Zarządzanie niestandardowymi nazwami domen w identyfikatorze Entra firmy Microsoft

Artykuł
06/18/2024

Nazwa domeny jest ważną częścią identyfikatora zasobów w wielu wdrożeniach firmy Microsoft Entra. Jest częścią nazwy użytkownika lub adresu e-mail użytkownika, części adresu grupy i czasami jest częścią identyfikatora URI identyfikatora aplikacji dla aplikacji. Zasób w identyfikatorze Entra firmy Microsoft może zawierać nazwę domeny należącą do organizacji Microsoft Entra (czasami nazywaną dzierżawą), która zawiera zasób. Administratorzy globalni i administratorzy nazw domen mogą zarządzać domenami w usłudze Microsoft Entra ID.

Ustawianie podstawowej nazwy domeny dla organizacji firmy Microsoft Entra

Napiwek

Kroki opisane w tym artykule mogą się nieznacznie różnić w zależności od portalu, od którego zaczynasz.

Po utworzeniu organizacji początkowa nazwa domeny, taka jak "contoso.onmicrosoft.com", jest również nazwą domeny podstawowej. Domena podstawowa jest domyślną nazwą domeny dla nowego użytkownika podczas tworzenia nowego użytkownika. Ustawienie podstawowej nazwy domeny usprawnia proces tworzenia nowych użytkowników w portalu przez administratora. Aby zmienić nazwę domeny podstawowej:

Zaloguj się do centrum administracyjnego firmy Microsoft Entra jako administrator globalny.
Wybierz Microsoft Entra ID.
Wybierz pozycję Niestandardowe nazwy domen.
Wybierz nazwę domeny, która ma być domeną podstawową.
Wybierz polecenie Ustaw jako podstawowe. Potwierdź wybór po wyświetleniu monitu.

Możesz zmienić nazwę domeny podstawowej organizacji na dowolną zweryfikowaną domenę niestandardową, która nie jest federacyjna. Zmiana domeny podstawowej organizacji nie spowoduje zmiany nazw użytkowników dla istniejących użytkowników.

Dodawanie niestandardowych nazw domen do organizacji firmy Microsoft Entra

Można dodać maksymalnie 5000 nazw domen zarządzanych. Jeśli konfigurujesz wszystkie domeny dla federacji przy użyciu lokalna usługa Active Directory, możesz dodać do 2500 nazw domen w każdej organizacji.

Dodawanie domen podrzędnych domeny niestandardowej

Jeśli chcesz dodać nazwę poddomeny, taką jak "europe.contoso.com" do organizacji, najpierw dodaj i zweryfikuj domenę główną, taką jak contoso.com. Poddomena jest automatycznie weryfikowana przez identyfikator Entra firmy Microsoft. Aby sprawdzić, czy dodana poddomena jest weryfikowana, odśwież listę domen w przeglądarce.

Jeśli do jednej organizacji firmy Microsoft Entra dodano już domenę contoso.com, możesz również zweryfikować poddomenę europe.contoso.com w innej organizacji firmy Microsoft Entra. Podczas dodawania poddomeny zostanie wyświetlony monit o dodanie rekordu TXT u dostawcy hostingu DNS.

Co zrobić, jeśli zmienisz rejestratora DNS dla niestandardowej nazwy domeny

W przypadku zmiany rejestratorów DNS nie ma żadnych innych zadań konfiguracyjnych w identyfikatorze Entra firmy Microsoft. Możesz nadal używać nazwy domeny z identyfikatorem Entra firmy Microsoft bez przerwy. Jeśli używasz niestandardowej nazwy domeny z usługami Microsoft 365, Intune lub innymi usługami, które opierają się na niestandardowych nazwach domen w identyfikatorze Entra firmy Microsoft, zapoznaj się z dokumentacją tych usług.

Usuwanie niestandardowej nazwy domeny

Niestandardową nazwę domeny można usunąć z usługi Microsoft Entra ID, jeśli organizacja nie używa już tej nazwy domeny lub jeśli chcesz używać tej nazwy domeny z inną organizacją usługi Microsoft Entra.

