Руководство по созданию и настройке управляемого домена доменных служб Azure Active Directory

Доменные службы Azure Active Directory (Azure AD DS) предоставляют управляемые доменные службы, отвечающие за присоединение к домену, применение групповой политики, использование протокола LDAP, а также выполнение аутентификации Kerberos или NTLM (полностью поддерживается Windows Server Active Directory). Эти доменные службы можно использовать без необходимости развертывать, администрировать и обновлять контроллеры домена. Azure AD DS интегрируется с существующим клиентом Azure AD. Такая интеграция позволяет пользователям входить в систему с корпоративными учетными данными. При этом вы можете использовать существующие группы и учетные записи пользователей для защиты доступа к ресурсам.

Вы можете создать управляемый домен, используя параметры конфигурации по умолчанию для сетевых подключений и синхронизации, или вручную определить эти параметры. В этом руководстве описано, как с помощью параметров по умолчанию создать и настроить управляемый домен Azure AD DS на портале Azure.

В этом руководстве описано следующее:

  • Общие сведения о требованиях к DNS для управляемого домена
  • Создание управляемого домена
  • Включение синхронизации хэшированных паролей

Если у вас еще нет подписки Azure, создайте учетную запись Azure, прежде чем начинать работу.

Предварительные требования

Для работы с этим учебником требуются следующие ресурсы и разрешения:

Хотя это и не обязательно для Azure AD DS, рекомендуем настроить самостоятельный сброс пароля (SSPR) для клиента Azure AD. Пользователи могут менять свой пароль без SSPR. Однако SSPR помогает в случае, если они забыли пароль и им нужно сбросить его.

Важно!

Управляемый домен нельзя переносить в другую подписку, группу ресурсов, регион, виртуальную сеть или подсеть после создания. Выберите наиболее подходящую подписку, группу ресурсов, регион, виртуальную сеть и подсеть при развертывании управляемого домена.

Вход на портал Azure

При работе с этим учебником вы создадите и настроите управляемый домен с помощью портала Azure. Чтобы начать работу, войдите на портал Azure.

Создание управляемого домена

Чтобы запустить мастер включения доменных служб Azure AD, выполните указанные ниже действия.

  1. На домашней странице или в меню портала Azure выберите Создать ресурс.
  2. В строке поиска введите Доменные службы и выберите Доменные службы Azure AD в списке вариантов.
  3. На странице "Доменные службы Azure AD" щелкните Создать. Запустится мастер включения доменных служб Azure AD.
  4. Выберите подписку Azure, в которой следует создать управляемый домен.
  5. Выберите группу ресурсов, к которой должен относиться управляемый домен. Щелкните Создать или выберите существующую группу ресурсов.

При создании управляемого домена нужно указать имя DNS. При выборе имени DNS следует учитывать ряд рекомендаций.

  • Встроенное доменное имя. По умолчанию используется стандартное доменное имя каталога (с суффиксом .onmicrosoft.com). Если вы хотите разрешить для управляемого домена доступ по защищенному протоколу LDAP, вы не сможете создать цифровой сертификат для защиты подключения к домену по умолчанию. Домен onmicrosoft.com принадлежит корпорации Майкрософт, поэтому центр сертификации не будет выдавать для него сертификаты.
  • Имена личных доменов. Популярный подход заключается в том, чтобы указать имя личного домена. Обычно оно принадлежит вашей организации и поддерживает маршрутизацию. При использовании личного домена с поддержкой маршрутизации трафик можно передавать так, нужно приложениям.
  • Суффиксы доменов, не поддерживающие маршрутизацию. Обычно мы рекомендуем не использовать суффиксы доменных имен, не поддерживающие маршрутизацию, такие как contoso.local. Суффикс .local не маршрутизируется и его использование может привести к ошибкам при разрешении имен DNS.

Совет

Если вы создаете личное доменное имя, важно не допускать конфликтов с существующими пространствами имен DNS. Рекомендуется использовать доменное имя отдельно от существующего локального пространства имен DNS или пространства имен DNS от Azure.

