Offline domain join στο Active Directory

Από την εποχή των Windows 7 και του Windows Server 2008 R2, η Microsoft πρόσθεσε τη δυνατότητα του offline domain join στα εργαλεία των administrators.

Με λίγα λόγια, χρησιμοποιώντας το command-line εργαλείο djoin.exe έχετε τη δυνατότητα να δημιουργήσετε (provision) έναν υπολογιστή ή server στο Active Directory και έπειτα μέσω ενός κωδικοποιημένου αρχείου να τον εντάξετε στο domain χωρίς να υπάρχει απευθείας επικοινωνία του υπολογιστή/server με τον Domain Controller.

Offline domain join στο Active Directory

Η δυνατότητα του offline domain join χρησιμοποιείται κυρίως σε Direct Access υλοποιήσεις και σε unattended installations αλλά και σε περιπτώσεις όπου πχ. δεν υπάρχει ικανοποιητική συνδεσιμότητα μεταξύ ενός υποκαταστήματος (branch office) με τα κεντρικά με αποτέλεσμα να είναι δύσκολο το κλασικό ‘online’ domain join.

Συνοπτικά, η διαδικασία γίνεται ως εξής.

• Σε έναν Domain Controller τρέχουμε την κατάλληλη εντολή djoin /provision και αυτή παράγει ένα κωδικοποιημένο αρχείο txt.
• Αντιγράφουμε το αρχείο στον υπολογιστή ή server που πρόκειται να εντάξουμε στο domain και τρέχουμε την κατάλληλη εντολή djoin /requestODJ.
• Μετά την επανεκκίνηση του, θα έχει ολοκληρωθεί η διαδικασία ένταξης στο domain.

Ας δούμε λοιπόν πώς γίνεται στα παρακάτω βήματα. Για το παράδειγμα, έχω χρησιμοποιήσει τον Windows Server 2016 ως Domain Controller για τη δημιουργία του αρχείου και έναν RODC σε ένα υποκατάστημα aπου θα ενταχθεί στο domain.

Ρυθμίσεις στον Domain Controller

Σε έναν Domain Controller, ανοίξτε τη γραμμή εντολών (command prompt) με δικαιώματα διαχειριστή και πληκτρολογήστε την παρακάτω εντολή.

djoin /provision /domain "meraki.edu" /machine "MRK-KVA-RODC" /savefile C:\RODC.txt

Όπου,
στην παράμετρο /domain, πληκτρολογήστε το όνομα του AD domain
στην παράμετρο /machine, πληκτρολογήστε το όνομα υπολογιστή
στην παράμετρο /savefile, πληκτρολογήστε την τοποθεσία αποθήκευσης του αρχείου (.txt) στο δίσκο

Η διαδικασία δημιουργίας του αρχείου γίνεται άμεσα και ανοίγοντάς το μπορείτε να διαπιστώσετε ότι τα δεδομένα που περιέχει είναι κωδικοποιημένα.

Επίσης, μιας και έχει γίνει το provision του υπολογιστή στο Active Directory, μπορείτε να επιβεβαιώσετε ότι έχει δημιουργηθεί το αντικείμενο του υπολογιστή στο Computers container της κονσόλας Active Directory Users and Computers.

Ρυθμίσεις στον υπολογιστή / server

Στη συνέχεια, θα χρειαστεί να μεταφέρετε το αρχείο, που δημιουργήσατε προηγουμένως στον DC, στον υπολογιστή ή server που πρόκειται να εντάξετε στο domain. Στο παράδειγμά μας, το αρχείο υπάρχει στην τοποθεσία C:\RODC.txt.

Ανοίξτε ένα παράθυρο της γραμμής εντολών (command prompt) με δικαιώματα διαχειριστή και πληκτρολογήστε την παρακάτω εντολή.

djoin /requestODJ /loadfile C:\RODC.txt /windowspath %systemroot% /localos

όπου στην παράμετρο /loadfile, πληκτρολογήστε την τοποθεσία που βρίσκεται το αρχείο.
Οι υπόλοιπες παράμετροι παραμένουν ως έχουν.

Αν σας εμφανίζει το σφάλμα The offline domain join request failed. Error 0xa9d., τότε προσθέσετε το —% (δύο παύλες) μετά το djoin. Δηλαδή θα είναι κάπως έτσι.

djoin —% /requestODJ /loadfile C:\RODC.txt /windowspath %systemroot% /localos

Αφού τρέξετε την εντολή και ολοκληρωθεί με επιτυχία, θα χρειαστεί να επανεκκινήσετε τον υπολογιστή για να ολοκληρωθεί η διαδικασία του offline domain join.

Αυτό ήταν! Βέβαια, μη ξεχνάτε ότι για να συνδεθείτε με domain credentials χρειάζεται να υπάρχει σύνδεση με έναν DC ή RODC για να γίνει η επιβεβαίωσή τους. Διαφορετικά, αν ο υπολογιστής δεν έχει επικοινωνία μπορείτε να συνδεθείτε μόνο με τοπικό λογαριασμό χρήστη.