Руководство. Создание и настройка управляемого домена доменных служб Microsoft Entra

Доменные службы Microsoft Entra предоставляют управляемые доменные службы, такие как присоединение к домену, групповая политика, LDAP, проверка подлинности Kerberos/NTLM, полностью совместимая с Windows Server Active Directory. Эти доменные службы можно использовать без необходимости развертывать, администрировать и обновлять контроллеры домена. Доменные службы интегрируются с существующим клиентом Microsoft Entra. Такая интеграция позволяет пользователям входить в систему с корпоративными учетными данными. При этом вы можете использовать существующие группы и учетные записи пользователей для защиты доступа к ресурсам.

Вы можете создать управляемый домен, используя параметры конфигурации по умолчанию для сетевых подключений и синхронизации, или вручную определить эти параметры. В этом руководстве показано, как использовать параметры по умолчанию для создания и настройки управляемого домена доменных служб с помощью Центра администрирования Microsoft Entra.

В этом руководстве описано следующее:

Если у вас еще нет подписки Azure, создайте учетную запись, прежде чем начинать работу.

Необходимые компоненты

Для работы с этим учебником требуются следующие ресурсы и разрешения:

• Активная подписка Azure.
  • Если у вас еще нет подписки Azure, создайте учетную запись.
• Клиент Microsoft Entra, связанный с подпиской, либо синхронизирован с локальным каталогом или облачным каталогом.
  • При необходимости создайте клиент Microsoft Entra или свяжите подписку Azure с вашей учетной записью.
• Для включения доменных служб в клиенте требуются роли Microsoft Entra Администратор istrator и группы Администратор istrator Microsoft.
• Для создания необходимых ресурсов доменных служб требуется роль участника доменных служб Azure.
• Виртуальная сеть с DNS-серверами, которые могут запрашивать необходимую инфраструктуру, например хранилище. DNS-серверы, которые не могут выполнять общие интернет-запросы, могут блокировать возможность создания управляемого домена.

Хотя не требуется для доменных служб, рекомендуется настроить самостоятельный сброс пароля (SSPR) для клиента Microsoft Entra. Пользователи могут менять свой пароль без SSPR. Однако SSPR помогает в случае, если они забыли пароль и им нужно сбросить его.

Вход в Центр администрирования Microsoft Entra

В этом руководстве описано, как создать управляемый домен и настроить его с помощью Центра администрирования Microsoft Entra. Чтобы приступить к работе, войдите в Центр администрирования Microsoft Entra.

Создание управляемого домена

Чтобы запустить мастер включения доменных служб Microsoft Entra, выполните следующие действия.

1. В меню Центра администрирования Microsoft Entra или на домашней странице найдите доменные службы, а затем выберите доменные службы Microsoft Entra.

2. На странице доменных служб Microsoft Entra выберите "Создать доменные службы Microsoft Entra".

   

3. Выберите подписку Azure, в которой следует создать управляемый домен.

4. Выберите группу ресурсов, к которой должен относиться управляемый домен. Щелкните Создать или выберите существующую группу ресурсов.

При создании управляемого домена нужно указать имя DNS. При выборе имени DNS следует учитывать ряд рекомендаций.

• Встроенное доменное имя: по умолчанию используется встроенное доменное имя каталога ( суффикс onmicrosoft.com ). Если вы хотите разрешить для управляемого домена доступ по защищенному протоколу LDAP, вы не сможете создать цифровой сертификат для защиты подключения к домену по умолчанию. Домен onmicrosoft.com принадлежит корпорации Майкрософт, поэтому центр сертификации не будет выдавать для него сертификаты.
• Пользовательские доменные имена: наиболее распространенный подход заключается в указании имени личного домена, как правило, того, который вы уже владеете и является маршрутизируемым. При использовании личного домена с поддержкой маршрутизации трафик можно передавать так, нужно приложениям.
• Неизменяемые суффиксы домена. Обычно рекомендуется избежать суффикса доменного имени, отличного от routable, например contoso.local. Суффикс .local не маршрутизируется и его использование может привести к ошибкам при разрешении имен DNS.

