เชื่อมต่อ VM ของ Azure กับ Entra Domain Services: ตัดสินใจก่อน
การตัดสินใจสามข้อมาก่อนการเชื่อมต่อ คือรูปแบบไดเรกทอรีที่เวิร์กโหลดต้องการ DNS ส่วนตัวที่แปลงโดเมน และบัญชีที่สามารถพิสูจน์ตัวตนได้
การตัดสินใจสามข้ออยู่เบื้องหน้า VM ของ Windows Server ที่ต้องใช้ไดเรกทอรีที่มีการจัดการ และคำสั่งเชื่อมต่อเป็นสิ่งที่เล็กที่สุดในนั้น เลือกรูปแบบไดเรกทอรีผิด การเชื่อมต่อสำเร็จแต่แอปพลิเคชันยังพิสูจน์ตัวตนไม่ได้ ถ้าแปลงชื่อผิด ความล้มเหลวจะปรากฏในจุดที่ดูเหมือนปัญหาเกี่ยวกับข้อมูลรับรอง
กำหนดรูปแบบ การแปลงชื่อ และบัญชีให้ชัดก่อนแตะเซิร์ฟเวอร์ แล้วคำสั่งจะทำงานเพียงครั้งเดียว
คุณต้องการการเชื่อมต่อแบบใดในสามแบบนี้จริง ๆ
การเชื่อมต่ออุปกรณ์ลงทะเบียนเครื่องกับ Microsoft Entra ID เพื่อการเข้าถึงตามเงื่อนไขและการลงชื่อเข้าใช้ครั้งเดียว และไม่ได้ให้ตั๋ว Kerberos แก่เวิร์กโหลดไปยังโดเมนสไตล์ภายในองค์กร การเชื่อมต่อโดเมนแบบดั้งเดิมผูกออบเจ็กต์คอมพิวเตอร์เข้าในไดเรกทอรีและให้บัญชีเครื่อง นโยบายกลุ่ม และการพิสูจน์ตัวตนของโดเมน โดเมนที่มีการจัดการให้รูปแบบที่สองนั้นเป็นบริการ ชื่อฟังดูคล้ายกันแต่ผลลัพธ์ไม่คล้าย
มีเพียงสองแบบหลังที่เกี่ยวข้องกับคอนโทรลเลอร์โดเมนในความหมายปกติ และมีเพียงตัวเลือกที่มีการจัดการเท่านั้นที่เอาต์เซิร์ฟเวอร์ออกจากรายการแพตช์ของคุณ
การตัดสินใจมักขึ้นกับแอปพลิเคชันไม่ใช่ความชอบ ซอฟต์แวร์ที่ต้องการการผูก LDAP บัญชีบริการที่มี SPN หรือออบเจ็กต์นโยบายกลุ่มจัดอยู่ในรูปแบบโดเมน ซอฟต์แวร์ที่เพียงต้องรู้ตัวตนของผู้ใช้บนอุปกรณ์องค์กรมักไม่อยู่ในรูปแบบนั้น
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
เส้นทาง DNS เป็นตัวตัดสินว่าการเชื่อมต่อจะเสร็จสิ้นได้หรือไม่
การเชื่อมต่อโดเมนเริ่มด้วยการค้นหาตัวระบุตำแหน่งของเรกคอร์ดคอนโทรลเลอร์ของโดเมน ดังนั้นการแปลงชื่อต้องทำงานก่อนการตรวจสอบข้อมูลรับรองใด ๆ ชี้ VM ไปยังที่อยู่ไดเรกทอรีของโดเมนที่มีการจัดการ ผ่านการตั้งค่า DNS ของเครือข่ายเสมือนหรือผ่านตัวส่งต่อแบบมีเงื่อนไขที่ส่งเฉพาะเนมสเปซนั้นไปที่นั่น ตัวส่งต่อที่จำกัดเฉพาะเนมสเปซมักเป็นทางเลือกที่ปลอดภัยกว่า เพราะปล่อยให้การแปลงชื่อส่วนที่เหลือของ VM อยู่ตามเดิม
ทดสอบตัวระบุตำแหน่งไม่ใช่แค่ชื่อโฮสต์เปล่า ๆ การปิงไปที่ชื่อโดเมนแทบไม่พิสูจน์อะไร ขณะที่คำถาม SRV สำหรับเรกคอร์ดคอนโทรลเลอร์โดเมนจะคืนค่าเป้าหมายที่คาดไว้หรือล้มเหลวทันที:
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53แทนที่ชื่อโดเมนและที่อยู่ทั้งสองด้วยค่าจากการกำหนดค่าของโดเมนที่มีการจัดการของคุณ ตัวเลขที่นี่เป็นตัวอย่าง หากคำถามคืนคำตอบของโซนอื่น แสดงว่า VM ใช้ตัวแปลงชื่อที่ไม่ส่งต่อเนมสเปซที่มีการจัดการ และการเชื่อมต่อจะไม่เปลี่ยนไม่ว่าจะลองซ้ำกี่ครั้ง
