教學課程：建立及設定 Microsoft Entra Domain Services 受控網域

Microsoft Entra Domain Services 提供受控網域服務，例如網域加入、組策略、LDAP、Kerberos/NTLM 驗證，與 Windows Server Active Directory 完全相容。 您不需要自行部署、管理及修補域控制器，即可取用這些網域服務。 Domain Services 會與您的現有Microsoft Entra 租使用者整合。 此整合可讓使用者使用其公司認證登入，而且您可以使用現有的群組和使用者帳戶來保護資源的存取權。

您可以使用網路和同步處理的預設組態選項建立受控網域，或 手動定義這些設定。 本教學課程說明如何使用預設選項，使用 Microsoft Entra 系統管理中心來建立及設定 Domain Services 受控網域。

在本教學課程中，您將瞭解如何：

• 瞭解受控網域的 DNS 需求
• 建立受控網域
• 啟用密碼哈希同步處理

如果您沒有 Azure 訂用帳戶，請在開始之前 建立帳戶。

先決條件

若要完成本教學課程，您需要下列資源和許可權：

• 作用中的 Azure 訂用帳戶。
  • 如果您沒有 Azure 訂用帳戶，建立帳戶。
• 與您的訂閱相關聯的 Microsoft Entra 租用戶，可以與內部部署目錄或僅限雲端的目錄同步。
  • 如有需要，建立 Microsoft Entra 租戶 或 將 Azure 訂用帳戶與您的帳戶關聯。
• 您需要 應用程式管理員 和 群組管理員 的 Microsoft Entra 角色，才能啟用網域服務。
• 您需要 網域服務參與者 Azure 角色，才能建立必要的 Domain Services 資源。
• 具有 DNS 伺服器的虛擬網路，可查詢必要的基礎結構，例如記憶體。 無法執行一般因特網查詢的 DNS 伺服器可能會封鎖建立受控網域的能力。

雖然網域服務不需要，但建議 為 Microsoft Entra 租使用者設定自助式密碼重設 （SSPR）。 用戶可以在沒有 SSPR 的情況下變更其密碼，但 SSPR 可協助他們忘記密碼並需要重設密碼。

重要

建立受控網域之後，您無法將受控網域移至不同的訂用帳戶、資源群組或區域。 當您部署受控網域時，請小心選取最適當的訂用帳戶、資源群組和區域。

登入 Microsoft Entra 系統管理中心

在本教學課程中，您會使用 Microsoft Entra 系統管理中心來建立及設定受控網域。 若要開始使用，請先登入 Microsoft Entra 系統管理中心。

建立受控網域

若要啟動 啟用 Microsoft Entra Domain Services 精靈，請完成下列步驟：

1. 在 [Microsoft Entra 系統管理中心] 功能表上，或從 [首頁] 頁面上，搜尋 Domain Services，然後選擇 [Microsoft Entra Domain Services]。

2. 在 [Microsoft Entra Domain Services] 頁面上，選取 [建立Microsoft Entra Domain Services]。

   

3. 選取您想要在其中建立受控網域的 Azure 訂用帳戶。

4. 選取受控網域所屬 資源群組。 選擇 建立新的 或選取現有的資源群組。

當您建立受控網域時，您可以指定 DNS 名稱。 當您選擇此 DNS 名稱時，有一些考慮：

• 內建功能變數名稱： 預設會使用目錄的內建功能變數名稱（.onmicrosoft.com后缀）。 如果您想要透過因特網啟用對受控網域的安全 LDAP 存取，您無法建立數位證書來保護使用此預設網域的連線。 Microsoft擁有 .onmicrosoft.com网域，因此證書頒發機構單位 （CA） 不會簽發憑證。
• 自定義功能變數名稱： 最常見的方法是指定自定義功能變數名稱，通常是您已經擁有且可路由傳送的功能變數名稱。 當您使用可路由的自定義網域時，流量可以按需正確流動以支援您的應用程式。
• 非可路由網域後綴： 我們通常建議您避免非可路由域名後綴，例如 contoso.local。 .local 後綴無法路由傳送，而且可能會導致 DNS 解析發生問題。

提示

如果您建立自訂域名，請注意現有的 DNS 命名空間。 雖然支援，但您可能會想要使用與任何現有 Azure 或內部部署 DNS 命名空間分開的網域名稱。

例如，如果您有 contoso.com的現有 DNS 名稱空間，請使用自訂網域名稱建立受控網域，dscontoso.com。 如果您需要使用安全的 LDAP，您必須註冊並擁有這個自訂網域名稱，以產生所需的憑證。

您可能需要為環境中的其他服務建立一些額外的 DNS 記錄，或環境中現有 DNS 名稱空間之間的條件式 DNS 轉寄站。 例如，如果您執行用於裝載網站的根 DNS 名稱的 Web 伺服器，可能會導致命名衝突，需要新增其他 DNS 條目。

