Kako se pridružiti domenam Active Directory ali Azure AD: Popoln vodnik

 

Pridružitev računalnikov domeni, bodisi v lokalnem imeniku Active Directory bodisi v storitvi Azure (Microsoft Entra ID), je temelj za centralizacijo identitet, uveljavljanje pravilnikov in omogočanje enotne prijave. Ta vodnik združuje vse, kar potrebujete, na enem mestu: možnosti pridružitve v sistemu Windows 10/11, hibridna identiteta z Microsoft Entra Connect, storitve domen Azure AD, uvajanje AD FS v storitvi Azure, varnost s pogojnim dostopom in spremljanjem ter priporočila glede delovanja in stroškov.

Cilj je, da boste znali izbrati najboljšo pot (klasični AD DS, Azure AD/Entra ID, Azure AD DS ali federacija AD FS), razumeti, kako se povezujejo, in izvesti pravilne korake z uporabo najboljših praks. Videli boste tudi, kako pripraviti UPN-je in DNS za sinhronizacijo s storitvijo Microsoft 365 , kako prilagoditi in zagotoviti visoko razpoložljivost za sinhronizacijo ter kaj preveriti, če gre kaj narobe, vključno s tipičnimi konfiguracijami omrežja Azure.

Možnosti pridružitve domeni v sistemih Windows 10 in 11

Danes obstajajo štirje glavni scenariji: pridružitev lokalnemu AD DS, pridružitev Azure AD (Microsoft Entra ID), hibridne naprave (hibridna pridružitev Azure AD) in pridružitev domenam, ki se upravljajo s storitvami domen Azure AD. Vsak od njih obravnava različne potrebe, povezane z upravljanjem identitet, združljivostjo aplikacij ali delom na daljavo.

Pridružitev storitvi Azure AD iz sistema Windows 10/11 poteka neposredno v računalniku: Nastavitve > Računi > Prijava v službo ali šolo > Poveži se > Pridruži to napravo imeniku Azure Active Directory, prijavi se s poverilnicami za Microsoftov račun, znova zaženi računalnik in se nato znova prijavi s svojim poslovnim uporabniškim računom.

Po začetni nastavitvi je običajno potrebna konfiguracija MFA in Windows Hello (PIN) za izboljšanje varnosti in hitrejše prijave. Od takrat naprej bo PIN zahtevan ob vsaki prijavi, kar izpolnjuje zahteve mnogih organizacij za dvostopenjsko preverjanje pristnosti.

Če nameščate dostopnega agenta, kot je Sophos ZTNA, ne pozabite, da morajo vaši aplikacijski strežniki (RDP, CIFS, SSH itd.) pripadati isti domeni kot agent. Najprej povežite računalnik z Azure AD in nato namestite agenta, da podeduje pravilno identiteto in poti.

Arhitektura identitete z Microsoft Azure AD

Microsoft Entra ID je storitev identitete in imenika v oblaku, ki centralizira aplikacije, uporabnike in naprave ter se prek sinhronizacije integrira z lokalnimi storitvami domen Active Directory (AD DS). Tipična postavitev vključuje: najemnika Entra ID, spletno podomrežje z navideznimi računalniki aplikacij, lokalni AD DS, strežnik z Microsoft Entra Connect za sinhronizacijo in večplastne navidezne računalnike aplikacij.

Pogosti primeri uporabe: objavljanje spletnih aplikacij v storitvi Azure za oddaljene uporabnike, omogočanje samopostrežne storitve (npr. ponastavitev gesla z licencami P1/P2) in delovanje brez povezljivosti VPN/ExpressRoute med lokalnim omrežjem in virtualnim omrežjem Azure, če to zahteva zasnova.

Kar zadeva razpoložljivost, je Microsoft Entra nameščen globalno z avtomatskim preklopom med podatkovnimi centri, kar zagotavlja dostop do podatkov imenika na več geografskih lokacijah. Ta zasnova zmanjšuje motnje in podpira porazdeljene delovne obremenitve.

Hibridna identiteta z Microsoft Entra Connect: Sinhronizacija in enotna prijava (SSO)

Microsoft Entra Connect sinhronizira identitete AD DS z Entra ID in vam omogoča izbiro načina preverjanja pristnosti: sinhronizacija zgoščene vrednosti gesel (privzeto), prehodno preverjanje pristnosti ali federacija z AD FS ali drugim ponudnikom identitetnih storitev (IdP). Izbira je odvisna od varnostnih pravilnikov, želene izkušnje enotne prijave (SSO) in že nameščenih komponent.

