Självstudie: Skapa och konfigurera en hanterad Domän för Microsoft Entra Domain Services med avancerade konfigurationsalternativ

Microsoft Entra Domain Services tillhandahåller hanterade domäntjänster som domänanslutning, grupprincip, LDAP, Kerberos/NTLM-autentisering som är helt kompatibel med Windows Server Active Directory. Du använder dessa domäntjänster utan att distribuera, hantera och korrigera domänkontrollanter själv. Domain Services integreras med din befintliga Microsoft Entra-klientorganisation. Med den här integreringen kan användarna logga in med sina företagsautentiseringsuppgifter och du kan använda befintliga grupper och användarkonton för att skydda åtkomsten till resurser.

Du kan skapa en hanterad domän med standardkonfigurationsalternativ för nätverk och synkronisering, eller manuellt definiera dessa inställningar. Den här självstudien visar hur du definierar de avancerade konfigurationsalternativen för att skapa och konfigurera en domän som hanteras av Domain Services med hjälp av administrationscentret för Microsoft Entra.

I den här självstudien lär du dig att:

Om du inte har någon Azure-prenumeration skapar du ett konto innan du börjar.

Förutsättningar

För att slutföra den här självstudien behöver du följande resurser och behörigheter:

• En aktiv Azure-prenumeration.
  • Om du inte har en Azure-prenumeration skapar du ett konto.
• En Microsoft Entra-klient som är associerad med din prenumeration, antingen synkroniserad med en lokal katalog eller en katalog som endast är molnbaserad.
  • Om det behövs skapar du en Microsoft Entra-klientorganisation eller associerar en Azure-prenumeration med ditt konto.
• Du behöver Microsoft Entra-roller för programadministratör och gruppadministratör i din klientorganisation för att aktivera Domain Services.
• Du behöver Rollen Domain Services-deltagare i Azure för att skapa nödvändiga Domain Services-resurser.

Även om det inte krävs för Domain Services rekommenderar vi att du konfigurerar självbetjäning av lösenordsåterställning (SSPR) för Microsoft Entra-klientorganisationen. Användare kan ändra sitt lösenord utan SSPR, men SSPR hjälper om de glömmer sitt lösenord och behöver återställa det.

Logga in på Microsoft Entra administrationscenter

I den här självstudien skapar och konfigurerar du den hanterade domänen med hjälp av administrationscentret för Microsoft Entra. Kom igång genom att först logga in på administrationscentret för Microsoft Entra.

Skapa en hanterad domän och konfigurera grundläggande inställningar

Slutför följande steg för att starta guiden Aktivera Microsoft Entra Domain Services :

1. På menyn i administrationscentret för Microsoft Entra eller på sidan Start väljer du Skapa en resurs.
2. Ange Domain Services i sökfältet och välj sedan Microsoft Entra Domain Services från sökförslagen.
3. På sidan Microsoft Entra Domain Services väljer du Skapa. Guiden Aktivera Microsoft Entra Domain Services startas.
4. Välj den Azure-prenumeration där du vill skapa den hanterade domänen.
5. Välj den resursgrupp som den hanterade domänen ska tillhöra. Välj Skapa ny eller välj en befintlig resursgrupp.

När du skapar en hanterad domän anger du ett DNS-namn. Det finns några saker att tänka på när du väljer det här DNS-namnet:

• Inbyggt domännamn: Som standard används det inbyggda domännamnet för katalogen (ett .onmicrosoft.com-suffix ). Om du vill aktivera säker LDAP-åtkomst till den hanterade domänen via Internet kan du inte skapa ett digitalt certifikat för att skydda anslutningen till den här standarddomänen. Microsoft äger domänen .onmicrosoft.com , så en certifikatutfärdare (CA) utfärdar inget certifikat.
• Anpassade domännamn: Den vanligaste metoden är att ange ett anpassat domännamn, vanligtvis ett som du redan äger och är dirigerbart. När du använder en dirigerbar, anpassad domän kan trafiken flöda korrekt efter behov för att stödja dina program.
• Icke-dirigerbara domänsuffix: Vi rekommenderar vanligtvis att du undviker ett icke-dirigerbart domännamnssuffix, till exempel contoso.local. . local-suffixet kan inte dirigeras och kan orsaka problem med DNS-matchning.

