Что такое доменные службы Microsoft Entra?

Microsoft Entra Domain Services предоставляет такие управляемые доменные службы, как присоединение к домену, групповая политика, протокол LDAP и проверка подлинности Kerberos/NTLM. Эти доменные службы используются без необходимости развертывать, управлять и исправлять контроллеры домена (DCS) в облаке.

Используйте доменные службы для поддержки устаревших приложений, которые зависят от протоколов Active Directory Domain Services (AD DS) и не могут быть легко изменены для использования современной проверки подлинности. Выполнив эти приложения в управляемом домене в Azure, вы можете поднять и переместить зависимые от AD рабочие нагрузки в облако без расширения или эксплуатации локальной инфраструктуры AD DS в Azure.

Доменные службы интегрируются с Microsoft Entra ID, которая выступает в качестве источника полномочий для пользователей, групп и учетных данных. Эта интеграция позволяет пользователям входить в приложения и службы, подключенные к управляемому домену, с помощью существующих удостоверений, позволяя централизованно управлять удостоверениями в Microsoft Entra ID.

Ознакомьтесь с нашим коротким видео, чтобы узнать больше о Microsoft Entra доменных службах.

Когда следует использовать доменные службы Microsoft Entra

Доменные службы помогают организациям запускать приложения или рабочие нагрузки, которые по-прежнему зависят от протоколов AD DS, для модернизации идентификации и управления доступом с помощью Microsoft Entra ID.

В следующих сценариях следует использовать доменные службы:

• Устаревшие приложения, перенесенные по методу lift-and-shift: У вас есть приложения, работающие в локальной среде, которые зависят от протоколов LDAP, Kerberos, NTLM, групповой политики (Group Policy) или присоединения к домену. Вы хотите переместить эти рабочие нагрузки в облако, но избежать их переопределения для поддержки современной проверки подлинности, такой как OIDC или OAuth.
• Уменьшите локальный объем ресурсов: Ваша организация хочет переместить рабочие нагрузки в облако и удалить локальное оборудование. Вместо поддержания VPN-подключения типа "сеть — сеть" исключительно для трафика проверки подлинности в локальную службу AD DS можно использовать управляемый домен в Azure.
• Реализуйте стратегию с минимальным использованием AD: Вы используете облачную стратегию, в которой Microsoft Entra ID является основным поставщиком удостоверений. Доменные службы поддерживают оставшиеся устаревшие рабочие нагрузки, зависящие от AD DS, и не требуют расширения старых артефактов AD DS в Azure.
• Изолируйте устаревшие рабочие нагрузки: Вы хотите сохранить рабочие нагрузки, зависимые от AD DS, в Azure, в то время как новые приложения напрямую используют Microsoft Entra ID.
• Поддержка устаревших версий только в облаке: Вы являетесь облачной организацией без локальных доменных служб AD DS, но у вас есть определенные сторонние приложения, которые по-прежнему требуют протокола LDAP или традиционного присоединения к домену. Доменные службы устраняют этот разрыв, не заставляя создавать полную инфраструктуру AD DS.

Доменные службы можно использовать в качестве переходной возможности для рабочих нагрузок, размещенных в Azure, требующих устаревшей проверки подлинности, а не в качестве замены локальной службы Active Directory или как замену облачных служб удостоверений.

Дополнительные сведения об этих сценариях см. в статье Common use-cases and scenarios for Microsoft Entra Domain Services.

Службы домена Microsoft Entra в облачном путешествии

Доменные службы Entra помогают достичь цели "минимизация AD (Active Directory)" — снизить зависимость от устаревшей инфраструктуры удостоверений в пользу современных облачных удостоверений, таких как Entra ID.

Доменные службы Entra выступают в качестве моста на этом пути.

• Современные приложения: Новые облачные приложения должны использовать идентификатор Entra.
• Legacy apps: Старые приложения, которые невозможно легко модернизировать, работают в Azure, используя доменные службы Entra.

Этот подход позволяет избежать сложности и бремени, связанного с безопасностью, при ручном развертывании и управлении контроллерами домена AD на виртуальных машинах Azure (IaaS). Используя доменные службы, вы получаете совместимость, необходимую для устаревших приложений, сохраняя централизованное управление удостоверениями в идентификаторе Entra.

Дополнительные сведения о рекомендуемом подходе Майкрософт см. в статье о настройке преобразования в облаке.

Как работают доменные службы Microsoft Entra?

При создании управляемого домена доменных служб определяется уникальное пространство имен, например dscontoso.com. Два контроллера домена Windows Server развертываются в выбранном регионе Azure в составе набора реплик.

