Меню

Какие параметры для настройки домена



Руководство по Создание и настройка управляемого домена доменных служб Azure Active Directory с помощью расширенных параметров конфигурации Tutorial: Create and configure an Azure Active Directory Domain Services managed domain with advanced configuration options

Доменные службы Azure Active Directory (Azure AD DS) предоставляют управляемые доменные службы, отвечающие за присоединение к домену, применение групповой политики, использование протокола LDAP, а также выполнение аутентификации Kerberos или NTLM (полностью поддерживается Windows Server Active Directory). Azure Active Directory Domain Services (Azure AD DS) provides managed domain services such as domain join, group policy, LDAP, Kerberos/NTLM authentication that is fully compatible with Windows Server Active Directory. Эти доменные службы можно использовать без необходимости развертывать, администрировать и обновлять контроллеры домена. You consume these domain services without deploying, managing, and patching domain controllers yourself. Azure AD DS интегрируется с существующим клиентом Azure AD. Azure AD DS integrates with your existing Azure AD tenant. Такая интеграция позволяет пользователям входить в систему с корпоративными учетными данными. При этом вы можете использовать существующие группы и учетные записи пользователей для защиты доступа к ресурсам. This integration lets users sign in using their corporate credentials, and you can use existing groups and user accounts to secure access to resources.

Вы можете создать управляемый домен, используя параметры конфигурации по умолчанию для сетевых подключений и синхронизации, или вручную определить эти параметры. You can create a managed domain using default configuration options for networking and synchronization, or manually define these settings. В этом учебнике описано, как определить эти расширенные параметры конфигурации, чтобы создать и настроить управляемый домен Azure AD DS на портале Azure. This tutorial shows you how to define those advanced configuration options to create and configure an Azure AD DS managed domain using the Azure portal.

В этом руководстве описано следующее: In this tutorial, you learn how to:

  • настройка параметров DNS и виртуальной сети для управляемого домена; Configure DNS and virtual network settings for a managed domain
  • Создание управляемого домена Create a managed domain
  • Добавление пользователей с правами администратора в службу управления доменами Add administrative users to domain management
  • Включение синхронизации хэшированных паролей Enable password hash synchronization

Если у вас еще нет подписки Azure, создайте учетную запись Azure, прежде чем начинать работу. If you don’t have an Azure subscription, create an account before you begin.

Предварительные требования Prerequisites

Для работы с этим учебником требуются следующие ресурсы и разрешения: To complete this tutorial, you need the following resources and privileges:

  • Активная подписка Azure. An active Azure subscription.
    • Если у вас еще нет подписки Azure, создайте учетную запись. If you don’t have an Azure subscription, create an account.
  • Связанный с вашей подпиской клиент Azure Active Directory, синхронизированный с локальным или облачным каталогом. An Azure Active Directory tenant associated with your subscription, either synchronized with an on-premises directory or a cloud-only directory.
    • Если потребуется, создайте клиент Azure Active Directory или свяжите подписку Azure со своей учетной записью. If needed, create an Azure Active Directory tenant or associate an Azure subscription with your account.
  • Привилегии глобального администратора для клиента Azure AD, чтобы включить доменные службы Azure AD. You need global administrator privileges in your Azure AD tenant to enable Azure AD DS.
  • Для создания нужных ресурсов Azure AD DS требуются привилегии участника в подписке Azure. You need Contributor privileges in your Azure subscription to create the required Azure AD DS resources.

Хотя это и не обязательно для Azure AD DS, рекомендуем настроить самостоятельный сброс пароля (SSPR) для клиента Azure AD. Although not required for Azure AD DS, it’s recommended to configure self-service password reset (SSPR) for the Azure AD tenant. Пользователи могут менять свой пароль без SSPR. Однако SSPR помогает в случае, если они забыли пароль и им нужно сбросить его. Users can change their password without SSPR, but SSPR helps if they forget their password and need to reset it.

После создания управляемого домена вы не сможете переместить его в другую группу ресурсов, виртуальную сеть, подписку и т. д. Выберите наиболее подходящую подписку, группу ресурсов, регион и виртуальную сеть при развертывании управляемого домена. After you create a managed domain, you can’t then move the managed domain to a different resource group, virtual network, subscription, etc. Take care to select the most appropriate subscription, resource group, region, and virtual network when you deploy the managed domain.

