vpn - 将本地设备连接到 Azure Active Directory 域服务

请参考这是否可以给出一个想法

与其他 Azure 资源不同，Azure AD 域服务是一种与 Azure 订阅链接到的 Azure AD 租户直接关联的资源。你需要 Azure AD 租户中的全局管理员权限才能启用 Azure AD DS。

默认情况下，您的帐户应具有订阅的参与者访问权限，因为这是部署期间指定的 RBAC 角色。初始部署不允许所有者角色。要获得对您的 repro 租户的所有者权限：

将您的 @microsoft 别名作为来宾添加到您的 repro 租户，分配 GA 角色。
将您的 @microsoft 别名添加为继承 RBAC 权限的 AAD 组的成员。

确保您的 MS 别名帐户在预定租户的订阅中列为共同管理员（或其他旧管理员类型）。如果您没有看到分配并且无法进行任何更改，请将您的 MS 别名添加为 MS 租户中订阅的共同管理员。添加共同管理员？

使用您的 MS 帐户切换到您的 repro 租户并提升权限，（AAD -> 属性 -> Azure 资源的访问管理）。

AAD 域服务部署

根据计划的 Azure 订阅在测试租户中部署 AADDS 的先决步骤。

如果您的项目订阅驻留在 Microsoft 租户中，则在某些时候，适当的安全策略将添加网络拒绝规则，这些规则将阻止必要的端口，导致部署失败，为避免这种情况，请创建您的网络、子网、堡垒实例和手动 NSG 并将规则添加到 NSG：

首先，使用 Register-AzResourceProvider cmdlet 注册 Azure AD 域服务资源提供程序：

Register-AzResourceProvider -ProviderNamespace Microsoft.AAD

接下来，使用 New-AzResourceGroup cmdlet创建资源组。

 $ResourceGroupName = "myResourceGroup" 
    
    $AzureLocation = "westus" 
    
     
    
    # Create the resource group. 
    
    New-AzResourceGroup ` 
    
      -Name $ResourceGroupName ` 
    
      -Location $AzureLocation

为 Azure AD 域服务创建虚拟网络和子网。

$VnetName = "myVnet" 

 
# Create the dedicated subnet for Azure AD Domain Services. 

$SubnetName = "DomainServices" 

$AaddsSubnet = New-AzVirtualNetworkSubnetConfig ` 

  -Name $SubnetName ` 

  -AddressPrefix 10.0.0.0/24 

 

# Create an additional subnet for your own VM workloads 

$WorkloadSubnet = New-AzVirtualNetworkSubnetConfig ` 

  -Name Workloads ` 

  -AddressPrefix 10.0.1.0/24 

 

# Create the virtual network in which you will enable Azure AD Domain Services. 

$Vnet= New-AzVirtualNetwork ` 

  -ResourceGroupName $ResourceGroupName ` 

  -Location westus ` 

  -Name $VnetName ` 

  -AddressPrefix 10.0.0.0/16 ` 

  -Subnet $AaddsSubnet,$WorkloadSubnet

创建网络安全组

以下 PowerShell cmdlet 使用 <a href="https://docs.microsoft.com/en-us/powershell/module/az.network/new-aznetworksecurityruleconfig" rel="nofollow noreferrer">New-AzNetworkSecurityRuleConfig 创建规则，然后 <a href="https://docs.microsoft.com/en-us/powershell/module/az.network/new-aznetworksecuritygroup" rel="nofollow noreferrer">New-AzNetworkSecurityGroup 创建网络安全组。然后使用 <a href="https://docs.microsoft.com/en-us/powershell/module/az.network/set-azvirtualnetworksubnetconfig" rel=" 将网络安全组和规则与虚拟网络子网相关联nofollow noreferrer">设置-AzVirtualNetworkSubnetConfig cmdlet。

$NSGName = "aaddsNSG" 

 

# Create a rule to allow inbound TCP port 3389 traffic from Microsoft secure access workstations for troubleshooting 

$nsg201 = New-AzNetworkSecurityRuleConfig -Name AllowRD ` 

    -Access Allow ` 

    -Protocol Tcp ` 

    -Direction Inbound ` 

    -Priority 201 ` 

    -SourceAddressPrefix CorpNetSaw ` 

    -SourcePortRange * ` 

    -DestinationAddressPrefix * ` 

    -DestinationPortRange 3389 

 

