已加入混合 Azure Active Directory

January 28, 2025

投稿者:

注意：

自 2023 年 7 月起，Microsoft 已将 Azure Active Directory (Azure AD) 重命名为 Microsoft Entra ID。在本文档中，任何提及 Azure Active Directory、Azure AD 或 AAD 的内容现在均指 Microsoft Entra ID。

本文介绍了使用 Citrix DaaS 创建已加入混合 Azure Active Directory （HAAD）的目录的要求，以及 Citrix DaaS 系统要求部分中概述的要求。

已加入混合 Azure AD 的计算机使用本地 AD 作为身份验证提供程序。您可以将它们分配给本地 AD 中的域用户或组。若要启用 Azure AD 无缝 SSO 体验，需要将域用户同步到 Azure AD。

注意：

联合标识基础结构和托管标识基础结构均支持已加入混合 Azure AD 的 VM。

要求

控制平面：请参阅支持的配置
VDA 类型：单会话（仅限桌面）或多会话（应用程序和桌面）
VDA 版本：2212 或更高版本
供应类型：Machine Creation Services （MCS）、持久性和非持久性
分配类型：专用和共用
托管平台：任何虚拟机管理程序或云服务

限制

如果使用 Citrix 联合身份验证服务（FAS），则单点登录将定向到本地 AD，而不是 Azure AD。在这种情况下，建议配置基于 Azure AD 证书的身份验证，以便在用户登录时生成主刷新令牌（PRT），这有助于在会话中单点登录到 Azure AD 资源。否则，PRT 将不存在，并且 Azure AD 资源的 SSO 将不起作用。有关使用 Citrix 联合身份验证服务（FAS）实现对混合加入的 VDA 的 Azure AD 单点登录（SSO）的信息，请参阅混合加入的 VDA.
创建或更新计算机目录时，请勿跳过映像准备工作。如果要跳过映像准备，请确保主 VM 未加入 Azure AD 或混合 Azure AD。

注意事项

创建已加入混合 Azure Active Directory 的计算机需要 写入 userCertificate 权限。确保在目录创建期间输入具有该权限的管理员的凭据。
混合 Azure AD 加入过程由 Citrix 管理。您需要禁用 autoWorkplace加入 由主 VM 中的 Windows 控制，如下所示。手动禁用的任务 autoWorkplace加入 仅 VDA 版本 2212 或更早版本需要。
1. 跑 gpedit.msc.
2. 导航到 计算机配置 > 管理模板 > Windows 组件 > 设备注册.
3. 设置 将已加入域的计算机注册为设备 自禁用.
选择配置为在创建计算机身份时与 Azure AD 同步的组织单位（OU）。

对于基于 Windows 11 22H2 的主 VM，请在主 VM 中创建一个计划任务，该任务使用 SYSTEM 帐户在系统启动时执行以下命令。只有 VDA 版本 2212 或更早版本才需要执行在主 VM 中计划任务的任务。

   $VirtualDesktopKeyPath = 'HKLM:\Software\AzureAD\VirtualDesktop'
   $WorkplaceJoinKeyPath = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin'
   $MaxCount = 60

   for ($count = 1; $count -le $MaxCount; $count++)
   {
     if ((Test-Path -Path $VirtualDesktopKeyPath) -eq $true)
     {
       $provider = (Get-Item -Path $VirtualDesktopKeyPath).GetValue("Provider", $null)
       if ($provider -eq 'Citrix')
       {
           break;
       }

       if ($provider -eq 1)
       {
           Set-ItemProperty -Path $VirtualDesktopKeyPath -Name "Provider" -Value "Citrix" -Force
           Set-ItemProperty -Path $WorkplaceJoinKeyPath -Name "autoWorkplaceJoin" -Value 1 -Force
           Start-Sleep 5
           dsregcmd /join
           break
       }
     }

     Start-Sleep 1
   }
  

默认情况下，Azure AD Connect 每 30 分钟同步一次。在首次引导期间，预配的计算机最多可能需要 30 分钟才能加入混合 Azure AD。

下一步的去向

有关创建已加入混合 Azure Active Directory 的计算机身份的身份池的更多信息，请参阅已加入混合 Azure Active Directory 的计算机身份的身份池.

本内容的正式版本为英文版。部分 Cloud Software Group 文档内容采用了机器翻译，仅供您参考。Cloud Software Group 无法控制机器翻译的内容，这些内容可能包含错误、不准确或不合适的语言。对于从英文原文翻译成任何其他语言的内容的准确性、可靠性、适用性或正确性，或者您的 Cloud Software Group 产品或服务沿用了任何机器翻译的内容，我们均不作任何明示或暗示的保证，并且适用的最终用户许可协议或服务条款或者与 Cloud Software Group 签订的任何其他协议（产品或服务与已进行机器翻译的任何文档保持一致）下的任何保证均不适用。对于因使用机器翻译的内容而引起的任何损害或问题，Cloud Software Group 不承担任何责任。

这是否有帮助？

已加入混合 Azure Active Directory

January 28, 2025

投稿者:

在本文中

这是否有帮助？