Вход на портал Azure Sign in to the Azure portal

При работе с этим учебником вы создадите и настроите управляемый домен с помощью портала Azure. In this tutorial, you create and configure the managed domain using the Azure portal. Чтобы начать работу, войдите на портал Azure. To get started, first sign in to the Azure portal.

Создание управляемого домена и настройка основных параметров Create a managed domain and configure basic settings

Чтобы запустить мастер включения доменных служб Azure AD, выполните указанные ниже действия. To launch the Enable Azure AD Domain Services wizard, complete the following steps:

  1. На домашней странице или в меню портала Azure выберите Создать ресурс. On the Azure portal menu or from the Home page, select Create a resource.
  2. В строке поиска введите Доменные службы и выберите Доменные службы Azure AD в списке вариантов. Enter Domain Services into the search bar, then choose Azure AD Domain Services from the search suggestions.
  3. На странице «Доменные службы Azure AD» щелкните Создать. On the Azure AD Domain Services page, select Create. Запустится мастер включения доменных служб Azure AD. The Enable Azure AD Domain Services wizard is launched.
  4. Выберите подписку Azure, в которой следует создать управляемый домен. Select the Azure Subscription in which you would like to create the managed domain.
  5. Выберите группу ресурсов, к которой должен относиться управляемый домен. Select the Resource group to which the managed domain should belong. Щелкните Создать или выберите существующую группу ресурсов. Choose to Create new or select an existing resource group.

При создании управляемого домена нужно указать имя DNS. When you create a managed domain, you specify a DNS name. При выборе имени DNS следует учитывать ряд рекомендаций. There are some considerations when you choose this DNS name:

  • Встроенное доменное имя. По умолчанию используется стандартное доменное имя каталога (с суффиксом .onmicrosoft.com). Built-in domain name: By default, the built-in domain name of the directory is used (a .onmicrosoft.com suffix). Если вы хотите разрешить для управляемого домена доступ по защищенному протоколу LDAP, вы не сможете создать цифровой сертификат для защиты подключения к домену по умолчанию. If you wish to enable secure LDAP access to the managed domain over the internet, you can’t create a digital certificate to secure the connection with this default domain. Домен onmicrosoft.com принадлежит корпорации Майкрософт, поэтому центр сертификации не будет выдавать для него сертификаты. Microsoft owns the .onmicrosoft.com domain, so a Certificate Authority (CA) won’t issue a certificate.
  • Имена личных доменов. Популярный подход заключается в том, чтобы указать имя личного домена. Обычно оно принадлежит вашей организации и поддерживает маршрутизацию. Custom domain names: The most common approach is to specify a custom domain name, typically one that you already own and is routable. При использовании личного домена с поддержкой маршрутизации трафик можно передавать так, нужно приложениям. When you use a routable, custom domain, traffic can correctly flow as needed to support your applications.
  • Суффиксы доменов, не поддерживающие маршрутизацию. Обычно мы рекомендуем не использовать суффиксы доменных имен, не поддерживающие маршрутизацию, такие как contoso.local. Non-routable domain suffixes: We generally recommend that you avoid a non-routable domain name suffix, such as contoso.local. Суффикс .local не маршрутизируется и его использование может привести к ошибкам при разрешении имен DNS. The .local suffix isn’t routable and can cause issues with DNS resolution.

Если вы создаете личное доменное имя, важно не допускать конфликтов с существующими пространствами имен DNS. If you create a custom domain name, take care with existing DNS namespaces. Рекомендуется использовать доменное имя отдельно от существующего локального пространства имен DNS или пространства имен DNS от Azure. It’s recommended to use a domain name separate from any existing Azure or on-premises DNS name space.

Например, если вы используете существующее пространство имен DNS contoso.com, создайте управляемый домен с именем личного домена aaddscontoso.com. For example, if you have an existing DNS name space of contoso.com, create a managed domain with the custom domain name of aaddscontoso.com. Если вам нужно использовать защищенный протокол LDAP, необходимо зарегистрировать и присвоить это имя личного домена, чтобы создать необходимые сертификаты. If you need to use secure LDAP, you must register and own this custom domain name to generate the required certificates.