在這些教學課程和作法文章中，dscontoso.com 的自定義網域會作為簡短範例使用。 在所有命令中，指定您自己的網域名稱。

下列 DNS 名稱限制也適用於：

• 網域前置詞限制： 您無法建立前置詞超過 15 個字元的受控網域。 指定功能變數名稱的前置詞（例如 dscontoso.com 功能變數名稱中的 dscontoso），必須包含 15 或更少字元。
• 網路名稱衝突： 受管理的網域的 DNS 網域名稱不應存在於虛擬網路中。 具體來說，請檢查下列會導致名稱衝突的案例：
  • 如果您已經有在 Azure 虛擬網路上具有相同 DNS 網域名稱的 Active Directory 網域。
  • 如果您計劃在虛擬網路上啟用受控網域，且該網路與內部部署網路具有 VPN 連線。 在此案例中，請確定您的內部部署網路上沒有擁有相同 DNS 網域名稱的網域。
  • 如果您在 Azure 虛擬網路上已有一個具有該名稱的 Azure 雲端服務。

在 Microsoft Entra 管理中心的 基本 視窗中填寫欄位，以建立受控網域：

1. 針對受控網域輸入 DNS 網域名稱，並考慮先前所述。

2. 選擇應在其中建立受控網域的 Azure 區域。 如果您選擇支援 Azure 可用性區域的區域，網域服務資源會分散到區域以取得額外的備援。

   提示

   可用性區域是 Azure 區域內的唯一實體位置。 每個區域由一或多個數據中心組成，配備獨立電源、冷卻和網路功能。 為了確保復原能力，在所有已啟用的區域中，至少有三個不同的區域。

   您無需為網域服務進行任何配置以分配到不同的區域。 Azure 平臺會自動處理資源的區域分佈。 如需詳細資訊並查看區域可用性，請參閱 什麼是 Azure 中的可用性區域？。

3. SKU 會決定效能和備份頻率。 如果您的商務需求或需求變更，您可以在建立受控網域之後變更 SKU。 如需詳細資訊，請參閱 Domain Services SKU 概念。

   在本教學課程中，選取 Standard SKU。 [基本] 視窗看起來應該像下列螢幕快照：

   

若要快速建立受控網域，您可以選取 [檢閱 + 建立] 來接受其他預設組態選項。 當您選擇此建立選項時，會設定下列預設值：

• 根據預設，建立名為 ds-vnet 的虛擬網路，其使用 10.0.1.0/24的 IP 位址範圍。
• 建立名為 ds-subnet 的子網，並使用 10.0.1.0/24的 IP 位址範圍。
• 將所有使用者從 Microsoft Entra ID 同步到 受控網域。

注意

由於下列問題，您不應該針對虛擬網路及其子網使用公用IP位址：

• IP 位址稀缺：IPv4 公用 IP 位址有限，其需求通常超過可用的供應。 此外，公用端點可能會有重疊的IP。

• 安全性風險：針對虛擬網路使用公用IP會直接向因特網公開您的裝置，增加未經授權存取和潛在攻擊的風險。 若沒有適當的安全性措施，您的裝置可能會容易受到各種威脅的影響。

• 複雜度：使用公用IP管理虛擬網路比使用私人IP更為複雜，因為它需要處理外部IP範圍，並確保適當的網路分割和安全性。

強烈建議使用私人IP位址。 如果您使用公用IP，請確定您是所選公用範圍內所選IP的擁有者/專用使用者。

選取 [檢閱 + 建立 ] 以接受這些預設組態選項。

部署受控網域

在精靈的 [摘要] 頁面上，檢閱受控網域的組態設定。 您可以回到精靈的任何步驟進行變更。 若要使用這些組態選項，以一致的方式將受控網域重新部署到不同的 Microsoft Entra 租使用者，您也可以 下載自動化範本。

1. 若要建立受控網域，請選取 [建立 建立]。 請注意，建立受控網域服務之後，就無法變更某些組態選項，例如 DNS 名稱或虛擬網路。 若要繼續，請選擇 [確定]。

   

2. 布建受控網域的程序最多需要一小時。 入口網站中會顯示通知，其中顯示網域服務部署的進度。

3. 當管理的網域完全布建時，[概觀] 索引標籤會顯示網域狀態為 執行中。 展開 部署詳細資訊 來獲取虛擬網路和網路資源群組等資源的連結。

   

重要

受控網域與您的 Microsoft Entra 目錄相關聯。 在布建程式期間，Domain Services 會在 Microsoft Entra 目錄中建立兩個名為 域控制器服務的企業應用程式 和 AzureActiveDirectoryDomainControllerServices。 需要這些企業應用程式才能服務受控網域。 請勿刪除這些應用程式。

更新 Azure 虛擬網路的 DNS 設定

成功部署網域服務后，現在將虛擬網路設定為允許其他連線的 VM 和應用程式使用受控網域。 若要提供此連線能力，請更新虛擬網路的 DNS 伺服器設定，以指向部署受控網域的兩個 IP 位址。