Följande DNS-namnbegränsningar gäller också:

• Begränsningar för domänprefix: Du kan inte skapa en hanterad domän med ett prefix som är längre än 15 tecken. Prefixet för ditt angivna domännamn (till exempel aaddscontoso i aaddscontoso.com domännamn) måste innehålla 15 eller färre tecken.
• Nätverksnamnkonflikter: DNS-domännamnet för din hanterade domän bör inte redan finnas i det virtuella nätverket. Mer specifikt kontrollerar du följande scenarier som skulle leda till en namnkonflikt:
  • Om du redan har en Active Directory-domän med samma DNS-domännamn i det virtuella Azure-nätverket.
  • Om det virtuella nätverk där du planerar att aktivera den hanterade domänen har en VPN-anslutning till ditt lokala nätverk. I det här scenariot kontrollerar du att du inte har en domän med samma DNS-domännamn i ditt lokala nätverk.
  • Om du har en befintlig Azure-molntjänst med det namnet i det virtuella Azure-nätverket.

Slutför fälten i fönstret Grundläggande i administrationscentret för Microsoft Entra för att skapa en hanterad domän:

1. Ange ett DNS-domännamn för din hanterade domän med hänsyn till föregående punkter.

2. Välj den Azure-plats där den hanterade domänen ska skapas. Om du väljer en region som stöder Tillgänglighetszoner distribueras Domain Services-resurserna mellan zoner för ytterligare redundans.

   Dricks

   Tillgänglighetszoner är unika fysiska platser inom en Azure-region. Varje zon utgörs av ett eller flera datacenter som är utrustade med oberoende kraft, kylning och nätverk. För att säkerställa återhämtning finns det minst tre separata zoner i alla aktiverade regioner.

   Det finns inget som du kan konfigurera för att Domain Services ska distribueras mellan zoner. Azure-plattformen hanterar automatiskt zonfördelningen av resurser. Mer information och om du vill se regiontillgänglighet finns i Vad är Tillgänglighetszoner i Azure?

3. SKU:n avgör prestanda och säkerhetskopieringsfrekvens. Du kan ändra SKU:n när den hanterade domänen har skapats om företagets krav eller krav ändras. Mer information finns i SKU-begrepp för Domain Services.

   I den här självstudien väljer du Standard SKU.

4. En skog är en logisk konstruktion som används av Active Directory-domän Services för att gruppera en eller flera domäner.

   

5. Om du vill konfigurera ytterligare alternativ manuellt väljer du Nästa – Nätverk. Annars väljer du Granska + skapa för att acceptera standardkonfigurationsalternativen och går sedan vidare till avsnittet för att distribuera din hanterade domän. Följande standardinställningar konfigureras när du väljer det här alternativet för att skapa:

   • Skapar ett virtuellt nätverk med namnet aadds-vnet som använder IP-adressintervallet 10.0.1.0/24.
   • Skapar ett undernät med namnet aadds-subnet med ip-adressintervallet 10.0.1.0/24.
   • Synkroniserar Alla användare från Microsoft Entra-ID till den hanterade domänen.

Skapa och konfigurera det virtuella nätverket

För att tillhandahålla anslutning krävs ett virtuellt Azure-nätverk och ett dedikerat undernät. Domain Services är aktiverat i det här virtuella nätverkets undernät. I den här självstudien skapar du ett virtuellt nätverk, men du kan i stället välja att använda ett befintligt virtuellt nätverk. I båda metoderna måste du skapa ett dedikerat undernät för användning av Domain Services.

Några överväganden för det här dedikerade undernätet för virtuella nätverk omfattar följande områden:

• Undernätet måste ha minst 3–5 tillgängliga IP-adresser i sitt adressintervall för att stödja Domain Services-resurserna.
• Välj inte gatewayundernätet för att distribuera Domain Services. Det stöds inte för att distribuera Domain Services till ett Gateway-undernät .
• Distribuera inte några andra virtuella datorer till undernätet. Program och virtuella datorer använder ofta nätverkssäkerhetsgrupper för att skydda anslutningen. Genom att köra dessa arbetsbelastningar i ett separat undernät kan du tillämpa dessa nätverkssäkerhetsgrupper utan att störa anslutningen till din hanterade domän.

Mer information om hur du planerar och konfigurerar det virtuella nätverket finns i nätverksöverväganden för Microsoft Entra Domain Services.