Возможно, вам потребуется создать дополнительные записи DNS для других служб в среде или условные серверы переадресации DNS между существующими пространствами имен DNS в вашей среде. You may need to create some additional DNS records for other services in your environment, or conditional DNS forwarders between existing DNS name spaces in your environment. Например, если корневое имя DNS используется в качестве адреса сайта, размещенного на веб-сервере, могут возникнуть конфликты имен, для устранения которых потребуются дополнительные записи DNS. For example, if you run a webserver that hosts a site using the root DNS name, there can be naming conflicts that require additional DNS entries.

Читайте также:  Настройки антенны интертелеком на русском

В этих руководствах и инструкциях в качестве примера используется личный домен aaddscontoso.com. In these tutorials and how-to articles, the custom domain of aaddscontoso.com is used as a short example. Используйте во всех командах собственное доменное имя. In all commands, specify your own domain name.

Также применимы следующие ограничения в отношении DNS: The following DNS name restrictions also apply:

  • Ограничения для префикса домена. Невозможно создать управляемый домен с префиксом длиннее 15 символов. Domain prefix restrictions: You can’t create a managed domain with a prefix longer than 15 characters. Длина указанного префикса доменного имени (например, aaddscontoso в доменном имени aaddscontoso.com) не должна превышать 15 символов. The prefix of your specified domain name (such as aaddscontoso in the aaddscontoso.com domain name) must contain 15 or fewer characters.
  • Конфликты сетевых имен. Нельзя использовать для управляемого домена имя DNS, которое уже существует в виртуальной сети. Network name conflicts: The DNS domain name for your managed domain shouldn’t already exist in the virtual network. В частности, к конфликту имен приведут следующие сценарии: Specifically, check for the following scenarios that would lead to a name conflict:
    • Если в виртуальной сети уже существует домен Active Directory с таким же доменным именем DNS. If you already have an Active Directory domain with the same DNS domain name on the Azure virtual network.
    • Если для виртуальной сети, в которой планируется использовать управляемый домен, установлено VPN-подключение к локальной сети. If the virtual network where you plan to enable the managed domain has a VPN connection with your on-premises network. в этом случае необходимо убедиться в том, что в локальной сети нет домена с таким же DNS-именем домена; In this scenario, ensure you don’t have a domain with the same DNS domain name on your on-premises network.
    • Если в виртуальной сети Azure существует облачная служба Azure с таким же именем. If you have an existing Azure cloud service with that name on the Azure virtual network.

Заполните поля в окне Основные данные на портале Azure, чтобы создать управляемый домен: Complete the fields in the Basics window of the Azure portal to create a managed domain:

Введите доменное имя DNS для управляемого домена, учитывая описанные выше ограничения. Enter a DNS domain name for your managed domain, taking into consideration the previous points.

Выберите расположение Azure, в котором необходимо создать управляемый домен. Choose the Azure Location in which the managed domain should be created. Если вы выбрали регион, который поддерживает зоны доступности, ресурсы Azure AD DS распределяются между зонами для дополнительной избыточности. If you choose a region that supports Availability Zones, the Azure AD DS resources are distributed across zones for additional redundancy.

Зоны доступности — уникальные физические расположения в пределах одного региона Azure. Availability Zones are unique physical locations within an Azure region. Каждая зона состоит из одного или нескольких центров обработки данных, оснащенных независимыми системами электроснабжения, охлаждения и сетевого взаимодействия. Each zone is made up of one or more datacenters equipped with independent power, cooling, and networking. Чтобы обеспечить устойчивость, во всех включенных областях используются минимум три отдельные зоны. To ensure resiliency, there’s a minimum of three separate zones in all enabled regions.

Вы не можете настроить распределение Azure AD DS между зонами. There’s nothing for you to configure for Azure AD DS to be distributed across zones. Платформа Azure автоматически обрабатывает распределение ресурсов зоны. The Azure platform automatically handles the zone distribution of resources. Дополнительные сведения о зонах доступности и регионах см. в статье Что такое зоны доступности в Azure?. For more information and to see region availability, see What are Availability Zones in Azure?

SKU определяет производительность, частоту резервного копирования и максимальное число отношений доверия, которые можно создать для лесов. The SKU determines the performance, backup frequency, and maximum number of forest trusts you can create. Если коммерческие или другие требования изменятся, SKU можно будет изменить после создания управляемого домена. You can change the SKU after the managed domain has been created if your business demands or requirements change. Дополнительные сведения см. в статье об основных понятиях SKU Azure AD DS. For more information, see Azure AD DS SKU concepts.

