Azure VM ਨੂੰ Entra Domain Services ਨਾਲ ਜੋੜਨਾ: ਪਹਿਲਾਂ ਫੈਸਲਾ ਕਰੋ
ਜੋੜਨ ਤੋਂ ਪਹਿਲਾਂ ਤਿੰਨ ਫੈਸਲੇ ਹਨ: ਕੰਮ ਦੇ ਭਾਰ ਨੂੰ ਲੋੜੀਂਦਾ ਡਾਇਰੈਕਟਰੀ ਮਾਡਲ, ਡੋਮੇਨ ਹੱਲ ਕਰਨ ਵਾਲਾ ਨਿੱਜੀ DNS, ਅਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਕਰ ਸਕਣ ਵਾਲਾ ਖਾਤਾ।
Windows Server VM ਦੇ ਸਾਹਮਣੇ ਤਿੰਨ ਫੈਸਲੇ ਹਨ ਜਿਸ ਨੂੰ ਪ੍ਰਬੰਧਿਤ ਡਾਇਰੈਕਟਰੀ ਵਰਤਣੀ ਪੈਂਦੀ ਹੈ, ਅਤੇ ਜੋੜਨ ਦਾ ਆਦੇਸ਼ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਸਭ ਤੋਂ ਛੋਟਾ ਹੈ। ਗਲਤ ਡਾਇਰੈਕਟਰੀ ਮਾਡਲ ਚੁਣੋ ਅਤੇ ਜੋੜਨਾ ਸਫਲ ਹੋ ਜਾਂਦਾ ਹੈ ਜਦੋਂ ਕਿ ਐਪਲੀਕੇਸ਼ਨ ਅਜੇ ਵੀ ਪ੍ਰਮਾਣਿਕਤਾ ਨਹੀਂ ਕਰ ਸਕਦੀ। ਨਾਮ ਹੱਲ ਵਿੱਚ ਗਲਤੀ ਕਰੋ ਅਤੇ ਅਸਫਲਤਾ ਉਸ ਥਾਂ ਦਿਖਦੀ ਹੈ ਜੋ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਸਮੱਸਿਆ ਵਰਗੀ ਲੱਗਦੀ ਹੈ।
ਸਰਵਰ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਮਾਡਲ, ਹੱਲ ਅਤੇ ਖਾਤਾ ਤੈਅ ਕਰੋ, ਫਿਰ ਆਦੇਸ਼ ਇੱਕ ਵਾਰ ਚੱਲਦਾ ਹੈ।
ਤਿੰਨ ਜੋੜਾਂ ਵਿੱਚੋਂ ਤੁਸੀਂ ਅਸਲ ਵਿੱਚ ਕਿਹੜਾ ਚਾਹੁੰਦੇ ਹੋ
ਡਿਵਾਈਸ ਜੋੜਨਾ ਮਸ਼ੀਨ ਨੂੰ ਸ਼ਰਤੀ ਪਹੁੰਚ ਅਤੇ ਇੱਕਲ ਸਾਈਨ-ਇਨ ਲਈ Microsoft Entra ID ਵਿੱਚ ਰਜਿਸਟਰ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਹ ਕੰਮ ਦੇ ਭਾਰ ਨੂੰ ਸਥਾਨਕ ਸ਼ੈਲੀ ਦੇ ਡੋਮੇਨ ਲਈ ਕੋਈ Kerberos ਟਿਕਟ ਨਹੀਂ ਦਿੰਦਾ। ਰਵਾਇਤੀ ਡੋਮੇਨ ਜੋੜਨਾ ਕੰਪਿਊਟਰ ਆਬਜੈਕਟ ਨੂੰ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਬੰਨ੍ਹਦਾ ਹੈ ਅਤੇ ਇਸ ਨੂੰ ਮਸ਼ੀਨ ਖਾਤਾ, ਗਰੁੱਪ ਨੀਤੀ ਅਤੇ ਡੋਮੇਨ ਪ੍ਰਮਾਣਿਕਤਾ ਦਿੰਦਾ ਹੈ। ਪ੍ਰਬੰਧਿਤ ਡੋਮੇਨ ਉਹ ਦੂਜਾ ਮਾਡਲ ਸੇਵਾ ਵਜੋਂ ਦਿੰਦਾ ਹੈ। ਨਾਮ ਇੱਕੋ ਜਿਹੇ ਸੁਣਾਈ ਦਿੰਦੇ ਹਨ ਅਤੇ ਨਤੀਜੇ ਨਹੀਂ।
