Povezovanje VM Azure z Entra Domain Services: najprej se odločite
Povezavi so tri odločitve: model imenika, ki ga delovna obremenitev potrebuje, zasebni DNS, ki razrešuje domeno, in račun, ki se lahko overi.
Pred VM s sistemom Windows Server, ki mora uporabljati upravljani imenik, stojijo tri odločitve, ukaz za pridružitev pa je najmanjša od njih. Izberite napačen model imenika in pridružitev bo uspela, medtem ko se aplikacija še vedno ne more overiti. Pri razreševanju imen se zmotite in napaka se pojavi na mestu, ki izgleda kot težava s poverilnicami.
Določite model, razreševanje in račun, preden se dotaknete strežnika, nato se ukaz izvede enkrat.
Katero od treh pridružitev v resnici želite
Pridružitev naprave registrira stroj v Microsoft Entra ID za pogojni dostop in enotno prijavo ter delovni obremenitvi ne da nobene vozovnice Kerberos v domeno v lokalnem slogu. Tradicionalna pridružitev domeni veže objekt računalnika v imenik in mu da račun stroja, skupinsko politiko in preverjanje pristnosti domene. Upravljana domena ponuja ta drugi model kot storitev. Imena zvenijo podobno, rezultati pa ne.
Samo zadnji dve vključujeta krmilnik domene v običajnem smislu in samo upravljana možnost odstrani strežnike s vašega seznama popravkov.
Odločitev je običajno odvisna od aplikacije in ne od preference. Programska oprema, ki želi vezavo LDAP, servisni račun s SPN ali objekte skupinske politike, spada v model domene. Programska oprema, ki mora le poznati identiteto uporabnika na poslovni napravi, običajno ne spada.
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
Pot DNS odloči, ali se pridružitev lahko zaključi
Pridružitev domeni se začne z iskanjem lokatorja zapisov krmilnika domene, zato mora razreševanje imen delovati, preden se preveri katera koli poverilnica. Usmerite VM na naslove imenika upravljane domene, bodisi prek nastavitev DNS virtualnega omrežja bodisi prek pogojnega posredovalnika, ki tja pošilja samo ta imenski prostor. Posredovalnik, omejen na imenski prostor, je običajno varnejša izbira, ker pusti preostanek razreševanja VM pri miru.
Preizkusite lokator in ne golo ime gostitelja. Ping na ime domene ne dokaže skoraj ničesar, medtem ko poizvedba SRV za zapise krmilnika domene bodisi vrne pričakovane cilje bodisi takoj ne uspe:
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53Zamenjajte ime domene in oba naslova z vrednostmi iz konfiguracije upravljane domene; številke tukaj so primeri. Če poizvedba vrne odgovore druge cone, VM uporablja razreševalnik, ki ne posreduje upravljanega imenskega prostora, in nobeno število ponovitev pridružitve tega ne bo spremenilo.
Delovno obremenitev hranite zunaj podomrežja, ki ga upravljana domena rezervira za svoje storitvene vire, in vrata imenika na zasebni poti. Javna izpostavitev teh vrat ni bližnjica; to je drugačna zasnova z drugačnim profilom tveganja.
Ustreznost računa se preveri pred strojem
Račun, ki izvede pridružitev, potrebuje dovoljenje za ustvarjanje objekta računalnika v ciljnem vsebniku in mora se znati overiti v upravljani domeni. Račun samo v oblaku, ustvarjen pred obstojem upravljane domene, morda nima gradiva, izpeljanega iz gesla, ki ga domena potrebuje, in sprememba ali ponastavitev gesla ga znova ustvari. Ta podrobnost pojasnjuje razred neuspehov pridružitve, ki so videti kot napačna gesla, ko je geslo pravilno. Preizkusite poverilnico v domeni, preden se odpre okno za vzdrževanje.
Sinhronizirani hibridni računi imajo svoje predpogoje, ki jih viden objekt uporabnika sam ne izpolni. Biti naveden v imeniku ni isto kot moči iz njega dobiti vozovnico, zato preizkusite račun pred oknom za vzdrževanje in ne med njim.
Pravico do pridružitve prenesite ozko. Dati vsakemu prihodnjemu uporabniku strežnika članstvo v skrbnikih domene, da bi se zgodila ena registracija, je trajno dovoljenje za začasno težavo.
Sama pridružitev je en ukaz
Ko je model izbran, DNS odgovarja in račun je ustrezen, je postopek običajen postopek v Windows. Poziv obdrži geslo zunaj skriptov in zgodovine lupine:
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThruUkaz v tej obliki sam ne znova zažene stroja, zato se ponovni zagon zgodi po načrtu vzdrževanja in z še vedno razpoložljivo potjo obnovitve. Strežnik, ki je že pridružen drugi domeni, potrebuje načrt selitve, ne druge pridružitve čez prvo.
Zabeležite vsebnik, v katerega je pristal objekt računalnika, in račun, ki ga je ustvaril. Oba sta pomembna, ko je treba stroj znova pridružiti po ponovni gradnji, in nobeno od tega ni pozneje očitno s strežnika.
Česa članstvo ne daje
Članstvo v domeni nikogar ne naredi lokalnega skrbnika in ne daje dostopa do oddaljenega namizja ali datotečnih deležev. Te pravice se konfigurirajo ločeno, in v upravljani domeni ostanejo znotraj njenega podprtega upravnega obsega.
Omrežna pot je trajna odvisnost in ne korak pri nastavitvi. Če zasebna povezava izgine, strežnik deluje naprej s predpomnjenimi poverilnicami, dokler nekaj ne potrebuje imenika, in takrat napaka prispe v dnevnik aplikacije in ne poleg konfiguracije, ki se je spremenila.
Microsoftovo navodilo za pridružitev sistema Windows Server navaja podprte predpogoje za potek dela z upravljano domeno. Berite ga ob treh odločitvah zgoraj in vsako neskladje obravnavajte kot razlog za ustavitev in ne kot podrobnost, ki jo je treba obiti.