Kết nối máy ảo Azure với Entra Domain Services: hãy quyết định trước

Ba quyết định đứng trước một máy ảo Windows Server phải dùng thư mục được quản lý, và lệnh kết nối là quyết định nhỏ nhất trong số đó. Chọn sai mô hình thư mục thì việc kết nối thành công trong khi ứng dụng vẫn không thể xác thực. Làm sai phân giải tên thì lỗi xuất hiện ở điểm trông như vấn đề thông tin xác thực.

Chốt mô hình, phân giải và tài khoản trước khi chạm vào máy chủ, sau đó lệnh chỉ chạy một lần.

Bạn thực sự muốn kiểu kết nối nào trong ba kiểu

Kết nối thiết bị đăng ký một máy với Microsoft Entra ID để dùng truy cập có điều kiện và đăng nhập một lần, và nó không cấp cho khối lượng công việc vé Kerberos tới một miền theo kiểu nội bộ. Kết nối miền truyền thống ràng buộc một đối tượng máy tính vào thư mục và cấp cho nó tài khoản máy, chính sách nhóm và xác thực miền. Miền được quản lý cung cấp mô hình thứ hai đó dưới dạng dịch vụ. Tên nghe giống nhau còn kết quả thì không.

Chỉ hai kiểu cuối liên quan đến bộ điều khiển miền theo nghĩa thông thường, và chỉ tùy chọn được quản lý mới đưa máy chủ ra khỏi danh sách vá của bạn.

Quyết định thường phụ thuộc vào ứng dụng chứ không phải sở thích. Phần mềm muốn liên kết LDAP, tài khoản dịch vụ có SPN hoặc đối tượng chính sách nhóm thuộc mô hình miền. Phần mềm chỉ cần biết danh tính người dùng trên thiết bị doanh nghiệp thường không thuộc.

Đường DNS quyết định việc kết nối có thể hoàn tất hay không

Kết nối miền bắt đầu bằng việc tra cứu bộ định vị các bản ghi bộ điều khiển của miền, nên phân giải tên phải hoạt động trước khi bất kỳ thông tin xác thực nào được kiểm tra. Chỉ máy ảo tới địa chỉ thư mục của miền được quản lý, qua cài đặt DNS của mạng ảo hoặc qua bộ chuyển tiếp có điều kiện chỉ gửi không gian tên đó tới đó. Bộ chuyển tiếp giới hạn trong không gian tên thường là lựa chọn an toàn hơn, vì nó để phần phân giải còn lại của máy ảo yên.

Hãy thử bộ định vị chứ không phải một tên máy trần. Ping tới tên miền hầu như không chứng minh gì, trong khi truy vấn SRV cho các bản ghi bộ điều khiển miền hoặc trả về đích mong đợi hoặc thất bại ngay:

Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53

Thay tên miền và hai địa chỉ bằng giá trị từ cấu hình miền được quản lý của bạn; các con số ở đây là ví dụ. Nếu truy vấn trả về câu trả lời của vùng khác, máy ảo đang dùng bộ phân giải không chuyển tiếp không gian tên được quản lý, và việc lặp lại kết nối bao nhiêu lần cũng không thay đổi điều đó.

Giữ khối lượng công việc ngoài mạng con mà miền được quản lý dành riêng cho tài nguyên dịch vụ của nó, và giữ các cổng thư mục trên đường riêng. Việc phơi các cổng đó ra công khai không phải lối tắt; đó là một thiết kế khác với cấu hình rủi ro khác.

Tính hợp lệ của tài khoản được kiểm tra trước máy

Tài khoản thực hiện kết nối cần quyền tạo đối tượng máy tính trong thùng chứa đích, và nó phải xác thực được với miền được quản lý. Một tài khoản chỉ trên đám mây được tạo trước khi miền được quản lý tồn tại có thể thiếu vật liệu dẫn xuất từ mật khẩu mà miền cần, và việc đổi hoặc đặt lại mật khẩu sẽ tạo lại nó. Chi tiết đó giải thích một nhóm lỗi kết nối trông như sai mật khẩu khi mật khẩu đúng. Hãy thử thông tin xác thực với miền trước khi cửa sổ bảo trì mở.

Các tài khoản lai được đồng bộ có điều kiện tiên quyết riêng mà một đối tượng người dùng hiển thị không tự mình đáp ứng. Được liệt kê trong thư mục không giống với việc lấy được vé từ đó, nên hãy thử tài khoản trước cửa sổ bảo trì chứ không phải trong lúc đó.

Ủy quyền quyền kết nối một cách hẹp. Cấp cho mọi người dùng máy chủ tương lai tư cách thành viên quản trị viên miền để một lần đăng ký diễn ra là một khoản cấp vĩnh viễn cho một vấn đề tạm thời.

Bản thân việc kết nối là một lệnh

Khi đã chọn mô hình, DNS trả lời và tài khoản hợp lệ, thao tác là thao tác Windows thông thường. Lời nhắc giữ mật khẩu ngoài các tập lệnh và lịch sử shell:

Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru

Lệnh ở dạng này không tự khởi động lại máy, nên việc khởi động lại diễn ra theo kế hoạch bảo trì và vẫn còn đường phục hồi. Máy chủ đã kết nối với miền khác cần một kế hoạch di trú, chứ không phải lần kết nối thứ hai chồng lên lần đầu.

Ghi lại thùng chứa nơi đối tượng máy tính đáp xuống và tài khoản đã tạo ra nó. Cả hai đều quan trọng khi phải kết nối lại máy sau khi dựng lại, và sau đó không cái nào hiển nhiên từ máy chủ.

Điều mà tư cách thành viên không cấp

Tư cách thành viên miền không biến ai thành quản trị viên cục bộ và không cấp quyền truy cập desktop từ xa hay chia sẻ tệp. Những quyền đó được cấu hình riêng, và trên miền được quản lý chúng nằm trong phạm vi quản trị được hỗ trợ.

Đường mạng là phụ thuộc liên tục chứ không phải bước thiết lập. Nếu kết nối riêng biến mất, máy chủ tiếp tục chạy với thông tin xác thực được lưu trong bộ nhớ đệm cho tới khi thứ gì đó cần thư mục, và khi đó lỗi đến trong nhật ký ứng dụng chứ không phải bên cạnh cấu hình đã thay đổi.

Hướng dẫn của Microsoft về kết nối Windows Server liệt kê các điều kiện tiên quyết được hỗ trợ cho quy trình miền được quản lý. Hãy đọc nó đối chiếu với ba quyết định ở trên, và coi mọi sai lệch là lý do dừng lại chứ không phải chi tiết để lách.