Tutorial: criar e configurar um domínio gerenciado do Microsoft Entra Domain Services

Os Serviços de Domínio do Microsoft Entra fornece serviços de domínio gerenciados, como associação de domínio, política de grupo, LDAP e autenticação Kerberos/NTLM, totalmente compatíveis com o Windows Server Active Directory. Você consome esses serviços de domínio sem implantar, gerenciar e aplicar patches aos controladores de domínio por conta própria. O Serviços de Domínio integra-se ao seu locatário existente do Microsoft Entra. Essa integração permite que os usuários entrem usando suas credenciais corporativas e você pode usar os grupos e as contas de usuário existentes para proteger o acesso aos recursos.

Crie um domínio gerenciado usando as opções de configuração padrão para rede e sincronização ou defina essas configurações manualmente. Este tutorial mostra como usar opções padrão para criar e configurar um domínio gerenciado do Domain Services usando o Centro de administração do Microsoft Entra.

Neste tutorial, você aprenderá a:

Caso não tenha uma assinatura do Azure, crie uma conta antes de começar.

Pré-requisitos

Para concluir este tutorial, você precisará dos seguintes recursos e privilégios:

• Uma assinatura ativa do Azure.
  • Caso não tenha uma assinatura do Azure, crie uma conta.
• Um locatário do Microsoft Entra associado com a assinatura, sincronizado com um diretório local ou somente em nuvem.
  • Se necessário, crie um locatário do Microsoft Entra ou associe uma assinatura do Azure à sua conta.
• Você precisa das funções de Administrador de Aplicativos e Administrador de Grupos do Microsoft Entra em seu locatário para habilitar o Domain Services.
• Você precisará ter a função Colaborador dos Serviços de Domínio do Azure para criar os recursos necessários dos Serviços de Domínio.
• Uma rede virtual com servidores DNS que podem consultar a infraestrutura necessária, como o armazenamento. Os servidores DNS que não conseguem realizar consultas gerais na Internet podem bloquear a capacidade de criar um domínio gerenciado.

Embora não seja necessário para os Serviços de Domínio, é recomendável configurar a SSPR (redefinição de senha self-service) para o locatário do Microsoft Entra. Os usuários podem alterar sua senha sem a SSPR, mas a SSPR ajudará se eles esquecerem sua senha e precisarem redefini-la.

Entre no centro de administração do Microsoft Entra

Neste tutorial, você deve criar e configurar o domínio gerenciado utilizando o centro de administração do Microsoft Entra. Para começar, primeiro entre no Centro de Administração do Microsoft Entra.

Criar um domínio gerenciado

Para iniciar o assistente Habilitar o Microsoft Entra Domain Services, conclua as seguintes etapas:

1. No menu do centro de administração do Microsoft Entra ou na página Inicial, pesquise por Serviços de Domínio e escolha Microsoft Entra Domain Services.

2. Na página do Microsoft Entra Domain Services, selecione Criar Microsoft Entra Domain Services.

   

3. Selecione a Assinatura do Azure na qual você deseja criar o domínio gerenciado.

4. Selecione o Grupo de recursos a que o domínio gerenciado deve pertencer. Escolha Criar ou selecione um grupo de recursos existente.

Ao criar um domínio gerenciado, você especifica um nome DNS. Eis algumas considerações a serem feitas ao escolher o nome DNS:

• Nome de domínio interno: Por padrão, o nome de domínio interno do diretório é usado (com sufixo .onmicrosoft.com). Se quiser habilitar o acesso LDAP seguro ao domínio gerenciado pela Internet, você não poderá criar um certificado digital para proteger a conexão com esse domínio padrão. A Microsoft é proprietária do domínio .onmicrosoft.com, portanto, nenhuma AC (Autoridade de Certificação) emitirá um certificado.
• Nomes de domínio personalizados: A abordagem mais comum é especificar um nome de domínio personalizado, normalmente um que você já tenha e seja roteável. Quando você usa um domínio roteável personalizado, o tráfego pode fluir corretamente conforme necessário para dar suporte aos seus aplicativos.
• Sufixos de domínio não roteáveis: De modo geral, recomendamos que você evite sufixos de nome de domínio não roteáveis, tal como contoso.local. O sufixo .local não é roteável e pode causar problemas com a resolução do DNS.

