Azure VMди Entra Domain Servicesке кошуу: адегенде чечиңиз
Кошуудан мурун үч чечим бар: жумуш жүктөмүнө керектүү каталог модели, доменди чечүүчү жеке DNS жана аутентификация кыла алган эсеп.
Башкарылуучу каталогду колдонушу керек болгон Windows Server VMдин алдында үч чечим турат, ал эми кошуу буйругу алардын эң кичинеси. Туура эмес каталог моделин тандасаңыз, кошуу ийгиликтүү болот, бирок колдонмо дагы эле аутентификация кыла албайт. Аттарды чечүүдө жаңылсаңыз, бузулуу каттоо эсебинин көйгөйүнө окшош жерде чыгат.
Серверге тийүүдөн мурун моделди, чечүүнү жана эсепти белгилеңиз, анда буйрук бир жолу аткарылат.
Үч кошуунун кайсынысын чын эле каалайсыз
Түзмөктү кошуу машинаны шарттуу кирүү жана бир жолку кирүү үчүн Microsoft Entra IDге каттайт жана жумуш жүктөмүнө жергиликтүү стилдеги доменге Kerberos билетин бербейт. Салттуу доменге кошуу компьютер объектисин каталогго байлайт жана ага машина эсебин, топтук саясатты жана домен аутентификациясын берет. Башкарылуучу домен ошол экинчи моделди кызмат катары сунуштайт. Аттар окшош угулат, жыйынтыктар андай эмес.
Адаттагы мааниде домен контроллерин камтыйт акыркы экөө гана, жана серверлерди патч тизмеңизден алып салат башкарылуучу вариант гана.
Чечим адатта тандоого эмес, колдонмого байланышат. LDAP байланышын, SPN бар кызмат эсебин же топтук саясат объектилерин каалаган программа домен моделине таандык. Корпоративдик түзмөктө колдонуучунун инсандыгын билүү жетиштүү болгон программа адатта таандык эмес.
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
Кошуу бүтө алабы же жокпу DNS жолу чечет
Доменге кошуу домен контроллеринин жазуулары үчүн локатор издөөдөн башталат, ошондуктан аттарды чечүү кандайдыр бир каттоо эсебинин маалыматын текшерүүдөн мурун иштеши керек. VMди башкарылуучу домендин каталог даректерине багыттаңыз, же виртуалдык тармактын DNS жөндөөлөрү аркылуу, же ошол ат мейкиндигин гана ал жакка жиберүүчү шарттуу багыттагыч аркылуу. Ат мейкиндиги менен чектелген багыттагыч адатта коопсуз тандоо, анткени VMдин калган чечүүсүнө тийбейт.
Жаңы хост атын эмес, локаторду текшериңиз. Домен атына ping дээрлик эч нерсени далилдебейт, ал эми домен контроллеринин жазууларына SRV суроосу же күтүлгөн буталарды кайтарат, же дароо ийгиликсиз болот:
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53Домен атын жана эки даректи башкарылуучу домен конфигурацияңыздагы маанилер менен алмаштырыңыз; бул жердеги сандар мисал. Эгер суроо башка аймактын жоопторун кайтарса, VM башкарылуучу ат мейкиндигин багыттабаган чечүүчүнү колдонуп жатат, жана кошууну канча жолу кайталасаңыз да ал өзгөрбөйт.
Жумуш жүктөмүн башкарылуучу домен өзүнүн кызмат ресурстары үчүн калтырган ички тармактан сырткары кармаңыз, каталог портторун жеке жолдо кармаңыз. Бул порттордун ачык көрсөтүлүшү кыска жол эмес; ал башка тобокелдик профили бар башка дизайн.
Эсептин жарактуулугу машинадан мурун текшерилет
Кошууну аткарган эсепке максаттуу контейнерде компьютер объектисин түзүүгө уруксат керек, жана ал башкарылуучу доменге аутентификация кыла алышы керек. Башкарылуучу домен пайда боло электе түзүлгөн булуттук гана эсепте доменге керектүү сырсөздөн келип чыккан материал жок болушу мүмкүн, ал эми сырсөздү өзгөртүү же кайра коюу аны кайра жаратат. Бул деталь сырсөз туура болгондо да туура эмес сырсөздөй көрүнгөн кошуу бузулууларынын бир классын түшүндүрөт. Тейлөө терезеси ачылганга чейин каттоо маалыматын доменге каршы текшериңиз.
Синхрондоштурулган гибриддик эсептердин көрүнүүчү колдонуучу объектиси жалгыз өзү канааттандырбаган өз шарттары бар. Каталогдо тизмелениши андан билет ала билүү менен бирдей эмес, ошондуктан эсепти тейлөө терезеси учурунда эмес, ага чейин текшериңиз.
Кошуу укугун тар өңүттө беркилеңиз. Бир каттоо болушу үчүн келечектеги ар бир сервер колдонуучусуна домен администраторунун мүчөлүгүн берүү убактылуу маселе үчүн туруктуу уруксат.
Кошуунун өзү бир буйрук
Модель тандалып, DNS жооп берип, эсеп жарактуу болсо, операция адаттагы Windows операциясы. Суроо сырсөздү скрипттерден жана кабык тарыхынан сырткары кармайт:
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThruБул формада буйрук машинаны өзү кайра жүктөбөйт, ошондуктан кайра жүктөө тейлөө планы боюнча жана калыбына келтирүү жолу дагы жеткиликтүү абалда аткарылат. Башка доменге мурун кошулган серверге көчүрүү планы керек, биринчисинин үстүнө экинчи кошуу эмес.
Компьютер объектиси түшкөн контейнерди жана аны түзгөн эсепти жазып алыңыз. Кайра куруудан кийин машинаны кайра кошуу керек болгондо экөө тең маанилүү, жана кийин серверден экөө тең ачык эмес.
Мүчөлүк эмнени бербейт
Домен мүчөлүгү эч кимди жергиликтүү администратор кылбайт жана алыскы иш тактасына же файл бөлүшүүгө кирүү бербейт. Бул укуктар өзүнчө конфигурацияланат, ал эми башкарылуучу доменде алар анын колдоого алынган административдик аймагында калат.
Тармак жолу – орнотуу кадамы эмес, үзгүлтүксүз көз карандылык. Жеке байланыш жоголсо, сервер кэштештирилген каттоо маалыматы менен иштей берет, бир нерсеге каталог керек болгонго чейин, анан бузулуу өзгөргөн конфигурациянын жанында эмес, колдонмо журналында келет.
Microsoftтин Windows Server кошуу боюнча көрсөтмөсү башкарылуучу домендин жумуш агымы үчүн колдоого алынган шарттарды тизмелейт. Аны жогорудагы үч чечимге салыштырып окуңуз, ар кандай дал келбестикти айланып өтүүчү деталь эмес, токтоо себеби деп кабыл алыңыз.