Azure VM pievienošana Entra Domain Services: vispirms izlemiet
Pirms pievienošanas ir trīs lēmumi: kataloga modelis, kas nepieciešams darba slodzei, privāts DNS, kas atrisina domēnu, un konts, kas spēj autentificēties.
Windows Server VM priekšā, kurai jāizmanto pārvaldīts katalogs, stāv trīs lēmumi, un pievienošanas komanda ir mazākais no tiem. Izvēlieties nepareizu kataloga modeli, un pievienošana izdosies, kamēr lietojumprogramma joprojām nevarēs autentificēties. Kļūdieties nosaukumu izšķiršanā, un kļūme parādīsies vietā, kas izskatās pēc akreditācijas datu problēmas.
Izlemiet modeli, izšķiršanu un kontu pirms servera aizskaršanas, tad komanda izpildīsies vienreiz.
Kuru no trim pievienošanām jūs patiešām vēlaties
Ierīces pievienošana reģistrē mašīnu Microsoft Entra ID nosacītai piekļuvei un vienotai pierakstīšanai un nepiešķir darba slodzei Kerberos biļeti uz vietējā stila domēnu. Tradicionālā domēna pievienošana saista datora objektu katalogā un piešķir tam mašīnas kontu, grupas politiku un domēna autentifikāciju. Pārvaldīts domēns nodrošina otro modeli kā pakalpojumu. Nosaukumi izklausās līdzīgi, un rezultāti ne.
Tikai pēdējās divas ietver domēna kontrolieri parastajā nozīmē, un tikai pārvaldītā opcija izņem serverus no jūsu ielāpu saraksta.
Lēmums parasti ir atkarīgs no lietojumprogrammas, nevis no izvēles. Programmatūra, kurai vajag LDAP saistījumu, servisa kontu ar SPN vai grupas politikas objektus, pieder domēna modelim. Programmatūra, kurai tikai jāzina lietotāja identitāte uzņēmuma ierīcē, parasti nepieder.
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
Vai pievienošana var pabeigties, izlemj DNS ceļš
Domēna pievienošana sākas ar lokatora meklēšanu domēna kontrollera ierakstiem, tāpēc nosaukumu izšķiršanai jādarbojas pirms jebkuru akreditācijas datu pārbaudes. Novirziet VM uz pārvaldītā domēna kataloga adresēm, vai nu caur virtuālā tīkla DNS iestatījumiem, vai caur nosacītu pāradresētāju, kas turp sūta tikai šo nosaukumu telpu. Pāradresētājs, kas ierobežots ar nosaukumu telpu, parasti ir drošāka izvēle, jo atstāj pārējo VM izšķiršanu neskartu.
Pārbaudiet lokatoru, nevis kailu resursdatora nosaukumu. Ping uz domēna nosaukumu gandrīz neko nepierāda, kamēr SRV vaicājums domēna kontrollera ierakstiem vai nu atgriež gaidītos mērķus, vai tūlīt neizdodas:
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53Aizstājiet domēna nosaukumu un abas adreses ar vērtībām no pārvaldītā domēna konfigurācijas; šeit esošie skaitļi ir piemēri. Ja vaicājums atgriež citas zonas atbildes, VM izmanto atrisinātāju, kas nepārsūta pārvaldīto nosaukumu telpu, un neviens pievienošanas atkārtojumu skaits to nemainīs.
Turiet darba slodzi ārpus apakštīkla, ko pārvaldītais domēns rezervē saviem pakalpojuma resursiem, un turiet kataloga portus privātajā ceļā. Šo portu publiska atklāšana nav saīsne; tas ir cits dizains ar citu riska profilu.
Konta atbilstība tiek pārbaudīta pirms mašīnas
Kontam, kas veic pievienošanu, vajadzīga atļauja izveidot datora objektu mērķa konteinerā, un tam jāspēj autentificēties pārvaldītajā domēnā. Tikai mākoņa konts, kas izveidots pirms pārvaldītā domēna pastāvēšanas, var trūkt no paroles atvasināta materiāla, kas domēnam nepieciešams, un paroles maiņa vai atiestatīšana to izveido no jauna. Šī detaļa izskaidro pievienošanas kļūmju klasi, kas izskatās kā nepareizas paroles, kad parole ir pareiza. Pārbaudiet akreditācijas datus domēnā pirms apkopes loga atvēršanas.
Sinhronizētiem hibrīdajiem kontiem ir savi priekšnoteikumi, ko redzams lietotāja objekts viens pats neizpilda. Būt iekļautam katalogā nav tas pats, kas spēt no tā iegūt biļeti, tāpēc pārbaudiet kontu pirms apkopes loga, nevis tā laikā.
Deleģējiet pievienošanas tiesības sašaurināti. Dot katram nākamajam servera lietotājam domēna administratora dalību, lai notiktu viena reģistrācija, ir pastāvīga atļauja īslaicīgai problēmai.
Pati pievienošana ir viena komanda
Kad modelis izvēlēts, DNS atbild un konts ir piemērots, darbība ir parastā Windows darbība. Uzaicinājums tur paroli ārpus skriptiem un čaulas vēstures:
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThruKomanda šajā formā pati nepārstartē mašīnu, tāpēc pārstartēšana notiek saskaņā ar apkopes plānu un ar joprojām pieejamu atkopšanas ceļu. Serverim, kas jau pievienots citam domēnam, vajadzīgs migrācijas plāns, nevis otra pievienošana virs pirmās.
Pierakstiet konteineru, kurā nokļuva datora objekts, un kontu, kas to izveidoja. Abi ir svarīgi, kad mašīna pēc pārbūves jāpievieno no jauna, un neviens no tiem vēlāk nav acīmredzams no servera.
Ko dalība nedod
Domēna dalība nevienu nepadara par vietējo administratoru un nedod piekļuvi attālinātajam darbvirsmam vai failu koplietošanai. Šīs tiesības konfigurē atsevišķi, un pārvaldītā domēnā tās paliek tā atbalstītajā administratīvajā jomā.
Tīkla ceļš ir pastāvīga atkarība, nevis iestatīšanas solis. Ja privātais savienojums pazūd, serveris turpina darboties ar kešatmiņā saglabātiem akreditācijas datiem, līdz kaut kam vajag katalogu, un tad kļūme ierodas lietojumprogrammas žurnālā, nevis blakus mainītajai konfigurācijai.
Microsoft Windows Server pievienošanas norādes uzskaita atbalstītos pārvaldītā domēna darbplūsmas priekšnoteikumus. Lasiet tās pret trim iepriekš minētajiem lēmumiem un jebkuru neatbilstību uzskatiet par iemeslu apstāties, nevis detaļu, ko apiet.