Azure VM mit Entra Domain Services verbinden: erst entscheiden

Drei Entscheidungen stehen vor einer Windows Server VM, die ein verwaltetes Verzeichnis nutzen muss, und der Beitrittsbefehl ist die kleinste davon. Wählen Sie das falsche Verzeichnismodell, gelingt der Beitritt, während die Anwendung sich weiterhin nicht authentifizieren kann. Geht die Namensauflösung daneben, erscheint der Fehler an einer Stelle, die wie ein Anmeldedatenproblem aussieht.

Klären Sie Modell, Auflösung und Konto, bevor Sie den Server anfassen, dann läuft der Befehl einmal.

Welchen der drei Beitritte Sie wirklich wollen

Ein Gerätebeitritt registriert eine Maschine bei Microsoft Entra ID für bedingten Zugriff und einmaliges Anmelden und gibt der Arbeitslast kein Kerberos-Ticket zu einer Domäne nach lokaler Art. Ein klassischer Domänenbeitritt bindet ein Computerobjekt in ein Verzeichnis ein und gibt ihm ein Maschinenkonto, Gruppenrichtlinie und Domänenauthentifizierung. Eine verwaltete Domäne stellt das zweite Modell als Dienst bereit. Die Namen klingen ähnlich, die Ergebnisse nicht.

Nur die letzten beiden beinhalten einen Domänencontroller im gewöhnlichen Sinn, und nur die verwaltete Variante nimmt die Server von Ihrer Patchliste.

Die Entscheidung hängt meist von der Anwendung ab und nicht von der Vorliebe. Software, die eine LDAP-Bindung, ein Dienstkonto mit einem SPN oder Gruppenrichtlinienobjekte will, gehört in das Domänenmodell. Software, die nur die Identität des Benutzers auf einem Firmengerät kennen muss, gehört meist nicht dorthin.

Der DNS-Pfad entscheidet, ob der Beitritt fertig werden kann

Ein Domänenbeitritt beginnt mit einer Locator-Abfrage nach den Controller-Einträgen der Domäne, also muss die Namensauflösung funktionieren, bevor irgendwelche Anmeldedaten geprüft werden. Richten Sie die VM auf die Verzeichnisadressen der verwalteten Domäne, entweder über die DNS-Einstellungen des virtuellen Netzwerks oder über einen bedingten Weiterleiter, der nur diesen Namensraum dorthin schickt. Ein auf den Namensraum begrenzter Weiterleiter ist meist die sicherere Wahl, weil er den Rest der Auflösung der VM unangetastet lässt.

Prüfen Sie den Locator statt einen bloßen Hostnamen. Ein Ping auf den Domänennamen beweist fast nichts, während eine SRV-Abfrage der Domänencontroller-Einträge entweder die erwarteten Ziele liefert oder sofort scheitert:

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Ersetzen Sie den Domänennamen und die beiden Adressen durch die Werte aus Ihrer Konfiguration der verwalteten Domäne; die Zahlen hier sind Beispiele. Liefert die Abfrage Antworten einer anderen Zone, nutzt die VM einen Resolver, der den verwalteten Namensraum nicht weiterleitet, und kein noch so häufiges Wiederholen des Beitritts ändert das.

Halten Sie die Arbeitslast aus dem Subnetz heraus, das die verwaltete Domäne für ihre eigenen Dienstressourcen reserviert, und halten Sie die Verzeichnisports auf dem privaten Pfad. Die öffentliche Freigabe dieser Ports ist keine Abkürzung; sie ist ein anderes Design mit einem anderen Risikoprofil.

Die Kontoeignung wird vor der Maschine geprüft

Das Konto, das den Beitritt ausführt, braucht die Berechtigung, ein Computerobjekt im Zielcontainer zu erstellen, und es muss sich gegen die verwaltete Domäne authentifizieren können. Ein reines Cloudkonto, das vor der verwalteten Domäne angelegt wurde, hat möglicherweise nicht das vom Kennwort abgeleitete Material, das die Domäne braucht, und eine Kennwortänderung oder -zurücksetzung erzeugt es neu. Dieses Detail erklärt eine Klasse von Beitrittsfehlern, die wie falsche Kennwörter aussehen, obwohl das Kennwort richtig ist. Testen Sie die Anmeldedaten gegen die Domäne, bevor das Wartungsfenster öffnet.

Synchronisierte Hybridkonten haben ihre eigenen Voraussetzungen, die ein sichtbares Benutzerobjekt allein nicht erfüllt. Im Verzeichnis aufgeführt zu sein ist nicht dasselbe, wie ein Ticket daraus beziehen zu können, also testen Sie das Konto vor dem Wartungsfenster statt währenddessen.

Delegieren Sie das Beitrittsrecht eng. Jedem künftigen Serverbenutzer Domänenadministrator-Mitgliedschaft zu geben, damit eine Registrierung stattfinden kann, ist eine dauerhafte Gewährung für ein vorübergehendes Problem.

Der Beitritt selbst ist ein Befehl

Mit gewähltem Modell, antwortendem DNS und geeignetem Konto ist der Vorgang der gewöhnliche Windows-Vorgang. Die Eingabeaufforderung hält das Kennwort aus Skripten und Shell-Verlauf heraus:

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

Der Befehl startet die Maschine in dieser Form nicht von selbst neu, sodass der Neustart im Wartungsplan und mit weiterhin verfügbarem Wiederherstellungspfad erfolgt. Ein Server, der bereits einer anderen Domäne beigetreten ist, braucht einen Migrationsplan, keinen zweiten Beitritt über den ersten.

Notieren Sie den Container, in dem das Computerobjekt gelandet ist, und das Konto, das es erstellt hat. Beides zählt, wenn die Maschine nach einem Neuaufbau erneut beitreten muss, und keines von beiden ist später vom Server aus offensichtlich.

Was die Mitgliedschaft nicht gewährt

Domänenmitgliedschaft macht niemanden zum lokalen Administrator und gewährt keinen Zugriff auf Remotedesktop oder Dateifreigaben. Diese Rechte werden getrennt konfiguriert, und in einer verwalteten Domäne bleiben sie innerhalb ihres unterstützten Verwaltungsumfangs.

Der Netzwerkpfad ist eine dauerhafte Abhängigkeit und kein Einrichtungsschritt. Verschwindet die private Verbindung, läuft der Server mit zwischengespeicherten Anmeldedaten weiter, bis etwas das Verzeichnis braucht, und dann kommt der Fehler in einem Anwendungsprotokoll an und nicht neben der Konfiguration, die sich geändert hat.

Microsofts Anleitung zum Beitritt von Windows Server listet die unterstützten Voraussetzungen für den Ablauf mit verwalteter Domäne auf. Lesen Sie sie gegen die drei Entscheidungen oben und behandeln Sie jede Abweichung als Grund zum Anhalten und nicht als Detail, das man umgeht.