Unterstützung für Microsoft Entra (Azure Active Directory)

Bestimmte Umgebungen verwenden den hybriden Microsoft Entra-Beitritt, um SSO-Zugriff (Single Sign-On) auf lokale und in der Cloud gehostete Ressourcen bereitzustellen.

Hinweis: Microsoft Entra wird auch als Microsoft Azure Active Directory oder Azure AD bezeichnet. Auf dieser Dokumentationsseite wird der offizielle Name „Microsoft Entra“ verwendet, um auf die Identitätslösung zu verweisen, die früher als Microsoft Azure Active Directory oder Azure AD bezeichnet wurde.

Die lokalen Active Directory-Identitäten müssen in diesen hybriden Beitrittsumgebungen mit Microsoft Entra ID synchronisiert werden. Zum Implementieren dieser Synchronisierung können Sie Microsoft Entra in einem der folgenden Modi bereitstellen:

• Verbundidentitätsinfrastruktur
  Diese Umgebung stellt eine Konfiguration eines Verbundidentitätsanbieters (IdP) dar, in der Active Directory Federation Services (ADFS) als Identitätsanbieter fungiert.

• Verwaltete Identitätsinfrastruktur
  Diese Umgebung stellt eine Konfiguration dar, in der Microsoft Entra ID als Identitätsanbieter fungiert.

Unterstützte Microsoft Entra-Bereitstellungen

Omnissa Horizon 8 unterstützt hybride Microsoft Entra-Bereitstellungen im Verbund- und verwalteten Modus, wobei Desktop-Maschinen in die lokale Active Directory-Domäne eingebunden und bei Microsoft Entra ID registriert werden. Informationen zum Einrichten einer hybriden Microsoft Entra-Bereitstellung finden Sie in der Microsoft Entra-Dokumentation.

Unterstützte Horizon-Pools

Microsoft Entra-Bereitstellungen im Verbund- und verwalteten Modus werden für alle Pooltypen, einschließlich Full Clone, Instant Clone, manuell und RDSH, sowohl im dedizierten (persistenten) als auch im dynamischen (nicht persistenten) Modus unterstützt.

True SSO-Unterstützung

Zum Implementieren von True SSO für eine hybride Microsoft Entra-Bereitstellung zu implementieren, müssen Sie die zertifikatbasierte Authentifizierung für Microsoft Entra konfigurieren. Mit der True SSO-Funktion können Benutzer auf einen virtuellen oder veröffentlichten Desktop oder eine veröffentlichte Anwendung zugreifen, ohne ihre Active Directory-Anmeldedaten eingeben zu müssen.

Hybride Microsoft Entra-Bereitstellung im Verbundmodus

Alle unterstützten Versionen von Horizon 7 und Horizon 8 unterstützen hybride Microsoft Entra-Bereitstellungen im Verbundmodus. ADFS wird im Verbundmodus als Identitätsanbieter unterstützt.

SSO-Zugriff auf Microsoft Entra zugewiesenen Ressourcen funktioniert erst, wenn sich der Desktop-Computer in einem Zustand befindet, in dem er bei der Anmeldung des Endbenutzers ein primäres Microsoft Entra-Aktualisierungstoken (Primary Refresh Token, PRT) ausgeben kann. Weitere Informationen zu PRTs finden Sie in der Microsoft Entra-Dokumentation.

Weitere Informationen und Einschränkungen finden Sie im Omnissa-Knowledgebase-Artikel 89127.

Hybride Microsoft Entra-Bereitstellung im verwalteten Modus

Beim hybriden Beitritt von Microsoft Entra im verwalteten Modus, in dem Microsoft Entra ID als Identitätsanbieter dient, wird Microsoft Entra Connect-Software verwendet, die auf dem lokalen Domänencontroller installiert ist. Microsoft Entra Connect ist für die Synchronisierung lokaler Benutzer- und Geräteidentitäten mit Microsoft Entra ID verantwortlich.

Da Microsoft Entra Connect diese Identitäten in vordefinierten Standardintervallen synchronisiert, kann es bis zur Synchronisierung der Identitäten und deren vollständiger Integration in Microsoft Entra ID zu Verzögerungen kommen.

Um diese Verzögerung zu berücksichtigen, können Sie einen Desktop so konfigurieren, dass er auf den Abschluss des hybriden Beitritts wartet, um sicherzustellen, dass die Desktop-Identität in Microsoft Entra ID vor dem Zulassen von Benutzerverbindungen voll funktionsfähig ist. Diese Konfiguration garantiert eine nahtlose Integration mit Microsoft Entra ID und ein verbessertes Erlebnis für Endbenutzer, die eine Verbindung zum Desktop herstellen.

Hinweis: Die Aktivierung der Funktion Warten auf hybriden Beitritt konfigurieren kann zu einer spürbaren Verzögerung bei der Maschinenverfügbarkeit führen, da Horizon Agent auf den Abschluss des hybriden Beitritts von Microsoft Entra wartet. Wenden Sie sich an den Microsoft-Support, wenn bei der Registrierung eine Maschine mit Microsoft Entra ID Probleme oder Verzögerungen von mehr als 120 Minuten auftreten.

Voraussetzungen

Stellen Sie vor dem Aktivieren der Funktion Warten auf hybriden Beitritt konfigurieren sicher, dass Ihre Bereitstellung die folgenden Systemanforderungen erfüllt.

