Microsoft Entra Domain Services

Allgemeine Informationen über Microsoft Entra Domain Services

Synchronization Types

www.godangel.ch

Microsoft Entra Domain Services | Synchronization Types

AllWählen sie beim Synchronization type All dann werden alle Benutzer und Gruppen auch diejenigen Benutzer und Gruppen die von der Active Directory Domäne Onpremise synchronisiert wurde synchronisiert.Cloud-OnlyWenn sie den Synchronization type Cloud-only auswählen, dann werden die Active Directory Domänen synchronisierten Benutzer und Gruppen ignoriert. Es werden nur die Benutzer und Gruppen, die in Entra ID erstellt wurden, synchronisiert.❗Wichtig:Die Synchronisierung zu den Entra Domain Servi

Kapitel

2.0 Erstellen einer verwalteten Domäne

www.godangel.ch

Microsoft Entra Domain Services | 2.0 Erstellen einer verwalteten Domäne

Entra admin Centerhttps://entra.microsoft.com  Fenster "Microsoft Entra admin center"Menü "Entra ID" >Menü "Domain services" >Create Microsoft Entra Domain Services >  ❗Wichtig:Nach der Erstellung der Microsoft Entra Domain Services kann die Subscription, die Ressourcen Gruppe sowie der DNS Domänen Name und die Location nicht mehr geändert werden. dsgodangel.ch Fenster "Microsoft Entra admin center - Create Microsoft Entra Domain Services"Register "Basics"Abschnitt "Project details"Auswahl Subsc

2.1 Aktualisierung der DNS Einstellungen

www.godangel.ch

Microsoft Entra Domain Services | 2.1 Aktualisierung der DNS Einstellungen

2.1.1 Aktualisierung der DNS Einstellungen für das virtuelle Azure Netzwerk (Automatisch)https://www.godangel.ch/single-post/microsoft-entra-domain-services-2-1-1-aktualisierung-der-dns-einstellungen-f%C3%BCr-das-virtuelle-azure2.1.2 Aktualisierung der DNS Einstellungen für das virtuelle Netzwerk (Manuell)https://www.godangel.ch/single-post/microsoft-entra-domain-services-2-1-2-aktualisierung-der-dns-einstellungen-f%C3%BCr-das-virtuelle-netzw

2.1.1 Aktualisierung der DNS Einstellungen für das virtuelle Azure Netzwerk (Automatisch)

www.godangel.ch

Microsoft Entra Domain Services | 2.1.1 Aktualisierung der DNS Einstellungen für das virtuelle Azure Netzwerk (Automatisch)

Nachdem die Entra Domain Services erfolgreich erstellt wurden, müssen wir noch die DNS Konfiguration des Virtuellen Netzwerk so anpassen, dass die verbundenen Virtuellen Maschinen und Applikationen die Verwaltete Domäne nutzen können. Wir müssen deshalb die DNS Einstellungen auf die zwei IP Adressen der bereitgestellten Domänencontroller der Managed Domain anpassen. Um die IP Adressen herauszufinden navigieren sie auf https://entra.microsoft.com Fenster "Microsoft Entra admin center"Menü "Entra

2.1.2 Aktualisierung der DNS Einstellungen für das virtuelle Azure Netzwerk (manuell)

www.godangel.ch

Microsoft Entra Domain Services | 2.1.2 Aktualisierung der DNS Einstellungen für das virtuelle Netzwerk (Manuell)

Ich habe euch hier noch den manuellen Weg aufgeschrieben, damit ihr wisst wie ihr die DNS Server auch manuell anpassen könnt.Um die IP Adressen herauszufinden navigieren sie auf https://entra.microsoft.com Fenster "Microsoft Entra admin center"Menü "Entra ID" >Menü "Domain services" >  Fenster "Microsoft Entra admin center - Microsoft Entra Domain Services"dsgodangel.ch >  Fenster "Microsoft Entra admin center - dsgodangel.ch"Menü "Settings"Menü "Properties" >  Fenster "Microsoft Entra admin cen