Для работы с этим руководством выберите SKU категории Стандартный. For this tutorial, select the Standard SKU.

Лес — это логическая конструкция, используемая доменными службами Active Directory для группирования одного или нескольких доменов. A forest is a logical construct used by Active Directory Domain Services to group one or more domains. По умолчанию управляемый домен создается как лес объектов User. By default, a managed domain is created as a User forest. Лес этого типа синхронизирует все объекты из Azure AD, включая учетные записи пользователей, созданные в локальной среде AD DS. This type of forest synchronizes all objects from Azure AD, including any user accounts created in an on-premises AD DS environment.

Лес ресурсов синхронизирует только пользователей и группы, созданные непосредственно в Azure AD. A Resource forest only synchronizes users and groups created directly in Azure AD. Хэши паролей для локальных пользователей не синхронизируются с управляемым доменом при создании леса ресурсов. Password hashes for on-premises users are never synchronized into a managed domain when you create a resource forest. Дополнительные сведения о лесах ресурсов, в том числе об их предназначении и о создании доверия между лесами и локальными доменами AD DS, см. в этой статье. For more information on Resource forests, including why you may use one and how to create forest trusts with on-premises AD DS domains, see Azure AD DS resource forests overview.

Для работы с этим учебником создайте лес пользователей. For this tutorial, choose to create a User forest.

Чтобы вручную настроить дополнительные параметры, выберите Далее — Сетевые подключения. To manually configure additional options, choose Next — Networking. В противном случае выберите Просмотр и создание, чтобы принять параметры конфигурации по умолчанию, а затем перейдите к разделу Развертывание управляемого домена. Otherwise, select Review + create to accept the default configuration options, then skip to the section to Deploy your managed domain. При выборе этого параметра создания настраиваются следующие значения по умолчанию: The following defaults are configured when you choose this create option:

  • Создается виртуальная сеть с именем aadds-vnet, которая использует диапазон IP-адресов 10.0.1.0/24. Creates a virtual network named aadds-vnet that uses the IP address range of 10.0.1.0/24.
  • Создается подсеть с именем aadds-vnet, которая использует диапазон IP-адресов 10.0.1.0/24. Creates a subnet named aadds-subnet using the IP address range of 10.0.1.0/24.
  • Синхронизируются все пользователи из Azure AD в управляемый домен. Synchronizes All users from Azure AD into the managed domain.

Создание и настройка виртуальной сети. Create and configure the virtual network

Чтобы настроить подключение, требуются виртуальная сеть Azure и выделенная подсеть. To provide connectivity, an Azure virtual network and a dedicated subnet are needed. Службы Azure AD DS включены в этой подсети виртуальной сети. Azure AD DS is enabled in this virtual network subnet. В этом руководстве описано, как создать виртуальную сеть, но вместо этого можно использовать уже существующую. In this tutorial, you create a virtual network, though you could instead choose to use an existing virtual network. В любом случае вам нужно создать выделенную подсеть для Azure AD DS. In either approach, you must create a dedicated subnet for use by Azure AD DS.

При использовании выделенной виртуальной сети необходимо учитывать следующее: Some considerations for this dedicated virtual network subnet include the following areas:

  • В подсети должны быть доступными не менее 3–5 свободных IP-адресов для ресурсов Azure AD DS. The subnet must have at least 3-5 available IP addresses in its address range to support the Azure AD DS resources.
  • Не выбирайте подсеть Gateway для развертывания Azure AD DS. Don’t select the Gateway subnet for deploying Azure AD DS. Развертывание Azure AD DS в подсети шлюза не поддерживается. It’s not supported to deploy Azure AD DS into a Gateway subnet.
  • Не развертывайте другие виртуальные машины в этой подсети. Don’t deploy any other virtual machines to the subnet. Приложения и виртуальные машины часто используют группы безопасности сети для защиты подключения. Applications and VMs often use network security groups to secure connectivity. Выполнение рабочих нагрузок в отдельной подсети позволяет применять группы безопасности сети, не влияя на подключение к управляемому домену. Running these workloads in a separate subnet lets you apply those network security groups without disrupting connectivity to your managed domain.
  • После включения Azure AD DS переместить управляемый домен в другую виртуальную сеть нельзя. You can’t move your managed domain to a different virtual network after you enable Azure AD DS.
Читайте также:  Настройка клапанов honda magna

См. сведения о проектировании и настройке виртуальной сети в рекомендациях по использованию сетей для доменных служб Azure AD. For more information on how to plan and configure the virtual network, see networking considerations for Azure Active Directory Domain Services.

