使用PowerShell通过Get-Credential连接AzureAD时遇未知用户类型错误

问题现象 #

• 执行Connect-AzureAD -Confirm可正常连接AzureAD并完成AD查询操作
• 但通过Get-Credential将凭证存储为变量后，执行Connect-AzureAD -Credential $Credential时触发认证错误，具体报错如下：

> $Credential = Get-Credential

cmdlet Get-Credential at command pipeline position 1
Supply values for the following parameters:
Credential
> Connect-AzureAD -Credential $Credential
WARNING: Install the latest PowerShell module, the Microsoft Graph PowerShell SDK, for new features and improvements!
https://aka.ms/graphPSmigration
Connect-AzureAD : One or more errors occurred.
At line:1 char:1
+ Connect-AzureAD -Credential $Credential
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : AuthenticationError: (:) [Connect-AzureAD], AggregateException
    + FullyQualifiedErrorId : Connect-AzureAD,Microsoft.Open.Azure.AD.CommonLibrary.ConnectAzureAD

Connect-AzureAD : Unsupported User Type 'Unknown'. Please see https://aka.ms/msal-net-up.
At line:1 char:1
+ Connect-AzureAD -Credential $Credential
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : AuthenticationError: (:) [Connect-AzureAD], MsalClientException
    + FullyQualifiedErrorId : Connect-AzureAD,Microsoft.Open.Azure.AD.CommonLibrary.ConnectAzureAD

Connect-AzureAD : One or more errors occurred.
At line:1 char:1
+ Connect-AzureAD -Credential $Credential
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : NotSpecified: (:) [Connect-AzureAD], AggregateException
    + FullyQualifiedErrorId : System.AggregateException,Microsoft.Open.Azure.AD.CommonLibrary.ConnectAzureAD

解决方法 #

• 确保用户名使用UPN格式
  输入Get-Credential时，用户名必须填写完整的用户主体名称（UPN），例如user@yourtenant.com，不能使用DOMAIN\username这种本地域格式，否则AzureAD无法识别用户类型。

• 更新AzureAD模块
  旧版模块可能存在认证逻辑缺陷，执行以下命令更新到最新版本：

  Update-Module AzureAD
  

• 强制指定租户信息
  在连接命令中明确指定租户ID或域名，帮助模块定位用户所属租户：

  # 使用租户ID
  Connect-AzureAD -Credential $Credential -TenantId "xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
  # 或使用租户域名
  Connect-AzureAD -Credential $Credential -TenantDomain "yourtenant.com"
  

• 确认账号类型合规
  确保使用的账号是AzureAD中的工作/学校账号，个人微软账号需先被添加到AzureAD租户中才能通过该方式认证，否则会触发用户类型识别错误。

内容的提问来源于stack exchange，提问作者BLang