3.0 Erstellen eines Azure Virtual Netzwerk für die Verwendung von Applikations Servern

www.godangel.ch

Microsoft Entra Domain Services | 3.0 Erstellen eines Azure Virtual Netzwerk für die Verwendung von Applikations-Servern

Es ist wichtig, dass die Virtuellen Maschinen die sie mit den Entra Domain Services nutzen möchten, nicht im Subnetz der Entra Domain Services direkt erstellt werden.3.1 Erstellen eines separaten Subnetz im gleichen Virtuellen Netzwerkhttps://www.godangel.ch/single-post/microsoft-entra-domain-services-3-1-erstellen-eines-separaten-subnetz-im-gleichen-virtuellen-netzwBlogeinträge folgen in Kürze3.2 Erstellen eines seperaten Azure Virtuellen Netzwerk

3.1 Erstellen eines separaten Subnetz im gleichen Virtuellen Netzwerk

www.godangel.ch

Microsoft Entra Domain Services | 3.1 Erstellen eines separaten Subnetz im gleichen Virtuellen Netzwerk

Vorteil an dieser Variante ist, dass weil die VMs im separaten Subnetz dem gleichen Virtuellen Netzwerk angehören, auch automatisch die Namensauflösung des Virtuellen Netzwerk nutzen können und somit auch mit den Domänencontrollern der Verwalteten Domäne kommunizieren können. Um ein zusätzliches Subnetz im virtuellen Netzwerk der Entra Domain Services zu erstellen navigieren sie auf https://azure.microsoft.com Fenster "Microsoft Azure - Azure Services"Resource groups >   Fenster "Microsoft Azure

4.0 Erstellen einer Azure Admin VM

www.godangel.ch

Microsoft Entra Domain Services | 4.0 Erstellen einer Azure Admin VM

Melden sie sich beim Azure Admin Portal an https://azure.microsoft.com Fenster "Microsoft Azure - Azure services"+ Create a resource >  Fenster "Microsoft Azure - Create a resource"Unter Virtual machineCreate >  Fenster "Microsoft Azure - Create a virtual machine"Register "Basics"Abschnitt "Project details"Auswahl Subscription Pay-As-You-Go >Auswahl Resource group Godangel > Abschnitt "Instance details"Eingabe Virtual machine name vm-adm-prod-001 ❗Wichtig:Da der Hostname im Windows als NetBIOS N

4.1 Azure Bastion für Zugriff einrichten

www.godangel.ch

Microsoft Entra Domain Services | 4.1 Azure Bastion für Zugriff einrichten

4.1 Azure Bastion für Zugriff einrichten4.1.1 Azure Bastion für Zugriff einrichten (Automatische Konfiguration)https://www.godangel.ch/single-post/microsoft-entra-domain-services-4-1-1-azure-bastion-f%C3%BCr-zugriff-einrichten-automatische-konfiguraBlogeintrag folgt in Kürze4.1.2 Azure Bastion für Zugriff einrichten (Manuelle Konfiguration)

4.1.1 Azure Bastion für Zugriff einrichten (Automatische Konfiguration)

www.godangel.ch

Microsoft Entra Domain Services | 4.1.1 Azure Bastion für Zugriff einrichten (Automatische Konfiguration)

💰Vorsicht Kosten:Ab diesen Zeitpunkt können Kosten auf ihrer Subscription generiert werden! Die Azure Bastion ist relativ teuer, deshalb lösen sie sie wieder auf wenn sie nicht mehr benötigt wird um Kosten zu sparen.Fenster "Microsoft Azure - vm-adm-prod-001"Menü "Connect" >Menü "Bastion" >  Fenster "Microsoft Azure - vm-adm-prod-001 | Bastion"Abschnitt "Create Bastion"Deploy Bastion >  Die Bastion wird im Netzwerk erstellt…  Fenster "Microsoft Azure - vm-adm-prod-001 | Bastion"Abschnitt "Conne

4.2 RDP Zugriff auf Azure VM (Network Security Group)

www.godangel.ch

Microsoft Entra Domain Services | 4.2 RDP Zugriff auf Azure VM (Network Security Group)