Aby usunąć niestandardową nazwę domeny, musisz najpierw upewnić się, że żadne zasoby w organizacji nie korzystają z nazwy domeny. Nie można usunąć nazwy domeny z organizacji, jeśli:

Każdy użytkownik ma nazwę użytkownika, adres e-mail lub adres proxy, który zawiera nazwę domeny.
Każda grupa ma adres e-mail lub adres proxy, który zawiera nazwę domeny.
Każda aplikacja w identyfikatorze Entra firmy Microsoft ma identyfikator URI identyfikatora aplikacji, który zawiera nazwę domeny.

Aby można było usunąć niestandardową nazwę domeny, musisz zmienić lub usunąć dowolny taki zasób w organizacji firmy Microsoft Entra.

Uwaga

Aby usunąć domenę niestandardową, użyj konta administratora globalnego opartego na domenie domyślnej (onmicrosoft.com) lub innej domenie niestandardowej (mydomainname.com).

Opcja ForceDelete

Możesz wymusićDelete nazwę domeny w witrynie Azure Portal lub przy użyciu interfejsu API programu Microsoft Graph. Te opcje używają operacji asynchronicznej i aktualizują wszystkie odwołania z niestandardowej nazwy domeny, takiej jak "user@contoso.com" do początkowej domyślnej nazwy domeny, takiej jak "user@contoso.onmicrosoft.com".

Aby wywołać metodę ForceDelete w witrynie Azure Portal, musisz upewnić się, że istnieje mniej niż 1000 odwołań do nazwy domeny oraz wszelkie odwołania, w których program Exchange jest usługą aprowizacji, muszą zostać zaktualizowane lub usunięte w Centrum administracyjnym programu Exchange (EAC). Obejmuje to grupy zabezpieczeń z obsługą poczty programu Exchange i listy rozproszone. Aby uzyskać więcej informacji, zobacz Usuwanie grup zabezpieczeń z obsługą poczty. Ponadto operacja ForceDelete nie powiedzie się, jeśli któraś z następujących wartości ma wartość true:

Domena została zakupiona za pośrednictwem usług subskrypcji domeny platformy Microsoft 365
Jesteś partnerem administrowanym w imieniu innej organizacji klienta

Następujące akcje są wykonywane w ramach operacji ForceDelete :

Zmienia nazwy UPN, EmailAddress i ProxyAddress użytkowników z odwołaniami do niestandardowej nazwy domeny na początkową domyślną nazwę domeny.
Zmienia nazwę elementu EmailAddress grup z odwołaniami do niestandardowej nazwy domeny na początkową domyślną nazwę domeny.
Zmienia nazwę identyfikatorów identifierUris aplikacji z odwołaniami do niestandardowej nazwy domeny na początkową domyślną nazwę domeny.
Wyłącza konta użytkowników, których dotyczy opcja ForceDelete w centrum administracyjnym platformy Azure/Microsoft Entra, i opcjonalnie w przypadku korzystania z interfejsu API programu Graph.

Zwracany jest błąd, gdy:

Liczba obiektów do zmiany nazwy jest większa niż 1000
Jedną z aplikacji do zmiany nazwy jest wielodostępna aplikacja

Najlepsze rozwiązania dotyczące higieny domeny

Skorzystaj z wiarygodnego rejestratora, który udostępnia duże powiadomienia dotyczące zmian nazw domen, wygaśnięcia rejestracji, okresu prolongaty dla wygasłych domen i utrzymuje wysokie standardy zabezpieczeń w celu kontrolowania, kto ma dostęp do konfiguracji nazwy domeny i rekordów TXT. Zachowaj bieżące nazwy domen u rejestratora i zweryfikuj rekordy TXT pod kątem dokładności.

