Veelgestelde vragen over Microsoft Entra Domain Services

Nee. U kunt slechts één beheerd domein maken dat wordt beheerd door Microsoft Entra Domain Services voor één Microsoft Entra-directory.

Klassieke virtuele netwerken worden niet ondersteund.

Zie de officiële afschaffingsmelding voor meer informatie.

Ja. Microsoft Entra Domain Services kan worden ingeschakeld in een virtueel Azure Resource Manager-netwerk. Klassieke virtuele Azure-netwerken zijn niet meer beschikbaar wanneer u een beheerd domein maakt.

Ja. Zie voor meer informatie hoe u Microsoft Entra Domain Services inschakelt in Azure CSP-abonnementen.

De service zelf biedt geen rechtstreekse ondersteuning voor dit scenario. Uw beheerde domein is slechts beschikbaar in één virtueel netwerk tegelijk. U kunt echter connectiviteit tussen meerdere virtuele netwerken configureren om Microsoft Entra Domain Services beschikbaar te maken voor andere virtuele netwerken. Zie voor meer informatie hoe u virtuele netwerken in Azure verbindt met behulp van VPN-gateways of peering van virtuele netwerken.

Nee. Het domein dat wordt geleverd door Microsoft Entra Domain Services is een beheerd domein. U hoeft domeincontrollers voor dit domein niet in te richten, te configureren of anderszins te beheren. Deze beheeractiviteiten worden geleverd als een service van Microsoft. Daarom kunt u geen meer domeincontrollers (alleen-lezen of alleen-lezen) toevoegen voor het beheerde domein.

Ja. U kunt replicasets maken die dezelfde naamruimte en configuratie delen met uw beheerde domein. Replicasets kunnen worden toegevoegd aan elk gekoppeld virtueel netwerk in elke Azure-regio die Ondersteuning biedt voor Domain Services.
Zie Concepten en functies van Replicasets voor Microsoft Entra Domain Services voor meer informatie.

Nee. Voor het verifiëren van gebruikers via NTLM of Kerberos heeft Microsoft Entra Domain Services toegang nodig tot de wachtwoordhashes van gebruikersaccounts. In een federatieve map worden wachtwoordhashes niet opgeslagen in de Map Microsoft Entra. Daarom werkt Microsoft Entra Domain Services niet met dergelijke Microsoft Entra-mappen.

Als u Echter Microsoft Entra Connect gebruikt voor wachtwoord-hashsynchronisatie, kunt u Microsoft Entra Domain Services gebruiken omdat de wachtwoord-hashwaarden worden opgeslagen in Microsoft Entra-id.

Ja. Zie voor meer informatie hoe u Microsoft Entra Domain Services inschakelt met behulp van PowerShell.

Ja, u kunt een door Microsoft Entra Domain Services beheerd domein maken met behulp van een Resource Manager-sjabloon. Een service-principal en een Microsoft Entra-groep voor beheer moeten worden gemaakt met behulp van het Microsoft Entra-beheercentrum of PowerShell voordat de sjabloon wordt geïmplementeerd. Wanneer u een door Microsoft Entra Domain Services beheerd domein maakt in het Microsoft Entra-beheercentrum, is er ook een optie om de sjabloon te exporteren voor gebruik met andere implementaties. Zie Een door Domain Services beheerd domein maken met behulp van een Azure Resource Manager-sjabloon voor meer informatie.

Nee. Gastgebruikers die zijn uitgenodigd voor uw Microsoft Entra-adreslijst met behulp van het uitnodigingsproces voor Microsoft Entra B2B , worden gesynchroniseerd in uw door Microsoft Entra Domain Services beheerde domein. Wachtwoorden voor deze gebruikers worden echter niet opgeslagen in uw Microsoft Entra-map. Daarom kan Microsoft Entra Domain Services geen NTLM- en Kerberos-hashes synchroniseren voor deze gebruikers in uw beheerde domein. Dergelijke gebruikers kunnen zich niet aanmelden of computers toevoegen aan het beheerde domein.

Ja, u kunt een tweerichtingsvertrouwensrelatie maken. U kunt ook een uitgaande uitgaande vertrouwensrelatie of eenrichtingsvertrouwensrelatie maken om verschillende scenario's voor verificatie en toegang van gebruikers te ondersteunen. Zie Een forestvertrouwensrelatie maken voor meer informatie.