• Omnissa Horizon Connection Server 2406 oder höher

  Hinweis: Alternativ können Sie die Funktion in Horizon Connection Server 2312 oder früher verwenden, wobei die Anzeigebeschränkung weiter unten auf dieser Seite beschrieben wird.

• Installation von Horizon Agent 2406 oder höher auf den Desktop-Maschinen

• Microsoft Entra Connect ist auf dem Domänencontroller installiert, der für den hybriden Beitritt mit verwalteten Domänen konfiguriert ist. Weitere Informationen finden Sie auf den folgenden Seiten der Microsoft-Dokumentation:

  • Geräteidentität und Desktopvirtualisierung
  • Konfigurieren des hybriden Microsoft Entra-Beitritts
  • Microsoft Entra Connect-Synchronisierung: Planer

Nachdem Sie diese Voraussetzungen erfüllt haben, fahren Sie mit dem nächsten Abschnitt fort, um die Funktion Warten auf hybriden Beitritt konfigurieren für alle Desktop-Maschinen zu aktivieren, die für den hybriden Beitritt mit Microsoft Entra Connect konfiguriert sind.

Aktivieren der Funktion zum Warten auf den hybriden Beitritt

Zum Aktivieren der Funktion zum Warten auf den hybriden Beitritt aktivieren Sie die GPO-Einstellung (Group Policy Object, Gruppenrichtlinienobjekt) Warten auf hybriden Beitritt konfigurieren für jeden Desktop-Computer, der für den hybriden Beitritt mit Microsoft Entra Connect konfiguriert ist.

Weitere Informationen finden Sie unter ADMX-Vorlageneinstellungen für die Agent-Konfiguration.

Überwachen des Maschinenstatus während des hybriden Beitritts

Zum Überwachen der Verfügbarkeit von Desktop-Maschinen navigieren Sie zur Seite „Maschinenstatus“ in Omnissa Horizon Console.

In der folgenden Übersicht werden der hybride Beitritt von Microsoft Entra und die typischen Wartezeiten beschrieben, die bis zur vollständigen Verfügbarkeit der Maschinen zu erwarten sind.

1. Beim Start des hybriden Beitrittsprozesses für eine neue Maschine wird ein Computerobjekt in Active Directory erstellt. Das Objekt wechselt in den Status „Ausstehend“ und wartet darauf, dass es von Microsoft Entra Connect bei der nächsten geplanten Synchronisierung mit Microsoft Entra ID synchronisiert wird.

   Während sich das Objekt im Status „Ausstehend“ befindet, wird der Maschinenstatus in Horizon Console als Hybrider Domänenbeitritt wird durchgeführt angezeigt.

   

   Hinweis: Für Horizon Connection Server 2312 oder früher zeigt Horizon Console den Maschinenstatus als Konfigurationsfehler während des Status „Ausstehend“ an. Die Fehleranzeige ist nur temporär. Der Status ändert sich in Verfügbar, sobald der hybride Beitritt abgeschlossen ist.

2. Microsoft Entra Connect ist so geplant, dass Synchronisierungsaufgaben stündlich durchgeführt werden. Daher können Sie in der Regel davon ausgehen, dass die Maschine bis zu 60 Minuten im Status „Ausstehend“ verbleibt und nicht verfügbar ist.

   Hinweis: Maschinen können in weniger als 60 Minuten verfügbar sein. Sie können aber auch länger im Status „Ausstehend“ verbleiben, was auf Faktoren wie Umgebungsbedingungen und den Microsoft Entra Connect-Synchronisierungszeitplan zurückzuführen ist.

3. Bei der nächsten geplanten Synchronisierung registriert Microsoft Entra Connect das Computerobjekt bei Microsoft Entra ID. Sobald Microsoft Entra Connect die Synchronisierung abgeschlossen hat und das Computerobjekt vollständig in Microsoft Entra ID integriert ist, ist der hybride Beitritt abgeschlossen und der Maschinenstatus ändert sich in Verfügbar.

Fehlerbehebung

Führen Sie die vorgeschlagenen Schritte zur Fehlerbehebung aus, wenn ein Problem auftritt.

Die Funktion für den hybriden Beitritt wurde aktiviert, wird aber nicht wirksam.

1. Stellen Sie auf der Maschine sicher, dass der Registrierungsschlüssel HKLM\Software\Policies\Omnissa\Horizon\Agent\Configuration\WaitForHybridJoin auf 1 festgelegt ist.

   Bei Fehlen dieses Schlüssels ist die GPO-Einstellung Warten auf hybriden Beitritt konfigurieren unter Umständen nicht ordnungsgemäß konfiguriert, oder bei der Weitergabe des GPO an die Maschine ist ein Fehler aufgetreten.

2. Stellen Sie sicher, dass das GPO der richtigen Organisationseinheit oder Domäne zugeordnet ist.

3. Stellen Sie im Microsoft Azure-Portal sicher, dass die Maschine der Domäne erfolgreich beigetreten ist.

4. Führen Sie den Befehl gpupdate /force auf der Maschine aus, um eine Aktualisierung der Gruppenrichtlinie zu erzwingen.

Die Maschine hat den Status Verfügbar nach 90 bis 120 Minuten immer noch nicht erreicht.

Führen Sie das dsregtool Microsoft PowerShell-Skript aus, um mögliche Konfigurationsprobleme zu ermitteln.

Wenden Sie sich an den Microsoft-Support, wenn die Probleme weiterhin bestehen und Microsoft Entra Connect die Maschine nicht bei Microsoft Entra ID registrieren kann.