云桌面部署麒麟系统用户，麒麟系统登录的用户名和密码怎样跟随账号用户名和密码

方案一：对接 AD / 麒麟天御域控（生产推荐，密码自动跟随更新）

原理

把麒麟虚拟机加入域（Windows AD 域 或者麒麟天御安全域），麒麟系统不再使用本地账号，全部使用域账号登录；账号、密码全部由域控统一维护。

1. Workspace 管理平台对接 LDAP，同步 AD / 麒麟天御域账号，云桌面客户端用域账号登录 Workspace；
2. 麒麟虚拟机镜像制作时安装【域加域组件】，虚拟机开机自动加入域；
3. 用户打开云桌面，直接使用域账号密码登录麒麟操作系统；域控修改用户密码，麒麟系统密码自动同步变更，不需要在云桌面平台、虚拟机内部改密码H3C。

操作步骤

1. Workspace 平台对接身份源系统-认证对接-主要认证-LDAP认证，配置 AD 域 / 麒麟天御域控服务器地址、管理员 DN、Base‑DN，开启用户自动同步，用户从域控同步到 Workspace 平台H3C。
2. 制作麒麟 V10 镜像模板（关键步骤）

• 安装银河麒麟 V10 操作系统，安装VdiAgent云桌面虚拟机代理；
• Agent 安装过程提示Continue installing the domain package?（yes/no）输入 yes，安装加域组件H3C；
• 配置域服务器信息，模板虚拟机先测试手动加入域，确认可以用域账号登录麒麟；
• 卸载镜像内部所有本地普通用户，只保留管理员，执行模板封装，生成发布镜像。

3. 发布桌面池 桌面池认证类型选择 LDAP（AD 域）/ 麒麟天御域；授权给同步过来的域用户。

用户登录云桌面客户端输入域账号密码，拉起麒麟虚拟机，登录界面直接输入域账号密码进入系统；域控修改密码，下次登录麒麟系统自动生效，自动跟随更新。

✅优点：密码统一在域控维护，自动同步；支持批量用户，密码修改、过期策略全部域控控制。 ⚠️约束：虚拟机网络必须可达域控服务器；断网情况下域账号会进入缓存登录模式。

方案二：Workspace 本地用户，使用代理自动创建 / 更新麒麟本地账号（不推荐大规模使用）

如果没有 AD / 麒麟天御域，只用 Workspace 平台本地账号，利用 VDI 代理的单点登录能力： 平台开启单点登录，单点登录密码类型选择：授权用户：以登录客户端的账户和密码登录云桌面操作系统H3C。

1. Workspace 平台：系统→高级设置→系统参数→桌面参数，开启单点登录；单点登录密码类型选择【授权用户】H3C。
2. 麒麟镜像完整安装 VdiAgent 代理组件，不要安装域组件。
3. 用户第一次登录云桌面拉起麒麟虚拟机：Agent 会自动在麒麟系统创建同名本地 Linux 用户，密码等于 Workspace 平台登录密码。
4. Workspace 平台修改该用户密码，用户重新连接云桌面，Agent 会自动修改麒麟本地用户的登录密码，实现跟随更新。

⚠️该方案重大限制

1. 麒麟用户名不能大写、不能特殊字符，用户名开头必须是英文字母，长度≤32 位；Workspace 本地用户名必须符合 Linux 用户名规范，否则创建用户失败，无法同步密码H3C；
2. 虚拟机内部管理员手动修改麒麟本地账号密码，下次用户登录会被 Agent 强制覆盖回 Workspace 平台密码；
3. 动态池场景每重新生成一台虚拟机，会重新创建用户；适合小规模测试，不建议正式业务大规模使用，优先推荐域控方案。

❌错误做法（很多人踩坑）

在麒麟镜像里提前创建固定本地账号，云桌面授权给 Workspace 平台用户。

结果：Workspace 平台修改密码，麒麟系统本地账号密码不会发生任何变化，二者完全独立，不能跟随更新。

常见排错

1. 域账号登录麒麟失败：检查虚拟机加域组件是否完整安装；虚拟机网络通域控；DNS 解析域控正常；时间和域控时间偏差不能大于 5 分钟。
2. 本地用户方案，密码不跟随更新：确认麒麟镜像 VdiAgent 代理版本和 Workspace 平台版本配套；单点登录密码类型选择【授权用户】，不是固定账号模式。
3. 麒麟用户名报错：Workspace 本地账号不能有大写、中文、特殊符号，要符合 Linux 账号命名规范。

两种方案选型对比

表格