Build an AD domain on a Windows instance and join a client to the domain - Elastic Compute Service: Central de Documentação do Alibaba Cloud

Implante os Serviços de Domínio Active Directory (AD) no ECS para centralizar a verificação de identidade, a autorização e o controle de políticas.

Como funciona

Controlador de Domínio (DC): Executa os Serviços de Domínio Active Directory e o DNS. Atua como núcleo da autenticação e resolução do domínio. Requer um endereço IP privado estático para garantir a continuidade do serviço.
Cliente: Instância que ingressa no domínio. O servidor DNS aponta para o controlador de domínio, permitindo o gerenciamento de políticas de domínio e a verificação unificada de identidade.
Rede: O controlador de domínio e o cliente residem na mesma VPC e vSwitch, com comunicação pela rede privada.

Procedimento

Preparações

Crie duas instâncias ECS na mesma VPC: uma como controlador de domínio (DC) e outra como cliente. Este exemplo utiliza o Windows Server 2016 com as seguintes configurações:

Bloco CIDR da VPC: 172.31.0.0/16
IP do Controlador de Domínio (DC): 172.31.106.88 (IP privado estático)
IP do Cliente: 172.31.106.87 (IP privado estático)
Nome do domínio raiz: example.com

Importante

Não implante um novo controlador de domínio a partir de uma imagem personalizada de um controlador existente. Se necessário, garanta que a nova instância tenha o mesmo nome de host da source ou altere o nome de host após a criação.

Etapa 1: Implantar o controlador de domínio

Faça logon na instância ECS do controlador de domínio.
1. Acesse a página de Instâncias ECS. Selecione o grupo de recursos e a região da instância de destino.
2. Na página de detalhes da instância de destino, clique em Connect > Workbench. Defina o método de conexão como Terminal, insira seu nome de usuário e senha e faça logon.
Instale as funções de Serviços de Domínio AD e Servidor DNS.
1. Clique com o botão direito no ícone , clique em Run, insira servermanager.exe e pressione Enter para abrir o Server Manager. Clique em Add Roles And Features.
2. Nas páginas Installation Type e Server Selection, mantenha os padrões e clique em Next.
3. Na página Server Roles, selecione Active Directory Domain Services e DNS Server e confirme a adição.
  
  Os Serviços de Domínio AD dependem do DNS para resolução de nomes e localização de serviços. O instalador configure automaticamente o servidor DNS local e cria as zonas e registros DNS necessários. Se o DNS estiver em outro servidor, configure manualmente a delegação de zona, adicione registros DNS relacionados ao AD e garanta a conectividade de rede.
4. Clique em Next até chegar à página Install. Clique em Install. Após a conclusão da instalação, clique em Close.
Promova o servidor a controlador de domínio.

Após instalar as funções, promova o servidor a controlador de domínio.
1. No canto superior direito do Server Manager, clique no ícone de ponto de exclamação amarelo e selecione Promote this server to a domain controller.
2. Na página Deployment Configuration, selecione Add New Forest e defina o Root Domain, como example.com.
3. Na página Domain Controller Options, defina a senha do Modo de Restauração dos Serviços de Diretório (DSRM). Armazene essa senha com segurança, pois ela é usada para recuperação de desastres.
4. Na página DNS Options, clique em Next.
  
  Ignore o aviso de delegação. Ele aparece porque o assistente tenta contatar uma zona DNS pai, mas não existe zona pai para o domínio raiz de uma nova floresta. Isso não afeta a funcionalidade do controlador de domínio.
5. Na página Other Options, um nome de domínio NetBIOS (como EXAMPLE) é gerado automaticamente. Clique em Next.
6. Mantenha os padrões nas etapas restantes. Quando a Prerequisite Check for aprovada, clique em Install. O servidor reinicia automaticamente após a instalação.
Verifique o status do controlador de domínio.

Após a reinicialização, reconecte-se à instância. Clique com o botão direito no ícone , clique em Run, insira control system e pressione Enter. Verifique o nome do computador e o domínio. Se estiverem corretos, a instalação foi bem-sucedida.

Etapa 2: Ingressar o cliente no domínio AD

Após implantar o controlador de domínio, ingresse a instância cliente no domínio para gerenciamento centralizado.

Faça logon na instância ECS cliente.
1. Acesse a página de Instâncias ECS. Selecione o grupo de recursos e a região da instância de destino.
2. Acesse a página de detalhes da instância de destino. Clique em Connect > Workbench. Selecione Terminal, insira seu nome de usuário e senha e faça logon.
Configure o DNS do cliente.

