Perguntas frequentes sobre o Microsoft Entra Domain Services

Não. Você só pode criar um único domínio gerenciado atendido pelo Microsoft Entra Domain Services para cada diretório Microsoft Entra.

Não há suporte para redes virtuais clássicas.

Para obter mais informações, confira o aviso oficial de preterimento.

Sim. O Microsoft Entra Domain Services pode ser habilitado em uma rede virtual do Azure Resource Manager. As redes virtuais clássicas do Azure não estão mais disponíveis quando você cria um domínio gerenciado.

Sim. Para obter mais informações, confira como habilitar o Microsoft Entra Domain Services em assinaturas do CSP do Azure.

O próprio serviço não oferece suporte diretamente para esse cenário. Seu domínio gerenciado está disponível somente em uma rede virtual por vez. No entanto, é possível configurar a conectividade entre várias redes virtuais para expor o Microsoft Entra Domain Services a outras redes virtuais. Para obter mais informações, confira como conectar redes virtuais no Azure usando gateways de VPN ou emparelhamento de rede virtual.

Não. O domínio fornecido pelo Microsoft Entra Domain Services é um domínio gerenciado. Você não precisa provisionar, configurar ou gerenciar controladores de domínio para esse domínio. Essas atividades de gerenciamento são fornecidas como um serviço pela Microsoft. Portanto, não é possível adicionar outros controladores de domínio (leitura-gravação ou somente leitura) ao domínio gerenciado.

Sim. É possível criar conjuntos de réplicas que compartilham o mesmo namespace e configuração com seu domínio gerenciado. Os conjuntos de réplicas podem ser adicionados a qualquer rede virtual emparelhada em qualquer região do Azure com suporte ao Domain Services.
Para obter mais informações, confira Conceitos e recursos de conjuntos de réplicas para o Microsoft Entra Domain Services.

Não. Para autenticar usuários via NTLM ou Kerberos, o Microsoft Entra Domain Services precisa acessar os hashes de senha das contas de usuário. Em um diretório federado, os hashes de senha não ficam armazenados no diretório do Microsoft Entra. Portanto, o Microsoft Entra Domain Services não funciona com esses diretórios do Microsoft Entra.

No entanto, se você estiver usando o Microsoft Entra Connect para sincronização de hash de senha, poderá usar o Microsoft Entra Domain Services porque os valores de hash de senha são armazenados no Microsoft Entra ID.

Sim. Para obter mais informações, confira como habilitar o Microsoft Entra Domain Services usando o PowerShell.

Sim, é possível criar um domínio gerenciado do Microsoft Entra Domain Services usando um modelo do Resource Manager. É preciso criar uma entidade de serviço e um grupo para administração do Microsoft Entra ID usando o centro de administração do Microsoft Entra ou o PowerShell antes que o modelo seja implantado. Quando você cria um domínio gerenciado do Microsoft Entra Domain Services no centro de administração do Microsoft Entra, também existe uma opção de exportação do modelo para utilização em outras implantações. Para obter mais informações, confira Criar um domínio gerenciado do Domain Services usando um modelo do Azure Resource Manager.

Não. Os usuários convidados para o diretório do Microsoft Entra pelo processo de convite Microsoft Entra B2B são sincronizados com seu domínio gerenciado do Microsoft Entra Domain Services. No entanto, as senhas desses usuários não ficam armazenadas no diretório do Microsoft Entra. Ou seja, o Microsoft Entra Domain Services não tem como sincronizar hashes Kerberos e NTLM desses usuários no domínio gerenciado. Esses usuários não podem entrar ou ingressar em computadores no domínio gerenciado.

Sim, é possível criar uma relação de confiança bidirecional. Também é possível criar uma relação de confiança unidirecional de saída ou uma relação de confiança unidirecional de entrada para dar suporte a diferentes cenários de autenticação e acesso de usuários. Para obter mais informações, confira Criar uma relação de confiança na floresta.

Atualmente, o Domain Services dá suporte apenas à confiança da floresta e não dão suporte a relações de confiança de domínio externas.

Após criar um domínio gerenciado do Domain Services, não será possível movê-lo para uma assinatura, grupo de recursos ou uma região diferente. Para alterar a região, uma possível solução alternativa seria implantar um novo conjunto de réplicas na região para a qual você deseja migrar. Depois que isso for concluído, exclua o conjunto de réplicas na região que você não deseja mais. Como uma solução alternativa para o restante das configurações, é possível excluir o domínio gerenciado usando o PowerShell ou o Centro de administração do Microsoft Entra e recriá-lo com a configuração desejada. Nenhuma operação de restauração pode ser fornecida enquanto o domínio gerenciado é recriado.

Não. Após criar um domínio gerenciado do Microsoft Entra Domain Services, não será possível alterar o nome de domínio DNS. Escolha o nome de domínio DNS com cuidado ao criar o domínio gerenciado. Para ver as considerações necessárias na escolha do nome de domínio DNS, confira o tutorial para criar e configurar um domínio gerenciado do Microsoft Entra Domain Services.

