教程：创建和配置 Microsoft Entra 域服务托管域

Microsoft Entra 域服务提供与 Windows Server Active Directory 完全兼容的托管域服务，例如域加入、组策略、LDAP、Kerberos/NTLM 身份验证。 无需自行部署、管理和修补域控制器，即可使用这些域服务。 域服务与现有 Microsoft Entra 租户集成。 此集成允许用户使用其公司凭据登录，可以使用现有组和用户帐户来保护对资源的访问。

可以使用用于网络和同步的默认配置选项创建托管域，也可以 手动定义这些设置。 本教程介绍如何使用默认选项通过 Microsoft Entra 管理中心创建和配置域服务托管域。

本教程中，您将学习如何：

如果还没有 Azure 订阅，可以在开始前创建一个帐户。

先决条件

需有以下资源和特权才能完成本教程：

• 有效的 Azure 订阅。
  • 如果你没有 Azure 订阅，请创建一个帐户。
• 与订阅关联的 Microsoft Entra 租户，可以与本地目录或仅限云的目录同步。
  • 如果需要，请创建一个 Microsoft Entra 租户或将 Azure 订阅关联到你的帐户。
• 需要租户中的应用程序管理员和组管理员 Microsoft Entra 角色才能启用域服务。
• 需要域服务参与者 Azure 角色来创建所需的域服务资源。
• 包含 DNS 服务器的虚拟网络，可以查询必要的基础结构，例如存储。 无法执行常规 Internet 查询的 DNS 服务器可能会阻止创建托管域的功能。

尽管域服务不需要，但建议为 Microsoft Entra 租户 配置自助密码重置（SSPR ）。 用户可以在没有 SSPR 的情况下更改密码，但如果他们忘记密码并需要重置，SSPR 会有所帮助。

登录 Microsoft Entra 管理中心

在本教程中，将使用 Microsoft Entra 管理中心创建和配置托管域。 若要开始操作，请先登录到 Microsoft Entra 管理中心。

创建托管域

若要启动 “启用Microsoft Entra 域服务 向导，请完成以下步骤：

1. 在Microsoft Entra 管理中心菜单或 主页 上，搜索 域服务，然后选择 Microsoft Entra 域服务。

2. 在“Microsoft Entra 域服务”页上，选择“ 创建Microsoft Entra 域服务”。

   

3. 选择您希望其内创建托管域的 Azure 订阅。

4. 选择托管域应所属的 资源组 。 选择“ 新建 ”或选择现有资源组。

创建托管域时，请指定 DNS 名称。 选择此 DNS 名称时，有一些注意事项：

• 内置域名： 默认情况下，将使用目录的内置域名（ .onmicrosoft.com 后缀）。 如果希望通过 Internet 启用对托管域的安全 LDAP 访问，则无法创建数字证书来保护使用此默认域的连接。 Microsoft拥有 .onmicrosoft.com 域，因此证书颁发机构（CA）不会颁发证书。
• 自定义域名： 最常见的方法是指定自定义域名，通常是已拥有且可路由的域名。 使用可路由的自定义域时，流量可根据需要正确传送，以支持你的应用程序。
• 不可路由的域后缀： 我们通常建议避免使用不可路由的域名后缀，例如 contoso.local。 .local 后缀不可路由，可能会导致 DNS 解析问题。

以下 DNS 名称限制也适用：

• 域前缀限制： 不能创建前缀超过 15 个字符的托管域。 指定域名的前缀（如 dscontoso.com 域名中的 dscontoso）必须包含 15 个字符或更少字符。
• 网络名称冲突： 托管域的 DNS 域名不应在虚拟网络中存在。 具体而言，请检查导致名称冲突的以下方案：
  • 如果 Azure 虚拟网络上已经存在一个具有相同 DNS 域名的 Active Directory 域。
  • 如果您计划在具有本地网络 VPN 连接的虚拟网络上启用托管域。 在此方案中，请确保您的本地网络中不存在与 DNS 域名相同的域。
  • 如果您在 Azure 虚拟网络中已有一个具有该名称的 Azure 云服务。

完成Microsoft Entra 管理中心的 “基本信息 ”窗口中的字段以创建托管域：

1. 输入托管 域的 DNS 域名 ，并考虑前面的要点。

2. 选择应在其中创建托管域的 Azure 区域 。 如果选择支持 Azure 可用性区域的区域，则域服务资源分布在多个区域，以实现额外的冗余。

   小窍门

   可用性区域是 Azure 区域中独特的物理位置。 每个区域由一个或多个数据中心组成，这些数据中心配置了独立电源、冷却和网络。 为确保能够进行复原，所有已启用的地区中都必须至少有三个单独的区域。

   域服务的跨区域分布无需您进行任何配置。 Azure 平台会自动处理资源的区域分布。 有关详细信息和查看区域可用性，请参阅 什么是 Azure 中的可用性区域？。

3. SKU 确定性能和备份频率。 如果业务需求或要求发生更改，可以在创建托管域后更改 SKU。 有关详细信息，请参阅 域服务 SKU 概念。

   对于本教程，请选择 标准 SKU。 “ 基本信息 ”窗口应如下所示的屏幕截图：

   

