Microsoft Entra 设备管理常见问题解答

常见问题解答

我最近注册了设备。 为什么我在用户信息下看不到设备? 或对于 Microsoft Entra 混合联接设备,为什么设备所有者标记为 N/A?

为 Microsoft Entra 混合联接的 Windows 10 设备或更新版本的设备不显示在“USER 设备”下。 使用“所有设备”视图。 还可以使用 PowerShell Get-MgDevice cmdlet。

“用户设备”下面只会列出以下设备:

  • 所有 Microsoft Entra 混合联接的个人设备。
  • 所有非 Windows 10 或更新版本的设备以及 Windows Server 2016 或更高版本的设备。
  • 所有非 Windows 设备。

如何了解客户端的设备注册状态?

转到“所有设备”。 使用设备 ID 搜索设备。 检查“联接类型”列下的值。 有时,设备可能已重置或已重置映像。 因此,还必须检查设备上的设备注册状态:

  • 对于 Windows 10 或更新版本以及 Windows Server 2016 或更高版本的设备,请运行 dsregcmd.exe /status
  • 对于低级别操作系统版本,请运行 %programFiles%\Microsoft Workplace Join\autoworkplace.exe

有关排除故障的信息,请参阅以下文章:

我的组织本地 AD 用户在 Microsoft Entra ID 中拆分为两个或更多不同的租户。 是否为客户机上的每个租户获取 Windows PRT?

如果用户和设备属于同一租户,Windows 客户端将从 Microsoft Entra ID 中提取 PRT。 如果设备未注册或用户不是其他租户的成员,则用户将不会获得其他租户的 PRT。 如果两个租户用户通过 B2B 访问相互信任,您始终可以创建跨租户 B2B 访问并信任来自主租户的设备声明。

我看到 USER 信息下的设备记录,并且我看到状态为已注册。 我的设置是否正确,可以使用条件访问?

deviceID 所显示的设备加入状态必须与 Microsoft Entra ID 上的状态相符,并且必须符合条件性访问的任何评估条件。 有关详细信息,请参阅通过条件访问要求使用受管理设备进行云应用访问

为什么用户在其 Windows 10/11 设备上看到了错误消息“你的组织已删除该设备”或“你的组织已禁用该设备”?

在已建立 Microsoft Entra ID 联接或向其注册的 Windows 10/11 设备上,会为用户颁发一个主刷新令牌 (PRT),这将启用单一登录。 PRT 的有效性取决于设备本身的有效性。 如果在 Microsoft Entra ID 中删除或禁用设备,而未从设备本身启动操作,则用户将看到此消息。 对于以下任一情况,均可以在 Microsoft Entra 中删除或禁用设备:

  • 用户从“我的应用”门户禁用设备。
  • 管理员(或用户)删除或禁用设备。
  • 仅已建立 Microsoft Entra 混合联接:管理员将设备 OU 移除出同步范围,导致设备从 Microsoft Entra ID 中删除。
  • 仅已建立 Microsoft Entra 混合联接:管理员在本地禁用计算机帐户,导致设备在 Microsoft Entra ID 中被禁用。
  • 升级 Microsoft Entra Connect 到版本 1.4.xx.x。 了解 Microsoft Entra Connect 1.4.xx.x 和设备消失

已禁用或删除了设备,但设备上的本地状态显示它仍处于注册状态。 应采取何种操作?

此操作是有意为之。 在这种情况下,设备无权访问云中的资源。 管理员可对陈旧、丢失或被盗的设备执行此操作,以防止未经授权的访问。 如果无意中执行了此操作,则需通过以下步骤重新启用或重新注册设备:

  • 如果在 Microsoft Entra ID 中禁用了设备,具有足够特权的管理员可在 Microsoft Entra 管理中心启用该设备

    注意

    如果你使用 Microsoft Entra Connect 来同步设备,则已加入 Microsoft Entra 混合的设备会在下一同步周期中自动重新启用。 因此,如果需要禁用已建立 Microsoft Entra 混合联接的设备,则需要从本地 AD 将其禁用

