Azure VM ને Entra Domain Services સાથે જોડવું: પહેલાં નિર્ણય લો
જોડાણ પહેલાં ત્રણ નિર્ણય છે: વર્કલોડને જરૂરી ડિરેક્ટરી મોડેલ, ડોમેન ઉકેલતું ખાનગી DNS, અને પ્રમાણીકરણ કરી શકે તેવું ખાતું.
Windows Server VM ની સામે ત્રણ નિર્ણય છે જેને મેનેજ્ડ ડિરેક્ટરી વાપરવી પડે, અને જોડાવાનો આદેશ તેમાં સૌથી નાનો છે. ખોટું ડિરેક્ટરી મોડેલ પસંદ કરો અને જોડાણ સફળ થાય જ્યારે એપ્લિકેશન હજી પ્રમાણીકરણ કરી શકતી નથી. નામ રિઝોલ્યુશન ખોટું થાય અને નિષ્ફળતા એવી જગ્યાએ દેખાય જે ઓળખપત્ર સમસ્યા જેવી લાગે.
સર્વરને અડકતાં પહેલાં મોડેલ, રિઝોલ્યુશન અને ખાતું નક્કી કરો, પછી આદેશ એક વાર ચાલે છે.
ત્રણ જોડાણમાંથી તમે ખરેખર કયું ઇચ્છો છો
ઉપકરણ જોડાણ મશીનને શરતી ઍક્સેસ અને એકલ સાઇન-ઇન માટે Microsoft Entra ID માં નોંધે છે, અને તે વર્કલોડને સ્થાનિક શૈલીના ડોમેન માટે કોઈ Kerberos ટિકિટ આપતું નથી. પરંપરાગત ડોમેન જોડાણ કમ્પ્યુટર ઑબ્જેક્ટને ડિરેક્ટરીમાં બાંધે છે અને તેને મશીન ખાતું, જૂથ નીતિ અને ડોમેન પ્રમાણીકરણ આપે છે. મેનેજ્ડ ડોમેન તે બીજું મોડેલ સેવા તરીકે પૂરું પાડે છે. નામો સરખા સંભળાય છે અને પરિણામો નહીં.
ફક્ત છેલ્લા બે સામાન્ય અર્થમાં ડોમેન કંટ્રોલર સમાવે છે, અને ફક્ત મેનેજ્ડ વિકલ્પ સર્વરોને તમારી પેચ યાદીમાંથી દૂર કરે છે.
નિર્ણય સામાન્ય રીતે પસંદગી પર નહીં પણ એપ્લિકેશન પર આધાર રાખે છે. LDAP બાઇન્ડ, SPN સાથે સેવા ખાતું, કે જૂથ નીતિ ઑબ્જેક્ટ ઇચ્છતું સૉફ્ટવેર ડોમેન મોડેલમાં આવે છે. કોર્પોરેટ ઉપકરણ પર ફક્ત વપરાશકર્તાની ઓળખ જાણવી હોય તેવું સૉફ્ટવેર સામાન્ય રીતે આવતું નથી.
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
DNS માર્ગ નક્કી કરે છે કે જોડાણ પૂર્ણ થઈ શકે છે કે નહીં
ડોમેન જોડાણ ડોમેનના કંટ્રોલર રેકોર્ડ માટે લોકેટર શોધ સાથે શરૂ થાય છે, તેથી કોઈપણ ઓળખપત્ર ચકાસાય તે પહેલાં નામ રિઝોલ્યુશન કાર્ય કરવું જોઈએ. VM ને મેનેજ્ડ ડોમેનના ડિરેક્ટરી સરનામાં તરફ દોરો, કાં તો વર્ચ્યુઅલ નેટવર્કની DNS સેટિંગ્સ દ્વારા અથવા શરતી ફોરવર્ડર દ્વારા જે ફક્ત તે નામ જગ્યા ત્યાં મોકલે છે. નામ જગ્યા સુધી મર્યાદિત ફોરવર્ડર સામાન્ય રીતે સુરક્ષિત પસંદગી છે, કારણ કે તે VM નું બાકીનું રિઝોલ્યુશન અકબંધ રાખે છે.
ફક્ત હોસ્ટનામ નહીં, લોકેટર ચકાસો. ડોમેન નામ પર પિંગ લગભગ કંઈ સાબિત કરતું નથી, જ્યારે ડોમેન કંટ્રોલર રેકોર્ડ માટેની SRV ક્વેરી કાં તો અપેક્ષિત લક્ષ્યો પરત આપે છે અથવા તરત નિષ્ફળ જાય છે:
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53ડોમેન નામ અને બે સરનામાંને તમારા મેનેજ્ડ ડોમેન રૂપરેખાંકનના મૂલ્યોથી બદલો; અહીંની સંખ્યાઓ ઉદાહરણ છે. જો ક્વેરી બીજા ઝોનના જવાબો પરત આપે, તો VM એવું રિઝોલ્વર વાપરે છે જે મેનેજ્ડ નામ જગ્યા ફોરવર્ડ કરતું નથી, અને જોડાણને કેટલી વાર પુનરાવર્તિત કરો તેનાથી તે બદલાશે નહીં.
