如何使用Azure AD用户登录Azure Windows虚拟机？

你当前完成的启用Azure AD登录、为用户组分配Virtual machine user login角色是核心基础操作，但还需要以下关键步骤才能实现Azure AD账号登录：

1. 确认虚拟机的Azure AD登录扩展状态 #

虽然创建VM时启用了Azure AD登录选项，但仍需验证扩展是否正常部署：

• 登录Azure门户，找到目标VM，在左侧菜单的扩展 + 应用中查看是否存在AADLoginForWindows扩展
• 若未找到，手动添加该扩展，它会自动配置VM本地的Azure AD登录依赖组件

2. 在VM内部配置本地安全策略（用现有管理员账号登录后操作） #

• 运行gpedit.msc打开本地组策略编辑器
• 导航至计算机配置 > 管理模板 > 系统 > 凭据分配
• 启用允许分配保存的凭据用于仅NTLM服务器身份验证，并将TERMSRV/*添加到允许的服务器列表
• 启用允许分配保存的凭据，同样添加TERMSRV/*
• 重启VM使策略生效

3. 解决Windows 10 Home版本的限制 #

Win10 Home原生不支持Azure AD集成的RDP登录，需做以下调整：

• 从微软应用商店安装Remote Desktop客户端预览版（普通版RDP客户端不支持Azure AD认证）
• 在预览版客户端中添加VM连接时，选择使用Azure AD账户登录选项，输入Azure AD用户的UPN格式用户名（如user@yourdomain.onmicrosoft.com）

4. 验证Azure AD用户的权限继承 #

• 确认你的Azure AD用户已加入之前创建的、分配了Virtual machine user login角色的组
• 在Azure门户中检查该用户的分配的角色，确保其通过组继承获得了目标VM的登录权限

5. RDP连接的细节注意 #

• 登录时必须使用Azure AD用户的UPN格式用户名，不能用本地账号格式
• 若仍遇权限问题，可在VM本地将Azure AD组添加到远程桌面用户本地组：
  1. 用管理员账号登录VM，打开计算机管理
  2. 进入本地用户和组 > 组，找到远程桌面用户
  3. 添加AzureAD\你的用户组名称到该组内

完成上述步骤后，即可尝试用Azure AD账号通过RDP登录虚拟机。

内容的提问来源于stack exchange，提问作者Tamaran