اتصال یک VM Azure به Entra Domain Services: نخست تصمیم بگیرید
سه تصمیم پیش از اتصال قرار دارد: مدل دایرکتوری که بار کاری نیاز دارد، DNS خصوصی که دامنه را حل می‌کند، و حسابی که بتواند احراز هویت کند.
سه تصمیم پیش روی یک VM ویندوز سرور قرار دارد که باید از یک دایرکتوری مدیریت‌شده استفاده کند، و فرمان اتصال کوچک‌ترین آن‌ها است. مدل دایرکتوری نادرست را انتخاب کنید و اتصال موفق می‌شود در حالی که برنامه هنوز نمی‌تواند احراز هویت کند. اگر در حل نام خطا کنید، خرابی در نقطه‌ای ظاهر می‌شود که شبیه مشکل اعتبارنامه است.
پیش از دست زدن به سرور، مدل، حل نام و حساب را روشن کنید، سپس فرمان یک بار اجرا می‌شود.
کدام یک از سه نوع اتصال را واقعاً می‌خواهید
اتصال دستگاه یک ماشین را برای دسترسی شرطی و ورود یکپارچه در Microsoft Entra ID ثبت می‌کند و هیچ بلیت Kerberos به دامنه‌ای به سبک محلی به بار کاری نمی‌دهد. اتصال دامنه سنتی یک شیء رایانه را در دایرکتوری مقید می‌کند و به آن حساب ماشین، خط‌مشی گروهی و احراز هویت دامنه می‌دهد. دامنه مدیریت‌شده همان مدل دوم را به‌صورت سرویس ارائه می‌دهد. نام‌ها شبیه هم به گوش می‌رسند و نتیجه‌ها نه.
تنها دو گزینه آخر کنترل‌کننده دامنه را به معنای معمول درگیر می‌کنند، و تنها گزینه مدیریت‌شده سرورها را از فهرست وصله‌کاری شما حذف می‌کند.
تصمیم معمولاً به برنامه بستگی دارد نه به ترجیح. نرم‌افزاری که اتصال LDAP، حساب سرویس با SPN یا اشیای خط‌مشی گروهی می‌خواهد در مدل دامنه جای دارد. نرم‌افزاری که فقط باید هویت کاربر را روی یک دستگاه شرکتی بداند معمولاً جای ندارد.
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
مسیر DNS تعیین می‌کند که آیا اتصال می‌تواند تمام شود
اتصال دامنه با جست‌وجوی مکان‌یاب برای رکوردهای کنترل‌کننده دامنه آغاز می‌شود، پس حل نام باید پیش از بررسی هر اعتبارنامه کار کند. VM را به نشانی‌های دایرکتوری دامنه مدیریت‌شده هدایت کنید، چه از طریق تنظیمات DNS شبکه مجازی و چه از طریق یک هدایت‌گر شرطی که فقط همان فضای نام را به آن‌جا می‌فرستد. هدایت‌گر محدود به فضای نام معمولاً انتخاب ایمن‌تری است، چون بقیه حل نام VM را دست‌نخورده می‌گذارد.
مکان‌یاب را آزمایش کنید نه یک نام میزبان خالی. پینگ به نام دامنه تقریباً چیزی را ثابت نمی‌کند، در حالی که پرس‌وجوی SRV برای رکوردهای کنترل‌کننده دامنه یا مقصدهای مورد انتظار را برمی‌گرداند یا بی‌درنگ شکست می‌خورد:
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53نام دامنه و دو نشانی را با مقادیر پیکربندی دامنه مدیریت‌شده خود جایگزین کنید؛ شماره‌های این‌جا نمونه‌اند. اگر پرس‌وجو پاسخ‌های ناحیه دیگری را برگرداند، VM از حل‌کننده‌ای استفاده می‌کند که فضای نام مدیریت‌شده را هدایت نمی‌کند، و هیچ اندازه تکرار اتصال آن را تغییر نمی‌دهد.
