Поврзување на Azure VM со Entra Domain Services: прво одлучете
Три одлуки претходат на поврзувањето: моделот на директориум што му е потребен на работното оптоварување, приватен DNS што го решава доменот и сметка што може да се автентицира.
Пред Windows Server VM што мора да користи управуван директориум стојат три одлуки, а командата за поврзување е најмалата од нив. Изберете погрешен модел на директориум и поврзувањето ќе успее, а апликацијата сепак нема да може да се автентицира. Згрешете во разрешувањето на имињата и дефектот ќе се појави на место што изгледа како проблем со акредитиви.
Решете го моделот, разрешувањето и сметката пред да го допрете серверот, потоа командата се извршува еднаш.
Кое од трите поврзувања навистина го сакате
Поврзувањето на уред регистрира машина во Microsoft Entra ID за условен пристап и еднократно најавување и не му дава на работното оптоварување билет Kerberos до домен во локален стил. Традиционалното поврзување со домен врзува компјутерски објект во директориум и му дава сметка за машина, групна политика и автентикација на доменот. Управуван домен го нуди вториот модел како услуга. Имињата звучат слично, а резултатите не.
Само последните две вклучуваат контролер на домен во вообичаената смисла, и само управуваната опција ги отстранува серверите од вашата листа за закрпи.
Одлуката обично зависи од апликацијата, а не од претпочитање. Софтверот што сака LDAP врзување, сервисна сметка со SPN или објекти на групна политика припаѓа на моделот на домен. Софтверот што само треба да го знае идентитетот на корисникот на корпоративен уред обично не припаѓа.
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
Патеката на DNS одлучува дали поврзувањето може да заврши
Поврзувањето со домен започнува со пронаоѓање локатор за записите на контролерот на доменот, па разрешувањето на имињата мора да работи пред да се провери кој било акредитив. Насочете ја VM кон адресите на директориумот на управуваниот домен, или преку DNS-поставките на виртуелната мрежа или преку условен проследувач што само тој именски простор го испраќа таму. Проследувач ограничен на именскиот простор обично е побезбеден избор, бидејќи го остава остатокот од разрешувањето на VM на мир.
Тестирајте го локаторот, а не голо име на домаќин. Пинг до името на доменот не докажува речиси ништо, додека SRV-барањето за записите на контролерот на доменот или ги враќа очекуваните цели или веднаш не успева:
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53Заменете го името на доменот и двете адреси со вредностите од конфигурацијата на управуваниот домен; бројките овде се примери. Ако барањето врати одговори од друга зона, VM користи решавач што не го проследува управуваниот именски простор, и колку и да се повторува поврзувањето, тоа нема да се промени.
Држете го работното оптоварување надвор од подмрежата што управуваниот домен ја резервира за сопствените услужни ресурси, и држете ги портите на директориумот на приватната патека. Јавното изложување на тие порти не е кратенка; тоа е поинаков дизајн со поинаков профил на ризик.
Подобноста на сметката се проверува пред машината
Сметката што го извршува поврзувањето бара дозвола да создаде компјутерски објект во целниот контејнер и мора да може да се автентицира кон управуваниот домен. Сметка само во облак создадена пред да постои управуваниот домен може да нема материјал изведен од лозинката што му е потребен на доменот, а промена или ресетирање на лозинката го создава повторно. Овој детаљ објаснува класа неуспеси при поврзување што изгледаат како погрешни лозинки кога лозинката е точна. Тестирајте ги акредитивите кон доменот пред да се отвори прозорецот за одржување.
Синхронизираните хибридни сметки имаат свои предуслови што видлив кориснички објект не ги задоволува сам. Да се биде наведен во директориумот не е исто како да може да се добие билет од него, затоа тестирајте ја сметката пред прозорецот за одржување, а не за време на него.
Делегирајте го правото на поврзување тесно. Давање членство на администратор на домен на секој иден корисник на серверот за да се случи едно запишување е трајно одобрување за привремен проблем.
Самото поврзување е една команда
Кога моделот е избран, DNS одговара и сметката е подобна, операцијата е вообичаената Windows-операција. Промптот ја држи лозинката надвор од скрипти и историјата на школката:
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThruКомандата не ја рестартира машината сама во овој облик, па рестартот се случува според планот за одржување и со се уште достапна патека за враќање. Сервер веќе поврзан со друг домен бара план за миграција, а не второ поврзување врз првото.
Забележете го контејнерот во кој слета компјутерскиот објект и сметката што го создаде. Двете се важни кога машината треба повторно да се поврзе по преизградба, и ниту едно не е очигледно од серверот потоа.
Што не дава членството
Членството во домен не прави никого локален администратор и не дава пристап до оддалечена работна површина или споделување датотеки. Тие права се конфигурираат одделно, а на управуван домен остануваат во неговиот поддржан административен опсег.
Мрежната патека е постојана зависност, а не чекор при поставување. Ако приватната врска исчезне, серверот продолжува да работи со кеширани акредитиви додека нешто не побара директориумот, и тогаш дефектот пристигнува во дневник на апликација, а не до конфигурацијата што се променила.
Упатството на Microsoft за поврзување на Windows Server ги наведува поддржаните предуслови за работниот тек со управуван домен. Читајте го наспроти трите одлуки погоре и третирајте секое отстапување како причина да запрете, а не како детаљ што треба да се заобиколи.