Självstudie: Konfigurera virtuella nätverk för en Azure Active Directory Domäntjänster hanterad domän

För att tillhandahålla anslutning till användare och program distribueras en Azure Active Directory Domäntjänster (Azure AD DS) till ett virtuellt Azure-nätverksundernät. Det här virtuella nätverksundernätet bör endast användas för de hanterade domänresurser som tillhandahålls av Azure-plattformen.

När du skapar egna virtuella datorer och program bör de inte distribueras till samma virtuella nätverksundernät. I stället bör du skapa och distribuera dina program till ett separat virtuellt nätverksundernät eller i ett separat virtuellt nätverk som är peerkopplat till det virtuella Azure AD DS-nätverket.

Den här självstudien visar hur du skapar och konfigurerar ett dedikerat virtuellt nätverksundernät eller hur du peerkopplar ett annat nätverk till den virtuella Azure AD DS-hanterade domänens virtuella nätverk.

I den här guiden får du lära dig att:

  • Förstå anslutningsalternativen för virtuella nätverk för domänanslutna resurser till Azure AD DS
  • Skapa ett IP-adressintervall och ytterligare undernät i det virtuella Azure AD DS-nätverket
  • Konfigurera peering för virtuella nätverk till ett nätverk som är separat från Azure AD DS

Om du inte har någon Azure-prenumeration skapar du ett konto innan du börjar.

Förutsättningar

För att slutföra den här självstudien behöver du följande resurser och behörigheter:

Logga in på Azure Portal

I den här självstudien skapar och konfigurerar du den hanterade domänen med hjälp av Azure Portal. Kom igång genom att först logga in på Azure Portal.

Anslutningsalternativ för programarbetsbelastning

I föregående självstudie skapades en hanterad domän som använde några standardkonfigurationsalternativ för det virtuella nätverket. De här standardalternativen skapade ett virtuellt Azure-nätverk och ett undernät för virtuellt nätverk. De Azure AD DS-domänkontrollanter som tillhandahåller hanterade domäntjänster är anslutna till det här virtuella nätverkets undernät.

När du skapar och kör virtuella datorer som behöver använda den hanterade domänen måste nätverksanslutning tillhandahållas. Den här nätverksanslutningen kan tillhandahållas på något av följande sätt:

  • Skapa ytterligare ett virtuellt nätverksundernät i den hanterade domänens virtuella nätverk. Det här ytterligare undernätet är där du skapar och ansluter dina virtuella datorer.
    • Eftersom de virtuella datorerna ingår i samma virtuella nätverk kan de automatiskt utföra namnmatchning och kommunicera med Azure AD DS-domänkontrollanterna.
  • Konfigurera peering för virtuella Azure-nätverk från den hanterade domänens virtuella nätverk till ett eller flera separata virtuella nätverk. Dessa separata virtuella nätverk är där du skapar och ansluter dina virtuella datorer.
    • När du konfigurerar peering för virtuella nätverk måste du också konfigurera DNS-inställningar för att använda namnmatchning tillbaka till Azure AD DS-domänkontrollanterna.

Vanligtvis använder du bara något av dessa alternativ för nätverksanslutning. Valet beror ofta på hur du vill hantera separata Azure-resurser.

  • Om du vill hantera Azure AD DS och anslutna virtuella datorer som en resursgrupp kan du skapa ytterligare ett virtuellt nätverksundernät för virtuella datorer.
  • Om du vill separera hanteringen av Azure AD DS och sedan alla anslutna virtuella datorer kan du använda peering för virtuella nätverk.
    • Du kan också välja att använda peering för virtuella nätverk för att tillhandahålla anslutning till befintliga virtuella datorer i din Azure-miljö som är anslutna till ett befintligt virtuellt nätverk.

I den här självstudien behöver du bara konfigurera ett av dessa anslutningsalternativ för virtuella nätverk.

Mer information om hur du planerar och konfigurerar det virtuella nätverket finns i nätverksöverväganden för Azure Active Directory Domain Services.

