RoamIdentity bei FSLogix in VDI GoldenImage Citrix Umgebung - Anmeldeloops

Markus 20 Zuverlässigkeitspunkte
2026-04-28T13:07:05.51+00:00

Hallo Community,

wir haben eine Citrix-Umgebung im Einsatz auf welcher folgende MS Produkte zum Einsatz kommen:

  • Office
  • Teams
  • OneDrive
  • Edge

Ich habe einen Citrix Master auf dem FSLogix läuft und die Profile komplett auslagert inkl. RoamIdentity=1 für die Token.

Beim ersten Anmelden an einem Client funktioniert alles wunderbar, ab dem zweiten Anmelden gehen Office und OneDrive in einen Anmelde-Loop.

Teams und Edge funktionieren immer.

Ich bekomme es nicht mehr hin das die MS Token sauber mit geroamt werden.

Das Problem dabei ist, ich habe es vor zwei Jahren schonmal gebaut mit den gleichen Problemen und da war das aktivieren des Features RoamIdentity=1 in FSLogix die Lösung. Diese Umgebung rennt seitdem einwandfrei.

Ich habe auch schon versucht alles wie damals mit den gleichen Versionen etc. nachzubauen, ich bekomm es nicht mehr hin das er mir die Token roamt.

Ich hatte auch ein Ticket im M365 Branch eröffnet und hier wurde mir gesagt ich soll mal im Azure Portal ein Ticket öffnen.

Hier das Ergebnis:

in Ihrer VDI-Umgebung wird ein Golden Image in Kombination mit FSLogix Profile Containern eingesetzt, wobei derzeit RoamIdentity = 1 aktiviert ist. Ab der zweiten Anmeldung treten jedoch Anmeldeprobleme bei Microsoft Office und OneDrive auf, die sich in einem wiederkehrenden Anmelde Loop äußern.

Ursache

Dieses Verhalten ist ein bekanntes und von Microsoft dokumentiertes Szenario in nicht persistenten VDI-Umgebungen.

Die mit RoamIdentity gespeicherten Azure AD bzw. WAM Authentifizierungstoken sind gerätegebunden. Da bei jeder neuen Sitzung ein neu erstelltes VDI-System verwendet wird, können diese Token vom System nicht mehr entschlüsselt werden. Das führt dazu, dass die Anmeldung fehlschlägt und sich ein Endlosschleifen Szenario ergibt.

Dieses Verhalten ist technisch by design und stellt keinen Fehler in Office, OneDrive oder FSLogix dar.

Ich stelle mir aber immer wieder die Frage, wieso hab ich es geschafft eine Lösung zu bauen wo dies nicht passiert?

Das macht mich wirklich kirre :-/

Lösung wäre ohne RoamIdentity, aber dann müssen sich die User jeden Tag neu anmelden an einer MS App.

Hat jemand ähnliche Erfahungen?

lg,

Markus

Windows für Unternehmen | Windows 365 Enterprise
0 Kommentare
Antwort, die vom Frageautor angenommen wurde
Harry Phan 34,045 Zuverlässigkeitspunkte Unabhängiger Berater
2026-04-28T13:40:24.0266667+00:00

Hallo Markus,

Markus, das Verhalten, das du beschreibst, ist tatsächlich konsistent mit der aktuellen Microsoft-Dokumentation: die mit FSLogix RoamIdentity gespeicherten WAM/AzureAD Tokens sind maschinengebunden und können in nicht-persistenten VDI-Umgebungen nicht wiederverwendet werden. Dass es bei dir vor zwei Jahren funktioniert hat, lag sehr wahrscheinlich daran, dass die damalige Kombination aus FSLogix-Version, Office-Build und AAD/WAM-Implementierung die Token nicht strikt an die Gerätebindung gekoppelt hat. Microsoft hat dieses Verhalten inzwischen angepasst, sodass die Tokenverschlüsselung zwingend an die lokale Geräte-ID gebunden ist.

Das bedeutet: ein Golden Image mit RoamIdentity=1 funktioniert heute nicht mehr wie damals, weil die Tokens beim zweiten Login nicht mehr entschlüsselt werden können. Teams und Edge nutzen ein anderes Authentifizierungsmodell (teilweise mit WebView2 und eigenen Caches), weshalb sie nicht betroffen sind. Die einzige saubere Lösung ist aktuell, RoamIdentity zu deaktivieren und die Benutzer bei jedem Login neu authentifizieren zu lassen, oder auf eine persistente VDI-Variante umzusteigen, bei der die Gerätebindung erhalten bleibt.

Wenn du eine Umgebung haben willst, die wie damals funktioniert, wirst du das nicht mehr reproduzieren können, da es kein Bug, sondern ein bewusst eingeführtes Sicherheitsdesign ist. Mein Rat: entweder den Login-Prozess für die User vereinfachen (SSO via ADFS/Seamless SSO, Conditional Access optimieren), oder die Architektur auf persistent VDI/Hybrid Azure AD Join ausrichten. Ein Workaround wie früher existiert nicht mehr, und Microsoft wird hier auch keinen Fix liefern, da es by design ist.

Wenn die obige Antwort Ihnen bei der Klärung Ihrer Frage geholfen hat, klicken Sie bitte auf „Antwort akzeptieren“, damit andere Mitglieder der Community mit ähnlichen Problemen die Lösung leichter finden können. Ihr Beitrag wird sehr geschätzt.

Harry.

War diese Antwort hilfreich?

0 zusätzliche Antworten

Sortieren nach: Am hilfreichsten
Am hilfreichsten Neueste Älteste

Ihre Antwort

Antworten können von Fragestellenden als „Angenommen“ und von Moderierenden als „Empfohlen“ gekennzeichnet werden, wodurch Benutzende wissen, dass diese Antwort das Problem des Fragestellenden gelöst hat.