Заполните поля в окне Сеть, как описано ниже. Complete the fields in the Network window as follows:

На странице Сеть выберите виртуальную сеть, в которую будет развертываться Azure AD DS, в раскрывающемся меню или выберите Создать. On the Network page, choose a virtual network to deploy Azure AD DS into from the drop-down menu, or select Create new.

  1. При создании виртуальной сети введите ее имя, например myVnet, и укажите диапазон адресов, например 10.0.1.0/24. If you choose to create a virtual network, enter a name for the virtual network, such as myVnet, then provide an address range, such as 10.0.1.0/24.
  2. Создайте выделенную подсеть с понятным именем, например DomainServices. Create a dedicated subnet with a clear name, such as DomainServices. Укажите диапазон адресов, например 10.0.1.0/24. Provide an address range, such as 10.0.1.0/24.

Выбранное адресное пространство должно входить в пространство частных IP-адресов. Make sure to pick an address range that is within your private IP address range. Использование не принадлежащих вам IP-адресов из пространства общедоступных адресов приведет к сбоям в работе доменных служб Azure AD. IP address ranges you don’t own that are in the public address space cause errors within Azure AD DS.

Выберите подсеть виртуальной сети, например DomainServices. Select a virtual network subnet, such as DomainServices.

Когда все будет готово, выберите Далее — Администрирование. When ready, choose Next — Administration.

Настройка административной группы Configure an administrative group

Для управления доменом Azure AD DS используется специальная административная группа с именем Администраторы AAD DC. A special administrative group named AAD DC Administrators is used for management of the Azure AD DS domain. Участникам этой группы предоставляются разрешения администратора на виртуальных машинах, присоединенных к управляемому домену. Members of this group are granted administrative permissions on VMs that are domain-joined to the managed domain. На виртуальных машинах, присоединенных к домену, эта группа добавляется в группу локальных администраторов. On domain-joined VMs, this group is added to the local administrators group. Участники этой группы могут подключаться по протоколу удаленного рабочего стола к виртуальным машинам, присоединенным к домену. Members of this group can also use Remote Desktop to connect remotely to domain-joined VMs.

При работе с Azure AD DS вы не получаете разрешения администратора домена или администратора предприятия для управляемого домена. You don’t have Domain Administrator or Enterprise Administrator permissions on a managed domain using Azure AD DS. Эти разрешения зарезервированы службой и не предоставляются для пользователей в клиенте. These permissions are reserved by the service and aren’t made available to users within the tenant.

Вместо этого для некоторых операций с повышенным уровнем доступа можно применять группу Администраторы AAD DC. Instead, the AAD DC Administrators group lets you perform some privileged operations. Сюда относятся вхождение в группу администраторов на виртуальных машинах, присоединенных к домену, и настройка групповой политики. These operations include belonging to the administration group on domain-joined VMs, and configuring Group Policy.

Мастер автоматически создает группу Администраторы AAD DC в каталоге Azure AD. The wizard automatically creates the AAD DC Administrators group in your Azure AD directory. Если у вас уже есть группа с таким именем в каталоге Azure AD, мастер выберет ее. If you have an existing group with this name in your Azure AD directory, the wizard selects this group. При желании вы можете добавить других пользователей в группу Администраторы AAD DC в ходе развертывания. You can optionally choose to add additional users to this AAD DC Administrators group during the deployment process. Эти действия можно выполнить и позже. These steps can be completed later.

Чтобы добавить пользователей в группу Администраторы AAD DC щелкните Управление членством в группах. To add additional users to this AAD DC Administrators group, select Manage group membership.

Щелкните Добавить участников, а затем найдите и добавьте пользователей из каталога Azure AD. Select the Add members button, then search for and select users from your Azure AD directory. Например, найдите и добавьте собственную учетную запись в группу Администраторы AAD DC. For example, search for your own account, and add it to the AAD DC Administrators group.

