Správa vlastních názvů domén v Microsoft Entra ID

Přehled

Název domény je důležitou součástí identifikátoru prostředků v mnoha nasazeních Microsoft Entra. Je součástí uživatelského jména nebo e-mailové adresy uživatele, části adresy skupiny a někdy je součástí identifikátoru URI ID aplikace pro aplikaci. Prostředek v Microsoft Entra ID může obsahovat název domény vlastněný organizací Microsoft Entra (někdy označovanou jako tenant), která prostředek obsahuje. Role správce Doménových názvů je nejméně privilegovaná role potřebná ke správě domén v Microsoft Entra ID.

Nastavení primárního názvu domény pro vaši organizaci Microsoft Entra

Když je vaše organizace vytvořena, počáteční název domény, například "contoso.onmicrosoft.com", je také primárním názvem domény. Primární doména je výchozí název domény nového uživatele při vytváření nového uživatele. Nastavení primárního názvu domény zjednodušuje proces pro správce, aby na portálu vytvořil nové uživatele. Změna názvu primární domény:

  1. Přihlaste se k Centrum pro správu Microsoft Entra alespoň jako správce názvu domény .

  2. Přejděte na Entra ID>Názvy domén

  3. Vyberte Názvy vlastních domén.

    Snímek obrazovky s otevřením stránky pro správu uživatelů

  4. Vyberte název domény, která má být primární doménou.

  5. Vyberte příkaz Nastavit jako primární . Po zobrazení výzvy potvrďte svou volbu.

    Snímek obrazovky s vytvářením názvu domény jako primárního

Primární název domény pro vaši organizaci můžete změnit na jakoukoli ověřenou vlastní doménu, která není federovaná. Změna primární domény pro vaši organizaci nezmění uživatelské jméno pro žádné stávající uživatele.

Přidání vlastních názvů domén do organizace Microsoft Entra

Můžete přidat až 5 000 spravovaných názvů domén. Pokud konfigurujete všechny domény pro federaci pomocí místní Active Directory, můžete v každé organizaci přidat až 2 500 názvů domén.

Přidání subdomén vlastní domény

Pokud chcete do vaší organizace přidat název subdomény, například europe.contoso.com, měli byste nejprve přidat a ověřit kořenovou doménu, například contoso.com. Microsoft Entra ID automaticky ověří subdoménu. Pokud chcete zjistit, že je přidaná subdoména ověřená, aktualizujte seznam domén v prohlížeči.

Pokud jste už přidali contoso.com doménu do jedné Microsoft Entra organizace, můžete také ověřit subdoménu europe.contoso.com v jiné Microsoft Entra organizaci. Při přidávání subdomény se zobrazí výzva k přidání záznamu TXT v poskytovateli hostingu DNS (Domain Name Server).

Co dělat, když změníte registrátora DNS pro vlastní název domény

Pokud změníte registrátora DNS, v Microsoft Entra ID nejsou žádné další úlohy konfigurace. Název domény můžete dál používat s Microsoft Entra ID bez přerušení. Pokud používáte vlastní název domény s Microsoft 365, Intune nebo jinými službami, které spoléhají na názvy vlastních domén v Microsoft Entra ID, prohlédněte si dokumentaci k těmto službám.

Odstranění vlastního názvu domény

Vlastní název domény můžete ze svého Microsoft Entra ID odstranit, pokud už ji vaše organizace nepoužívá nebo pokud potřebujete tento název domény použít s jinou Microsoft Entra organizací.

Pokud chcete odstranit vlastní název domény, musíte nejprve zajistit, aby žádné prostředky ve vaší organizaci nespoléhaly na název domény. Název domény z vaší organizace nejde odstranit, pokud:

  • Každý uživatel má uživatelské jméno, e-mailovou adresu nebo proxy adresu, která obsahuje název domény.
  • Každá skupina má e-mailovou adresu nebo proxy adresu, která obsahuje název domény.
  • Každá aplikace v Microsoft Entra ID má identifikátor URI ID aplikace, který obsahuje název domény.

Před odstraněním vlastního názvu domény je nutné změnit nebo odstranit jakýkoli takový prostředek ve vaší organizaci Microsoft Entra.

Poznámka:

Pokud chcete odstranit vlastní doménu, použijte účet s alespoň rolí správce názvu domény , která je založená na výchozí doméně (onmicrosoft.com) nebo jiné vlastní doméně (mydomainname.com).

Možnost ForceDelete

Název domény můžete ForceDelete na portálu Azure nebo pomocí Microsoft Graph API. Tyto možnosti používají asynchronní operaci a aktualizují všechny odkazy z vlastního názvu domény, napříkladuser@contoso.comna počáteční výchozí název domény, napříkladuser@contoso.onmicrosoft.com.

Pokud chcete spustit ForceDelete v Azure Portálu, musíte zajistit, aby na název domény bylo méně než 1 000 odkazů a všechny odkazy, ve kterých je Exchange službou zřizování, musí být aktualizovány nebo odebrány v Centru pro správu Exchange (EAC). To zahrnuje skupiny zabezpečení s povolenou poštovní schránkou Exchange a distribuované seznamy. Další informace naleznete v tématu Odstraňování poštovních skupin povolené zabezpečením. Operace ForceDelete také nebude úspěšná, pokud platí některý z následujících způsobů:

  • Zakoupili jste doménu prostřednictvím Microsoft 365 služeb předplatného domény.
  • Jste partner, který spravuje jménem jiné organizace zákazníka.