Ich möchte euch die RDP Variante nicht vorenthalten. Da bei den Varianten Azure Bastion und Microsoft Entra Private Access Kosten anfallen. Ich empfehle euch aus Sicherheitstechnischen Gründen auf die Variante Microsoft Entra Private Access zu gehen. Der Zugriff über Microsoft Entra Private Access kostet zwar etwas ist aber die sicherste und neueste Variante.Die Blogeinträge für Microsoft Entra Private Access folgen in Kürze. ❗Wichtig:Diese Variante ist nicht zu empfehlen. Besser ist es wenn ihr

4.2.1 Network Security Group (NSG) erstellen

www.godangel.ch

Microsoft Entra Domain Services | 4.2.1 Network Security Group (NSG) erstellen

Fenster "Home - Microsoft Azure"Abschnitt "Azure services"+ Create a resource >  Fenster "Marketplace - Microsoft Azure"Eingabe Suchfeld nsg >Kachel Network security groupCreate >  Fenster "Create network security group"Register "Basics"Abschnitt "Project details"Auswahl Subscription Pay-As-You-Go >Auswahl Resource group Godangel > Abschnitt "Instance details"Eingabe Name nsg-prod-notrhswiss-001Auswahl Region Switzerland North >Next : Tags >  Fenster "Create network security group - Microsoft Az

4.2.2 Konfiguration NSG (Network Security Group) Subnets

www.godangel.ch

Microsoft Entra Domain Services | 4.2.2 Konfiguration NSG (Network Security Group) Subnets

Um auf die Virtuelle Maschine vm-adm-prod-001 via RDP zugreifen zu können, kann über die NSG zugegriffen werden. Fenster "nsg-prod-northswiss-001 - Microsoft Azure"Menü "Settings" >Menü "Subnets" >+ Associate >  Fenster "Associate subnet"Auswahl Virtual network vnet-prod-northswiss-01 (Godangel) >Auswahl Subnet snet-ds-northswiss-001 >OK >  Das Subnetz wurde zugewiesen.  

4.2.3 Konfiguration NSG inbound security rules

www.godangel.ch

Microsoft Entra Domain Services | 4.2.3 Konfiguration NSG Inbound security rules

Nun müssen wir noch zulassen, dass via RDP ins Azure VM Netzwerk zugegriffen werden kann. Fenster "nsg-prod-northswiss-001 - Microsoft Azure"Menü "Settings"Menü "Inbound security rules" >+ Add >  Fenster "Add inbound security rule"Auswahl Source Any >Eingabe Source port ranges *Auswahl Destination Any >Auswahl Service Custom >Eingabe Destination port ranges 3389 ❗Vorsicht:Dieses Szenario darf nur für Testzwecke genutzt werden, da der RDP Port 3389 direkt für das Internet geöffnet wird. Bitte ver

4.2.4 Konfiguration VM um die NSG zu nutzen

www.godangel.ch

Microsoft Entra Domain Services | 4.2.4 Konfiguration VM um die NSG zu nutzen

Fenster "vm-adm-prod-001 - Microsoft Azure"Menü "Networking"Menü "Network settings" >vm-adm-prod-001135 / ipconfig1 (primary) >  Fenster "vm-adm-prod-001135 - Microsoft Azure"Menü "Settings"Menü "Network security group" >Auswahl Network security group nsg-prod-northswiss-001 >Save >   Navigieren sie nochmals zurück zu den Network settings der Virtuellen Maschine. Sie können nun sehen, dass die Network Security Group hinzugefügt wurde, und unsere Test Inbound Regel AllowRDPforTesting angezeigt wi

4.2.5 Konfiguration VM Network Interface mit Public IP Adresse

www.godangel.ch

Microsoft Entra Domain Services | 4.2.5 Konfiguration VM Network Interface mit Public IP Adresse

