Opdrachtprogramma voor apparaatregistratie voor Linux

Een Linux-opdrachtregelprogramma dat vergelijkbaar is met Windows dsregcmd waarmee query's worden uitgevoerd op apparaatregistratiestatus, PRT-gegevens (Primaire vernieuwingstoken) en brokerconfiguratie van De Microsoft Identity Broker.

Overzicht

dsreg biedt beheerders en ontwikkelaars gedetailleerde informatie over de status van apparaatregistratie op Linux-systemen. Er wordt een query uitgevoerd op de Microsoft Identity Broker om het volgende op te halen:

  • Registratiestatus van apparaat
  • Apparaat-id en tenantgegevens
  • PRT-status (primair vernieuwingstoken) en vernieuwingstijden
  • Certificaatgegevens
  • Details van sessie-sleutel
  • Brokerversie en -configuratie

Installatie

Het hulpprogramma is opgenomen in de Microsoft Identity Broker-pakketten en wordt geïnstalleerd op /usr/bin/dsreg wanneer de broker is geïnstalleerd.

Ondersteunde Linux-distributies

  • Ubuntu/Debian - DEB-pakket (microsoft-identity-broker_*.deb)
  • RHEL/Rocky Linux/AlmaLinux - RPM-pakket (microsoft-identity-broker-*.rpm)
# Ubuntu/Debian
sudo apt install microsoft-identity-broker

Opmerking

Zodra u de microsoft-identity-brokerinstallatie hebt uitgevoerd, is het dsreg-hulpprogramma beschikbaar in het hele systeem.

dsreg --help

Usage

# Display device registration status
dsreg
dsreg --status

# Display help
dsreg --help

# Query specific tenant
dsreg --tenant-id <tenant-guid>

# Get DRS access token
dsreg --getdrstoken

# Unregister device (requires sudo)
sudo dsreg --tenant-id <tenant-guid> --unregister

# Clean broker state (prompts for confirmation)
dsreg --cleanup

# Clean broker state including certificates (requires sudo)
sudo dsreg --cleanup

Opdrachtopties

Optie Description
--status Uitgebreide apparaatregistratie en PRT-status weergeven (standaard)
--help Help-informatie weergeven
--tenant-id <id> Een query uitvoeren op apparaatregistratie voor een specifieke tenant-GUID
--getdrstoken DRS-toegangstoken (Device Registration Service) verkrijgen voor apparaatbewerkingen
--unregister Registratie van apparaat bij Entra ID-tenant ongedaan maken (vereist sudo - en DRS-token)
--cleanup Verwijder alle lokale brokerstatussen met een bevestigingsprompt.

Fase 1 (altijd): wist cache op gebruikersniveau (accounts, tokens, inloggegevens)
Fase 2 (alleen root): verwijdert persoonlijke sleutels en certificaten van apparaten (drs_* en stk_* bestanden uit /etc/microsoft/identity-broker/private en /etc/microsoft/identity-broker/certs)
Opmerking: de registratie van het apparaat bij Entra-id niet ongedaan maken (afzonderlijk gebruiken --unregister )

Uitvoergegevens

Apparaatstatus

Veld Description
Apparaatregistratiestatus (Geregistreerd/niet geregistreerd)
Apparaat-id De unieke ID van het apparaat in de Microsoft Entra-tenant.
Tenant-id Tenantgegevens die worden weergegeven wanneer een apparaat lid is van Microsoft Entra-id.
Tenantnaam/domein Tenantgegevens die worden weergegeven wanneer een apparaat lid is van Microsoft Entra-id.
Vingerafdruk van certificaat De vingerafdruk van het apparaatcertificaat.

Token voor primaire vernieuwing (PRT)

Veld Description
PRT aanwezig (Ja|Nee) JA als er een primair vernieuwingstoken (PRT) aanwezig is op het apparaat voor de aangemelde gebruiker.
PRT-tijd in cache De tijd, in UTC, toen de PRT voor het laatst in de cache op het apparaat werd opgeslagen.
PRT-verlooptijd De UTC-tijd waarop de PRT verloopt als deze niet wordt vernieuwd.
Laatste vernieuwingstijd van PRT De tijd, in UTC, toen de ENTERPRISE PRT voor het laatst is bijgewerkt.
Leeftijd van PRT (uren)
Sessiesleutelprotocolversie De protocolversie die wordt gebruikt voor de sessiesleutel die is gekoppeld aan de PRT.

Brokerinformatie

Veld Description
Brokerversie De versie van de huidige microsoft-identity-broker die op het apparaat is geïnstalleerd.
Naam van brokerservice De naam van de systeemservice voor de broker.
Broker-binaire pad en installatietijdstempel Het bestandspad en de installatietijdstempel van het binaire brokerbestand.
Apparaatmodus (Exclusief/Gedeeld)

Voorbeelduitvoer

Device State
-----------------------------------------------------------------
Device Registration Status   : Registered
Device ID                    : a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6
Tenant ID                    : aaaabbbb-0000-cccc-1111-dddd2222eeee
Tenant Name                  : contoso.com

Primary Refresh Token
-----------------------------------------------------------------
PRT Present                  : YES
PRT Cached At                : 2025-12-11 08:30:15 UTC
PRT Expires On               : 2025-12-25 08:30:15 UTC
PRT Age                      : 4.25 hours
Session Key Protocol         : 3.1

Broker Information
-----------------------------------------------------------------
Broker Version               : 2.0.123.456
Broker Service Name          : microsoft-identity-device-broker.service
Broker Binary Path           : /opt/microsoft/identity-broker/bin/microsoft-identity-broker
Broker Binary Timestamp      : 2025-12-19 14:30:22 UTC

Opschoningsbewerking

Met de --cleanup opdracht wordt deze op een veilige manier uitgevoerd. Opschonen in twee fasen met bevestiging van de gebruiker:

Bevestigingsprompt

Voordat u doorgaat, geeft dsreg weer:

WARNING: This operation will permanently remove all local accounts, credentials, and cached tokens.
         Running as root will also remove device certificates and private keys from:
           - /etc/microsoft/identity-broker/certs (certificates)
           - /etc/microsoft/identity-broker/private (private keys)

This is an irreversible operation.
Do you want to continue? (Y/N):

U moet Y of y invoeren om door te gaan. Elke andere invoer annuleert de bewerking.

