HOWTO: 使用 EntraID 登录 Azure VM

        一台基于 Windows 11 的 Azure VM，如果想通过 EntraID 登录系统，该如何实现呢？！

        我们首先想到是通过“设置 - 账户 - 访问工作或学校账户”将设备连接到 EntraID，在连接过程务必选择“将此设备加入 Microsoft Entra ID”，这样设备将以非注册方式加入到 EntraID（AAD），就像传统的加入到 AD 一样的概念。之后我们理所当然的通过 RDP 使用 EntraID 进行连接和登录，此时我们会发现输入了正确的账号密码后仍然提示无法登录。即使我们在 mstsc（远程桌面连接）中启用了“使用 Web 账户登录远程计算机”，但会发现经过 Web 验证后仍会报错，并提示 0xcaa20002 错误。

        那我们该如何解决这个问题，确保能够使用 EntraID 登录到远程 Azure VM 上呢？！

        如果我们是新建 Azure VM，那么在创建过程中的“高级”选项页面下，可以看到“扩展”安装选项，此时需要点击“选择要安装的扩展”。

        然后找到名为“Azure AD based Windows Login”的扩展程序，并安装它。

        安装完毕后，即可看到这个扩展的安装状态。

        对于已经创建好的 Azure VM，我们可以当前虚机的左侧导航栏找到“扩展 + 应用程序”选项，进入后可以在“扩展”页找到“添加”按钮。

        确认“Azure AD based Windows Login”扩展安装完毕后，接下来我们需要找到这台已经加入到 EntraID 设备的 DeviceID，有两个渠道获取：

1. 访问 Microsoft Entra ID，在“设备”中找到该虚拟机，并从“属性”页中获取 DeviceID。

2. 先用本地账号 RDP 登录到 Azure VM，然后在 CMD 中运行 dsregcmd /status 查询 DeviceID。

        当然如果你嫌麻烦，也可以直接使用 Azure VM 的计算机名。

        有了 DeviceID 或计算名后，我们还需要为本地电脑安装 Windows App，可以从微软应用商店搜索并安装该应用。如果你对该应用还不了解，可参考 gOxIA 之前发布的日志“Windows App 正式发布 - 通往 Widnows 的统一网关”。打开 Windows App 添加 Remote PC，输入 Azure VM 的域名及 RDP 端口，并打开“使用 Web 账户”选项，输入我们获取到的 DeviceID 或 计算机名，保存后再进行登录即可使用 EntraID 或 M365 账号正常通过 RDP 远程登录到 Azure VM 的桌面。