Развертывание прокси приложения Microsoft Entra для безопасного доступа к внутренним приложениям в управляемом домене доменных служб Майкрософт

С помощью доменных служб Microsoft Entra вы можете перенести устаревшие приложения, работающие в локальной среде в Azure. Затем прокси приложения Microsoft Entra помогает поддерживать удаленных работников, безопасно публикуя эти внутренние приложения, часть управляемого домена доменных служб, чтобы они могли быть доступны через Интернет.

Если вы не знакомы с прокси приложения Microsoft Entra и хотите узнать больше, см. статью "Как обеспечить безопасный удаленный доступ к внутренним приложениям".

В этой статье показано, как создать и настроить соединитель частной сети Microsoft Entra для обеспечения безопасного доступа к приложениям в управляемом домене.

Подготовка к работе

Для работы с этой статьей требуются следующие ресурсы и разрешения:

• Активная подписка Azure.
  • Если у вас еще нет подписки Azure, создайте учетную запись.
• Клиент Microsoft Entra, связанный с подпиской, либо синхронизирован с локальным каталогом или облачным каталогом.
  • При необходимости создайте клиент Microsoft Entra или свяжите подписку Azure с вашей учетной записью.
  • Лицензия Microsoft Entra ID P1 или P2 необходима для использования прокси приложения Microsoft Entra.
• Управляемый домен доменных служб Microsoft Entra включен и настроен в клиенте Microsoft Entra.
  • При необходимости создайте и настройте управляемый домен доменных служб Microsoft Entra.

Создание присоединенной к домену виртуальной машины Windows

Чтобы маршрутизировать трафик к приложениям, работающим в вашей среде, установите компонент соединителя частной сети Microsoft Entra. Этот соединитель частной сети Microsoft Entra должен быть установлен на виртуальной машине Windows Server, присоединенной к управляемому домену. Некоторые приложения позволяют развернуть несколько серверов, на каждом из которых установлен соединитель. Этот параметр развертывания обеспечивает более высокую доступность и позволяет обрабатывать более тяжелые нагрузки аутентификации.

Виртуальная машина, которая запускает соединитель частной сети Microsoft Entra, должна находиться в той же или одноранговой виртуальной сети, что и управляемый домен. Виртуальные машины, на которых затем размещаются приложения, публикуемые с помощью Application Proxy, также должны быть развернуты в той же виртуальной сети Azure.

Чтобы создать виртуальную машину для соединителя частной сети Microsoft Entra, выполните следующие действия.

1. Создайте настраиваемое подразделение. Вы можете делегировать разрешения, чтобы управлять настраиваемым подразделением пользователей в управляемом домене. Виртуальные машины для прокси приложения Microsoft Entra и запускаемые приложения должны быть частью настраиваемого подразделения, а не подразделения контроллера домена Майкрософт по умолчанию.
2. Присоединение к домену виртуальных машин, как для запуска соединителя частной сети Microsoft Entra, так и для запуска приложений в управляемом домене. Создайте учетные записи этих компьютеров в настраиваемом подразделении из предыдущего шага.

Скачивание соединителя частной сети Microsoft Entra

Выполните следующие действия, чтобы скачать соединитель частной сети Microsoft Entra. Скачанный файл установки копируется на виртуальную машину прокси приложения в следующем разделе.

1. Войдите в административный центр Microsoft Entra в роли как минимум администратора приложений.

2. Найдите и выберите Корпоративные приложения.

3. Выберите Application Proxy в меню в левой части окна. Чтобы создать первый соединитель и включить прокси приложения, выберите ссылку для скачивания соединителя.

4. На странице загрузки примите условия лицензионного соглашения и соглашения о конфиденциальности,а затем выберите Принять условия и скачать.

   

Установка и регистрация соединителя частной сети Microsoft Entra

С помощью виртуальной машины, готовой к использованию в качестве соединителя частной сети Microsoft Entra, теперь скопируйте и запустите файл установки, скачанный из Центра администрирования Microsoft Entra.

