Azure P2S VPN按设备名限制访问配置问题求助

一、初始策略（Pol1+Pol2）失效原因 #

1. 策略优先级冲突
   条件访问策略按优先级从高到低执行，一旦匹配到某条策略就会终止后续评估。如果Pol1（阻止所有用户）的优先级高于Pol2，所有请求都会先触发Pol1的阻止规则，Pol2根本不会被评估。
2. 设备筛选条件不匹配
   • Pol2中设备筛选设置为**“displayName包含MyComputerName”和“deviceID等于MyDeviceID”的逻辑与**，设备必须同时满足两个条件才会匹配。若设备名称不包含指定字符串，或deviceID输入错误（比如大小写、字符缺失），都会导致Pol2无法触发。
   • 需确认dsregcmd /status获取的DeviceId与Azure AD设备列表中该设备的ID完全一致，避免复制错误。

二、替换后策略失效原因 #

你设置的“要求加入域的设备”条件，指的是本地Active Directory域加入的设备，而非Azure AD加入的设备。你的设备是Azure AD加入，自然不满足该条件，导致策略判定未达标。

三、解决步骤 #

1. 调整策略优先级
   将Pol2的优先级设置为高于Pol1，确保符合条件的设备先匹配Pol2的授予规则，绕过Pol1的阻止。
2. 修正设备筛选逻辑
   • 核对Azure AD设备列表中的deviceID，确保与dsregcmd /status输出的内容完全一致。
   • 若需求是“设备名匹配或设备ID匹配”，将筛选条件的逻辑改为**“任一条件满足”**，而非默认的“所有条件满足”。
3. 修正策略条件
   将“要求加入域的设备”替换为**“要求Azure AD加入的设备”**（若设备为纯Azure AD加入），或“要求混合Azure AD加入的设备”（若为本地AD同步到Azure AD的设备）。
4. 验证MFA与客户端兼容性
   • 确认用户账号已启用MFA，且Azure AD MFA会话设置符合策略要求（如需每次登录验证）。
   • 使用最新版本的Azure VPN客户端，旧版本可能不支持条件访问的MFA流程。
5. 查看登录日志详情
   在Azure AD登录日志中找到对应VPN登录记录，查看“条件访问”标签下的评估详情，明确哪些条件未满足（比如设备是否被识别为Azure AD加入、MFA是否被跳过等）。

内容的提问来源于stack exchange，提问作者Arkady Karasin