Azure VM-i Entra Domain Services-ə qoşmaq: əvvəlcə qərar verin

Windows Server VM-inin qarşısında idarə olunan kataloqdan istifadə etməli olduğu üç qərar dayanır və qoşulma əmri bunların ən kiçiyidir. Səhv kataloq modeli seçin və qoşulma uğur qazanar, tətbiq isə hələ də autentifikasiya edə bilməz. Ad həllini səhv edin və nasazlıq etimad məlumatı problemi kimi görünən yerdə üzə çıxar.

Serverə toxunmadan modeli, həlli və hesabı qətiləşdirin, sonra əmr bir dəfə işləyər.

Üç qoşulmadan hansını həqiqətən istəyirsiniz

Cihaz qoşulması maşını şərti giriş və vahid giriş üçün Microsoft Entra ID-də qeydiyyata alır və iş yükünə yerli üslubda domene Kerberos bileti vermir. Ənənəvi domen qoşulması kompüter obyektini kataloqa bağlayır və ona maşın hesabı, qrup siyasəti və domen autentifikasiyası verir. İdarə olunan domen ikinci modeli xidmət kimi təqdim edir. Adlar oxşar səslənir, nəticələr isə yox.

Yalnız son iki variant adi mənada domen nəzarətçisini əhatə edir və yalnız idarə olunan seçim serverləri yamaq siyahınızdan çıxarır.

Qərar adətən üstünlükdən deyil, tətbiqdən asılı olur. LDAP bağlantısı, SPN ilə xidmət hesabı və ya qrup siyasəti obyektləri istəyən proqram domen modelinə aiddir. Korporativ cihazda yalnız istifadəçinin kimliyini bilməsi kifayət edən proqram adətən aid deyil.

DNS yolu qoşulmanın tamamlana biləcəyini müəyyən edir

Domen qoşulması domenin nəzarətçi qeydləri üçün lokator axtarışı ilə başlayır, ona görə ad həlli hər hansı etimad məlumatı yoxlanmadan əvvəl işləməlidir. VM-i idarə olunan domenin kataloq ünvanlarına yönəldin: ya virtual şəbəkənin DNS parametrləri ilə, ya da yalnız həmin ad sahəsini ora göndərən şərti yönləndirici ilə. Ad sahəsi ilə məhdudlaşan yönləndirici adətən daha təhlükəsiz seçimdir, çünki VM-in qalan həllini toxunmadan qoyur.

Sadə host adı deyil, lokatoru sınayın. Domen adına ping demək olar ki, heç nə sübut etmir, domen nəzarətçi qeydləri üçün SRV sorğusu isə ya gözlənilən hədəfləri qaytarır, ya da dərhal uğursuz olur:

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Domen adını və iki ünvanı idarə olunan domen konfiqurasiyanızdakı dəyərlərlə əvəz edin; buradakı rəqəmlər nümunədir. Sorğu başqa zonanın cavablarını qaytarırsa, VM idarə olunan ad sahəsini yönləndirməyən həlledicidən istifadə edir və qoşulmanı nə qədər təkrarlasanız da bu dəyişməz.

İş yükünü idarə olunan domenin öz xidmət resursları üçün saxladığı alt şəbəkədən kənarda saxlayın və kataloq portlarını şəxsi yolda saxlayın. Bu portların açıq şəkildə ifşa edilməsi qısa yol deyil; bu, fərqli risk profili olan fərqli bir dizayndır.

Hesab uyğunluğu maşından əvvəl yoxlanılır

Qoşulmanı həyata keçirən hesabın hədəf konteynerdə kompüter obyekti yaratmaq icazəsi olmalı və idarə olunan domenə qarşı autentifikasiya edə bilməlidir. İdarə olunan domen mövcud olmadan əvvəl yaradılmış yalnız bulud hesabı domenin ehtiyac duyduğu paroldan törəmə materiala malik olmaya bilər və parol dəyişikliyi və ya sıfırlama onu yenidən yaradır. Bu detal, parol düzgün olduqda səhv parollar kimi görünən qoşulma nasazlıqları sinfini izah edir. Etimad məlumatını texniki xidmət pəncərəsi açılmadan əvvəl domenə qarşı sınayın.

Sinxronlaşdırılmış hibrid hesabların görünən istifadəçi obyektinin təkbaşına ödəmədiyi öz ilkin şərtləri var. Kataloqda siyahıya alınmaq ondan bilet ala bilməklə eyni deyil, ona görə hesabı texniki xidmət pəncərəsindən əvvəl sınayın, onun ərzində deyil.

Qoşulma hüququnu dar şəkildə həvalə edin. Bir qeydiyyat baş versin deyə hər gələcək server istifadəçisinə domen administratoru üzvlüyü vermək müvəqqəti problem üçün daimi icazədir.

Qoşulmanın özü bir əmrdir

Model seçildikdə, DNS cavab verdikdə və hesab uyğun olduqda əməliyyat adi Windows əməliyyatıdır. İstem parolu skriptlərdən və qabıq tarixindən kənarda saxlayır:

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

Əmr bu formada maşını özü yenidən başlatmır, ona görə yenidən başlatma texniki xidmət planı çərçivəsində və bərpa yolu hələ mövcud ikən baş verir. Artıq başqa domendə qoşulmuş server miqrasiya planına ehtiyac duyur, birincinin üzərinə ikinci qoşulmaya deyil.

Kompüter obyektinin düşdüyü konteyneri və onu yaradan hesabı qeyd edin. Yenidən qurmadan sonra maşın yenidən qoşulmalı olduqda hər ikisi vacibdir və heç biri sonradan serverdən görünmür.

Üzvlüyün vermədiyi şeylər

Domen üzvlüyü heç kəsi yerli administrator etmir və uzaq iş masası və ya fayl paylaşımı girişi vermir. Bu hüquqlar ayrıca konfiqurasiya olunur və idarə olunan domendə onun dəstəklənən inzibati əhatəsi daxilində qalır.

Şəbəkə yolu quraşdırma addımı deyil, davamlı asılılıqdır. Şəxsi bağlantı yox olarsa, server keşlənmiş etimad məlumatları ilə işləməyə davam edir, ta ki nəyəsə kataloq lazım olana qədər və sonra nasazlıq dəyişən konfiqurasiyanın yanında deyil, tətbiq jurnalında gəlir.

Microsoft-un Windows Server qoşulma təlimatı idarə olunan domen iş axını üçün dəstəklənən ilkin şərtləri sadalayır. Onu yuxarıdakı üç qərarla müqayisədə oxuyun və hər hansı uyğunsuzluğu yan keçiləcək detal deyil, dayanma səbəbi hesab edin.