Fyll i fälten i fönstret Nätverk enligt följande:

1. På sidan Nätverk väljer du ett virtuellt nätverk för att distribuera Domain Services till från den nedrullningsbara menyn eller väljer Skapa nytt.

   1. Om du väljer att skapa ett virtuellt nätverk anger du ett namn för det virtuella nätverket, till exempel myVnet, och anger sedan ett adressintervall, till exempel 10.0.1.0/24.
   2. Skapa ett dedikerat undernät med ett tydligt namn, till exempel DomainServices. Ange ett adressintervall, till exempel 10.0.1.0/24.

   

   Se till att välja ett adressintervall som ligger inom ditt privata IP-adressintervall. IP-adressintervall som du inte äger och som finns i det offentliga adressutrymmet orsakar fel i Domain Services.

2. Välj ett virtuellt nätverksundernät, till exempel DomainServices.

3. När du är klar väljer du Nästa – Administration.

Konfigurera en administrativ grupp

En särskild administrativ grupp med namnet AAD DC-administratörer används för hantering av Domäntjänster-domänen. Medlemmar i den här gruppen beviljas administrativa behörigheter på virtuella datorer som är domänanslutna till den hanterade domänen. På domänanslutna virtuella datorer läggs den här gruppen till i den lokala administratörsgruppen. Medlemmar i den här gruppen kan också använda Fjärrskrivbord för att fjärransluta till domänanslutna virtuella datorer.

Guiden skapar automatiskt gruppen AAD DC-administratörer i din Microsoft Entra-katalog. Om du har en befintlig grupp med det här namnet i din Microsoft Entra-katalog väljer guiden den här gruppen. Du kan också välja att lägga till ytterligare användare i den här gruppen AAD DC-administratörer under distributionsprocessen. De här stegen kan slutföras senare.

1. Om du vill lägga till ytterligare användare i den här gruppen AAD DC-administratörer väljer du Hantera gruppmedlemskap.

   

2. Välj knappen Lägg till medlemmar och sök sedan efter och välj användare från din Microsoft Entra-katalog. Du kan till exempel söka efter ditt eget konto och lägga till det i gruppen AAD DC-administratörer .

3. Om du vill kan du ändra eller lägga till ytterligare mottagare för meddelanden när det finns aviseringar i den hanterade domänen som kräver uppmärksamhet.

4. När du är klar väljer du Nästa – Synkronisering.

Konfigurera synkronisering

Med Domain Services kan du synkronisera alla användare och grupper som är tillgängliga i Microsoft Entra-ID eller en begränsad synkronisering av endast specifika grupper. Du kan ändra synkroniseringsomfånget nu eller när den hanterade domänen har distribuerats. Mer information finns i Microsoft Entra Domain Services omfångssynkronisering.

1. I den här självstudien väljer du att synkronisera Alla användare och grupper. Det här synkroniseringsvalet är standardalternativet.

   

2. Välj Granska + skapa.

Distribuera den hanterade domänen

På sidan Sammanfattning i guiden granskar du konfigurationsinställningarna för din hanterade domän. Du kan gå tillbaka till valfritt steg i guiden för att göra ändringar. Om du vill distribuera om en hanterad domän till en annan Microsoft Entra-klientorganisation på ett konsekvent sätt med hjälp av de här konfigurationsalternativen kan du även ladda ned en mall för automatisering.

1. Om du vill skapa den hanterade domänen väljer du Skapa. En anteckning visas om att vissa konfigurationsalternativ som DNS-namn eller virtuellt nätverk inte kan ändras när de domäntjänster som hanteras har skapats. Om du vill fortsätta väljer du OK.

2. Etableringen av den hanterade domänen kan ta upp till en timme. Ett meddelande visas i portalen som visar förloppet för din Domain Services-distribution. Välj meddelandet för att se detaljerad förlopp för distributionen.

   

3. Välj din resursgrupp, till exempel myResourceGroup, och välj sedan din hanterade domän i listan över Azure-resurser, till exempel aaddscontoso.com. Fliken Översikt visar att den hanterade domänen för närvarande distribueras. Du kan inte konfigurera den hanterade domänen förrän den är helt etablerad.

