Azure Files en RODC

[Trommelrem]

In Azure heb ik een file share gemaakt. Deze is niet gekoppeld aan Azure Active Directory Domain Services, maar aan een klassieke Active Directory. Er staat geen gevoelige data op, maar de data moet wel beschikbaar zijn voor een legacy app. Om de data te benaderen moet de client een server met ADDS rol kunnen bereiken. Dus hebben we een testopstelling met VPN. VPN is natuurlijk een hoog risico, dus de testopstelling ziet er als volgt uit om de risico's te beperken:
• RODC in een apart subnet
• Alleen RODC mag praten met een van de DC's
• Always-on VPN (staat nog niet vast welke VPN, voor nu als test OpenVPN)
• Alleen route naar RODC, overige verkeer gaat gewoon direct over internet en niet over de VPN

De Azure File Share authenticeert alleen niet! Als de RODC wordt gedemote en wordt gepromote naar reguliere DC dan werkt de Azure File Share prima. Demote ik hem en promote ik hem weer naar RODC dan doet de file share het niet meer.

De computers zijn overigens Azure AD Joined en niet Active Directory joined. Dit moet echter geen probleem zijn:

If your machine is not domain joined to an AD DS, you may still be able to leverage AD credentials for authentication if your machine has line of sight of the AD domain controller.

Wat mis ik hier? Is een RODC simpelweg niet compatible met Azure Files? Ik kan dit niet terugvinden in de requirements.

[Trommelrem]

* schopje

De standaard tests, zoals TCP/445, heb ik al gedaan. Het is een known issue dat Ziggo geen volledig internet aanbiedt.

[Trommelrem]

* schopje

Iemand enig idee welke logbestanden ik kan bekijken om meer informatie te vinden?

[Trommelrem]

* schopje

[wagenveld]

Ik denk dat als er in de requirements niet expliciet een RODC als supported benoemd wordt, het niet gaat werken MS kennende.
Wat houdt je tegen om AAD te gebruiken? Je kunt in theorie ook een losse tenant gebruiken als je niet wil dat het in dezelfde directory komt.
Verder als je definitief antwoord wilt zul je denk ik door het support proces moeten. De PG voor Azure Files is super maar zie er eerst maar eens een ticket bij te krijgen ;-)

[Question Mark]

Trommelrem schreef op woensdag 23 juni 2021 @ 20:25:
* schopje

De standaard tests, zoals TCP/445, heb ik al gedaan. Het is een known issue dat Ziggo geen volledig internet aanbiedt.

Wat bedoel je hiermee? In de requirements staat dat er "line of sight" moet zijn tussen DC's en de Azure omgeving. Als jij al weet dat er noodzakelijke poorten geblokkeerd worden, dan heb je je antwoord toch al?

[ZeRoC00L]

Stomme vraag, maar heb je wel de computerobjecten (van de FileServer, en PC's) en de gebruikers die willen inloggen toegevoegd aan de replicatie naar de RODC ?