Jeśli celowo wygasa nazwa domeny lub przekazujesz własność innej osobie (niezależnie od dzierżawy firmy Microsoft Entra), usuń ją z dzierżawy microsoft Entra przed wygaśnięciem lub przeniesieniem.
Jeśli zezwolisz na wygaśnięcie nazwy domeny, jeśli możesz ją ponownie uaktywnić/odzyskać kontrolę, dokładnie przejrzyj wszystkie rekordy TXT u rejestratora, aby upewnić się, że nie doszło do naruszenia nazwy domeny.
Jeśli nie możesz natychmiast ponownie uaktywnić ani odzyskać kontroli nad nazwą domeny, usuń ją z dzierżawy firmy Microsoft Entra. Nie należy odczytywać/ponownie weryfikować, dopóki nie będzie można rozpoznać własności nazwy domeny i zweryfikować pełny rekord TXT pod kątem poprawności.

Uwaga

Firma Microsoft nie zezwoli na zweryfikowanie nazwy domeny z więcej niż jedną dzierżawą firmy Microsoft Entra. Po usunięciu nazwy domeny z dzierżawy nie będzie można ponownie dodać/ponownie zweryfikować jej w dzierżawie usługi Microsoft Entra, jeśli zostanie ona następnie dodana i zweryfikowana z inną dzierżawą firmy Microsoft Entra.

Często zadawane pytania

.: Dlaczego usunięcie domeny kończy się niepowodzeniem z powodu błędu, który wskazuje, że mam grupy mastered programu Exchange w tej nazwie domeny?
1: Obecnie niektóre grupy, takie jak grupy zabezpieczeń z włączoną obsługą poczty i listy rozproszone, są aprowizowane przez program Exchange i muszą zostać ręcznie wyczyszczone w Centrum administracyjnym programu Exchange. Mogą istnieć utrzymujące się adresy ProxyAddresses, które opierają się na niestandardowej nazwie domeny i muszą zostać zaktualizowane ręcznie do innej nazwy domeny.

.: Zalogowano się jako admin@contoso.com , ale nie mogę usunąć nazwy domeny "contoso.com"?
1: Nie można odwołać się do niestandardowej nazwy domeny, którą próbujesz usunąć w nazwie konta użytkownika. Upewnij się, że konto administratora globalnego używa początkowej domyślnej nazwy domeny (onmicrosoft.com), takiej jak admin@contoso.onmicrosoft.com. Zaloguj się przy użyciu innego konta administratora globalnego, które na przykład lub innej niestandardowej nazwy domeny, takiej jak admin@contoso.onmicrosoft.com "fabrikam.com", gdzie konto to admin@fabrikam.com.

.: Kliknij przycisk Usuń domenę i wyświetl In Progress stan operacji Usuń. Jak długo trwa? Co się stanie w przypadku niepowodzenia?
1: Operacja usuwania domeny jest asynchronicznym zadaniem w tle, które zmienia nazwę wszystkich odwołań do nazwy domeny. Ukończenie tego procesu może potrwać do 24 godzin. Jeśli usuwanie domeny nie powiedzie się, upewnij się, że nie masz następujących elementów:

Aplikacje skonfigurowane na nazwie domeny za pomocą identyfikatora appIdentifierURI
Dowolna grupa z włączoną obsługą poczty odwołującą się do niestandardowej nazwy domeny
Więcej niż 1000 odwołań do nazwy domeny
Domena, która ma zostać usunięta jako domena podstawowa organizacji

Należy również pamiętać, że opcja ForceDelete nie będzie działać, jeśli domena używa typu uwierzytelniania federacyjnego. W takim przypadku użytkownicy/grupy w domenie muszą zostać zmienione lub usunięte przy użyciu lokalna usługa Active Directory przed ponownym usunięciem domeny. Jeśli okaże się, że którekolwiek z warunków nie zostały spełnione, ręcznie wyczyść odwołania i spróbuj ponownie usunąć domenę.

Zarządzanie nazwami domen przy użyciu programu PowerShell lub interfejsu API programu Microsoft Graph

Większość zadań zarządzania dla nazw domen w identyfikatorze Entra firmy Microsoft można również wykonać przy użyciu programu Microsoft PowerShell lub programowo przy użyciu interfejsu API programu Microsoft Graph.

Udostępnij za pośrednictwem