# Create a rule to allow TCP port 5986 traffic for PowerShell remote management 

$nsg301 = New-AzNetworkSecurityRuleConfig -Name AllowPSRemoting ` 

    -Access Allow ` 

    -Protocol Tcp ` 

    -Direction Inbound ` 

    -Priority 301 ` 

    -SourceAddressPrefix AzureActiveDirectoryDomainServices ` 

    -SourcePortRange * ` 

    -DestinationAddressPrefix * ` 

    -DestinationPortRange 5986 

 

# Create the network security group and rules 

$nsg = New-AzNetworkSecurityGroup -Name $NSGName ` 

    -ResourceGroupName $ResourceGroupName ` 

    -Location $AzureLocation ` 

    -SecurityRules $nsg201,$nsg301 

 

# Get the existing virtual network resource objects and information 

$vnet = Get-AzVirtualNetwork -Name $VnetName -ResourceGroupName $ResourceGroupName 

$subnet = Get-AzVirtualNetworkSubnetConfig -VirtualNetwork $vnet -Name $SubnetName 

$addressPrefix = $subnet.AddressPrefix 

 

# Associate the network security group with the virtual network subnet 

Set-AzVirtualNetworkSubnetConfig -Name $SubnetName ` 

    -VirtualNetwork $vnet ` 

    -AddressPrefix $addressPrefix ` 

    -NetworkSecurityGroup $nsg 

$vnet | Set-AzVirtualNetwork

或者例如，您可以使用以下脚本创建允许 RDP 的规则：（参考）

Get-AzNetworkSecurityGroup  

-Name "nsg-name" 

 -ResourceGroupName "resource-group-name" 

 | Add-AzNetworkSecurityRuleConfig  

-Name "new-rule-name" 

-Access "Allow"  

-Protocol "TCP" -Direction "Inbound"  

-Priority "priority-number"  

-SourceAddressPrefix "CorpNetSaw"   // $serviceTagName  

-SourcePortRange "*"  

-DestinationPortRange "3389"  

-DestinationAddressPrefix "*"  

| Set-AzNetworkSecurityGroup

然后按照参考 >使用 PowerShell 启用 Azure DS 域服务创建一个托管域| 微软文档

浏览 Azure AD -> 企业应用程序 -> 所有应用程序 -> 搜索以下每个应用程序 ID。

如果在企业应用程序下的所有应用程序下未找到任何企业应用程序，如 AzureActiveDirectoryDomainControllerServices 或 DomainControllerServices，则需要通过以下 PowerShell 示例手动创建它们（将 appID 变量替换为您缺少 repro 租户的 appID。

创建三个服务主体后，将它们添加到之前创建的组中。您可以通过在“添加成员”对话框中搜索他们的应用 ID 来添加他们

Connect-AzureAD 

$appID = "d87dcbc6-a371-462e-88e3-28ad15ec4e64" 

$displayname = "Domain Controller Services" 

New-AzureADServicePrincipal -AccountEnabled $true -AppId $appID -AppRoleAssignmentRequired $false -DisplayName $displayname -ServicePrincipalType Application

创建三个服务主体后，将它们添加到先前创建的组（域控制器服务）。您可以通过在“添加成员”对话框中搜索他们的应用 ID 来添加他们

您现在可以 <a href="https://docs.microsoft.com/en-us/azure/active-directory-domain-services/tutorial-create-instance#sign-in-to-the-azure-portal" rel="nofollow noreferrer">在门户 UI 中启用 AAD DS。通过您的代理租户的全局管理员帐户登录到您的代理租户时。

配置可能需要一些时间。您在配置时也可能会遇到一些错误，但只要过程继续，请继续观察部署，因为部署可能会在一段时间后成功。

另请参阅使用 Azure AD 域服务解决域加入问题 | 微软文档

和教程——创建一个Azure Active Directory域服务托管域| 微软文档

vpn - 将本地设备连接到 Azure Active Directory 域服务

问题描述

解决方案

推荐阅读