若要快速创建托管域，可以选择 “查看 + 创建 ”以接受其他默认配置选项。 选择此创建选项时，将配置以下默认值：

• 默认情况下，创建名为 ds-vnet 的 虚拟网络，该虚拟网络使用 IP 地址范围 10.0.1.0/24。
• 使用 IP 地址范围为 10.0.1.0/24 创建名为 ds-subnet 的子网。
• 将所有用户从 Microsoft Entra ID 同步到托管域。

选择 “查看 + 创建 ”以接受这些默认配置选项。

部署托管域

在向导的 “摘要 ”页上，查看托管域的配置设置。 可以返回向导的任一步骤以进行更改。 若要使用这些配置选项以一致的方式将托管域重新部署到其他Microsoft Entra 租户，还可以 下载用于自动化的模板。

1. 若要创建托管域，请选择“ 创建”。 请注意，创建域服务托管后，某些配置选项（例如 DNS 名称或虚拟网络）无法更改。 若要继续，请选择“ 确定”。

   

2. 预配托管域的过程最多可能需要一小时。 门户中会显示一条通知，其中显示了域服务部署的进度。

3. 完全预配托管域后，“ 概述 ”选项卡将显示域状态为 “正在运行”。 展开 部署详细信息以访问资源链接，例如虚拟网络和网络资源组。

   

更新 Azure 虚拟网络的 DNS 设置

成功部署域服务后，现在将虚拟网络配置为允许其他连接的 VM 和应用程序使用托管域。 若要提供此连接，请将虚拟网络的 DNS 服务器设置更新为指向部署托管域的两个 IP 地址。

1. 托管域的 “概述 ”选项卡显示了一些 必需配置步骤。 第一个配置步骤是更新虚拟网络的 DNS 服务器设置。 正确配置 DNS 设置后，将不再显示此步骤。

   列出的地址是用于虚拟网络的域控制器。 在此示例中，这些地址为 10.0.1.4 和 10.0.1.5。 稍后可以在“ 属性 ”选项卡上找到这些 IP 地址。

   

2. 若要更新虚拟网络的 DNS 服务器设置，请选择“ 配置 ”按钮。 虚拟网络的 DNS 设置将自动配置。

为域服务启用用户帐户

若要对托管域上的用户进行身份验证，域服务需要密码哈希，其格式适用于 NT LAN Manager (NTLM) 和 Kerberos 身份验证。 除非为租户启用了域服务，否则 Microsoft Entra ID 不会以 NTLM 或 Kerberos 身份验证所需的格式生成或存储密码哈希。 出于安全考虑，Microsoft Entra ID 也不以明文形式存储任何密码凭据。 因此，Microsoft Entra ID 无法基于用户的现有凭据自动生成这些 NTLM 或 Kerberos 密码哈希。

对于在 Microsoft Entra ID 中创建的仅限云的用户帐户而言，生成和存储这些密码哈希的步骤不同于使用 Microsoft Entra Connect 从本地目录同步的用户帐户。

仅限云的用户帐户是使用 Microsoft Entra 管理中心或 PowerShell 在 Microsoft Entra 目录中创建的帐户。 这些用户帐户不是从本地目录同步的。

在本教程中，让我们使用一个仅限云的基本用户帐户。 有关使用 Microsoft Entra Connect 所需的其他步骤的详细信息，请参阅 同步从本地 AD 同步到托管域的用户帐户的密码哈希。

对于仅限云的用户帐户，用户必须先更改其密码，然后才能使用域服务。 此密码更改过程会导致在 Microsoft Entra ID 中生成并存储用于 Kerberos 和 NTLM 身份验证的密码哈希。 在更改密码之前，该帐户不会从 Microsoft Entra ID 同步到域服务。 租户中需要使用域服务（强制下次登录时更改密码）的所有云用户的密码过期，或指示云用户手动更改其密码。 在本教程中，让我们手动更改用户密码。

在用户可以重置其密码之前，必须为 Microsoft Entra 租户 配置自助密码重置。

若要更改仅限云用户的密码，用户必须完成以下步骤：

1. 转到 Microsoft Entra ID 访问面板页面 https://myapps.microsoft.com。

2. 在右上角，选择名称，然后从下拉菜单中选择 “配置文件 ”。

   

3. 在 “配置文件 ”页上，选择“ 更改密码”。

4. 在 “更改密码 ”页上，输入现有的（旧）密码，然后输入并确认新密码。

5. 选择提交。

更改新密码后，需要几分钟时间才能在域服务中使用新密码，并成功登录到已加入托管域的计算机。

后续步骤

在本教程中，你将学习到如何：

在将虚拟机加入域并部署使用托管域的应用程序之前，请为应用程序工作负荷配置 Azure 虚拟网络。