Azure AD Domain Services 托管域管理指南

前言

Azure Active Directory Domain Services (Azure AD DS) 提供托管域服务，让用户无需自行部署和管理域控制器即可使用传统的 Active Directory 功能。本文将详细介绍如何管理 Azure AD DS 托管域，包括必要的准备工作、可执行的管理任务以及相关限制。

准备工作

在开始管理 Azure AD DS 托管域之前，需要确保以下条件已满足：

1. 有效的 Azure 订阅：这是使用所有 Azure 服务的基础。

2. Azure AD 目录：可以是与本地目录同步的混合目录，也可以是纯云目录。

3. 已启用 Azure AD Domain Services：如果尚未启用，需要按照入门指南完成配置。

4. 已加入域的虚拟机：用于远程管理托管域的管理工作站。如果没有这样的虚拟机，需要先完成加入域的操作。

5. 管理员凭据：需要使用属于"AAD DC Administrators"组成员的用户账户凭据。

可执行的管理任务

作为"AAD DC Administrators"组的成员，您可以在托管域上执行以下管理任务：

• 计算机加入域：将新计算机加入到托管域中。

• 组策略管理：配置"AADDC Computers"和"AADDC Users"容器中的内置GPO。

• DNS管理：管理托管域的DNS记录和区域。

• 组织单元(OU)管理：创建和管理自定义OU。

• 计算机管理：对已加入域的计算机进行管理操作。

受限的管理权限

由于托管域由Microsoft全权管理（包括补丁更新、监控、备份等），您将无法执行某些传统域管理任务：

• 无域管理员权限：您不会被授予域管理员或企业管理员权限。

• 无法扩展架构：不能修改或扩展Active Directory架构。

• 无法直接访问域控制器：不能通过远程桌面连接域控制器。

• 无法添加域控制器：不能向托管域添加额外的域控制器。

详细管理步骤

步骤1：准备管理工作站

要管理Azure AD DS托管域，您需要一台已加入域的Windows Server虚拟机作为管理工作站：

1. 创建Windows Server虚拟机并确保其已成功加入托管域。

2. 对于Windows 10等客户端系统，可以安装远程服务器管理工具(RSAT)来实现管理功能。

步骤2：安装AD管理工具

在管理工作站上安装Active Directory管理工具：

1. 使用"AAD DC Administrators"组成员的账户登录虚拟机。

2. 打开服务器管理器，启动"添加角色和功能向导"。

3. 选择"基于角色或基于功能的安装"选项。

4. 在功能选择页面，展开"远程服务器管理工具"→"角色管理工具"，勾选"AD DS和AD LDS工具"。

5. 完成安装后，您将在管理工具中看到Active Directory相关工具。

步骤3：探索和管理托管域

使用安装的AD管理工具连接和管理托管域：

1. 打开"Active Directory管理中心"(ADAC)，您将看到托管域的基本结构。

2. 查看"AADDC Users"容器，这里包含了从Azure AD同步过来的用户和组。

3. 查看"AADDC Computers"容器，这里列出了所有已加入域的计算机。

4. 您可以使用这些工具执行前面提到的各种管理任务。

最佳实践建议

1. 权限最小化：仅将必要用户添加到"AAD DC Administrators"组。

2. 定期审核：定期检查托管域中的用户、组和计算机账户。

3. 使用OU组织资源：虽然不能修改内置容器，但可以创建自定义OU来更好地组织资源。

4. 文档记录：记录所有自定义配置，特别是GPO和DNS设置。

5. 监控变更：虽然Microsoft管理底层基础设施，但您应该监控自己所做的配置变更。

常见问题解答

Q：为什么我不能直接登录域控制器？ A：这是设计如此，Azure AD DS是完全托管的服务，Microsoft负责所有域控制器的维护工作。

Q：我可以将本地AD域控制器加入到这个托管域吗？ A：不可以，Azure AD DS托管域不支持建立域信任或添加额外域控制器。

Q：如何管理大量计算机加入域？ A：您可以创建自动化脚本或使用系统管理工具批量处理计算机加入域的操作。

通过本文的指导，您应该能够有效地管理Azure AD Domain Services托管域，同时理解其与传统Active Directory环境的管理差异。