Um direkt über das Internet auf die VM zuzugreifen, benötigen wir noch eine öffentliche IP Adresse für die VM. Navigieren sie in die Netzwerkkonfiguration der Netzwerkschnittstelle.  Fenster "vm-adm-prod-001135 - Microsoft Azure"Menü "Settings" >Menü "IP configurations" >Auswahl IP Konfiguration ipconfig1 >  Fenster "Edit IP configuration"Abschnitt "Public IP address settings"Associate public IP address [x]Auswahl Public IP address (New) pip-vnet-prod-northswiss-001-switzerland >Save >     

4.2.6 Zugriff via RDP auf VM vm-adm-prod-001

www.godangel.ch

Microsoft Entra Domain Services | 4.2.6 Zugriff via RDP auf VM vm-adm-prod-001

Fenster "vm-adm-prod-001 - Microsoft Azure"Menü "Networking" >Menü "Network settings" >Kopieren sie die Public IP Address indem sie hinter der Public IP Address auf "Copy to clipboard" klicken.  Wechseln sie auf ihren Lokalen Rechner und öffnen sie die Remotedesktopverbindung > Fenster "Remotedesktopverbindung"Eingabe Computer 172.161.39.220 (Public IP Address der vm-adm-prod-001)Verbinden >  Fenster "Remotedesktopverbindung - Die Identität des Remotecomputers kann nicht überprüft werden. Möchte

4.2.7 Zugriff über RDP testen

www.godangel.ch

Microsoft Entra Domain Services | 4.2.7 Zugriff über RDP testen

Die Verbindung über RDP funktioniert auch mit einem anderen Benutzer. ❗Wichtig:Um sich bei der verwalteten Domänen anzumelden benötigen die Domänen Dienste die Passwort Hashes in einem Format das für den NT LAN Manager (NTLM) und die Kerberos Authentication verwendet werden können. Diese werden standardmässig im Azure AD bzw. Microsoft Entra ID nicht mehr bereitgestellt. Damit nach der Erstellung der Domänendienste die Passwort Hashes für die Benutzer generiert werden, muss das Passwort der Benu

4.3 Microsoft Entra Private Access Zugriff auf VM

www.godangel.ch

Microsoft Entra Domain Services | 4.3 Microsoft Entra Private Access Zugriff auf VM

Es gibt noch eine dritte Zugriffsmethode auf die vm-adm-prod-001 Über einen sogenannten Private Access. Für dieses Szenario habe ich eine VM bei mir im Lokalen Netzwerk mit Windows 11 installiert. ❗Wichtig: Für einen Private Access Zugriff benötigt es eine Windows Maschine die entweder Entra Joined oder Entra Hybrid Joined ist. Entra Registered Geräte funktionieren leider nicht.

4.3.1 Microsoft Entra Private Access einrichten

www.godangel.ch

Microsoft Entra Domain Services | 4.3.1 Microsoft Entra Private Access einrichten

Um den Zugriff über Private Access zu nutzen, gehen sie die Schritt-für-Schritt Anleitungen im Bereich Microsot enra Private Access durch.https://www.godangel.ch/single-post/microsoft-entra-private-access

4.4 Domain Join der VM in die Entra Domain Services

www.godangel.ch

Microsoft Entra Domain Services | 4.4 Domain Join der VM in die Entra Domain Services

4.4.1 Domain Join der VM in die Entra Domain Serviceshttps://www.godangel.ch/single-post/microsoft-entra-domain-services-4-4-1-domain-join-der-vm-in-die-entra-domain-servicesFolgende Beiträge erscheinen in Kürze4.4.2 Domain Join der VM in die Entra Domain Services (PowerShell Befehl)

4.4.1 Domain Join der VM in die Entra Domain Services

www.godangel.ch

Microsoft Entra Domain Services | 4.4.1 Domain Join der VM in die Entra Domain Services

