Mobile-Menu

Active Directory-Domänencontroller in Microsoft Azure betreiben So dehnen Sie das Lokale Active Directory in die Cloud aus

Von Thomas Joos 5 min Lesedauer

Anbieter zum Thema

Microsoft Deutschland GmbH
ALE Deutschland GmbH

Neben Azure AD und den Azure AD Domain Services, ist es auch möglich, einen vollständigen Domänencontroller in Azure zu betreiben. Dieser verfügt über alle Funktionen eines lokalen AD inklusive Gruppenrichtlinien, LDAP, Kerberos und vollständigen Zugriff auf die Domäne.

Neben dem Betrieb einer eigenen AD-Gesamtstruktur in Azure, ist es auch möglich, einen zusätzlichen Domänencontroller von vorhandenen Domänen in der Cloud zu installieren.(Bild: Joos / Microsoft)
Neben dem Betrieb einer eigenen AD-Gesamtstruktur in Azure, ist es auch möglich, einen zusätzlichen Domänencontroller von vorhandenen Domänen in der Cloud zu installieren.
(Bild: Joos / Microsoft)

Um Active Directory in der Cloud zu nutzen, muss nicht immer Azure AD zum Einsatz kommen. Der verwaltete Dienst ist nicht für alle Anwendungen geeignet und bietet natürlich weniger Kontrolle als der eigene Domänencontroller. Die Azure AD Domain Services gehen hier etwas weiter.

Mit den Azure AD Domain Services können Organisationen ein Active Directory in der Cloud aufbauen, das im Gegensatz zu einem herkömmlichen Azure AD auch Gruppenrichtlinien, LDAP, NTLM und Kerberos unterstützt. Damit lassen sich auch ältere Anwendungen in die Cloud verlagern. Wir haben uns mit dem Thema im Beitrag „Azure Active Directory Domain Services in der Praxis“ beschäftigt. Aber auch bei den Azure AD Domain Services haben Admins keine Kontrolle über die Domänencontroller, da auch dieser Dienst vollständig verwaltet ist.

Bildergalerie
Bildergalerie mit 7 Bildern

Neben dem Betrieb einer eigenen AD-Gesamtstruktur in Azure, ist es aber auch möglich, einen zusätzlichen Domänencontroller von vorhandenen Domänen in der Cloud zu installieren. Das erleichtert die Replikation mit Azure AD und stellt auch eine gewisse Hochverfügbarkeit zur Verfügung.

Eigener Domänencontroller in Azure ermöglicht vollständige Kontrolle

Um vollständige Kontrolle zu erhalten, ist es möglich, einen eigenen Domänencontroller als Azure-VM in der Cloud zu betreiben. Dieser kann genauso genutzt werden, wie lokal installierte Domänencontroller. Microsoft gibt dazu Hinweise, wie eine solche Bereitstellung aussehen kann. Die Informationen dazu sind auf der Seite „Bereitstellen von AD DS in einem virtuellen Azure-Netzwerk“ zu finden.

Verbindung von lokalem Active Directory mit Azure

Beim Betrieb eines Domänencontrollers in Azure, der mit der lokalen Domäne einer Umgebung verbunden ist, sollte ein virtuelles Netzwerk für den Domänencontroller in Azure sowie eine dauerhafte Verbindung zwischen dem Azure-Netzwerk und dem lokalen Rechenzentrum vorhanden sein. Dazu kann zum Beispiel ein Azure VPN Gateway oder ExpressRoute zum Einsatz kommen Auch Network Virtual Appliances (NVA) können für die Verbindung von On-Premises und Azure zum Einsatz kommen.

Bevor in Azure eine lokale Domäne erweitert wird, sollte sichergestellt sein, dass alle lokalen Domänencontroller fehlerfrei funktionieren. Im Beitrag „Active-Directory-Troubleshooting mit der PowerShell“ besprechen wir die dazu notwendigen Vorgehensweisen. In diesem Beitrag sind auch weitere Links dazu zu finden.

VM in Azure als AD-Domänencontroller mit der richtigen Konfiguration bereitstellen

Um einen DC für ein Active Directory in Azure bereitzustellen, besteht der erste Schritt darin, eine VM zu erstellen. Hier sollte darauf geachtet werden, dass die VMs immer aktiv bleiben muss. Es ist nicht ratsam, einen AD-Domänencontroller aus Kostengründen herunterzufahren und inaktiv zu lassen. Das macht nur bei Testgeräten Sinn. Auch die Option „Mit Azure Spott-Rabatt“ ausführen ist aus diesen Gründen nicht ratsam. Wenn mehrere Domänencontroller in Azure laufen, sollte sich jeder von ihnen in einer anderen Verfügbarkeitszone oder im selben Availability Set befinden. Mehr dazu ist auf der Seite „Availability options for Azure Virtual Machines“ zu finden.

