Kurz: Vytvoření a konfigurace spravované domény služby Microsoft Entra Domain Services

Služba Microsoft Entra Domain Services poskytuje spravované doménové služby, jako je připojení k doméně, zásady skupiny, LDAP, ověřování Kerberos/NTLM, které je plně kompatibilní se službou Windows Server Active Directory. Tyto doménové služby využíváte bez nasazení, správy a oprav řadičů domény sami. Domain Services se integruje s vaším stávajícím tenantem Microsoft Entra. Tato integrace umožňuje uživatelům přihlásit se pomocí firemních přihlašovacích údajů a k zabezpečení přístupu k prostředkům můžete použít existující skupiny a uživatelské účty.

Spravovanou doménu můžete vytvořit pomocí výchozích možností konfigurace pro sítě a synchronizaci nebo ručně definovat tato nastavení. V tomto kurzu se dozvíte, jak pomocí výchozích možností vytvořit a nakonfigurovat spravovanou doménu služby Domain Services pomocí Centra pro správu Microsoft Entra.

V tomto kurzu se naučíte:

Pokud nemáte předplatné Azure, vytvořte si účet , než začnete.

Požadavky

K dokončení tohoto kurzu potřebujete následující prostředky a oprávnění:

• Aktivní předplatné Azure.
  • Pokud nemáte předplatné Azure, vytvořte účet.
• Tenant Microsoft Entra přidružený k vašemu předplatnému, buď synchronizovaný s místním adresářem, nebo s cloudovým adresářem.
  • V případě potřeby vytvořte tenanta Microsoft Entra nebo přidružte předplatné Azure k vašemu účtu.
• K povolení služby Domain Services potřebujete aplikační Správa istrator a skupiny Správa istrator Microsoft Entra.
• K vytvoření požadovaných prostředků Domain Services potřebujete roli Přispěvatel služby Domain Services v Azure.
• Virtuální síť se servery DNS, které můžou dotazovat potřebnou infrastrukturu, jako je úložiště. Servery DNS, které nemůžou provádět obecné internetové dotazy, můžou blokovat možnost vytvořit spravovanou doménu.

Přestože služba Domain Services není nutná, doporučuje se nakonfigurovat samoobslužné resetování hesla (SSPR) pro tenanta Microsoft Entra. Uživatelé můžou změnit heslo bez samoobslužného resetování hesla, ale SSPR pomáhá, když heslo zapomene a potřebuje ho resetovat.

Přihlaste se do Centra pro správu Microsoft Entra

V tomto kurzu vytvoříte a nakonfigurujete spravovanou doménu pomocí Centra pro správu Microsoft Entra. Začněte tím, že se nejprve přihlásíte do Centra pro správu Microsoft Entra.

Vytvoření spravované domény

Chcete-li spustit průvodce Povolit službu Microsoft Entra Domain Services , proveďte následující kroky:

1. V nabídce Centra pro správu Microsoft Entra nebo na domovské stránce vyhledejte Domain Services a pak zvolte Microsoft Entra Domain Services.

2. Na stránce Microsoft Entra Domain Services vyberte Vytvořit službu Microsoft Entra Domain Services.

   

3. Vyberte předplatné Azure, ve kterém chcete vytvořit spravovanou doménu.

4. Vyberte skupinu prostředků, do které má spravovaná doména patřit. Zvolte možnost Vytvořit novou nebo vyberte existující skupinu prostředků.

Při vytváření spravované domény zadáte název DNS. Při výběru tohoto názvu DNS je potřeba vzít v úvahu některé aspekty:

• Předdefinovaný název domény: Ve výchozím nastavení se používá předdefinovaný název domény adresáře ( přípona .onmicrosoft.com ). Pokud chcete povolit zabezpečený přístup LDAP ke spravované doméně přes internet, nemůžete vytvořit digitální certifikát pro zabezpečení připojení k této výchozí doméně. Microsoft vlastní doménu .onmicrosoft.com , takže certifikační autorita (CA) nevydá certifikát.
• Vlastní názvy domén: Nejběžnějším přístupem je zadat vlastní název domény, obvykle takový, který už vlastníte a směrovatelný. Pokud používáte směrovatelnou vlastní doménu, provoz může podle potřeby správně tokovat, aby podporoval vaše aplikace.
• Přípony nesměrovatelné domény: Obecně doporučujeme, abyste se vyhnuli příponě nesměrovatelného názvu domény, například contoso.local. Přípona .local není směrovatelná a může způsobovat problémy s překladem DNS.