Defina o endereço do servidor DNS do cliente como o endereço IP privado do controlador de domínio para permitir a resolução do domínio e a localização do DC.
1. Clique com o botão direito no ícone , clique em Run, insira ncpa.cpl e pressione Enter para abrir Conexões de Rede.
2. Clique com o botão direito em Ethernet > Properties. Selecione Internet Protocol Version 4 (TCP/IPv4) e clique em Properties. Selecione Use the following DNS server addresses e defina o endereço do servidor DNS como o IP do controlador de domínio informado na Etapa 1.
Ingresse o cliente no domínio.
1. Clique com o botão direito no ícone , clique em Run, insira control system e pressione Enter. Na área Computer name, domain, and workgroup settings, clique em Change settings.
2. Na página System Properties, clique em Change.
3. Na página Computer Name/Domain Change, insira as informações do domínio AD.
  
  Insira o nome do domínio raiz definido na Etapa 1: Implantar o controlador de domínio, por exemplo, example.com.
4. Reinicie o servidor para aplicar as alterações.
Verifique o status de ingresso no domínio.

Clique com o botão direito no ícone , clique em Run, insira control system e pressione Enter. Se o nome completo do computador e o nome do domínio incluírem o domínio raiz do AD, o cliente ingressou no domínio com sucesso.

Após configure o domínio AD e ingressar um cliente, você pode execute operações como criar usuários e unidades organizacionais. Consulte Visão geral dos Serviços de Domínio Active Directory .

Importante

Garanta que o controlador de domínio sempre use um endereço IP estático. Se o IP mudar, os clientes com o IP antigo em cache falharão ao se conectar, causando falhas na autenticação do domínio. Atualize manualmente a configuração do servidor DNS em todos os clientes para apontar para o novo endereço IP do controlador de domínio.

Perguntas frequentes

Como corrigir o erro "The security database on the server does not have a computer account for this workstation trust relationship"?

Causa: A relação de confiança entre a instância ECS membro do domínio e o Controlador de Domínio (DC) está quebrada. Motivos possíveis:

Recuperação de snapshot: A instância foi revertida para um snapshot antigo, fazendo com que a senha da máquina armazenada localmente não correspondesse à senha do AD.
Conflito de SID: Várias instâncias foram criadas a partir de uma imagem personalizada sem execute o Sysprep, resultando em nomes de computador duplicados ou conflitos de SID.
Status offline prolongado: A instância permaneceu desligada ou desconectada por mais de 30 dias, causando a expiração da senha da conta da máquina.
Exclusão acidental no AD: Um administrador redefiniu ou excluiu manualmente a conta do computador.

Solução:

Solução 1: Reparo rápido com PowerShell (Recomendado)Repara o canal seguro online sem sair do domínio.

Faça logon na instância ECS com uma conta de administrador local.

Execute o seguinte comando do PowerShell como administrador:

Test-ComputerSecureChannel -Repair -Credential (Get-Credential)

Na janela pop-up, insira as credenciais de administrador do domínio.
Verifique o resultado:
- Se retornar True, o reparo foi bem-sucedido. Reinicie a instância para restaurar o logon da conta de domínio.
- Se retornar False ou ocorrer um erro, prossiga para a Solução 2.

Solução 2: Sair e reingressar no domínio

Faça logon na instância ECS com uma conta de administrador local.
Saia do domínio:
1. Clique com o botão direito em Este Computador, selecione Properties > Change settings e clique em Change.
2. Altere a associação para Workgroup (por exemplo, WORKGROUP).
3. Insira as credenciais de administrador do domínio para confirme. Após o sucesso da operação, reinicie.
Redefina a conta do computador: No controlador de domínio, localize a conta do computador, clique com o botão direito nela e selecione Reset Account.
Reingresse no domínio:
1. Acesse novamente a janela Computer Name/Domain Changes.
2. Em Member of, selecione Domain e insira o nome do domínio.
3. Insira as credenciais de administrador do domínio para confirme. Após o sucesso da operação, reinicie.
Após a reinicialização, verifique se o erro foi resolvido.

O que fazer se o erro "The domain join cannot be completed because the SID of the domain you attempted to join was identical to the SID of this machine" aparecer ao ingressar um cliente em um domínio AD?

Causa: Várias instâncias ECS criadas a partir da mesma imagem personalizada compartilham o mesmo SID de computador e nome de computador. Quando uma instância se comunica com o controlador de domínio, outras instâncias com o mesmo SID causam conflitos, quebrando a relação de confiança.

Solução:

Use a ferramenta Preparação do Sistema Windows (Sysprep) para regenerar o SID.

Na instância ECS, localize Sysprep.exe, geralmente em C:\Windows\System32\Sysprep.
Execute Sysprep.exe como administrador, selecione a opção Generalize e clique em OK.
Após a reinicialização do sistema, o SID é regenerado. Tente ingressar no domínio AD novamente.