Azure VM-ді Entra Domain Services-ке қосу: алдымен шешіңіз

Басқарылатын каталогты пайдалануы керек Windows Server VM алдында үш шешім тұр, ал қосылу пәрмені солардың ең кішісі. Қате каталог үлгісін таңдасаңыз, қосылу сәтті болады, бірақ қолданба әлі де аутентификация жасай алмайды. Атауларды шешуде қателессеңіз, ақау тіркелгі деректерінің мәселесіне ұқсайтын жерде шығады.

Серверге тиер алдында үлгіні, шешуді және тіркелгіні белгілеңіз, сонда пәрмен бір рет орындалады.

Үш қосылудың қайсысын шынымен қалайсыз

Құрылғыны қосу машинаны шартты қатынау мен бір реттік кіру үшін Microsoft Entra ID-ге тіркейді және жұмыс жүктемесіне жергілікті стильдегі доменге Kerberos билетін бермейді. Дәстүрлі доменге қосу компьютер нысанын каталогқа байлайды және оған машина тіркелгісін, топтық саясатты және домен аутентификациясын береді. Басқарылатын домен сол екінші үлгіні қызмет ретінде ұсынады. Атаулар ұқсас естіледі, нәтижелер онша емес.

Тек соңғы екеуі әдеттегі мағынада домен контроллерін қамтиды, және тек басқарылатын нұсқа серверлерді патч тізіміңізден алып тастайды.

Шешім әдетте қалауға емес, қолданбаға байланысты. LDAP байланысын, SPN-і бар қызмет тіркелгісін немесе топтық саясат нысандарын қалайтын бағдарлама домен үлгісіне жатады. Корпоративтік құрылғыда пайдаланушының жеке басын білу жеткілікті бағдарлама әдетте жатпайды.

Қосылудың аяқталуын DNS жолы шешеді

Доменге қосу домен контроллерінің жазбаларын локатор іздеуден басталады, сондықтан атауларды шешу кез келген тіркелгі деректерін тексеруден бұрын жұмыс істеуі керек. VM-ді басқарылатын доменнің каталог мекенжайларына бағыттаңыз, не виртуалдық желінің DNS параметрлері арқылы, не тек сол атау кеңістігін жіберетін шартты қайта бағыттаушы арқылы. Атау кеңістігімен шектелген қайта бағыттаушы әдетте қауіпсіз таңдау, өйткені VM-дің қалған шешуіне тимейді.

Жалаң хост атауын емес, локаторды тексеріңіз. Домен атауына ping еш нәрсені дәлелдемейді, ал домен контроллерінің жазбаларына SRV сұрауы не күтілетін нысандарды қайтарады, не бірден сәтсіз аяқталады:

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Домен атауы мен екі мекенжайды басқарылатын домен конфигурациясындағы мәндермен ауыстырыңыз; мұндағы сандар мысал. Егер сұрау басқа аймақтың жауаптарын қайтарса, VM басқарылатын атау кеңістігін қайта бағыттамайтын шешушіні пайдаланып отыр, және қосылуды қанша рет қайталасаңыз да ол өзгермейді.

Жұмыс жүктемесін басқарылатын домен өз қызмет ресурстары үшін қалдыратын ішкі желіден тыс ұстаңыз, каталог порттарын жеке жолда ұстаңыз. Бұл порттардың жария ашылуы қысқа жол емес; ол басқа тәуекел профилі бар басқа дизайн.

Тіркелгінің жарамдылығы машинадан бұрын тексеріледі

Қосылуды орындайтын тіркелгіге мақсатты контейнерде компьютер нысанын құруға рұқсат қажет және ол басқарылатын доменге аутентификация жасай алуы керек. Басқарылатын домен пайда болмай тұрын құрылған тек бұлттық тіркелгіде доменге қажет құпиясөзден туындаған материал болмауы мүмкін, ал құпиясөзді өзгерту немесе қалпына келтіру оны қайта жасайды. Бұл деталь құпиясөз дұрыс болғанда да қате құпиясөз секілді көрінетін қосылу ақауларының бір тобын түсіндіреді. Қызмет көрсету терезесі ашылмай тұрын тіркелгі деректерін доменге қарсы тексеріңіз.

Синхрондалған гибридтік тіркелгілердің көрінетін пайдаланушы нысаны жалғыз өзі қанағаттандырмайтын өз алғышарттары бар. Каталогта тіркелу одан билет ала білумен бірдей емес, сондықтан тіркелгіні қызмет көрсету терезесі кезінде емес, оған дейін тексеріңіз.

Қосылу құқығын тар түрде беріңіз. Бір тіркеу орындалуы үшін болашақ әрбір сервер пайдаланушысына домен әкімшісі мүшелігін беру уақытша мәселе үшін тұрақты рұқсат.

Қосылудың өзі бір пәрмен

Үлгі таңдалып, DNS жауап беріп, тіркелгі жарамды болса, операция әдеттегі Windows операциясы. Сұрау құпиясөзді скрипттер мен қабық тарихынан тыс ұстайды:

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

Бұл пішінде пәрмен машинаны өздігінен қайта қоспайды, сондықтан қайта жүктеу қызмет көрсету жоспары бойынша және қалпына келтіру жолы әлі қолжетімді күйде орындалады. Басқа доменге қосылған серверге көшіру жоспары қажет, біріншісінің үстіне екінші қосылу емес.

Компьютер нысаны түскен контейнерді және оны құрған тіркелгіні жазып алыңыз. Қайта құрудан кейін машинаны қайта қосу қажет болғанда екеуі де маңызды, және кейін серверден ешқайсысы айқын емес.

Мүшелік нені бермейді

Домен мүшелігі ешкімді жергілікті әкімші етпейді және қашықтағы жұмыс үстеліне немесе файл бөлісуге қатынау бермейді. Бұл құқықтар бөлек конфигурацияланады, ал басқарылатын доменде олар оның қолдау көрсетілетін әкімшілік аумағында қалады.

Желілік жол — орнату қадамы емес, үздіксіз тәуелділік. Жеке қосылым жоғалса, сервер кэштелген тіркелгі деректерімен жұмысын жалғастырады, бір нәрсеге каталог қажет болғанша, содан кейін ақау өзгерген конфигурацияның қасында емес, қолданба журналында келеді.

Microsoft-тың Windows Server қосу жөніндегі нұсқаулығы басқарылатын домен жұмыс ағыны үшін қолдау көрсетілетін алғышарттарды тізеді. Оны жоғарыдағы үш шешіммен салыстырып оқыңыз, кез келген сәйкессіздікті айналып өтетін деталь емес, тоқтау себебі деп қабылдаңыз.