Skapa ett virtuellt nätverksundernät

Som standard innehåller det virtuella Azure-nätverk som skapats med den hanterade domänen ett enda virtuellt nätverksundernät. Det här virtuella nätverksundernätet bör endast användas av Azure-plattformen för att tillhandahålla hanterade domäntjänster. Skapa ytterligare ett undernät för att skapa och använda dina egna virtuella datorer i det här virtuella Azure-nätverket.

Utför följande steg för att skapa ett virtuellt nätverksundernät för virtuella datorer och programarbetsbelastningar:

  1. I Azure Portal väljer du resursgruppen för din hanterade domän, till exempel myResourceGroup. I listan över resurser väljer du det virtuella standardnätverket, till exempel aadds-vnet.

  2. I den vänstra menyn i fönstret för det virtuella nätverket väljer du Adressutrymme. Det virtuella nätverket skapas med ett enda adressutrymme på 10.0.2.0/24, som används av standardundernätet.

    Lägg till ytterligare ett IP-adressintervall i det virtuella nätverket. Storleken på det här adressintervallet och det faktiska IP-adressintervallet som ska användas beror på andra nätverksresurser som redan har distribuerats. IP-adressintervallet bör inte överlappa några befintliga adressintervall i din Azure- eller lokala miljö. Se till att storleken på IP-adressintervallet är tillräckligt stort för det antal virtuella datorer som du förväntar dig att distribuera till undernätet.

    I följande exempel läggs ett ytterligare IP-adressintervall på 10.0.3.0/24 till. När du är klar väljer du Spara.

    Add an additional virtual network IP address range in the Azure portal

  3. I den vänstra menyn i fönstret virtuellt nätverk väljer du Sedan Undernät och sedan + Undernät för att lägga till ett undernät.

  4. Ange ett namn för undernätet, till exempel arbetsbelastningar. Om det behövs uppdaterar du adressintervallet om du vill använda en delmängd av IP-adressintervallet som konfigurerats för det virtuella nätverket i föregående steg. För tillfället lämnar du standardinställningarna för alternativ som nätverkssäkerhetsgrupp, routningstabell, tjänstslutpunkter.

    I följande exempel skapas ett undernät med namnet arbetsbelastningar som använder IP-adressintervallet 10.0.3.0/24 :

    Add an additional virtual network subnet in the Azure portal

  5. När du är klar väljer du OK. Det tar en stund att skapa det virtuella nätverkets undernät.

När du skapar en virtuell dator som behöver använda den hanterade domänen kontrollerar du att du väljer det här virtuella nätverksundernätet. Skapa inte virtuella datorer i standardnätet aadds-undernät. Om du väljer ett annat virtuellt nätverk finns det ingen nätverksanslutning och DNS-matchning för att nå den hanterade domänen om du inte konfigurerar peering för virtuella nätverk.

Konfigurera peering för virtuella nätverk

Du kanske har ett befintligt virtuellt Azure-nätverk för virtuella datorer eller vill hålla ditt virtuella nätverk för hanterade domäner åtskilda. För att kunna använda den hanterade domänen behöver virtuella datorer i andra virtuella nätverk ett sätt att kommunicera med Azure AD DS-domänkontrollanterna. Den här anslutningen kan tillhandahållas med peering för virtuella Azure-nätverk.

Med peering för virtuella Azure-nätverk är två virtuella nätverk anslutna tillsammans, utan att behöva en VPN-enhet (virtual private network). Med nätverkspeering kan du snabbt ansluta virtuella nätverk och definiera trafikflöden i din Azure-miljö.

Mer information om peering finns i Översikt över peering för virtuella Azure-nätverk.

