启用AADLoginForWindows扩展后Azure VM仍未加入Azure AD的问题排查

一、所需权限 #

1. 虚拟机部署权限 #

• 部署虚拟机和扩展的账户/服务主体需要Virtual Machine Contributor角色权限，确保能在VM上安装和配置扩展。

2. Azure AD设备加入权限 #

• 执行设备加入操作的账户需要Cloud Device Administrator或Device Administrator角色（针对用户账户）。
• 如果使用服务主体自动化部署，服务主体需要配置Directory.ReadWrite.All或Device.ReadWrite.All的应用权限（注意：委派权限不生效，必须是应用权限），并授予管理员同意。

二、遗漏的配置步骤 #

1. 启用VM托管身份 #

AADLoginForWindows扩展依赖VM的托管身份来完成身份验证，你当前的Terraform配置中未启用托管身份，需在azurerm_windows_virtual_machine资源中添加identity块：

resource "azurerm_windows_virtual_machine" "virtual_machine_hub" {
  # 已有的配置...
  identity {
    type = "SystemAssigned"
  }
  # 已有的配置...
}

2. 确保网络连通性 #

VM必须能访问以下Azure AD相关端点，需检查NSG、防火墙或代理是否放行：

• login.microsoftonline.com
• enterpriseregistration.windows.net
• autologon.microsoftazuread-sso.com

同时，VM的DNS服务器需能解析上述域名，建议配置Azure DNS（168.63.129.16）或公共DNS服务器。

3. 明确：AADLoginForWindows扩展不自动完成Azure AD Join #

该扩展仅用于启用VM的AAD登录能力，不会自动将VM加入Azure AD。要完成Azure AD Join，需额外执行以下操作之一：

• 在VM部署完成后，通过自定义脚本扩展执行命令：

  resource "azurerm_virtual_machine_extension" "aad_join_script" {
    name                 = "AADJoinScript"
    virtual_machine_id   = azurerm_windows_virtual_machine.virtual_machine_hub.id
    type                 = "CustomScriptExtension"
    publisher            = "Microsoft.Compute"
    type_handler_version = "1.10"
    settings = jsonencode({
      commandToExecute = "dsregcmd /join"
    })
    depends_on = [
      azurerm_virtual_machine_extension.virtual_machine_hub_ext
    ]
  }
  

  注意：执行此脚本的托管身份或本地管理员账户需具备AAD设备加入权限。
• 手动登录VM后，使用具备权限的AAD账户执行dsregcmd /join，并根据提示完成验证。

4. 系统版本与更新要求 #

你使用的Windows 10 21H1 Pro需安装最新的累积更新，旧版本可能存在AAD Join的兼容性问题，建议先将系统更新至最新状态。

三、额外排查点 #

1. 检查扩展状态：在Azure门户中查看AADLoginForWindows扩展的部署状态，若失败可查看VM本地日志（路径：C:\Packages\Plugins\Microsoft.Azure.ActiveDirectory.AADLoginForWindows\1.0\Logs）。
2. 检查Azure AD租户设置：在Azure AD门户的「设备设置」中，确认是否允许用户加入设备，以及是否有用户组限制。
3. 排查手动加入失败原因：手动执行dsregcmd /join时记录错误提示，常见问题包括权限不足、设备重复注册、网络解析失败等。

内容的提问来源于stack exchange，提问作者One Developer