Tgħaqqad VM Azure ma' Entra Domain Services: iddeċiedi l-ewwel

Tliet deċiżjonijiet joqogħdu quddiem VM Windows Server li trid tuża direttorju ġestit, u l-kmand tat-tgħaqqid huwa l-iżgħar minnhom. Agħżel il-mudell tad-direttorju ħażin u t-tgħaqqid jirnexxi filwaqt li l-applikazzjoni għadha ma tistax tawtentika. Żbalja fis-soluzzjoni tal-ismijiet u l-falliment jidher f'punt li jidher bħala problema ta' kredenzjali.

Iddeċiedi l-mudell, is-soluzzjoni u l-kont qabel ma tmiss is-server, imbagħad il-kmand jgħaddi darba.

Liema mit-tliet tgħaqqidiet trid tassew

It-tgħaqqid tal-apparat jirreġistra magna ma' Microsoft Entra ID għal aċċess kundizzjonali u dħul wieħed, u ma jagħtix lill-karga tax-xogħol biljett Kerberos lejn dominju fi stil lokali. It-tgħaqqid tradizzjonali tad-dominju jorbot oġġett tal-kompjuter fi direttorju u jagħtih kont tal-magna, politika tal-grupp u awtentikazzjoni tad-dominju. Dominju ġestit jipprovdi dak it-tieni mudell bħala servizz. L-ismijiet jidbqu l-istess u r-riżultati le.

Biss l-aħħar tnejn jinvolvu kontrollur tad-dominju fis-sens tas-soltu, u biss l-għażla ġestita tneħħi s-servers mil-lista tal-patches tiegħek.

Id-deċiżjoni normalment tiddependi mill-applikazzjoni u mhux mill-preferenza. Is-software li jrid rabta LDAP, kont tas-servizz b'SPN, jew oġġetti tal-politika tal-grupp jappartjeni għall-mudell tad-dominju. Is-software li jeħtieġ biss li jaf l-identità tal-utent fuq apparat korporattiv normalment ma jappartjenix.

It-triq tad-DNS tiddetermina jekk it-tgħaqqid jistax jitlesta

It-tgħaqqid tad-dominju jibda b'tfittix ta' lokatur għar-rekords tal-kontrollur tad-dominju, għalhekk is-soluzzjoni tal-ismijiet trid taħdem qabel ma tiġi ċċekkjata kwalunkwe kredenzjali. Ipponta l-VM lejn l-indirizzi tad-direttorju tad-dominju ġestit, jew permezz tas-settings tad-DNS tan-netwerk virtwali jew permezz ta' forwarder kundizzjonali li jibgħat biss dak l-ispazju tal-ismijiet hemmhekk. Forwarder limitat għall-ispazju tal-ismijiet normalment huwa l-għażla aktar sigura, għax iħalli l-bqija tas-soluzzjoni tal-VM kif inhi.

Ittestja l-lokatur u mhux isem tal-host vojt. Ping lejn l-isem tad-dominju kważi ma jipprova xejn, filwaqt li mistoqsija SRV għar-rekords tal-kontrollur tad-dominju jew tirritorna l-miri mistennija jew tfalli mill-ewwel:

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Ibdel l-isem tad-dominju u ż-żewġ indirizzi bil-valuri mill-konfigurazzjoni tad-dominju ġestit tiegħek; in-numri hawn huma eżempji. Jekk il-mistoqsija tirritorna tweġibiet ta' żona oħra, il-VM qed tuża solvatur li ma jibgħatx l-ispazju tal-ismijiet ġestit, u kemm-il darba jkun ripetut it-tgħaqqid dan ma jinbidilx.

Żomm il-karga tax-xogħol barra mis-subnet li d-dominju ġestit jirriserva għar-riżorsi tas-servizz tiegħu stess, u żomm il-portijiet tad-direttorju fit-triq privata. L-espożizzjoni pubblika ta' dawk il-portijiet mhijiex shortcut; hija disinn differenti bi profil ta' riskju differenti.

L-eliġibilità tal-kont tiġi ċċekkjata qabel il-magna

Il-kont li jwettaq it-tgħaqqid jeħtieġ permess biex joħloq oġġett tal-kompjuter fil-kontenitur fil-mira, u għandu jkun jista' jawtentika mad-dominju ġestit. Kont tal-cloud biss maħluq qabel ma kien jeżisti d-dominju ġestit jista' jkun nieqes mill-materjal derivat mill-password li d-dominju jeħtieġ, u bidla jew reset tal-password jerġa' jiġġenerah. Dan id-dettall jispjega klassi ta' fallimenti tat-tgħaqqid li jidhru bħala passwords ħżiena meta l-password tkun tajba. Ittestja l-kredenzjali mad-dominju qabel ma tinfetaħ it-tieqa tal-manutenzjoni.

Il-kontijiet ibridi sinkronizzati għandhom il-prerekwiżiti tagħhom li oġġett tal-utent viżibbli ma jissodisfax waħdu. Li tkun elenkat fid-direttorju mhuwiex l-istess bħallikieku tista' tikseb biljett minnu, għalhekk ittestja l-kont qabel it-tieqa tal-manutenzjoni u mhux waqtha.

Iddelega d-dritt tat-tgħaqqid b'mod dejjaq. Li tagħti lil kull utent futur tas-server sħubija ta' amministratur tad-dominju sabiex issir reġistrazzjoni waħda hija għotja permanenti għal problema temporanja.

It-tgħaqqid innifsu huwa kmand wieħed

Bil-mudell magħżul, id-DNS iwieġeb u l-kont eliġibbli, l-operazzjoni hija l-operazzjoni tas-soltu ta' Windows. Il-prompt iżomm il-password barra mill-iskripts u mill-istorja tal-shell:

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

Il-kmand f'din il-forma ma jerġax jibda l-magna waħdu, għalhekk ir-restart isir skont il-pjan tal-manutenzjoni u bit-triq tal-irkupru għadha disponibbli. Server diġà magħqud ma' dominju ieħor jeħtieġ pjan ta' migrazzjoni, mhux tieni tgħaqqid fuq l-ewwel.

Irreġistra l-kontenitur li fih niżel l-oġġett tal-kompjuter u l-kont li ħoloq. It-tnejn huma importanti meta l-magna jeħtieġ li terġa' tiġi magħquda wara bini mill-ġdid, u l-ebda waħda mhi ovvja mis-server wara.

X'ma jagħtix is-sħubija

Is-sħubija fid-dominju ma tagħmel lil ħadd amministratur lokali, u ma tagħtix aċċess għad-desktop mill-bogħod jew għall-qsim tal-fajls. Dawk id-drittijiet jiġu kkonfigurati separatament, u fuq dominju ġestit jibqgħu fl-ambitu amministrattiv appoġġat tiegħu.

It-triq tan-netwerk hija dipendenza kontinwa u mhux pass ta' setup. Jekk il-konnessjoni privata tispiċċa, is-server ikompli jaħdem b'kredenzjali fil-cache sakemm xi ħaġa tkun teħtieġ id-direttorju, u mbagħad il-falliment jasal f'log tal-applikazzjoni u mhux ħdejn il-konfigurazzjoni li nbidlet.

Il-gwida ta' Microsoft għal tgħaqqid ta' Windows Server telenka l-prerekwiżiti appoġġati għall-fluss tax-xogħol tad-dominju ġestit. Aqrah kontra t-tliet deċiżjonijiet hawn fuq, u ttratta kull nuqqas ta' qbil bħala raġuni biex tieqaf u mhux dettall x'tevitah.