Azure VM bat Entra Domain Services-era batu: erabaki aurrena

Hiru erabaki daude kudeatutako direktorioa erabili behar duen Windows Server VM baten aurrean, eta batzeko komandoa horietako txikiena da. Aukeratu direktorio-eredu okerra eta batzea lortuko da aplikazioa oraindik autentifikatu ezin den bitartean. Egin huts izenen ebazpenean eta hutsak kredentzialen arazoa dirudien puntuan agertuko da.

Erabaki eredua, ebazpena eta kontua zerbitzaria ukitu aurretik, eta gero komandoa behin exekutatuko da.

Zein hiru batze nahi duzun benetan

Gailuaren batzeak makina bat erregistratzen du Microsoft Entra IDn sarbide baldintzatu eta saio-hasiera bakarrerako, eta ez dio lan-kargari Kerberos txartelik ematen estilo lokaleko domeinu batera. Domeinuaren batze tradizionalak ordenagailu-objektu bat direktorioan lotzen du eta makinaren kontua, talde-politika eta domeinuaren autentifikazioa ematen dizkio. Domeinu kudeatuak bigarren eredu hori zerbitzu gisa eskaintzen du. Izenek antzeko soinua dute eta emaitzek ez.

Azken biak soilik dira domeinu-kontrolatzailea ohiko zentzuan dakartenak, eta aukera kudeatuak bakarrik kentzen ditu zerbitzariak zure aditze-zerrendatik.

Erabakia aplikazioaren araberakoa izaten da normalean, eta ez lehentasunaren araberakoa. LDAP lotura, SPN duen zerbitzu-kontua edo talde-politikaren objektuak nahi dituen softwarea domeinu-ereduan sartzen da. Gailu korporatiboan erabiltzailearen identitatea ezagutu behar duen softwarea ez da normalean sartzen.

DNS bideak erabakitzen du batzea amai daitekeen

Domeinuaren batzea domeinuaren kontrolatzaile-erregistroen lokalizatzaile bilaketarekin hasten da, beraz izenen ebazpenak funtzionatu behar du edozein kredentzial egiaztatu aurretik. Bideratu VM kudeatutako domeinuaren direktorio-helbideetara, bai sare birtualaren DNS ezarpenen bidez, bai soilik izen-espazio hori haietara bidaltzen duen birbidaltzaile baldintzatuaren bidez. Izen-espaziora mugatutako birbidaltzailea aukera seguruagoa izaten da normalean, VMaren gainerako ebazpena bakean uzten duelako.

Probatu lokalizatzailea eta ez ostalari-izen hutsa. Domeinu-izenari egindako ping-ak ia ezer ez du frogatzen, domeinuaren kontrolatzaile-erregistroen SRV kontsultak ordea espero diren helburuak itzultzen ditu edo berehala huts egiten du:

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Ordeztu domeinu-izena eta bi helbideak zure domeinu kudeatuaren konfigurazioko balioekin; hemen agertzen diren zenbakiak adibideak dira. Kontsultak beste zona baten erantzunak itzultzen baditu, VMa kudeatutako izen-espazioa birbidaltzen ez duen ebaztaile bat erabiltzen ari da, eta batzea zenbat eta berriro saiatu ere ez da hori aldatuko.

Eduki lan-karga domeinu kudeatuak bere zerbitzu-baliabideetarako gordetzen duen azpisareetatik kanpo, eta eduki direktorioaren portuak bide pribatuan. Portu horiek publikoki agertzea ez da lasterbide bat; profil desberdineko diseinu desberdina da.

Kontuaren egokitasuna makinaren aurretik egiaztatzen da

Batzen duen kontuak baimena behar du helburu-kontenedorean ordenagailu-objektu bat sortzeko, eta domeinu kudeatuaren aurka autentifikatu behar du. Domeinu kudeatua existitu aurretik sortutako hodeiko kontu hutsak falta izan dezake domeinuak behar duen pasahitzetik eratorritako materiala, eta pasahitzaren aldaketak edo berrezarpenak berriro sortzen du. Xehetasun horrek pasahitz okerren itxura duten batze-hutsen klase bat azaltzen du pasahitza zuzena denean. Probatu kredentziala domeinuaren aurka mantentze-leihoa ireki aurretik.

Sinkronizatutako kontu hibridoek beren baldintzak dituzte, erabiltzaile-objektu ikusgai batek bere kabuz betetzen ez dituenak. Direktorioan zerrendatuta egotea ez da beretik txartel bat lortzeko gai izatea, beraz probatu kontua mantentze-leihoaren aurretik eta ez bitartean.

Delegatu batzeko eskubidea estu. Etorkizuneko zerbitzari-erabiltzaile bakoitzari domeinu-administratzaile kidetza ematea erregistro bakarra gerta dadin behin-behineko arazo baterako baimen iraunkorra da.

Batzea bera komando bakarra da

Eredua aukeratuta, DNSak erantzunez eta kontua egokia denean, eragiketa Windowsen ohiko eragiketa da. Gonbiteak pasahitza scriptetatik eta shellaren historiatik kanpo mantentzen du:

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

Komandoak ez du makina bere kabuz berrabiarazten forma honetan, beraz berrabiaraztea mantentze-planaren arabera gertatzen da eta berreskuratze-bidea oraindik erabilgarri dagoela. Beste domeinu batera jada batuta dagoen zerbitzariak migrazio-plana behar du, ez lehenengoaren gaineko bigarren batzea.

Idatzi ordenagailu-objektua non lurreratu den kontenedorea eta hura sortu zuen kontua. Biak dira garrantzitsuak makina berreraikuntzaren ondoren berriro batu behar denean, eta bat ere ez da zerbitzaritik nabaria geroago.

Kidezkoak ematen ez duena

Domeinuko kidetzak ez du inor administrari lokal bihurtzen, eta ez die sarbiderik ematen urruneko mahaigainari edo fitxategi-partekatuei. Eskubide horiek bereiz konfiguratzen dira, eta domeinu kudeatu batean haren administrazio-esparru onartuan geratzen dira.

Sare-bidea mendekotasun jarraitua da, ez konfigurazio-urratsa. Konexio pribatua desagertzen bada, zerbitzariak cachean gordetako kredentzialekin jarraitzen du, zerbaiti direktorioa behar zaion arte, eta orduan hutsak aplikazio-erregistroan iristen da, aldatu zen konfigurazioaren ondoan baino.

Microsoften Windows Server-en batzeko gida kudeatutako domeinuaren lan-fluxurako onartutako baldintzak zerrendatzen ditu. Irakurri goiko hiru erabakien aurka, eta tratatu edozein desadostasun gelditzeko arrazoi gisa, saihesteko xehetasun gisa beharrean.