Azure Bastion Host 如何使用Active Directory凭据登录无公网IP虚拟机

前置要求 #

• 所用Bastion Host必须为标准SKU，基础SKU不支持AD凭据集成登录能力
• 目标Windows VM已成功加入对应Active Directory域（本地AD、Azure AD DS均可）
• 操作账号对Bastion资源持有Virtual Machine Administrator Login或Virtual Machine User Login角色权限，同时持有目标AD域内可登录该VM的有效账号

操作步骤 #

方法1：Azure门户直接登录（通用方案） #

1. 进入目标Windows VM的Azure门户管理页，点击左侧导航栏的连接按钮，选择通过Bastion连接选项
2. 在弹出的Bastion连接配置页，认证类型下拉选择Active Directory 密码（适配本地AD、Azure AD DS场景），如果使用Azure AD作为身份源则选择Azure Active Directory
3. 按格式输入AD凭据：
   • 用户名可填域名\用户名格式，例如corp.contoso.com\wangwu，Azure AD场景也可直接填写UPN格式wangwu@contoso.com
   • 密码栏填入对应AD账号的登录密码
4. 按需勾选剪贴板共享、本地设备重定向等附加选项后，点击连接即可完成登录

方法2：Azure CLI命令行登录 #

如果偏好命令行操作，可通过以下命令直接发起连接并传入AD凭据：

az network bastion rdp --name <Bastion资源名称> --resource-group <Bastion所属资源组名> --target-resource-id <目标VM的资源ID> --domain <AD域名> --username <AD用户名> --password <AD账号密码>

常见问题排查 #

• 提示凭据无效时，优先校验目标VM是否已成功加入AD域，确认输入的域名、用户名、密码格式与大小写完全匹配
• 连接超时时，检查VM所在子网的NSG规则是否已放通来自AzureBastionSubnet的3389端口入站流量

注意：无需提前将AD凭据存储到Bastion Host中，Bastion只会将你输入的凭据透传给目标VM完成域认证，不会留存任何凭据信息

内容的提问来源于stack exchange，提问作者Yash