Azure VM-i liitmine Entra Domain Servicesiga: otsustage kõigepealt

Windows Serveri VM-i ees, mis peab kasutama hallatavat kataloogi, seisab kolm otsust ja liitumiskäsk on neist väikseim. Valige vale kataloogimudel ja liitumine õnnestub, samal ajal kui rakendus ei suuda endiselt autentida. Eksige nimeotsingus ja tõrge ilmub kohas, mis näeb välja nagu volituste probleem.

Otsustage mudel, lahendus ja konto enne, kui serverit puudutate, siis jookseb käsk üks kord.

Millist kolmest liitumisest te tegelikult soovite

Seadme liitumine registreerib masina Microsoft Entra ID-s tingimusliku juurdepääsu ja ühekordse sisselogimise jaoks ega anna töökoormusele Kerberose piletit kohalikus stiilis domeeni. Traditsiooniline domeeniga liitumine seob arvutiobjekti kataloogi ja annab sellele masinakonto, rühmadirektiivi ja domeeni autentimise. Hallatav domeen pakub seda teist mudelit teenusena. Nimed kõlavad sarnaselt ja tulemused mitte.

Ainult kaks viimast hõlmavad domeenikontrollerit tavapärases mõttes ja ainult hallatav valik eemaldab serverid teie paigaldusloendist.

Otsus sõltub tavaliselt rakendusest, mitte eelistusest. Tarkvara, mis tahab LDAP-i sidumist, SPN-iga teenusekontot või rühmadirektiivi objekte, kuulub domeenimudelisse. Tarkvara, mis peab lihtsalt teadma kasutaja identiteeti ettevõtte seadmes, tavaliselt ei kuulu.

DNS-i tee otsustab, kas liitumine saab lõpule jõuda

Domeeniga liitumine algab domeeni kontrollerikirjete lokaatori otsinguga, seega peab nimeotsing töötama enne mis tahes volituste kontrollimist. Suunake VM hallatava domeeni kataloogiaadressidele kas virtuaalvõrgu DNS-i seadetes või tingimusliku edastajaga, mis saadab sinna ainult selle nimeruumi. Nimeruumiga piiratud edastaja on tavaliselt turvalisem valik, sest jätab ülejäänud VM-i otsingu puutumata.

Testige lokaatorit, mitte paljast hostinime. Domeeni nimele tehtud ping ei tõesta peaaegu midagi, samas kui domeenikontrolleri kirjete SRV-päring kas tagastab oodatud sihid või ebaõnnestub kohe:

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Asendage domeeni nimi ja kaks aadressi hallatava domeeni konfiguratsiooni väärtustega; siinsed numbrid on näited. Kui päring tagastab teise tsooni vastused, kasutab VM lahendajat, mis ei edasta hallatavat nimeruumi, ja liitumise kordamine ei muuda seda.

Hoidke töökoormus väljaspool alamvõrku, mille hallatav domeen reserveerib oma teenuseressurssidele, ja hoidke kataloogi pordid privaatsel teel. Nende portide avalik paljastamine ei ole otsetee; see on teistsugune disain, millel on teistsugune riskiprofiil.

Konto sobivust kontrollitakse enne masinat

Liitumist teostav konto vajab õigust luua sihtkogumis arvutiobjekt ja peab suutma hallatava domeeni vastu autentida. Enne hallatava domeeni olemasolu loodud ainult pilvekonto võib puududa domeeni vajalik paroolist tuletatud materjal, ja parooli muutmine või lähtestamine loob selle uuesti. See üksikasjalik seletab liitumistõrgete klassi, mis näevad välja nagu valed paroolid, kui parool on õige. Testige volitusi domeeni vastu enne hooldusakna avanemist.

Sünkroonitud hübriidkontodel on omad eeldused, mida nähtav kasutajaobjekt üksi ei täida. Kataloogis loetletud olemine ei ole sama, mis sealt pileti saamise võime, seega testige kontot enne hooldusakent, mitte selle ajal.

Delegeerige liitumisõigus kitsalt. Iga tulevase serverikasutaja domeeniadministraatori liikmeks tegemine, et üks registreerimine saaks toimuda, on alaline luba ajutise probleemi jaoks.

Liitumine ise on üks käsk

Kui mudel on valitud, DNS vastab ja konto on sobiv, on toiming tavaline Windowsi toiming. Viip hoiab parooli skriptidest ja kesta ajaloost väljas:

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

Käsk ei taaskäivita masinat iseenesest sellisel kujul, seega taaskäivitamine toimub hooldusplaani järgi ja taastetee on endiselt saadaval. Juba teise domeeniga liitunud server vajab migratsiooniplaani, mitte teist liitumist esimese peale.

Kirjutage üles kogum, kuhu arvutiobjekt maandus, ja konto, mis selle lõi. Mõlemad on olulised, kui masin tuleb pärast ülesehitust uuesti liita, ja kumbki ei ole serverist hiljem ilmne.

Mida liikmelisus ei anna

Domeeni liikmelisus ei tee kedagi kohalikuks administraatoriks ega anna juurdepääsu kaugtöölauale või failijagamisele. Need õigused seadistatakse eraldi ja hallatavas domeenis jäävad need selle toetatud haldusulatuse sisse.

Võrgutee on pidev sõltuvus, mitte seadistamise samm. Kui privaatne ühendus kaob, jätkab server tööd vahemällu salvestatud volitustega, kuni midagi vajab kataloogi, ja siis saabub tõrge rakenduse logisse, mitte muutunud konfiguratsiooni kõrvale.

Microsofti Windows Serveri liitumise juhend loetleb hallatava domeeni töövoo toetatud eeldused. Lugege seda ülaltoodud kolme otsuse vastu ja käsitlege mis tahes lahknevust põhjusena peatuda, mitte üksikasjana, millest mööda minna.