Ymuno â VM Azure ag Entra Domain Services: penderfynwch yn gyntaf

Mae tri phenderfyniad o flaen VM Windows Server y mae'n rhaid iddi ddefnyddio cyfeiriadur rheoledig, a'r gorchymyn ymuno yw'r lleiaf ohonynt. Dewiswch y model cyfeiriadur anghywir a bydd yr ymuniad yn llwyddo tra nad yw'r cymhwysiad yn gallu dilysu o hyd. Camgymerwch y datrysiad enwau a bydd y methiant yn ymddangos mewn man sy'n edrych fel problem â manylion mewngofnodi.

Setlwch y model, y datrysiad a'r cyfrif cyn cyffwrdd â'r gweinydd, yna mae'r gorchymyn yn rhedeg unwaith.

Pa un o'r tri ymuniad sydd ei angen arnoch mewn gwirionedd

Mae ymuno â dyfais yn cofrestru peiriant gyda Microsoft Entra ID ar gyfer mynediad amodol ac un arwyddiad, ac nid yw'n rhoi tocyn Kerberos i'r llwyth gwaith i barth ar ddull lleol. Mae ymuno â pharth traddodiadol yn rhwymo gwrthrych cyfrifiadur mewn cyfeiriadur ac yn rhoi cyfrif peiriant, polisi grŵp a dilysiad parth iddo. Mae parth rheoledig yn darparu'r ail fodel hwnnw fel gwasanaeth. Mae'r enwau'n swnio'n debyg ac nid yw'r canlyniadau.

Dim ond y ddau olaf sy'n cynnwys rheolydd parth yn yr ystyr arferol, a dim ond yr opsiwn rheoledig sy'n tynnu'r gweinyddwyr oddi ar eich rhestr clytio.

Mae'r penderfyniad fel arfer yn dibynnu ar y cymhwysiad yn hytrach nag ar ddymuniad. Mae meddalwedd sydd eisiau rhwymiad LDAP, cyfrif gwasanaeth gyda SPN, neu wrthrychau polisi grŵp yn perthyn i'r model parth. Mae meddalwedd sydd ond angen gwybod pwy yw'r defnyddiwr ar ddyfais gorfforaethol fel arfer yn perthyn iddi ddim.

Llwybr DNS sy'n penderfynu a all yr ymuniad orffen

Mae ymuno â pharth yn dechrau gyda chwiliad lleolydd ar gyfer cofnodion rheolydd y parth, felly rhaid i ddatrysiad enwau weithio cyn i unrhyw fanylyn mewngofnodi gael ei wirio. Pwyntiwch y VM at gyfeiriadau cyfeiriadur y parth rheoledig, naill ai drwy osodiadau DNS y rhwydwaith rhithwir neu drwy anfonydd amodol sy'n anfon y gofod enw hwnnw'n unig atynt. Mae anfonydd wedi'i gyfyngu i'r gofod enw fel arfer yn ddewis mwy diogel, oherwydd mae'n gadael gweddill datrysiad y VM yn llonydd.

Profwch y lleolydd yn hytrach na gwesteiwr noeth. Nid yw ping i enw'r parth yn profi fawr ddim, tra bo ymholiad SRV ar gyfer cofnodion rheolydd y parth naill ai'n dychwelyd y targedau disgwyliedig neu'n methu ar unwaith:

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Amnewidiwch enw'r parth a'r ddau gyfeiriad â'r gwerthoedd o'ch ffurfweddiad parth rheoledig; mae'r rhifau yma yn enghreifftiau. Os yw'r ymholiad yn dychwelyd atebion parth arall, mae'r VM yn defnyddio datryswr nad yw'n anfon y gofod enw rheoledig ymlaen, ac ni fydd ailgynnig yr ymuniad yn newid hynny.

Cadwch y llwyth gwaith allan o'r isrwydwaith mae'r parth rheoledig yn ei gadw ar gyfer ei adnoddau gwasanaeth ei hun, a chadwch borthladdoedd y cyfeiriadur ar y llwybr preifat. Nid yw datgelu'r porthladdoedd hynny'n gyhoeddus yn llwybr byr; mae'n ddyluniad gwahanol â phroffil risg gwahanol.

