Konfigurieren der Mehrinstanzenfähigkeit in Azure Stack Hub

Voraussetzungen

Bevor Sie ein Gastverzeichnis registrieren oder die Registrierung aufheben, müssen Sie und Mary administrative Schritte für Ihre jeweiligen Microsoft Entra Mandanten ausführen: das Azure Stack Hub-Basisverzeichnis (Contoso) und das Gastverzeichnis (Adatum):

• Installieren und Konfigurieren von PowerShell für die Verwendung mit Azure Stack Hub

• Laden Sie die Azure Stack Hub-Tools herunter und importieren Sie die Module „Connect“ und „Identity“:

  Import-Module .\Identity\AzureStack.Identity.psm1
  

Registrieren eines Gastverzeichnisses

Damit Sie ein Gastverzeichnis für die Mehrinstanzfähigkeit registrieren können, müssen das Azure Stack Hub-Stammverzeichnis und das Gastverzeichnis konfiguriert werden.

Konfigurieren des Azure Stack Hub-Verzeichnisses

Als Dienstadministrator von contoso.onmicrosoft.com müssen Sie zunächst ein Onboarding für den Adatum-Gastverzeichnismandanten in Azure Stack Hub durchführen. Das folgende Skript konfiguriert den Azure Resource Manager so, dass Anmeldungen von Benutzern und Dienstprinzipalen des Mandanten adatum.onmicrosoft.com akzeptiert werden:

## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as adminmanagement.<region>.<FQDN>.
$adminARMEndpoint = "https://adminmanagement.local.azurestack.external"

## Replace the value below with the Azure Stack Hub directory
$azureStackDirectoryTenant = "contoso.onmicrosoft.com"

## Replace the value below with the guest directory tenant. 
$guestDirectoryTenantToBeOnboarded = "adatum.onmicrosoft.com"

## Replace the value below with the name of the resource group in which the directory tenant registration resource should be created (resource group must already exist).
$ResourceGroupName = "system.local"

## Replace the value below with the region location of the resource group.
$location = "local"

# Subscription Name
$SubscriptionName = "Default Provider Subscription"

Register-AzSGuestDirectoryTenant -AdminResourceManagerEndpoint $adminARMEndpoint `
 -DirectoryTenantName $azureStackDirectoryTenant `
 -GuestDirectoryTenantName $guestDirectoryTenantToBeOnboarded `
 -Location $location `
 -ResourceGroupName $ResourceGroupName `
 -SubscriptionName $SubscriptionName

Konfigurieren des Gastverzeichnisses

Als Nächstes muss Mary (Verzeichnisadministratorin von Adatum) Azure Stack Hub beim Gastverzeichnis von adatum.onmicrosoft.com registrieren, indem sie das folgende Skript ausführt:

## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as management.<region>.<FQDN>.
$tenantARMEndpoint = "https://management.local.azurestack.external"

## Replace the value below with the guest directory tenant.
$guestDirectoryTenantName = "adatum.onmicrosoft.com"

Register-AzSWithMyDirectoryTenant `
 -TenantResourceManagerEndpoint $tenantARMEndpoint `
 -DirectoryTenantName $guestDirectoryTenantName `
 -Verbose

Weiterleiten von Benutzern zur Anmeldung

Schließlich kann Mary Adatum-Benutzer mit @adatum.onmicrosoft.com-Konten zur Anmeldung weiterleiten, indem diese das Azure Stack Hub-Benutzerportal aufrufen. Für Systeme mit mehreren Knoten wird das URL-Format https://portal.<region>.<FQDN> für das Benutzerportal benötigt. Für ASDK-Bereitstellungen lautet die URL https://portal.local.azurestack.external.

Mary muss außerdem alle fremden Prinzipale (Benutzer im Adatum-Verzeichnis ohne das Suffix adatum.onmicrosoft.com) weiterleiten, damit diese sich über https://<user-portal-url>/adatum.onmicrosoft.com anmelden. Wenn diese Benutzer den Verzeichnismandanten /adatum.onmicrosoft.com nicht in der URL angeben, werden sie an ihr Standardverzeichnis weitergeleitet und erhalten eine Fehlermeldung mit dem Hinweis, dass ihr Administrator nicht zugestimmt hat.

