Azure VM:n liittäminen Entra Domain Servicesiin: päätä ensin

Kolme päätöstä seisoo Windows Server VM:n edessä, jonka on käytettävä hallittua hakemistoa, ja liittämiskomento on niistä pienin. Valitse väärä hakemistomalli ja liittäminen onnistuu, vaikka sovellus ei silti pysty tunnistautumaan. Erehdy nimien ratkaisussa ja vika ilmenee kohdassa, joka näyttää tunnistetieto-ongelmalta.

Ratkaise malli, ratkaisu ja tili ennen kuin kosket palvelimeen, sitten komento ajetaan kerran.

Minkä kolmesta liitoksesta todella haluat

Laitteen liittäminen rekisteröi koneen Microsoft Entra ID:hen ehdollista käyttöä ja kertakirjautumista varten, eikä se anna työkuormalle Kerberos-lippua paikallistyyliseen toimialueeseen. Perinteinen toimialueen liittäminen sitoo tietokoneobjektin hakemistoon ja antaa sille konetilin, ryhmäkäytännön ja toimialueen todennuksen. Hallittu toimialue tarjoaa tuon toisen mallin palveluna. Nimet kuulostavat samalta ja tulokset eivät.

Vain kaksi viimeistä sisältävät toimialueen ohjaimen tavallisessa mielessä, ja vain hallittu vaihtoehto poistaa palvelimet korjauslistaltasi.

Päätös riippuu yleensä sovelluksesta eikä mieltymyksestä. Ohjelmisto, joka haluaa LDAP-sidonnan, SPN:llä varustetun palvelutilin tai ryhmäkäytäntöobjekteja, kuuluu toimialuemalliin. Ohjelmisto, jonka tarvitsee vain tietää käyttäjän identiteetti yrityslaitteella, ei yleensä kuulu.

DNS-polku ratkaisee, voiko liittäminen valmistua

Toimialueen liittäminen alkaa toimialueen ohjainten tietueiden paikannushaulla, joten nimien ratkaisun on toimittava ennen minkään tunnistetiedon tarkistamista. Ohjaa VM hallitun toimialueen hakemisto-osoitteisiin joko virtuaaliverkon DNS-asetuksilla tai ehdollisella edelleenlähettäjällä, joka lähettää sinne vain kyseisen nimiavaruuden. Nimiavaruuteen rajattu edelleenlähettäjä on yleensä turvallisempi valinta, koska se jättää VM:n muun ratkaisun rauhaan.

Testaa paikanninta äläkä paljasta isäntänimeä. Toimialueen nimeen tehty pingi ei todista juuri mitään, kun taas toimialueen ohjainten tietueiden SRV-kysely joko palauttaa odotetut kohteet tai epäonnistuu heti:

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Korvaa toimialueen nimi ja kaksi osoitetta hallitun toimialueesi kokoonpanon arvoilla; tässä olevat numerot ovat esimerkkejä. Jos kysely palauttaa toisen vyöhykkeen vastauksia, VM käyttää ratkaisijaa, joka ei välitä hallittua nimiavaruutta, eikä liittämisen toistaminen muuta sitä.

Pidä työkuorma sen aliverkon ulkopuolella, jonka hallittu toimialue varaa omille palveluresursseilleen, ja pidä hakemiston portit yksityisellä polulla. Näiden porttien julkinen paljastaminen ei ole oikotie; se on erilainen suunnittelu, jolla on erilainen riskiprofiili.

Tilin kelpoisuus tarkistetaan ennen konetta

Liittämisen suorittava tili tarvitsee oikeuden luoda tietokoneobjekti kohdesäiliöön ja sen on kyettävä todentamaan itsensä hallitulle toimialueelle. Ennen hallitun toimialueen olemassaoloa luodulta vain pilvitililtä voi puuttua toimialueen tarvitsema salasanasta johdettu materiaali, ja salasanan vaihto tai nollaus luo sen uudelleen. Tämä yksityiskohta selittää liittämisvirheiden luokan, jotka näyttävät vääriltä salasanoilta, kun salasana on oikein. Testaa tunnistetieto toimialuetta vastaan ennen huoltoikkunan avautumista.

Synkronoiduilla hybriditileillä on omat edellytyksensä, joita näkyvä käyttäjäobjekti ei yksin täytä. Hakemistossa lueteltuna oleminen ei ole sama kuin kyky saada siitä lippu, joten testaa tili ennen huoltoikkunaa, ei sen aikana.

Delegoi liittämisoikeus kapeasti. Jokaiselle tulevalle palvelinkäyttäjälle toimialueen järjestelmänvalvojan jäsenyyden antaminen, jotta yksi rekisteröinti voi tapahtua, on pysyvä myönnytys väliaikaiselle ongelmalle.

Itse liittäminen on yksi komento

Kun malli on valittu, DNS vastaa ja tili on kelvollinen, toimenpide on tavallinen Windowsin toimenpide. Kehote pitää salasanan poissa skripteistä ja komentotulkin historiasta:

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

Komento ei käynnistä konetta uudelleen itsestään tässä muodossa, joten uudelleenkäynnistys tapahtuu huoltosuunnitelman mukaisesti ja palautuspolun ollessa yhä käytettävissä. Toiseen toimialueeseen jo liitetty palvelin tarvitsee migraatiosuunnitelman, ei toista liittämistä ensimmäisen päälle.

Kirjaa säiliö, johon tietokoneobjekti päätyi, ja tili, joka sen loi. Molemmat ovat merkityksellisiä, kun kone on liitettävä uudelleen uudelleenrakennuksen jälkeen, eikä kumpikaan ole palvelimesta jälkikäteen ilmeinen.

Mitä jäsenyys ei anna

Toimialueen jäsenyys ei tee kenestäkään paikallista järjestelmänvalvojaa eikä anna etätyöpöydän tai tiedostojakojen käyttöoikeutta. Ne oikeudet määritetään erikseen, ja hallitulla toimialueella ne pysyvät sen tuetun hallinnollisen laajuuden sisällä.

Verkkopolku on jatkuva riippuvuus, ei asennusvaihe. Jos yksityinen yhteys katoaa, palvelin jatkaa välimuistiin tallennetuilla tunnistetiedoilla, kunnes jokin tarvitsee hakemistoa, ja silloin vika saapuu sovelluslokiin eikä muuttuneen kokoonpanon viereen.

Microsoftin Windows Serverin liittämisohje luettelee hallitun toimialueen työnkulun tuetut edellytykset. Lue se yllä olevia kolmea päätöstä vasten ja käsittele mitä tahansa ristiriitaa syynä pysähtyä, ei yksityiskohtana, joka kierretään.