Azure VM लाई Entra Domain Services मा जोड्ने: पहिले निर्णय गर्नुहोस्
जोड्नुअघि तीन निर्णय छन्: कार्यभारलाई आवश्यक डाइरेक्टरी मोडेल, डोमेन समाधान गर्ने निजी DNS, र प्रमाणित गर्न सक्ने खाता।
व्यवस्थापित डाइरेक्टरी प्रयोग गर्नुपर्ने Windows Server VM अगाडि तीन निर्णय छन्, र जोड्ने आदेश तिनीहरूमध्ये सबैभन्दा सानो हो। गलत डाइरेक्टरी मोडेल छान्नुहोस् र जोडाइ सफल हुन्छ तर अनुप्रयोगले अझै प्रमाणित गर्न सक्दैन। नाम समाधानमा गल्ती गर्नुभयो भने विफलता प्रमाणपत्र समस्याजस्तो देखिने ठाउँमा देखा पर्छ।
सर्भर छुनुअघि मोडेल, समाधान र खाता निर्धारण गर्नुहोस्, त्यसपछि आदेश एक पटक चल्छ।
तीन जोडाइमध्ये तपाईंलाई साँच्चै कुन चाहिन्छ
उपकरण जोडाइले मेसिनलाई सशर्त पहुँच र एकल साइन-इनका लागि Microsoft Entra ID मा दर्ता गर्छ, र यसले कार्यभारलाई स्थानीय शैलीको डोमेनमा कुनै Kerberos टिकट दिँदैन। परम्परागत डोमेन जोडाइले कम्प्युटर वस्तुलाई डाइरेक्टरीमा बाँध्छ र यसलाई मेसिन खाता, समूह नीति र डोमेन प्रमाणीकरण दिन्छ। व्यवस्थापित डोमेन त्यो दोस्रो मोडेल सेवाका रूपमा दिन्छ। नामहरू उस्तै सुनिन्छन् र नतिजा हुँदैनन्।
सामान्य अर्थमा डोमेन नियन्त्रक अन्तिम दुईमा मात्र समावेश हुन्छ, र व्यवस्थापित विकल्पले मात्र सर्भरहरूलाई तपाईंको प्याच सूचीबाट हटाउँछ।
निर्णय सामान्यतया प्राथमिकतामा होइन, अनुप्रयोगमा निर्भर हुन्छ। LDAP बाइन्ड, SPN सहितको सेवा खाता, वा समूह नीति वस्तु चाहिने सफ्टवेयर डोमेन मोडेलमा पर्छ। कर्पोरेट उपकरणमा प्रयोगकर्ताको पहिचान जान्न मात्र चाहिने सफ्टवेयर सामान्यतया पर्दैन।
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
जोडाइ पूरा हुन सक्छ कि सक्दैन भन्ने DNS मार्गले निर्धारण गर्छ
डोमेन जोडाइ डोमेनका नियन्त्रक रेकर्डहरूका लागि लोकेटर खोजबाट सुरु हुन्छ, त्यसैले कुनै पनि प्रमाणपत्र जाँच्नुअघि नाम समाधान चल्नुपर्छ। VM लाई व्यवस्थापित डोमेनको डाइरेक्टरी ठेगानाहरूतिर निर्देशित गर्नुहोस्, या त भर्चुअल नेटवर्कको DNS सेटिङमार्फत वा त्यो नाम ठाउँ मात्र त्यहाँ पठाउने सशर्त फर्वार्डरमार्फत। नाम ठाउँमा सीमित फर्वार्डर सामान्यतया सुरक्षित विकल्प हो, किनकि यसले VM को बाँकी समाधानलाई यथावत् राख्छ।
केवल होस्टनाम होइन, लोकेटर जाँच्नुहोस्। डोमेन नाममा पिंगले लगभग केही पनि प्रमाणित गर्दैन, जबकि डोमेन नियन्त्रक रेकर्डका लागि SRV प्रश्नले या त अपेक्षित लक्ष्य फर्काउँछ या तुरुन्तै असफल हुन्छ:
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53डोमेन नाम र दुई ठेगानालाई तपाईंको व्यवस्थापित डोमेन कन्फिगरेसनका मानहरूले बदल्नुहोस्; यहाँका संख्याहरू उदाहरण हुन्। यदि प्रश्नले अर्को क्षेत्रका उत्तरहरू फर्काउँछ भने, VM व्यवस्थापित नाम ठाउँ फर्वार्ड नगर्ने समाधानकर्ता प्रयोग गर्दैछ, र जोडाइ जति पटक दोहोर्याए पनि त्यो बदलिँदैन।