   

4. När den hanterade domänen är helt etablerad visar fliken Översikt domänstatus som Körs.

   

Uppdatera DNS-inställningarna för det virtuella Azure-nätverket

När Domain Services har distribuerats konfigurerar du nu det virtuella nätverket så att andra anslutna virtuella datorer och program kan använda den hanterade domänen. För att tillhandahålla den här anslutningen uppdaterar du DNS-serverinställningarna för det virtuella nätverket så att de pekar på de två IP-adresser där den hanterade domänen distribueras.

1. Fliken Översikt för den hanterade domänen visar några nödvändiga konfigurationssteg. Det första konfigurationssteget är att uppdatera DNS-serverinställningarna för ditt virtuella nätverk. När DNS-inställningarna har konfigurerats korrekt visas inte längre det här steget.

   Adresserna som anges är de domänkontrollanter som ska användas i det virtuella nätverket. I det här exemplet är dessa adresser 10.0.1.4 och 10.0.1.5. Du kan senare hitta dessa IP-adresser på fliken Egenskaper .

   

2. Om du vill uppdatera DNS-serverinställningarna för det virtuella nätverket väljer du knappen Konfigurera . DNS-inställningarna konfigureras automatiskt för ditt virtuella nätverk.

Aktivera användarkonton för Domain Services

För att autentisera användare på den hanterade domänen behöver Domain Services lösenordshashvärden i ett format som är lämpligt för NT LAN Manager (NTLM) och Kerberos-autentisering. Microsoft Entra-ID genererar eller lagrar inte lösenordshashvärden i det format som krävs för NTLM- eller Kerberos-autentisering förrän du aktiverar Domain Services för din klientorganisation. Av säkerhetsskäl lagrar Inte heller Microsoft Entra-ID några autentiseringsuppgifter för lösenord i klartext. Microsoft Entra-ID kan därför inte automatiskt generera dessa NTLM- eller Kerberos-lösenordshashvärden baserat på användarnas befintliga autentiseringsuppgifter.

Stegen för att generera och lagra dessa lösenordshashvärden skiljer sig åt för molnbaserade användarkonton som skapats i Microsoft Entra-ID jämfört med användarkonton som synkroniseras från din lokala katalog med Microsoft Entra Anslut.

Ett molnbaserat användarkonto är ett konto som skapades i din Microsoft Entra-katalog med antingen Microsoft Entra-administrationscentret eller Microsoft Graph PowerShell-cmdletar. Dessa användarkonton synkroniseras inte från en lokal katalog.

I den här självstudien ska vi arbeta med ett grundläggande molnbaserat användarkonto. Mer information om de ytterligare steg som krävs för att använda Microsoft Entra Anslut finns i Synkronisera lösenordshashvärden för användarkonton som synkroniserats från din lokala AD till din hanterade domän.

För endast molnbaserade användarkonton måste användarna ändra sina lösenord innan de kan använda Domain Services. Den här lösenordsändringsprocessen gör att lösenordshasherna för Kerberos- och NTLM-autentisering genereras och lagras i Microsoft Entra-ID. Kontot synkroniseras inte från Microsoft Entra-ID till Domain Services förrän lösenordet har ändrats. Antingen upphör lösenorden för alla molnanvändare i klientorganisationen som behöver använda Domain Services, vilket tvingar fram en lösenordsändring vid nästa inloggning, eller instruera molnanvändare att manuellt ändra sina lösenord. I den här självstudien ska vi ändra ett användarlösenord manuellt.

Innan en användare kan återställa sitt lösenord måste Microsoft Entra-klienten konfigureras för lösenordsåterställning med självbetjäning.

Om du vill ändra lösenordet för en användare som endast är molnbaserad måste användaren utföra följande steg:

1. Gå till microsoft entra-ID Åtkomstpanelen sidan på https://myapps.microsoft.com.

2. I det övre högra hörnet väljer du ditt namn och sedan Profil på den nedrullningsbara menyn.

   

3. På sidan Profil väljer du Ändra lösenord.

4. På sidan Ändra lösenord anger du ditt befintliga (gamla) lösenord och anger och bekräftar sedan ett nytt lösenord.

5. Välj Skicka.

Det tar några minuter efter att du har ändrat lösenordet för att det nya lösenordet ska kunna användas i Domain Services och att logga in på datorer som är anslutna till den hanterade domänen.

Nästa steg

I den här självstudiekursen lärde du dig att:

Om du vill se den hanterade domänen i praktiken skapar och ansluter du en virtuell dator till domänen.