Joint à Azure Active Directory hybride

Remarque :

Depuis juillet 2023, Microsoft a renommé Azure Active Directory (Azure AD) en Microsoft Entra ID. Dans ce document, toute référence à Azure Active Directory, Azure AD ou AAD fait désormais référence à Microsoft Entra ID.

Cet article décrit les exigences pour créer des catalogues joints à un annuaire Active Directory hybride Azure (HAAD) en plus des exigences décrites dans la section des exigences système.

Les machines jointes à Azure AD hybride utilisent l’AD sur site comme fournisseur d’authentification. Vous pouvez les attribuer à des utilisateurs ou des groupes de domaine dans l’AD sur site. Pour activer l’expérience SSO transparente d’Azure AD, vous devez synchroniser les utilisateurs du domaine avec Azure AD.

Remarque :

Les machines virtuelles jointes à Azure AD hybride sont prises en charge dans les infrastructures d’identité fédérées et gérées.

Exigences

• Type de VDA : Session unique (postes de travail uniquement) ou multi-session (applications et postes de travail)
• Version du VDA : 2212 ou ultérieure
• Type de provisionnement : Machine Creation Services™ (MCS), persistant et non persistant
• Type d’attribution : Dédié et en pool
• Plateforme d’hébergement : Tout hyperviseur ou service cloud

Limitations

• Si le service d’authentification fédérée Citrix (FAS) est utilisé, l’authentification unique est dirigée vers l’AD sur site plutôt que vers Azure AD. Dans ce cas, il est recommandé de configurer l’authentification basée sur certificat Azure AD afin que le jeton d’actualisation principal (PRT) soit généré lors de la connexion de l’utilisateur, ce qui facilite l’authentification unique aux ressources Azure AD au sein de la session. Sinon, le PRT ne sera pas présent et l’authentification unique aux ressources Azure AD ne fonctionnera pas. Pour plus d’informations sur la réalisation de l’authentification unique (SSO) Azure AD pour les VDA joints hybrides à l’aide du service d’authentification fédérée Citrix (FAS), consultez VDA joints hybrides.
• Ne sautez pas la préparation de l’image lors de la création ou de la mise à jour des catalogues de machines. Si vous souhaitez ignorer la préparation de l’image, assurez-vous que les machines virtuelles principales ne sont pas jointes à Azure AD ou à un Azure AD hybride.

Considérations

• La création de machines jointes à un Azure Active Directory hybride nécessite l’autorisation Write userCertificate dans le domaine cible. Assurez-vous de saisir les informations d’identification d’un administrateur disposant de cette autorisation lors de la création du catalogue.

• Le processus de jonction hybride Azure AD est géré par Citrix. Vous devez désactiver autoWorkplaceJoin contrôlé par Windows dans les machines virtuelles principales comme suit. La tâche de désactivation manuelle de autoWorkplaceJoin n’est requise que pour la version 2212 ou antérieure du VDA.

  1. Exécutez gpedit.msc.
  2. Accédez à Configuration ordinateur > Modèles d’administration > Composants Windows > Enregistrement de périphérique.
  3. Définissez Enregistrer les ordinateurs joints au domaine en tant que périphériques sur Désactivé.

• Sélectionnez l’unité d’organisation (UO) configurée pour être synchronisée avec Azure AD lorsque vous créez les identités de machine.

• Pour les machines virtuelles principales basées sur Windows 11 22H2, créez une tâche planifiée dans la machine virtuelle principale qui exécute les commandes suivantes au démarrage du système à l’aide du compte SYSTEM. Cette tâche de planification d’une tâche dans la machine virtuelle principale n’est requise que pour la version 2212 ou antérieure du VDA.

   $VirtualDesktopKeyPath = 'HKLM:\Software\AzureAD\VirtualDesktop'
   $WorkplaceJoinKeyPath = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin'
   $MaxCount = 60
  
   for ($count = 1; $count -le $MaxCount; $count++)
   {
     if ((Test-Path -Path $VirtualDesktopKeyPath) -eq $true)
     {
       $provider = (Get-Item -Path $VirtualDesktopKeyPath).GetValue("Provider", $null)
       if ($provider -eq 'Citrix')
       {
           break;
       }
  
       if ($provider -eq 1)
       {
           Set-ItemProperty -Path $VirtualDesktopKeyPath -Name "Provider" -Value "Citrix" -Force
           Set-ItemProperty -Path $WorkplaceJoinKeyPath -Name "autoWorkplaceJoin" -Value 1 -Force
           Start-Sleep 5
           dsregcmd /join
           break
       }
     }
  
     Start-Sleep 1
   }
   <!--NeedCopy-->
  

• Par défaut, Azure AD Connect se synchronise toutes les 30 minutes. Les machines provisionnées peuvent prendre jusqu’à 30 minutes pour être jointes à un Azure AD hybride lors du premier démarrage.

Où aller ensuite

Pour plus d’informations sur la création de catalogues joints à un Azure Active Directory hybride, consultez Créer des catalogues joints à un Azure Active Directory hybride.