เก็บเวิร์กโหลดไว้นอกซับเน็ตที่โดเมนที่มีการจัดการสงวนไว้สำหรับทรัพยากรบริการของตนเอง และเก็บพอร์ตไดเรกทอรีไว้บนเส้นทางส่วนตัว การเปิดเผยพอร์ตเหล่านั้นต่อสาธารณะไม่ใช่ทางลัด แต่เป็นการออกแบบอื่นที่มีโปรไฟล์ความเสี่ยงอื่น
ความเหมาะสมของบัญชีถูกตรวจสอบก่อนเครื่อง
บัญชีที่ทำการเชื่อมต่อต้องได้รับอนุญาตให้สร้างออบเจ็กต์คอมพิวเตอร์ในคอนเทนเนอร์เป้าหมาย และต้องสามารถพิสูจน์ตัวตนกับโดเมนที่มีการจัดการได้ บัญชีคลาวด์เท่านั้นที่สร้างขึ้นก่อนโดเมนที่มีการจัดการจะมีอยู่อาจไม่มีวัสดุที่ได้มาจากรหัสผ่านซึ่งโดเมนต้องการ และการเปลี่ยนหรือรีเซ็ตรหัสผ่านจะสร้างมันขึ้นใหม่ รายละเอียดนี้อธิบายชั้นของความล้มเหลวในการเชื่อมต่อที่ดูเหมือนรหัสผ่านผิดเมื่อรหัสผ่านถูกต้อง ทดสอบข้อมูลรับรองกับโดเมนก่อนหน้าต่างซ่อมบำรุงจะเปิด
บัญชีไฮบริดที่ซิงค์แล้วมีเงื่อนไขเบื้องต้นของตัวเองที่ออบเจ็กต์ผู้ใช้ที่มองเห็นไม่สามารถตอบสนองได้ด้วยตัวเอง การอยู่ในรายการของไดเรกทอรีไม่เหมือนกับการสามารถรับตั๋วจากมันได้ ดังนั้นจงทดสอบบัญชีก่อนหน้าต่างซ่อมบำรุงไม่ใช่ระหว่างนั้น
มอบสิทธิ์การเชื่อมต่ออย่างแคบ การให้สมาชิกผู้ดูแลโดเมนแก่ผู้ใช้เซิร์ฟเวอร์ในอนาคตทุกคนเพื่อให้เกิดการลงทะเบียนครั้งเดียวคือการให้สิทธิ์ถาวรสำหรับปัญหาชั่วคราว
การเชื่อมต่อเองคือคำสั่งเดียว
เมื่อเลือกรูปแบบแล้ว DNS ตอบสนองและบัญชีเหมาะสม การดำเนินการคือการดำเนินการปกติของ Windows พรอมต์เก็บรหัสผ่านไว้นอกสคริปต์และประวัติเชลล์:
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThruคำสั่งในรูปแบบนี้ไม่ได้รีสตาร์ตเครื่องเอง ดังนั้นการรีสตาร์ตจึงเกิดขึ้นภายใต้แผนซ่อมบำรุงและยังมีเส้นทางกู้คืนอยู่ เซิร์ฟเวอร์ที่เชื่อมต่อกับโดเมนอื่นอยู่แล้วต้องมีแผนย้ายระบบ ไม่ใช่การเชื่อมต่อที่สองทับของเดิม
บันทึกคอนเทนเนอร์ที่ออบเจ็กต์คอมพิวเตอร์ไปลงและบัญชีที่สร้างมัน ทั้งสองอย่างสำคัญเมื่อต้องเชื่อมต่อเครื่องใหม่หลังการสร้างใหม่ และไม่มีอย่างใดที่เห็นได้ชัดจากเซิร์ฟเวอร์ในภายหลัง
สิ่งที่การเป็นสมาชิกไม่ได้ให้
การเป็นสมาชิกโดเมนไม่ได้ทำให้ใครเป็นผู้ดูแลระบบท้องถิ่น และไม่ได้ให้การเข้าถึงเดสก์ท็อประยะไกลหรือการแชร์ไฟล์ สิทธิ์เหล่านั้นถูกกำหนดแยกต่างหาก และบนโดเมนที่มีการจัดการสิทธิ์เหล่านั้นยังอยู่ในขอบเขตการบริหารที่รองรับ
เส้นทางเครือข่ายเป็นความขึ้นต่อเนื่องไม่ใช่ขั้นตอนการตั้งค่า หากการเชื่อมต่อส่วนตัวหายไป เซิร์ฟเวอร์จะทำงานต่อไปด้วยข้อมูลรับรองที่แคชไว้จนกว่าบางสิ่งจะต้องการไดเรกทอรี และจากนั้นความล้มเหลวจะมาถึงในบันทึกแอปพลิเคชันไม่ใช่ข้างการกำหนดค่าที่เปลี่ยนไป
คำแนะนำของ Microsoft สำหรับ การเชื่อมต่อ Windows Server ระบุเงื่อนไขเบื้องต้นที่รองรับสำหรับเวิร์กโฟลว์ของโดเมนที่มีการจัดการ อ่านเทียบกับการตัดสินใจสามข้อข้างต้น และถือความไม่สอดคล้องใด ๆ เป็นเหตุให้หยุดไม่ใช่รายละเอียดให้เลี่ยง