Azure VM-ის შეერთება Entra Domain Services-თან: ჯერ გადაწყვიტეთ
შეერთებამდე სამი გადაწყვეტილებაა: საქაღალდის მოდელი, რომელიც დატვირთვას სჭირდება, დომენის ამომხსნელი კერძო DNS და ანგარიში, რომელსაც ავთენტიფიკაცია შეუძლია.
Windows Server VM-ის წინ სამი გადაწყვეტილება დგას, რომელსაც მართული საქაღალდის გამოყენება სჭირდება, და შეერთების ბრძანება მათგან ყველაზე პატარაა. აირჩიეთ არასწორი საქაღალდის მოდელი და შეერთება წარმატებით დასრულდება, თუმცა აპლიკაცია მაინც ვერ ავთენტიფიცირდება. შეცდით სახელების ამოხსნაში და ხარვეზი გამოჩნდება იმ ადგილას, რომელიც რწმუნებულების პრობლემას ჰგავს.
გადაწყვიტეთ მოდელი, ამოხსნა და ანგარიში სერვერზე შეხებამდე, შემდეგ ბრძანება ერთხელ გაეშვება.
სამი შეერთებიდან რომელი გსურთ სინამდვილეში
მოწყობილობის შეერთება რეგისტრირებს მანქანას Microsoft Entra ID-ში პირობითი წვდომისა და ერთიანი შესვლისთვის და დატვირთვას არ აძლევს Kerberos ბილეთს ადგილობრივი სტილის დომენზე. ტრადიციული დომენის შეერთება აკავშირებს კომპიუტერის ობიექტს საქაღალდეში და აძლევს მას მანქანის ანგარიშს, ჯგუფურ პოლიტიკას და დომენის ავთენტიფიკაციას. მართული დომენი ამ მეორე მოდელს სერვისად გვთავაზობს. სახელები მსგავსად ჟღერს, შედეგები კი არა.
მხოლოდ ბოლო ორი მოიცავს დომენის კონტროლერს ჩვეულებრივი გაგებით და მხოლოდ მართული ვარიანტი ხსნის სერვერებს თქვენი პაჩების სიიდან.
გადაწყვეტილება ჩვეულებრივ აპლიკაციაზეა დამოკიდებული და არა უპირატესობაზე. პროგრამული უზრუნველყოფა, რომელსაც სჭირდება LDAP შეკვრა, SPN-ით მომსახურების ანგარიში ან ჯგუფური პოლიტიკის ობიექტები, დომენის მოდელს ეკუთვნის. პროგრამული უზრუნველყოფა, რომელსაც მხოლოდ მომხმარებლის იდენტობის ცოდნა სჭირდება კორპორატიულ მოწყობილობაზე, ჩვეულებრივ არ ეკუთვნის.
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
DNS-ის გზა წყვეტს, შეიძლება თუ არა შეერთების დასრულება
დომენის შეერთება იწყება დომენის კონტროლერის ჩანაწერების ლოკატორის ძიებით, ამიტომ სახელების ამოხსნა უნდა მუშაობდეს ნებისმიერი რწმუნებულის შემოწმებამდე. მიმართეთ VM მართული დომენის საქაღალდის მისამართებზე, ან ვირტუალური ქსელის DNS პარამეტრებით, ან პირობითი გამტარის მეშვეობით, რომელიც მხოლოდ იმ სახელთა სივრცეს აგზავნის იქ. სახელთა სივრცით შემოფარგლული გამტარი ჩვეულებრივ უფრო უსაფრთხო არჩევანია, რადგან VM-ის დანარჩენ ამოხსნას ხელუხლებლად ტოვებს.
გამოსცადეთ ლოკატორი და არა შიშველი ჰოსტის სახელი. დომენის სახელზე ping თითქმის არაფერს ამტკიცებს, ხოლო დომენის კონტროლერის ჩანაწერების SRV მოთხოვნა ან მოსალოდნელ სამიზნეებს აბრუნებს, ან მაშინვე ვარდება:
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53შეცვალეთ დომენის სახელი და ორი მისამართი თქვენი მართული დომენის კონფიგურაციის მნიშვნელობებით; აქ მოცემული რიცხვები მაგალითებია. თუ მოთხოვნა სხვა ზონის პასუხებს აბრუნებს, VM იყენებს ამომხსნელს, რომელიც მართულ სახელთა სივრცეს არ გადასცემს, და შეერთების რამდენი გამეორებაც არ უნდა იყოს, ეს არ შეიცვლება.
