Управление именами личного домена в Microsoft Entra ID

Обзор

Доменное имя является важной частью идентификатора ресурсов во многих Microsoft Entra развертываниях. Это часть имени пользователя или адреса электронной почты для пользователя, части адреса группы и иногда является частью URI идентификатора приложения для приложения. Ресурс в Microsoft Entra ID может включать доменное имя, принадлежащее организации Microsoft Entra (иногда называемому клиентом), которое содержит ресурс. Роль администратора имени домена является наименее привилегированной ролью, необходимой для управления доменами в Microsoft Entra ID.

Задайте основное доменное имя для вашей организации Microsoft Entra

При создании организации исходное доменное имя, например "contoso.onmicrosoft.com", также является основным доменным именем. Основной домен является доменным именем по умолчанию для нового пользователя при его создании. При установке основного доменного имени упрощается процесс создания пользователей на портале для администратора. Чтобы изменить основное доменное имя, выполните следующее.

  1. Войдите в Центр администрирования Microsoft Entra как минимум в роли Администратора имен доменов.

  2. Перейдите к Entra ID>Доменные имена

  3. Выберите Имена пользовательских доменов.

    Снимок экрана: открытие страницы управления пользователями.

  4. Выберите имя домена, который будет основным.

  5. Выберите команду Назначить основным. При появлении запроса подтвердите свой выбор.

    Скриншот назначения доменного имени основным.

Вы можете изменить основное доменное имя организации, чтобы оно было проверенным пользовательским доменом, который не является федеративным. Изменение основного домена для организации не изменяет имя пользователя для существующих пользователей.

Добавление пользовательских доменных имен в организацию Microsoft Entra

Можно добавить до 5000 имен управляемых доменов. Если вы настраиваете все домены для федерации с локальная служба Active Directory, вы можете добавить до 2500 доменных имен в каждой организации.

Добавление поддоменов для личного домена

Если вы хотите добавить в организацию имя поддомена, например europe.contoso.com, необходимо сначала добавить и проверить корневой домен, например contoso.com. Microsoft Entra ID автоматически проверяет поддомен. Чтобы убедиться, что добавленный поддомен проверен, обновите список доменов в браузере.

Если вы уже добавили домен contoso.com в одну организацию Microsoft Entra, можно также проверить поддомен europe.contoso.com в другой организации Microsoft Entra. При добавлении поддомена вам будет предложено добавить запись TXT в поставщике размещения сервера доменных имен (DNS).

Что делать, если вы изменили регистратор DNS для пользовательского доменного имени

При изменении регистраторов DNS другие задачи конфигурации в Microsoft Entra ID отсутствуют. Вы можете продолжать использовать доменное имя с Microsoft Entra ID без прерывания. Если вы используете имя личного домена с Microsoft 365, Intune или другими службами, которые используют пользовательские доменные имена в Microsoft Entra ID, ознакомьтесь с документацией по этим службам.

Удаление имени личного домена

Вы можете удалить имя личного домена из Microsoft Entra ID, если ваша организация больше не использует это доменное имя или если вам нужно использовать это доменное имя с другой Microsoft Entra организацией.

Перед удалением пользовательского доменного имени необходимо убедиться, что от него не зависят никакие ресурсы в вашей организации. Нельзя удалить доменное имя из организации, если:

  • Какой-либо пользователь имеет имя пользователя, электронный адрес или адрес прокси-сервера, которые включают это доменное имя.
  • Какая-либо группа имеет адрес электронной почты или адрес прокси-сервера, которые включают это доменное имя.
  • Любое приложение в Microsoft Entra ID имеет URI идентификатора приложения, который включает доменное имя.

Перед удалением имени личного домена необходимо изменить или удалить любой такой ресурс в организации Microsoft Entra.

Примечание.

Чтобы удалить личный домен, используйте учетную запись с по крайней мере ролью администратора доменных имен , основанной на домене по умолчанию (onmicrosoft.com) или другом личном домене (mydomainname.com).

Параметр ForceDelete

Вы можете ForceDelete доменное имя на портале Azure или использовать Microsoft API Graph. Эти параметры используют асинхронную операцию и обновляют все ссылки из имени личного домена, например "user@contoso.com" на начальное доменное имя по умолчанию, например "user@contoso.onmicrosoft.com".

Чтобы вызвать ForceDelete на портале Azure, необходимо убедиться, что существует менее 1000 ссылок на доменное имя. Все ссылки, где Exchange выступает в роли службы обслуживания, должны быть обновлены или удалены в Центре администрирования Exchange (EAC). Это включает группы безопасности с поддержкой Exchange Mail и группы рассылки. Дополнительные сведения см. в разделе Удаление групп безопасности с поддержкой почты. Кроме того, операция ForceDelete не выполняется, если выполнено одно из следующих условий:

  • Вы приобрели домен с помощью служб Microsoft 365 доменных подписок
  • Вы являетесь партнером, управляющим от имени другой клиентской организации.

