Повезивање Azure VM са Entra Domain Services: прво одлучите
Три одлуке претходе повезивању: модел директоријума који је потребан радном оптерећењу, приватни DNS који разрешава домен и налог који може да се аутентификује.
Пред Windows Server VM који мора да користи управљани директоријум стоје три одлуке, а команда за повезивање је најмања од њих. Одаберите погрешан модел директоријума и повезивање ће успети, а апликација ипак не може да се аутентификује. Погрешите у разрешавању имена и квар се појављује на месту које изгледа као проблем са акредитивима.
Решите модел, разрешавање и налог пре него што додирнете сервер, па се команда извршава једном.
Које од три повезивања заправо желите
Повезивање уређаја региструје машину у Microsoft Entra ID за условни приступ и јединствену пријаву и не даје радном оптерећењу Kerberos тикет ка домену локалног стила. Традиционално повезивање са доменом везује објекат рачунара у директоријум и даје му налог машине, групну политику и аутентификацију домена. Управљани домен нуди тај други модел као услугу. Имена звуче слично, а резултати не.
Само последња два укључују контролер домена у уобичајеном смислу, и само управљана опција уклања сервере са ваше листе закрпа.
Одлука обично зависи од апликације, а не од склоности. Софтвер који жели LDAP везивање, сервисни налог са SPN-ом или објекте групне политике припада моделу домена. Софтвер који само треба да зна идентитет корисника на корпоративном уређају обично не припада.
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
Пут DNS-а одлучује да ли повезивање може да се заврши
Повезивање са доменом почиње проналажењем локатора за записе контролера домена, па разрешавање имена мора да ради пре провере било којих акредитива. Усмерите VM на адресе директоријума управљаног домена, било кроз DNS поставке виртуелне мреже, било кроз условни прослеђивач који само тај простор имена шаље тамо. Прослеђивач ограничен на простор имена обично је сигурнији избор, јер остатак разрешавања VM-а оставља на миру.
Тестирајте локатор, а не голи назив домаћина. Ping на име домена не доказује готово ништа, док SRV упит за записе контролера домена или враћа очекиване циљеве или одмах не успева:
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53Замените име домена и две адресе вредностима из конфигурације управљаног домена; бројеви овде су примери. Ако упит враћа одговоре друге зоне, VM користи резолвер који не прослеђује управљани простор имена, и никакво понављање повезивања то неће променити.
Држите радно оптерећење изван подмреже коју управљани домен чува за сопствене сервисне ресурсе и држите портове директоријума на приватном путу. Јавно излагање тих портова није пречица; то је другачији дизајн са другачијим профилом ризика.
Подобност налога проверава се пре машине
Налог који обавља повезивање треба дозволу да створи објекат рачунара у циљном контејнеру и мора моћи да се аутентификује према управљаном домену. Налог само у облаку створен пре постојања управљаног домена можда нема материјал изведен из лозинке који је домену потребан, а промена или ресетовање лозинке га поново ствара. Тај детаљ објашњава класу неуспеха повезивања који изгледају као погрешне лозинке када је лозинка тачна. Тестирајте акредитив према домену пре него што се отвори прозор за одржавање.
Синхронизовани хибридни налози имају своје предуслове које видљив кориснички објекат сам не испуњава. Бити наведен у директоријуму није исто што и моћи добити тикет из њега, зато тестирајте налог пре прозора за одржавање, а не током њега.
Делегирајте право повезивања уско. Дати сваком будућем кориснику сервера чланство администратора домена да би се догодила једна регистрација је трајно одобрење за привремени проблем.
Само повезивање је једна команда
Када је модел изабран, DNS одговара и налог је подобан, операција је уобичајена Windows операција. Промпт држи лозинку изван скрипти и историје љуске:
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThruКоманда у овом облику сама не рестартује машину, па се рестарт дешава према плану одржавања и са још доступним путем опоравка. Сервер који је већ повезан са другим доменом треба план миграције, а не друго повезивање преко првог.
Забележите контејнер у који је објекат рачунара смештен и налог који га је створио. Оба су важна када машину треба поново повезати после преградње, и ниједно није очигледно са сервера касније.
Шта чланство не даје
Чланство у домену никога не чини локалним администратором и не даје приступ удаљеном радном столу или дељењу датотека. Та права се конфигуришу одвојено, и на управљаном домену остају у оквиру његовог подржаног административног обима.
Мрежни пут је трајна зависност, а не корак при подешавању. Ако приватна веза нестане, сервер наставља да ради са кешираним акредитивима док нечему не затреба директоријум, и тада квар долази у дневник апликације, а не поред конфигурације која се променила.
Упутство Microsoft-а за повезивање Windows Server-а наводи подржане предуслове за ток рада са управљаним доменом. Читајте га уз три одлуке горе и свако одступање третирајте као разлог да станете, а не као детаљ који треба заобићи.