Tengja Azure VM við Entra Domain Services: ákveðið fyrst

Þrjár ákvarðanir standa fyrir framan Windows Server VM sem verður að nota stýrða skrá, og tengiskipunin er minnst þeirra. Veldu rangt skrárlíkan og tengingin tekst á meðan forritið getur enn ekki auðkennt sig. Farðu rangt í nafnaupplausn og bilunin birtist á stað sem lítur út eins og vandamál með skilríki.

Ákveddu líkanið, upplausnina og reikninginn áður en þú snertir þjóninn, þá keyrir skipunin einu sinni.

Hverri af þremur tengingunum þú vilt í raun

Tenging tækis skráir vél í Microsoft Entra ID fyrir skilyrta aðgangsheimild og eina innskráningu, og gefur vinnuálaginu ekkert Kerberos-miða í lén á staðbundnum stíl. Hefðbundin léntenging bindur tölvuandlag í skrá og gefur því vélarreikning, hópstefnu og lénsauðkenningu. Stýrt lén veitir annað líkanið sem þjónustu. Nöfnin hljóma svipað og niðurstöðurnar ekki.

Aðeins tvær síðastnefndu fela í sér lénalstjóra í venjulegri merkingu, og aðeins stýrði valkosturinn tekur þjónana af plásturslistanum þínum.

Ákvörðunin ræðst yfirleitt af forritinu en ekki af smekk. Hugbúnaður sem vill LDAP-binding, þjónustureikning með SPN eða hópstefnuandlög tilheyrir lénalíkaninu. Hugbúnaður sem þarf bara að þekkja auðkenni notandans á fyrirtækjatæki gerir það yfirleitt ekki.

DNS-leiðin ræður því hvort tengingin getur klárast

Léntenging byrjar á staðsetningarleit að stjóra-færslum lénsins, svo nafnaupplausn verður að virka áður en nokkur skilríki eru athuguð. Beindu VM-inu á skráarheimilisföng stýrða lénsins, annaðhvort með DNS-stillingum sýndarnetsins eða með skilyrtum áframsendingaraðila sem sendir aðeins það nafnrým þangað. Áframsendingaraðili sem takmarkast við nafnrýmið er yfirleitt öruggara valið, því það lætur restina af upplausn VM-sins ósnerta.

Prófaðu staðsetninguna en ekki bert hýsilnafn. Ping á lénaheitið sannar nánast ekkert, en SRV-fyrirspurn um stjóra-færslur lénsins annaðhvort skilar væntum skotmörkum eða mistekst strax:

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Skiptu lénaheitinu og báðum heimilisföngunum út fyrir gildin úr stillingum stýrða lénsins; tölurnar hér eru dæmi. Ef fyrirspurnin skilar svörum frá annarri svæði notar VM-ið uppleysi sem áframsendir ekki stýrða nafnrýmið, og engin endurtekning á tengingunni breytir því.

Haltu vinnuálaginu utan undirnetsins sem stýrða lénið varðveitir fyrir eigin þjónustuauðlindir, og haltu skráartengjunum á einkaleiðinni. Opinber útsetning þessara portra er ekki flýtileið; það er önnur hönnun með öðru áhættusniði.

Hæfi reikningsins er athugað fyrir vélina

Reikningurinn sem framkvæmir tenginguna þarf leyfi til að búa til tölvuandlag í markgáminum, og verður að geta auðkennt sig gagnvart stýrða léninu. Skýjareikningur eingöngu sem var búinn til áður en stýrða lénið var til kann að skorta lykilorðsafleitt efni sem lénið þarf, og lykilorðsbreyting eða endurstilling býr það til aftur. Sú smáatriði skýrir flokk tengibilana sem líta út eins og röng lykilorð þegar lykilorðið er rétt. Prófaðu skilríkin gagnvart léninu áður en viðhaldsglugginn opnast.

Samstilltir blendingareikningar hafa sín eigin forsendur sem sýnilegt notandaandlag uppfyllir ekki eitt og sér. Að vera skráður í skránni er ekki það sama og að geta fengið miða úr henni, svo prófaðu reikninginn fyrir viðhaldsgluggann en ekki í honum.

Framseldu tengiréttinn þröngt. Að gefa hverjum verðandi þjónnotanda lénalstjórameðlimsskap svo ein skráning geti átt sér stað er varanlegt leyfi fyrir tímabundið vandamál.

Tengingin sjálf er ein skipun

Með líkanið valið, DNS sem svarar og reikninginn hæfan er aðgerðin venjuleg Windows-aðgerð. Skipanalínan heldur lykilorðinu utan skrifta og skeljasögu:

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

Skipunin endurræsir vélina ekki sjálf í þessu formi, svo endurræsingin á sér stað samkvæmt viðhaldsáætluninni og með endurheimtarleiðina enn tiltæka. Þjónn sem þegar er tengdur öðru léni þarf flutningsáætlun, ekki aðra tengingu ofan á þá fyrstu.

Skráðu gáminn sem tölvuandlagið lenti í og reikninginn sem bjó það til. Bæði skipta máli þegar vélin þarf að tengjast aftur eftir endurbyggingu, og hvorugt er augljóst frá þjóninum eftir á.

Hvað meðlimsskapur gefur ekki

Lénmeðlimsskapur gerir engan að staðbundnum stjórnanda og veitir ekki aðgang að fjartölvuborði eða skráardeilingu. Þessi réttindi eru stillt sérstaklega, og á stýrðu léni halda þau sér innan studds stjórnsýsluumfangs þess.

Netleiðin er viðvarandi háð en ekki uppsetningarþrep. Ef einkatengingin hverfur heldur þjónninn áfram með skyndiminni skilríkjum þar til eitthvað þarf skrána, og þá kemur bilunin í forritaskrá en ekki við hliðina á stillingunni sem breyttist.

Leiðbeiningar Microsoft um tengingu Windows Server telja upp studdar forsendur fyrir vinnuflæði stýrða lénsins. Lestu þær gagnvart þremur ákvörðunum hér að ofan, og meðhöndlaðu hvers kyns misræmi sem ástæðu til að stöðva en ekki smáatriði til að fara fram hjá.