Утилита для регистрации устройств в Linux

Средство командной строки Linux, аналогичное Windows dsregcmd , которое запрашивает состояние регистрации устройства, сведения о PRT (основной маркер обновления) и конфигурацию брокера из Microsoft Identity Broker.

Обзор

dsreg предоставляет администраторам и разработчикам подробные сведения о состоянии регистрации устройств в системах Linux. Он отправляет запрос брокеру удостоверений Microsoft для получения:

• Состояние регистрации устройства
• Сведения об идентификаторе устройства и клиенте
• Состояние и время обновления PRT (основной маркер обновления)
• Сведения о сертификате
• Сведения о ключе сеанса
• Версия и конфигурация брокера

Installation

Средство входит в пакеты Microsoft Identity Broker и устанавливается в /usr/bin/dsreg при установке брокера.

Поддерживаемые дистрибутивы Linux

• Ubuntu/Debian — пакет DEB (microsoft-identity-broker_*.deb)
• RHEL/Rocky Linux/AlmaLinux — пакет RPM (microsoft-identity-broker-*.rpm)

# Ubuntu/Debian
sudo apt install microsoft-identity-broker

# RHEL/Rocky Linux/AlmaLinux
sudo dnf install microsoft-identity-broker
# or
sudo yum install microsoft-identity-broker

dsreg --help

Usage

# Display device registration status
dsreg
dsreg --status

# Display help
dsreg --help

# Query specific tenant
dsreg --tenant-id <tenant-guid>

# Get DRS access token
dsreg --getdrstoken

# Unregister device (requires sudo)
sudo dsreg --tenant-id <tenant-guid> --unregister

# Clean broker state (prompts for confirmation)
dsreg --cleanup

# Clean broker state including certificates (requires sudo)
sudo dsreg --cleanup

Параметры команд

Выходные данные

Состояние устройства

Основной маркер обновления (PRT)

Сведения о брокере

Пример выходных данных

Device State
-----------------------------------------------------------------
Device Registration Status   : Registered
Device ID                    : a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6
Tenant ID                    : 12345678-90ab-cdef-1234-567890abcdef
Tenant Name                  : contoso.com

Primary Refresh Token
-----------------------------------------------------------------
PRT Present                  : YES
PRT Cached At                : 2025-12-11 08:30:15 UTC
PRT Expires On               : 2025-12-25 08:30:15 UTC
PRT Age                      : 4.25 hours
Session Key Protocol         : 3.1

Broker Information
-----------------------------------------------------------------
Broker Version               : 2.0.123.456
Broker Service Name          : microsoft-identity-device-broker.service
Broker Binary Path           : /opt/microsoft/identity-broker/bin/microsoft-identity-broker
Broker Binary Timestamp      : 2025-12-19 14:30:22 UTC

Операция очистки

Команда --cleanup выполняет безопасную команду. Двухэтапная очистка с подтверждением пользователя:

Запрос на подтверждение

Прежде чем продолжить, dsreg отображает следующее:

WARNING: This operation will permanently remove all local accounts, credentials, and cached tokens.
         Running as root will also remove device certificates and private keys from:
           - /etc/microsoft/identity-broker/certs (certificates)
           - /etc/microsoft/identity-broker/private (private keys)

This is an irreversible operation.
Do you want to continue? (Y/N):

Чтобы продолжить, необходимо ввести Y или y . Любые другие входные данные отменяют операцию.

Этап 1: Очистка пользовательского уровня (всегда выполняется)

• Очищает все кэшированные учетные записи
• Удаляет все маркеры проверки подлинности
• Удаляет сохраненные учетные данные
• Очистка кэша PRT
• Удаляет каталоги кэша пользователей:
  • ~/.cache/intune-portal
  • ~/.cache/Microsoft
  • ~/.cache/microsoft-edge
  • ~/.config/intune
  • ~/.config/microsoft-identity-broker
  • ~/.local/share/intune-portal

Этап 2. Очистка ключей устройств и сертификатов (только корневая версия)

Если выполняется от имени суперпользователя (sudo dsreg --cleanup), также удаляется:

• Останавливает службу microsoft-identity-device-broker
• Приватные ключи устройства из /etc/microsoft/identity-broker/private/
• Сертификаты устройств из /etc/microsoft/identity-broker/certs/
• Данные системного брокера из /var/lib/microsoft-identity-device-broker
• Касается только файлов с префиксом drs_* или stk_* в каталогах сертификатов.
• Безопасный: не изменяет другие ключи или сертификаты

Важные заметки

• Очистка НЕ отменяет регистрацию устройства из Entra ID
• Чтобы полностью удалить устройство, выполните sudo dsreg --tenant-id <id> --unregister отдельно
• После очистки пользователи должны снова войти, чтобы восстановить PRT
• Выполнение без sudo очищает кэш пользователей, а не сертификаты

Устранение неполадок

"Не удалось получить экземпляр брокера"

Причина: Брокер не запущен или не установлен Решение:

# Check if broker is running
systemctl status microsoft-identity-device-broker

# Start broker if needed
systemctl start microsoft-identity-device-broker

"Состояние регистрации устройства: не зарегистрировано"

Причина: Устройство не зарегистрировано в Entra ID Решение:

1. Проверка сетевого подключения к идентификатору Entra
2. Убедитесь, что устройство соответствует требованиям к регистрации
3. Запуск процесса регистрации для организации

PRT присутствует: НЕТ

Причина: Нет пользователя, выполнившего вход, или срок действия PRT истек Решение:

1. Войти с помощью учетной записи Entra ID
2. Проверка сетевого подключения для обновления PRT
3. Синхронизация времени проверки (PRT требует точного времени)

Коды выхода

Архитектура безопасности

Разделение привилегий

Средство реализует безопасность путем правильного разделения проблем:

• Уровень бизнес-логики (DeviceBrokerImpl): нет проверок привилегий, только проверяемой логики
• Граница IPC (DBusDispatcher): принудительное обеспечение безопасности с помощью callerUid проверки
• Операции, требующие корня: применяется на границе D-Bus, а не в бизнес-логике

Безопасность очистки

Очистка сертификата предназначена для обеспечения безопасности:

• Удаляет только файлы с префиксами drs_* или stk_* в /etc/microsoft/identity-broker/private.
• Никогда не касается системных или пользовательских сертификатов
• Предоставляет запрос подтверждения перед любой деструктивной операцией

Architecture

Средство использует существующие компоненты брокера:

• DeviceBroker — запросы на регистрацию устройств и привилегированные операции
• BrokerCore — для состояния PRT и проверки подлинности
• DeviceInfoAccessor — получение сведений об устройстве
• CacheManager — чтение кэшированных учетных данных
• D-Bus IPC — для безопасного взаимодействия со службами брокеров

Он использует те же компоненты, что и брокер, обеспечивая согласованные результаты.

Сравнение с Windows dsregcmd

Связанные материалы

Дополнительные сведения см. в следующей документации Intune:

• Новые возможности единого входа Майкрософт для Linux
• Обзор Microsoft Identity Broker для Linux
• Руководство по развертыванию. Управление устройствами Linux в Microsoft Intune
• Руководство по регистрации. Регистрация настольных устройств Linux в Microsoft Intune.