Например, если вы используете существующее пространство имен DNS contoso.com, создайте управляемый домен с именем личного домена aaddscontoso.com. Если вам нужно использовать защищенный протокол LDAP, необходимо зарегистрировать и присвоить это имя личного домена, чтобы создать необходимые сертификаты.

Возможно, вам потребуется создать дополнительные записи DNS для других служб в среде или условные серверы переадресации DNS между существующими пространствами имен DNS в вашей среде. Например, если корневое имя DNS используется в качестве адреса сайта, размещенного на веб-сервере, могут возникнуть конфликты имен, для устранения которых потребуются дополнительные записи DNS.

В этих руководствах и инструкциях в качестве примера используется личный домен aaddscontoso.com. Используйте во всех командах собственное доменное имя.

Также применимы следующие ограничения в отношении DNS:

  • Ограничения для префикса домена. Невозможно создать управляемый домен с префиксом длиннее 15 символов. Длина указанного префикса доменного имени (например, aaddscontoso в доменном имени aaddscontoso.com) не должна превышать 15 символов.
  • Конфликты сетевых имен. Нельзя использовать для управляемого домена имя DNS, которое уже существует в виртуальной сети. В частности, к конфликту имен приведут следующие сценарии:
    • Если в виртуальной сети уже существует домен Active Directory с таким же доменным именем DNS.
    • Если для виртуальной сети, в которой планируется использовать управляемый домен, установлено VPN-подключение к локальной сети. в этом случае необходимо убедиться в том, что в локальной сети нет домена с таким же DNS-именем домена;
    • Если в виртуальной сети Azure существует облачная служба Azure с таким же именем.

Заполните поля в окне Основные данные на портале Azure, чтобы создать управляемый домен:

  1. Введите доменное имя DNS для управляемого домена, учитывая описанные выше ограничения.

  2. Выберите расположение Azure, в котором необходимо создать управляемый домен. Если вы выбрали регион, который поддерживает Зоны доступности Azure, ресурсы Azure AD DS распределяются между зонами для обеспечения дополнительной избыточности.

    Совет

    Зоны доступности — уникальные физические расположения в пределах одного региона Azure. Каждая зона состоит из одного или нескольких центров обработки данных, оснащенных независимыми системами электроснабжения, охлаждения и сетевого взаимодействия. Чтобы обеспечить устойчивость, во всех включенных областях используются минимум три отдельные зоны.

    Вы не можете настроить распределение Azure AD DS между зонами. Платформа Azure автоматически обрабатывает распределение ресурсов зоны. Дополнительные сведения о зонах доступности и регионах см. в статье Что такое зоны доступности в Azure?.

  3. Номер SKU определяет производительность и частоту резервного копирования. Если коммерческие или другие требования изменятся, SKU можно будет изменить после создания управляемого домена. Дополнительные сведения см. в статье об основных понятиях SKU Azure AD DS.

    Для работы с этим руководством выберите SKU категории Стандартный.

  4. Лес — это логическая конструкция, используемая доменными службами Active Directory для группирования одного или нескольких доменов. По умолчанию управляемый домен создается как лес объектов User. Лес этого типа синхронизирует все объекты из Azure AD, включая учетные записи пользователей, созданные в локальной среде AD DS.

    Лес ресурсов синхронизирует только пользователей и группы, созданные непосредственно в Azure AD. Дополнительные сведения о лесах ресурсов, в том числе об их предназначении и о создании доверия между лесами и локальными доменами AD DS, см. в этой статье.

    Для работы с этим учебником создайте лес пользователей.

    Настройка базовых параметров для управляемого домена доменных служб Azure Active Directory

Для быстрого создания управляемого домена можно выбрать Просмотр и создание, чтобы принять дополнительные параметры конфигурации по умолчанию. При выборе этого параметра создания настраиваются следующие значения по умолчанию:

  • Создается виртуальная сеть с именем aadds-vnet, которая использует диапазон IP-адресов 10.0.2.0/24.
  • Создается подсеть с именем aadds-vnet, которая использует диапазон IP-адресов 10.0.2.0/24.
  • Синхронизируются все пользователи из Azure AD в управляемый домен.