• Podprte topologije sinhronizacije: En gozd za enega najemnika; več gozdov za enega najemnika (s konsolidacijo identitet); več neodvisnih gozdov; več imenikov Entra (s sinhronizacijskimi strežniki, ki filtrirajo izključne nabore objektov); in strežnik za pripravo za visoko razpoložljivost, testiranje ali migracije.
• Najboljše prakse pri uvajanju Entra Connect: Določite, kaj želite sinhronizirati, vključno z domenami in pogostostjo; filtrirajte (po skupinah, domenah, organizacijskih enotah ali atributih), da se izognete sinhronizaciji neaktivnih računov; in če je veliko objektov, razmislite o uporabi celotnega strežnika SQL Server namesto LocalDB in prilagodite zmogljivost.
• Visoka dostopnost: Po potrebi uporabite drugi strežnik v načinu priprave, ki prevzame aktivno vlogo; če ne uporabljate LocalDB, razmislite o gručenju SQL za vašo bazo podatkov (zrcaljenje in AlwaysOn nista podprta za Entra Connect) in načrtujte obnovo po katastrofi.

Konfiguracija metode preverjanja pristnosti uporabnika

Sinhronizacija zgoščene vrednosti gesel: privzeta možnost, preprosta in zadostna za številne organizacije; uporabnik se overi z istim lokalnim geslom, vendar v oblaku potuje le varna zgoščena vrednost.

Prehodno preverjanje pristnosti: Če vaša politika prepoveduje sinhronizacijo zgoščenih vrednosti z oblakom, agenti preverijo geslo v lokalnem AD, ne da bi shranili zgoščeno vrednost v Entra ID in ohranili enotno prijavo (SSO).

Združevanje z AD FS ali drugim ponudnikom: Če že imate AD FS ali ponudnika identitet, ki ni Microsoftov, lahko preverjanje pristnosti in enotno prijavo (SSO) prenesete na to infrastrukturo, s čimer ohranite nadzor in napredne prilagoditve.

Sinhronizacija objektov in pravil

Privzeta konfiguracija programa Entra Connect uporablja pravila za uporabnike, stike, skupine, računalnike in druge objekte, pri čemer so potrebni atributi, kot sta sourceAnchor ali sAMAccountName, in se izogiba rezerviranim predponam (kot sta Azure AD_ ali MSOL_). Za spreminjanje pravil uporabite urejevalnik pravil sinhronizacije, ki je nameščen z orodjem.

Poleg filtriranja domen/OU lahko implementirate tudi bolj zapletene filtre po meri, da zmanjšate sinhroniziran nabor na tisto, kar je pomembno. To izboljša delovanje, varnost in zmanjša stroške administracije.

Spremljanje in zdravje identitetnega okolja

Microsoft Entra Connect Health zagotavlja agente za spremljanje sinhronizacije, AD DS in AD FS ter v portalu Azure razkriva nadzorne plošče za pregled stanja in delovanja. Ključnega pomena je za odkrivanje incidentov, preden vplivajo na uporabnike.

Kar zadeva zaščito, Identity Protection (P2) uporablja strojno učenje in hevristiko za odkrivanje anomalij pri prijavi in ​​tveganih dogodkov (nenavadne lokacije, sumljivi IP-ji, ogrožene naprave) ter ustvarja opozorila in poročila, na podlagi katerih je mogoče ukrepati.

To dopolnite s pogojnim dostopom za sprožitev večfaktorske autentifikacije na nezaupanja vrednih lokacijah, omejite dostop glede na stanje platforme/naprave in uporabite statično ali dinamično članstvo v skupinah pri odločitvah o dostopu. To znatno izboljša vašo varnost.

Uvajanje AD FS v Azure: načrtovanje, mreženje in visoka razpoložljivost

Za organizacije, ki se odločijo za federacijo, uvedba AD FS v Azure omogoča visoko razpoložljivost in skalabilnost z geografsko redundanco in enostavnim upravljanjem iz portala Azure. Priporočena topologija ločuje AD FS in WAP, uporablja DMZ za WAP in uravnalnike obremenitve (notranje za AD FS in javne za WAP).

