Udostępnij za pośrednictwem

Przygotowywanie usługi Active Directory dla usługi Azure Stack HCI w wersji 23H2

  • Artykuł

Dotyczy: Azure Stack HCI, wersja 23H2

W tym artykule opisano sposób przygotowania środowiska usługi Active Directory przed wdrożeniem rozwiązania Azure Stack HCI w wersji 23H2.

Wymagania usługi Active Directory dotyczące usługi Azure Stack HCI obejmują:

  • Dedykowana jednostka organizacyjna (OU).
  • Dziedziczenie zasad grupy, które jest zablokowane dla odpowiedniego obiektu zasad grupy (GPO).
  • Konto użytkownika, które ma wszystkie prawa do jednostki organizacyjnej w usłudze Active Directory.
  • Maszyny nie mogą być przyłączone do usługi Active Directory przed wdrożeniem.

Uwaga

  • Możesz użyć istniejącego procesu, aby spełnić powyższe wymagania. Skrypt używany w tym artykule jest opcjonalny i jest udostępniany w celu uproszczenia przygotowania.
  • Gdy dziedziczenie zasad grupy jest blokowane na poziomie jednostki organizacyjnej, wymuszone obiektu zasad grupy nie są blokowane. Upewnij się, że wszystkie odpowiednie obiekty zasad grupy, które są wymuszane, również są blokowane przy użyciu innych metod, na przykład przy użyciu filtrów usługi WMI lub grup zabezpieczeń.

Aby ręcznie przypisać wymagane uprawnienia do usługi Active Directory, utwórz jednostkę organizacyjną i zablokuj dziedziczenie obiektu zasad grupy, zobacz Niestandardowa konfiguracja usługi Active Directory dla usługi Azure Stack HCI w wersji 23H2.

Wymagania wstępne

Przed rozpoczęciem upewnij się, że wykonano następujące czynności:

Moduł przygotowywania usługi Active Directory

Polecenie New-HciAdObjectsPreCreation cmdlet modułu AsHciADArtifactsPreCreationTool programu PowerShell służy do przygotowywania usługi Active Directory do wdrożeń rozwiązania Azure Stack HCI. Poniżej przedstawiono wymagane parametry skojarzone z poleceniem cmdlet:

Parametr Opis
-AzureStackLCMUserCredential Nowy obiekt użytkownika utworzony z odpowiednimi uprawnieniami do wdrożenia. To konto jest takie samo jak konto użytkownika używane przez wdrożenie rozwiązania Azure Stack HCI.
Upewnij się, że podano tylko nazwę użytkownika. Nazwa nie powinna zawierać nazwy domeny, na przykład contoso\username.
Hasło musi być zgodne z wymaganiami dotyczącymi długości i złożoności. Użyj hasła, które ma długość co najmniej 12 znaków. Hasło musi również zawierać trzy z czterech wymagań: małe litery, wielkie litery, cyfrę i znak specjalny.
Aby uzyskać więcej informacji, zobacz wymagania dotyczące złożoności haseł.
Nazwa może używać administratora jako nazwy użytkownika.
-AsHciOUName Nowa jednostka organizacyjna do przechowywania wszystkich obiektów we wdrożeniu rozwiązania Azure Stack HCI. Istniejące zasady grupy i dziedziczenie są blokowane w tej jednostki organizacyjnej, aby upewnić się, że nie ma konfliktu ustawień. Jednostka organizacyjna musi być określona jako nazwa wyróżniająca (DN). Aby uzyskać więcej informacji, zobacz format nazw wyróżniających.

Uwaga

  • Ścieżka -AsHciOUName nie obsługuje następujących znaków specjalnych w dowolnym miejscu w ścieżce: &,",',<,>.
  • Przenoszenie obiektów komputera do innej jednostki organizacyjnej po zakończeniu wdrażania również nie jest obsługiwane.

Przygotowywanie usługi Active Directory

Podczas przygotowywania usługi Active Directory należy utworzyć dedykowaną jednostkę organizacyjną (OU), aby umieścić obiekty powiązane z rozwiązaniem Azure Stack HCI, takie jak użytkownik wdrożenia.

Aby utworzyć dedykowaną jednostkę organizacyjną, wykonaj następujące kroki:

  1. Zaloguj się do komputera przyłączonego do domeny usługi Active Directory.

  2. Uruchom program PowerShell jako administrator.

  3. Uruchom następujące polecenie, aby utworzyć dedykowaną jednostkę organizacyjną.

    New-HciAdObjectsPreCreation -AzureStackLCMUserCredential (Get-Credential) -AsHciOUName "<OU name or distinguished name including the domain components>"

  4. Po wyświetleniu monitu podaj nazwę użytkownika i hasło wdrożenia.

    1. Upewnij się, że podano tylko nazwę użytkownika. Nazwa nie powinna zawierać nazwy domeny, na przykład contoso\username. Nazwa użytkownika musi zawierać od 1 do 64 znaków i zawierać tylko litery, cyfry, łączniki i podkreślenia, a nie może zaczynać się od łącznika lub liczby.
    2. Upewnij się, że hasło spełnia wymagania dotyczące złożoności i długości. Użyj hasła o długości co najmniej 12 znaków i zawiera: małe litery, wielkie litery, cyfrę i znak specjalny.

    Oto przykładowe dane wyjściowe z pomyślnego ukończenia skryptu:

    PS C:\work> $password = ConvertTo-SecureString '<password>' -AsPlainText -Force
PS C:\work> $user = "ms309deployuser"
PS C:\work> $credential = New-Object System.Management.Automation.PSCredential ($user, $password)
PS C:\work> New-HciAdObjectsPreCreation -AzureStackLCMUserCredential $credential -AsHciOUName "OU=ms309,DC=PLab8,DC=nttest,DC=microsoft,DC=com"    
PS C:\work>

  5. Sprawdź, czy jednostka organizacyjna została utworzona. Jeśli używasz klienta systemu Windows Server, przejdź do Menedżer serwera Tools > Użytkownicy i komputery usługi Active Directory>.

  6. Jednostka organizacyjna o określonej nazwie powinna zostać utworzona i w ramach tej jednostki organizacyjnej zobaczysz użytkownika wdrożenia.

    Zrzut ekranu przedstawiający okno Komputery i użytkownicy usługi Active Directory.

Uwaga

Jeśli naprawiasz pojedynczy serwer, nie usuwaj istniejącej jednostki organizacyjnej. Jeśli woluminy serwera są szyfrowane, usunięcie jednostki organizacyjnej spowoduje usunięcie kluczy odzyskiwania funkcji BitLocker.

Następne kroki