通过Point-to-Site与Azure AD账户访问Azure AD加入的VM失败排查

以下是你可能遗漏的关键配置项：

• 启用RDP客户端的Azure AD身份验证
  默认RDP连接不会使用Azure AD身份验证，需要手动配置：

  • 编辑RDP文件，添加以下两行配置：

    enablecredsspsupport:i:0
    authentication level:i:2
    

    同时指定登录用户名为AzureAD\<你的目标AAD账户>（比如AzureAD\user@targettenant.com）
  • 或者在RDP客户端界面中，进入本地资源 > 更多 > 安全，选择「使用Azure Active Directory账户登录」选项。

• 验证NSG的RDP流量规则
  检查关联到VM网卡的网络安全组（NSG），确保存在入站规则允许来自Point-to-Site VPN客户端地址段的3389端口流量。你的Terraform代码中未配置NSG，需确认该规则已添加。

• 指定正确的登录用户上下文
  客户端设备属于另一个AAD域（demo.com），登录时必须明确指定目标AAD租户的账户，格式为AzureAD\<目标租户用户名>，避免客户端自动使用本地域账户尝试登录。

• 确认AADLoginForWindows扩展运行状态
  检查扩展是否成功部署并正常运行：

  • 在Azure门户的VM「扩展」页面查看状态
  • 或使用Azure CLI命令：

    az vm extension show --resource-group ipz12-dat-np-connection-rg --vm-name vm-hub --name AADLoginForWindows
    

    确保输出中provisioningState为Succeeded。

• 验证RBAC角色的作用域
  确认你的Azure用户账户被分配了虚拟机管理员登录或虚拟机用户登录角色，且角色的作用域覆盖目标VM或其所属资源组，而非更宽泛的范围导致权限未正确应用。

内容的提问来源于stack exchange，提问作者One Developer