Подключение виртуальной машины Azure к Entra Domain Services: сначала решите
Присоединению предшествуют три решения: модель каталога, нужная рабочей нагрузке, частный DNS, разрешающий домен, и учетная запись, способная пройти проверку подлинности.
Перед виртуальной машиной Windows Server, которой нужен управляемый каталог, стоят три решения, и команда присоединения — наименьшее из них. Выберите неверную модель каталога, и присоединение удастся, а приложение всё равно не сможет пройти проверку подлинности. Ошибка в разрешении имен — и сбой проявится там, где он выглядит как проблема с учетными данными.
Определите модель, разрешение имен и учетную запись до того, как трогать сервер, тогда команда выполнится один раз.
Какое из трех присоединений вам действительно нужно
Присоединение устройства регистрирует машину в Microsoft Entra ID для условного доступа и единого входа и не дает рабочей нагрузке билет Kerberos к домену локального образца. Традиционное присоединение к домену привязывает объект компьютера к каталогу и дает ему учетную запись машины, групповую политику и проверку подлинности домена. Управляемый домен предоставляет вторую модель как услугу. Названия звучат похоже, а результаты нет.
Только последние два варианта включают контроллер домена в обычном смысле, и только управляемый вариант убирает серверы из вашего списка исправлений.
Решение обычно зависит от приложения, а не от предпочтения. Программное обеспечение, которому нужна привязка LDAP, учетная запись службы с SPN или объекты групповой политики, относится к доменной модели. Программное обеспечение, которому нужно лишь знать личность пользователя на корпоративном устройстве, обычно не относится.
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
Путь DNS решает, сможет ли присоединение завершиться
Присоединение к домену начинается с поиска локатора записей контроллера домена, поэтому разрешение имен должно работать до проверки любых учетных данных. Направьте машину на адреса каталога управляемого домена — через параметры DNS виртуальной сети или через условный пересылающий сервер, который отправляет туда только это пространство имен. Пересылающий сервер, ограниченный пространством имен, обычно является более безопасным выбором, потому что оставляет остальное разрешение имен машины нетронутым.
Проверяйте локатор, а не голое имя хоста. Пинг по имени домена почти ничего не доказывает, а SRV-запрос записей контроллера домена либо возвращает ожидаемые цели, либо сразу завершается неудачей:
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53Замените имя домена и два адреса значениями из конфигурации управляемого домена; числа здесь приведены как примеры. Если запрос возвращает ответы другой зоны, машина использует сопоставитель, который не пересылает управляемое пространство имен, и никакое число повторений присоединения это не изменит.
Держите рабочую нагрузку вне подсети, которую управляемый домен резервирует для своих служебных ресурсов, и держите порты каталога на частном пути. Публичное раскрытие этих портов не является коротким путем; это другая архитектура с другим профилем риска.
Пригодность учетной записи проверяется раньше машины
Учетной записи, выполняющей присоединение, нужно разрешение создавать объект компьютера в целевом контейнере, и она должна уметь проходить проверку подлинности в управляемом домене. Учетная запись только в облаке, созданная до появления управляемого домена, может не иметь производного от пароля материала, который нужен домену, а изменение или сброс пароля создают его заново. Эта деталь объясняет класс сбоев присоединения, которые выглядят как неверные пароли, когда пароль верен. Проверьте учетные данные в домене до открытия окна обслуживания.
Синхронизированные гибридные учетные записи имеют собственные предварительные условия, которые видимый объект пользователя сам по себе не выполняет. Быть в списке каталога — не то же самое, что иметь возможность получить из него билет, поэтому проверяйте учетную запись до окна обслуживания, а не во время него.
Делегируйте право присоединения узко. Дать каждому будущему пользователю сервера членство в администраторах домена ради одной регистрации — это постоянное разрешение ради временной проблемы.
Само присоединение — одна команда
Когда модель выбрана, DNS отвечает и учетная запись пригодна, операция является обычной операцией Windows. Запрос не показывает пароль в сценариях и истории оболочки:
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThruКоманда в такой форме сама не перезагружает машину, поэтому перезагрузка происходит по плану обслуживания и при все еще доступном пути восстановления. Серверу, уже присоединенному к другому домену, нужен план миграции, а не второе присоединение поверх первого.
Запишите контейнер, в который попал объект компьютера, и учетную запись, создавшую его. Оба имеют значение, когда машину нужно присоединить снова после пересборки, и ни один из них потом не очевиден с самого сервера.
Чего членство не дает
Членство в домене не делает кого-либо локальным администратором и не дает доступа к удаленному рабочему столу или сетевым папкам. Эти права настраиваются отдельно, и в управляемом домене остаются в пределах его поддерживаемой административной области.
Сетевой путь — постоянная зависимость, а не шаг настройки. Если частное подключение исчезнет, сервер продолжит работу с кэшированными учетными данными, пока чему-либо не понадобится каталог, и тогда сбой появится в журнале приложения, а не рядом с измененной конфигурацией.
Руководство Microsoft по присоединению Windows Server перечисляет поддерживаемые предварительные условия для сценария с управляемым доменом. Читайте его с оглядкой на три решения выше и любое расхождение считайте причиной остановиться, а не деталью, которую нужно обойти.