无法使用 Azure AD 帐户对 Windows 进行远程身份验证

Question

如何使用 Azure AD 帐户对已加入 Azure AD 的 Windows 进行远程身份验证？

我有：

1. 尝试使用 Azure AD 帐户和我所知道的每种登录格式（如下所列）进行远程身份验证，但都导致错误消息The user name or password is incorrect和带有 ID 4625、状态0xC000006D和 的审核失败事件子状态0xC0000064，表示用户不存在。
   • %UPN%。
     例如，[email protected]。
   • AzureAD\%UPN%。
     例如，。 AzureAD\[email protected]
   • AzureAD\%username%。
     例如，AzureAD\username.admin。
   • AzureAD\%securityID%。
     例如，AzureAD\UsernameAdmin。这似乎是删除了空格的显示名称。
   • %NetBIOSDomainName%\%securityID%。
     例如，EXAMPLE\UsernameAdmin。这是 Windows 在计算机管理 → 本地用户和组 → 组 → 管理员中的显示方式。
2. 尝试使用获取Sid本地发现它可以解析以下 Azure AD 登录格式：
   • %UPN%（仅当用户帐户先前已登录时）。
   • AzureAD\%UPN%（无论用户帐户之前是否登录过）。
   • AzureAD\%securityID%。

3. 尝试使用 Azure AD 帐户和前面提到的登录格式在本地进行身份验证，发现本地运行方式可以处理以下情况：

   • %UPN%。
   • AzureAD\%UPN%。
   • AzureAD\%securityID%。

4. 尝试使用本地管理员帐户进行远程身份验证，发现它们运行良好。

因此，看起来 Windows 可以处理 Azure AD 帐户，但只能在本地处理，而不能远程处理，这与 AD DS 帐户不同。

我在网上找到的所有内容要么不适用于这种特定的情况，要么只是遇到同样问题的其他人。

这可能吗？

Answer 1

通过我的广泛测试，我得出结论，Windows 10 v1909（截至撰写本文时的最新版本）根本不支持使用具有网络级身份验证 (NLA) 的 Azure AD 帐户/凭据。

可以通过禁用 NLA 并手动编辑 .RDP 文件并添加 来解决通过 RDP 进行远程访问的问题enablecredsspsupport:i:0。

看来无法通过 SMB 进行远程访问。