Microsoft Entra ハイブリッド参加済み

この記事では、システム要件セクションで概説されている要件に加えて、Microsoft Entra ハイブリッド参加済みカタログのIDプールを作成するための要件と、Microsoft Intuneに登録されているMicrosoft Entra ハイブリッド参加済みカタログの要件について説明します。

Microsoft Entra ハイブリッド参加済みマシンは、オンプレミスADを認証プロバイダーとして使用します。それらをオンプレミスADのドメインユーザーまたはグループに割り当てることができます。Microsoft Entra IDのシームレスなSSOエクスペリエンスを有効にするには、ドメインユーザーをMicrosoft Entra IDに同期する必要があります。

注：

Microsoft Entra ハイブリッド参加済みVMは、フェデレーションIDインフラストラクチャとマネージドIDインフラストラクチャの両方でサポートされています。

Microsoft Entra ハイブリッド参加済みの要件

• VDAの種類：シングルセッション（デスクトップのみ）またはマルチセッション（アプリとデスクトップ）
• VDAバージョン：2212以降
• プロビジョニングの種類：Machine Creation Services™ (MCS)、永続的および非永続的
• 割り当ての種類：専用およびプール
• ホスティングプラットフォーム：任意のハイパーバイザーまたはクラウドサービス

Microsoft Entra ハイブリッド参加済みの制限事項

• Citrix Federated Authentication Service (FAS)を使用する場合、シングルサインオンはMicrosoft Entra IDではなくオンプレミスADに転送されます。この場合、ユーザーログオン時にプライマリ更新トークン（PRT）が生成されるようにMicrosoft Entra証明書ベースの認証を構成することをお勧めします。これにより、セッション内のMicrosoft Entraリソースへのシングルサインオンが容易になります。そうしないと、PRTが存在せず、Microsoft EntraリソースへのSSOは機能しません。Citrix Federated Authentication Service (FAS)を使用してハイブリッド参加済みVDAへのMicrosoft Entraシングルサインオン（SSO）を実現する方法については、「ハイブリッド参加済みVDA」を参照してください。
• マシンカタログの作成または更新中にイメージの準備をスキップしないでください。イメージの準備をスキップしたい場合は、マスターVMがMicrosoft EntraまたはMicrosoft Entra ハイブリッド参加済みではないことを確認してください。

Microsoft Entra ハイブリッド参加済みの考慮事項

• Microsoft Entra ハイブリッド参加済みマシンを作成するには、ターゲットドメインで Write userCertificate 権限が必要です。カタログ作成時に、その権限を持つ管理者の資格情報を入力してください。

• Microsoft Entra ハイブリッド参加プロセスはCitrixによって管理されます。マスターVMでWindowsによって制御される autoWorkplaceJoin を次のように無効にする必要があります。autoWorkplaceJoin を手動で無効にするタスクは、VDAバージョン2212以前でのみ必要です。

  1. gpedit.msc を実行します。
  2. コンピューターの構成 > 管理用テンプレート > Windows コンポーネント > デバイス登録 に移動します。
  3. ドメイン参加済みコンピューターをデバイスとして登録する を 無効 に設定します。

• マシンIDを作成するときに、Microsoft Entra IDと同期するように構成されている組織単位 (OU) を選択します。

• Windows 11 22H2ベースのマスターVMの場合、SYSTEMアカウントを使用してシステム起動時に次のコマンドを実行するスケジュールされたタスクをマスターVMに作成します。マスターVMでタスクをスケジュールするこのタスクは、VDAバージョン2212以前でのみ必要です。

   $VirtualDesktopKeyPath = 'HKLM:\Software\AzureAD\VirtualDesktop'
   $WorkplaceJoinKeyPath = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin'
   $MaxCount = 60
  
   for ($count = 1; $count -le $MaxCount; $count++)
   {
     if ((Test-Path -Path $VirtualDesktopKeyPath) -eq $true)
     {
       $provider = (Get-Item -Path $VirtualDesktopKeyPath).GetValue("Provider", $null)
       if ($provider -eq 'Citrix')
       {
           break;
       }
  
       if ($provider -eq 1)
       {
           Set-ItemProperty -Path $VirtualDesktopKeyPath -Name "Provider" -Value "Citrix" -Force
           Set-ItemProperty -Path $WorkplaceJoinKeyPath -Name "autoWorkplaceJoin" -Value 1 -Force
           Start-Sleep 5
           dsregcmd /join
           break
       }
     }
  
