Assuma um diretório não gerenciado como administrador no Microsoft Entra ID

Este artigo descreve duas maneiras de assumir um nome de domínio DNS em um diretório não gerenciado no Microsoft Entra ID. Quando um usuário de autoatendimento se inscreve em um serviço de nuvem que usa a ID do Microsoft Entra, ele é adicionado a um diretório não gerenciado do Microsoft Entra com base em seu domínio de email. Para obter mais informações sobre a inscrição de autoatendimento ou "viral" para um serviço, consulte O que é a inscrição de autoatendimento para o Microsoft Entra ID?

Decida como quer adquirir um diretório não gerido

Durante o processo de obtenção de uma aquisição administrativa, pode provar a propriedade, conforme descrito em Adicionar um nome de domínio personalizado ao Microsoft Entra ID. As secções seguintes explicam a experiência de administração mais detalhadamente, mas pode ver este resumo:

• Quando você executa uma aquisição de administrador "interno" de um diretório não gerenciado do Azure, você é adicionado como administrador global do diretório não gerenciado. Nenhum utilizador, domínio ou plano de serviço é migrado para qualquer outro diretório administrado por si.

• Quando faz uma obtenção do controlo administrativo “externo” de um diretório do Azure não gerido, adiciona o nome de domínio DNS desse diretório ao seu diretório do Azure gerido. Quando adiciona o nome de domínio, é criado um mapeamento dos utilizadores para os recursos no diretório do Azure gerido, para que os utilizadores possam continuar a aceder a serviços sem interrupções.

Aquisição de administrador interno

Alguns produtos que incluem o SharePoint e o OneDrive, como o Microsoft 365, não suportam aquisição externa. Se esse for o seu cenário, ou se você for um administrador e quiser assumir uma organização não gerenciada ou "sombra" do Microsoft Entra criada por usuários que usaram a inscrição de autoatendimento, você pode fazer isso com uma aquisição de administrador interno.

1. Crie um contexto de usuário na organização não gerenciada inscrevendo-se no Power BI. Por conveniência de exemplo, estas etapas assumem esse caminho.

2. Abra o site do Power BI e selecione Iniciar Livre. Insira uma conta de usuário que use o nome de domínio para a organização; por exemplo, admin@fourthcoffee.xyz. Depois de inserir o código de verificação, verifique o seu e-mail para o código de confirmação.

3. No email de confirmação do Power BI, selecione Sim, sou eu.

4. Entre no centro de administração do Microsoft 365 com a conta de usuário do Power BI.

   

5. Você recebe uma mensagem instruindo você a se tornar o administrador do nome de domínio que já foi verificado na organização não gerenciada. selecione Sim, quero ser o administrador.

   

6. Adicione o registro TXT para provar que você possui o nome de domínio fourthcoffee.xyz em seu registrador de nomes de domínio. Neste exemplo, é GoDaddy.com.

   

Quando os registros TXT DNS são verificados em seu registrador de nomes de domínio, você pode gerenciar a organização Microsoft Entra.

Ao concluir as etapas anteriores, você será o administrador global da organização Fourth Coffee no Microsoft 365. Para integrar o nome de domínio com seus outros serviços do Azure, você pode removê-lo do Microsoft 365 e adicioná-lo a uma organização gerenciada diferente no Azure.

Adicionando o nome de domínio a uma organização gerenciada no Microsoft Entra ID

1. Abra o centro de administração do Microsoft 365.

2. Selecione a guia Usuários e crie uma nova conta de usuário com um nome como user@fourthcoffeexyz.onmicrosoft.com esse que não usa o nome de domínio personalizado.

3. Verifique se a nova conta de usuário tem privilégios de Administrador Global para a organização do Microsoft Entra.

4. Abra a guia Domínios no centro de administração do Microsoft 365, selecione o nome de domínio e selecione Remover.

   

5. Se você tiver usuários ou grupos no Microsoft 365 que façam referência ao nome de domínio removido, eles deverão ser renomeados para o domínio .onmicrosoft.com. Se você forçar a exclusão do nome de domínio, todos os usuários serão automaticamente renomeados, neste exemplo para user@fourthcoffeexyz.onmicrosoft.com.

6. Entre no centro de administração do Microsoft Entra como pelo menos um Administrador Global.

7. Na caixa de pesquisa na parte superior da página, procure por Nomes de Domínio.

8. Selecione + Adicionar nomes de domínio personalizados e, em seguida, adicione o nome de domínio. Você terá que inserir os registros TXT DNS para verificar a propriedade do nome de domínio.