Domain Services ondersteunt momenteel alleen forestvertrouwen en biedt geen ondersteuning voor externe domeinvertrouwensrelaties.

Nadat u een door Domain Services beheerd domein hebt gemaakt, kunt u het niet verplaatsen naar een ander abonnement, een andere resourcegroep of een andere regio. Als u de regio wilt wijzigen, zou een mogelijke tijdelijke oplossing een nieuwe replicaset implementeren in de regio waarnaar u wilt migreren. Zodra dat is voltooid, verwijdert u de replicaset in de regio die u niet meer wilt. Als tijdelijke oplossing voor de rest van de instellingen kunt u het beheerde domein verwijderen met behulp van PowerShell of het Microsoft Entra-beheercentrum en het opnieuw maken met de gewenste installatie. Er kunnen geen herstelbewerkingen worden opgegeven terwijl het beheerde domein opnieuw wordt gemaakt.

Nee. Nadat u een door Microsoft Entra Domain Services beheerd domein hebt gemaakt, kunt u de DNS-domeinnaam niet meer wijzigen. Kies de DNS-domeinnaam zorgvuldig wanneer u het beheerde domein maakt. Als u de DNS-domeinnaam kiest, raadpleegt u de zelfstudie voor het maken en configureren van een door Microsoft Entra Domain Services beheerd domein.

Ja. Elk door Microsoft Entra Domain Services beheerd domein bevat twee domeincontrollers. U beheert of maakt geen verbinding met deze domeincontrollers. Ze maken deel uit van de beheerde service. Als u Microsoft Entra Domain Services implementeert in een regio die ondersteuning biedt voor Beschikbaarheidszones, worden de domeincontrollers verdeeld over zones. In regio's die geen ondersteuning bieden voor Beschikbaarheidszones, worden de domeincontrollers verdeeld over beschikbaarheidssets. U hebt geen configuratieopties of beheerbeheer over deze distributie. Zie Beschikbaarheidsopties voor virtuele machines in Azure voor meer informatie.

Nee. U bent niet gemachtigd om verbinding te maken met domeincontrollers voor het beheerde domein met behulp van Extern bureaublad. Leden van de Microsoft Entra DC-groep kunnen het beheerde domein beheren met behulp van AD-beheerprogramma's zoals het Active Directory Administration Center (ADAC) of AD PowerShell. Deze hulpprogramma's worden geïnstalleerd met behulp van de functie Remote Server Administration Tools op een Windows-server die is gekoppeld aan het beheerde domein. Zie Een beheer-VM maken voor het configureren en beheren van een door Microsoft Entra Domain Services beheerd domein voor meer informatie.

Elk gebruikersaccount dat deel uitmaakt van het beheerde domein, kan lid worden van een virtuele machine. Leden van de microsoft Entra DC-beheerdersgroep krijgen extern bureaublad toegang tot computers die zijn toegevoegd aan het beheerde domein.

Er is geen quotum in Domain Services voor computers die lid zijn van een domein.

VM's die in Azure worden uitgevoerd, worden gedurende zeer nauwkeurige tijd gesynchroniseerd met Azure-hosts. Niet-Azure-VM's die on-premises worden uitgevoerd, moeten Windows Time Services hebben geconfigureerd voor synchronisatie met een externe NTP-tijdbron, vergelijkbaar met vm's die lid zijn van een domein. Zie Het tijdmechanisme configureren voor Virtuele Active Directory Windows-machines in Azure voor meer informatie.

Nee. U krijgt geen beheerdersbevoegdheden voor het beheerde domein. Domeinbeheerder- en ondernemingsbeheerdersbevoegdheden zijn niet beschikbaar voor gebruik binnen het domein. Leden van de domeinbeheerder- of ondernemingsbeheerdersgroepen in uw on-premises Active Directory krijgen ook geen domein-/ondernemingsbeheerdersbevoegdheden voor het beheerde domein.

Gebruikers en groepen die vanuit Microsoft Entra-id met Microsoft Entra Domain Services worden gesynchroniseerd, kunnen niet worden gewijzigd omdat hun oorsprongsbron Microsoft Entra-id is. Dit omvat het verplaatsen van gebruikers of groepen van de door AADDC-gebruikers beheerde organisatie-eenheid naar een aangepaste organisatie-eenheid. Elke gebruiker of groep die afkomstig is uit het beheerde domein, kan worden gewijzigd.

