使用 ARM 模板配置 Azure VM 时添加本地 AD 组 -Azure 虚拟桌面

Question

我需要使用 ARM 模板配置 Azure VM，其中包括创建计算机、添加域加入、注册主机池、启用 Azure 磁盘加密。我们将使用图像。 我最后尝试使用自定义扩展脚本来运行 ps1，它可以将机器对象添加到广告组。

Script1

$SysInfo = New-Object -ComObject "ADSystemInfo"
$ComputerDN = $SysInfo.GetType().InvokeMember("ComputerName", 
"GetProperty", $Null, $SysInfo, 
$Null)
#$ComputerDN = 
([ADSISEARCHER]"sAMAccountName=$($env:COMPUTERNAME)$").FindOne().Path
$ComputerDN
$Group = "groupname"
$group1dn= ([ADSISEARCHER]"sAMAccountName=$($Group)").FindOne().Path 
$Groupdn = [ADSI]"$group1dn"

// Check if computer already a member of the group.
If ($Groupdn.IsMember("LDAP://$ComputerDN") -eq $False)
{
# Add the computer to the group.
$Groupdn.Add("LDAP://$ComputerDN")
}

Script2

$credential= "domain/user & password"
Start-Process 
"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -Credential 
$credential  -ArgumentList "-file <path of script1>"
**OR**
Invoke-Command -FilePath <path of script1>-Credential $credential - 
ComputerName localhost

两个ps1都通过CSE下载到机器并触发第二个脚本2

对于启动过程，它说访问被拒绝（因为CSE运行系统帐户并且可能无法更改域用户。） Invoke 命令可以模拟，但是，它需要将域/用户添加到 localadmin 用户组并在计算机上启用 psremoting，尽管这样做仍然存在问题。

使用“5”个参数调用“InvokeMember”时出现异常：“访问被拒绝。

检索成员“IsMember”时发生以下异常：“发生操作错误。 ”

如何使用 CSE 完成此任务？

Answer 1

为了稍微简化 script1，您可以尝试使用 WinNT 名称并跳过搜索 AD：

$Group = "Domain Computers"
$Domain = 'CONTOSO'  # NETBIOS name
$ADGroup = [ADSI]"WinNT://$Domain/$Group"

# Check if computer already a member of the group. Computer accounts get $ at the end
If (-not ($ADGroup.isMember("WinNT://$Domain/$env:COMPUTERNAME$"))) {
  # Add the computer to the group.
  $Groupdn.Add("LDAP://$ComputerDN")
}

只要 VM 已加入域并且凭据用户名位于，script2 的 Start-Process 就应该没问题。 DOMAIN\user 格式。例如，您可以尝试测试下面的命令 - 没有变量，只需填写名称。

获取已启动进程的输出可能很痛苦。我添加了 ;Read-Host 'waiting' 来测试 shell 窗口中的 true/false 输出。如果您无法以交互方式运行它，您可以使用 -RedirectStandardOutput 'c:\folder\result.out' 并检查文件

$Credential = Get-Credential CONTOSO\user
Start-Process powershell.exe -Cred $Credential -Wait -Arg `
  "-C ([ADSI]'WinNT://CONTOSO/Domain Computers').isMember('WinNT://CONTOSO/MyHostname
在我的电脑上，这会返回错误 start-process ：访问被拒绝，但确实成功地模拟了我的域用户并启动了该过程......所以我不太确定它的交易是什么。

 Invoke-Command 适用于计算机本地的任何内容，但它仍然算作远程处理。由于第二跳限制，isMember() 无法对您的 AD 服务进行身份验证。此行为 可以更改，但不建议这样做。
)"

在我的电脑上，这会返回错误 start-process ：访问被拒绝，但确实成功地模拟了我的域用户并启动了该过程......所以我不太确定它的交易是什么。

---

Invoke-Command 适用于计算机本地的任何内容，但它仍然算作远程处理。由于第二跳限制，isMember() 无法对您的 AD 服务进行身份验证。此行为 可以更改，但不建议这样做。

Answer 2

我想通了..感谢鲸鱼船长的建议。

我在 CSE 中仅使用 script1（带有域密码参数），该脚本在加入域后下载到计算机上。
然后使用 CSE 中的受保护设置来运行 ps1 并传递 keyvault 引用。
"commandToExecute": "[concat('powershell.exe -file Scrip1.ps1',' -password(script1 中的参数) ,parameters('keyvaultpass'))]"

/Naveen