შეინახეთ დატვირთვა იმ ქვექსელის გარეთ, რომელსაც მართული დომენი საკუთარი სერვისის რესურსებისთვის იტოვებს, და საქაღალდის პორტები კერძო გზაზე შეინახეთ. ამ პორტების საჯაროდ გამოჩენა მოკლე გზა არ არის; ეს სხვა რისკის პროფილის მქონე განსხვავებული დიზაინია.
ანგარიშის ვარგისიანობა მანქანაზე ადრე მოწმდება
შეერთების შემსრულებელ ანგარიშს სჭირდება ნებართვა სამიზნე კონტეინერში კომპიუტერის ობიექტის შესაქმნელად და უნდა შეეძლოს მართულ დომენზე ავთენტიფიკაცია. მხოლოდ ღრუბლოვანი ანგარიში, რომელიც მართული დომენის არსებობამდე შეიქმნა, შეიძლება არ ფლობდეს დომენისთვის საჭირო პაროლიდან წარმოებულ მასალას, და პაროლის შეცვლა ან აღდგენა მას ხელახლა წარმოქმნის. ეს დეტალი ხსნის შეერთების ხარვეზების კლასს, რომლებიც არასწორ პაროლებს ჰგავს, როცა პაროლი სწორია. გამოსცადეთ რწმუნებული დომენზე ტექნიკური მომსახურების ფანჯრის გახსნამდე.
სინქრონიზებულ ჰიბრიდულ ანგარიშებს საკუთარი წინაპირობები აქვთ, რომლებსაც ხილული მომხმარებლის ობიექტი მარტო არ აკმაყოფილებს. საქაღალდეში ჩამოთვლილი ყოფნა იგივე არ არის, რაც მისგან ბილეთის მიღების შესაძლებლობა, ამიტომ გამოსცადეთ ანგარიში ტექნიკური მომსახურების ფანჯრამდე და არა მის დროს.
დელეგირეთ შეერთების უფლება ვიწროდ. ყველა მომავალ სერვერის მომხმარებელს დომენის ადმინისტრატორის წევრობის მიცემა, რათა ერთი რეგისტრაცია მოხდეს, მუდმივი ნებართვაა დროებითი პრობლემისთვის.
შეერთება თავად ერთი ბრძანებაა
როცა მოდელი არჩეულია, DNS პასუხობს და ანგარიში ვარგისია, ოპერაცია ჩვეულებრივი Windows ოპერაციაა. მოთხოვნა პაროლს სკრიპტებისა და გარსის ისტორიის გარეთ ინახავს:
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThruბრძანება ამ ფორმით მანქანას თავად არ გადატვირთავს, ამიტომ გადატვირთვა ტექნიკური მომსახურების გეგმის მიხედვით და აღდგენის გზის ჯერ კიდევ ხელმისაწვდომობისას ხდება. სხვა დომენზე უკვე შეერთებულ სერვერს მიგრაციის გეგმა სჭირდება, და არა მეორე შეერთება პირველის თავზე.
ჩაწერეთ კონტეინერი, რომელშიც კომპიუტერის ობიექტი დაეშვა, და ანგარიში, რომელმაც ის შექმნა. ორივე მნიშვნელოვანია, როცა მანქანა გადაკეთების შემდეგ ხელახლა უნდა შეერთდეს, და არც ერთი არ არის სერვერიდან შემდეგ აშკარა.
რას არ იძლევა წევრობა
დომენის წევრობა არავის აქცევს ლოკალურ ადმინისტრატორად და არ იძლევა დისტანციურ სამუშაო მაგიდაზე ან ფაილების გაზიარებაზე წვდომას. ეს უფლებები ცალკე კონფიგურირდება, და მართულ დომენზე ისინი მის მხარდაჭერილ ადმინისტრაციულ არეალში რჩება.
ქსელის გზა გაგრძელებული დამოკიდებულებაა და არა დაყენების ნაბიჯი. თუ კერძო კავშირი გაქრა, სერვერი განაგრძობს მუშაობას ქეშირებული რწმუნებულებით, სანამ რაღაცას საქაღალდე დასჭირდება, და მაშინ ხარვეზი აპლიკაციის ჟურნალში მოვა და არა შეცვლილი კონფიგურაციის გვერდით.
Microsoft-ის Windows Server-ის შეერთების სახელმძღვანელო ჩამოთვლის მართული დომენის სამუშაო პროცესისთვის მხარდაჭერილ წინაპირობებს. წაიკითხეთ ის ზემოთ მოცემული სამი გადაწყვეტილების წინააღმდეგ და ნებისმიერი შეუსაბამობა განიხილეთ გაჩერების მიზეზად და არა თავიდან ასარიდებელ დეტალად.