Připojení Azure VM k Entra Domain Services: nejdřív rozhodněte
Připojení předcházejí tři rozhodnutí: model adresáře, který pracovní zátěž potřebuje, privátní DNS, které doménu překládá, a účet, který se dokáže ověřit.
Před virtuálním počítačem s Windows Serverem, který musí používat spravovaný adresář, stojí tři rozhodnutí a příkaz k připojení je z nich nejmenší. Zvolte špatný model adresáře a připojení uspěje, zatímco aplikace se stále nedokáže ověřit. Spletete-li překlad názvů, selhání se objeví v místě, které vypadá jako problém s přihlašovacími údaji.
Vyřešte model, překlad i účet dřív, než se dotknete serveru, a pak se příkaz spustí jednou.
Které ze tří připojení vlastně chcete
Připojení zařízení zaregistruje stroj v Microsoft Entra ID pro podmíněný přístup a jednotné přihlášení a nedá pracovní zátěži žádný tiket Kerberos do domény v místním stylu. Tradiční připojení k doméně sváže objekt počítače do adresáře a dá mu účet stroje, zásady skupiny a ověřování domény. Spravovaná doména nabízí tento druhý model jako službu. Názvy znějí podobně, výsledky ne.
Jen poslední dvě zahrnují řadič domény v běžném smyslu a jen spravovaná možnost odstraní servery z vašeho seznamu záplat.
Rozhodnutí obvykle závisí na aplikaci, ne na preferenci. Software, který chce LDAP bind, servisní účet s SPN nebo objekty zásad skupiny, patří do modelu domény. Software, který jen potřebuje znát identitu uživatele na firemním zařízení, tam obvykle nepatří.
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
Cesta DNS rozhoduje, zda se připojení dokončí
Připojení k doméně začíná vyhledáním lokátoru pro záznamy řadičů domény, takže překlad názvů musí fungovat dřív, než se zkontroluje jakýkoli přihlašovací údaj. Nasměrujte virtuální počítač na adresy adresáře spravované domény, buď přes nastavení DNS virtuální sítě, nebo přes podmíněný předávací server, který tam posílá jen tento jmenný prostor. Předávací server omezený na jmenný prostor je obvykle bezpečnější volba, protože zbytek překladu virtuálního počítače nechá být.
Testujte lokátor, ne holé jméno hostitele. Ping na jméno domény neprokazuje téměř nic, zatímco dotaz SRV na záznamy řadičů domény buď vrátí očekávané cíle, nebo okamžitě selže:
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53Nahraďte jméno domény a obě adresy hodnotami z konfigurace spravované domény; čísla zde jsou příklady. Pokud dotaz vrací odpovědi jiné zóny, virtuální počítač používá překladač, který spravovaný jmenný prostor nepředává, a žádné opakování připojení to nezmění.
Držte pracovní zátěž mimo podsíť, kterou si spravovaná doména vyhrazuje pro vlastní servisní prostředky, a držte porty adresáře na privátní cestě. Veřejné vystavení těchto portů není zkratka; je to jiný návrh s jiným rizikovým profilem.
Způsobilost účtu se kontroluje dřív než stroj
Účet, který připojení provádí, potřebuje oprávnění vytvořit objekt počítače v cílovém kontejneru a musí se dokázat ověřit vůči spravované doméně. Účet pouze v cloudu vytvořený před existencí spravované domény může postrádat materiál odvozený z hesla, který doména potřebuje, a změna nebo reset hesla ho znovu vytvoří. Tento detail vysvětluje třídu selhání připojení, která vypadají jako špatná hesla, když je heslo správné. Otestujte přihlašovací údaj vůči doméně dřív, než se otevře okno údržby.
Synchronizované hybridní účty mají vlastní předpoklady, které viditelný objekt uživatele sám nesplňuje. Být uveden v adresáři není totéž jako mít z něj možnost získat tiket, proto účet otestujte před oknem údržby, ne během něj.
Přidělte právo připojení úzce. Dát každému budoucímu uživateli serveru členství v administrátorech domény, aby proběhla jedna registrace, je trvalé oprávnění za dočasný problém.
Připojení samo je jeden příkaz
Když je model zvolen, DNS odpovídá a účet je způsobilý, operace je ta obvyklá ve Windows. Výzva drží heslo mimo skripty a historii shellu:
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThruPříkaz v této podobě stroj sám nerestartuje, takže restart proběhne podle plánu údržby a s dosud dostupnou cestou obnovy. Server už připojený k jiné doméně potřebuje plán migrace, ne druhé připojení přes to první.
Zaznamenejte kontejner, do kterého objekt počítače přistál, a účet, který ho vytvořil. Obojí je důležité, když je stroj potřeba znovu připojit po přestavbě, a ani jedno není ze serveru později zřejmé.
Co členství neuděluje
Členství v doméně nikoho neudělá lokálním administrátorem a neuděluje přístup ke vzdálené ploše ani ke sdíleným souborům. Tato práva se konfigurují zvlášť a ve spravované doméně zůstávají v rámci její podporované administrativní působnosti.
Síťová cesta je trvalá závislost, ne krok při nastavení. Pokud privátní spojení zmizí, server běží dál s uloženými přihlašovacími údaji, dokud něco nepotřebuje adresář, a pak selhání dorazí do protokolu aplikace, ne vedle konfigurace, která se změnila.
Pokyny Microsoftu k připojení Windows Serveru uvádějí podporované předpoklady pro postup se spravovanou doménou. Čtěte je proti třem rozhodnutím výše a každý nesoulad berte jako důvod zastavit, ne jako detail, který je třeba obejít.