Bir Azure VM'ini Entra Domain Services'e katma: önce karar verin
Katılmadan önce üç karar var: iş yükünün ihtiyaç duyduğu dizin modeli, etki alanını çözen özel DNS ve kimlik doğrulayabilen bir hesap.
Yönetilen bir dizin kullanması gereken bir Windows Server VM'inin önünde üç karar vardır ve katılma komutu bunların en küçüğüdür. Yanlış dizin modelini seçin, katılma başarılı olur ama uygulama yine de kimlik doğrulayamaz. Ad çözümlemesini yanlış yapın, hata kimlik bilgisi sorunu gibi görünen bir noktada ortaya çıkar.
Sunucuya dokunmadan önce modeli, çözümlemeyi ve hesabı belirleyin, sonra komut bir kez çalışır.
Üç katılmadan hangisini gerçekten istiyorsunuz
Cihaz katılması bir makineyi koşullu erişim ve tek oturum açma için Microsoft Entra ID'ye kaydeder ve iş yüküne yerel tarzda bir etki alanına Kerberos bileti vermez. Geleneksel etki alanı katılması bir bilgisayar nesnesini dizine bağlar ve ona makine hesabı, grup ilkesi ve etki alanı kimlik doğrulaması verir. Yönetilen etki alanı bu ikinci modeli hizmet olarak sunar. Adlar benzer kulağa gelir, sonuçlar gelmez.
Yalnızca son ikisi olağan anlamda bir etki alanı denetleyicisi içerir ve yalnızca yönetilen seçenek sunucuları yama listenizden çıkarır.
Karar genellikle tercihe değil uygulamaya bağlıdır. LDAP bağlaması, SPN'li bir hizmet hesabı veya grup ilkesi nesneleri isteyen yazılım etki alanı modeline aittir. Kurumsal bir cihazda kullanıcının kimliğini bilmesi yeterli olan yazılım genellikle ait değildir.
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
Katılmanın tamamlanıp tamamlanamayacağını DNS yolu belirler
Etki alanı katılması, etki alanının denetleyici kayıtları için bir konum bulucu aramasıyla başlar, bu yüzden ad çözümlemesi herhangi bir kimlik bilgisi denetlenmeden önce çalışmalıdır. VM'i yönetilen etki alanının dizin adreslerine yönlendirin; bunu sanal ağın DNS ayarlarıyla ya da yalnızca o ad alanını oraya gönderen koşullu bir ileticiyle yapın. Ad alanıyla sınırlı bir iletici genellikle daha güvenli seçimdir, çünkü VM'in geri kalan çözümlemesini rahat bırakır.
Çıplak bir ana bilgisayar adı değil, konum bulucuyu test edin. Etki alanı adına ping neredeyse hiçbir şeyi kanıtlamaz, oysa denetleyici kayıtları için bir SRV sorgusu ya beklenen hedefleri döndürür ya da hemen başarısız olur:
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53Etki alanı adını ve iki adresi yönetilen etki alanı yapılandırmanızdaki değerlerle değiştirin; buradaki sayılar örnektir. Sorgu başka bir bölgenin yanıtlarını döndürürse, VM yönetilen ad alanını iletmeyen bir çözümleyici kullanıyordur ve katılmayı kaç kez yinelerseniz yineleyin bu değişmez.
İş yükünü yönetilen etki alanının kendi hizmet kaynakları için ayırdığı alt ağın dışında tutun ve dizin bağlantı noktalarını özel yolda tutun. Bu bağlantı noktalarını herkese açmak bir kısayol değildir; farklı risk profiline sahip farklı bir tasarımdır.
Hesabın uygunluğu makineden önce denetlenir
Katılmayı gerçekleştiren hesabın hedef kapsayıcıda bir bilgisayar nesnesi oluşturma iznine ihtiyacı vardır ve yönetilen etki alanına kimlik doğrulayabilmelidir. Yönetilen etki alanı var olmadan önce oluşturulmuş yalnızca bulut hesabı, etki alanının ihtiyaç duyduğu paroladan türetilen malzemeden yoksun olabilir ve parola değişikliği ya da sıfırlama onu yeniden üretir. Bu ayrıntı, parola doğruyken yanlış parola gibi görünen bir katılma hatası sınıfını açıklar. Bakım penceresi açılmadan önce kimlik bilgisini etki alanına karşı test edin.
Eşitlenmiş karma hesapların, görünür bir kullanıcı nesnesinin tek başına karşılamadığı kendi ön koşulları vardır. Dizinde listelenmek, oradan bilet alabilmekle aynı değildir, bu yüzden hesabı bakım penceresi sırasında değil, öncesinde test edin.
Katılma hakkını dar bir şekilde devredin. Tek bir kayıt gerçekleşsin diye gelecekteki her sunucu kullanıcısına etki alanı yöneticisi üyeliği vermek, geçici bir sorun için kalıcı bir izindir.
Katılmanın kendisi tek bir komuttur
Model seçilmiş, DNS yanıtlıyor ve hesap uygunsa işlem olağan Windows işlemidir. İstem, parolayı betiklerin ve kabuk geçmişinin dışında tutar:
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThruKomut bu biçimde makineyi kendiliğinden yeniden başlatmaz, bu yüzden yeniden başlatma bakım planı kapsamında ve kurtarma yolu hâlâ kullanılabilirken gerçekleşir. Başka bir etki alanına zaten katılmış bir sunucu geçiş planı gerektirir, birincinin üzerine ikinci bir katılma değil.
Bilgisayar nesnesinin düştüğü kapsayıcıyı ve onu oluşturan hesabı not edin. Yeniden yapılandırmadan sonra makinenin yeniden katılması gerektiğinde ikisi de önemlidir ve hiçbiri sonradan sunucudan açık değildir.
Üyeliğin vermediği şeyler
Etki alanı üyeliği kimseyi yerel yönetici yapmaz ve uzak masaüstüne ya da dosya paylaşımlarına erişim vermez. Bu haklar ayrı yapılandırılır ve yönetilen bir etki alanında desteklenen yönetim kapsamı içinde kalır.
Ağ yolu kurulum adımı değil, süregelen bir bağımlılıktır. Özel bağlantı kaybolursa sunucu önbelleğe alınmış kimlik bilgileriyle çalışmayı sürdürür, ta ki bir şey dizine ihtiyaç duyana kadar, ve sonra hata değişen yapılandırmanın yanında değil uygulama günlüğünde gelir.
Microsoft'un Windows Server katılma kılavuzu yönetilen etki alanı iş akışı için desteklenen ön koşulları listeler. Yukarıdaki üç karara karşı okuyun ve her tutarsızlığı atlatılacak bir ayrıntı değil durma nedeni olarak görün.