Pridruživanje Azure VM-a Entra Domain Servicesu: prvo odlučite

Tri odluke stoje pred VM-om sa Windows Serverom koji mora koristiti upravljani direktorij, a naredba za pridruživanje je najmanja od njih. Odaberete pogrešan model direktorija i pridruživanje uspije, dok se aplikacija ipak ne može autentificirati. Pogriješite u razrješavanju imena i kvar se pojavi na mjestu koje izgleda kao problem s vjerodajnicama.

Riješite model, razrješavanje i račun prije nego što dotaknete poslužitelj, pa se naredba izvrši jednom.

Koje od tri pridruživanja zapravo želite

Pridruživanje uređaja registrira stroj u Microsoft Entra ID radi uvjetnog pristupa i jedinstvene prijave i ne daje radnom opterećenju Kerberos ulaznicu za domenu u lokalnom stilu. Tradicionalno pridruživanje domene veže objekt računala u direktorij i daje mu račun stroja, grupnu politiku i provjeru identiteta domene. Upravljana domena nudi taj drugi model kao uslugu. Imena zvuče slično, a ishodi ne.

Samo posljednje dvije uključuju kontroler domene u uobičajenom smislu, a samo upravljana opcija uklanja poslužitelje s vašeg popisa za zakrpe.

Odluka obično zavisi od aplikacije, a ne od sklonosti. Softver koji traži LDAP bind, servisni račun sa SPN-om ili objekte grupne politike pripada modelu domene. Softver koji samo treba znati identitet korisnika na korporativnom uređaju obično ne pripada.

DNS put odlučuje može li se pridruživanje dovršiti

Pridruživanje domeni počinje pretragom lokatora za zapise kontrolera domene, pa razrješavanje imena mora raditi prije provjere bilo koje vjerodajnice. Usmjerite VM na adrese direktorija upravljane domene, bilo kroz DNS postavke virtualne mreže, bilo kroz uvjetni prosljeđivač koji samo taj prostor imena šalje njima. Prosljeđivač ograničen na prostor imena obično je sigurniji izbor, jer ostavlja ostatak razrješavanja VM-a na miru.

Testirajte lokator, a ne golo ime hosta. Ping na ime domene ne dokazuje gotovo ništa, dok SRV upit za zapise kontrolera domene ili vraća očekivane ciljeve ili odmah pada:

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Zamijenite ime domene i dvije adrese vrijednostima iz konfiguracije upravljane domene; brojevi su ovdje primjeri. Ako upit vraća odgovore druge zone, VM koristi razrješivač koji ne prosljeđuje upravljani prostor imena i nikakvo ponavljanje pridruživanja to neće promijeniti.

Držite radno opterećenje izvan podmreže koju upravljana domena čuva za vlastite servisne resurse i držite portove direktorija na privatnom putu. Javno izlaganje tih portova nije prečica; to je drugačiji dizajn s drugačijim profilom rizika.

Prihvatljivost računa provjerava se prije stroja

Račun koji obavlja pridruživanje treba dopuštenje za stvaranje objekta računala u ciljnom spremniku i mora se moći autentificirati prema upravljanoj domeni. Račun samo u oblaku stvoren prije nego što je upravljana domena postojala može nemati materijal izveden iz lozinke koji domena treba, a promjena ili poništavanje lozinke ga ponovno stvara. Taj detalj objašnjava klasu neuspjeha pridruživanja koji izgledaju kao pogrešne lozinke kad je lozinka ispravna. Testirajte vjerodajnicu prema domeni prije otvaranja prozora za održavanje.

Sinkronizirani hibridni računi imaju vlastite preduvjete koje vidljivi objekt korisnika ne zadovoljava sam. Biti naveden u direktoriju nije isto što i moći iz njega dobiti ulaznicu, pa testirajte račun prije prozora za održavanje, a ne tijekom njega.

Delegirajte pravo pridruživanja usko. Dati svakom budućem korisniku poslužitelja članstvo administratorske domene kako bi se dogodila jedna registracija trajno je odobrenje za privremeni problem.

Samo pridruživanje je jedna naredba

Kad je model odabran, DNS odgovara i račun je prihvatljiv, operacija je uobičajena Windows operacija. Upit drži lozinku izvan skripti i povijesti ljuske:

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

Naredba ne ponovno pokreće stroj sama u ovom obliku, pa se restart događa prema planu održavanja i uz put oporavka još dostupan. Poslužitelj već pridružen drugoj domeni treba plan migracije, a ne drugo pridruživanje preko prvoga.

Zabilježite spremnik u koji je objekt računala smješten i račun koji ga je stvorio. Oboje je važno kad se stroj mora ponovno pridružiti nakon obnove, a ni jedno nije očito s poslužitelja kasnije.

Što članstvo ne daje

Članstvo u domeni nikoga ne čini lokalnim administratorom i ne daje pristup udaljenom radnom stolu ni dijeljenim datotekama. Ta se prava konfiguriraju odvojeno i na upravljanoj domeni ostaju unutar njezina podržanog administrativnog opsega.

Mrežni put je trajna ovisnost, a ne korak u postavljanju. Ako privatna veza nestane, poslužitelj nastavlja raditi s predmemoriranim vjerodajnicama dok nečemu ne zatreba direktorij, a tada kvar stiže u zapisnik aplikacije, a ne uz konfiguraciju koja se promijenila.

Microsoftove smjernice za pridruživanje Windows Servera navode podržane preduvjete za tijek rada s upravljanom domenom. Čitajte ih uz tri odluke gore i svako nepodudaranje uzmite kao razlog za zaustavljanje, a ne kao detalj koji treba zaobići.