  • 如果在 Microsoft Entra ID 中删除了设备,则需要重新注册该设备。 若要重新注册,必须在设备上执行手动操作。 有关根据设备状态重新注册的说明,请参阅以下步骤。

    若要重新注册已加入 Microsoft Entra 的 Windows 10/11 和 Windows Server 2016/2019 设备,请执行以下步骤:

    1. 以管理员身份打开命令提示符。
    2. 输入 dsregcmd.exe /debug /leave
    3. 注销并再次登录,以触发可以将设备注册到 Microsoft Entra ID 的计划任务。

    对于已加入 Microsoft Entra 混合的下层 Windows OS 版本,请执行以下步骤:

    1. 以管理员身份打开命令提示符。
    2. 输入 "%programFiles%\Microsoft Workplace Join\autoworkplace.exe /l"
    3. 输入 "%programFiles%\Microsoft Workplace Join\autoworkplace.exe /j"

    对于已加入 Microsoft Entra 的 Windows 10/11 设备,请执行以下步骤:

    1. 以管理员身份打开命令提示符
    2. 输入 dsregcmd /forcerecovery(需要成为管理员才能执行此操作)。
    3. 在打开的对话框中单击“登录”,然后继续完成登录过程。
    4. 注销并重新登录到设备,以完成恢复。

    对于已注册 Microsoft Entra 的 Windows 10/11 设备,请执行以下步骤:

    1. 转到“设置”>“帐户”>“访问工作单位或学校” 。
    2. 选择帐户,然后选择“断开连接”。
    3. 单击“+ 连接”,然后通过登录过程再次注册该设备。

为什么我看到重复的设备条目?

  • 对于 Windows 10 或更新版本和 Windows Server 2016 或更高版本,如果反复尝试分离再重新加入同一个设备,则可能会出现重复条目。
  • 使用“添加工作或学校帐户”的每个 Windows 用户将创建具有相同设备名称的新设备记录
  • 对于已加入本地 Azure Directory 域的低级别 Windows 操作系统版本,自动注册将为登录设备的每个域用户创建具有相同设备名称的新设备记录。
  • 在擦除后重新安装并使用相同名称重新加入 Microsoft Entra 联接计算机会显示为具有相同设备名称的另一条记录。

Microsoft Entra ID 中的 Windows 10/11 设备注册是否支持 FIPS 模式下的 TPM?

Windows 10/11 设备注册仅支持符合 FIPS 的 TPM 2.0,而不支持 TPM 1.2。 如果设备具有符合 FIPS 的 TPM 1.2,则必须先将其禁用,然后才能继续进行 Microsoft Entra 联接或 Microsoft Entra 混合联接。 Microsoft 不提供任何工具来禁用 TPM 的 FIPS 模式,因为这依赖于 TPM 制造商。 请联系硬件 OEM 获取支持。

为什么用户仍然可以从已禁用的设备访问资源?

从将 Microsoft Entra 设备标记为禁用的时间起,需要长达一小时的时间来应用撤销。

注意

对于已注册的设备,建议擦除该设备,确保用户无法访问这些资源。 有关详细信息,请参阅什么是设备注册?

我无法在 Windows 10/11 设备的同一用户会话下添加 3 个以上的 Microsoft Entra 用户帐户,为什么?

从 Windows 10 1803 版本开始,Microsoft Entra ID 添加了对多个 Microsoft Entra 帐户的支持。 但是,Windows 10/11 将设备上的 Microsoft Entra 帐户数限制为 3 个,以限制令牌请求的大小并启用可靠的单一登录 (SSO)。 添加 3 个帐户后,在添加后续帐户时用户将看到错误。 错误屏幕上的“其他问题信息”提供了以下消息,指示原因 -“由于达到帐户限制,添加帐户操作被阻止”。

Windows 10/11 设备上的 MS-Organization-Access 证书是什么?

