Manuel Winkel, Autor bei Deyda.net

Warum sollte ein Windows Server 2019 VDI Hybrid Azure AD joined sein

Was ist Hybrid Azure AD Join ?

Beginnen wir einfach mit der offiziellen Definition aus der Microsoft Dokumentation:

Hybrid Azure AD Join: Joined to on-premises AD and Azure AD requiring an organizational account to sign in to the device.

Dies bedeutet, dass sich das Gerät, nachdem es Hybrid Azure AD Joined wurde, genauso verhält wie jeder andere Computer, der mit Active Directory verbunden ist.

Man muss sich mit einem Active Directory-Konto anmelden.
Die Benutzeranmeldeinformationen werden mit einem Active Directory-Domänencontroller abgeglichen.
Gruppenrichtlinienobjekte für Benutzer & Computer, die vom Domänencontroller gelesen werden) werden automatisch angewendet.

Nachdem der Active Directory Verbindungsprozess abgeschlossen ist, werden zusätzliche Schritte im Hintergrund asynchron durchgeführt, um das Gerät auch in Azure AD zu registrieren.

Installation von Workspace Environment Management Version 2012

Workspace Environment Management optimiert die Citrix Worker für die bestmögliche Leistung (Benutzerdichte, Anmeldezeit und Anwendungsreaktionszeit).

WEM unterliegt dem Current Release Lifecycle (Additional Component) und daher gibt es von WEM keine LTSR Version.

Um WEM nutzen zu können muss eine aktive Customer Success Services (CSS) für eine der folgenden Lizenzen vorliegen:

Citrix Virtual Apps Advanced
Citrix Virtual Apps Premium
Citrix Virtual Apps and Desktops Advanced
Citrix Virtual Apps and Desktops Premium
Citrix Workspace Premium
Citrix Workspace Premium Plus

Technische Übersicht

Workspace Environment Management (WEM) beruht auf der folgenden Architektur:

MSIX App Attach mit Windows 10 Version 2004 in einer Citrix Umgebung

Mit der neusten Version von Windows 10 (Version 2004) ist es nun endlich möglich auch ohne spezielle Anpassung MSIX App Attach in Citrix zu nutzen.

MSIX App Attach erlaubt es, Anwendungen für virtuelle Umgebungen außerhalb einer virtuellen Maschine in einer VHD/X Datei zu speichern. Eine solche Anwendung kann somit bei Bedarf in die Benutzersitzung eingebunden werden.

Was ist MSIX App Attach ?

MSIX App Attach basiert auf dem Konzept, bei dem die Anwendung im MSIX-Format an einem zentralen Ort gespeichert und in das Betriebssystem eingebunden wird. Nach dem Einbinden sehen Anwendungen sowohl für den Benutzer als auch für das Betriebssystem wie lokal installiert aus. Beim Kombinieren von FSLogix Profil Containern und MSIX App Attach bleibt das Betriebssystem des Golden Master Image vollständig sauber und Daten, Profile und Anwendungen sind vollständig getrennt.

FSLogix App Masking in Citrix Umgebungen

Was ist App Masking und wofür benötigen wir dies ?

App Masking minimiert die benötigte Anzahl der Golden Images, indem damit in einem einzigen Golden Image, alle Anwendungen installiert werden können. Die Zuordnung und Abgrenzung der Anwendungen (sowie der Drucker, Schriften, Office Add-ins, Internet Explorer plug-ins usw.), erfolgt ohne Paketierung, Sequenzierung, Backend-Infrastruktur oder Virtualisierung.

Dies geschieht durch eine granulare Zugriffssteuerung der installierten Anwendungen durch App Masking Rules. Über diese Rules kann, eine Anwendung, in der Benutzer Laufzeit vollständig versteckt werden, sodass diese nicht mehr im File System, Registry oder unter Programme und Features erscheint.

Da bei der Verwendung der Rules keine Rechenleistung vom System benötigt wird, laufen Anwendungen unter ihrer nativen Geschwindigkeit.

SAML Authentifizierung zwischen Citrix & Microsoft mit Azure MFA

Als Folge der zunehmenden Projekte gibt es hier ein kleines How To mit den folgenden Punkten:

Azure AD Seamless Single Sign-On (PTA / PHS)
SAML Authentifizierung (Azure AD als IdP & Citrix Gateway als SP)
Citrix Federated Authentication Service (FAS)
Microsoft Azure Multi-Factor-Authentication mit Conditional Access

Voraussetzungen

Voll funktionsfähige Citrix Virtual Apps and Desktop Umgebung (StoreFront & DDC Version 7.9 mindestens)
Citrix ADC mit funktionsfähiger Basiskonfiguration & aktivierter Enterprise oder Platinum Lizenz (Minimum Version 12.1 Build 50+ für native Workspace App & für Browser Zugriff Minimum Version 11.1)
Konfigurierter Unified Gateway vServer
Interne und externe DNS Einträge für Unified Gateway vServer (z.B. citrix.deyda.net)
Zertifikate für DNS Einträge (am einfachsten sind Wildcard-Zertifikate)
Bestehender Azure Tenant mit Azure-AD Basiskonfiguration (Domain, AAD Sync) & aktivierter Azure AD Premium-Lizenz
Installierte & Konfigurierte AD Connect Version (Minimum Version 1.1.644.0)
Firewall Freigabe für *.msappproxy.net auf Port 443
Domänen Administrator Zugangsdaten für die Domänen, die sich über Azure Connect mit Azure AD verbinden
Installierte Authenticator App auf dem Test User Mobilgerät