As seguintes restrições de nome DNS também se aplicam:

• Restrições do prefixo do domínio: Você não pode criar um domínio gerenciado com um prefixo de mais de 15 caracteres. O prefixo do nome de domínio especificado (por exemplo, dscontoso no nome de domínio dscontoso.com) deve conter até 15 caracteres.
• Conflitos de nome de rede: O nome de domínio DNS para seu domínio gerenciado não deve já existir na rede virtual. Especificamente, verifique os seguintes cenários que podem resultar em conflitos de nome:
  • Se você já tiver um domínio do Active Directory com o mesmo nome de domínio DNS na rede virtual do Azure.
  • Se a rede virtual em que você planeja habilitar o domínio gerenciado tiver uma conexão VPN com sua rede local. Nesse cenário, verifique se você não tem um domínio com o mesmo nome de domínio DNS na rede local.
  • Se você tiver um serviço de nuvem existente do Azure com esse mesmo nome na rede virtual do Azure.

Conclua os campos na janela Básico do centro de administração do Microsoft Entra para criar um domínio gerenciado:

1. Insira um nome de domínio DNS para o domínio gerenciado, levando em consideração os pontos anteriores.

2. Escolha a Região do Azure na qual o domínio gerenciado deve ser criado. Se você escolher uma região que dê suporte a Zonas de Disponibilidade do Azure, os recursos do Domain Services serão distribuídos entre zonas para redundância adicional.

   Dica

   As Zonas de Disponibilidade são locais físicos exclusivos em uma região do Azure. Cada zona é composta por um ou mais datacenters equipados com energia, resfriamento e rede independentes. Para garantir a resiliência, há um mínimo de três zonas separadas em todas as regiões habilitadas.

   Não é preciso configurar nada para que o Domain Services seja distribuído entre as zonas. A plataforma do Azure lida automaticamente com a distribuição de recursos na zona. Para obter mais informações e ver a disponibilidade da região, confira O que são as Zonas de Disponibilidade no Azure?.

3. O SKU determina o desempenho e a frequência de backup. Você poderá alterar a SKU depois que o domínio gerenciado tiver sido criado se as demandas ou requisitos empresariais mudarem. Para obter mais informações, confira Conceitos do SKU dos Serviços de Domínio.

   Para este tutorial, selecione o SKU Standard. A janela Noções básicas deve ser semelhante a esta captura de tela:

   

Para criar rapidamente um domínio gerenciado, você pode selecionar Revisar + criar para aceitar opções de configuração padrão adicionais. Os seguintes padrões são configurados quando você escolhe essa opção de criação:

• Cria uma rede virtual chamada ds-vnet, que usa o intervalo de endereços IP 10.0.1.0/24.
• Cria uma sub-rede chamada ds-subnet usando o intervalo de endereços IP 10.0.1.0/24.
• Sincroniza todos os usuários do Microsoft Entra ID no domínio gerenciado.

Selecione Revisar + criar para aceitar essas opções de configuração padrão.

Implantar o domínio gerenciado

Na página Resumo do assistente, examine as definições de configuração do domínio gerenciado. Você pode voltar para qualquer etapa do assistente para efetuar alterações. Para reimplantar um domínio gerenciado em outro locatário do Microsoft Entra de maneira consistente usando essas opções de configuração, você também pode Baixar um modelo para automação.

1. Para criar o domínio gerenciado, selecione Criar. Uma observação é exibida de que determinadas opções de configuração, como nome DNS ou rede virtual, não podem ser alteradas depois que o Domain Services gerenciado é criado. Para continuar, selecione OK.

   

2. O processo de provisionamento de seu domínio gerenciado pode levar até uma hora. Uma notificação é exibida no portal, mostrando o andamento da sua implantação dos Serviços de Domínio.

3. Quando o domínio gerenciado está totalmente provisionado, a guia Visão Geral mostra o status do domínio como Em execução. Expanda os Detalhes da implantação para ver links para recursos como a rede virtual e o grupo de recursos de rede.

