الانضمام إلى جهاز Azure VM إلى Entra Domain Services: قرّر أولًا
ثلاثة قرارات تسبق الانضمام: نموذج الدليل الذي يحتاجه الحمل، وDNS خاصة تحلّ النطاق، وحساب قادر على المصادقة.
تقف ثلاثة قرارات أمام جهاز Windows Server VM عليه أن يستخدم دليلًا مُدارًا، وأمر الانضمام هو أصغرها. اختر نموذج الدليل الخطأ ينجح الانضمام بينما يظل التطبيق غير قادر على المصادقة. أخطئ في تحليل الأسماء يظهر العطل في نقطة تبدو كمشكلة بيانات اعتماد.
احسم النموذج والتحليل والحساب قبل لمس الخادم، ثم ينفَّذ الأمر مرة واحدة.
أي أنواع الانضمام الثلاثة تريده فعلًا
انضمام الجهاز يسجّل آلة لدى Microsoft Entra ID من أجل الوصول الشرطي وتسجيل الدخول الموحّد، ولا يمنح الحمل أي تذكرة Kerberos إلى نطاق على غرار النطاقات المحلية. أما انضمام النطاق التقليدي فيربط كائن حاسوب في دليل ويمنحه حساب آلة ونهج مجموعة ومصادقة نطاق. والنطاق المُدار يقدّم ذلك النموذج الثاني كخدمة. الأسماء تبدو متشابهة والنتائج ليست كذلك.
الخياران الأخيران فقط هما اللذان يشملان وحدة تحكم بالنطاق بالمعنى المألوف، والخيار المُدار وحده يزيل الخوادم من قائمة الترقيع لديك.
القرار يتوقف عادة على التطبيق لا على التفضيل. البرمجيات التي تريد ربط LDAP أو حساب خدمة مع SPN أو كائنات نهج المجموعة تنتمي إلى نموذج النطاق. والبرمجيات التي تحتاج فقط إلى معرفة هوية المستخدم على جهاز مؤسسي لا تنتمي إليه عادة.
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
مسار DNS يحدد ما إذا كان الانضمام سيكتمل
يبدأ انضمام النطاق بالبحث عن سجلات وحدات التحكم الخاصة بالنطاق، لذا يجب أن يعمل تحليل الأسماء قبل فحص أي بيانات اعتماد. وجّه الجهاز إلى عناوين دليل النطاق المُدار، إما عبر إعدادات DNS للشبكة الظاهرية أو عبر مُمرِّر شرطي يرسل تلك المساحة الاسمية وحدها إليها. والمُمرِّر المقيّد بالمساحة الاسمية هو الخيار الأكثر أمانًا عادة، لأنه يترك بقية تحليل أسماء الجهاز دون تغيير.
اختبر محدِّد الموقع لا اسم مضيف مجردًا. فبينغ إلى اسم النطاق لا يثبت شيئًا تقريبًا، بينما استعلام SRV لسجلات وحدات التحكم إما يعيد الأهداف المتوقعة أو يفشل فورًا:
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53استبدل اسم النطاق والعنوانين بالقيم من إعداد النطاق المُدار لديك؛ فالأرقام هنا أمثلة. وإذا أعاد الاستعلام إجابات منطقة أخرى، فالجهاز يستخدم مُحلِّلًا لا يمرّر المساحة الاسمية المُدارة، ولن يغيّر أي تكرار للانضمام ذلك.
أبقِ الحمل خارج الشبكة الفرعية التي يحتفظ بها النطاق المُدار لموارده الخدمية، وأبقِ منافذ الدليل على المسار الخاص. تعريض تلك المنافذ للعامة ليس اختصارًا؛ إنه تصميم مختلف بملف مخاطر مختلف.
أهلية الحساب تُفحص قبل الآلة
الحساب الذي ينفّذ الانضمام يحتاج إذنًا لإنشاء كائن حاسوب في الحاوية الهدف، ويجب أن يستطيع المصادقة على النطاق المُدار. الحساب السحابي فقط الذي أُنشئ قبل وجود النطاق المُدار قد يفتقر إلى المادة المشتقة من كلمة المرور التي يحتاجها النطاق، وتغيير كلمة المرور أو إعادة تعيينها يعيد توليدها. تلك التفصيلة تفسّر صنفًا من إخفاقات الانضمام التي تبدو ككلمات مرور خاطئة حين تكون كلمة المرور صحيحة. اختبر بيانات الاعتماد على النطاق قبل أن تُفتح نافذة الصيانة.
الحسابات الهجينة المتزامنة لها متطلباتها المسبقة التي لا يحققها كائن مستخدم ظاهر بمفرده. فأن تكون مُدرجًا في الدليل ليس كأن تكون قادرًا على الحصول على تذكرة منه، لذا اختبر الحساب قبل نافذة الصيانة لا خلالها.
فوّض حق الانضمام بضيق. منح كل مستخدم خادم مستقبلي عضوية مسؤول النطاق كي تتم عملية تسجيل واحدة هو منح دائم لمشكلة مؤقتة.
الانضمام نفسه أمر واحد
بعد اختيار النموذج وإجابة DNS وأهلية الحساب، تصبح العملية هي العملية المعتادة في Windows. الموجّه يُبقي كلمة المرور خارج النصوص البرمجية وسجل الصدفة:
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThruالأمر لا يعيد تشغيل الآلة من تلقاء نفسه بهذه الصيغة، لذا تحدث إعادة التشغيل ضمن خطة الصيانة مع بقاء مسار الاستعادة متاحًا. والخادم المنضم مسبقًا إلى نطاق آخر يحتاج خطة ترحيل، لا انضمامًا ثانيًا فوق الأول.
سجّل الحاوية التي استقر فيها كائن الحاسوب والحساب الذي أنشأه. كلاهما يهم عندما تحتاج الآلة إلى إعادة انضمام بعد إعادة بناء، وليس أي منهما واضحًا من الخادم لاحقًا.
ما لا تمنحه العضوية
عضوية النطاق لا تجعل أحدًا مسؤولًا محليًا، ولا تمنح الوصول إلى سطح المكتب البعيد أو مشاركة الملفات. تلك الحقوق تُعدّ بشكل منفصل، وعلى نطاق مُدار تبقى ضمن نطاقه الإداري المدعوم.
مسار الشبكة اعتماد مستمر وليس خطوة إعداد. إذا اختفى الاتصال الخاص، يظل الخادم يعمل ببيانات اعتماد مخزّنة مؤقتًا حتى يحتاج شيء ما إلى الدليل، وحينها يصل العطل في سجل تطبيق لا بجوار الإعداد الذي تغيّر.
إرشادات الانضمام إلى Windows Server لدى Microsoft تسرد المتطلبات المسبقة المدعومة لسير عمل النطاق المُدار. اقرأها مقابل القرارات الثلاثة أعلاه، واعتبر أي تعارض سببًا للتوقف لا تفصيلًا للالتفاف عليه.