При необходимости измените или добавьте дополнительных получателей уведомлений при наличии оповещений в управляемом домене, требующих внимания. If desired, change or add additional recipients for notifications when there are alerts in the managed domain that require attention.

Когда все будет готово, выберите Далее — Синхронизация. When ready, choose Next — Synchronization.

Настройка синхронизации Configure synchronization

Службы Azure AD DS позволяют синхронизировать всех пользователей и все группы, которые доступны в Azure AD, или только определенные группы. Azure AD DS lets you synchronize all users and groups available in Azure AD, or a scoped synchronization of only specific groups. Вы можете изменить область синхронизации сейчас или после развертывания управляемого домена. You can change the synchronize scope now, or once the managed domain is deployed. Дополнительные сведения см. в разделе Настройка синхронизации с заданной областью из Azure AD в Azure Active Directory доменных служб с помощью портал Azure. For more information, see Azure AD Domain Services scoped synchronization.

Для нашего примера выберите синхронизацию всех пользователей и групп. For this tutorial, choose to synchronize All users and groups. Этот вариант синхронизации используется по умолчанию. This synchronization choice is the default option.

Выберите Review + create (Просмотреть и создать). Select Review + create.

Развертывание управляемого домена Deploy the managed domain

На странице Сводка в мастере просмотрите параметры конфигурации для своего управляемого домена. On the Summary page of the wizard, review the configuration settings for your managed domain. Вы всегда можете вернуться к любому шагу мастера и внести изменения. You can go back to any step of the wizard to make changes. Чтобы согласованно повторно развернуть управляемый домен в другой клиент Azure AD с помощью этих же параметров конфигурации, можно также выполнить действие Скачать шаблон для автоматизации. To redeploy a managed domain to a different Azure AD tenant in a consistent way using these configuration options, you can also Download a template for automation.

Чтобы создать управляемый домен, щелкните Создать. To create the managed domain, select Create. Отобразится примечание о том, что некоторые параметры конфигурации, такие как DNS-имя или виртуальная сеть, нельзя изменить после создания управляемого домена Azure AD DS. A note is displayed that certain configuration options like DNS name or virtual network can’t be changed once the Azure AD DS managed has been created. Чтобы продолжить, нажмите кнопку ОК. To continue, select OK.

Процесс подготовки управляемого домена может занять до одного часа. The process of provisioning your managed domain can take up to an hour. На портале отображается уведомление, которое демонстрирует ход выполнения развертывания Azure AD DS. A notification is displayed in the portal that shows the progress of your Azure AD DS deployment. Щелкните это уведомление, чтобы просмотреть подробное описание процесса развертывания. Select the notification to see detailed progress for the deployment.

Выберите группу ресурсов, например myResourceGroup, а затем выберите в списке ресурсов Azure управляемый домен, например aaddscontoso.com. Select your resource group, such as myResourceGroup, then choose your managed domain from the list of Azure resources, such as aaddscontoso.com. На вкладке Обзор можно увидеть, что сейчас выполняется развертывание управляемого домена. The Overview tab shows that the managed domain is currently Deploying. Настроить управляемый домен можно только после его полной подготовки. You can’t configure the managed domain until it’s fully provisioned.

После полной подготовки управляемого домена на вкладке Обзор состояние домена отображается как Выполняется. When the managed domain is fully provisioned, the Overview tab shows the domain status as Running.

Управляемый домен связан с вашим клиентом Azure AD. The managed domain is associated with your Azure AD tenant. В процессе подготовки Azure AD DS создает в вашем клиенте Azure AD два корпоративных приложения с именами Domain Controller Services и AzureActiveDirectoryDomainControllerServices. During the provisioning process, Azure AD DS creates two Enterprise Applications named Domain Controller Services and AzureActiveDirectoryDomainControllerServices in the Azure AD tenant. Эти корпоративные приложения нужны для обслуживания управляемого домена. These Enterprise Applications are needed to service your managed domain. Не удаляйте эти приложения. Don’t delete these applications.