Также применимы следующие ограничения в отношении DNS:

• Ограничения префикса домена: невозможно создать управляемый домен с префиксом дольше 15 символов. Префикс указанного доменного имени (например , dscontoso в доменном имени dscontoso.com ) должен содержать 15 или меньше символов.
• Конфликты сетевых имен: DNS-имя домена для управляемого домена не должно существовать в виртуальной сети. В частности, проверка для следующих сценариев, которые привели бы к конфликту имен:
  • Если в виртуальной сети уже существует домен Active Directory с таким же доменным именем DNS.
  • Если для виртуальной сети, в которой планируется использовать управляемый домен, установлено VPN-подключение к локальной сети. в этом случае необходимо убедиться в том, что в локальной сети нет домена с таким же DNS-именем домена;
  • Если в виртуальной сети Azure существует облачная служба Azure с таким же именем.

Заполните поля в окне "Основы" центра администрирования Microsoft Entra, чтобы создать управляемый домен:

1. Введите доменное имя DNS для управляемого домена, учитывая описанные выше ограничения.

2. Выберите регион Azure, в котором должен быть создан управляемый домен. Если выбрать регион, поддерживающий Azure Зоны доступности, ресурсы доменных служб распределяются между зонами для дополнительной избыточности.

   Совет

   Зоны доступности являются уникальными физическими расположениями внутри региона Azure. Каждая зона состоит из одного или нескольких центров обработки данных, оснащенных независимыми системами электроснабжения, охлаждения и сетевого взаимодействия. Чтобы обеспечить отказоустойчивость, во всех включенных регионах используются минимум три отдельные зоны.

   Нет ничего, чтобы настроить распределение доменных служб между зонами. Платформа Azure автоматически обрабатывает распределение ресурсов зоны. См. дополнительные сведения о зонах доступности и регионах.

3. Номер SKU определяет производительность и частоту резервного копирования. Если коммерческие или другие требования изменятся, SKU можно будет изменить после создания управляемого домена. Дополнительные сведения см. в концепциях SKU доменных служб.

   Для работы с этим руководством выберите SKU категории Стандартный. Окно "Основы" должно выглядеть следующим образом:

   

Для быстрого создания управляемого домена можно выбрать Просмотр и создание, чтобы принять дополнительные параметры конфигурации по умолчанию. При выборе этого параметра создания настраиваются следующие значения по умолчанию:

• Создает виртуальную сеть с именем ds-vnet по умолчанию, которая использует диапазон IP-адресов 10.0.1.0/24.
• Создает подсеть с именем ds-subnet с помощью диапазона IP-адресов 10.0.1.0/24.
• Синхронизирует всех пользователей из идентификатора Microsoft Entra в управляемый домен.

Выберите Просмотр и создание, чтобы принять эти параметры конфигурации по умолчанию.

Развертывание управляемого домена

На странице Сводка в мастере просмотрите параметры конфигурации для своего управляемого домена. Вы всегда можете вернуться к любому шагу мастера и внести изменения. Чтобы повторно развернуть управляемый домен в другом клиенте Microsoft Entra последовательно с помощью этих параметров конфигурации, можно также скачать шаблон для автоматизации.

1. Чтобы создать управляемый домен, щелкните Создать. Появится примечание о том, что некоторые параметры конфигурации, такие как DNS-имя или виртуальная сеть, не могут быть изменены после создания доменных служб. Чтобы продолжить, нажмите кнопку ОК.

   

2. Процесс подготовки управляемого домена может занять до одного часа. На портале отображается уведомление, показывающее ход развертывания доменных служб.

3. После полной подготовки управляемого домена на вкладке Обзор состояние домена отображается как Выполняется. Сведения о развертывании для ссылок на ресурсы, такие как виртуальная сеть и группа сетевых ресурсов.