Nee. Lidmaatschap van domeinadministratoren is vereist voor het autoriseren van een DHCP-server, die niet beschikbaar is in een beheerd domein.

Wijzigingen die zijn aangebracht in uw Microsoft Entra-directory met behulp van de Microsoft Entra-gebruikersinterface of PowerShell, worden automatisch gesynchroniseerd met uw beheerde domein. Dit synchronisatieproces wordt op de achtergrond uitgevoerd. Er is geen gedefinieerde periode voor deze synchronisatie om alle objectwijzigingen te voltooien.

Nee. Het schema wordt beheerd door Microsoft voor het beheerde domein. Schema-extensies worden niet ondersteund door Microsoft Entra Domain Services.

Ja. Leden van de microsoft Entra DC-beheerdersgroep krijgen DNS-beheerdersbevoegdheden om DNS-records in het beheerde domein te wijzigen. Deze gebruikers kunnen de DNS Manager-console gebruiken op een computer waarop Windows Server is gekoppeld aan het beheerde domein om DNS te beheren. Als u de DNS Manager-console wilt gebruiken, installeert u DNS Server Tools, die deel uitmaken van de optionele functie Remote Server Administration Tools op de server. Zie DNS beheren in een door Microsoft Entra Domain Services beheerd domein voor meer informatie.

De standaardlevensduur van wachtwoorden voor een door Microsoft Entra Domain Services beheerd domein is 90 dagen. Deze levensduur van het wachtwoord wordt niet gesynchroniseerd met de wachtwoordlevensduur die is geconfigureerd in Microsoft Entra-id. Daarom hebt u mogelijk een situatie waarin de wachtwoorden van gebruikers verlopen in uw beheerde domein, maar nog steeds geldig zijn in Microsoft Entra-id. In dergelijke scenario's moeten gebruikers hun wachtwoord wijzigen in Microsoft Entra-id en wordt het nieuwe wachtwoord gesynchroniseerd met uw beheerde domein. Als u de standaardlevensduur van het wachtwoord in een beheerd domein wilt wijzigen, kunt u aangepast wachtwoordbeleid maken en configureren.

Daarnaast wordt het Wachtwoordbeleid voor Microsoft Entra voor DisablePasswordExpiration gesynchroniseerd met een beheerd domein. Wanneer DisablePasswordExpiration wordt toegepast op een gebruiker in Microsoft Entra ID, wordt de waarde UserAccountControl voor de gesynchroniseerde gebruiker in het beheerde domein DONT_EXPIRE_PASSWORD toegepast.

Wanneer gebruikers hun wachtwoord opnieuw instellen in Microsoft Entra ID, wordt het kenmerk forceChangePasswordNextSignIn=True toegepast. Een beheerd domein synchroniseert dit kenmerk van Microsoft Entra ID. Wanneer het beheerde domein forceChangePasswordNextSignIn detecteert voor een gesynchroniseerde gebruiker van Microsoft Entra ID, wordt het kenmerk pwdLastSet in het beheerde domein ingesteld op 0, waardoor het momenteel ingestelde wachtwoord ongeldig wordt.

Ja. Vijf ongeldige wachtwoordpogingen binnen 2 minuten in het beheerde domein zorgen ervoor dat een gebruikersaccount 30 minuten wordt vergrendeld. Na 30 minuten wordt het gebruikersaccount automatisch ontgrendeld. Ongeldige wachtwoordpogingen in het beheerde domein vergrendelen het gebruikersaccount niet in Microsoft Entra-id. Het gebruikersaccount is alleen vergrendeld binnen uw door Microsoft Entra Domain Services beheerde domein. Zie Wachtwoord- en accountvergrendelingsbeleidsregels voor beheerde domeinen voor meer informatie.

Nee. Dfs (Distributed File System) en replicatie zijn niet beschikbaar wanneer u Microsoft Entra Domain Services gebruikt.