Platí také následující omezení názvů DNS:

• Omezení předpony domény: Spravovanou doménu s předponou delší než 15 znaků nelze vytvořit. Předpona zadaného názvu domény (například dscontoso v názvu domény dscontoso.com ) musí obsahovat 15 nebo méně znaků.
• Konflikty názvů sítí: Název domény DNS pro vaši spravovanou doménu by ve virtuální síti ještě neměl existovat. Konkrétně zkontrolujte následující scénáře, které by vedly ke konfliktu názvů:
  • Pokud už máte doménu Active Directory se stejným názvem domény DNS ve virtuální síti Azure.
  • Pokud má virtuální síť, ve které chcete povolit spravovanou doménu, připojení VPN k vaší místní síti. V tomto scénáři se ujistěte, že ve vaší místní síti nemáte doménu se stejným názvem domény DNS.
  • Pokud máte existující cloudovou službu Azure s tímto názvem ve virtuální síti Azure.

Vyplňte pole v okně Základy v Centru pro správu Microsoft Entra a vytvořte spravovanou doménu:

1. Zadejte název domény DNS pro vaši spravovanou doménu s ohledem na předchozí body.

2. Zvolte oblast Azure, ve které se má spravovaná doména vytvořit. Pokud zvolíte oblast, která podporuje Azure Zóny dostupnosti, prostředky služby Domain Services se distribuují napříč zónami kvůli další redundanci.

   Tip

   Zóny dostupnosti jsou jedinečná fyzická umístění uvnitř oblasti Azure. Každou zónu tvoří jedno nebo několik datacenter vybavených nezávislým napájením, chlazením a sítí. Kvůli odolnosti ve všech aktivovaných oblastech existují minimálně tři samostatné zóny.

   Není nic, co byste nakonfigurovali, aby služba Domain Services byla distribuována napříč zónami. Platforma Azure automaticky zpracovává distribuci zón prostředků. Další informace a zobrazení dostupnosti oblastí najdete v tématu Co jsou Zóny dostupnosti v Azure?.

3. Skladová položka určuje výkon a frekvenci zálohování. Skladovou položku můžete po vytvoření spravované domény změnit, pokud se změní vaše obchodní požadavky nebo požadavky. Další informace najdete v tématu Koncepty skladové položky služby Domain Services.

   Pro účely tohoto kurzu vyberte skladovou položku Standard . Okno Základy by mělo vypadat jako na tomto snímku obrazovky:

   

Pokud chcete rychle vytvořit spravovanou doménu, můžete vybrat Zkontrolovat a vytvořit a přijmout další výchozí možnosti konfigurace. Pokud zvolíte tuto možnost vytvoření, nakonfiguruje se následující výchozí hodnoty:

• Vytvoří virtuální síť s názvem ds-vnet ve výchozím nastavení, která používá rozsah IP adres 10.0.1.0/24.
• Vytvoří podsíť s názvem ds-subnet s použitím rozsahu IP adres 10.0.1.0/24.
• Synchronizuje všechny uživatele z Microsoft Entra ID do spravované domény.

Výběrem možnosti Zkontrolovat a vytvořit přijměte tyto výchozí možnosti konfigurace.

Nasazení spravované domény

Na stránce Souhrn průvodce zkontrolujte nastavení konfigurace pro vaši spravovanou doménu. Pokud chcete provést změny, můžete se vrátit k libovolnému kroku průvodce. Pokud chcete spravovanou doménu znovu nasadit do jiného tenanta Microsoft Entra konzistentním způsobem pomocí těchto možností konfigurace, můžete si také stáhnout šablonu pro automatizaci.

1. Pokud chcete vytvořit spravovanou doménu, vyberte Vytvořit. Zobrazí se poznámka, že po vytvoření spravované služby Domain Services není možné změnit určité možnosti konfigurace, jako je název DNS nebo virtuální síť. Pokračujte tak, že vyberete OK.

   

2. Proces zřizování spravované domény může trvat až hodinu. Na portálu se zobrazí oznámení, které ukazuje průběh nasazení služby Domain Services.

3. Po úplném zřízení spravované domény se na kartě Přehled zobrazí stav domény jako Spuštěno. Expans Deployment details for links to resources such as the virtual network and network resource group.