   

Atualizar as configurações do DNS para a rede virtual do Azure

Com os Serviços de Domínio implantados com sucesso, agora configure a rede virtual para permitir que outras VMs e aplicativos conectados usem o domínio gerenciado. Para fornecer essa conectividade, atualize as configurações do servidor DNS da rede virtual para que ela aponte para os dois endereços IP em que o domínio gerenciado está implantado.

1. A guia Visão geral do domínio gerenciado mostra algumas Etapas de configuração obrigatórias. A primeira etapa de configuração é atualizar as configurações do servidor DNS da rede virtual. Depois que as configurações de DNS forem definidas corretamente, essa etapa não será mais mostrada.

   Os endereços listados são os controladores de domínio para uso na rede virtual. Nesse exemplo, os endereços são 10.0.1.4 e 10.0.1.5. Posteriormente, você poderá encontrar esses endereços IP na guia Propriedades.

   

2. Para atualizar as configurações do servidor DNS da rede virtual, selecione o botão Configurar. As configurações de DNS são configuradas automaticamente para sua rede virtual.

Habilitar contas de usuário para os Serviços de Domínio

Para autenticar os usuários no domínio gerenciado, o Azure AD DS precisa de hashes de senha em um formato adequado para a autenticação NTLM (Gerenciador de LAN NT) e Kerberos. O Microsoft Entra ID não gera nem armazena hashes de senha no formato necessário para autenticação na NTLM ou Kerberos até que você ative o Domain Services para o locatário. Por motivos de segurança, a ID do Microsoft Entra também não armazena nenhuma credencial de senha no formato de texto não criptografado. Portanto, o Microsoft Entra ID não pode gerar automaticamente essas hashes de senha NTLM ou Kerberos com base nas credenciais existentes dos usuários.

As etapas para gerar e armazenar esses hashes de senha são diferentes para as contas de usuário somente em nuvem criadas no Microsoft Entra ID versus as contas de usuário sincronizadas do seu diretório local usando o Microsoft Entra Connect.

Uma conta de usuário somente na nuvem é uma conta criada no diretório do Microsoft Entra usando o centro de administração do Microsoft Entra ou o PowerShell. Essas contas de usuário não são sincronizadas de um diretório local.

Neste tutorial, vamos trabalhar com uma conta de usuário básica somente de nuvem. Para obter mais informações sobre as etapas adicionais necessárias para usar Microsoft Entra Connect, confira Sincronizar hashes de senha para contas de usuário sincronizadas do AD local para o domínio gerenciado.

Para contas de usuário somente de nuvem, os usuários devem alterar suas senhas antes de usar os Serviços de Domínio. Esse processo de alteração de senhas faz com que as hashes de senha para a autenticação Kerberos e NTLM sejam geradas e armazenadas no Microsoft Entra ID. A conta não é sincronizada do Microsoft Entra ID para os Serviços de Domínio até que a senha seja alterada. Expire as senhas de todos os usuários do locatário que precisam usar os Serviços de Domínio (o que forçaria a troca de senha na próxima entrada) ou então instrua-os a alterar as respectivas senhas manualmente. Para este tutorial, vamos alterar manualmente a senha do usuário.

Antes que o usuário possa redefinir a senha, o locatário do Microsoft Entra deve ser configurado para redefinição de senha self-service.

Para alterar a senha de um usuário somente de nuvem, o usuário deve concluir as seguintes etapas:

1. Vá para a página do Painel de Acesso do Microsoft Entra ID em https://myapps.microsoft.com.

2. No canto superior direito, selecione o seu nome e, em seguida, escolha Perfil no menu suspenso.

   

3. Na página Perfil, selecione Alterar senha.

4. Na página Alterar senha, insira sua senha existente (antiga) e, em seguida, insira uma nova senha e confirme-a.

5. Selecione Enviar.

Leva alguns minutos após você ter alterado sua senha para que a nova senha possa ser usada nos Serviços de Domínio e para que seja possível se conectar com êxito a computadores ingressados no domínio gerenciado.

Próximas etapas

Neste tutorial, você aprendeu a:

Antes de ingressar as VMs no domínio e implantar aplicativos que usam o domínio gerenciado, configure uma rede virtual do Azure para cargas de trabalho de aplicativo.