Azure AD 服务帐户

January 28, 2025

投稿者:

Azure AD 服务帐户是一个容器，用于存储 Azure AD 服务主体的应用程序 ID 和机密，该主体具有足够的权限来管理已加入 Azure AD 或已注册 Microsoft Intune 的设备。 MCS 可以使用此服务帐户自动清理在已置备计算机生命周期内生成的任何过时的 Azure AD 或 Microsoft Intune 设备。

Azure AD 服务主体所需的权限

服务帐户使用的 Azure AD 服务主体所需的权限取决于为服务帐户启用的功能。

对于具有已加入 Azure AD 的设备管理功能的服务帐户，Azure AD 服务主体必须具有 设备.ReadWrite.All 权限。
对于具有 Microsoft Intune 注册设备管理功能的服务帐户，Azure AD 服务主体必须具有 DeviceManagementManagedDevices.ReadWrite.All 权限。

限制

目前不支持 Azure AD 基于角色的访问控制。因此，请将 Azure AD 权限直接分配给服务主体。

创建 Azure AD 服务帐户

使用 Studio 或 PowerShell 创建 Azure AD 服务帐户。

必备条件

要创建 Azure AD 服务帐户，请确保完成以下任务：

根据要启用服务帐户的功能，在 Azure AD 租户中创建具有足够权限的 Azure AD 主体。

使用 Studio

在 DaaS 磁贴中，单击管理。
在左侧窗格中，选择 管理员.
在 服务帐户 Tab 键中，单击 创建服务帐户.
在 身份类型 页面上，选择 Azure 活动目录. 在“等效 CLI 命令”中，查看命令并单击“下一步”。
在凭据页面上，输入 Azure AD 租户 ID、应用程序 ID 和客户端密码，并设置凭据到期日期。
选择服务账户的功能。
为服务帐户选择一个或多个范围。
输入服务帐户的友好名称和描述（可选）。
点击完成以完成创建。

注意：

默认情况下，已加入 Azure AD 的设备管理功能处于选中状态，您无法取消选择它。

要使用受邀加入租户的多租户 Azure AD 应用程序，您输入的 Azure AD 租户 ID 必须是您自己的租户 ID，而不是应用程序的主租户 ID。

使用 PowerShell

或者，可以使用 PowerShell 命令创建 Azure AD 服务帐户。例如：

  $tenantId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  $applicationId = xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  $applicationSecret = xxxxxxxxxxxxxxx
  $credential = ConvertTo-SecureString -String $applicationSecret -AsPlainText -Force

  New-AcctServiceAccount -IdentityProviderType AzureAD -IdentityProviderIdentifier $tenantId -AccountId $applicationId -AccountSecret $credential -SecretExpiryTime 2030/08/15 -Capabilities @("AzureADDeviceManagement","IntuneDeviceManagement") -DisplayName 'MyApplication' -Description 'Service account for Azure AD tenant'
 

将已加入 Azure AD 的设备管理迁移到服务帐户

以前，Citrix 提供了一个选项，用于在创建或编辑与 Microsoft Azure Resource Manager 的托管连接时启用已加入 Azure AD 的设备管理。 MCS 使用与托管连接一起存储的 Azure AD 服务主体（配置 SPN）的权限来管理已加入 Azure AD 的过时设备。使用服务帐户，可以使用与服务帐户一起存储的专用 Azure AD 服务主体（身份管理 SPN）来管理已加入 Azure AD 或已注册 Microsoft Intune 的设备。

Citrix 建议从托管连接驱动的设备管理迁移到服务帐户驱动的设备管理，以分离配置 SPN 和身份管理 SPN 的责任。

对于已使用已加入 Azure AD 的设备管理启用的任何现有托管连接，您可以按如下方式禁用它：

从 Studio 中，选择好客在左侧窗格中。
选择连接，然后在操作栏中选择编辑连接。
在 连接属性 页面上，清除 启用已加入 Azure AD 的设备管理 复选框。
单击保存以应用所做的更改。

注意：

目前，在创建新的托管连接时，无法启用已加入 Azure AD 的设备管理。

下一步的去向

要创建已加入 Azure Active Directory 的目录，请参阅已加入 Azure Active Directory 的计算机身份的身份池.
要管理服务账户，请参阅管理服务帐户.

本内容的正式版本为英文版。部分 Cloud Software Group 文档内容采用了机器翻译，仅供您参考。Cloud Software Group 无法控制机器翻译的内容，这些内容可能包含错误、不准确或不合适的语言。对于从英文原文翻译成任何其他语言的内容的准确性、可靠性、适用性或正确性，或者您的 Cloud Software Group 产品或服务沿用了任何机器翻译的内容，我们均不作任何明示或暗示的保证，并且适用的最终用户许可协议或服务条款或者与 Cloud Software Group 签订的任何其他协议（产品或服务与已进行机器翻译的任何文档保持一致）下的任何保证均不适用。对于因使用机器翻译的内容而引起的任何损害或问题，Cloud Software Group 不承担任何责任。

这是否有帮助？

Azure AD 服务帐户

January 28, 2025

投稿者:

在本文中

这是否有帮助？