1. Скопируйте файл установки соединителя частной сети Microsoft Entra на виртуальную машину.

2. Запустите файл установки, например MicrosoftEntraPrivateNetworkConnectorInstaller.exe. Примите условия лицензионного соглашения.

3. Во время установки вам будет предложено зарегистрировать соединитель с помощью прокси приложения в каталоге Microsoft Entra.

   Примечание.

   Учетная запись, используемая для регистрации соединителя, должна принадлежать тому же каталогу, в котором включена служба прокси приложения.

   Например, если домен Microsoft Entra contoso.com, учетная запись должна быть admin@contoso.com или другим допустимым псевдонимом в этом домене.

   • Если на виртуальной машине, на который устанавливается соединитель, включена конфигурация усиленной безопасности Internet Explorer, экран регистрации может быть заблокирован. Чтобы разрешить доступ, следуйте инструкциям в сообщении об ошибке или отключите усиленную безопасность Internet Explorer во время установки.
   • Если не удается зарегистрировать соединитель, см. статью Устранение неполадок Application Proxy.

4. В конце установки для сред с исходящим прокси-сервером отображается примечание. Чтобы настроить соединитель частной сети Microsoft Entra для работы через исходящий прокси-сервер, запустите предоставленный скрипт, например C:\Program Files\Microsoft Entra private network connector\ConfigureOutBoundProxy.ps1.

5. На странице прокси приложения в Центре администрирования Microsoft Entra новый соединитель отображается с состоянием "Активный", как показано в следующем примере:

   

Включение ограниченного делегирования Kerberos на основе ресурсов

Если вы хотите использовать единый вход в приложения с помощью интегрированных проверка подлинности Windows (IWA), предоставьте соединителям частной сети Microsoft Entra разрешение на олицетворения пользователей и отправку и получение маркеров от их имени. Чтобы выдать такие разрешения, настройте ограниченное делегирование Kerberos (KCD) для соединителя, чтобы предоставлять доступ к ресурсам в управляемом домене. Так как у вас нет прав администратора управляемого домена, вы не можете настроить традиционные KCD на уровне учетной записи в управляемом домене. Вместо этого используйте KCD на основе ресурсов.

Дополнительные сведения см. в разделе "Настройка ограниченного делегирования Kerberos" (KCD) в доменных службах Microsoft Entra.

Используйте Get-ADComputer для получения параметров компьютера, на котором установлен соединитель частной сети Microsoft Entra. На виртуальной машине управления, присоединенной к домену, и войдите в систему в качестве учетной записи пользователя, которая входит в группу администраторов контроллера домена Майкрософт, выполните следующие командлеты.

В следующем примере показано, как получить сведения об учетной записи компьютера с именем appproxy.aaddscontoso.com. Укажите собственное имя компьютера для виртуальной машины прокси приложения Microsoft Entra, настроенной на предыдущих шагах.

$ImpersonatingAccount = Get-ADComputer -Identity appproxy.aaddscontoso.com

Для каждого сервера приложений, на котором выполняются приложения за прокси приложениями Microsoft Entra, используйте командлет Set-ADComputer PowerShell для настройки KCD на основе ресурсов. В следующем примере соединитель частной сети Microsoft Entra предоставляет разрешения на использование компьютера appserver.aaddscontoso.com :

Set-ADComputer appserver.aaddscontoso.com -PrincipalsAllowedToDelegateToAccount $ImpersonatingAccount

При развертывании нескольких соединителей частной сети Microsoft Entra необходимо настроить KCD на основе ресурсов для каждого экземпляра соединителя.

Следующие шаги

С помощью прокси приложения Microsoft Entra, интегрированного с доменными службами, опубликуйте приложения для доступа пользователей. Дополнительные сведения см. в статье "Публикация приложений с помощью прокси приложения Microsoft Entra".