Назад | Перейти на главную страницу

Невозможно использовать учетные записи Azure AD для удаленной аутентификации в Windows

Как я могу использовать учетную запись Azure AD для удаленной аутентификации в Windows, присоединенной к Azure AD?

У меня есть:

  1. Пытался пройти аутентификацию удаленно с использованием учетных записей Azure AD и всех известных мне форматов входа (перечисленных ниже), но все они приводили к сообщению об ошибке The user name or password is incorrect и событие Audit Failure с идентификатором 4625, положение дел 0xC000006D, и суб статус 0xC0000064 что означает, что пользователь не существует.
    • %UPN%.
      Например, username.admin@domain.com.
    • AzureAD\%UPN%.
      Например, AzureAD\username.admin@domain.com.
    • AzureAD\%username%.
      Например, AzureAD\username.admin.
    • AzureAD\%securityID%.
      Например, AzureAD\UsernameAdmin. Кажется, это отображаемое имя без пробелов.
    • %NetBIOSDomainName%\%securityID%.
      Например, EXAMPLE\UsernameAdmin. Вот как Windows отображает это в Управление компьютером → Локальные пользователи и группы → Группы → Администраторы.
  2. Пробовал использовать PsGetSid локально и обнаружил, что он может разрешать следующие форматы входа в Azure AD:
    • %UPN% (только если учетная запись пользователя ранее входила в систему).
    • AzureAD\%UPN% (независимо от того, входила ли учетная запись пользователя ранее).
    • AzureAD\%securityID%.

  3. Пытался аутентифицироваться локально с использованием учетных записей Azure AD и вышеупомянутых форматов входа и обнаружил, что локальный запуск от имени может обрабатывать следующее:

    • %UPN%.
    • AzureAD\%UPN%.
    • AzureAD\%securityID%.

  4. Пытался пройти аутентификацию удаленно с использованием учетных записей локального администратора и обнаружил, что они работают нормально.

Таким образом, похоже, что Windows может обрабатывать учетные записи Azure AD, но только локально, а не удаленно, в отличие от учетных записей AD DS.

Все, что я нашел в Интернете, либо не для этого конкретного сценария, либо просто других людей, которые испытывают ту же проблему.

Это вообще возможно?

В результате обширного тестирования я пришел к выводу, что Windows 10 v1909 (последняя версия на момент написания) просто не поддерживает использование учетных записей / учетных данных Azure AD с проверкой подлинности на сетевом уровне (NLA).

Удаленный доступ через RDP можно обойти, отключив NLA и вручную отредактировав файл .RDP, добавив enablecredsspsupport:i:0.

Удаленный доступ через SMB, похоже, не обойтись.