Joindre une VM Azure à Entra Domain Services : décider d'abord

Trois décisions se dressent devant une VM Windows Server qui doit utiliser un annuaire géré, et la commande de jonction est la plus petite d'entre elles. Choisissez le mauvais modèle d'annuaire et la jonction réussit alors que l'application ne peut toujours pas s'authentifier. Trompez-vous sur la résolution de noms et la défaillance apparaît à un endroit qui ressemble à un problème d'informations d'identification.

Réglez le modèle, la résolution et le compte avant de toucher au serveur, puis la commande s'exécute une fois.

Laquelle des trois jonctions vous voulez réellement

La jonction d'appareil enregistre une machine auprès de Microsoft Entra ID pour l'accès conditionnel et l'authentification unique, et elle ne donne à la charge de travail aucun ticket Kerberos vers un domaine de style local. La jonction de domaine traditionnelle lie un objet ordinateur dans un annuaire et lui donne un compte machine, une stratégie de groupe et l'authentification de domaine. Un domaine géré fournit ce second modèle en tant que service. Les noms se ressemblent et les résultats non.

Seules les deux dernières impliquent un contrôleur de domaine au sens ordinaire, et seule l'option gérée retire les serveurs de votre liste de correctifs.

La décision dépend généralement de l'application plutôt que d'une préférence. Un logiciel qui veut une liaison LDAP, un compte de service avec un SPN ou des objets de stratégie de groupe appartient au modèle de domaine. Un logiciel qui a seulement besoin de connaître l'identité de l'utilisateur sur un appareil d'entreprise n'y appartient généralement pas.

Le chemin DNS décide si la jonction peut aboutir

Une jonction de domaine commence par une recherche de localisateur des enregistrements du contrôleur du domaine, donc la résolution de noms doit fonctionner avant que la moindre information d'identification soit vérifiée. Pointez la VM vers les adresses d'annuaire du domaine géré, soit par les paramètres DNS du réseau virtuel, soit par un redirecteur conditionnel qui n'envoie que cet espace de noms vers elles. Un redirecteur limité à l'espace de noms est généralement le choix le plus sûr, car il laisse le reste de la résolution de la VM tranquille.

Testez le localisateur plutôt qu'un simple nom d'hôte. Un ping vers le nom de domaine ne prouve presque rien, tandis qu'une requête SRV des enregistrements du contrôleur de domaine soit renvoie les cibles attendues, soit échoue immédiatement :

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Remplacez le nom de domaine et les deux adresses par les valeurs de votre configuration de domaine géré ; les nombres ici sont des exemples. Si la requête renvoie les réponses d'une autre zone, la VM utilise un résolveur qui ne transmet pas l'espace de noms géré, et aucun nombre de nouvelles tentatives de la jonction n'y changera rien.

Gardez la charge de travail hors du sous-réseau que le domaine géré réserve à ses propres ressources de service, et gardez les ports d'annuaire sur le chemin privé. L'exposition publique de ces ports n'est pas un raccourci ; c'est une conception différente avec un profil de risque différent.

L'éligibilité du compte est vérifiée avant la machine

Le compte qui effectue la jonction a besoin de l'autorisation de créer un objet ordinateur dans le conteneur cible, et il doit pouvoir s'authentifier auprès du domaine géré. Un compte uniquement cloud créé avant l'existence du domaine géré peut manquer de la matière dérivée du mot de passe dont le domaine a besoin, et un changement ou une réinitialisation de mot de passe la régénère. Ce détail explique une classe d'échecs de jonction qui ressemblent à de mauvais mots de passe alors que le mot de passe est correct. Testez l'information d'identification auprès du domaine avant l'ouverture de la fenêtre de maintenance.

Les comptes hybrides synchronisés ont leurs propres prérequis qu'un objet utilisateur visible ne satisfait pas à lui seul. Être listé dans l'annuaire n'est pas la même chose que pouvoir en obtenir un ticket, alors testez le compte avant la fenêtre de maintenance et non pendant.

Déléguez le droit de jonction de façon étroite. Donner à chaque futur utilisateur de serveur l'appartenance au groupe administrateurs du domaine pour qu'une seule inscription ait lieu est une autorisation permanente pour un problème temporaire.

La jonction elle-même est une seule commande

Avec le modèle choisi, le DNS qui répond et le compte éligible, l'opération est l'opération Windows ordinaire. L'invite garde le mot de passe hors des scripts et de l'historique du shell :

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

La commande ne redémarre pas la machine d'elle-même sous cette forme, donc le redémarrage a lieu selon le plan de maintenance et avec le chemin de récupération encore disponible. Un serveur déjà joint à un autre domaine a besoin d'un plan de migration, pas d'une seconde jonction par-dessus la première.

Notez le conteneur où l'objet ordinateur a atterri et le compte qui l'a créé. Les deux comptent lorsque la machine doit être rejointe après une reconstruction, et ni l'un ni l'autre n'est évident depuis le serveur ensuite.

Ce que l'appartenance n'accorde pas

L'appartenance au domaine ne rend personne administrateur local et n'accorde pas l'accès au bureau à distance ni aux partages de fichiers. Ces droits se configurent séparément, et sur un domaine géré ils restent dans son périmètre administratif pris en charge.

Le chemin réseau est une dépendance continue et non une étape d'installation. Si la connexion privée disparaît, le serveur continue de fonctionner avec des informations d'identification en cache jusqu'à ce que quelque chose ait besoin de l'annuaire, et alors la défaillance arrive dans un journal d'application et non à côté de la configuration qui a changé.

Le guide Microsoft pour la jonction de Windows Server énumère les prérequis pris en charge pour le flux de travail du domaine géré. Lisez-le à la lumière des trois décisions ci-dessus et traitez tout écart comme une raison de vous arrêter et non comme un détail à contourner.