Dołączanie maszyny Azure VM do Entra Domain Services: najpierw zdecyduj

Przed maszyną Windows Server, która musi korzystać z zarządzanego katalogu, stoją trzy decyzje, a polecenie dołączenia jest najmniejszą z nich. Wybierz zły model katalogu, a dołączenie się powiedzie, choć aplikacja nadal nie może się uwierzytelnić. Pomyl rozwiązywanie nazw, a błąd pojawi się w miejscu, które wygląda jak problem z poświadczeniami.

Rozstrzygnij model, rozwiązywanie nazw i konto, zanim dotkniesz serwera, a polecenie wykona się raz.

Którego z trzech dołączeń naprawdę chcesz

Dołączenie urządzenia rejestruje maszynę w Microsoft Entra ID na potrzeby dostępu warunkowego i logowania jednokrotnego i nie daje obciążeniu biletu Kerberos do domeny w stylu lokalnym. Tradycyjne dołączenie do domeny wiąże obiekt komputera z katalogiem i daje mu konto maszyny, zasady grupy i uwierzytelnianie domeny. Domena zarządzana dostarcza ten drugi model jako usługę. Nazwy brzmią podobnie, a wyniki nie.

Tylko dwa ostatnie obejmują kontroler domeny w zwykłym sensie, a tylko opcja zarządzana usuwa serwery z twojej listy poprawek.

Decyzja zwykle zależy od aplikacji, a nie od preferencji. Oprogramowanie, które chce powiązania LDAP, konta usługi z SPN lub obiektów zasad grupy, należy do modelu domeny. Oprogramowanie, któremu wystarczy znać tożsamość użytkownika na urządzeniu firmowym, zwykle nie należy.

Ścieżka DNS decyduje, czy dołączenie może się zakończyć

Dołączenie do domeny zaczyna się od wyszukania lokalizatora rekordów kontrolera domeny, więc rozwiązywanie nazw musi działać, zanim sprawdzone zostaną jakiekolwiek poświadczenia. Skieruj maszynę na adresy katalogu domeny zarządzanej, albo przez ustawienia DNS sieci wirtualnej, albo przez przekazywanie warunkowe, które wysyła tam tylko tę przestrzeń nazw. Przekazywanie ograniczone do przestrzeni nazw jest zwykle bezpieczniejszym wyborem, ponieważ zostawia resztę rozwiązywania nazw maszyny w spokoju.

Testuj lokalizator, a nie gołą nazwę hosta. Ping do nazwy domeny nie dowodzi prawie niczego, natomiast zapytanie SRV o rekordy kontrolera domeny albo zwraca oczekiwane cele, albo natychmiast zawodzi:

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Zastąp nazwę domeny i oba adresy wartościami z konfiguracji domeny zarządzanej; liczby tutaj są przykładami. Jeśli zapytanie zwraca odpowiedzi innej strefy, maszyna używa resolvera, który nie przekazuje zarządzanej przestrzeni nazw, i żadna liczba powtórzeń dołączenia tego nie zmieni.

Trzymaj obciążenie poza podsiecią, którą domena zarządzana rezerwuje dla własnych zasobów usługowych, i trzymaj porty katalogu na ścieżce prywatnej. Publiczne wystawienie tych portów nie jest skrótem; to inny projekt z innym profilem ryzyka.

Kwalifikacja konta jest sprawdzana przed maszyną

Konto wykonujące dołączenie potrzebuje uprawnienia do utworzenia obiektu komputera w kontenerze docelowym i musi umieć uwierzytelnić się w domenie zarządzanej. Konto tylko w chmurze utworzone przed powstaniem domeny zarządzanej może nie mieć materiału pochodnego od hasła, którego domena potrzebuje, a zmiana lub reset hasła wytwarza go ponownie. Ten szczegół wyjaśnia klasę niepowodzeń dołączenia, które wyglądają jak błędne hasła, gdy hasło jest poprawne. Przetestuj poświadczenia w domenie, zanim otworzy się okno serwisowe.

Zsynchronizowane konta hybrydowe mają własne warunki wstępne, których widoczny obiekt użytkownika sam nie spełnia. Bycie wpisanym do katalogu nie jest tym samym co możliwość uzyskania z niego biletu, więc przetestuj konto przed oknem serwisowym, a nie w jego trakcie.

Deleguj prawo dołączenia wąsko. Danie każdemu przyszłemu użytkownikowi serwera członkostwa w administratorach domeny po to, by odbyła się jedna rejestracja, jest trwałym uprawnieniem dla chwilowego problemu.

Samo dołączenie to jedno polecenie

Gdy model jest wybrany, DNS odpowiada, a konto jest kwalifikowane, operacja jest zwykłą operacją Windows. Wiersz polecenia trzyma hasło poza skryptami i historią powłoki:

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

Polecenie w tej postaci samo nie restartuje maszyny, więc restart odbywa się zgodnie z planem serwisowym i przy wciąż dostępnej ścieżce odzyskiwania. Serwer dołączony już do innej domeny wymaga planu migracji, a nie drugiego dołączenia na pierwszym.

Zapisz kontener, w którym wylądował obiekt komputera, oraz konto, które go utworzyło. Oba mają znaczenie, gdy maszynę trzeba dołączyć ponownie po odbudowie, i żaden z nich nie jest później oczywisty z poziomu serwera.

Czego członkostwo nie daje

Członkostwo w domenie nie czyni nikogo administratorem lokalnym i nie daje dostępu do pulpitu zdalnego ani do udziałów plików. Te prawa konfiguruje się osobno, a w domenie zarządzanej pozostają w jej obsługiwanym zakresie administracyjnym.

Ścieżka sieciowa jest trwałą zależnością, a nie krokiem konfiguracji. Jeśli prywatne połączenie zniknie, serwer nadal działa z buforowanymi poświadczeniami, aż coś potrzebuje katalogu, a wtedy błąd trafia do dziennika aplikacji, a nie obok zmienionej konfiguracji.

Wskazówki firmy Microsoft dotyczące dołączania maszyn Windows Server wymieniają obsługiwane warunki wstępne dla przepływu pracy z domeną zarządzaną. Czytaj je wobec trzech decyzji powyżej i każdą niezgodność traktuj jako powód do zatrzymania, a nie szczegół do obejścia.