Aggiunto a Hybrid Azure Active Directory

Questo articolo descrive i requisiti per creare cataloghi aggiunti a Hybrid Azure Active Directory (HAAD) in aggiunta ai requisiti delineati nella sezione dei requisiti di sistema.

Le macchine aggiunte a Hybrid Azure AD utilizzano l’AD locale come provider di autenticazione. È possibile assegnarle a utenti o gruppi di dominio nell’AD locale. Per abilitare l’esperienza SSO senza interruzioni di Azure AD, è necessario che gli utenti del dominio siano sincronizzati con Azure AD.

Nota:

Le VM aggiunte a Hybrid Azure AD sono supportate sia nelle infrastrutture di identità federate che gestite.

Requisiti

• Tipo di VDA: Sessione singola (solo desktop) o multi-sessione (app e desktop)
• Versione VDA: 2212 o successiva
• Tipo di provisioning: Machine Creation Services™ (MCS), persistente e non persistente
• Tipo di assegnazione: Dedicato e in pool
• Piattaforma di hosting: Qualsiasi hypervisor o servizio cloud

Limitazioni

• Se viene utilizzato Citrix Federated Authentication Service (FAS), il single sign-on è diretto all’AD locale anziché ad Azure AD. In questo caso, si consiglia di configurare l’autenticazione basata su certificato di Azure AD in modo che il token di aggiornamento primario (PRT) venga generato al momento dell’accesso dell’utente, il che facilita il single sign-on alle risorse di Azure AD all’interno della sessione. In caso contrario, il PRT non sarà presente e l’SSO alle risorse di Azure AD non funzionerà. Per informazioni su come ottenere il single sign-on (SSO) di Azure AD per i VDA ibridi utilizzando Citrix Federated Authentication Service (FAS), vedere VDA ibridi.
• Non saltare la preparazione dell’immagine durante la creazione o l’aggiornamento dei cataloghi di macchine. Se si desidera saltare la preparazione dell’immagine, assicurarsi che le VM master non siano aggiunte ad Azure AD o a Hybrid Azure AD.

Considerazioni

• La creazione di macchine ibride aggiunte ad Azure Active Directory richiede l’autorizzazione Write userCertificate nel dominio di destinazione. Assicurarsi di inserire le credenziali di un amministratore con tale autorizzazione durante la creazione del catalogo.

• Il processo di aggiunta ibrida ad Azure AD è gestito da Citrix. È necessario disabilitare autoWorkplaceJoin controllato da Windows nelle VM master come segue. L’attività di disabilitazione manuale di autoWorkplaceJoin è richiesta solo per la versione VDA 2212 o precedente.

  1. Eseguire gpedit.msc.
  2. Passare a Configurazione computer > Modelli amministrativi > Componenti di Windows > Registrazione dispositivi.
  3. Impostare Registra computer aggiunti al dominio come dispositivi su Disabilitato.

• Selezionare l’unità organizzativa (OU) configurata per essere sincronizzata con Azure AD quando si creano le identità delle macchine.

• Per le VM master basate su Windows 11 22H2, creare un’attività pianificata nella VM master che esegue i seguenti comandi all’avvio del sistema utilizzando l’account SYSTEM. Questa attività di pianificazione di un’attività nella VM master è richiesta solo per la versione VDA 2212 o precedente.

   $VirtualDesktopKeyPath = 'HKLM:\Software\AzureAD\VirtualDesktop'
   $WorkplaceJoinKeyPath = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin'
   $MaxCount = 60
  
   for ($count = 1; $count -le $MaxCount; $count++)
   {
     if ((Test-Path -Path $VirtualDesktopKeyPath) -eq $true)
     {
       $provider = (Get-Item -Path $VirtualDesktopKeyPath).GetValue("Provider", $null)
       if ($provider -eq 'Citrix')
       {
           break;
       }
  
       if ($provider -eq 1)
       {
           Set-ItemProperty -Path $VirtualDesktopKeyPath -Name "Provider" -Value "Citrix" -Force
           Set-ItemProperty -Path $WorkplaceJoinKeyPath -Name "autoWorkplaceJoin" -Value 1 -Force
           Start-Sleep 5
           dsregcmd /join
           break
       }
     }
  
     Start-Sleep 1
   }
   <!--NeedCopy-->
  

• Per impostazione predefinita, Azure AD Connect si sincronizza ogni 30 minuti. Le macchine con provisioning possono impiegare fino a 30 minuti per essere aggiunte ibridamente ad Azure AD durante il primo avvio.

Dove andare dopo

Per maggiori informazioni sulla creazione di cataloghi ibridi aggiunti ad Azure Active Directory, vedere Creare cataloghi ibridi aggiunti ad Azure Active Directory.