1. 受控網域的 [概觀] 索引標籤會顯示 必要設定步驟。 第一個組態步驟是更新虛擬網路的 DNS 伺服器設定。 正確設定 DNS 設定之後，就不會再顯示此步驟。

   列出的位址是用於虛擬網路的域控制器。 在此範例中，這些位址 10.0.1.4，10.0.1.5。 您稍後可以在 [屬性] 索引卷標上找到這些IP位址。

   

2. 若要更新虛擬網路的 DNS 伺服器設定，請選取 [設定] 按鈕。 您的虛擬網路會自動設定 DNS 設定。

提示

如果您在先前的步驟中選取現有的虛擬網路，任何連線到網路的 VM 只會在重新啟動後取得新的 DNS 設定。 您可以使用 Microsoft Entra 系統管理中心、Microsoft Graph PowerShell 或 Azure CLI 重新啟動 VM。

啟用 Domain Services 的用戶帳戶

若要驗證受控網域上的使用者，Domain Services 需要密碼哈希，其格式適用於NT LAN Manager （NTLM） 和 Kerberos 驗證。 Microsoft Entra ID 不會以 NTLM 或 Kerberos 驗證所需的格式產生或儲存密碼哈希，直到您為租用戶啟用 Domain Services 為止。 基於安全性考慮，Microsoft Entra ID 也不會以純文本格式儲存任何密碼認證。 因此，Microsoft Entra ID 無法根據使用者現有的認證自動產生這些 NTLM 或 Kerberos 密碼哈希。

注意

適當設定之後，可使用的密碼哈希會儲存在受控網域中。 如果您刪除受控網域，也會刪除儲存在該時間點的任何密碼哈希。

如果您稍後建立受控網域，就無法重複使用Microsoft Entra ID 中的同步認證資訊 - 您必須重新設定密碼哈希同步處理，才能再次儲存密碼哈希。 先前加入網域的 VM 或使用者將無法立即驗證 - Microsoft Entra ID 必須產生密碼哈希，並將密碼哈希儲存在新受控網域中。

Domain Services 不支援Microsoft Entra Connect 雲端同步處理。 內部部署用戶必須使用 Microsoft Entra Connect 進行同步處理，才能存取已加入網域的 VM。 如需詳細資訊，請參閱 Domain Services 和 Microsoft Entra Connect的密碼哈希同步處理程式。

針對在 Microsoft Entra ID 中建立的僅限雲端用戶帳戶，產生和儲存這些密碼哈希的步驟，與使用 Microsoft entra Connect 從內部部署目錄同步處理的用戶帳戶不同。

雲端專用的使用者帳戶是透過使用 Microsoft Entra 系統管理中心或 PowerShell 在 Microsoft Entra 目錄中建立的帳戶。 這些用戶帳戶未從內部部署目錄同步處理。

在本教程中，讓我們使用基本的僅雲端用戶帳戶。 如需有關使用 Microsoft Entra Connect 所需之額外步驟的詳細資訊，請參閱 同步處理從內部部署 AD 同步至受控網域之使用者帳戶的密碼哈希。

提示

如果您的 Microsoft Entra 目錄中包含僅限於雲端和同步的使用者，您需要完成這兩套步驟。

針對僅限雲端的用戶帳戶，用戶必須先變更其密碼，才能使用 Domain Services。 此密碼變更過程會生成 Kerberos 和 NTLM 驗證的密碼雜湊，並將其儲存在 Microsoft Entra ID 中。 帳戶不會從 Microsoft Entra ID 同步處理到網域服務，直到密碼變更為止。 租使用者中需要使用 Domain Services 的所有雲端用戶密碼過期，這會在下一次登入時強制變更密碼，或指示雲端使用者手動變更其密碼。 在本教學課程中，讓我們手動變更用戶密碼。

用戶必須先 設定自助式密碼重設，Microsoft Entra 租使用者才能重設其密碼。

若要變更僅限雲端使用者的密碼，用戶必須完成下列步驟：

1. 前往 https://myapps.microsoft.com的 Microsoft Entra ID 存取面板頁面。

2. 在右上角選取您的名稱，然後從下拉選單中選擇 [配置檔]。

   

3. 在 設定檔 頁面上，選取 變更密碼。

4. 在 [變更密碼 頁面上，輸入您的現有 （舊） 密碼，然後輸入並確認新的密碼。

5. 選擇 提交。

在您更改密碼後，需要幾分鐘時間，新密碼才能在網域服務中使用，並成功登入已加入受控網域的電腦。

後續步驟

在本教學課程中，您已瞭解如何：

• 瞭解受控網域的 DNS 需求
• 建立受控網域
• 將系統管理使用者新增至網域管理
• 啟用網域服務的用戶帳戶併產生密碼哈希

在將虛擬機器加入網域並部署使用受控網域的應用程式之前，請先為應用程式工作負載設定 Azure 虛擬網路。

為應用程式工作負載設定 Azure 虛擬網路以使用受控網域