Compatibilidad con Microsoft Entra (Azure Active Directory)

Algunos entornos utilizan la unión híbrida de Microsoft Entra para proporcionar acceso de inicio de sesión único (SSO) a recursos tanto locales como alojados en la nube.

Nota: Microsoft Entra también se conoce como Microsoft Azure Active Directory o Azure AD. En esta documentación se utiliza el nombre oficial, "Microsoft Entra", para hacer referencia a la solución de administración de identidades anteriormente denominada Microsoft Azure Active Directory o Azure AD.

Las identidades de Active Directory locales deben sincronizarse con Microsoft Entra ID en estos entornos de unión híbrida. Para implementar esta sincronización, puede implementar Microsoft Entra de una de las siguientes formas:

• Infraestructura de identidad federada
  Este entorno representa una configuración de proveedor de identidades federado (IdP) en la que los Servicios de federación de Active Directory (ADFS) actúan como proveedor de identidad.

• Infraestructura de identidad administrada
  Este entorno representa una configuración en la que Microsoft Entra ID actúa como proveedor de identidades.

Implementaciones de Microsoft Entra admitidas

Omnissa Horizon 8 admite implementaciones híbridas de Microsoft Entra en los modos federado y administrado, donde las máquinas de escritorio están unidas al dominio de Active Directory local y registradas en Microsoft Entra ID. Para configurar una implementación híbrida de Microsoft Entra, consulte la documentación de Microsoft Entra.

Grupos de Horizon admitidos

Las implementaciones de Microsoft Entra en los modos federado y administrado son compatibles con todos los tipos de grupos, incluidos los de clon completo, clon instantáneo, manual y RDSH, tanto en modo dedicado (persistente) como flotante (no persistente).

Compatibilidad con True SSO

Para implementar True SSO en una implementación híbrida de Microsoft Entra, debe configurar la autenticación basada en certificados de Microsoft Entra. La función True SSO permite a los usuarios acceder a un escritorio virtual o a una aplicación o escritorio publicados sin tener que introducir sus credenciales de Active Directory.

Microsoft Entra híbrido en modo federado

Todas las versiones compatibles de Horizon 7 y Horizon 8 admiten Microsoft Entra híbrido en modo federado. ADFS es el proveedor de identidades admitido en modo federado.

El acceso SSO a los recursos asignados por Microsoft Entra no funcionará hasta que la máquina de escritorio esté en un estado en el que pueda emitir un token de actualización principal (PRT) de Microsoft Entra tras el inicio de sesión del usuario final. Para obtener más información sobre los PRT, consulte la documentación de Microsoft Entra.

Para conocer los detalles y las limitaciones, consulte el artículo 89127 de la base de conocimientos de Omnissa.

Microsoft Entra híbrido en modo administrado

La unión híbrida de Microsoft Entra en modo administrado, donde Microsoft Entra ID actúa como proveedor de identidades, utiliza el software Microsoft Entra Connect, que está instalado en el controlador de dominio local. Microsoft Entra Connect es responsable de sincronizar las identidades de usuarios y dispositivos locales con Microsoft Entra ID.

Como Microsoft Entra Connect sincroniza estas identidades a intervalos prestablecidos, es posible que experimente un retraso antes de que las identidades se sincronicen y se integren completamente en Microsoft Entra ID.

Para tener en cuenta este retraso, puede configurar un escritorio para que espere a que se complete el proceso de unión híbrida, asegurándose de que la identidad del escritorio en Microsoft Entra ID esté completamente operativa antes de permitir conexiones de usuario. Esta configuración garantiza una integración perfecta con Microsoft Entra ID y una mejor experiencia para los usuarios finales que se conecten al escritorio.

Nota: La función Configurar la espera de unión híbrida puede provocar un retraso notable en la disponibilidad de la máquina, ya que Horizon Agent esperará a que finalice el proceso de unión híbrida de Microsoft Entra. Póngase en contacto con el servicio de soporte técnico de Microsoft si tiene problemas o experimenta retrasos de más de 120 minutos al intentar registrar una máquina con Microsoft Entra ID.

Requisitos

Antes de habilitar la función Configurar la espera de unión híbrida, compruebe que la implementación cumpla los siguientes requisitos.