• Omrežje in varnost: Ustvarite virtualno omrežje z dvema podomrežjema (INT in DMZ), uporabite NSG za vsako podomrežje s pravili, kot so: dovoli HTTPS 443 iz DMZ v INT (npr. 10.0.1.0/24 > 10.0.0.0/24, prioriteta 1010), zavrnite odhodni promet v internet, razen tistega, kar je nujno potrebno (npr. zavrni 80 odhodni promet, prioriteta 100) in odprite samo tisto, kar je v DMZ bistveno za dohodni promet.
• Povezljivost na lokaciji: Če morate doseči lokalne krmilnike domen, uporabite S2S VPN, P2S ali ExpressRoute (priporočeno, če iščete zanesljivost, visoka latenca in varnost).
• Nabori razpoložljivosti: V naborih razpoložljivosti uporabite vsaj dva navidezna računalnika na vlogo (AD FS in WAP); za nemoteno vzdrževanje pustite privzete vrednosti (2 domeni napak, 5 domen posodobitev).
• Notranje uravnoteženje (ILB) za AD FS: konfigurira statični IP, zaledni bazen s strežniki AD FS in sondo za stanje HTTP za /adfs/probe na vratih 80; objavi 443 v zalednem sistemu 443 in ustvari notranji zapis DNS storitve Federation Service, ki kaže na ILB.

Testiranje WAP, javnega uravnalnika obremenitve in AD FS

Strežniki proxy za spletne aplikacije se ne pridružijo domeni in se nahajajo v DMZ, pri čemer objavljajo AD FS v internetu prek javnega uravnalnika obremenitve na vratih 443 z ukazom `/adfs/probe`. Za lažje razreševanje dodelite javnemu naslovu IP oznako DNS.

• Posodobi DNS: Ustvarite notranji domen A za storitev zveze (npr. fs.company.com) za ILB in gostite vnose v WAP, če morate interno razrešiti IP ILB-ja v združeni FQDN.
• Potrdila: Uporabite strežniško potrdilo z ustrezno CN/SAN (Federation Service, Enterprise Registration, nadomestni znak, če je primerno) in ga izvozite v PFX, da ga namestite v AD FS in WAP.
• Test: omogoči stran, ki jo je sprožil IdP, z PowerShell Set-AdfsProperties -EnableIdPInitiatedSignOnPage $true in potrdite z navigacijo do https://tu-adfs/adfs/ls/IdpInitiatedSignon.aspx.

Predloga za uvajanje AD FS in tipični parametri

Na voljo so predloge, ki orkestrirajo šest računalnikov (dva krmilnika domene, dva strežnika AD FS in dva dostopna mesta brez povezave) in sprejemajo parametre za regijo, račune za shranjevanje , virtualno omrežje (obstoječe ali novo), podomrežja INT/DMZ, statične IP-je za navidezne računalnike in ILB, velikosti navideznih računalnikov in skrbniške poverilnice. Parametri vključujejo: lokacijo, vrsto računa za shranjevanje, uporabo virtualnega omrežja/ime/obseg naslovov, imena in obsege podomrež, IP-je omrežnih kartic na navidezni računalnik, naslov zasebnega iPaddress za ADFSLoadBalancer, predpone imen za vsako vlogo, velikosti navideznih računalnikov in poverilnice.

Ta pristop pospeši dosledne in ponovljive uvedbe, hkrati pa dokumentira konfiguracijo in varnost omrežja. Vedno prilagodite obsege, da se izognete prekrivanju z obstoječimi omrežji.

Storitve domen Azure AD: Pridružite navidezni računalnik upravljani domeni

Storitve domen Azure AD (AADD DS) ponujajo upravljano pridružitev domeni, LDAP in Kerberos/NTLM v storitvi Azure, brez nastavitve lastnih krmilnikov domen. To je uporabno, kadar potrebujete združljivost starejših aplikacij z overjanjem domene v storitvi Azure.

