חיבור VM של Azure ל-Entra Domain Services: להחליט קודם
שלוש החלטות קודמות לחיבור: מודל הספרייה שהעומס דורש, DNS פרטי שמפענח את התחום, וחשבון שמסוגל לאמת.
שלוש החלטות ניצבות לפני VM של Windows Server שחייב להשתמש בספרייה מנוהלת, ופקודת החיבור היא הקטנה שבהן. בחרו במודל הספרייה הלא נכון והחיבור יצליח בעוד היישום עדיין אינו יכול לאמת. טעו בפענוח השמות והכשל מופיע בנקודה שנראית כמו בעיית פרטי זיהוי.
הכריעו את המודל, הפענוח והחשבון לפני שנוגעים בשרת, ואז הפקודה רצה פעם אחת.
איזה משלושת החיבורים אתם באמת רוצים
חיבור התקן רושם מכונה ב-Microsoft Entra ID לצורך גישה מותנית וכניסה יחידה, והוא אינו נותן לעומס כרטיס Kerberos לתחום בסגנון מקומי. חיבור תחום מסורתי קושר אובייקט מחשב לתוך ספרייה ונותן לו חשבון מכונה, מדיניות קבוצה ואימות תחום. תחום מנוהל מספק את המודל השני כשירות. השמות נשמעים דומים והתוצאות לא.
רק השניים האחרונים כוללים בקר תחום במובן הרגיל, ורק האפשרות המנוהלת מוציאה את השרתים מרשימת התיקונים שלכם.
ההחלטה תלויה בדרך כלל ביישום ולא בהעדפה. תוכנה שרוצה קישור LDAP, חשבון שירות עם SPN או אובייקטי מדיניות קבוצה שייכת למודל התחום. תוכנה שרק צריכה לדעת את זהות המשתמש במכשיר ארגוני בדרך כלל אינה שייכת.
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
מסלול ה-DNS מכריע אם החיבור יכול להסתיים
חיבור תחום מתחיל בחיפוש מאתר אחר רשומות הבקר של התחום, ולכן פענוח השמות חייב לעבוד לפני שנבדקים פרטי זיהוי כלשהם. כוונו את ה-VM לכתובות הספרייה של התחום המנוהל, בין באמצעות הגדרות ה-DNS של הרשת הווירטואלית ובין באמצעות מעביר מותנה ששולח לשם רק את מרחב השמות הזה. מעביר המוגבל למרחב השמות הוא בדרך כלל הבחירה הבטוחה יותר, מפני שהוא משאיר את שאר הפענוח של ה-VM על כנו.
בדקו את המאתר ולא שם מארח בלבד. פינג לשם התחום כמעט אינו מוכיח דבר, בעוד שאילתת SRV לרשומות בקר התחום או מחזירה את היעדים הצפויים או נכשלת מיד:
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53החליפו את שם התחום ואת שתי הכתובות בערכים מהתצורה של התחום המנוהל שלכם; המספרים כאן הם דוגמאות. אם השאילתה מחזירה תשובות מאזור אחר, ה-VM משתמש במפענח שאינו מעביר את מרחב השמות המנוהל, וכל מספר של ניסיונות חוזרים בחיבור לא ישנה זאת.
הרחיקו את העומס מהתת-רשת שהתחום המנוהל שומר למשאבי השירות שלו עצמו, והשאירו את פורטי הספרייה במסלול הפרטי. חשיפה ציבורית של הפורטים האלה אינה קיצור דרך; זהו תכנון אחר עם פרופיל סיכון אחר.
כשירות החשבון נבדקת לפני המכונה
החשבון שמבצע את החיבור זקוק להרשאה ליצור אובייקט מחשב במכל היעד, ועליו להיות מסוגל לאמת מול התחום המנוהל. חשבון ענן בלבד שנוצר לפני שהתחום המנוהל היה קיים עשוי לחסר את החומר הנגזר מסיסמה שהתחום צריך, ושינוי או איפוס סיסמה מייצרים אותו מחדש. הפרט הזה מסביר סוג של כשלי חיבור שנראים כמו סיסמאות שגויות כשהסיסמה נכונה. בדקו את פרטי הזיהוי מול התחום לפני שחלון התחזוקה נפתח.
לחשבונות היברידיים מסונכרנים יש דרישות מקדימות משלהם שאובייקט משתמש גלוי אינו ממלא לבדו. הימצאות ברשימה בספרייה אינה אותו דבר כמו היכולת לקבל ממנה כרטיס, ולכן בדקו את החשבון לפני חלון התחזוקה ולא במהלכו.
האצילו את זכות החיבור בצורה צרה. מתן חברות במנהלי התחום לכל משתמש שרת עתידי כדי שתתרחש רישום אחד הוא הענקה קבועה לבעיה זמנית.
החיבור עצמו הוא פקודה אחת
כשהמודל נבחר, ה-DNS עונה והחשבון כשיר, הפעולה היא הפעולה הרגילה ב-Windows. ההנחיה משאירה את הסיסמה מחוץ לסקריפטים ולהיסטוריית המעטפת:
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThruהפקודה אינה מפעילה מחדש את המכונה מעצמה בצורה הזו, ולכן האתחול מחדש מתבצע במסגרת תוכנית התחזוקה ועם מסלול השחזור עדיין זמין. שרת שכבר מחובר לתחום אחר זקוק לתוכנית הגירה, ולא לחיבור שני מעל הראשון.
תעדו את המכל שאליו נחת אובייקט המחשב ואת החשבון שיצר אותו. שניהם חשובים כשצריך לחבר את המכונה מחדש לאחר בנייה מחדש, ואף אחד מהם אינו מובן מאליו מהשרת לאחר מכן.
מה החברות אינה מעניקה
חברות בתחום אינה הופכת איש למנהל מקומי, ואינה מעניקה גישה לשולחן עבודה מרוחק או לשיתופי קבצים. הזכויות האלה מוגדרות בנפרד, ובתחום מנוהל הן נשארות בתוך היקף הניהול הנתמך שלו.
מסלול הרשת הוא תלות מתמשכת ולא שלב התקנה. אם החיבור הפרטי נעלם, השרת ממשיך לפעול עם פרטי זיהוי שמורים עד שמשהו זקוק לספרייה, ואז הכשל מגיע ביומן יישום ולא לצד התצורה שהשתנתה.
המדריך של Microsoft לחיבור Windows Server מפרט את הדרישות המקדימות הנתמכות לזרימת העבודה של התחום המנוהל. קראו אותו מול שלוש ההחלטות שלמעלה, והתייחסו לכל אי-התאמה כסיבה לעצור ולא כפרט לעקוף.