Обновление настроек DNS для виртуальной сети Azure Update DNS settings for the Azure virtual network

После успешного развертывания Azure AD DS следует настроить виртуальную сеть, чтобы другие подключенные виртуальные машины и приложения могли использовать управляемый домен. With Azure AD DS successfully deployed, now configure the virtual network to allow other connected VMs and applications to use the managed domain. Чтобы создать такое подключение, измените параметры DNS-сервера для виртуальной сети, указав IP-адреса развертывания управляемого домена. To provide this connectivity, update the DNS server settings for your virtual network to point to the two IP addresses where the managed domain is deployed.

Читайте также:  Правильная настройка окучника для мотоблока

На вкладке Обзор для управляемого домена отображаются некоторые требуемые шаги конфигурации. The Overview tab for your managed domain shows some Required configuration steps. Первый из них — обновление параметров DNS-сервера для виртуальной сети. The first configuration step is to update DNS server settings for your virtual network. После правильной настройки параметров DNS этот шаг исчезает из списка. Once the DNS settings are correctly configured, this step is no longer shown.

Указанные здесь адреса принадлежат контроллерам домена для использования в виртуальной сети. The addresses listed are the domain controllers for use in the virtual network. В нашем примере это адреса 10.0.1.4 и 10.0.1.5. In this example, those addresses are 10.0.1.4 and 10.0.1.5. Эти IP-адреса вы можете найти на вкладке Свойства. You can later find these IP addresses on the Properties tab.

Щелкните Настроить, чтобы обновить параметры DNS-сервера для виртуальной сети. To update the DNS server settings for the virtual network, select the Configure button. Параметры DNS автоматически настраиваются для виртуальной сети. The DNS settings are automatically configured for your virtual network.

Если на предыдущих шагах вы выбрали существующую виртуальную сеть, все виртуальные машины в этой сети получат новые параметры DNS только после перезапуска. If you selected an existing virtual network in the previous steps, any VMs connected to the network only get the new DNS settings after a restart. Виртуальные машины можно перезапустить с помощью портала Azure, Azure CLI или Azure PowerShell. You can restart VMs using the Azure portal, Azure PowerShell, or the Azure CLI.

Включение учетных записей пользователей для Azure AD DS Enable user accounts for Azure AD DS

Чтобы выполнять аутентификацию пользователей в управляемом домене, Azure AD DS использует хэши паролей в формате, требуемом для аутентификации NTLM и Kerberos. To authenticate users on the managed domain, Azure AD DS needs password hashes in a format that’s suitable for NT LAN Manager (NTLM) and Kerberos authentication. Пока вы не включите Azure AD DS для клиента, Azure AD не будет создавать и хранить хэши паролей в формате, требуемом для аутентификации NTLM или Kerberos. Azure AD doesn’t generate or store password hashes in the format that’s required for NTLM or Kerberos authentication until you enable Azure AD DS for your tenant. Из соображений безопасности Azure AD никогда не хранит пароли в виде открытого текста. For security reasons, Azure AD also doesn’t store any password credentials in clear-text form. Поэтому Azure AD не может автоматически создать хэши паролей в формате NTLM или Kerberos по уже существующим учетным данным пользователей. Therefore, Azure AD can’t automatically generate these NTLM or Kerberos password hashes based on users’ existing credentials.

После настройки хэши паролей в требуемом формате сохраняются в управляемом домене. Once appropriately configured, the usable password hashes are stored in the managed domain. Если вы удалите управляемый домен, вместе с ним будут удалены все сохраненные хэши паролей. If you delete the managed domain, any password hashes stored at that point are also deleted.

Синхронизированные в Azure AD учетные данные нельзя использовать повторно, если вы снова создадите управляемый домен. Вам придется повторно настраивать синхронизацию хэшей паролей, чтобы сохранить их. Synchronized credential information in Azure AD can’t be re-used if you later create a managed domain — you must reconfigure the password hash synchronization to store the password hashes again. Ранее присоединенные к домену виртуальные машины и пользователи не смогут сразу выполнить аутентификацию, пока Azure AD не создаст и не сохранит хэши паролей в новом управляемом домене. Previously domain-joined VMs or users won’t be able to immediately authenticate — Azure AD needs to generate and store the password hashes in the new managed domain.

Этапы создания и сохранения хэшей паролей будут разными для облачных учетных записей, созданных в Azure AD, и учетных записей, синхронизируемых из локального каталога с помощью Azure AD Connect. The steps to generate and store these password hashes are different for cloud-only user accounts created in Azure AD versus user accounts that are synchronized from your on-premises directory using Azure AD Connect.

