使用证书认证的Azure用户执行Run as different user时报用户名或密码错误

针对仅Azure AD加入设备上，右键“Run as different user”使用证书认证Azure用户失败，但密码认证和系统登录正常的情况，需要检查以下几项配置：

• 确认Kerberos证书映射配置
  Azure AD的交互式证书登录与Run-as操作依赖的认证机制不同，Run-as需要Kerberos票据支持。需确保：证书的Subject Alternative Name (SAN)与用户UPN完全一致，且证书EKU扩展包含Kerberos Client Authentication。

• 本地组策略调整
  打开gpedit.msc，导航到对应路径修改或验证以下设置：

  1. 计算机配置>管理模板>系统>凭据分配：启用允许分配默认凭据给远程服务器，添加TERMSRV/localhost或TERMSRV/*条目——Run-as操作本质是本地模拟远程会话的凭据分配流程，此配置确保证书凭据可被正确传递。
  2. 计算机配置>Windows设置>安全设置>本地策略>安全选项：确认交互式登录: 智能卡移除时的行为设置为不采取任何操作，避免证书会话被意外终止。

• 验证用户权限与证书有效性
  虽然用户已加入本地管理员组，仍需确认：

  • 证书未过期、未被吊销，虚拟智能卡需确保设备能识别其存储容器。
  • 在Azure AD门户中检查用户的证书认证状态，确认该证书已成功注册到用户账户下。

• 命令行方式测试
  尝试用runas命令直接调用智能卡认证，排查是否为右键菜单流程问题：

  runas /user:<AzureAD用户UPN> /smartcard cmd.exe
  

  若命令行执行成功，说明右键菜单的“Run as different user”可能未正确触发智能卡认证流程，可尝试重置Explorer进程或更新系统补丁解决。

内容的提问来源于stack exchange，提问作者HNR