Следующие действия выполняются как часть операции ForceDelete:

  • Переименовываются UPN, EmailAddress и ProxyAddress пользователей, содержащие ссылки на имя личного домена, в начальное доменное имя по умолчанию.
  • Переименовывает EmailAddress (электронный адрес) групп с ссылками на кастомное имя домена на начальное доменное имя по умолчанию.
  • Переименовывает идентификаторы URI (identifierUris) приложений, которые содержат ссылки на пользовательское имя домена, на начальное имя домена по умолчанию.
  • Отключает учетные записи пользователей, затронутые параметром ForceDelete в Центр администрирования Microsoft Entra и при необходимости при использовании API Graph.

Возвращается сообщение об ошибке, если:

  • Количество объектов, подлежащих переименованию, превышает 1000.
  • Одним из приложений, которые необходимо переименовать, является мультитенантное приложение

Рекомендации по гигиене домена

Используйте надежный регистратор, предоставляющий достаточное количество уведомлений об изменениях доменных имен, истечении срока регистрации, льготном периоде для доменов с истекшим сроком действия и обеспечивает высокий уровень безопасности для контроля доступа к конфигурации доменного имени и записям TXT. Сохраняйте свои доменные имена в актуальном состоянии с помощью регистратора и проверяйте записи TXT для точности.

  • Если вы намеренно истекаете срок действия доменного имени или передаете права владения другому пользователю (отдельно от вашего клиента Microsoft Entra), перед истечением срока действия или передачи необходимо удалить его из вашего Microsoft Entra клиента.
  • Если вы позволите сроку действия вашего доменного имени истечь, и если вам удастся его реактивировать или восстановить контроль над ним, внимательно проверьте все записи TXT у регистратора, чтобы убедиться, что ваш домен не подвергся изменениям.
  • Если вы не сможете повторно активировать или восстановить контроль над доменным именем немедленно, удалите его из клиента Microsoft Entra. Не читайте и не проверяйте повторно, пока не сможете подтвердить владение доменным именем и верифицировать полноту записи TXT.

Примечание.

Майкрософт не позволит проверить доменное имя с помощью нескольких Microsoft Entra клиента. После удаления доменного имени из клиента вы не сможете повторно добавить или повторно проверить его с помощью клиента Microsoft Entra, если он впоследствии добавлен и проверен с помощью другого клиента Microsoft Entra.

Часто задаваемые вопросы

Q: Почему удаление домена завершается ошибкой с сообщением, что на этом доменном имени есть группы, управляемые через Exchange?
A: Сегодня определенные группы, такие как группы безопасности с включенной функцией почты и распределенные списки, создаются в Exchange и требуют ручной очистки в Центре администрирования Exchange. Могут остаться ProxyAddresses, которые зависят от пользовательского доменного имени и должны быть обновлены вручную на другое доменное имя.

В. Войдя с использованием учетной записи пользователя admin@contoso.com, я не могу удалить доменное имя contoso.com?
A: Вы не можете указывать на настраиваемое доменное имя, которое вы пытаетесь удалить, в имени вашей учетной записи пользователя. Убедитесь, что учетная запись с ролью администратора доменных имен использует начальное доменное имя по умолчанию (onmicrosoft.com), например admin@contoso.onmicrosoft.com. Войдите с другой учетной записью, которая имеет по крайней мере роль администратора доменного имени , например admin@contoso.onmicrosoft.com другое имя личного домена, например "fabrikam.com", где находится admin@fabrikam.comучетная запись.

Вопрос: Я щелкнул кнопку "Удалить домен" и вижу статус In Progress для операции "Удалить". Сколько времени это занимает? Что произойдет, если операцию не удастся выполнить?
О. Операция удаления домена — это асинхронная фоновая задача, которая переименовывает все ссылки на доменное имя. Выполнение может занять до 24 часов. Если не удалось удалить домен, убедитесь, что у вас нет:

  • Приложения, настроенные на доменном имени с использованием appIdentifierURI
  • Любая группа с поддержкой электронной почты, ссылающаяся на имя пользовательского домена.
  • более 1000 ссылок на доменное имя.
  • Домен, который нужно удалить, задается в качестве основного домена организации.

Кроме того, обратите внимание, что параметр ForceDelete не будет работать, если домен использует федеративный тип проверки подлинности. В этом случае пользователи или группы в домене должны быть переименованы или удалены с помощью локальной Active Directory перед повторной попыткой удаления домена. Если вы обнаружите, что какие-либо условия не выполнены, вручную очистите ссылки и повторите попытку удалить домен.

Использование PowerShell или Microsoft API Graph для управления доменными именами

Большинство задач управления для доменных имен в Microsoft Entra ID также можно выполнить с помощью Майкрософт PowerShell или программно с помощью Майкрософт API Graph.

Следующие шаги

  • Last updated on