Aufheben der Registrierung eines Gastverzeichnisses

Wenn Sie Anmeldungen bei Azure Stack Hub-Diensten nicht mehr über Gastverzeichnismandanten zulassen möchten, können Sie die Registrierung des Verzeichnisses aufheben. Auch in diesem Fall müssen das Azure Stack Hub-Stammverzeichnis und das Gastverzeichnis konfiguriert werden:

1. Als Administrator für das Gastverzeichnis (Mary in diesem Szenario) führen Sie Unregister-AzsWithMyDirectoryTenant aus. Das Cmdlet deinstalliert alle Azure Stack Hub-Apps aus dem neuen Verzeichnis.

   ## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as management.<region>.<FQDN>.
   $tenantARMEndpoint = "https://management.local.azurestack.external"
   
   ## Replace the value below with the guest directory tenant.
   $guestDirectoryTenantName = "adatum.onmicrosoft.com"
   
   Unregister-AzsWithMyDirectoryTenant `
    -TenantResourceManagerEndpoint $tenantARMEndpoint `
    -DirectoryTenantName $guestDirectoryTenantName `
    -Verbose 
   

2. Der Dienstadministrator von Azure Stack Hub (Sie in diesem Szenario) muss das Cmdlet Unregister-AzSGuestDirectoryTenant ausführen:

   ## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as adminmanagement.<region>.<FQDN>.
   $adminARMEndpoint = "https://adminmanagement.local.azurestack.external"
   
   ## Replace the value below with the Azure Stack Hub directory
   $azureStackDirectoryTenant = "contoso.onmicrosoft.com"
   
   ## Replace the value below with the guest directory tenant. 
   $guestDirectoryTenantToBeDecommissioned = "adatum.onmicrosoft.com"
   
   ## Replace the value below with the name of the resource group in which the directory tenant resource was created (resource group must already exist).
   $ResourceGroupName = "system.local"
   
   Unregister-AzSGuestDirectoryTenant -AdminResourceManagerEndpoint $adminARMEndpoint `
    -DirectoryTenantName $azureStackDirectoryTenant `
    -GuestDirectoryTenantName $guestDirectoryTenantToBeDecommissioned `
    -ResourceGroupName $ResourceGroupName
   

   Warnung

   Die Schritte zur Deaktivierung der Mehrinstanzenfähigkeit müssen in dieser Reihenfolge ausgeführt werden. Schritt 1 schlägt fehl, wenn Schritt 2 zuerst abgeschlossen wird.

Abrufen des Berichts zur Azure Stack Hub-Identitätsintegrität

Ersetzen Sie die Platzhalter <region>, <domain> und <homeDirectoryTenant>, und führen Sie dann das folgende Cmdlet als Azure Stack Hub-Administrator aus:

$AdminResourceManagerEndpoint = "https://adminmanagement.<region>.<domain>"
$DirectoryName = "<homeDirectoryTenant>.onmicrosoft.com"
$healthReport = Get-AzsHealthReport -AdminResourceManagerEndpoint $AdminResourceManagerEndpoint -DirectoryTenantName $DirectoryName
Write-Host "Healthy directories: "
$healthReport.directoryTenants | Where status -EQ 'Healthy' | Select -Property tenantName,tenantId,status | ft


Write-Host "Unhealthy directories: "
$healthReport.directoryTenants | Where status -NE 'Healthy' | Select -Property tenantName,tenantId,status | ft

Aktualisieren Microsoft Entra Mandantenberechtigungen

Durch die folgende Aktion wird eine Warnung in Azure Stack Hub gelöscht, die darauf hinweist, dass ein Verzeichnis aktualisiert werden muss. Führen Sie im Ordner Azurestack-tools-master/identity den folgenden Befehl aus:

Import-Module ..\Identity\AzureStack.Identity.psm1

$adminResourceManagerEndpoint = "https://adminmanagement.<region>.<domain>"

# This is the primary tenant Azure Stack Hub is registered to:
$homeDirectoryTenantName = "<homeDirectoryTenant>.onmicrosoft.com"

Update-AzsHomeDirectoryTenant -AdminResourceManagerEndpoint $adminResourceManagerEndpoint `
   -DirectoryTenantName $homeDirectoryTenantName -Verbose

Das Skript fordert Sie zur Eingabe administrativer Anmeldeinformationen für den Microsoft Entra Mandanten auf und benötigt mehrere Minuten. Die Warnung sollte nach dem Ausführen des Cmdlets nicht mehr angezeigt werden.