V rámci operace ForceDelete se provádějí následující akce:

  • Přejmenuje UPN, EmailAddress a ProxyAddress uživatelů, které odkazují na vlastní doménu, zpět na původní výchozí doménu.
  • Přejmenuje EmailAddress skupin s odkazy na název vlastní domény na počáteční výchozí název domény.
  • Přejmenuje identifikátoryURI aplikací s odkazy na název vlastní domény na počáteční výchozí název domény.
  • Zakáže uživatelské účty ovlivněné možností ForceDelete v Centrum pro správu Microsoft Entra a volitelně při použití Graph API.

Je vrácena chyba, když:

  • Počet objektů, které se mají přejmenovat, je větší než 1 000.
  • Jednou z aplikací, které se mají přejmenovat, je víceklientová aplikace.

Osvědčené postupy pro hygienu domény

Použijte důvěryhodného registrátora, který poskytuje oznámení o změnách názvu domény, vypršení platnosti registrace, období odkladu pro domény s vypršenou platností a udržuje vysoké standardy zabezpečení pro řízení, kdo má přístup ke konfiguraci názvu domény a záznamům TXT. Udržujte názvy domén aktuální u svého registrátora a ověřte přesnost záznamů TXT.

  • Pokud účelně necháte vypršet platnost názvu domény nebo předáváte vlastnictví někomu jinému (odděleně od vašeho tenanta Microsoft Entra), měli byste před vypršením platnosti nebo před převodem tento název odstranit ze svého tenanta Microsoft Entra.
  • Pokud necháte vypršet platnost názvu domény a jste schopni ho znovu aktivovat nebo získat zpět kontrolu, pečlivě zkontrolujte všechny záznamy TXT u registrátora, abyste se ujistili, že nedošlo k žádné manipulaci s vaším názvem domény.
  • Pokud nemůžete okamžitě znovu aktivovat nebo znovu získat kontrolu nad názvem domény, měli byste ho odstranit ze svého Microsoft Entra tenanta. Nečtěte ani znovu neověřujte, dokud nebudete schopni vyřešit vlastnictví domény a ověřit správnost celého záznamu TXT.

Poznámka:

Microsoft nepovolí, aby byl název domény ověřen u více než jednoho Microsoft Entra tenanta. Jakmile z tenanta odstraníte název domény, nebudete ho moct znovu přidat nebo znovu ověřit s vaším Microsoft Entra tenantem, pokud se následně přidá a ověří s jiným tenantem Microsoft Entra.

Nejčastější dotazy

Q: Proč se odstranění domény selhává s chybou, která uvádí, že mám skupiny spravované v Exchange v tomto názvu domény?
A: Dnes se některé skupiny, jako jsou e-mailové skupiny zabezpečení a distribuční seznamy, spravují službou Exchange a je potřeba je ručně vyčistit v Centru pro správu Exchange. ProxyAddresses může přetrvávat, protože závisí na vlastním názvu domény a bude potřeba ho aktualizovat ručně na jiný název domény.

Otázka: Jsem přihlášen jako admin@contoso.com , ale nemůžu odstranit název domény "contoso.com"?
A: Nemůžete odkazovat na vlastní název domény, který se pokoušíte odstranit v názvu uživatelského účtu. Ujistěte se, že váš účet s alespoň rolí Správce názvu domény používá počáteční výchozí název domény (.onmicrosoft.com), například admin@contoso.onmicrosoft.com. Přihlaste se pomocí jiného účtu, který má alespoň roli Správce názvu domény, například admin@contoso.onmicrosoft.com nebo s jiným vlastním názvem domény, jako je "fabrikam.com", kde je účet admin@fabrikam.com.

Otázka: Klikl jsem na tlačítko Odstranit doménu a zobrazil In Progress stav operace Odstranění. Jak dlouho to trvá? Co se stane, když selže?
A: Operace odstranění domény je asynchronní úloha na pozadí, která přejmenuje všechny odkazy na název domény. Dokončení může trvat až 24 hodin. Pokud odstranění domény selže, ujistěte se, že nemáte:

  • Aplikace nakonfigurované v názvu domény pomocí identifikátoru appIdentifierURI
  • Libovolná skupina s podporou pošty odkazující na název vlastní domény
  • Více než 1000 odkazů na název domény
  • Doména, která se má odebrat, je nastavená jako primární doména vaší organizace.

Všimněte si také, že možnost ForceDelete nebude fungovat, pokud doména používá typ federovaného ověřování. V takovém případě musí být uživatelé nebo skupiny v doméně přejmenováni nebo odebráni pomocí místní Active Directory před opětovným odebráním domény. Pokud zjistíte, že některé z podmínek nebyly splněny, ručně vyčistěte odkazy a zkuste doménu odstranit znovu.

Použití PowerShellu nebo Microsoft Graph API ke správě názvů domén

Většinu úloh správy názvů domén v Microsoft Entra ID je možné dokončit také pomocí Microsoft PowerShellu nebo programově pomocí Microsoft Graph API.

Další kroky

  • Last updated on