Kople ein Azure VM til Entra Domain Services: avgjer først

Tre avgjerder står framfor ein Windows Server VM som må bruke ein administrert katalog, og tilkoplingskommandoen er den minste av dei. Vel du feil katalogmodell, lukkast tilkoplinga medan programmet framleis ikkje kan autentisere. Går namneoppslaget gale, dukkar feilen opp på eit punkt som ser ut som eit legitimasjonsproblem.

Avgjer modellen, oppslaget og kontoen før du rører serveren, så køyrer kommandoen éin gong.

Kva av dei tre tilkoplingane du eigentleg vil ha

Ei einingstilkopling registrerer ein maskin hos Microsoft Entra ID for vilkårsbestemt tilgang og einskildpålogging, og gjev ikkje arbeidslasta noko Kerberos-billett til eit domene i lokal stil. Ei tradisjonell domenetilkopling bind eit datamaskinobjekt inn i ein katalog og gjev det ein maskinkonto, gruppepolicy og domeneautentisering. Eit administrert domene leverer den andre modellen som ei teneste. Namna høyrest like ut, og resultata gjer det ikkje.

Berre dei to siste omfattar ein domenekontrollar i vanleg forstand, og berre det administrerte alternativet fjernar servarane frå oppdateringslista di.

Avgjerda heng vanlegvis av programmet og ikkje av preferanse. Programvare som vil ha ei LDAP-binding, ein tenestekonto med eit SPN eller gruppepolicyobjekt, høyrer i domenemodellen. Programvare som berre treng å vite identiteten til brukaren på eininga til verksemda, høyrer vanlegvis ikkje der.

DNS-vegen avgjer om tilkoplinga kan fullførast

Ei domenetilkopling byrjar med eit lokatoroppslag etter kontrollarpostane til domenet, så namneoppslaget må verke før nokon legitimasjon blir kontrollert. Peik VM-en mot katalogadressene til det administrerte domenet, anten via DNS-innstillingane til det virtuelle nettet eller via ein vilkårsbestemt videresendar som berre sender det namnerommet dit. Ein videresendar som er avgrensa til namnerommet, er vanlegvis det tryggare valet, fordi han lèt resten av oppslaget til VM-en vere i fred.

Test lokatoren i staden for eit bart vertsnamn. Ein ping mot domenenamnet provar nesten ingenting, medan ei SRV-spørjing etter kontrollarpostane anten returnerer dei venta måla eller feilar med ein gong:

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Byt ut domenenamnet og dei to adressene med verdiane frå konfigurasjonen av det administrerte domenet; tala her er døme. Viss spørjinga returnerer svar frå ei anna sone, brukar VM-en ein oppløysar som ikkje videresender det administrerte namnerommet, og inga mengd gjentakingar av tilkoplinga endrar det.

Hald arbeidslasta utanfor subnettet som det administrerte domenet reserverer til sine eigne tenesteressursar, og hald katalogportane på den private vegen. Offentleg eksponering av desse portane er ikkje ein snarveg; det er eit anna design med ein annan risikoprofil.

Eigna til kontoen blir kontrollert før maskinen

Kontoen som utfører tilkoplinga, treng løyve til å opprette eit datamaskinobjekt i målbehaldaren, og han må kunne autentisere mot det administrerte domenet. Ein konto berre i nettskyen som vart oppretta før det administrerte domenet fanst, manglar kanskje passordavleia materiale som domenet treng, og ei passordendring eller tilbakestilling genererer det på nytt. Den detaljen forklarer ein klasse tilkoplingsfeil som ser ut som feil passord når passordet er riktig. Test legitimasjonen mot domenet før vedlikehdsvindauget opnar.

Synkroniserte hybridkontoar har eigne føresetnader som eit synleg brukarobjekt ikkje oppfyller åleine. Å stå oppført i katalogen er ikkje det same som å kunne hente ei billett frå han, så test kontoen før vedlikehdsvindauget og ikkje under det.

Deleger tilkoplingsretten smalt. Å gje kvar framtidig serverbrukar domeneadministrator-medlemskap slik at éi registrering kan skje, er ei permanent løyve for eit mellombels problem.

Sjølve tilkoplinga er éin kommando

Med modellen vald, DNS som svarar og kontoen eigna, er operasjonen den vanlege Windows-operasjonen. Leieteksten held passordet utanfor skript og skalhistorikk:

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

Kommandoen startar ikkje maskinen på nytt av seg sjølv i denne forma, så omstarten skjer under vedlikehdsplanen og med gjenopprettingsvegen framleis tilgjengeleg. Ein server som alt er kopla til eit anna domene, treng ein migreringsplan, ikkje ei ny tilkopling oppå den første.

Noter behaldaren datamaskinobjektet hamna i, og kontoen som oppretta det. Begge er viktige når maskinen må koplast til på nytt etter ein gjenoppbygging, og ingen av dei er openberre frå serveren i ettertid.

Kva medlemskap ikkje gjev

Domenemedlemskap gjer ingen til lokal administrator og gjev ikkje tilgang til eksternt skrivebord eller filutdeling. Desse rettane blir konfigurerte separat, og på eit administrert domene held dei seg innanfor det støtta administrative omfanget.

Nettverksvegen er ein varig avhengnad og ikkje eit oppsetsteg. Viss den private sambindinga forsvinn, held serveren fram med bufra legitimasjon til noko treng katalogen, og då kjem feilen i ein programlogg og ikkje ved sida av konfigurasjonen som vart endra.

Rettleiinga frå Microsoft for tilkopling av Windows Server listar opp dei støtta føresetnadene for arbeidsflyten med administrert domene. Les ho mot dei tre avgjerdene ovanfor, og handsam kvar avviking som ein grunn til å stoppe og ikkje som ein detalj som skal omgåast.