Eng Azure VM un Entra Domain Services uschléissen: fir d'éischt entscheeden

Dräi Entscheedunge stinn virun enger Windows Server VM, déi e verwalteten Verzeechnis notze muss, an den Uschléissbefehl ass déi klengst dovun. Wielt de falschen Verzeechnismodell an den Uschléiss geléngt, während d'Applikatioun sech nach ëmmer net authentifizéiere kann. Gitt d'Nimmoplléisung daneben an de Fehler erschéngt op enger Plaz, déi wéi en Problem mat den Accèsdaten ausgesäit.

Kläert de Modell, d'Opléisung an de Kont, ier Dir de Server beréiert, dann leeft den Befehl eng Kéier.

Wéien vun den dräi Uschléiss Dir wierklech wëllt

En Apparat-Uschleiss registréiert eng Maschinn bei Microsoft Entra ID fir bedingten Accès an eng eenzeg Umellung, an en gëtt der Aarbechtslaascht keen Kerberos-Ticket an eng Domain am lokalen Stil. En traditionellen Domain-Uschleiss bënnt en Computerobjekt an en Verzeechnis an gëtt him e Maschinnkont, Gruppepolitik an Domain-Authentifikatioun. Eng verwalt Domain bitt deen zweete Modell als Service un. D'Nimm klénge ähnlech an d'Resultater net.

Nëmmen déi lescht zwee enthalen en Domain-Controller am gewéinlechen Sënn, an nëmmen déi verwalt Optioun hëlt d'Serveren aus Ärer Patch-Lëscht.

D'Entscheedung hänkt meeschtens vun der Applikatioun of an net vun der Preferenz. Software, déi eng LDAP-Bindung, e Servicekont mat engem SPN oder Gruppepolitikobjekte wëll, gehéiert an den Domainmodell. Software, déi just d'Identitéit vum Benotzer op engem Firmenapparat wësse muss, gehéiert meeschtens net dohinner.

Den DNS-Wee entscheet, ob den Uschléiss fäerdeg ka ginn

En Domain-Uschleiss fänkt mat enger Locator-Sich no den Controller-Records vun der Domain un, also muss d'Nimmoplléisung funktionéieren, ier eng Accèsdaten gepréift gëtt. Richt d'VM op d'Verzeechnisadresse vun der verwaltener Domain, entweder iwwer d'DNS-Astellungen vum virtuelle Reseau oder iwwer en bedingten Weiderleeder, deen nëmmen deen Nummraum dohinner schéckt. En Weiderleeder, deen op den Nummraum begrenzt ass, ass meeschtens déi sécher Wiel, well en de Rescht vun der Opléisung vun der VM an Rou léisst.

Test de Locator an net en nackte Hostnumm. E Ping op den Domainnumm beweist bal näischt, wärend eng SRV-Ufro no den Controller-Records vun der Domain entweder déi erwaart Ziler zréckgëtt oder direkt feelt:

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Ersetzt den Domainnumm an déi zwou Adressen duerch d'Wäerter aus Ärer Konfiguratioun vun der verwaltener Domain; d'Zuelen hei sinn Beispiller. Wann d'Ufro Äntwerten aus enger anerer Zone zréckgëtt, benotzt d'VM en Opléiser, deen den verwalteten Nummraum net weiderleet, an et ännert näischt, wéi dacks den Uschléiss widderholl gëtt.

Halt d'Aarbechtslaascht aus dem Subnetz eraus, dat d'verwalt Domain fir hir eege Service-Ressourcen reservéiert, an halt d'Verzeechnisporten um private Wee. D'ëffentlech Expositioun vun dëse Porten ass keng Ofkierzung; et ass en aneren Design mat engem aneren Risikoprofil.

D'Eegegung vum Kont gëtt virun der Maschinn gepréift

De Kont, deen den Uschléiss mécht, brauch d'Erlaabnes, en Computerobjekt am Zilcontainer ze schafen, an e muss sech géint d'verwalt Domain authentifizéiere kënnen. E reine Cloudkont, deen ugeluecht gouf, ier d'verwalt Domain existéiert huet, huet vläicht net de vum Passwuert ofgeleet Material, dat d'Domain brauch, an eng Passwuertännerung oder -zrécksetzung erneiert et. Dësen Detail erkläert eng Klass vun Uschléissfehler, déi wéi falsch Passwierder ausgesinn, wann d'Passwuert richteg ass. Test d'Accèsdaten géint d'Domain, ier d'Waardungsfënster opgeet.

Synchroniséiert hybrid Konten hunn hir eege Viraussetzungen, déi en sichtbart Benotzerobjekt net eleng erfëllt. Am Verzeechnis agedroe sinn ass net datselwecht wéi en Ticket dovun ze kréien, also test de Kont virun der Waardungsfënster an net während hir.

Delegéier d'Uschluetrecht enk. All zukünftege Serverbenotzer Domainadministrator-Memberschaft ze ginn, fir datt eng Aschreiwung ka geschéien, ass eng permanent Erlaabnes fir e temporäre Problem.

Den Uschléiss selwer ass een eenzege Befehl

Mat gewieltem Modell, DNS deen äntwert an dem Kont dee geleegt ass, ass d'Operatioun déi gewéinlech Windows-Operatioun. D'Opfuerderung hält d'Passwuert aus Skripten an der Shell-Historie eraus:

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

Den Befehl startet d'Maschinn an dëser Form net vun sech aus nei, sou datt de Neistart nom Waardungsplang geschitt an de Recuperatiounswee nach disponibel ass. En Server, deen nach engem aneren Domain ugeschloss ass, brauch e Migratiounsplang an net en zweeten Uschléiss iwwer deen éischten.

Notéiert de Container, an deem d'Computerobjekt gelant ass, an de Kont, deen en erstallt huet. Béid zielen, wann d'Maschinn no engem Neibau missen nach eng Kéier ugeschloss ginn, an et ass spéider keng vun deenen zwou vum Server aus offensichtlech.

Wat d'Memberschaft net gëtt

Domainmemberschaft mécht keen zu engem lokalen Administrateur, an et gëtt keen Accès op de Remote-Desktop oder op Dateifreigaben. Déi Rechter ginn separat konfiguréiert, an op enger verwaltener Domain bleiwe se an hirem ënnerstëtzten administrativen Ëmfang.

Den Netzwee ass eng fortlafend Ofhängegkeet an net e Schrëtt bei der Installatioun. Wann d'privat Verbindung verschwënnt, leeft de Server mat gespäicherte Accèsdaten weider, bis eppes d'Verzeechnis brauch, an dann kënnt de Fehler an en Applikatiounslog an net niewent der Konfiguratioun, déi sech geännert huet.

Dem Microsoft seng Uleitung zum Uschléisse vun Windows Server zielt déi ënnerstëtzt Viraussetzungen fir de Workflow mat der verwaltener Domain op. Liest se géint déi dräi Entscheedungen uewen, a behandelt all Onstëmmegkeet als Grond fir ze stoppen an net als Detail, deen ze ëmgoen ass.