Unir una VM d'Azure a Entra Domain Services: decidiu primer

Tres decisions es troben davant d'una VM de Windows Server que ha d'usar un directori gestionat, i l'ordre d'unió és la més petita de totes. Trieu el model de directori equivocat i la unió s'aconsegueix mentre l'aplicació encara no pot autenticar-se. Encertar malament la resolució de noms fa que la fallada aparegui en un punt que sembla un problema de credencials.

Decidiu el model, la resolució i el compte abans de tocar el servidor, i després l'ordre s'executa un sol cop.

Quina de les tres unions voleu realment

La unió de dispositiu registra una màquina a Microsoft Entra ID per a l'accés condicional i l'inici de sessió únic, i no dona a la càrrega cap tiquet Kerberos vers un domini a l'estil local. La unió de domini tradicional vincula un objecte d'ordinador dins d'un directori i li dona un compte d'equip, política de grup i autenticació de domini. Un domini gestionat ofereix aquest segon model com a servei. Els noms sonen semblants i els resultats no.

Només les dues últimes impliquen un controlador de domini en el sentit habitual, i només l'opció gestionada treu els servidors de la vostra llista de pedaços.

La decisió sol dependre de l'aplicació i no de la preferència. El programari que vol un bind LDAP, un compte de servei amb un SPN o objectes de política de grup pertany al model de domini. El programari que només necessita conèixer la identitat de l'usuari en un dispositiu corporatiu normalment no hi pertany.

El camí DNS decideix si la unió pot acabar

Una unió de domini comença amb una cerca de localitzador dels registres del controlador del domini, així que la resolució de noms ha de funcionar abans que es comprovi cap credencial. Apunteu la VM a les adreces de directori del domini gestionat, ja sigui mitjançant la configuració DNS de la xarxa virtual o mitjançant un reenviador condicional que només enviï aquest espai de noms cap allà. Un reenviador limitat a l'espai de noms sol ser l'opció més segura, perquè deixa la resta de la resolució de la VM intacta.

Proveu el localitzador i no un nom d'amfitrió nu. Un ping al nom del domini no demostra gairebé res, mentre que una consulta SRV dels registres del controlador del domini o bé retorna els destins esperats o bé falla immediatament:

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Substituïu el nom del domini i les dues adreces pels valors de la configuració del vostre domini gestionat; els números d'aquí són exemples. Si la consulta retorna respostes d'una altra zona, la VM usa un resolutor que no reenvia l'espai de noms gestionat, i cap reintent de la unió no ho canviarà.

Mantingueu la càrrega fora de la subxarxa que el domini gestionat reserva per als seus propis recursos de servei, i mantingueu els ports del directori en el camí privat. L'exposició pública d'aquests ports no és una drecera; és un disseny diferent amb un perfil de risc diferent.

L'elegibilitat del compte es comprova abans que la màquina

El compte que fa la unió necessita permís per crear un objecte d'ordinador al contenidor de destinació, i ha de poder autenticar-se contra el domini gestionat. Un compte només al núvol creat abans que existís el domini gestionat pot no tenir el material derivat de la contrasenya que el domini necessita, i un canvi o restabliment de contrasenya el regenera. Aquest detall explica una classe de fallades d'unió que semblen contrasenyes incorrectes quan la contrasenya és correcta. Proveu la credencial contra el domini abans que s'obri la finestra de manteniment.

Els comptes híbrids sincronitzats tenen els seus propis requisits previs que un objecte d'usuari visible no satisfà per si sol. Estar llistat al directori no és el mateix que poder-ne obtenir un tiquet, així que proveu el compte abans de la finestra de manteniment i no durant.

Delegueu el dret d'unió de manera estreta. Donar a cada futur usuari de servidor la pertinença d'administrador de domini perquè es pugui fer una inscripció és una concessió permanent per a un problema temporal.

La unió en si és una sola ordre

Amb el model triat, el DNS responent i el compte elegible, l'operació és l'habitual de Windows. L'indicador manté la contrasenya fora dels scripts i de l'historial de l'intèrpret:

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

L'ordre no reinicia la màquina per si sola en aquesta forma, així que el reinici es fa sota el pla de manteniment i amb el camí de recuperació encara disponible. Un servidor ja unit a un altre domini necessita un pla de migració, no una segona unió sobre la primera.

Anoteu el contenidor on ha anat a parar l'objecte d'ordinador i el compte que l'ha creat. Tots dos importen quan la màquina s'ha de tornar a unir després d'una reconstrucció, i cap dels dos no és evident des del servidor després.

Què no atorga la pertinença

La pertinença al domini no fa ningú administrador local, ni atorga accés a l'escriptori remot o a recursos compartits de fitxers. Aquests drets es configuren per separat, i en un domini gestionat es queden dins del seu abast administratiu suportat.

El camí de xarxa és una dependència contínua, no un pas de configuració. Si la connexió privada desapareix, el servidor continua funcionant amb credencials en memòria cau fins que alguna cosa necessiti el directori, i llavors la fallada arriba en un registre d'aplicació i no al costat de la configuració que va canviar.

La guia de Microsoft per a la unió de Windows Server llista els requisits previs suportats per al flux de treball del domini gestionat. Llegiu-la contra les tres decisions anteriors i tracteu qualsevol discrepància com un motiu per aturar-vos i no com un detall a esquivar.