Sim. Cada domínio gerenciado do Microsoft Entra Domain Services inclui dois controladores de domínio. Você não gerencia ou se conecta a esses controladores de domínio, eles fazem parte do serviço gerenciado. Se você implantar o Microsoft Entra Domain Services em uma região que dá suporte a Zonas de Disponibilidade, os controladores de domínio serão distribuídos entre as zonas. Em regiões que não dão suporte a Zonas de Disponibilidade, os controladores de domínio são distribuídos entre Conjuntos de Disponibilidade. Você não tem opções de configuração ou controle de gerenciamento sobre esta distribuição. Para obter mais informações, confira Opções de disponibilidade para máquinas virtuais no Azure.

Não. Você não tem permissões para se conectar aos controladores de domínio do domínio gerenciado usando a Área de Trabalho Remota. Os membros do grupo Administradores de controladores de domínio do Microsoft Entra podem administrar o domínio gerenciado com as ferramentas de administração do AD, por exemplo, o ADAC (Centro de Administração do Active Directory) ou o AD PowerShell. Essas ferramentas são instaladas usando o recurso Ferramentas de Administração de Servidor Remoto em um servidor Windows ingressado no domínio gerenciado. Para obter mais informações, confira Criar uma VM de gerenciamento para configurar e administrar um domínio gerenciado do Microsoft Entra Domain Services.

Qualquer conta de usuário que faça parte do domínio gerenciado pode ingressar em uma VM. Os membros do grupo Administradores de controladores de domínio do Microsoft Entra recebem acesso à área de trabalho remota de computadores que ingressaram no domínio.

Não existe cota no Domain Services de computadores ingressados no domínio.

As VMs que são executadas no Azure são sincronizadas com hosts do Azure por obter um tempo altamente preciso. As VMs não pertencentes ao Azure que são executadas localmente precisam ter os Serviços de Tempo do Windows configurados para sincronização com uma fonte de tempo NTP externa, da mesma forma que as VMs conectadas ao domínio. Para obter mais informações, confira Configurar o mecanismo de tempo para Máquinas Virtuais do Windows do Active Directory no Azure.

Não. Você não recebe privilégios administrativos no domínio gerenciado. Os privilégios de Administrador de Domínio e Administrador Corporativo não estão disponíveis para você usar no domínio. Membros do administrador de domínio ou os grupos de administradores corporativos no seu Active Directory local também não receberão privilégios de administrador do domínio/administrador corporativo para o domínio gerenciado.

Usuários e grupos que são sincronizados do Microsoft Entra ID para o Microsoft Entra Domain Services não podem ser modificados porque sua fonte de origem é o Microsoft Entra ID. Isso inclui a movimentação de usuários ou grupos da unidade organizacional gerenciada Usuários do AADDC para uma unidade organizacional personalizada. Qualquer usuário ou grupo originado no domínio gerenciado pode ser modificado.

Não. A associação de Administração de domínio é necessária para autorizar um servidor DHCP, que não está disponível em um domínio gerenciado.

As alterações feitas no diretório do Microsoft Entra com a interface do usuário do Microsoft Entra ou do PowerShell são sincronizadas automaticamente com o domínio gerenciado. Esse processo de sincronização ocorre em segundo plano. Não há nenhum período de tempo definido para que essa sincronização conclua todas as alterações de objeto.

Não. O esquema é administrado pela Microsoft para o domínio gerenciado. O Microsoft Entra Domain Services não dá suporte a extensões de esquema.

Sim. Os membros do grupo Administradores de controladores de domínio do Microsoft Entra recebem privilégios de Administrador de DNS para modificar os registros DNS no domínio gerenciado. Esses usuários podem usar o console do Gerenciador de DNS em um computador que executa o Windows Server ingressado no domínio gerenciado para gerenciar o DNS. Para usar o console do Gerenciador DNS, instale Ferramentas de Servidor DNS, que fazem parte do recurso opcional de Ferramentas de Administração de Servidor Remoto no servidor. Para obter mais informações, confira Administrar DNS em um domínio gerenciado do Microsoft Entra Domain Services.

A vida útil da senha padrão em um domínio gerenciado do Microsoft Entra Domain Services é de 90 dias. Essa vida útil da senha não está sincronizada à vida útil da senha configurada no Microsoft Entra ID. Portanto, é possível que as senhas dos usuários venham a expirar no domínio gerenciado, mas ainda sejam válidas no Microsoft Entra ID. Em tais situações, os usuários precisarão alterar a senha no Microsoft Entra ID para que ela seja sincronizada com o domínio gerenciado. Se desejar alterar a vida útil da senha padrão em um domínio gerenciado, você poderá criar e configurar políticas de senha personalizadas.

Além disso, a política de senha do Microsoft Entra para DisablePasswordExpiration é sincronizada com um domínio gerenciado. Quando DisablePasswordExpiration é aplicado a um usuário no Microsoft Entra ID, o valor UserAccountControl aplica DONT_EXPIRE_PASSWORD ao usuário sincronizado no domínio gerenciado.

