Povezivanje Azure VM-a s Entra Domain Servicesom: prvo odlučite
Tri odluke prethode povezivanju: model direktorija koji radno opterećenje traži, privatni DNS koji razrješava domenu i račun koji se može autentificirati.
Pred VM-om sa sustavom Windows Server koji mora rabiti upravljani direktorij stoje tri odluke, a naredba za povezivanje najmanja je od njih. Odaberete li pogrešan model direktorija, povezivanje će uspjeti dok se aplikacija ipak ne može autentificirati. Pogriješite li u razrješavanju naziva, kvar se pojavljuje na mjestu koje izgleda kao problem s vjerodajnicama.
Riješite model, razrješavanje i račun prije nego što dotaknete poslužitelj, pa se naredba izvršava jednom.
Koje od tri povezivanja zapravo želite
Povezivanje uređaja upisuje stroj u Microsoft Entra ID radi uvjetnog pristupa i jedinstvene prijave te radnom opterećenju ne daje Kerberos ulaznicu za domenu lokalnog stila. Tradicionalno povezivanje s domenom veže objekt računala u direktorij i daje mu račun stroja, pravila grupe i autentifikaciju domene. Upravljana domena nudi taj drugi model kao uslugu. Nazivi zvuče slično, a ishodi ne.
Samo posljednja dva uključuju kontroler domene u uobičajenom smislu, a samo upravljana opcija uklanja poslužitelje s vašeg popisa za zakrpe.
Odluka obično ovisi o aplikaciji, a ne o sklonosti. Softver koji želi LDAP vezivanje, servisni račun sa SPN-om ili objekte pravila grupe pripada modelu domene. Softver koji samo treba znati identitet korisnika na korporativnom uređaju obično ne pripada.
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
Put DNS-a odlučuje može li se povezivanje dovršiti
Povezivanje s domenom započinje traženjem lokatora za zapise kontrolera domene, pa razrješavanje naziva mora raditi prije provjere bilo koje vjerodajnice. Usmjerite VM na adrese direktorija upravljane domene, bilo kroz DNS postavke virtualne mreže, bilo kroz uvjetni prosljeđivač koji samo taj nazivni prostor šalje onamo. Prosljeđivač ograničen na nazivni prostor obično je sigurniji izbor jer ostatak razrješavanja VM-a ostavlja na miru.
Testirajte lokator, a ne golo ime hosta. Ping na ime domene ne dokazuje gotovo ništa, dok SRV upit za zapise kontrolera domene ili vraća očekivane ciljeve ili odmah pada:
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53Zamijenite ime domene i dvije adrese vrijednostima iz svoje konfiguracije upravljane domene; brojevi su ovdje primjeri. Ako upit vraća odgovore druge zone, VM rabi razrješivač koji ne prosljeđuje upravljani nazivni prostor i nikakvo ponavljanje povezivanja to neće promijeniti.
Držite radno opterećenje izvan podmreže koju upravljana domena čuva za vlastite servisne resurse i držite portove direktorija na privatnom putu. Javno izlaganje tih portova nije prečac; to je drukčiji dizajn s drukčijim profilom rizika.
Prihvatljivost računa provjerava se prije stroja
Račun koji obavlja povezivanje treba dopuštenje za stvaranje objekta računala u ciljnom spremniku i mora se moći autentificirati prema upravljanoj domeni. Račun samo u oblaku stvoren prije postojanja upravljane domene možda nema materijal izveden iz zaporke koji domena treba, a promjena ili poništenje zaporke stvara ga iznova. Taj detalj objašnjava razred neuspjeha povezivanja koji izgledaju kao pogrešne zaporke kad je zaporka ispravna. Testirajte vjerodajnicu prema domeni prije otvaranja prozora za održavanje.
Sinkronizirani hibridni računi imaju vlastite preduvjete koje vidljivi objekt korisnika ne zadovoljava sam. Biti naveden u direktoriju nije isto što i moći iz njega dobiti ulaznicu, stoga testirajte račun prije prozora za održavanje, a ne tijekom njega.
Prenesite pravo povezivanja usko. Dati svakom budućem korisniku poslužitelja članstvo u administratorima domene da bi se dogodila jedna registracija trajno je odobrenje za privremeni problem.
Samo povezivanje jedna je naredba
Kad je model odabran, DNS odgovara i račun je prihvatljiv, postupak je uobičajeni Windowsov postupak. Upit drži zaporku izvan skripti i povijesti ljuske:
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThruNaredba u ovom obliku sama ne pokreće stroj iznova, pa se restart događa prema planu održavanja i uz još dostupan put oporavka. Poslužitelj koji je već povezan s drugom domenom treba plan migracije, a ne drugo povezivanje preko prvoga.
Zabilježite spremnik u koji je objekt računala smješten i račun koji ga je stvorio. Oboje je važno kad stroj treba ponovno povezati nakon obnove, a nijedno nije očito s poslužitelja poslije.
Što članstvo ne daje
Članstvo u domeni nikoga ne čini lokalnim administratorom i ne daje pristup udaljenom radnom stolu ni dijeljenim datotekama. Ta se prava konfiguriraju odvojeno, a na upravljanoj domeni ostaju unutar njezina podržanog administrativnog opsega.
Mrežni je put trajna ovisnost, a ne korak pri postavljanju. Ako privatna veza nestane, poslužitelj nastavlja raditi s predmemoriranim vjerodajnicama dok nečemu ne zatreba direktorij, a tada kvar stiže u zapisnik aplikacije, a ne uz konfiguraciju koja se promijenila.
Microsoftove smjernice za povezivanje Windows Servera navode podržane preduvjete za tijek rada s upravljanom domenom. Čitajte ih uz tri odluke gore i svako nepodudaranje uzmite kao razlog za zaustavljanje, a ne kao detalj koji treba zaobići.