MS-Organization-Access 证书由 Microsoft Entra 设备注册服务在设备注册过程中颁发。 这些证书会颁发给 Windows 上支持的所有联接类型 - Microsoft Entra 联接、Microsoft Entra 混合联接和Microsoft Entra 注册的设备。 在此类证书颁发后,它们就用作设备中身份验证过程的一部分,以请求主刷新令牌 (PRT)。 对于已建立 Microsoft Entra 联接和 Microsoft Entra 混合联接的设备,该证书位于“本地计算机\个人\证书”中,而对于已注册 Microsoft Entra 的设备,证书位于“当前用户\个人\证书”中。 所有 MS-Organization-Access 证书的默认生存期为 10 年,但是当设备从 Microsoft Entra ID 注销时,将从相应的证书存储删除这些证书。 任何无意中删除此证书的操作都会导致用户的身份验证失败,并且在这种情况下将需要重新注册设备。

Microsoft Entra 联接常见问题解答

如何在设备上本地取消加入 Microsoft Entra 混合联接的设备?

对于纯 Microsoft Entra 联接设备,请确保拥有脱机本地管理员帐户或创建一个该账户。 无法使用 Microsoft Entra 用户凭据登录。 接下来,转到“设置”>“帐户”>“访问工作单位或学校”。 选择帐户,然后选择“断开连接”。 按照提示操作,并在出现提示时提供本地管理员凭据。 重新启动设备以完成取消加入过程。

我的用户是否可以登录到在 Microsoft Entra ID 中已删除或禁用的 Microsoft Entra 联接设备?

是的。 Windows 具有缓存用户名和密码功能,该功能允许先前登录的用户即使没有网络连接也能快速访问桌面。

当设备在 Microsoft Entra ID 中被删除或禁用时,Windows 设备不会知道此情况。 因此,先前登录的用户继续使用缓存的用户名和密码访问桌面。 但是,由于设备已删除或禁用,用户无法访问由基于设备的条件访问保护的任何资源。

先前没有登录的用户无法访问设备。 他们没有启用的缓存用户名和密码。

已禁用或删除的用户是否可以登录到 Microsoft Entra 联接设备?

可以,但时间有限。 在 Microsoft Entra ID 中已删除或禁用用户时,Windows 设备不会立即知道此情况。 因此,先前登录的用户可以使用缓存的用户名和密码访问桌面。

通常,设备在不到 4 小时的时间内即可了解用户状态。 然后 Windows 会阻止这些用户访问桌面。 由于在 Microsoft Entra ID 中已删除或禁用用户,因此他们的所有令牌都会撤销。 因此他们无法访问任何资源。

先前未登录的已删除或禁用用户无法访问设备。 他们没有启用的缓存用户名和密码。

来宾用户是否能登录到 Microsoft Entra 联接设备?

否,目前来宾用户无法登录 Microsoft Entra 联接设备。

我的用户无法从 Microsoft Entra 联接设备中搜索打印机。 如何从这些设备启用打印?

组织可以选择使用预身份验证部署 Windows Server 混合云打印,或为其加入 Microsoft Entra 的设备部署通用打印

如何连接到 Microsoft Entra 联接远程设备?

用户为什么会看到“无法从此处进行访问”?

是否配置了某些条件访问规则以要求特定的设备状态? 如果设备不满足条件,就会阻止用户,并且他们会看到该消息。 评估条件访问策略规则。 确保设备满足条件,避免出现该消息。

刚刚加入 Microsoft Entra ID 的设备中为何会显示“用户名或密码不正确”消息?

出现这种情况的常见原因如下:

  • 用户凭据不再有效。
  • 计算机无法与 Microsoft Entra ID 通信。 请检查是否存在任何网络连接问题。
  • 联合登录要求联合服务器支持已启用的和可访问的 WS-Trust 终结点。
  • 已启用传递身份验证。 因此,登录时需要更改临时密码。

用户如何在 Microsoft Entra 联接设备上更改其临时密码或过期密码?