Quando os usuários redefinem sua senha no Microsoft Entra ID, o atributo forceChangePasswordNextSignIn=True é aplicado. Um domínio gerenciado sincroniza esse atributo com base no Microsoft Entra ID. Quando o domínio gerenciado detecta que forceChangePasswordNextSignIn está definido para um usuário sincronizado do Microsoft Entra ID, o atributo pwdLastSet no domínio gerenciado é definido como 0, o que invalida a senha definida no momento.

Sim. Cinco tentativas de senha inválida em dois minutos no domínio gerenciado fazem com que uma conta de usuário seja bloqueada por 30 minutos. Depois de 30 minutos, a conta de usuário será desbloqueada automaticamente. Tentativas de senha inválida no domínio gerenciado não bloqueiam a conta de usuário no Microsoft Entra ID. A conta de usuário é bloqueada somente no domínio gerenciado do Microsoft Entra Domain Services. Para obter mais informações, confira Políticas de bloqueio de senha e conta em domínios gerenciados.

Não. O DFS (Sistema de Arquivos Distribuído) e a replicação não ficam disponíveis durante o uso do Microsoft Entra Domain Services.

Os controladores de domínio em um domínio gerenciado aplicam automaticamente as atualizações necessárias do Windows. Não há nada para você configurar ou administrar aqui. Verifique se você não criou regras de grupo de segurança de rede que bloqueiem o tráfego de saída para o Windows Update. Para suas próprias VMs ingressadas no domínio gerenciado, você é responsável por configurar e aplicar todas as atualizações necessárias do sistema operacional e do aplicativo.

Como as tags AzureUpdateDelivery e AzureFrontDoor.FirstParty foram preteridas, o Microsoft Entra Domain Services não recomenda mais adicionar essas tags ao tráfego de saída da Internet. Se você usar a regra AllowInternetOutBound padrão (prioridade 65001), nenhuma alteração será necessária (com ou sem rótulos AzureUpdateDelivery e AzureFrontDoor.FirstParty). Se você remover a regra AllowInternetOutBound padrão (prioridade 65001) ou precedê-la com uma regra InternetOutBound negada, use um firewall para filtrar o tráfego de saída do Windows Update usando o FQDN do WindowsUpdate em vez de restringir o InternetOutBound. Essa etapa é crucial para que o Microsoft Entra Domain Services continue recebendo atualizações do Windows. Para obter mais informações, confira Alterações na marca de serviço AzureUpdateDelivery.

O Microsoft Entra Domain Services armazena dados do cliente. Por padrão, os dados do cliente permanecem dentro da região em que a instância de serviço é implantada. Os clientes podem usar conjuntos de réplicas para armazenar dados em outras regiões.

Os patches são instalados assim que ficam disponíveis (a cada duas terças-feiras). Eles são instalados em fases durante a semana em que ficam disponíveis, a partir das terças-feiras.

É possível que os nomes dos controladores de domínio sejam alterados durante sua manutenção. Para evitar problemas com esse tipo de alteração, é recomendável não usar os nomes dos controladores de domínio inseridos no código de aplicativos e/ou em outros recursos de domínio, somente o FQDN do domínio. Dessa forma, independentemente dos nomes dos controladores de domínio, você não precisará reconfigurar nada após uma alteração de nome.

A senha da conta KRBTGT em um domínio gerenciado é renovada a cada sete (7) dias.

Sim. Para obter mais informações, confira a página de preço.

O Microsoft Entra Domain Services está incluído na avaliação gratuita do Azure. É possível criar conta para uma avaliação gratuita de um mês do Azure.

Não. Depois que um domínio gerenciado do Microsoft Entra Domain Services é habilitado, o serviço fica disponível na rede virtual selecionada até que o domínio gerenciado seja excluído. Não é possível pausar o serviço. A cobrança continuará por hora até que você exclua o domínio gerenciado.

Sim, para fornecer resiliência geográfica a um domínio gerenciado, você poderá criar outro conjunto de réplicas para uma rede virtual emparelhada em qualquer região do Azure que dê suporte ao Microsoft Entra Domain Services. Os conjuntos de réplicas compartilham o mesmo namespace e configuração com o domínio gerenciado.

Não. O Microsoft Entra Domain Services é um serviço do Azure de pagamento conforme o uso e não faz parte do EMS. O Microsoft Entra Domain Services pode ser usado com todas as edições do Microsoft Entra ID (Gratuito e Premium). Você será cobrado por hora, dependendo do uso.

Não. O Microsoft Entra Domain Services tem um design de domínio único e floresta única, ou seja, não é possível criar domínios filho.

Confira a página Serviços do Azure por região para conhecer as regiões do Azure nas quais o Microsoft Entra Domain Services está disponível.

Solução de problemas

Confira o Guia de solução de problemas a fim de obter soluções para os problemas comuns encontrados ao configurar ou administrar os Azure AD Domain Services.

Próximas etapas

Para saber mais sobre o Microsoft Entra Domain Services, consulte O que é o Microsoft Entra Domain Services?.

Para começar, confira Criar e configurar um domínio gerenciado do Microsoft Entra Domain Services.