ਆਮ ਅਰਥ ਵਿੱਚ ਡੋਮੇਨ ਕੰਟਰੋਲਰ ਸਿਰਫ਼ ਆਖਰੀ ਦੋ ਵਿੱਚ ਸ਼ਾਮਲ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਸਿਰਫ਼ ਪ੍ਰਬੰਧਿਤ ਵਿਕਲਪ ਹੀ ਸਰਵਰਾਂ ਨੂੰ ਤੁਹਾਡੀ ਪੈਚ ਸੂਚੀ ਵਿੱਚੋਂ ਹਟਾਉਂਦਾ ਹੈ।
ਫੈਸਲਾ ਆਮ ਤੌਰ 'ਤੇ ਤਰਜੀਹ 'ਤੇ ਨਹੀਂ, ਐਪਲੀਕੇਸ਼ਨ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ। LDAP ਬਾਈਂਡ, SPN ਵਾਲਾ ਸੇਵਾ ਖਾਤਾ, ਜਾਂ ਗਰੁੱਪ ਨੀਤੀ ਆਬਜੈਕਟ ਚਾਹੁਣ ਵਾਲਾ ਸਾਫ਼ਟਵੇਅਰ ਡੋਮੇਨ ਮਾਡਲ ਵਿੱਚ ਆਉਂਦਾ ਹੈ। ਕਾਰਪੋਰੇਟ ਡਿਵਾਈਸ 'ਤੇ ਵਰਤੋਂਕਾਰ ਦੀ ਪਛਾਣ ਜਾਣਨਾ ਹੀ ਕਾਫ਼ੀ ਹੋਣ ਵਾਲਾ ਸਾਫ਼ਟਵੇਅਰ ਆਮ ਤੌਰ 'ਤੇ ਨਹੀਂ ਆਉਂਦਾ।
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
ਜੋੜਨਾ ਪੂਰਾ ਹੋ ਸਕਦਾ ਹੈ ਜਾਂ ਨਹੀਂ, ਇਹ DNS ਮਾਰਗ ਤੈਅ ਕਰਦਾ ਹੈ
ਡੋਮੇਨ ਜੋੜਨਾ ਡੋਮੇਨ ਦੇ ਕੰਟਰੋਲਰ ਰਿਕਾਰਡਾਂ ਲਈ ਲੋਕੇਟਰ ਖੋਜ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ, ਇਸ ਲਈ ਕੋਈ ਵੀ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਜਾਂਚਣ ਤੋਂ ਪਹਿਲਾਂ ਨਾਮ ਹੱਲ ਕੰਮ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। VM ਨੂੰ ਪ੍ਰਬੰਧਿਤ ਡੋਮੇਨ ਦੇ ਡਾਇਰੈਕਟਰੀ ਪਤਿਆਂ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰੋ, ਜਾਂ ਤਾਂ ਵਰਚੁਅਲ ਨੈੱਟਵਰਕ ਦੀਆਂ DNS ਸੈਟਿੰਗਾਂ ਰਾਹੀਂ ਜਾਂ ਸ਼ਰਤੀ ਫ਼ਾਰਵਰਡਰ ਰਾਹੀਂ ਜੋ ਸਿਰਫ਼ ਉਹ ਨਾਮ ਥਾਂ ਉੱਥੇ ਭੇਜਦਾ ਹੈ। ਨਾਮ ਥਾਂ ਤੱਕ ਸੀਮਿਤ ਫ਼ਾਰਵਰਡਰ ਆਮ ਤੌਰ 'ਤੇ ਸੁਰੱਖਿਅਤ ਚੋਣ ਹੈ, ਕਿਉਂਕਿ ਇਹ VM ਦੇ ਬਾਕੀ ਹੱਲ ਨੂੰ ਅਛੂਤਾ ਛੱਡਦਾ ਹੈ।