Fase 1: Opschonen op gebruikersniveau (draaide altijd)

  • Alle accounts in de cache wissen
  • Verwijdert alle verificatietokens
  • Verwijdert opgeslagen referenties
  • PRT-cache wissen
  • Hiermee verwijdert u mappen in de gebruikerscache:
    • ~/.cache/intune-portal
    • ~/.cache/Microsoft
    • ~/.cache/microsoft-edge
    • ~/.config/intune
    • ~/.config/microsoft-identity-broker
    • ~/.local/share/intune-portal

Fase 2: Apparaatsleutels en certificaten opschonen (alleen beheerder)

Als u als rootgebruiker (sudo dsreg --cleanup) uitvoert, wordt ook het volgende verwijderd:

  • Stopt de microsoft-identity-device-broker dienst
  • Persoonlijke apparaatsleutels van /etc/microsoft/identity-broker/private/
  • Apparaatcertificaten van /etc/microsoft/identity-broker/certs/
  • Brokergegevens op systeemniveau van /var/lib/microsoft-identity-device-broker
  • Alleen bestanden aanraken die zijn voorafgegaan door drs_* of stk_* in certificaatmappen
  • Veilig: andere sleutels of certificaten worden niet gewijzigd

Belangrijke notities

  • Opschonen maakt de registratie van het apparaat niet ongedaan bij Entra-id
  • Als u het apparaat volledig wilt verwijderen, voert u afzonderlijk uit sudo dsreg --tenant-id <id> --unregister
  • Na het opschonen moeten gebruikers zich opnieuw aanmelden om PRT te herstellen
  • Zonder sudo uitvoeren wist alleen de gebruikerscache, niet de certificaten.

Probleemoplossingsproces

Kan brokerinstanties niet ophalen

Oorzaak: Broker draait niet of is niet geïnstalleerd Oplossing:

# Check if broker is running
systemctl status microsoft-identity-device-broker

# Start broker if needed
systemctl start microsoft-identity-device-broker

"Status van apparaatregistratie: niet geregistreerd"

Oorzaak: Het apparaat is niet geregistreerd bij entra-id-oplossing:

  1. Netwerkconnectiviteit met Entra-id controleren
  2. Controleren of het apparaat voldoet aan de registratievereisten
  3. Registratieproces uitvoeren voor uw organisatie

"PRT Present: NEE"

Oorzaak: Er is geen gebruiker aangemeld of PRT is verlopen :

  1. Aanmelden met entra-id-account
  2. Netwerkconnectiviteit controleren voor PRT-vernieuwing
  3. Tijdsynchronisatie controleren (PRT vereist nauwkeurige tijd)

Afsluitcodes

Code Meaning
0 Geslaagd (zelfs niet geregistreerd of geen PRT)
1 Ongeldige opdrachtregelargumenten
2 Kan niet initialiseren (broker is niet beschikbaar)
3 Query is mislukt met een foutmelding
4 Onvoldoende rechten (sudo vereist)
5 DRS-token vereist voor bewerking
6 Het afmelden van het apparaat is mislukt
7 Opschoning is mislukt
8 Opschoonbewerking door gebruiker geannuleerd

Beveiligingsarchitectuur

Scheiding van bevoegdheden

Het hulpprogramma implementeert beveiliging door een juiste scheiding van problemen:

  • Bedrijfslogicalaag (DeviceBrokerImpl): Geen bevoegdheidscontroles, testbare logica
  • IPC Boundary (DBusDispatcher): Afdwingen van beveiliging via callerUid validatie
  • Bewerkingen waarvoor root is vereist: afgedwongen op de D-Bus-grens, niet in de bedrijfslogica

Veiligheid tijdens schoonmaakactiviteiten

Het opschonen van certificaten is ontworpen om veilig te zijn:

  • Verwijdert alleen bestanden met drs_* of stk_* voorvoegsels in /etc/microsoft/identity-broker/private
  • Raakt nooit systeem- of gebruikerscertificaten aan
  • Geeft een bevestigingsprompt voor elke destructieve bewerking

Architecture

Het hulpprogramma maakt gebruik van bestaande brokeronderdelen:

  • DeviceBroker – voor apparaatregistratiequeries en geprivilegieerde operaties
  • BrokerCore : voor PRT en verificatiestatus
  • DeviceInfoAccessor - Voor het ophalen van apparaatgegevens
  • CacheManager : voor het lezen van referenties in cache
  • D-Bus IPC - Voor veilige communicatie met brokerservices

Het deelt dezelfde onderdelen als de broker, waardoor consistente resultaten worden gegarandeerd.

Vergelijking met Windows dsregcmd

Feature Windows dsregcmd Linux dsreg
Status apparaatdeelname ✓ ✓
Apparaat-id ✓ ✓
Huurder-ID ✓ ✓
PRT-status ✓ ✓
PRT-tijdstempels ✓ ✓
Vingerafdruk van certificaat ✓ ✓
Uitvoer met kleurcode ✗ ✓

Verwante inhoud

Zie de volgende Intune-documentatie voor meer informatie:

  • Laatst bijgewerkt om