• Zahteve: Aktivna naročnina, najemnik Enter ID (samo v oblaku ali sinhroniziran), omogočena upravljana domena, uporabniški račun v upravljani domeni (s sinhronizirano zgoščeno vrednostjo gesla ali SSPR) in Azure Bastion za dostop RDP brez javnih IP-jev.
• Proceso: Ustvarite navidezni računalnik Windows Server v podomrežju, ki lahko komunicira s podomrežjem upravljane domene (po možnosti v ločenem podomrežju), z oddaljenimi vrati, zaprtimi za internet (uporabite Bastion), in se domeni pridružite v sistemskih lastnostih z navedbo FQDN (npr. aaddscontoso.com).
• Poverilnice: Uporabite priporočeno obliko UPN ([e-pošta zaščitena] ali po meri) ali SAMAccountName, če je primerno; račun mora pripadati upravljani domeni ali najemniku. Vnesite ID.
• Reševanje problema: Če ne zahteva poverilnic, je napaka običajno v povezljivosti/DNS-u: preverite omrežno seznanjanje, pingajte FQDN ali IP-je upravljane domene in izpraznite predpomnilnik DNS z ipconfig /flushdns.

Če po vnosu poverilnic naletite na napako, preverite, ali račun pripada upravljani domeni, ali je sinhronizacija gesel omogočena in ali je od spremembe gesla minilo dovolj časa, da se je zgoščena vrednost podvojila. Če želite prekiniti povezavo, se vrnite v DELOVNO SKUPINO in nato izbrišite navidezni računalnik, če ne želite nadaljevati z vadnico.

Priprava lokalnega AD in sinhronizacija z Microsoft 365/Azure AD

Če že uporabljate Microsoft 365, sinhronizacija lokalnega imenika Active Directory z Entra ID poenoti poverilnice v oblaku in na lokaciji s široko sprejetimi hibridnimi možnostmi. Zagotovite, da so vaše lokalne pripone UPN usmerljive (ne .local/.test) in se ujemajo z vašimi preverjenimi domenami v Microsoft 365/Entra ID.

Dodajte pripono UPN v domenah in zaupanjih Active Directory ter posodobite uporabnike v ADUC ali prek PowerShella, da množično spremenite iz @domain.local v @domain.com, na primer z: $LocalUsers = Get-ADUser -Filter "UserPrincipalName -like '*domain.local'" -Properties userPrincipalName -ResultSetSize $null y $LocalUsers | foreach {$newUpn = $_.UserPrincipalName.Replace("@domain.local","@domain.com"); $_ | Set-ADUser -UserPrincipalName $newUpn}.

Za Office 365 v urejevalniku atributov za vsakega uporabnika/skupino preverite proxyAddresses (SMTP z velikimi črkami za glavnega), da omogočite pogled naprednih funkcij v ADUC za pravilno urejanje zbirke vzdevkov.

Namestite Azure AD Connect: uradni prenos, izberite namestitev po meri, določite način prijave (PHS, PTA ali federacija), se povežite z globalnim skrbniškim računom v ID-ju za prijavo/M365, dodajte gozd AD, izberite userPrincipalName kot atribut za prijavo in po potrebi filtrirajte domene/OU.

Izbirne funkcije: povratno zapisovanje gesel (P1/P2), spremembe pravil in razporejevalnik; označite možnost »Začni sinhronizacijo po zaključku« ali jo po potrebi zaženite ročno.

Sinhronizacijska operacija: uporabni ukazi in selitev konfiguracije

Modul ADSync PowerShell vam omogoča poizvedovanje po razporejevalniku in vsiljenje ciklov: Import-Module ADSync, Get-ADSyncScheduler, Start-ADSyncSyncCycle -PolicyType Delta o Initialin prilagodite interval z Set-ADSyncScheduler -CustomizedSyncCycleInterval 00:10:00.

Konfiguracija storitve Azure AD Connect je shranjena v datoteki JSON v mapi %ProgramData%\AADConnect; izvozite/uvozite jo lahko za kloniranje uvajanj in uporabite tudi skript MigrateSettings.ps1 (mapa Orodja) za selitev z enega strežnika na drugega.

Ne pozabite, da sinhronizacija ni sistem za varnostno kopiranje : nekateri atributi obstajajo samo v oblaku (na primer licence) in če so tam izbrisani, jih ni mogoče obnoviti s sinhronizacijo. Za varnostne kopije lokalnih podatkov Active Directory in Microsoft 365 uporabite namenske rešitve.

Zahteve in omrežje: Windows Server 2012/2016/2019 z grafičnim uporabniškim vmesnikom za namestitev programa Entra Connect, .NET 4.5.1+, PowerShell 3.0+, omogočen TLS 1.2 in odhodni protokol TCP 80/443 do Microsoftovih storitev; Essentials/Core nista podprta za strežnik orodij.