   

Aktualizace nastavení DNS pro virtuální síť Azure

Když je služba Domain Services úspěšně nasazená, nakonfigurujte virtuální síť tak, aby umožňovala ostatním připojeným virtuálním počítačům a aplikacím používat spravovanou doménu. Pokud chcete toto připojení poskytnout, aktualizujte nastavení serveru DNS pro vaši virtuální síť tak, aby odkazovaly na dvě IP adresy, kde je spravovaná doména nasazená.

1. Na kartě Přehled pro spravovanou doménu se zobrazují některé požadované kroky konfigurace. Prvním krokem konfigurace je aktualizace nastavení serveru DNS pro vaši virtuální síť. Jakmile je nastavení DNS správně nakonfigurované, tento krok se už nezobrazuje.

   Uvedené adresy jsou řadiče domény pro použití ve virtuální síti. V tomto příkladu jsou tyto adresy 10.0.1.4 a 10.0.1.5. Tyto IP adresy najdete později na kartě Vlastnosti .

   

2. Pokud chcete aktualizovat nastavení serveru DNS pro virtuální síť, vyberte tlačítko Konfigurovat . Nastavení DNS se pro vaši virtuální síť nakonfiguruje automaticky.

Povolení uživatelských účtů pro Domain Services

Aby bylo možné ověřovat uživatele ve spravované doméně, služba Domain Services potřebuje hodnoty hash hesel ve formátu, který je vhodný pro ověřování NT LAN Manager (NTLM) a Kerberos. Microsoft Entra ID nevygeneruje ani neukládá hodnoty hash hesel ve formátu, který je vyžadován pro ověřování protokolem NTLM nebo Kerberos, dokud pro svého tenanta nepovolíte službu Domain Services. Zbezpečnostních Proto microsoft Entra ID nemůže automaticky vygenerovat tyto hodnoty hash hesel NTLM nebo Kerberos na základě stávajících přihlašovacích údajů uživatelů.

Postup vygenerování a ukládání těchto hodnot hash hesel se liší pro uživatelské účty pouze v cloudu vytvořené v Microsoft Entra ID a uživatelské účty synchronizované z místního adresáře pomocí microsoft Entra Připojení.

Uživatelský účet jen pro cloud je účet, který byl vytvořen v adresáři Microsoft Entra pomocí Centra pro správu Microsoft Entra nebo PowerShellu. Tyto uživatelské účty se nesynchronují z místního adresáře.

V tomto kurzu pojďme pracovat se základním uživatelským účtem jen pro cloud. Další informace o dalších krocích potřebných k používání služby Microsoft Entra Připojení najdete v tématu Synchronizace hodnot hash hesel pro uživatelské účty synchronizované z místní služby AD do spravované domény.

V případě uživatelských účtů jen pro cloud musí uživatelé před použitím služby Domain Services změnit svá hesla. Tento proces změny hesla způsobí, že se vygenerují a ukládají hodnoty hash hesel pro ověřování Kerberos a NTLM v Microsoft Entra ID. Účet se nesynchronuje z ID Microsoft Entra do Domain Services, dokud se nezmění heslo. Buď vyprší platnost hesel pro všechny cloudové uživatele v tenantovi, kteří potřebují používat Domain Services, což vynutí změnu hesla při příštím přihlášení, nebo dát cloudovým uživatelům pokyn, aby si heslo změnili ručně. V tomto kurzu ručně změníme uživatelské heslo.

Aby uživatel mohl resetovat heslo, musí být tenant Microsoft Entra nakonfigurovaný pro samoobslužné resetování hesla.

Pokud chcete změnit heslo jenom pro uživatele cloudu, musí uživatel provést následující kroky:

1. Přejděte na stránku Microsoft Entra ID Přístupový panel na adrese https://myapps.microsoft.com.

2. V pravém horním rohu vyberte své jméno a v rozevírací nabídce zvolte Profil .

   

3. Na stránce Profil vyberte Změnit heslo.

4. Na stránce Změnit heslo zadejte stávající (staré) heslo a pak zadejte a potvrďte nové heslo.

5. Vyberte položku Odeslat.

Po změně hesla nového hesla ve službě Domain Services a úspěšném přihlášení k počítačům připojeným ke spravované doméně to trvá několik minut.

Další kroky

V tomto kurzu jste se naučili, jak:

Než se připojíte k virtuálním počítačům a nasadíte aplikace, které používají spravovanou doménu, nakonfigurujte virtuální síť Azure pro úlohy aplikací.