Pripojenie Azure VM k Entra Domain Services: najprv sa rozhodnite

Pred virtuálnym počítačom s Windows Serverom, ktorý musí používať spravovaný adresár, stoja tri rozhodnutia a príkaz na pripojenie je z nich najmenší. Zvoľte nesprávny model adresára a pripojenie uspeje, zatiaľ čo aplikácia sa stále nedokáže overiť. Pomýľte sa v preklade názvov a zlyhanie sa objaví na mieste, ktoré vyzerá ako problém s prihlasovacími údajmi.

Vyriešte model, preklad a účet skôr, než sa dotknete servera, potom sa príkaz spustí raz.

Ktoré z troch pripojení vlastne chcete

Pripojenie zariadenia zaregistruje stroj v Microsoft Entra ID pre podmienený prístup a jednotné prihlásenie a nedá pracovnej záťaži žiadny lístok Kerberos do domény v lokálnom štýle. Tradičné pripojenie k doméne zviaže objekt počítača do adresára a dá mu účet stroja, zásady skupiny a overenie domény. Spravovaná doména ponúka ten druhý model ako službu. Názvy znejú podobne, výsledky nie.

Iba posledné dve zahŕňajú radič domény v bežnom zmysle a iba spravovaná možnosť odstráni servery z vášho zoznamu záplat.

Rozhodnutie zvyčajne závisí od aplikácie, nie od preferencie. Softvér, ktorý chce väzbu LDAP, servisný účet s SPN alebo objekty zásad skupiny, patrí do modelu domény. Softvér, ktorý potrebuje len poznať identitu používateľa na firemnom zariadení, tam zvyčajne nepatrí.

Cesta DNS rozhoduje, či sa pripojenie dokončí

Pripojenie k doméne začína vyhľadaním lokátora pre záznamy radičov domény, takže preklad názvov musí fungovať skôr, než sa skontroluje akýkoľvek prihlasovací údaj. Nasmerujte virtuálny počítač na adresy adresára spravovanej domény, buď cez nastavenia DNS virtuálnej siete, alebo cez podmienený preposielač, ktorý tam posiela len tento menný priestor. Preposielač obmedzený na menný priestor je zvyčajne bezpečnejšia voľba, pretože zvyšok prekladu virtuálneho počítača nechá na pokoji.

Testujte lokátor, nie holé meno hostiteľa. Ping na meno domény nepreukáže takmer nič, zatiaľ čo dopyt SRV na záznamy radičov domény buď vráti očakávané ciele, alebo okamžite zlyhá:

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Nahraďte meno domény a obe adresy hodnotami z konfigurácie spravovanej domény; čísla tu sú príklady. Ak dopyt vracia odpovede inej zóny, virtuálny počítač používa prekladač, ktorý spravovaný menný priestor nepreposiela, a žiadne opakovanie pripojenia to nezmení.

Držte pracovnú záťaž mimo podsiete, ktorú si spravovaná doména vyhradzuje pre vlastné servisné prostriedky, a držte porty adresára na privátnej ceste. Verejné vystavenie týchto portov nie je skratka; je to iný návrh s iným rizikovým profilom.

Spôsobilosť účtu sa kontroluje skôr než stroj

Účet, ktorý pripojenie vykonáva, potrebuje oprávnenie vytvoriť objekt počítača v cieľovom kontajneri a musí sa dokázať overiť voči spravovanej doméne. Účet iba v cloude vytvorený pred existenciou spravovanej domény môže postrádať materiál odvodený z hesla, ktorý doména potrebuje, a zmena alebo reset hesla ho znova vytvorí. Tento detail vysvetľuje triedu zlyhaní pripojenia, ktoré vyzerajú ako nesprávne heslá, keď je heslo správne. Otestujte prihlasovací údaj voči doméne skôr, než sa otvorí okno údržby.

Synchronizované hybridné účty majú vlastné predpoklady, ktoré viditeľný objekt používateľa sám nespĺňa. Byť uvedený v adresári nie je to isté ako mať z neho možnosť získať lístok, preto účet otestujte pred oknom údržby, nie počas neho.

Delegujte právo pripojenia úzko. Dať každému budúcemu používateľovi servera členstvo v administrátoroch domény, aby prebehla jedna registrácia, je trvalé oprávnenie za dočasný problém.

Pripojenie samo je jeden príkaz

Keď je model zvolený, DNS odpovedá a účet je spôsobilý, operácia je tá obvyklá vo Windows. Výzva drží heslo mimo skriptov a histórie shellu:

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

Príkaz v tejto podobe stroj sám nereštartuje, takže reštart prebehne podľa plánu údržby a s dosiaľ dostupnou cestou obnovy. Server už pripojený k inej doméne potrebuje plán migrácie, nie druhé pripojenie cez to prvé.

Zaznamenajte kontajner, do ktorého objekt počítača pristál, a účet, ktorý ho vytvoril. Oboje je dôležité, keď je stroj potrebné znova pripojiť po prestavbe, a ani jedno nie je zo servera neskôr zrejmé.

Čo členstvo neudeľuje

Členstvo v doméne nikoho neurobí lokálnym administrátorom a neudeľuje prístup k vzdialenej ploche ani k zdieľaným súborom. Tieto práva sa konfigurujú oddelene a v spravovanej doméne zostávajú v rámci jej podporovanej administratívnej pôsobnosti.

Sieťová cesta je trvalá závislosť, nie krok pri nastavení. Ak privátne spojenie zmizne, server beží ďalej s uloženými prihlasovacími údajmi, kým niečo nepotrebuje adresár, a potom zlyhanie dorazí do protokolu aplikácie, nie vedľa konfigurácie, ktorá sa zmenila.

Pokyny Microsoftu k pripojeniu Windows Servera uvádzajú podporované predpoklady pre postup so spravovanou doménou. Čítajte ich proti trom rozhodnutiam vyššie a každý nesúlad berte ako dôvod zastaviť, nie ako detail, ktorý treba obísť.