ਸਿਰਫ਼ ਹੋਸਟਨਾਮ ਨਹੀਂ, ਲੋਕੇਟਰ ਜਾਂਚੋ। ਡੋਮੇਨ ਨਾਮ 'ਤੇ ਪਿੰਗ ਲਗਭਗ ਕੁਝ ਵੀ ਸਾਬਤ ਨਹੀਂ ਕਰਦੀ, ਜਦੋਂ ਕਿ ਡੋਮੇਨ ਕੰਟਰੋਲਰ ਰਿਕਾਰਡਾਂ ਲਈ SRV ਕਿਊਰੀ ਜਾਂ ਤਾਂ ਉਮੀਦ ਕੀਤੇ ਟਾਰਗਿਟ ਵਾਪਸ ਕਰਦੀ ਹੈ ਜਾਂ ਤੁਰੰਤ ਫੇਲ੍ਹ ਹੁੰਦੀ ਹੈ:
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53ਡੋਮੇਨ ਨਾਮ ਅਤੇ ਦੋਵੇਂ ਪਤਿਆਂ ਨੂੰ ਤੁਹਾਡੀ ਪ੍ਰਬੰਧਿਤ ਡੋਮੇਨ ਸੰਰਚਨਾ ਦੇ ਮੁੱਲਾਂ ਨਾਲ ਬਦਲੋ; ਇੱਥੇ ਦੀਆਂ ਸੰਖਿਆਵਾਂ ਉਦਾਹਰਨ ਹਨ। ਜੇ ਕਿਊਰੀ ਕਿਸੇ ਹੋਰ ਜ਼ੋਨ ਦੇ ਜਵਾਬ ਵਾਪਸ ਕਰਦੀ ਹੈ, ਤਾਂ VM ਪ੍ਰਬੰਧਿਤ ਨਾਮ ਥਾਂ ਫ਼ਾਰਵਰਡ ਨਾ ਕਰਨ ਵਾਲਾ ਹੱਲਕਰਤਾ ਵਰਤ ਰਿਹਾ ਹੈ, ਅਤੇ ਜੋੜਨਾ ਕਿੰਨੀ ਵੀ ਵਾਰ ਦੁਹਰਾਓ ਉਹ ਨਹੀਂ ਬਦਲੇਗਾ।
ਕੰਮ ਦੇ ਭਾਰ ਨੂੰ ਉਸ ਸਬਨੈੱਟ ਤੋਂ ਬਾਹਰ ਰੱਖੋ ਜੋ ਪ੍ਰਬੰਧਿਤ ਡੋਮੇਨ ਆਪਣੇ ਸੇਵਾ ਸਰੋਤਾਂ ਲਈ ਰਾਖਵਾਂ ਰੱਖਦਾ ਹੈ, ਅਤੇ ਡਾਇਰੈਕਟਰੀ ਪੋਰਟਾਂ ਨੂੰ ਨਿੱਜੀ ਮਾਰਗ 'ਤੇ ਰੱਖੋ। ਉਨ੍ਹਾਂ ਪੋਰਟਾਂ ਦਾ ਜਨਤਕ ਖੁਲਾਸਾ ਕੋਈ ਸ਼ਾਰਟਕੱਟ ਨਹੀਂ ਹੈ; ਇਹ ਵੱਖਰੇ ਜੋਖਮ ਪਰੋਫਾਈਲ ਵਾਲਾ ਵੱਖਰਾ ਡਿਜ਼ਾਈਨ ਹੈ।
ਖਾਤੇ ਦੀ ਯੋਗਤਾ ਮਸ਼ੀਨ ਤੋਂ ਪਹਿਲਾਂ ਜਾਂਚੀ ਜਾਂਦੀ ਹੈ
ਜੋੜਨਾ ਕਰਨ ਵਾਲੇ ਖਾਤੇ ਨੂੰ ਟਾਰਗਿਟ ਕੰਟੇਨਰ ਵਿੱਚ ਕੰਪਿਊਟਰ ਆਬਜੈਕਟ ਬਣਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਚਾਹੀਦੀ ਹੈ, ਅਤੇ ਇਹ ਪ੍ਰਬੰਧਿਤ ਡੋਮੇਨ ਵਿਰੁੱਧ ਪ੍ਰਮਾਣਿਕਤਾ ਕਰ ਸਕਣਾ ਚਾਹੀਦਾ ਹੈ। ਪ੍ਰਬੰਧਿਤ ਡੋਮੇਨ ਦੇ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਬਣਾਇਆ ਸਿਰਫ਼-ਕਲਾਊਡ ਖਾਤਾ ਡੋਮੇਨ ਨੂੰ ਲੋੜੀਂਦੀ ਪਾਸਵਰਡ ਤੋਂ ਬਣੀ ਸਮੱਗਰੀ ਤੋਂ ਸੱਖਣਾ ਹੋ ਸਕਦਾ ਹੈ, ਅਤੇ ਪਾਸਵਰਡ ਬਦਲਣ ਜਾਂ ਰੀਸੈੱਟ ਕਰਨ ਨਾਲ ਉਹ ਦੁਬਾਰਾ ਬਣ ਜਾਂਦੀ ਹੈ। ਇਹ ਵੇਰਵਾ ਜੋੜਨ ਦੀਆਂ ਅਸਫਲਤਾਵਾਂ ਦਾ ਇੱਕ ਵਰਗ ਸਮਝਾਉਂਦਾ ਹੈ ਜੋ ਪਾਸਵਰਡ ਸਹੀ ਹੋਣ 'ਤੇ ਵੀ ਗਲਤ ਪਾਸਵਰਡ ਵਰਗੀਆਂ ਲੱਗਦੀਆਂ ਹਨ। ਸੰਭਾਲ ਵਿੰਡੋ ਖੁੱਲ੍ਹਣ ਤੋਂ ਪਹਿਲਾਂ ਡੋਮੇਨ ਵਿਰੁੱਧ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਜਾਂਚੋ।
ਸਿੰਕ ਕੀਤੇ ਹਾਈਬ੍ਰਿਡ ਖਾਤਿਆਂ ਦੀਆਂ ਆਪਣੀਆਂ ਪੂਰਵ-ਸ਼ਰਤਾਂ ਹੁੰਦੀਆਂ ਹਨ ਜੋ ਦਿਖਣ ਵਾਲਾ ਵਰਤੋਂਕਾਰ ਆਬਜੈਕਟ ਇਕੱਲਾ ਪੂਰਾ ਨਹੀਂ ਕਰਦਾ। ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਸੂਚੀਬੱਧ ਹੋਣਾ ਉਸ ਵਿੱਚੋਂ ਟਿਕਟ ਪ੍ਰਾਪਤ ਕਰ ਸਕਣ ਦੇ ਬਰਾਬਰ ਨਹੀਂ ਹੈ, ਇਸ ਲਈ ਸੰਭਾਲ ਵਿੰਡੋ ਦੌਰਾਨ ਨਹੀਂ, ਉਸ ਤੋਂ ਪਹਿਲਾਂ ਖਾਤਾ ਜਾਂਚੋ।
ਜੋੜਨ ਦਾ ਅਧਿਕਾਰ ਤੰਗ ਰੂਪ ਵਿੱਚ ਸੌਂਪੋ। ਇੱਕ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਹੋਣ ਲਈ ਹਰ ਭਵਿੱਖੀ ਸਰਵਰ ਵਰਤੋਂਕਾਰ ਨੂੰ ਡੋਮੇਨ ਪ੍ਰਸ਼ਾਸਕ ਮੈਂਬਰਸ਼ਿਪ ਦੇਣਾ ਅਸਥਾਈ ਸਮੱਸਿਆ ਲਈ ਸਥਾਈ ਮਨਜ਼ੂਰੀ ਹੈ।
ਜੋੜਨਾ ਆਪ ਇੱਕ ਹੀ ਆਦੇਸ਼ ਹੈ
ਮਾਡਲ ਚੁਣਿਆ ਗਿਆ, DNS ਜਵਾਬ ਦੇ ਰਿਹਾ ਹੈ ਅਤੇ ਖਾਤਾ ਯੋਗ ਹੈ, ਤਾਂ ਕਿਰਿਆ ਆਮ Windows ਕਿਰਿਆ ਹੈ। ਪ੍ਰਾਂਪਟ ਪਾਸਵਰਡ ਨੂੰ ਸਕ੍ਰਿਪਟ ਅਤੇ ਸ਼ੈੱਲ ਇਤਿਹਾਸ ਤੋਂ ਬਾਹਰ ਰੱਖਦਾ ਹੈ:
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThruਇਸ ਰੂਪ ਵਿੱਚ ਆਦੇਸ਼ ਮਸ਼ੀਨ ਨੂੰ ਆਪ ਮੁੜ ਚਾਲੂ ਨਹੀਂ ਕਰਦਾ, ਇਸ ਲਈ ਰੀਬੂਟ ਸੰਭਾਲ ਯੋਜਨਾ ਅਧੀਨ ਅਤੇ ਰਿਕਵਰੀ ਮਾਰਗ ਅਜੇ ਉਪਲਬਧ ਹੁੰਦਿਆਂ ਹੁੰਦਾ ਹੈ। ਕਿਸੇ ਹੋਰ ਡੋਮੇਨ ਨਾਲ ਪਹਿਲਾਂ ਹੀ ਜੁੜੇ ਸਰਵਰ ਨੂੰ ਸਥਾਨਾਂਤਰਨ ਯੋਜਨਾ ਚਾਹੀਦੀ ਹੈ, ਪਹਿਲੇ ਉੱਤੇ ਦੂਜਾ ਜੋੜਨਾ ਨਹੀਂ।
ਕੰਪਿਊਟਰ ਆਬਜੈਕਟ ਜਿਸ ਕੰਟੇਨਰ ਵਿੱਚ ਉਤਰਿਆ ਅਤੇ ਜਿਸ ਖਾਤੇ ਨੇ ਇਸ ਨੂੰ ਬਣਾਇਆ ਉਹ ਦਰਜ ਕਰੋ। ਮੁੜ-ਨਿਰਮਾਣ ਤੋਂ ਬਾਅਦ ਮਸ਼ੀਨ ਨੂੰ ਦੁਬਾਰਾ ਜੋੜਨਾ ਪਵੇ ਤਾਂ ਦੋਵੇਂ ਮਹੱਤਵਪੂਰਨ ਹਨ, ਅਤੇ ਬਾਅਦ ਵਿੱਚ ਸਰਵਰ ਤੋਂ ਕੋਈ ਵੀ ਸਪਸ਼ਟ ਨਹੀਂ ਹੁੰਦਾ।
ਮੈਂਬਰਸ਼ਿਪ ਕੀ ਨਹੀਂ ਦਿੰਦੀ
ਡੋਮੇਨ ਮੈਂਬਰਸ਼ਿਪ ਕਿਸੇ ਨੂੰ ਸਥਾਨਕ ਪ੍ਰਸ਼ਾਸਕ ਨਹੀਂ ਬਣਾਉਂਦੀ, ਅਤੇ ਦੂਰਸਥ ਡੈਸਕਟਾਪ ਜਾਂ ਫਾਈਲ ਸ਼ੇਅਰਿੰਗ ਤੱਕ ਪਹੁੰਚ ਨਹੀਂ ਦਿੰਦੀ। ਉਹ ਅਧਿਕਾਰ ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਸੰਰਚਿਤ ਕੀਤੇ ਜਾਂਦੇ ਹਨ, ਅਤੇ ਪ੍ਰਬੰਧਿਤ ਡੋਮੇਨ 'ਤੇ ਉਹ ਇਸ ਦੇ ਸਮਰਥਿਤ ਪ੍ਰਸ਼ਾਸਕੀ ਦਾਇਰੇ ਅੰਦਰ ਹੀ ਰਹਿੰਦੇ ਹਨ।
ਨੈੱਟਵਰਕ ਮਾਰਗ ਸੈਟਅਪ ਕਦਮ ਨਹੀਂ, ਲਗਾਤਾਰ ਨਿਰਭਰਤਾ ਹੈ। ਜੇ ਨਿੱਜੀ ਕੁਨੈਕਸ਼ਨ ਗਾਇਬ ਹੋ ਜਾਵੇ, ਸਰਵਰ ਕੈਸ਼ ਕੀਤੇ ਪ੍ਰਮਾਣ-ਪੱਤਰਾਂ ਨਾਲ ਚੱਲਦਾ ਰਹਿੰਦਾ ਹੈ, ਜਦ ਤੱਕ ਕਿਸੇ ਚੀਜ਼ ਨੂੰ ਡਾਇਰੈਕਟਰੀ ਦੀ ਲੋੜ ਨਹੀਂ ਪੈਂਦੀ, ਅਤੇ ਫਿਰ ਅਸਫਲਤਾ ਬਦਲੀ ਹੋਈ ਸੰਰਚਨਾ ਦੇ ਕੋਲ ਨਹੀਂ, ਐਪਲੀਕੇਸ਼ਨ ਲਾਗ ਵਿੱਚ ਆਉਂਦੀ ਹੈ।
Microsoft ਦੀ Windows Server ਜੋੜਨ ਦੀ ਮਾਰਗਦਰਸ਼ਨ ਪ੍ਰਬੰਧਿਤ-ਡੋਮੇਨ ਵਰਕਫ਼ਲੋ ਲਈ ਸਮਰਥਿਤ ਪੂਰਵ-ਸ਼ਰਤਾਂ ਦੀ ਸੂਚੀ ਦਿੰਦੀ ਹੈ। ਇਸ ਨੂੰ ਉੱਪਰਲੇ ਤਿੰਨ ਫੈਸਲਿਆਂ ਦੇ ਸਾਹਮਣੇ ਪੜ੍ਹੋ, ਅਤੇ ਕਿਸੇ ਵੀ ਅਸੰਗਤੀ ਨੂੰ ਟਾਲਣ ਵਾਲਾ ਵੇਰਵਾ ਨਹੀਂ, ਰੁਕਣ ਦਾ ਕਾਰਨ ਮੰਨੋ।