कार्यभारलाई त्यो सबनेटबाहिर राख्नुहोस् जुन व्यवस्थापित डोमेनले आफ्नै सेवा स्रोतहरूका लागि आरक्षित राख्छ, र डाइरेक्टरी पोर्टहरू निजी मार्गमा राख्नुहोस्। ती पोर्टहरूको सार्वजनिक खुलासा छोटो बाटो होइन; यो फरक जोखिम प्रोफाइल भएको फरक डिजाइन हो।
खाताको योग्यता मेसिनभन्दा पहिले जाँचिन्छ
जोडाइ गर्ने खातालाई लक्ष्य कन्टेनरमा कम्प्युटर वस्तु बनाउन अनुमति चाहिन्छ, र यसले व्यवस्थापित डोमेनविरुद्ध प्रमाणित गर्न सक्नुपर्छ। व्यवस्थापित डोमेन अस्तित्वमा आउनुअघि बनाइएको क्लाउड-मात्र खातामा डोमेनलाई चाहिने पासवर्डबाट व्युत्पन्न सामग्री नहुन सक्छ, र पासवर्ड परिवर्तन वा रिसेटले त्यो फेरि उत्पन्न गर्छ। त्यो विवरणले पासवर्ड सही हुँदा पनि गलत पासवर्डजस्तो देखिने जोडाइ विफलताको एक वर्ग व्याख्या गर्छ। मर्मत विन्डो खुल्नुअघि डोमेनविरुद्ध प्रमाणपत्र जाँच्नुहोस्।
सिङ्क गरिएका हाइब्रिड खाताका आफ्नै पूर्वशर्तहरू हुन्छन् जुन देखिने प्रयोगकर्ता वस्तुले एक्लै पूरा गर्दैन। डाइरेक्टरीमा सूचीबद्ध हुनु भनेको त्यसबाट टिकट प्राप्त गर्न सक्नु होइन, त्यसैले मर्मत विन्डोको क्रममा होइन, त्यसअघि खाता जाँच्नुहोस्।
जोडाइको अधिकार साँघुरो रूपमा प्रत्यायोजन गर्नुहोस्। एक दर्ता होस् भनेर प्रत्येक भावी सर्भर प्रयोगकर्तालाई डोमेन प्रशासक सदस्यता दिनु अस्थायी समस्याका लागि स्थायी अनुमति हो।
जोडाइ आफैं एक आदेश हो
मोडेल छानिएपछि, DNS उत्तर दिँदै छ र खाता योग्य छ भने, कार्य सामान्य Windows कार्य हो। प्रम्प्टले पासवर्डलाई स्क्रिप्ट र शेल इतिहासबाहिर राख्छ:
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThruयो रूपमा आदेशले मेसिन आफैं पुनः सुरु गर्दैन, त्यसैले रिबुट मर्मत योजनाअन्तर्गत र रिकभरी मार्ग अझै उपलब्ध हुँदा हुन्छ। अर्को डोमेनसँग पहिले नै जोडिएको सर्भरलाई स्थानान्तरण योजना चाहिन्छ, पहिलोमाथि दोस्रो जोडाइ होइन।
कम्प्युटर वस्तु जुन कन्टेनरमा पुग्यो र जुन खाताले बनायो त्यो अभिलेख गर्नुहोस्। पुनर्निर्माणपछि मेसिन फेरि जोड्नुपर्दा दुवै महत्त्वपूर्ण छन्, र पछि सर्भरबाट कुनै पनि स्पष्ट हुँदैन।
सदस्यताले के दिँदैन
डोमेन सदस्यताले कसैलाई स्थानीय प्रशासक बनाउँदैन, र टाढाको डेस्कटप वा फाइल साझेदारीमा पहुँच दिँदैन। ती अधिकारहरू छुट्टै कन्फिगर गरिन्छन्, र व्यवस्थापित डोमेनमा ती यसको समर्थित प्रशासनिक दायराभित्रै रहन्छन्।
नेटवर्क मार्ग सेटअप चरण होइन, निरन्तर निर्भरता हो। यदि निजी जडान हराए, सर्भर क्यास गरिएको प्रमाणपत्रसँग चलिरहन्छ, जबसम्म कुनै कुरालाई डाइरेक्टरी चाहिँदैन, र त्यसपछि विफलता बदलिएको कन्फिगरेसनको छेउमा होइन, अनुप्रयोग लगमा आउँछ।
Microsoft को Windows Server जोडाइ मार्गदर्शन ले व्यवस्थापित-डोमेन कार्यप्रवाहका लागि समर्थित पूर्वशर्तहरू सूचीबद्ध गर्छ। यसलाई माथिका तीन निर्णयसामु पढ्नुहोस्, र कुनै पनि असंगतिलाई बच्ने विवरण होइन, रोकिने कारण मान्नुहोस्।