     Start-Sleep 1
   }
   <!--NeedCopy-->
  

• デフォルトでは、Microsoft Entra Connectは30分ごとに同期します。プロビジョニングされたマシンが最初の起動時にMicrosoft Entra ハイブリッド参加済みになるまで、最大30分かかる場合があります。

Microsoft Intuneに登録されたMicrosoft Entra ハイブリッド参加済みカタログ

Microsoft Intuneに登録されたMicrosoft Entra ハイブリッド参加済みカタログ、永続的なシングルセッションおよびマルチセッションVMは、共同管理機能を持つデバイス資格情報を使用します。

共同管理により、Configuration ManagerとMicrosoft Intuneの両方を使用して、Windows 10以降のデバイスを同時に管理できます。詳細については、共同管理 を参照してください。

Microsoft Intuneに登録されたMicrosoft Entra ハイブリッド参加済みカタログの前提条件

この機能を有効にする前に、以下を確認してください。

• Azure環境がMicrosoft Intuneを使用するためのライセンス要件を満たしていること。詳細については、Microsoftドキュメント を参照してください。
• 共同管理が有効になっている有効なConfiguration Manager展開があること。詳細については、Microsoftドキュメント を参照してください。

Microsoft Intune に登録されている Microsoft Entra ハイブリッド参加済みカタログの要件

• VDA タイプ: シングルセッションまたはマルチセッション
• VDA バージョン: 2407 以降
• プロビジョニングタイプ: Machine Creation Service (MCS)、永続的。Microsoft Intune に登録されている非永続的なシングルセッションおよびマルチセッションVM用のハイブリッド Azure AD 参加済みカタログは現在プレビュー中です。Enrollment of Hybrid Entra ID joined non-persistent VMs into Microsoft Intune を参照してください。
• 割り当てタイプ: 専用およびプール
• ホスティングプラットフォーム: 任意のハイパーバイザーまたはクラウドサービス

Microsoft Intune に登録されている Microsoft Entra ハイブリッド参加済みカタログの制限事項

• マシンカタログの作成または更新時にイメージ準備をスキップしないでください。
• Configuration Manager のインターネットベースのクライアント管理 (IBCM) はサポートされていません。

Microsoft Intune に登録されている Microsoft Entra ハイブリッド参加済みカタログに関する考慮事項

• カタログ内の多数のマシンが同時に電源オンになると、Intune 登録が遅れる可能性があります。

  Microsoft は、特定の期間内に登録できるデバイスの数を制限するテナントごとの Intune 登録制限を課しています。許可されるデバイスの数は、テナントに関連付けられている Microsoft Intune ライセンスの数によって異なります。テナントの許可される制限については、Microsoft アカウントチームにお問い合わせください。このアプローチは、大規模な環境での Microsoft Intune 登録のスケーリングを向上させるのに役立ちます。

  永続的なマシンでは、すべてのデバイスが Intune 登録を完了するまでに初期の待機時間が必要になる場合があります。

  非永続的なマシンでは、Autoscale™ または手動の電源操作における同時電源操作を制限することを検討してください。

• Configuration Manager の Cloud Attach を構成します。詳細については、Microsoft ドキュメント を参照してください。
• マスターVMにConfiguration Managerクライアントを手動でインストールし、.\CCMSetup.exe /mp:SCCMServer /logon FSP=SCCMServerでサイトコードを割り当てないでください。SCCMServerは、お使いの環境のSCCMサーバー名です。詳細については、Microsoftドキュメントを参照してください。

• MCSで作成されたマシンは、Active Directory Domain Servicesに公開されているサイト境界グループを見つけるために、自動サイト割り当てメカニズムを使用します。お使いの環境でConfiguration Managerの境界と境界グループが構成されていることを確認してください。自動サイト割り当てが利用できない場合は、次のレジストリ設定を通じて、マスターVMで静的なConfiguration Managerサイトコードを構成できます。

  キー:

   HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\MachineIdentityServiceAgent\DeviceManagement
   <!--NeedCopy-->
  

  値の名前: MdmSccmSiteCode

  値の型: 文字列

  値のデータ: the site code to be assigned

次のステップ

Microsoft Entraハイブリッド参加済みカタログのIDプール作成の詳細については、Microsoft Entraハイブリッド参加済みマシンIDのIDプールを参照してください。