Pogojni dostop, varnost in vlada

Dopolnite prijavo s pravilniki pogojnega dostopa za nepričakovane vire, neskladne platforme ali onemogočene naprave in izkoristite skupine (vključno z dinamičnimi) za segmentiranje dostopa. To vam omogoča implementacijo ničelnega zaupanja z minimalnim trenjem.

Zaščita identitete (P2) dodaja politike, ki temeljijo na tveganju in se odzivajo na nenavadne signale prijave, poročila Entra pa pomagajo pri diagnosticiranju in revidiranju ustreznih dejavnosti.

Agenti Connect Health se povezujejo za spremljanje sinhronizacije, AD DS in AD FS ter zagotavljajo metrike in stanje v portalu Azure, zaradi česar je to eden od stebrov učinkovitega upravljanja.

Zmogljivost, stroški in uporabnost (dobro zasnovano)

• Izvedba: Entra ID se zanaša na primarno repliko in sekundarne replike samo za branje, s končno doslednostjo in učinkovitim skaliranjem, saj gre predvsem za bralno operacijo. Entra Connect skalira SQL, če presežete približno 100.000 objektov.
• Stroški: Za oceno uporabite kalkulator Azure; optimizirajte z omejitvijo sinhronizacije na tisto, kar je potrebno, in izbiro metod preverjanja pristnosti, ki zmanjšujejo infrastrukturo (npr. brez AD FS, če ni nujno).
• Zanesljivost: Razmislite o drugem strežniku Entra Connect v fazi priprave za preklop na rezervne sisteme, načrtovanje obnovitve po katastrofi in skrb za naslednje: podatkovnih baz- Izogibajte se nepodprtim tehnologijam, kot sta zrcaljenje ali AlwaysOn za sinhronizacijo baz podatkov.
• Operativnost: Orodja Entra Connect (konzola, upravitelj storitev sinhronizacije in urejevalnik pravil) vam omogočajo vzdrževanje in prilagajanje sinhronizacije z natančnim nadzorom in diagnostiko, kar je bistveno v kompleksnih okoljih ali s pravili po meri.

Integracija s Citrixom in SAML (SSO z Azure AD)

Če želite objavljati namizne računalnike ali aplikacije s Citrixom in SSO prek Azure AD, integrirajte Citrix Gateway in StoreFront z uporabo SAML 2.0 kot ponudnika identitete Azure AD, da se lahko uporabniki, pridruženi Azure AD, preprosto prijavijo iz myapps.microsoft.com. V Azure AD ustvarite poslovno aplikacijo, konfigurirajte SAML z identifikatorjem in URL-jem odgovora kot /cgi/samlauth, prenesite potrdilo za podpis in kopirajte URL-je za prijavo in odjavo, dodelite aplikacijo uporabnikom in uporabite URL SSO v bližnjicah.

V Citrix Gateway uvozite potrdilo, konfigurirajte pravilnik SAML, dodajte Azure IdP z metapodatki in ga povežite s StoreFront (idealno prek HTTPS), pri čemer preverite, ali preverjanje pristnosti deluje pravilno in ali so pravilniki zaupanja in STA ustrezni. Če kot posredniški IdP uporabljate AD FS, si zapomnite zapis CNAME za federacijo (na primer enterpriseregistration.<pripona UPN>), da razrešite potek pri pridružitvi Azure AD, in se prepričajte, da je v računalnikih nameščeno ustrezno korensko potrdilo.

Glede platform: previdno se posvetujte z viri, kot je Reddit, saj njihova priporočila niso uradna, in jih pred uporabo sprememb vedno primerjajte s formalno tehnično dokumentacijo.

Ta pot, od osnovnega do naprednega, zajema vse od preprostih integracij Azure AD do hibridnih arhitektur z visoko razpoložljivostjo, federacijo in enotno prijavo (SSO) za sodobne in tradicionalne aplikacije, s prefinjenimi varnostnimi kontrolami in učinkovitim delovanjem. Z ustreznim načrtovanjem UPN in DNS, ustreznim filtriranjem sinhronizacij in izvajanjem varnostnih ukrepov, kot sta MFA in pogojni dostop, bo upravljanje identitet v sistemu Windows 10/11 in delovnih obremenitev v storitvi Azure učinkovito, prilagodljivo in enostavno za vzdrževanje.