2f2-49d2-ab12-bae5bbd0df05"
New-AcctADAccount -IdentityPoolName "HybridAADJoinedCatalog" -Count 10 -ADUserName "corp\admin1" -ADPassword $password
Set-AcctAdAccountUserCert -IdentityPoolName "HybridAADJoinedCatalog" -All -ADUserName "corp\admin1" -ADPassword $password
<!--NeedCopy-->

Remarque :

$password est le mot de passe correspondant à un compte d’utilisateur AD avec des autorisations d’écriture.

Toutes les autres commandes utilisées pour créer des catalogues joints à Azure AD hybride sont les mêmes que pour les catalogues traditionnels joints à AD sur site.

Afficher l’état du processus de jonction Azure AD hybride

Dans Web Studio, l’état du processus de jonction Azure AD hybride est visible lorsque les machines jointes à Azure AD hybride d’un groupe de mise à disposition sont sous tension. Pour afficher l’état, utilisez Rechercher pour identifier ces machines, puis pour chacune, vérifiez Identité de la machine sous l’onglet Détails dans le volet inférieur. Les informations suivantes peuvent apparaître dans Identité de la machine :

• Joint à Azure AD hybride
• Pas encore joint à Azure AD

Remarque :

• Vous pourriez rencontrer un délai de jonction Azure AD hybride lorsque la machine démarre initialement. Cela est dû à l’intervalle de synchronisation par défaut de l’identité de la machine (30 minutes d’Azure AD Connect). La machine n’est dans l’état de jonction Azure AD hybride qu’après la synchronisation des identités de la machine avec Azure AD via Azure AD Connect.
• Si les machines ne parviennent pas à être dans l’état de jonction Azure AD hybride, elles ne sont pas enregistrées auprès du Delivery Controller. Leur état d’enregistrement apparaît comme Initialisation.

De plus, en utilisant Web Studio, vous pouvez savoir pourquoi les machines sont indisponibles. Pour ce faire, cliquez sur une machine dans le nœud Rechercher, vérifiez Enregistrement sous l’onglet Détails dans le volet inférieur, puis lisez l’info-bulle pour des informations supplémentaires.

Dépannage

Si les machines ne parviennent pas à être jointes à Azure AD hybride, procédez comme suit :

• Vérifiez si le compte de machine a été synchronisé avec Azure AD via le portail Microsoft Azure AD. Si c’est le cas, Pas encore joint à Azure AD apparaît, indiquant un état d’enregistrement en attente.

  Pour synchroniser les comptes machine avec Azure AD, assurez-vous que :

  • Le compte machine se trouve dans l’unité d’organisation configurée pour être synchronisée avec Azure AD. Les comptes machine sans l’attribut userCertificate ne sont pas synchronisés avec Azure AD même s’ils se trouvent dans l’unité d’organisation configurée pour être synchronisée.
  • L’attribut userCertificate est renseigné dans le compte machine. Utilisez l’Explorateur Active Directory pour afficher l’attribut.
  • Azure AD Connect doit avoir été synchronisé au moins une fois après la création du compte machine. Si ce n’est pas le cas, exécutez manuellement la commande Start-ADSyncSyncCycle -PolicyType Delta dans la console PowerShell de la machine Azure AD Connect pour déclencher une synchronisation immédiate.

• Vérifiez si la paire de clés de périphérique gérée par Citrix pour la jonction hybride Azure AD est correctement poussée vers la machine en interrogeant la valeur de DeviceKeyPairRestored sous HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Citrix.

  Vérifiez que la valeur est 1. Si ce n’est pas le cas, les raisons possibles sont :

  • IdentityType du pool d’identités associé au schéma de provisionnement n’est pas défini sur HybridAzureAD. Vous pouvez le vérifier en exécutant Get-AcctIdentityPool.
  • La machine n’est pas provisionnée à l’aide du même schéma de provisionnement que le catalogue de machines.
  • La machine n’est pas jointe au domaine local. La jonction au domaine local est une condition préalable à la jonction hybride Azure AD.

• Vérifiez les messages de diagnostic en exécutant la commande dsregcmd /status /debug sur la machine provisionnée par MCS.

  • Si la jonction hybride Azure AD est réussie, AzureAdJoined et DomainJoined sont YES dans la sortie de la ligne de commande.

  • Si ce n’est pas le cas, consultez la documentation Microsoft pour résoudre les problèmes : https://docs.microsoft.com/fr-fr/azure/active-directory/devices/troubleshoot-hybrid-join-windows-current.

  • Si vous recevez le message d’erreur Server Message: The user certificate is not found on the device with id: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx, exécutez la commande PowerShell suivante pour réparer le certificat utilisateur :

     Repair-AcctIdentity -IdentityAccountName TEST\VM1 -Target UserCertificate
     <!--NeedCopy-->
    

    Pour plus d’informations sur le problème de certificat utilisateur, consultez CTX566696.