Облачная учетная запись пользователей — это учетная запись, созданная в каталоге Azure AD с помощью портала Azure или командлетов Azure AD PowerShell. A cloud-only user account is an account that was created in your Azure AD directory using either the Azure portal or Azure AD PowerShell cmdlets. Такие учетные записи пользователей не синхронизируются из локального каталога. These user accounts aren’t synchronized from an on-premises directory.

В этом руководстве мы будем использовать простой вариант облачной учетной записи. In this tutorial, let’s work with a basic cloud-only user account. Дополнительные шаги, которые потребуются для использования Azure AD Connect, см. в руководстве по синхронизации хэшей паролей для учетных записей пользователей, синхронизируемых из локального каталога Azure AD в управляемый домен. For more information on the additional steps required to use Azure AD Connect, see Synchronize password hashes for user accounts synced from your on-premises AD to your managed domain.

Если клиент Azure AD содержит и пользователей в облаке, и пользователей из локального каталога Azure AD, необходимо выполнить оба блока действий. If your Azure AD tenant has a combination of cloud-only users and users from your on-premises AD, you need to complete both sets of steps.

При использовании облачных учетных записей пользователям нужно сменить пароль, чтобы получить доступ к Azure AD DS. For cloud-only user accounts, users must change their passwords before they can use Azure AD DS. При смене пароля хэши паролей автоматически создаются и сохраняются в Azure AD для аутентификации Kerberos и NTLM. This password change process causes the password hashes for Kerberos and NTLM authentication to be generated and stored in Azure AD. Данные об учетной записи не синхронизируются из Azure AD в Azure AD DS, пока пароль не будет изменен. The account isn’t synchronized from Azure AD to Azure AD DS until the password is changed. Вы можете принудительно завершить срок действия паролей для всех пользователей облака в арендаторе, использующем Azure AD DS, что приведет к изменению пароля при следующем входе, или сообщите пользователям облака о необходимости изменить свои пароли вручную. Either expire the passwords for all cloud users in the tenant who need to use Azure AD DS, which forces a password change on next sign-in, or instruct cloud users to manually change their passwords. В этом руководстве описано, как изменить пароль пользователя вручную. For this tutorial, let’s manually change a user password.

Чтобы пользователь мог сменить свой пароль, для клиента Azure AD должна быть включена функция самостоятельного сброса пароля. Before a user can reset their password, the Azure AD tenant must be configured for self-service password reset.

Чтобы изменить пароль для облачного пользователя, выполните от его имени следующие действия: To change the password for a cloud-only user, the user must complete the following steps:

Откройте Панель доступа Azure AD по адресу https://myapps.microsoft.com. Go to the Azure AD Access Panel page at https://myapps.microsoft.com.

Вверху справа щелкните имя и выберите Профиль в раскрывающемся меню. In the top-right corner, select your name, then choose Profile from the drop-down menu.

На странице Профиль щелкните Изменить пароль. On the Profile page, select Change password.

На странице Изменение пароля введите существующий (старый) пароль, а затем введите и подтвердите новый пароль. On the Change password page, enter your existing (old) password, then enter and confirm a new password.

Нажмите кнопку Submit (Отправить). Select Submit.

Новый пароль становится работоспособным в Azure AD DS через несколько минут после изменения, позволяя выполнять вход на компьютеры, которые объединены в управляемый домен. It takes a few minutes after you’ve changed your password for the new password to be usable in Azure AD DS and to successfully sign in to computers joined to the managed domain.

Дальнейшие действия Next steps

В этом руководстве вы узнали, как выполнять следующие задачи: In this tutorial, you learned how to:

  • настройка параметров DNS и виртуальной сети для управляемого домена; Configure DNS and virtual network settings for a managed domain
  • Создание управляемого домена Create a managed domain
  • Добавление пользователей с правами администратора в службу управления доменами Add administrative users to domain management
  • Включение учетных записей пользователей для Azure AD DS и создание хэшей паролей Enable user accounts for Azure AD DS and generate password hashes

Чтобы увидеть, как работает управляемый домен, создайте виртуальную машину и присоедините ее к домену. To see this managed domain in action, create and join a virtual machine to the domain.

Источник

Adblock
detector