Plusieurs forêts avec AD DS, Microsoft Entra ID et Microsoft Entra Domain Services

Microsoft Entra ID
Microsoft Entra
Azure Files
Azure Virtual Desktop

Idées de solution

Cet article présente une idée de solution. Votre architecte cloud peut s’appuyer sur ces conseils pour visualiser les principaux composants d’une implémentation typique de cette architecture. Utilisez cet article comme point de départ pour concevoir une solution bien conçue qui répond aux exigences spécifiques de votre charge de travail.

Cette idée de solution illustre comment déployer rapidement Azure Virtual Desktop dans un produit minimum viable (MVP) ou un environnement de démonstration de faisabilité (POC) à l'aide de Microsoft Entra Domain Services. Utilisez cette approche pour étendre les identités de services de domaine Active Directory (AD DS) multi-forêt sur site vers Azure sans connectivité privée et prendre en charge l’authentification héritée.

Cas d’usage potentiels

Cette idée de solution s’applique aux fusions et acquisitions, au changement d’image d’une organisation et aux exigences d’identités locales multiples.

Architecture

Diagramme représentant Azure Virtual Desktop avec Microsoft Entra Domain Services.

Téléchargez un fichier Visio de cette architecture.

Dataflow

Les étapes suivantes vous expliquent comment circulent les données dans cette architecture sous la forme d’une identité.

  1. Les environnements Active Directory locaux hybrides sont présents avec deux forêts Active Directory ou plus. Les domaines résident dans des forêts distinctes, chacun ayant son propre suffixe UPN (User Principal Name). Par exemple, companyA.local avec le suffixe UPN companyA.com, companyB.local avec le suffixe UPN CompanyB.com et un suffixe UPN supplémentaire newcompanyAB.com.
  2. Plutôt que des contrôleurs de domaine gérés par le client localement ou dans Azure (c’est-à-dire des contrôleurs de domaine Azure IaaS, Infrastructure as a Service), l’environnement utilise les deux contrôleurs de domaine gérés par le cloud fournis par Microsoft Entra Domain Services.
  3. Microsoft Entra Connect synchronise les utilisateurs de CompanyA.com et CompanyB.com vers un locataire Microsoft Entra, newcompanyAB.onmicrosoft.com. Le compte d’utilisateur est représenté une seule fois dans Microsoft Entra ID et la connectivité privée n’est pas utilisée.
  4. Les utilisateurs se synchronisent ensuite à partir de Microsoft Entra ID vers Microsoft Entra Domain Services géré en tant que synchronisation unidirectionnelle.
  5. Un nom de domaine Microsoft Entra Domain Services routable et personnalisé, aadds.newcompanyAB.com, est créé. Le domaine newcompanyAB.com est un domaine enregistré qui prend en charge les certificats LDAP. Il est généralement déconseillé d’utiliser des noms de domaine non-routables (par exemple, contoso.local), car ils peuvent entraîner des problèmes avec la résolution DNS.
  6. Les hôtes de session Azure Virtual Desktop rejoignent les contrôleurs de domaine Microsoft Entra Domain Services.
  7. Les pools d’hôtes et les groupes d’applications peuvent être créés dans un abonnement et un réseau virtuel spoke distincts.
  8. Les utilisateurs sont affectés aux groupes d’applications.
  9. Les utilisateurs se connectent à l’aide de l’application Azure Virtual Desktop ou du client web avec un UPN au format suivant john@companyA.com, jane@companyB.com ou joe@newcompanyAB.com, selon leur suffixe UPN configuré.
  10. Les applications ou bureaux virtuels sont présentés à leurs utilisateurs respectifs. Par exemple, les applications ou bureaux virtuels du pool d’hôtes A sont présentés à john@companyA.com, les applications ou bureaux virtuels du pool d’hôtes B sont présentés à jane@companyB et les applications ou bureaux virtuels du pool d’hôtes AB sont présentés à joe@newcompanyAB.
  11. Le compte de stockage (Azure Files utilisé pour FSLogix) est joint au service AD DS de domaine managé. Les profils d’utilisateurs FSLogix sont créés dans des partages Azure Files.

Remarque

  • Pour les exigences de stratégie de groupe dans Microsoft Entra Domain Services, vous pouvez installer des outils de gestion des stratégies de groupe sur une machine virtuelle Windows Server jointe à Microsoft Entra Domain Services.
  • Pour étendre l’infrastructure de stratégie de groupe pour Azure Virtual Desktop à partir des contrôleurs de domaine locaux, vous devez l’exporter manuellement et l’importer dans Microsoft Entra Domain Services.

Composants

Vous implémentez cette architecture à l’aide des technologies suivantes :

Contributeurs

Cet article est géré par Microsoft. Il a été écrit à l’origine par les contributeurs suivants.

Auteur principal :

  • Tom Maher | Ingénieur de sécurité et d’identité senior

Étapes suivantes