Standardmäßig ist die Option „Ausgewählte Ports zulassen“ aktiviert, um RDP (3389) zuzulassen. Aus Sicherheitsgründen sollten diese Option auf „keine“ gesetzt werden. Bei Bedarf kann dem Subnetz oder der VM nachträglich eine Netzwerksicherheitsgruppe zugeordnet werden, um bestimmte Ports zu sperren. Es ist auf Dauer Empfehlenswert mit Network Security Groups zu arbeiten.

Azure-VMs für den Betrieb als Domänencontroller konfigurieren

Auch bei den Datenträgern für Domänencontroller in der Cloud ist die richtige Konfiguration wichtig. Hier sollte geprüft werden, welcher SLA zum Einsatz kommen soll. Premium SSDs haben einen SLA von 99.99%, während VMs ohne Premium SSD nur einen SLA von 99.95% haben. Das kann für ein Active Directory durchaus relevant sein. Sinnvoll ist auch das Hinzufügen einer weiteren SSD, um Datenbank, Protokolldateien und das Sysvol-Verzeichnis zu speichern. Hier muss auch entsprechender Speicherplatz zur Verfügung stehen.

Auf der nächsten Seite der Konfiguration eines Domänencontrollers wird das Netzwerk konfiguriert, mit dem der Domänencontroller mit Azure verbunden wird. Hier sollte ein bestehendes virtuelles Netzwerk genutzt werden, das mit der lokalen Domäne in On-Premises verbunden ist. Der VM sollte außerdem keine öffentliche IP-Adresse zugewiesen werden.

Beim Abschluss der Konfiguration sollten die Optionen „Automatisches Herunterfahren“ und „Mit Azure AD anmelden“ nicht aktiviert werden. Kommt Windows Server 2022 mit der Datacenter Azure Edition zum Einsatz, kann es sinnvoll sein, die Option „Hotpatch“ zu aktivieren. Dabei handelt es sich um eine neue Funktion in Windows Server 2022, welche die Aktualisierung eines Servers im laufenden Betrieb ermöglicht.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Wenn die VM erstellt ist, sollten auch die Netzwerkeinstellungen noch einmal überprüft werden. Besonders wichtig dabei ist, dass die VM als DC natürlich eine statische IP-Adresse nutzt. Als DNS-Server sollte der DNS-Server im lokalen Active Directory eingetragen sein. Für die Konfiguration wird der Netzwerkadapter in der Ressourcengruppe des neuen DCs angeklickt. Die IP-Adresse wird bei „IP-Konfiguration“ durch einen Klick auf „ipconfig1“ gesteuert und der verwendete DNS-Server bei „DNS-Server“. Nach der Anpassung sollte es möglich sein, vom neuen DC in Azure aus die vorhandenen DCs im lokalen Netzwerk anzupingen und auch deren Namen aufzulösen.

Active Directory-Standorte und Dienste konfigurieren

Für den Betrieb eines DCs in Azure ist in Active Directory auch ein eigenes Subnetz und ein eigener Standort notwendig. Die Vorgehensweise dazu entspricht im Grunde genommen der beim Betrieb von Domänencontrollern an verschiedenen Standorten. Wir haben dieses Thema umfassend im Beitrag „Active-Directory-Standorte und -Subnetze verstehen“ behandelt. Der Name des Standortes kann hier dann zum Beispiel als „Azure“ gesetzt werden.

Active Directory installieren und einrichten

Nach der Konfiguration erfolgt die Installation und die Einrichtung von Active Directory. Wir haben die Vorgehensweise sehr umfassend im Beitrag „In 17 Schritten zum perfekten Domänencontroller“ beschrieben. Bei den DNS-Einstellungen nach der Bereitstellung des DCs kann es sinnvoll sein, auf dem DC in Azure auch die IP-Adresse des DNS in Azure zu nutzen und bei den On-Premises DCs die DNS-Einstellungen der lokalen DNS-Server. Aber auch umgekehrt funktioniert es.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle bisher auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

(ID:48709403)

Weiterführende Inhalte