Azure AD Domain Services So bringen Sie Funktionen aus Active Directory in die Azure-Cloud

Anbieter zum Thema

Microsoft Deutschland GmbH

ALE Deutschland GmbH

Mit einer Azure AD Domain Services Instanz können in Microsoft Azure Domänendienste bereitgestellt werden, die Funktionen aus Active Directory in die Cloud bringen. Damit stehen dann nahezu alle Funktionen zur Verfügung, die auch in lokalen Active Directory-Umgebungen genutzt werden können.

Azure Active Directory Domain Services ermöglichen das Bereitstellen einer Active-Directory-Umgebung in Microsoft Azure. Der Vorteil des Dienstes besteht vor allem darin, dass sich Legacy-Dienste, die nicht kompatibel mit Azure AD sind, dennoch zu Microsoft Azure migrieren lassen. Für solche Dienste verhält sich Azure AD Domain Services wie ein lokales Active Directory, inklusive der Möglichkeit, Gruppenrichtlinien zu nutzen und die Anmeldung über LDAP, Keberos und NTLM abzuwickeln.

Im Gegensatz zu herkömmlichen Azure-AD-Umgebungen, unterstützen Azure AD Domain Services Funktionen, die sonst nur in lokalen Active-Directory-Umgebungen zur Verfügung stehen. Für den Betrieb ist kein Domänencontroller notwendig, alle Funktionen können direkt im Azure-Portal verwaltet werden. Die Einrichtung von Azure AD Domain Services ist in wenigen Minuten abgeschlossen. Für die Verwendung ist keinerlei Verbindung zu einem lokalen Active Directory notwendig, aber natürlich möglich.

Bildergalerie

Bildergalerie mit 6 Bildern

In der Praxis werden lokale Active-Directory-Gesamtstrukturen über Azure AD Connect mit Azure AD synchronisiert, damit in der Azure AD Domain Services Instanz die Benutzerkonten des lokalen Active Directory zur Verfügung stehen.

Bei der Einrichtung fallen keine Kosten an. Wie bei den meisten Diensten in Microsoft Azure müssen nur die Ressourcen bezahlt werden, die im Rahmen des Einsatzes einer Azure AD Domain Services Instanz anfallen.

Gruppenrichtlinien, Kerberos, LDAP ohne Domänencontroller in der Cloud nutzen

Mit einer Azure AD Domain Services Instanz können auch virtuelle Computer in Microsoft Azure einer Domäne beitreten. Die Anmeldung erfolgt auf Computern, die Mitglied der Azure-AD-Instanz sind, auf dem gleichen Weg, wie bei der Anmeldung an ein herkömmliches Active Directory. Die Ressource steht im Azure-Portal zur Verfügung. Mit „Erstellen“ startet die Einrichtung einer Azure AD Domain Services Instanz.

Im Rahmen der ersten Einrichtung werden vor allem der Domänenname der neuen Domäne, die Region und die SKU ausgewählt. Hier stehen Standard, Enterprise und Premium zur Verfügung. Während Standard für bis zu 25.000 Objekte sinnvoll ist, können in Premium bis zu 500.000 Objekte abgebildet werden. Die einzelnen Unterschiede der SKU sind auf der Preisübersicht der Azure AD Domain Services zu finden.

Bei der Einrichtung wird auch der Gesamtstrukturtyp der neuen Instanz festgelegt. Hier stehen die Typen „Benutzer“ und „Ressourcen“ zur Verfügung. Bei dem Typ „Benutzer“ werden in vielen Fällen Kopien von Benutzern, Gruppen und Gruppenmitgliedschaften aus lokalen Active-Directory-Domänen genutzt. Diese lassen sich zum Beispiel über Azure AD Connect synchronisieren. Wenn dieser Typ verwendet wird, müssen die lokalen Kennworthashes über Azure AD Connect mit Azure Active Directory synchronisiert werden.

Der zweite Typ für Gesamtstrukturen in den Azure AD Domain Services ist „Ressource“. Benutzer melden sich bei dieser Auswahl normalerweise weiterhin über ein lokales Active Directory an, melden sich dann aber beim Zugriff auf Ressourcen für Azure-Anwendungen auch an den Azure AD Domain Services an, deren Workloads an die Instanz angebunden sind. Bei einer Migration von Legacy-Anwendungen sind solche Szenarien häufig anzutreffen. In diesem Fall wird eine unidirektionale ausgehende Gesamtstrukturvertrauensstellung mit der lokalen Active-Directory-Umgebung aufgebaut. Diese muss dazu über ein Site-to-Site-VPN oder mit ExpressRoute an Azure angebunden sein.

Netzwerk, Verwaltung und Synchronisierung steuern

Im Rahmen der Einrichtung wird auch das virtuelle Netzwerk für die Instanz ausgewählt oder neu erstellt. Auch das verwendete Subnetz kann hier ausgewählt werden. Im Rahmen der Erstellung wird auch eine Netzwerksicherheitsgruppe erstellt. Diese wird mit der AD Domain Services Instanz verbunden.

Über den Menüpunkt „Verwaltung“ werden die Administratoren der Azure-AD-Instanz festgelegt. Hier können auch Benachrichtigungen gesteuert werden. Bei „Synchronisierung“ wird eine Synchronisierung von Azure Active Directory zur neuen Azure-AD-Instanz aktiviert. Dabei werden verschiedene Objekte, wie zum Beispiel Benutzer, Gruppen und andere Elemente von Azure AD zur verwalteten Instanz synchronisiert. Wichtig ist das zum Beispiel für die Verwaltung.

Danach findet eine Überprüfung der Einstellungen statt und schließlich die Erstellung der Instanz. Vor der Erstellung wird auch darauf hingewiesen, welche Objekte nach der Erstellung nicht mehr umbenannt werden können.

Sobald die Bereitstellung erfolgt ist, können virtuelle Computer in Microsoft Azure zur Domäne hinzugefügt werden. Die Vorgehensweise entspricht der Aufnahme von Computern in eine herkömmliche AD-Struktur. Die Verwaltung der Umgebung erfolgt mit den herkömmlichen Tools zur Verwaltung von Active Directory. Dazu wird ein Computer oder ein Server als Mitglied in die Instanz aufgenommen. Durch die Installation der AD-Verwaltungstools auf der Arbeitsstation oder einem Computer kann die Azure AD Domain Services-Instanz mit den Tools verwaltet werden.

Definition

Was ist Active Directory?