Azure VM-г Entra Domain Services-д холбох: эхлээд шийдээрэй
Холбохоос өмнө гурван шийдвэр байна: ажлын ачаалалд хэрэгтэй каталогийн загвар, домэйныг шийддэг хувийн DNS, баталгаажуулах чадвартай бүртгэл.
Удирдлагатай каталог ашиглах ёстой Windows Server VM-ийн өмнө гурван шийдвэр байгаа бөгөөд холбох команд нь тэдгээрийн хамгийн бага нь юм. Буруу каталогийн загвар сонговол холболт амжилттай болох боловч аппликейшн баталгаажуулж чадахгүй хэвээр байна. Нэрийн шийдэлд алдвал алдаа нь итгэмжлэлийн асуудал мэт харагдах цэгт гарч ирнэ.
Серверт хүрэхээс өмнө загвар, шийдэл, бүртгэлийг тогтоовол команд нэг удаа ажиллана.
Гурван холболтын алийг нь үнэхээр хүсэж байгаа вэ
Төхөөрөмжийн холболт машиныг нөхцөлт хандалт болон нэг удаагийн нэвтрэлтийн зорилгоор Microsoft Entra ID-д бүртгэдэг бөгөөд ажлын ачаалалд орон нутгийн хэв маягийн домэйн руу Kerberos тасалбар өгдөггүй. Уламжлалт домэйн холболт компьютер объектыг каталогт уяж, түүнд машины бүртгэл, бүлгийн бодлого, домэйны баталгаажуулалт өгдөг. Удирдлагатай домэйн тэр хоёр дахь загварыг үйлчилгээ болгон санал болгодог. Нэрс ижил сонсогддог ч үр дүн нь тийм биш.
Ердийн утгаар домэйны контроллер хамаарах нь зөвхөн сүүлийн хоёрт, мөн серверүүдийг засварын жагсаалтаас гаргах нь зөвхөн удирдлагатай хувилбарт л боломжтой.
Шийдвэр нь ихэвчлэн сонголтоос биш аппликейшнээс хамаардаг. LDAP холболт, SPN бүхий үйлчилгээний бүртгэл эсвэл бүлгийн бодлогын объект шаарддаг програм хангамж домэйны загварт хамаарна. Корпорацийн төхөөрөмж дээр хэрэглэгчийн хэн болохыг мэдэхэд л хангалттай програм хангамж ихэвчлэн хамаарахгүй.
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
Холболт дуусч чадах эсэхийг DNS-ийн зам шийднэ
Домэйн холболт нь домэйны контроллерын бичлэгүүдийн локатор хайлтаас эхэлдэг тул итгэмжлэлийг шалгахаас өмнө нэрийн шийдэл ажиллах ёстой. VM-ийг удирдлагатай домэйны каталогийн хаягууд руу чиглүүлээрэй, виртуал сүлжээний DNS тохиргоогоор эсвэл зөвхөн тэр нэрийн орон зайг тийш илгээдэг нөхцөлт дамжуулагчаар. Нэрийн орон зайд хязгаарлагдсан дамжуулагч нь ихэвчлэн илүү аюулгүй сонголт, учир нь VM-ийн бусад шийдлийг хөндөхгүй орхидог.
Зөвхөн хост нэр биш, локаторыг шалгаарай. Домэйны нэр рүү ping бараг юу ч батлахгүй, харин контроллерын бичлэгүүдийн SRV асуулга нь хүлээгдэж буй зорилтуудыг буцаах эсвэл тэр даруй бүтэлгүйтнэ:
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53Домэйны нэр болон хоёр хаягийг удирдлагатай домэйны тохиргооны утгуудаар солино уу; энд байгаа тоонууд жишээ юм. Хэрэв асуулга өөр бүсийн хариултуудыг буцаавал VM нь удирдлагатай нэрийн орон зайг дамжуулдаггүй шийдэгч ашиглаж байна, холболтыг хэчнээн удаа давтсан ч энэ нь өөрчлөгдөхгүй.