વર્કલોડને તે સબનેટની બહાર રાખો જે મેનેજ્ડ ડોમેન તેના પોતાના સેવા સંસાધનો માટે અનામત રાખે છે, અને ડિરેક્ટરી પોર્ટને ખાનગી માર્ગ પર રાખો. તે પોર્ટનું જાહેર એક્સપોઝર ટૂંકો રસ્તો નથી; તે અલગ જોખમ પ્રોફાઇલ સાથેની અલગ ડિઝાઇન છે.
ખાતાની પાત્રતા મશીન પહેલાં ચકાસાય છે
જોડાણ કરતા ખાતાને લક્ષ્ય કન્ટેનરમાં કમ્પ્યુટર ઑબ્જેક્ટ બનાવવાની પરવાનગી જોઈએ, અને તેણે મેનેજ્ડ ડોમેન સામે પ્રમાણીકરણ કરી શકવું જોઈએ. મેનેજ્ડ ડોમેન અસ્તિત્વમાં આવે તે પહેલાં બનેલું ફક્ત-ક્લાઉડ ખાતું ડોમેનને જરૂરી પાસવર્ડમાંથી વ્યુત્પન્ન સામગ્રી ધરાવતું ન હોઈ શકે, અને પાસવર્ડ બદલવો કે રીસેટ કરવો તેને ફરી ઉત્પન્ન કરે છે. તે વિગત જોડાણ નિષ્ફળતાઓનો એક વર્ગ સમજાવે છે જે પાસવર્ડ સાચો હોય ત્યારે ખોટા પાસવર્ડ જેવા લાગે છે. જાળવણી વિન્ડો ખૂલે તે પહેલાં ડોમેન સામે ઓળખપત્ર ચકાસો.
સિંક્રોનાઇઝ્ડ હાઇબ્રિડ ખાતાંની પોતાની પૂર્વશરતો હોય છે જે દૃશ્યમાન વપરાશકર્તા ઑબ્જેક્ટ એકલું પૂરી કરતું નથી. ડિરેક્ટરીમાં સૂચિબદ્ધ હોવું એ તેમાંથી ટિકિટ મેળવી શકવા જેટલું જ નથી, તેથી જાળવણી વિન્ડો દરમિયાન નહીં, તે પહેલાં ખાતું ચકાસો.
જોડાણનો અધિકાર સાંકડો સોંપો. એક નોંધણી થાય તે માટે દરેક ભાવિ સર્વર વપરાશકર્તાને ડોમેન એડમિનિસ્ટ્રેટર સભ્યપદ આપવું એ કામચલાઉ સમસ્યા માટે કાયમી મંજૂરી છે.
જોડાણ પોતે એક જ આદેશ છે
મોડેલ પસંદ થયું, DNS જવાબ આપે છે અને ખાતું પાત્ર છે ત્યારે ક્રિયા સામાન્ય Windows ક્રિયા છે. પ્રોમ્પ્ટ પાસવર્ડને સ્ક્રિપ્ટ અને શેલ ઇતિહાસની બહાર રાખે છે:
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThruઆ સ્વરૂપમાં આદેશ મશીનને જાતે ફરી ચાલુ કરતો નથી, તેથી રીબૂટ જાળવણી યોજના હેઠળ અને રિકવરી માર્ગ હજી ઉપલબ્ધ હોય ત્યારે થાય છે. અલગ ડોમેન સાથે પહેલેથી જોડાયેલા સર્વરને સ્થળાંતર યોજના જોઈએ, પહેલા પર બીજું જોડાણ નહીં.
કમ્પ્યુટર ઑબ્જેક્ટ જે કન્ટેનરમાં ઉતર્યું અને જે ખાતાએ તેને બનાવ્યું તે નોંધો. પુનર્નિર્માણ પછી મશીનને ફરી જોડવાની જરૂર પડે ત્યારે બંને મહત્ત્વના છે, અને પછીથી સર્વર પરથી કોઈ પણ સ્પષ્ટ નથી.
સભ્યપદ શું આપતું નથી
ડોમેન સભ્યપદ કોઈને સ્થાનિક એડમિનિસ્ટ્રેટર બનાવતું નથી, અને રિમોટ ડેસ્કટોપ કે ફાઇલ શેરિંગ ઍક્સેસ આપતું નથી. તે અધિકારો અલગથી રૂપરેખાંકિત થાય છે, અને મેનેજ્ડ ડોમેન પર તે તેના સમર્થિત વહીવટી કાર્યક્ષેત્રમાં જ રહે છે.
નેટવર્ક માર્ગ સેટઅપ પગલું નહીં, ચાલુ અવલંબન છે. ખાનગી જોડાણ અદૃશ્ય થાય તો સર્વર કૅશ થયેલા ઓળખપત્ર સાથે ચાલુ રહે છે જ્યાં સુધી કંઈકને ડિરેક્ટરીની જરૂર ન પડે, અને પછી નિષ્ફળતા બદલાયેલા રૂપરેખાંકનની બાજુમાં નહીં પણ એપ્લિકેશન લોગમાં આવે છે.
Microsoft નું Windows Server જોડાણ માર્ગદર્શન મેનેજ્ડ-ડોમેન વર્કફ્લો માટેના સમર્થિત પૂર્વશરતોની યાદી આપે છે. તેને ઉપરના ત્રણ નિર્ણયો સામે વાંચો, અને કોઈપણ અસંગતિને ટાળવાની વિગત નહીં પણ થંભવાનું કારણ ગણો.