   

Aquisição de administrador externo

Se você já gerencia uma organização com os serviços do Azure ou o Microsoft 365, não poderá adicionar um nome de domínio personalizado se ele já estiver verificado em outra organização do Microsoft Entra. No entanto, a partir da sua organização gerenciada no Microsoft Entra ID, você pode assumir uma organização não gerenciada como uma aquisição de administrador externo. O procedimento geral segue o artigo Adicionar um domínio personalizado ao Microsoft Entra ID.

Quando você verifica a propriedade do nome de domínio, o Microsoft Entra ID remove o nome de domínio da organização não gerenciada e o move para sua organização existente. A aquisição de um diretório não gerenciado por administradores externos requer o mesmo processo de validação de TXT de DNS que a aquisição de administradores internos. A diferença é que os seguintes também são movidos com o nome de domínio:

• Utilizadores
• Subscrições
• Atribuições de licenças

Suporte para aquisição de administradores externos

A aquisição de administradores externos é suportada pelos seguintes serviços online:

• Azure Rights Management
• Exchange Online

Os planos de serviço suportados incluem:

• Power Apps Grátis
• Power Automate Livre
• RMS para utilizadores
• Microsoft Stream
• Versão experimental gratuita do Dynamics 365

A aquisição de administradores externos não é suportada por nenhum serviço que tenha planos de serviço que incluam SharePoint, OneDrive ou Skype for Business; por exemplo, através de uma subscrição gratuita do Office.

Mais informações sobre o RMS para particulares

Para o RMS para indivíduos, quando a organização não gerenciada está na mesma região que a organização de sua propriedade, a chave da organização da Proteção de Informações do Azure criada automaticamente e os modelos de proteção padrão são adicionalmente movidos com o nome de domínio.

A chave e os modelos não são movidos quando a organização não gerenciada está em uma região diferente. Por exemplo, se a organização não gerenciada estiver na Europa e a organização que você possui estiver na América do Norte.

Embora o RMS para indivíduos tenha sido projetado para oferecer suporte à autenticação do Microsoft Entra para abrir conteúdo protegido, ele não impede que os usuários também protejam o conteúdo. Se os usuários protegeram o conteúdo com a assinatura do RMS para indivíduos e a chave e os modelos não foram movidos, esse conteúdo não estará acessível após a aquisição do domínio.

Cmdlets do Azure AD PowerShell para a opção ForceTakeover

Você pode ver esses cmdlets usados no exemplo do PowerShell.

Exemplo do PowerShell

1. Conecte-se ao Microsoft Graph usando as credenciais que foram usadas para responder à oferta de autoatendimento:

   Install-Module -Name Microsoft.Graph
   
   Connect-MgGraph -Scopes "User.ReadWrite.All","Domain.ReadWrite.All"
   

2. Obtenha uma lista de domínios:

   Get-MgDomain
   

3. Execute o cmdlet New-MgDomain para adicionar um novo domínio:

   New-MgDomain -BodyParameter @{Id="<your domain name>"; IsDefault="False"}
   

4. Execute o cmdlet Get-MgDomainVerificationDnsRecord para exibir o desafio DNS:

   (Get-MgDomainVerificationDnsRecord -DomainId "<your domain name>" | ?{$_.recordtype -eq "Txt"}).AdditionalProperties.text
   

   Por exemplo:

   (Get-MgDomainVerificationDnsRecord -DomainId "contoso.com" | ?{$_.recordtype -eq "Txt"}).AdditionalProperties.text
   

5. Copie o valor (o desafio) retornado deste comando. Por exemplo:

   MS=ms18939161
   

6. Em seu namespace DNS público, crie um registro txt DNS que contenha o valor copiado na etapa anterior. O nome desse registro é o nome do domínio pai, portanto, se você criar esse registro de recurso usando a função DNS do Windows Server, deixe o Nome do registro em branco e cole o valor na caixa Texto.

7. Execute o cmdlet Confirm-MgDomain para verificar o desafio:

   Confirm-MgDomain -DomainId "<your domain name>"
   

   Por exemplo:

   Confirm-MgDomain -DomainId "contoso.com"
   

Um desafio bem-sucedido retorna ao prompt sem erro.

Próximos passos

• Adicionar um nome de domínio personalizado ao Microsoft Entra ID
• Como instalar e configurar o Azure PowerShell
• Azure PowerShell
• Referência de Cmdlet do Azure
• Set-MsolCompanySettings