Выберите Просмотр и создание, чтобы принять эти параметры конфигурации по умолчанию.

Развертывание управляемого домена

На странице Сводка в мастере просмотрите параметры конфигурации для своего управляемого домена. Вы всегда можете вернуться к любому шагу мастера и внести изменения. Чтобы согласованно повторно развернуть управляемый домен в другой клиент Azure AD с помощью этих же параметров конфигурации, можно также выполнить действие Скачать шаблон для автоматизации.

  1. Чтобы создать управляемый домен, щелкните Создать. Отобразится примечание о том, что некоторые параметры конфигурации, такие как DNS-имя или виртуальная сеть, нельзя изменить после создания управляемого домена Azure AD DS. Чтобы продолжить, нажмите кнопку ОК.

  2. Процесс подготовки управляемого домена может занять до одного часа. На портале отображается уведомление, которое демонстрирует ход выполнения развертывания Azure AD DS. Щелкните это уведомление, чтобы просмотреть подробное описание процесса развертывания.

    Уведомление на портале Azure для выполняемого развертывания

  3. На странице будут загружены обновления процесса развертывания, включая создание ресурсов в каталоге.

  4. Выберите группу ресурсов, например myResourceGroup, а затем в списке ресурсов Azure выберите управляемый домен, например aaddscontoso.com. На вкладке Обзор можно увидеть, что сейчас выполняется развертывание управляемого домена. Настроить управляемый домен можно только после его полной подготовки.

    Состояние доменных служб на этапе подготовки

  5. После полной подготовки управляемого домена на вкладке Обзор состояние домена отображается как Выполняется.

    Состояние доменных служб после успешного завершения подготовки

Важно!

Управляемый домен связан с вашим клиентом Azure AD. В процессе подготовки Azure AD DS создает в вашем клиенте Azure AD два корпоративных приложения с именами Domain Controller Services и AzureActiveDirectoryDomainControllerServices. Эти корпоративные приложения нужны для обслуживания управляемого домена. Не удаляйте эти приложения.

Обновление настроек DNS для виртуальной сети Azure

После успешного развертывания Azure AD DS следует настроить виртуальную сеть, чтобы другие подключенные виртуальные машины и приложения могли использовать управляемый домен. Чтобы создать такое подключение, измените параметры DNS-сервера для виртуальной сети, указав IP-адреса развертывания управляемого домена.

  1. На вкладке Обзор для управляемого домена отображаются некоторые требуемые шаги конфигурации. Первый из них — обновление параметров DNS-сервера для виртуальной сети. После правильной настройки параметров DNS этот шаг исчезает из списка.

    Указанные здесь адреса принадлежат контроллерам домена для использования в виртуальной сети. В нашем примере это адреса 10.0.2.4 и 10.0.2.5. Эти IP-адреса вы можете найти на вкладке Свойства.

    Включение IP-адресов доменных служб Azure AD в параметры DNS для виртуальной сети

  2. Щелкните Настроить, чтобы обновить параметры DNS-сервера для виртуальной сети. Параметры DNS автоматически настраиваются для виртуальной сети.

Совет

Если на предыдущих шагах вы выбрали существующую виртуальную сеть, все виртуальные машины в этой сети получат новые параметры DNS только после перезапуска. Виртуальные машины можно перезапустить с помощью портала Azure, Azure CLI или Azure PowerShell.

Включение учетных записей пользователей для Azure AD DS

Чтобы выполнять аутентификацию пользователей в управляемом домене, Azure AD DS использует хэши паролей в формате, требуемом для аутентификации NTLM и Kerberos. Пока вы не включите Azure AD DS для клиента, Azure AD не будет создавать и хранить хэши паролей в формате, требуемом для аутентификации NTLM или Kerberos. Из соображений безопасности Azure AD никогда не хранит пароли в виде открытого текста. Поэтому Azure AD не может автоматически создать хэши паролей в формате NTLM или Kerberos по уже существующим учетным данным пользователей.

