Azure VM csatlakoztatása az Entra Domain Serviceshez: előbb döntsön

Három döntés áll egy Windows Server VM előtt, amelynek felügyelt könyvtárat kell használnia, és a csatlakozási parancs a legkisebb közülük. Válassza a rossz könyvtármodellt, és a csatlakozás sikerül, miközben az alkalmazás továbbra sem tud hitelesíteni. Rontsa el a névfeloldást, és a hiba olyan ponton jelenik meg, amely hitelesítőadat-problémának látszik.

Rendezze a modellt, a feloldást és a fiókot, mielőtt hozzányúl a kiszolgálóhoz, aztán a parancs egyszer lefut.

Melyik a három csatlakozás közül, amelyet valóban szeretne

Az eszközcsatlakozás regisztrál egy gépet a Microsoft Entra ID-ben feltételes hozzáféréshez és egyszeri bejelentkezéshez, és nem ad a munkaterhelésnek Kerberos-jegyet helyi stílusú tartományhoz. A hagyományos tartománycsatlakozás egy számítógép-objektumot köt a könyvtárba, és gépi fiókot, csoportházirendet és tartományi hitelesítést ad neki. A felügyelt tartomány ezt a második modellt szolgáltatásként kínálja. A nevek hasonlóan hangzanak, az eredmények nem.

Csak az utolsó kettő tartalmaz tartományvezérlőt a szokásos értelemben, és csak a felügyelt lehetőség veszi le a kiszolgálókat a javítási listájáról.

A döntés általában az alkalmazástól függ, nem a preferenciától. Az a szoftver, amely LDAP-kötést, SPN-nel rendelkező szolgáltatásfiókot vagy csoportházirend-objektumokat akar, a tartománymodellbe tartozik. Az a szoftver, amelynek csak a felhasználó személyazonosságát kell ismernie egy vállalati eszközön, általában nem tartozik oda.

A DNS-útvonal dönti el, be tud-e fejeződni a csatlakozás

A tartománycsatlakozás a tartomány vezérlőrekordjainak lokátorkeresésével indul, ezért a névfeloldásnak működnie kell, mielőtt bármilyen hitelesítő adatot ellenőriznek. Irányítsa a VM-et a felügyelt tartomány könyvtárcímére, akár a virtuális hálózat DNS-beállításain keresztül, akár egy feltételes továbbítón át, amely csak azt a névteret küldi oda. A névtérre korlátozott továbbító általában a biztonságosabb választás, mert a VM többi feloldását békén hagyja.

A lokátort tesztelje, ne egy csupasz gazdagéppnevet. A tartománynévre küldött ping szinte semmit sem bizonyít, míg a vezérlőrekordokra küldött SRV-lekérdezés vagy visszaadja a várt célokat, vagy azonnal meghiúsul:

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Cserélje ki a tartománynevet és a két címet a felügyelt tartomány konfigurációjából származó értékekre; az itteni számok példák. Ha a lekérdezés más zóna válaszait adja vissza, a VM olyan feloldót használ, amely nem továbbítja a felügyelt névteret, és a csatlakozás semmilyen ismétlése nem változtat ezen.

Tartsa a munkaterhelést azon alhálózaton kívül, amelyet a felügyelt tartomány a saját szolgáltatási erőforrásainak tart fenn, és tartsa a könyvtárportokat a privát útvonalon. Ezen portok nyilvános kitettsége nem rövidítés; ez más kockázati profillal rendelkező más tervezés.

A fiók jogosultságát a gép előtt ellenőrzik

A csatlakozást végző fióknak engedélyre van szüksége számítógép-objektum létrehozásához a célkonténerben, és hitelesítenie kell tudnia a felügyelt tartomány felé. A felügyelt tartomány létezése előtt létrehozott csak felhős fiókból hiányozhat a tartomány által igényelt jelszóból származtatott anyag, és a jelszó módosítása vagy visszaállítása újra létrehozza. Ez a részlet magyarázza a csatlakozási hibák egy osztályát, amelyek rossz jelszónak látszanak, amikor a jelszó helyes. Tesztelje a hitelesítő adatot a tartomány felé, mielőtt a karbantartási ablak kinyílik.

A szinkronizált hibrid fiókoknak saját előfeltételeik vannak, amelyeket egy látható felhasználói objektum önmagában nem teljesít. A könyvtárban szerepelni nem ugyanaz, mint jegyet kérni tudni belőle, ezért a fiókot a karbantartási ablak előtt tesztelje, nem alatta.

Ruházza át a csatlakozási jogot szűken. Minden jövőbeli kiszolgálófelhasználónak tartományi rendszergazdai tagságot adni azért, hogy egy regisztráció megtörténhessen, állandó engedély egy ideiglenes problémára.

Maga a csatlakozás egyetlen parancs

A modell kiválasztva, a DNS válaszol és a fiók jogosult, a művelet a szokásos Windows-művelet. A parancssor távol tartja a jelszót a szkriptektől és a héjtörténettől:

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

A parancs ebben a formában nem indítja újra magától a gépet, így az újraindítás a karbantartási terv szerint és a helyreállítási útvonal még elérhető állapotában történik. A másik tartományhoz már csatlakozott kiszolgálónak áttelepítési terv kell, nem második csatlakozás az első fölé.

Jegyezze fel a konténert, amelybe a számítógép-objektum került, és a fiókot, amely létrehozta. Mindkettő számít, amikor a gépet újraépítés után újra kell csatlakoztatni, és egyik sem nyilvánvaló utólag a kiszolgálóról.

Amit a tagság nem ad

A tartományi tagság senkit nem tesz helyi rendszergazdává, és nem ad távoli asztal vagy fájlmegosztás hozzáférést. Ezeket a jogokat külön konfigurálják, és egy felügyelt tartományon a támogatott igazgatási hatókörén belül maradnak.

A hálózati útvonal folyamatos függőség, nem telepítési lépés. Ha a privát kapcsolat eltűnik, a kiszolgáló gyorsítótárazott hitelesítő adatokkal fut tovább, amíg valaminek szüksége nem lesz a könyvtárra, és akkor a hiba egy alkalmazásnaplóba érkezik, nem a megváltozott konfiguráció mellé.

A Microsoft útmutatója a Windows Server csatlakoztatásához felsorolja a felügyelt tartomány munkafolyamatának támogatott előfeltételeit. Olvassa össze a fenti három döntéssel, és kezeljen minden eltérést a megállás okaként, nem pedig megkerülendő részletként.