بار کاری را بیرون از زیرشبکه‌ای نگه دارید که دامنه مدیریت‌شده برای منابع سرویس خود اختصاص می‌دهد، و پورت‌های دایرکتوری را روی مسیر خصوصی نگه دارید. نمایان کردن عمومی آن پورت‌ها میان‌بر نیست؛ طرحی متفاوت با نمایه ریسک متفاوت است.
صلاحیت حساب پیش از ماشین بررسی می‌شود
حسابی که اتصال را انجام می‌دهد به اجازه ساخت شیء رایانه در ظرف هدف نیاز دارد و باید بتواند در برابر دامنه مدیریت‌شده احراز هویت کند. حسابی که فقط در فضای ابری ساخته شده و پیش از وجود دامنه مدیریت‌شده ایجاد شده ممکن است مواد مشتق از گذرواژه را که دامنه نیاز دارد نداشته باشد، و تغییر یا بازنشانی گذرواژه آن را دوباره تولید می‌کند. همین جزئیات دسته‌ای از شکست‌های اتصال را توضیح می‌دهد که وقتی گذرواژه درست است شبیه گذرواژه نادرست به نظر می‌رسند. پیش از باز شدن پنجره نگهداری، اعتبارنامه را در برابر دامنه آزمایش کنید.
حساب‌های هیبریدی همگام‌شده پیش‌نیازهای خود را دارند که یک شیء کاربر نمایان به‌تنهایی برآورده نمی‌کند. قرار داشتن در فهرست دایرکتوری با توانایی گرفتن بلیت از آن یکی نیست، پس حساب را پیش از پنجره نگهداری آزمایش کنید نه در طول آن.
حق اتصال را محدود واگذار کنید. دادن عضویت مدیر دامنه به هر کاربر آینده سرور تا یک ثبت انجام شود، اعطای دائمی برای مشکلی موقت است.
خود اتصال یک فرمان است
وقتی مدل انتخاب شده، DNS پاسخ می‌دهد و حساب صلاحیت دارد، عملیات همان عملیات معمول ویندوز است. اعلان گذرواژه را از اسکریپت‌ها و تاریخچه پوسته بیرون نگه می‌دارد:
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThruفرمان در این شکل ماشین را خودبه‌خود دوباره راه‌اندازی نمی‌کند، پس راه‌اندازی مجدد زیر برنامه نگهداری و با مسیر بازیابی هنوز در دسترس انجام می‌شود. سروری که از قبل به دامنه دیگری متصل است به برنامه مهاجرت نیاز دارد، نه اتصال دومی روی اولی.
ظرفی را که شیء رایانه در آن فرود آمد و حسابی که آن را ساخت ثبت کنید. هر دو وقتی ماشین پس از بازسازی باید دوباره متصل شود مهم‌اند، و هیچ‌کدام بعداً از خود سرور آشکار نیست.
آنچه عضویت نمی‌دهد
عضویت دامنه کسی را مدیر محلی نمی‌کند و دسترسی به میزکار از راه دور یا اشتراک فایل نمی‌دهد. آن حقوق جداگانه پیکربندی می‌شوند و در دامنه مدیریت‌شده در محدوده اداری پشتیبانی‌شده آن می‌مانند.
مسیر شبکه یک وابستگی پیوسته است نه یک گام نصب. اگر اتصال خصوصی از میان برود، سرور با اعتبارنامه‌های ذخیره‌شده به کار ادامه می‌دهد تا چیزی به دایرکتوری نیاز پیدا کند، و آن‌گاه خرابی در گزارش برنامه می‌رسد نه کنار پیکربندی که تغییر کرده است.
راهنمای Microsoft برای اتصال Windows Server پیش‌نیازهای پشتیبانی‌شده برای جریان کاری دامنه مدیریت‌شده را فهرست می‌کند. آن را در برابر سه تصمیم بالا بخوانید و هر ناسازگاری را دلیل توقف بدانید نه جزئیاتی که باید دور زد.