Ажлын ачааллыг удирдлагатай домэйн өөрийн үйлчилгээний нөөцөд зориулж хадгалдаг дэд сүлжээнээс гадуур байлгаж, каталогийн портуудыг хувийн замд байлгаарай. Эдгээр портыг нийтэд нээх нь товч зам биш; энэ нь өөр эрсдэлийн профайлтай өөр загвар юм.
Бүртгэлийн тохиролцоог машинаас өмнө шалгана
Холболтыг гүйцэтгэх бүртгэлд зорилтот контейнерт компьютер объект үүсгэх зөвшөөрөл хэрэгтэй бөгөөд удирдлагатай домэйнд баталгаажуулах чадвартай байх ёстой. Удирдлагатай домэйн бий болохоос өмнө үүсгэсэн зөвхөн үүлэн бүртгэлд домэйнд хэрэгтэй нууц үгээс гаралтай материал дутагдаж болох бөгөөд нууц үгийг өөрчлөх эсвэл дахин тохируулах нь түүнийг дахин үүсгэдэг. Энэ нарийн ширийн зүйл нь нууц үг зөв байхад ч буруу нууц үг мэт харагддаг холболтын алдааны нэг ангиллыг тайлбарладаг. Засварын цонх нээгдэхээс өмнө домэйнд итгэмжлэлийг шалгаарай.
Синхрончлогдсон хибрид бүртгэлүүд нь харагдах хэрэглэгчийн объект дангаараа хангаж чадахгүй өөрийн урьдчилсан нөхцөлтэй. Каталогт бүртгэгдсэн байх нь түүнээс тасалбар авах чадвартай адилгүй тул засварын цонхны үеэр биш, өмнө нь бүртгэлийг шалгаарай.
Холбох эрхийг нарийн шилжүүлээрэй. Нэг бүртгэл хийгдэхийн тулд ирээдүйн сервер хэрэглэгч бүрт домэйны администраторын гишүүнчлэл өгөх нь түр асуудалд өгсөн байнгын зөвшөөрөл юм.
Холболт өөрөө нэг команд
Загвар сонгогдож, DNS хариу өгч, бүртгэл тохирсон үед үйлдэл нь ердийн Windows үйлдэл. Промпт нууц үгийг скрипт болон shell-ийн түүхээс гадуур байлгана:
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThruЭнэ хэлбэрээр команд нь машиныг өөрөө дахин ачаалахгүй тул дахин ачаалалт нь засварын төлөвлөгөөний дагуу, сэргээх зам нь одоо ч боломжтой үед явагдана. Өөр домэйнд аль хэдийн холбогдсон серверт шилжилтийн төлөвлөгөө хэрэгтэй, эхнийх дээр хоёр дахь холболт биш.
Компьютер объект буусан контейнер болон түүнийг үүсгэсэн бүртгэлийг тэмдэглээрэй. Дахин барилгын дараа машиныг дахин холбох шаардлагатай үед хоёулаа чухал бөгөөд дараа нь серверээс аль нь ч тодорхой биш.
Гишүүнчлэл юу өгөхгүй вэ
Домэйны гишүүнчлэл хэнийг ч орон нутгийн администратор болгодоггүй, алсын дэлгэц эсвэл файл хуваалцах хандалт өгдөггүй. Эдгээр эрхүүд тусдаа тохируулагддаг бөгөөд удирдлагатай домэйнд тэд түүний дэмжигдсэн захиргааны хүрээнд үлддэг.
Сүлжээний зам нь тохиргооны алхам биш, тасралтгүй хамаарал юм. Хувийн холболт алга болвол сервер кэшлэсэн итгэмжлэлээр үргэлжлүүлэн ажиллана, ямар нэг зүйлд каталог хэрэгтэй болох хүртэл, тэгээд алдаа нь өөрчлөгдсөн тохиргооны хажууд биш, аппликейшны логт ирнэ.
Microsoft-ийн Windows Server холбох заавар нь удирдлагатай домэйны ажлын урсгалд дэмжигдсэн урьдчилсан нөхцөлүүдийг жагсаав. Үүнийг дээрх гурван шийдвэртэй харьцуулан уншиж, аливаа зөрүүг тойрч гарах нарийн ширийн зүйл биш, зогсох шалтгаан гэж үзээрэй.