Menggabungkan VM Azure ke Entra Domain Services: putuskan dulu

Tiga keputusan berdiri di depan VM Windows Server yang harus memakai direktori terkelola, dan perintah penggabungan adalah yang terkecil di antaranya. Pilih model direktori yang salah dan penggabungan berhasil sementara aplikasi tetap tidak dapat mengautentikasi. Salah dalam resolusi nama dan kegagalan muncul di titik yang tampak seperti masalah kredensial.

Tetapkan model, resolusi, dan akun sebelum menyentuh server, lalu perintah berjalan sekali.

Gabungan mana dari ketiganya yang sebenarnya Anda inginkan

Gabungan perangkat mendaftarkan mesin ke Microsoft Entra ID untuk akses bersyarat dan masuk tunggal, dan tidak memberi beban kerja tiket Kerberos ke domain bergaya lokal. Gabungan domain tradisional mengikat objek komputer ke dalam direktori dan memberinya akun mesin, kebijakan grup, dan autentikasi domain. Domain terkelola menyediakan model kedua itu sebagai layanan. Namanya terdengar mirip dan hasilnya tidak.

Hanya dua yang terakhir melibatkan pengendali domain dalam arti biasa, dan hanya opsi terkelola yang mengeluarkan server dari daftar penambalan Anda.

Keputusan biasanya bergantung pada aplikasi, bukan pada preferensi. Perangkat lunak yang menginginkan bind LDAP, akun layanan dengan SPN, atau objek kebijakan grup termasuk dalam model domain. Perangkat lunak yang hanya perlu tahu identitas pengguna pada perangkat perusahaan biasanya tidak.

Jalur DNS menentukan apakah penggabungan dapat selesai

Gabungan domain dimulai dengan pencarian locator untuk catatan pengendali domain, jadi resolusi nama harus bekerja sebelum kredensial apa pun diperiksa. Arahkan VM ke alamat direktori domain terkelola, baik melalui pengaturan DNS jaringan virtual maupun melalui penerus bersyarat yang hanya mengirim ruang nama itu ke sana. Penerus yang dibatasi pada ruang nama biasanya pilihan yang lebih aman, karena membiarkan sisa resolusi VM apa adanya.

Uji locator, bukan nama host kosong. Ping ke nama domain hampir tidak membuktikan apa pun, sedangkan kueri SRV untuk catatan pengendali domain entah mengembalikan target yang diharapkan atau langsung gagal:

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Ganti nama domain dan kedua alamat dengan nilai dari konfigurasi domain terkelola Anda; angka di sini adalah contoh. Jika kueri mengembalikan jawaban zona lain, VM memakai penyelesai yang tidak meneruskan ruang nama terkelola, dan berapa kali pun penggabungan diulang tidak akan mengubahnya.

Jauhkan beban kerja dari subnet yang disediakan domain terkelola untuk sumber daya layanannya sendiri, dan pertahankan port direktori di jalur privat. Paparan publik port tersebut bukan jalan pintas; itu desain berbeda dengan profil risiko berbeda.

Kelayakan akun diperiksa sebelum mesin

Akun yang melakukan penggabungan perlu izin membuat objek komputer di kontainer target, dan harus dapat mengautentikasi ke domain terkelola. Akun khusus cloud yang dibuat sebelum domain terkelola ada mungkin kekurangan materi turunan kata sandi yang dibutuhkan domain, dan perubahan atau pengaturan ulang kata sandi menghasilkannya kembali. Detail itu menjelaskan satu kelas kegagalan penggabungan yang tampak seperti kata sandi salah padahal kata sandinya benar. Uji kredensial ke domain sebelum jendela pemeliharaan dibuka.

Akun hibrida tersinkronisasi punya prasyarat sendiri yang tidak dipenuhi objek pengguna yang terlihat sendirian. Tercantum di direktori tidak sama dengan mampu memperoleh tiket darinya, jadi uji akun sebelum jendela pemeliharaan, bukan selama jendela itu.

Delegasikan hak penggabungan secara sempit. Memberi setiap calon pengguna server keanggotaan administrator domain supaya satu pendaftaran terjadi adalah pemberian permanen untuk masalah sementara.

Penggabungan itu sendiri adalah satu perintah

Dengan model terpilih, DNS menjawab, dan akun layak, operasinya adalah operasi Windows biasa. Prompt menjaga kata sandi tetap di luar skrip dan riwayat shell:

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

Perintah tidak memulai ulang mesin sendiri dalam bentuk ini, jadi reboot terjadi di bawah rencana pemeliharaan dan dengan jalur pemulihan masih tersedia. Server yang sudah tergabung ke domain lain memerlukan rencana migrasi, bukan penggabungan kedua di atas yang pertama.

Catat kontainer tempat objek komputer mendarat dan akun yang membuatnya. Keduanya penting saat mesin perlu digabungkan ulang setelah pembangunan ulang, dan tidak satu pun jelas dari server setelahnya.

Apa yang tidak diberikan keanggotaan

Keanggotaan domain tidak menjadikan siapa pun administrator lokal, dan tidak memberi akses desktop jarak jauh atau berbagi berkas. Hak itu dikonfigurasi terpisah, dan pada domain terkelola hak itu tetap dalam lingkup administratif yang didukung.

Jalur jaringan adalah ketergantungan berkelanjutan, bukan langkah penyiapan. Jika koneksi privat hilang, server terus berjalan dengan kredensial tersimpan hingga sesuatu membutuhkan direktori, dan kegagalannya muncul di log aplikasi, bukan di samping konfigurasi yang berubah.

Panduan Microsoft untuk penggabungan Windows Server mencantumkan prasyarat yang didukung untuk alur kerja domain terkelola. Bacalah terhadap tiga keputusan di atas, dan perlakukan ketidakcocokan apa pun sebagai alasan berhenti, bukan detail yang diakali.