目前,Microsoft Entra 联接设备不会强制用户更改锁屏界面密码。 使用临时密码或过期密码的用户登录 Windows 后,仅在访问特定应用程序(需要 Microsoft Entra 令牌)时才会被迫更改密码。

为什么当我尝试向 Azure AD 联接我的电脑时会看到“糟糕… 出现错误!” 当我尝试使用 Microsoft Entra 加入我的电脑时出现对话框?

在未分配到相应许可证的情况下使用 Intune 设置 Microsoft Entra 自动注册时会发生此错误。 确保尝试进行 Microsoft Entra 联接的用户已获得正确的 Intune 许可证。 有关详细信息,请参阅设置 Windows 设备的注册

我没有收到任何错误信息,但尝试将电脑进行 Microsoft Entra 联接为何会失败?

可能是由于使用本地内置管理员帐户登录到设备。 请在使用 Microsoft Entra 加入之前创建不同的本地帐户以完成设置。

Windows 10/11 设备上的 MS-Organization-P2P-Access 证书是什么?

MS-Organization-P2P-Access 证书由 Microsoft Entra ID 颁发给 Microsoft Entra 联接和 Microsoft Entra 混合联接的设备。 这些证书用于在同一租户中的设备之间为远程桌面场景启用信任。 一个证书颁发给设备,另一个颁发给用户。 设备证书在 Local Computer\Personal\Certificates 中提供,且有效期为一天。 如果设备在 Microsoft Entra ID 中仍然处于活动状态,则续订此证书(通过颁发新证书)。 用户证书不是持久性证书,有效期为一小时,但会在用户尝试与另一个已建立 Microsoft Entra 联接的设备进行远程桌面会话时按需颁发。 到期不续期。 这两个证书都是使用 Local Computer\AAD Token Issuer\Certificates 中的 MS-Organization-P2P-Access 证书颁发的。 此证书由 Microsoft Entra ID 在设备注册期间颁发。

如何在已建立 Microsoft Entra 联接的设备上禁用缓存登录/使用户的缓存登录过期?

无法在已建立 Microsoft Entra 联接的设备上禁用以前的缓存登录或使其过期。

Microsoft Entra 混合联接常见问题解答

如何在设备上本地取消加入已建立 Microsoft Entra 混合联接的设备?

对于已建立 Microsoft Entra 混合联接的设备,请确保按照受控的验证一文所述关闭 AD 中的自动注册。 然后计划任务不再注册设备。 接下来,以管理员身份打开命令提示符并输入 dsregcmd.exe /debug /leave。 或者将此命令作为脚本在多个设备上运行,以批量取消加入。

在哪里可以找到用于诊断 Microsoft Entra 混合联接失败的故障排除信息?

为什么在 Microsoft Entra 设备列表中会看到 Windows 10/11 Microsoft Entra 混合联接设备的重复 Microsoft Entra 注册记录?

用户在已加入域的设备上将其帐户添加到应用时,可能会提示他们“将帐户添加到 Windows?”如果他们在提示处输入“Yes”,该设备就会注册到 Microsoft Entra ID。 信任类型标记为已注册 Microsoft Entra。 在组织中启用 Microsoft Entra 混合联接后,设备也会获得 Microsoft Entra 混合联接。 然后显示同一设备的两种设备状态。

在大多数情况下,Microsoft Entra 混合加入优先于 Microsoft Entra 已注册状态,从而导致设备被视为已加入 Microsoft Entra 混合,因此能够进行任何身份验证和条件访问评估。 但是,有时这种双重状态会导致对设备的评估不确定并导致访问问题。 强烈建议升级到 Windows 10 版本 1803 及更高版本,我们会在其中自动清除 Microsoft Entra 已注册状态。 了解如何避免或清除 Windows 10 计算机上的这种双重状态

为什么我的用户在更改其 UPN 后,在 Windows 10 上的 Microsoft Entra 混合联接设备上遇到了问题?