Эти контроллеры домена полностью управляются корпорацией Майкрософт. Вам не нужно настраивать, устанавливать исправления или отслеживать их. Платформа обеспечивает доступность, создание резервных копий и шифрование данных в состоянии покоя.

Управляемый домен настроен для односторонней синхронизации из Microsoft Entra ID. Пользователи, группы и учетные данные из Microsoft Entra ID предоставляются в управляемом домене, чтобы приложения, службы и виртуальные машины в Azure могли использовать знакомые возможности AD DS, такие как присоединение к домену, групповая политика, LDAP и проверка подлинности Kerberos/NTLM.

В гибридных средах сведения об удостоверениях из локальной службы AD DS синхронизируются с Microsoft Entra ID, а затем предоставляются управляемому домену.

Доменные службы работают как с облачными тенантами Microsoft Entra, так и с теми, которые синхронизированы с локальной средой AD DS. Один и тот же набор возможностей управляемого домена доступен в обоих сценариях.

Можно также развернуть несколько наборов реплик в Azure регионах для повышения доступности и поддержки сценариев аварийного восстановления для устаревших приложений. Дополнительные сведения см. в разделе Концепции и функции наборов реплик для управляемых доменов.

Microsoft Entra функции и преимущества доменных служб

Чтобы предоставить службы удостоверений приложениям и виртуальным машинам в облаке, доменные службы полностью совместимы с традиционной средой AD DS для таких операций, как присоединение к домену, защита LDAP (LDAPS), групповая политика, управление DNS и поддержка привязки LDAP и поддержки чтения. Поддержка записи LDAP доступна для объектов, созданных в управляемом домене, но не для ресурсов, синхронизированных с Microsoft Entra ID.

Следующие функции доменных служб упрощают операции развертывания и управления.

• Упрощённый процесс развертывания: Доменные службы включаются для вашего клиента Microsoft Entra с помощью единого мастера в центре администрирования Microsoft Entra.
• Интеграция с помощью Microsoft Entra ID: Учетные записи пользователей, членство в группах и учетные данные доступны автоматически из Microsoft Entra ID. Новые пользователи, группы или изменения атрибутов из клиента Microsoft Entra или локальной среды AD DS автоматически синхронизируются с доменными службами.
  • Учетные записи во внешних каталогах, связанных с Microsoft Entra ID, недоступны в доменных службах. Учетные данные недоступны для этих внешних каталогов, поэтому их невозможно синхронизировать с управляемым доменом.
• Использовать корпоративные учетные данные/пароли: Пароли для пользователей в доменных службах совпадают с вашим клиентом Microsoft Entra. Пользователи могут использовать свои корпоративные учетные данные для компьютеров, присоединенных к домену, входить в систему в интерактивном режиме или через удаленный рабочий стол и проходить проверку подлинности в управляемом домене.
• Support для проверки подлинности NTLM и Kerberos: С поддержкой проверки подлинности NTLM и Kerberos можно развернуть приложения, использующие Windows встроенную проверку подлинности.
• Встроенная высокая доступность: Доменные службы включают несколько контроллеров домена, которые обеспечивают высокий уровень доступности для управляемого домена. Эта высокая доступность гарантирует бесперебойную работу службы и устойчивость к сбоям.
  • В регионах, поддерживающих Azure Availability Zones, эти контроллеры домена также распределяются по зонам для дополнительной устойчивости.
• Аварийное восстановление: Используйте наборы реплик для обеспечения географического аварийного восстановления.

Управляемый домен является автономным доменом и не является расширением локального домена. При необходимости можно настроить отношения доверия леса с локальными средами AD DS для поддержки сценария гибридного доступа.

Чтобы узнать больше о параметрах удостоверений, сравните Domain Services с Microsoft Entra ID, AD DS на виртуальных машинах Azure и локальных доменных службах AD DS.

Дальнейшие действия

Дополнительные сведения о сравнении доменных служб с другими решениями для идентификации и о том, как работает синхронизация, см. в следующих статьях:

• Сравните доменные службы с Microsoft Entra ID, Active Directory Domain Services на виртуальных машинах Azure и Active Directory Domain Services в локальной среде
• Узнайте, как службы Microsoft Entra Domain Services синхронизируются с вашим каталогом Microsoft Entra
• Сведения об администрировании управляемого домена см. в разделе концепции управления учетными записями пользователей, паролями и администрированием в доменных службах.

Чтобы приступить к работе, создайте управляемый домен с помощью центра администрирования Microsoft Entra.