Azure VM prijungimas prie Entra Domain Services: pirmiausia nuspręskite
Prieš prijungiant yra trys sprendimai: katalogo modelis, kurio reikia darbo apkrovai, privatus DNS, išsprendžiantis domeną, ir paskyra, galinti autentifikuotis.
Priešais Windows Server VM, kuriai reikia naudoti valdomą katalogą, stovi trys sprendimai, o prisijungimo komanda yra mažiausias iš jų. Pasirinkite netinkamą katalogo modelį ir prisijungimas pavyks, nors programa vis tiek negalės autentifikuotis. Suklyskite vardų skyrimo srityje ir gedimas pasirodys vietoje, kuri atrodo kaip kredencialų problema.
Nuspręskite modelį, skyrimą ir paskyrą prieš liesdami serverį, tada komanda įvyks vieną kartą.
Kurio iš trijų prisijungimų iš tikrųjų norite
Įrenginio prisijungimas užregistruoja mašiną Microsoft Entra ID sąlyginei prieigai ir vienkartiniam prisijungimui ir nesuteikia darbo apkrovai Kerberos bilieto į vietinio stiliaus domeną. Tradicinis domeno prisijungimas susieja kompiuterio objektą su katalogu ir suteikia jam mašinos paskyrą, grupės politiką ir domeno autentifikaciją. Valdomas domenas teikia tą antrą modelį kaip paslaugą. Pavadinimai skamba panašiai, o rezultatai ne.
Tik paskutiniai du apima domeno valdiklį įprasta prasme, ir tik valdomas variantas pašalina serverius iš jūsų pataisų sąrašo.
Sprendimas paprastai priklauso nuo programos, o ne nuo pageidavimo. Programinė įranga, kuriai reikia LDAP susiejimo, tarnybos paskyros su SPN arba grupės politikos objektų, priklauso domeno modeliui. Programinė įranga, kuriai tereikia žinoti vartotojo tapatybę įmonės įrenginyje, paprastai nepriklauso.
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
Ar prisijungimas gali pasibaigti, sprendžia DNS kelias
Domeno prisijungimas prasideda lokatoriaus paieška domeno valdiklio įrašams, todėl vardų skyrimas turi veikti prieš tikrinant bet kokius kredencialus. Nukreipkite VM į valdomo domeno katalogo adresus, arba per virtualaus tinklo DNS nustatymus, arba per sąlyginį persiuntiklį, kuris ten siunčia tik tą vardų erdvę. Persiuntiklis, apribotas vardų erdve, paprastai yra saugesnis pasirinkimas, nes palieka likusį VM skyrimą nepaliestą.
Išbandykite lokatorių, o ne pliką prieglobo vardą. Ping į domeno vardą beveik nieko neįrodo, o SRV užklausa domeno valdiklio įrašams arba grąžina laukiamus taikinius, arba iš karto nepavyksta:
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53Pakeiskite domeno vardą ir du adresus reikšmėmis iš valdomo domeno konfigūracijos; čia esantys skaičiai yra pavyzdžiai. Jei užklausa grąžina kitos zonos atsakymus, VM naudoja sprendiklį, kuris nepersiunčia valdomos vardų erdvės, ir joks prisijungimo kartojimų skaičius to nepakeis.
Laikykite darbo apkrovą už potinklio, kurį valdomas domenas rezervuoja savo paslaugų ištekliams, ir laikykite katalogo prievadus privačiame kelyje. Viešas tų prievadų atvėrimas nėra trumpasis kelias; tai kitokia dizaino koncepcija su kitokiu rizikos profiliu.
Paskyros tinkamumas tikrinamas anksčiau nei mašina
Paskyrai, kuri atlieka prisijungimą, reikia leidimo sukurti kompiuterio objektą tikslinėje talpykloje, ir ji turi galėti autentifikuotis valdomame domene. Tik debesies paskyra, sukurta prieš atsirandant valdomam domenui, gali neturėti iš slaptažodžio išvestos medžiagos, kurios domenui reikia, o slaptažodžio pakeitimas ar atstatymas ją sukuria iš naujo. Ši smulkmena paaiškina prisijungimo gedimų klasę, kuri atrodo kaip neteisingi slaptažodžiai, kai slaptažodis yra teisingas. Išbandykite kredencialus domene prieš atsidarant priežiūros langui.
Sinchronizuotos hibridinės paskyros turi savo prielaidas, kurių matomas vartotojo objektas vienas nepatenkina. Buvimas katalogo sąraše nėra tas pats, kas galėjimas iš jo gauti bilietą, todėl išbandykite paskyrą prieš priežiūros langą, o ne jo metu.
Paverskite prisijungimo teisę siaurai. Duoti kiekvienam būsimam serverio vartotojui domeno administratoriaus narystę, kad įvyktų viena registracija, yra nuolatinis leidimas laikinai problemai.
Pats prisijungimas yra viena komanda
Kai modelis pasirinktas, DNS atsako, o paskyra tinkama, operacija yra įprasta Windows operacija. Užklausa laiko slaptažodį už scenarijų ir apvalkalo istorijos ribų:
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThruŠios formos komanda pati nepaleidžia mašinos iš naujo, todėl perkrovimas vyksta pagal priežiūros planą ir vis dar turint atkūrimo kelią. Serveriui, jau prijungtam prie kito domeno, reikia migracijos plano, o ne antro prisijungimo ant pirmojo.
Užrašykite talpyklą, į kurią pateko kompiuterio objektas, ir paskyrą, kuri jį sukūrė. Abu svarbūs, kai mašiną reikia prijungti iš naujo po perstatymo, ir nė vienas nėra akivaizdus iš serverio vėliau.
Ko narystė neduoda
Domeno narystė nieko nepaverčia vietiniu administratoriumi ir nesuteikia prieigos prie nuotolinio darbalaukio ar failų bendrinimo. Tos teisės konfigūruojamos atskirai, o valdomame domene jos lieka jo palaikomoje administravimo srityje.
Tinklo kelias yra nuolatinė priklausomybė, o ne sąrankos žingsnis. Jei privatus ryšys dingsta, serveris toliau veikia su podėlyje laikomais kredencialais, kol kažkam prireikia katalogo, ir tada gedimas atsiranda programos žurnale, o ne šalia pasikeitusios konfigūracijos.
Microsoft Windows Server prisijungimo gairės išvardija palaikomas valdomo domeno darbo eigos prielaidas. Skaitykite jas prieš tris aukščiau pateiktus sprendimus ir bet kokį neatitikimą laikykite priežastimi sustoti, o ne smulkmena, kurią reikia apeiti.