Gwiriwyd cymhwyster y cyfrif cyn y peiriant

Mae angen caniatâd ar y cyfrif sy'n gwneud yr ymuniad i greu gwrthrych cyfrifiadur yn y cynhwysydd targed, a rhaid iddo allu dilysu yn erbyn y parth rheoledig. Gall cyfrif cwmwl yn unig a grëwyd cyn bod y parth rheoledig yn bodoli fod heb y deunydd a ddeillir o'r cyfrinair y mae'r parth ei angen, ac mae newid neu ailosod cyfrinair yn ei ailddylunio. Mae'r manylyn hwnnw'n egluro dosbarth o fethiannau ymuno sy'n edrych fel cyfrineiriau anghywir pan fo'r cyfrinair yn gywir. Profwch y manylyn mewngofnodi yn erbyn y parth cyn i'r ffenestr gynnal agor.

Mae gan gyfrifon hybrid cydamserol eu rhinweddau eu hunain nad yw gwrthrych defnyddiwr gweladwy yn eu bodloni ar ei ben ei hun. Nid yw bod ar y rhestr yn y cyfeiriadur yr un peth â gallu cael tocyn ohono, felly profwch y cyfrif cyn y ffenestr gynnal yn hytrach nag yn ystod.

Dirprwywch yr hawl ymuno'n gyfyng. Rhoi aelodaeth gweinyddwr parth i bob defnyddiwr gweinydd yn y dyfodol fel y gall un cofrestriad ddigwydd yw grant parhaol am broblem dros dro.

Yr ymuniad ei hun yw un gorchymyn

Gyda'r model wedi'i ddewis, DNS yn ateb a'r cyfrif yn gymwys, y gweithrediad yw'r un arferol yn Windows. Mae'r anogwr yn cadw'r cyfrinair allan o sgriptiau a hanes y plisgyn:

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

Nid yw'r gorchymyn yn ailgychwyn y peiriant ar ei ben ei hun yn y ffurf hon, felly mae'r ailgychwyn yn digwydd o dan y cynllun cynnal a chadw a chyda'r llwybr adfer yn dal ar gael. Mae angen cynllun mudo ar weinydd sydd eisoes wedi ymuno â pharth arall, nid ail ymuniad dros y cyntaf.

Cofnodwch y cynhwysydd y glaniodd gwrthrych y cyfrifiadur ynddo a'r cyfrif a'i creodd. Mae'r ddau yn bwysig pan fo angen ailymuno â'r peiriant ar ôl ailadeiladu, ac nid yw'r naill na'r llall yn amlwg o'r gweinydd wedyn.

Yr hyn nad yw aelodaeth yn ei rhoi

Nid yw aelodaeth parth yn gwneud unrhyw un yn weinyddwr lleol, ac nid yw'n rhoi mynediad i'r bwrdd gwaith o bell nac i rannu ffeiliau. Mae'r hawliau hynny'n cael eu ffurfweddu ar wahân, ac ar barth rheoledig maent yn aros o fewn ei gwmpas gweinyddol a gynhwysir.

Mae'r llwybr rhwydwaith yn ddibyniaeth barhaus yn hytrach na cham gosod. Os yw'r cysylltiad preifat yn diflannu, mae'r gweinydd yn dal i redeg â manylion mewngofnodi wedi'u storio nes bod rhywbeth angen y cyfeiriadur, ac yna mae'r methiant yn cyrraedd mewn cofnod cymhwysiad yn hytrach nag wrth ymyl y ffurfweddiad a newidiodd.

Mae canllaw Microsoft ar ymuno â Windows Server yn rhestru'r rhagofynion a gynhwysir ar gyfer y llif gwaith parth rheoledig. Darllenwch ef yn erbyn y tri phenderfyniad uchod, a thriniwch unrhyw anghysondeb fel rheswm i stopio yn hytrach na manylyn i'w osgoi.