Domeincontrollers in een beheerd domein passen automatisch vereiste Windows-updates toe. U hoeft hier niets te configureren of te beheren. Zorg ervoor dat u geen regels voor netwerkbeveiligingsgroepen maakt waarmee uitgaand verkeer naar Windows-updates wordt geblokkeerd. Voor uw eigen VM's die zijn toegevoegd aan het beheerde domein, bent u verantwoordelijk voor het configureren en toepassen van vereiste besturingssysteem- en toepassingsupdates.

Met de afschaffing van AzureUpdateDelivery- en AzureFrontDoor.FirstParty-tags raadt Microsoft Entra Domain Services niet langer aan deze tags toe te voegen aan uitgaand internetverkeer. Als u de standaardregel AllowInternetOutBound (prioriteit 65001) gebruikt, is er geen wijziging nodig (met of zonder AzureUpdateDelivery en AzureFrontDoor.FirstParty-tags). Als u de standaardregel AllowInternetOutBound (prioriteit 65001) verwijdert of voorafgaat door een geweigerde InternetOutBound-regel, gebruikt u een firewall om uitgaand Windows Update-verkeer te filteren met behulp van de WindowsUpdate-FQDN in plaats van InternetOutBound te beperken. Deze stap is van cruciaal belang voor Microsoft Entra Domain Services om Windows-updates te blijven ontvangen. Zie Wijzigingen die worden toegevoegd aan de servicetag AzureUpdateDelivery voor meer informatie.

Microsoft Entra Domain Services slaat klantgegevens op. Klantgegevens blijven standaard binnen de regio waar het service-exemplaar wordt geïmplementeerd. Klanten kunnen replicasets gebruiken om gegevens op te slaan in andere regio's.

Patches worden geïnstalleerd zodra ze beschikbaar zijn (elke tweede dinsdag). Ze worden geïnstalleerd in fasen tijdens de week die ze beschikbaar zijn, beginnend op dinsdag.

Het is mogelijk dat er tijdens het onderhoud van domeincontrollers een wijziging in hun namen is. Om problemen met dit type wijziging te voorkomen, is het raadzaam om niet de namen van de domeincontrollers te gebruiken die zijn vastgelegd in toepassingen en/of andere domeinbronnen, maar de FQDN van het domein. Op deze manier hoeft u, ongeacht wat de namen van de domeincontrollers zijn, niets opnieuw te configureren na een naamwijziging.

Het wachtwoord van het KRBTGT-account in een beheerd domein wordt elke zeven (7) dagen overgezet.

Ja. Zie de pagina met prijzen voor meer informatie.

Microsoft Entra Domain Services is opgenomen in de gratis proefversie voor Azure. U kunt zich registreren voor een gratis proefversie van één maand van Azure.

Nee. Nadat u een door Microsoft Entra Domain Services beheerd domein hebt ingeschakeld, is de service beschikbaar in het geselecteerde virtuele netwerk totdat u het beheerde domein verwijdert. Er is geen manier om de service te onderbreken. Facturering wordt elk uur voortgezet totdat u het beheerde domein verwijdert.

Ja, als u geografische tolerantie wilt bieden voor een beheerd domein, kunt u een andere replicaset maken op een virtueel peernetwerk in elke Azure-regio die Ondersteuning biedt voor Domain Services. Replicasets delen dezelfde naamruimte en configuratie met het beheerde domein.

Nee. Microsoft Entra Domain Services is een Azure-service voor betalen per gebruik en maakt geen deel uit van EMS. Microsoft Entra Domain Services kan worden gebruikt met alle edities van Microsoft Entra ID (Gratis en Premium). U wordt per uur gefactureerd, afhankelijk van het gebruik.

Nee. Microsoft Entra Domain Services heeft een ontwerp met één domein, één forest en u kunt geen onderliggende domeinen maken.

Raadpleeg de pagina Azure-services per regio om een lijst weer te geven van de Azure-regio's waar Microsoft Entra Domain Services beschikbaar is.

Probleemoplossing

Raadpleeg de gids voor probleemoplossing voor oplossingen voor veelvoorkomende problemen met het configureren of beheren van Azure AD Domain Services.

Volgende stappen

Zie Wat is Microsoft Entra Domain Services?voor meer informatie over Microsoft Entra Domain Services.

Zie Een door Microsoft Entra Domain Services beheerd domein maken en configureren om aan de slag te gaan.