Utför följande steg för att peer-koppla ett virtuellt nätverk till det virtuella nätverket för den hanterade domänen:

  1. Välj det virtuella standardnätverk som skapats för din hanterade domän med namnet aadds-vnet.

  2. I den vänstra menyn i fönstret virtuellt nätverk väljer du Peerings.

  3. Om du vill skapa en peering väljer du + Lägg till. I följande exempel peerkopplas standard-aadds-vnet till ett virtuellt nätverk med namnet myVnet. Konfigurera följande inställningar med dina egna värden:

    • Namn på peering från aadds-vnet till fjärranslutna virtuella nätverk: En beskrivande identifierare för de två nätverken, till exempel aadds-vnet-to-myvnet
    • Distributionstyp för virtuellt nätverk: Resource Manager
    • Prenumeration: Prenumerationen på det virtuella nätverk som du vill peer-koppla till, till exempel Azure
    • Virtuellt nätverk: Det virtuella nätverk som du vill peerkoppla till, till exempel myVnet
    • Namn på peering från myVnet till aadds-vnet: En beskrivande identifierare för de två nätverken, till exempel myvnet-to-aadds-vnet

    Configure virtual network peering in the Azure portal

    Lämna andra standardinställningar för åtkomst till virtuella nätverk eller vidarebefordrad trafik om du inte har specifika krav för din miljö och välj sedan OK.

  4. Det tar en stund att skapa peering på både det virtuella Azure AD DS-nätverket och det virtuella nätverk som du valde. När du är klar rapporterar peeringstatusenAnsluten, som du ser i följande exempel:

    Successfully connected peered networks in the Azure portal

Innan virtuella datorer i det peerkopplade virtuella nätverket kan använda den hanterade domänen konfigurerar du DNS-servrarna så att de tillåter korrekt namnmatchning.

Konfigurera DNS-servrar i det peerkopplade virtuella nätverket

För att virtuella datorer och program i det peerkopplade virtuella nätverket ska kunna kommunicera med den hanterade domänen måste DNS-inställningarna uppdateras. IP-adresserna för Azure AD DS-domänkontrollanterna måste konfigureras som DNS-servrar i det peerkopplade virtuella nätverket. Det finns två sätt att konfigurera domänkontrollanterna som DNS-servrar för det peerkopplade virtuella nätverket:

  • Konfigurera DNS-servrarna för virtuella Azure-nätverk för att använda Azure AD DS-domänkontrollanterna.
  • Konfigurera den befintliga DNS-servern som används i det peerkopplade virtuella nätverket för att använda villkorlig DNS-vidarebefordran för att dirigera frågor till den hanterade domänen. De här stegen varierar beroende på vilken DNS-server som används.

I den här självstudien ska vi konfigurera DNS-servrarna för virtuella Azure-nätverk för att dirigera alla frågor till Azure AD DS-domänkontrollanterna.

  1. I Azure Portal väljer du resursgruppen för det peerkopplade virtuella nätverket, till exempel myResourceGroup. I listan över resurser väljer du det peerkopplade virtuella nätverket, till exempel myVnet.

  2. I den vänstra menyn i fönstret för det virtuella nätverket väljer du DNS-servrar.

  3. Som standard använder ett virtuellt nätverk de inbyggda DNS-servrarna som tillhandahålls av Azure. Välj att använda anpassade DNS-servrar. Ange IP-adresserna för Azure AD DS-domänkontrollanterna, som vanligtvis är 10.0.2.4 och 10.0.2.5. Bekräfta dessa IP-adresser i översiktsfönstret för din hanterade domän i portalen.

    Configure the virtual network DNS servers to use the Azure AD DS domain controllers

  4. När du är klar väljer du Spara. Det tar en stund att uppdatera DNS-servrarna för det virtuella nätverket.

  5. Om du vill tillämpa de uppdaterade DNS-inställningarna på de virtuella datorerna startar du om virtuella datorer som är anslutna till det peerkopplade virtuella nätverket.

När du skapar en virtuell dator som behöver använda den hanterade domänen kontrollerar du att du väljer det här peerkopplade virtuella nätverket. Om du väljer ett annat virtuellt nätverk finns det ingen nätverksanslutning och DNS-matchning för att nå den hanterade domänen.

Nästa steg

I den här självstudiekursen lärde du dig att:

  • Förstå anslutningsalternativen för virtuella nätverk för domänanslutna resurser till Azure AD DS
  • Skapa ett IP-adressintervall och ytterligare undernät i det virtuella Azure AD DS-nätverket
  • Konfigurera peering för virtuella nätverk till ett nätverk som är separat från Azure AD DS

Om du vill se den hanterade domänen i praktiken skapar och ansluter du en virtuell dator till domänen.