• Omnissa Horizon Connection Server 2406 o una versión posterior

  Nota: Como alternativa, puede usar la función en Horizon Connection Server 2312 o versiones anteriores, con la limitación de visualización que se describe más adelante en esta página.

• Horizon Agent 2406 o una versión posterior instalado en las máquinas de escritorio

• Microsoft Entra Connect instalado en el controlador de dominio, configurado para la unión híbrida con dominios administrados. Consulte estas páginas de la documentación de Microsoft:

  • Identidad del dispositivo y virtualización del escritorio
  • Configurar la unión híbrida de Microsoft Entra
  • Sincronización de Microsoft Entra Connect: Programador

Una vez que cumpla estos requisitos, vaya a la siguiente sección para habilitar la función Configurar la espera de unión híbrida en todas las máquinas de escritorio configuradas para la unión híbrida con Microsoft Entra Connect.

Función Habilitar la espera de unión híbrida

Para habilitar la espera de la unión híbrida, active el objeto de directiva de grupo (GPO) Configurar la espera de unión híbrida en cada máquina de escritorio que esté configurada para la unión híbrida con Microsoft Entra Connect.

Para obtener más información, consulte Ajustes de la plantilla ADMX de configuración del agente.

Supervisar el estado de la máquina durante la unión híbrida

Para supervisar la disponibilidad de una máquina de escritorio, acceda a la página de estado de la máquina en Omnissa Horizon Console.

El siguiente esquema describe el proceso de unión híbrida de Microsoft Entra y los tiempos de espera típicos para que una máquina esté totalmente disponible.

1. Cuando una nueva máquina inicia el proceso de unión híbrida, se crea un objeto de equipo en Active Directory. El objeto entra en estado pendiente mientras espera a que Microsoft Entra Connect lo sincronice con Microsoft Entra ID en el siguiente evento de sincronización programado.

   Durante este estado pendiente, Horizon Console muestra el estado de la máquina como Unión de dominio híbrida en curso.

   

   Nota: Para Horizon Connection Server 2312 o versiones anteriores, Horizon Console muestra el estado de la máquina como Error de configuración durante el estado pendiente. El error solo es temporal y el estado cambiará a Disponible cuando se complete la unión híbrida.

2. Microsoft Entra Connect está programado para realizar sus tareas de sincronización cada hora. Por tanto, lo normal es esperar que la máquina permanezca en estado pendiente y no disponible durante un máximo de 60 minutos.

   Nota: Las máquinas pueden estar disponibles antes de 60 minutos, pero también pueden permanecer pendientes durante más tiempo en función de factores como las condiciones del entorno y la programación de sincronización de Microsoft Entra Connect.

3. En el siguiente evento de sincronización programado, Microsoft Entra Connect registra el objeto de equipo con Microsoft Entra ID. Una vez que Microsoft Entra Connect completa la sincronización y el objeto de equipo está completamente integrado en Microsoft Entra ID, la unión híbrida se completará y el estado de la máquina cambiará a Disponible.

Solución de problemas

Si encuentra algún problema, siga los pasos de solución de problemas sugeridos.

La función de unión híbrida está habilitada, pero no se aplica.

1. En la máquina, compruebe que la clave de registro HKLM\Software\Policies\Omnissa\Horizon\Agent\Configuration\WaitForHybridJoin está establecida en 1.

   Si esta clave no está presente, es posible que el GPO Configurar la espera de unión híbrida no esté configurada correctamente o se haya producido un problema al insertar el GPO en la máquina.

2. Compruebe que el GPO esté asociado a la unidad organizativa o al dominio correctos.

3. En el portal de Microsoft Azure, compruebe que la máquina se haya unido correctamente al dominio.

4. Ejecute el comando gpupdate /force en la máquina para forzar una actualización de la configuración de la directiva de grupo.

La máquina no entra en modo Disponible pasados 90-120 minutos.

Ejecute el script de Microsoft PowerShell dsregtool para detectar posibles problemas de configuración.

Póngase en contacto con el servicio de soporte técnico de Microsoft si los problemas persisten y Microsoft Entra Connect no puede registrar la máquina con Microsoft Entra ID.