Menyambung VM Azure ke Entra Domain Services: putuskan dahulu

Tiga keputusan berdiri di hadapan VM Windows Server yang perlu menggunakan direktori terurus, dan arahan sambungan adalah yang terkecil antaranya. Pilih model direktori yang salah dan penyambungan berjaya sementara aplikasi masih tidak dapat mengesahkan. Tersilap dalam penyelesaian nama dan kegagalan muncul pada titik yang kelihatan seperti masalah kelayakan.

Tetapkan model, penyelesaian dan akaun sebelum menyentuh pelayan, kemudian arahan berjalan sekali.

Sambungan mana antara ketiga-tiganya yang sebenarnya anda mahu

Sambungan peranti mendaftarkan mesin dengan Microsoft Entra ID untuk akses bersyarat dan log masuk tunggal, dan ia tidak memberikan beban kerja tiket Kerberos ke domain bergaya tempatan. Sambungan domain tradisional mengikat objek komputer ke dalam direktori dan memberinya akaun mesin, dasar kumpulan dan pengesahan domain. Domain terurus menyediakan model kedua itu sebagai perkhidmatan. Namanya kedengaran serupa dan hasilnya tidak.

Hanya dua yang terakhir melibatkan pengawal domain dalam erti kata biasa, dan hanya pilihan terurus mengeluarkan pelayan daripada senarai tampalan anda.

Keputusan biasanya bergantung pada aplikasi dan bukan pada keutamaan. Perisian yang mahukan ikatan LDAP, akaun perkhidmatan dengan SPN, atau objek dasar kumpulan tergolong dalam model domain. Perisian yang hanya perlu mengetahui identiti pengguna pada peranti korporat biasanya tidak tergolong.

Laluan DNS menentukan sama ada penyambungan boleh selesai

Sambungan domain bermula dengan carian pencari lokasi untuk rekod pengawal domain, jadi penyelesaian nama mesti berfungsi sebelum sebarang kelayakan diperiksa. Halakan VM ke alamat direktori domain terurus, sama ada melalui tetapan DNS rangkaian maya atau melalui penghantar bersyarat yang menghantar hanya ruang nama itu ke sana. Penghantar yang terhad kepada ruang nama biasanya pilihan lebih selamat, kerana ia membiarkan penyelesaian VM yang lain tidak terganggu.

Uji pencari lokasi dan bukan nama hos kosong. Ping ke nama domain hampir tidak membuktikan apa-apa, manakala pertanyaan SRV untuk rekod pengawal domain sama ada mengembalikan sasaran yang dijangka atau gagal serta-merta:

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Gantikan nama domain dan kedua-dua alamat dengan nilai daripada konfigurasi domain terurus anda; nombor di sini ialah contoh. Jika pertanyaan mengembalikan jawapan zon lain, VM menggunakan penyelesai yang tidak menghantar ruang nama terurus, dan berapa kali pun penyambungan diulang ia tidak akan berubah.

Jauhkan beban kerja daripada subnet yang domain terurus simpan untuk sumber perkhidmatannya sendiri, dan kekalkan port direktori pada laluan peribadi. Pendedahan awam port tersebut bukan jalan pintas; ia reka bentuk berbeza dengan profil risiko berbeza.

Kelayakan akaun diperiksa sebelum mesin

Akaun yang melakukan penyambungan memerlukan kebenaran mencipta objek komputer dalam bekas sasaran, dan ia mesti dapat mengesahkan terhadap domain terurus. Akaun awan sahaja yang dicipta sebelum domain terurus wujud mungkin kekurangan bahan terbitan kata laluan yang diperlukan domain, dan perubahan atau set semula kata laluan menjananya semula. Perincian itu menjelaskan satu kelas kegagalan penyambungan yang kelihatan seperti kata laluan salah apabila kata laluan itu betul. Uji kelayakan terhadap domain sebelum tetingkap penyelenggaraan dibuka.

Akaun hibrid yang disegerakkan mempunyai prasyarat sendiri yang tidak dipenuhi objek pengguna yang kelihatan secara bersendirian. Tersenarai dalam direktori bukan sama dengan mampu memperoleh tiket daripadanya, jadi uji akaun sebelum tetingkap penyelenggaraan dan bukan semasa ia.

Wakilkan hak sambungan secara sempit. Memberi setiap bakal pengguna pelayan keahlian pentadbir domain supaya satu pendaftaran berlaku ialah pemberian kekal untuk masalah sementara.

Penyambungan itu sendiri ialah satu arahan

Dengan model dipilih, DNS menjawab dan akaun layak, operasi itu ialah operasi Windows biasa. Gesaan menyimpan kata laluan di luar skrip dan sejarah shell:

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

Arahan tidak memulakan semula mesin dengan sendirinya dalam bentuk ini, jadi but semula berlaku di bawah pelan penyelenggaraan dan dengan laluan pemulihan masih tersedia. Pelayan yang sudah disambung ke domain lain memerlukan pelan penghijrahan, bukan sambungan kedua di atas yang pertama.

Catatkan bekas tempat objek komputer mendarat dan akaun yang menciptanya. Kedua-duanya penting apabila mesin perlu disambung semula selepas pembinaan semula, dan tiada satu pun jelas daripada pelayan selepas itu.

Apa yang tidak diberikan oleh keahlian

Keahlian domain tidak menjadikan sesiapa pentadbir tempatan, dan tidak memberi akses desktop jauh atau perkongsian fail. Hak itu dikonfigurasikan secara berasingan, dan pada domain terurus ia kekal dalam skop pentadbiran yang disokong.

Laluan rangkaian ialah kebergantungan berterusan dan bukan langkah persediaan. Jika sambungan peribadi hilang, pelayan terus berjalan dengan kelayakan cache sehingga sesuatu memerlukan direktori, dan kemudian kegagalan tiba dalam log aplikasi dan bukan di sebelah konfigurasi yang berubah.

Panduan Microsoft untuk penyambungan Windows Server menyenaraikan prasyarat yang disokong untuk aliran kerja domain terurus. Bacalah ia terhadap tiga keputusan di atas, dan anggap sebarang ketidakpadanan sebagai sebab berhenti dan bukan perincian untuk dielakkan.