将 Azure VM 加入 Entra Domain Services：先做决定
加入之前有三个决定：工作负载需要的目录模型、解析域名的专用 DNS，以及能够通过身份验证的帐户。
在必须使用托管目录的 Windows Server VM 面前有三个决定，而加入命令是其中最小的一个。目录模型选错，加入会成功，但应用程序仍然无法通过身份验证。名称解析出错，故障会出现在看起来像凭据问题的地方。
在碰服务器之前先定下模型、解析方式和帐户，命令就只需跑一次。
三种加入里你真正想要哪一种
设备加入会把计算机注册到 Microsoft Entra ID，用于条件访问和单一登录，它不会给工作负载任何通往本地式域的 Kerberos 票证。传统域加入会把计算机对象绑定到目录中，并赋予它机器帐户、组策略和域身份验证。托管域以服务形式提供第二种模型。名称听起来相似，结果并不相似。
只有后两种涉及通常意义上的域控制器，也只有托管选项能把服务器从你的补丁清单里拿掉。
决定通常取决于应用程序，而不是个人偏好。需要 LDAP 绑定、带 SPN 的服务帐户或组策略对象的软件属于域模型。只需要知道公司设备上用户身份的软件通常不属于。
| Model | What the server gets | Where it appears |
|---|---|---|
| Entra device join | Device identity and conditional access signals | Microsoft Entra ID |
| Managed domain join | Machine account, Kerberos, group policy | The managed directory |
| Self-hosted AD DS | The same, plus every controller you operate | Your own forest |
DNS 路径决定加入能否完成
域加入从查找域控制器记录的定位器开始，所以在检查任何凭据之前，名称解析必须先能工作。把 VM 指向托管域的目录地址，可以通过虚拟网络的 DNS 设置，也可以通过只把该命名空间转发过去的条件转发器。限定在该命名空间内的转发器通常更安全，因为它不动 VM 其余的解析。
要测试定位器，而不是裸主机名。对域名做 ping 几乎证明不了什么，而针对域控制器记录的 SRV 查询要么返回预期目标，要么立刻失败：
Resolve-DnsName -Name "_ldap._tcp.dc._msdcs.ds.corp.example" -Type SRV -Server 10.20.0.4
Test-NetConnection -ComputerName 10.20.0.4 -Port 53把域名和两个地址换成你托管域配置里的值；这里的数字只是示例。如果查询返回的是另一个区域的答案，说明 VM 使用的解析器没有转发该托管命名空间，重试加入多少次都不会改变。
把工作负载放在托管域为其自身服务资源保留的子网之外，并让目录端口留在专用路径上。公开暴露这些端口不是捷径；那是另一种风险配置的设计。
帐户资格在机器之前就被检查
执行加入的帐户需要有权在目标容器中创建计算机对象，并且必须能够对托管域进行身份验证。在托管域存在之前创建的纯云帐户可能缺少域所需的、由密码派生的材料，而更改或重置密码会重新生成它。这个细节解释了一类在密码正确时看起来像密码错误的加入失败。在维护窗口打开之前，先对域测试凭据。
已同步的混合帐户有自己的前提条件，一个可见的用户对象本身满足不了。被列在目录里不等于能从中取得票证，所以要在维护窗口之前测试帐户，而不是在窗口期间。
加入权限要授予得很窄。为了让一次注册发生，给未来每个服务器用户都加上域管理员成员身份，是为临时问题做出的永久授权。
加入本身只有一条命令
模型选定、DNS 有响应、帐户合格之后，操作就是普通的 Windows 操作。提示符会让密码不进入脚本和 shell 历史：
Add-Computer -DomainName "ds.corp.example" -Credential (Get-Credential) -PassThru这种形式的命令不会自行重启机器，所以重启发生在维护计划之下，并且恢复路径仍然可用。已经加入另一个域的服务器需要迁移方案，而不是在第一次之上再做一次加入。
记下计算机对象落入的容器和创建它的帐户。重建之后需要重新加入时，这两者都重要，而事后从服务器上哪一项都看不出来。
成员身份不授予什么
域成员身份不会让任何人成为本地管理员，也不会授予远程桌面或文件共享访问权。这些权限要单独配置，而在托管域上它们仍处于其支持的管理范围内。
网络路径是持续的依赖，而不是一个安装步骤。如果专用连接消失，服务器会带着缓存的凭据继续运行，直到某个东西需要目录，那时故障会出现在应用程序日志里，而不是出现在被改动的配置旁边。
Microsoft 的 Windows Server 加入指南 列出了托管域工作流所支持的前提条件。对照上面三个决定来读它，把任何不一致当作停下来的理由，而不是绕过去的细节。