   

Обновление настроек DNS для виртуальной сети Azure

После успешного развертывания доменных служб теперь настройте виртуальную сеть, чтобы разрешить другим подключенным виртуальным машинам и приложениям использовать управляемый домен. Чтобы создать такое подключение, измените параметры DNS-сервера для виртуальной сети, указав IP-адреса развертывания управляемого домена.

1. На вкладке Обзор для управляемого домена отображаются некоторые требуемые шаги конфигурации. Первый из них — обновление параметров DNS-сервера для виртуальной сети. После правильной настройки параметров DNS этот шаг исчезает из списка.

   Указанные здесь адреса принадлежат контроллерам домена для использования в виртуальной сети. В нашем примере это адреса 10.0.1.4 и 10.0.1.5. Эти IP-адреса вы можете найти на вкладке Свойства.

   

2. Щелкните Настроить, чтобы обновить параметры DNS-сервера для виртуальной сети. Параметры DNS автоматически настраиваются для виртуальной сети.

Включение учетных записей пользователей для доменных служб

Для проверки подлинности пользователей в управляемом домене доменные службы должны иметь хэши паролей в формате, подходящем для проверки подлинности NT LAN Manager (NTLM) и Kerberos. Идентификатор Microsoft Entra не создает хэши паролей и не сохраняет хэши паролей в формате, необходимом для проверки подлинности NTLM или Kerberos, пока не включите доменные службы для вашего клиента. По соображениям безопасности идентификатор Microsoft Entra также не сохраняет учетные данные паролей в виде чистотекстового текста. Таким образом, идентификатор Microsoft Entra не может автоматически создавать эти хэши паролей NTLM или Kerberos на основе существующих учетных данных пользователей.

Действия по созданию и хранению этих хэшей паролей отличаются для учетных записей пользователей, созданных только для облака, созданных в идентификаторе Microsoft Entra, и учетных записей пользователей, синхронизированных из локального каталога с помощью Microsoft Entra Подключение.

Облачная учетная запись пользователя — это учетная запись, созданная в каталоге Microsoft Entra с помощью Центра администрирования Microsoft Entra или PowerShell. Такие учетные записи пользователей не синхронизируются из локального каталога.

В этом руководстве мы будем использовать простой вариант облачной учетной записи. Дополнительные сведения о дополнительных шагах, необходимых для использования Microsoft Entra Подключение, см. в статье "Синхронизация хэшей паролей для учетных записей пользователей, синхронизированных с локальной AD с управляемым доменом".

Для облачных учетных записей пользователей пользователи должны изменить пароли, прежде чем они смогут использовать доменные службы. Этот процесс изменения пароля приводит к созданию и хранению хэшей паролей для проверки подлинности Kerberos и NTLM в идентификаторе Microsoft Entra. Учетная запись не синхронизируется с идентификатором Microsoft Entra с доменными службами, пока пароль не будет изменен. Либо истекает срок действия паролей для всех облачных пользователей в клиенте, которым требуется использовать доменные службы, которые принудительно изменяют пароль при следующем входе, либо указывают облачным пользователям вручную изменять пароли. В этом руководстве описано, как изменить пароль пользователя вручную.

Прежде чем пользователь сможет сбросить пароль, клиент Microsoft Entra должен быть настроен для самостоятельного сброса пароля.

Чтобы изменить пароль для облачного пользователя, выполните от его имени следующие действия:

1. Перейдите на страницу https://myapps.microsoft.comПанель доступа идентификатора Microsoft Entra.

2. Вверху справа щелкните имя и выберите Профиль в раскрывающемся меню.

   

3. На странице Профиль щелкните Изменить пароль.

4. На странице Изменение пароля введите существующий (старый) пароль, а затем введите и подтвердите новый пароль.

5. Выберите Отправить.

Через несколько минут после изменения пароля новый пароль будет использоваться в доменных службах и успешно войти на компьютеры, присоединенные к управляемому домену.

Следующие шаги

Из этого руководства вы узнали, как:

Прежде чем присоединять к домену виртуальные машины и развертывать приложения, использующие управляемый домен, настройте виртуальную сеть Azure для рабочих нагрузок приложений.