Примечание

После настройки хэши паролей в требуемом формате сохраняются в управляемом домене. Если вы удалите управляемый домен, вместе с ним будут удалены все сохраненные хэши паролей.

Синхронизированные в Azure AD учетные данные нельзя использовать повторно, если вы снова создадите управляемый домен. Вам придется повторно настраивать синхронизацию хэшей паролей, чтобы сохранить их. Ранее присоединенные к домену виртуальные машины и пользователи не смогут сразу выполнить аутентификацию, пока Azure AD не создаст и не сохранит хэши паролей в новом управляемом домене.

Облачная синхронизация Azure AD Connect не поддерживается в Azure AD DS. Для доступа к присоединенным к домену виртуальным машинам локальные пользователи должны быть синхронизированы с помощью Azure AD Connect. См. сведения о синхронизации хэшей паролей в Azure AD DS и Azure AD Connect.

Этапы создания и сохранения хэшей паролей будут разными для облачных учетных записей, созданных в Azure AD, и учетных записей, синхронизируемых из локального каталога с помощью Azure AD Connect.

Облачная учетная запись пользователей — это учетная запись, созданная в каталоге Azure AD с помощью портала Azure или командлетов Azure AD PowerShell. Такие учетные записи пользователей не синхронизируются из локального каталога.

В этом руководстве мы будем использовать простой вариант облачной учетной записи. Дополнительные шаги, которые потребуются для использования Azure AD Connect, см. в руководстве по синхронизации хэшей паролей для учетных записей пользователей, синхронизируемых из локального каталога Azure AD в управляемый домен.

Совет

Если клиент Azure AD содержит и пользователей в облаке, и пользователей из локального каталога Azure AD, необходимо выполнить оба блока действий.

При использовании облачных учетных записей пользователям нужно сменить пароль, чтобы получить доступ к Azure AD DS. При смене пароля хэши паролей автоматически создаются и сохраняются в Azure AD для аутентификации Kerberos и NTLM. Данные об учетной записи не синхронизируются из Azure AD в Azure AD DS, пока пароль не будет изменен. Вы можете принудительно завершить срок действия паролей для всех пользователей облака в арендаторе, использующем Azure AD DS, что приведет к изменению пароля при следующем входе, или сообщите пользователям облака о необходимости изменить свои пароли вручную. В этом руководстве описано, как изменить пароль пользователя вручную.

Чтобы пользователь мог сменить свой пароль, для клиента Azure AD должна быть включена функция самостоятельного сброса пароля.

Чтобы изменить пароль для облачного пользователя, выполните от его имени следующие действия:

  1. Откройте Панель доступа Azure AD по адресу https://myapps.microsoft.com.

  2. Вверху справа щелкните имя и выберите Профиль в раскрывающемся меню.

    Выбор параметра

  3. На странице Профиль щелкните Изменить пароль.

  4. На странице Изменение пароля введите существующий (старый) пароль, а затем введите и подтвердите новый пароль.

  5. Нажмите кнопку Submit (Отправить).

Новый пароль становится работоспособным в Azure AD DS через несколько минут после изменения, позволяя выполнять вход на компьютеры, которые объединены в управляемый домен.

Дальнейшие действия

В этом руководстве вы узнали, как выполнять следующие задачи:

  • Общие сведения о требованиях к DNS для управляемого домена
  • Создание управляемого домена
  • Добавление пользователей с правами администратора в службу управления доменами
  • Включение учетных записей пользователей для Azure AD DS и создание хэшей паролей

Прежде чем присоединять к домену виртуальные машины и развертывать приложения, использующие управляемый домен, настройте виртуальную сеть Azure для рабочих нагрузок приложений.

Tutorial: Configure virtual networking for an Azure Active Directory Domain Services instance (Учебник по настройке виртуальных сетей для экземпляра доменных служб Azure Active Directory)