当前,已建立 Microsoft Entra 混合联接的设备不完全支持 UPN 更改。 虽然用户可以登录到设备并访问其本地应用程序,但在 UPN 更改后,他们的 Microsoft Entra ID 身份验证仍会失败。 这样一来,用户的设备上会存在 SSO 和条件访问问题。 此时,需要从 Microsoft Entra ID 中分离设备(使用提升的权限运行“dsregcmd /leave”),然后重新联接(自动执行)来解决问题。

Windows 10 2004 更新支持 UPN 更改,也适用于 Windows 11。 如果用户的设备上包含此更新,他们在更改其 UPN 后就不会出现任何问题

Windows 10/11 Microsoft Entra 混合联接设备是否需要连接到域控制器以获取云资源的访问权限?

否,除非用户的密码已更改。 在 Windows 10/11 Microsoft Entra 混合联接已完成,并且用户至少登录了一次之后,设备无需连接到域控制器即可访问云资源。 Windows 10/11 可以通过 Internet 连接从任何位置单一登录到 Microsoft Entra 应用程序(除非更改了密码时)。 使用 Windows Hello 企业版登录的用户甚至可在密码更改之后继续单一登录到 Microsoft Entra 应用程序,即使他们未连接到其域控制器。

如果用户更改了密码,并尝试在公司网络外部登录到已建立 Microsoft Entra 混合联接的 Windows 10/11 设备,会发生什么情况?

如果在企业网络外部更改密码(例如使用 Microsoft Entra SSPR 进行),则使用新密码登录的用户将失败。 对于已建立 Microsoft Entra 混合联接的设备,本地 Active Directory 是主要颁发机构。 当设备未连接到域控制器时,便无法验证新密码。 因此,用户需要先建立与域控制器的连接(通过 VPN 或使用企业网络),然后才能通过新密码登录到该设备。 否则,由于 Windows 中的缓存登录功能,他们只能用旧密码登录。 但是,旧密码在令牌请求期间因 Microsoft Entra ID 而失效,因此会阻止单一登录,并使任何基于设备的条件访问策略失败,直到用户在应用或浏览器中使用新密码进行身份验证。 在使用 Windows Hello 企业版时,不会出现此问题。

Microsoft Entra 注册常见问题解答

如何在本地删除设备的 Microsoft Entra 注册状态?

  • 对于已注册 Microsoft Entra 的 Windows 10/11 设备,请转到“设置”>“帐户”>“访问工作单位或学校”。 选择帐户,然后选择“断开连接”。 在 Windows 10/11 上,设备注册是按每个用户配置文件进行的。
  • 对于 iOS 和 Android,可使用 Microsoft Authenticator 应用程序的“设置”>“设备注册”,并选择“注销设备” 。
  • 对于 macOS,可使用 Microsoft Intune 公司门户应用程序从管理中取消注册设备,并删除任何注册。

对于 Windows 10 2004 和更旧版本,可通过 Workplace Join (WPJ) 删除工具自动执行此过程

注意

此工具将删除设备上的所有 SSO 帐户。 完成此操作后,所有应用程序都将丢失 SSO 状态,并且设备将从管理工具 (MDM) 和云中注销。 应用程序下次尝试登录时,用户将被要求重新添加帐户。

如何阻止用户在我的公司 Windows 10/11 设备上添加其他工作帐户(已注册 Microsoft Entra)?

启用以下注册表来阻止用户将其他工作帐户添加到已建立企业域联接、Microsoft Entra 联接或 Microsoft Entra 混合联接的 Windows 10/11 设备。 此策略还可用于阻止加入域的计算机无意中使用同一用户帐户注册到 Microsoft Entra。

HKLM\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin, "BlockAADWorkplaceJoin"=dword:00000001

我可以注册 Android 或 iOS BYOD 设备吗?

可以,但只有使用 Azure 设备注册服务的混合客户才能注册。 Active Directory 联合身份验证服务 (AD FS) 中的本地设备注册服务不支持此功能。

如何注册 macOS 设备?

执行以下步骤:

  1. 创建合规性策略
  2. 定义适用于 macOS 设备的条件访问策略

备注:

  • 条件访问策略中包含的用户必须有 macOS 支持的 Office 版本,才能访问资源。
  • 在首次尝试访问期间,用户使用公司门户时会看到注册设备的提示。