Verbinden sie sich mit Azure Bastion, RDP oder Private Access über den Browser auf die VM vm-adm-prod-001 > Das Windows wird gestartet und das Benutzerprofil geladen…    Fenster "vm-adm-prod-001 - Send diagnostic data to Microsoft"Include Optional >Accept >  Fenster "Server Manager - Try Windows Admin Center and Azure Arc today"[x] Don't show this message againX >  Fenster "Server Manager -Dashboard"Abschnitt "WELCOME TO SERVER MANAGER"Configure this local server >  Fenster "Server Manager - Loc

4.5 Management Tools installieren

www.godangel.ch

Microsoft Entra Domain Services | 4.5 Management Tools installieren

Verbinden sie sich mit der VM vm-adm-prod-001 die sie im Kapitel 4.0 erstellt haben.  Fenster "vm-adm-prod-001 - Microsoft Azure Admin Console"Connect >Connect via Bastion >  Fenster "vm-adm-prod-001 - Microsoft Azure Admin Console"Eingabe VM PasswordConnect >  Nach dem Verbindungsaufbau erscheint automatisch der Server Manager. Fenster "Server Manager - WELCOME TO SERVER MANAGER"Add roles and features >   Fenster "Add Roles and Features Wizard - Before you begin"Next >  Fenster "Add Roles and F

5.0 Bereitstellung von einem Applikationsserver mit SQL

www.godangel.ch

Microsoft Entra Domain Services | 5.0 Bereitstellung von einem Applikationsserver mit SQL

🆕5.1 Erstellen einer Azure SQL VMhttps://www.godangel.ch/single-post/microsoft-entra-domain-services-5-1-erstellen-einer-azure-sql-vmFolgende Beiträge erscheinen in Kürze5.2 Regionseinstellungen setzen5.3 Fixe IP Adresse definieren bzw. auf statisch umstellen5.4 vm-sql-prod-001 in Domäne aufnehmen (Microsoft Entra Domain Services"5.5 SQL Express Server installieren (vm-sql-prod-001)5.6 SQL Management Studio installieren5.7 Konfiguration SQL Instanz5.8 Windows Firewall konfigurieren

5.1 Erstellen einer Azure SQL VM

www.godangel.ch

Microsoft Entra Domain Services | 5.1 Erstellen einer Azure SQL VM

Navigieren sie ins Azure Admin Portal https://portal.azure.com Fenster "Home - Microsoft Azure"+ Create a resource >  Fenster "Marketplace - Microsoft Azure"Eingabe Suchfeld virtual machineKachel "Virtual machine"Create >Virtual machine > Fenster "Create a virtual machine - Microsoft Azure"Abschnitt "Project details"Auswahl Subscription Pay-As-You-Go >Auswahl Resource group Godangel > Abschnitt "Instance details"Eingabe Virtual machine name vm-sql-prod-001Auswahl Region (Europe) Switzerland Nort

5.2 Regionseinstellungen setzen

www.godangel.ch

Microsoft Entra Domain Services | 5.2 Regionseinstellungen setzen

Öffnen sie auf dem SQL Server (vm-sql-prod-001) den Server Manager  Fenster "Server Manager"Configure this local Server >(UTC) Coordinated Universal Time >  Fenster "Date and Time"Register "Date and Time"Abschnitt "Time zone"Change time zone… >  Fenster "Time Zone Settings"Auswahl (UTC+01:00) Amsterdam, Berlin, Bern, Rome, Stockholm, Vienna >[x] Automatically adjust clock for Daylight Saving TimeOK >  Fenster "Date and Time"OK >    

5.3 Fixe IP Adresse definieren bzw. auf statisch umstellen

www.godangel.ch

Microsoft Entra Domain Services | 5.3 Fixe IP Adresse definieren bzw. auf statisch umstellen

Die IP Adresse in einem Virtuellen Azure Netzwerk bzw. dem Subnetz werden dynamisch oder statisch vergeben. In unserem Fall möchten wir, dass der SQL Server vm-sql-prod-001 eine statische IP Adresse erhält anstatt die zur Zeit zugewiesene 10.10.10.6.   Die Konfiguration der IP Adresse auf statisch wird in der Netzwerkkarteneinstellungen im Azure erledigt. Navigieren sie im Azure Portal auf die VM vm-sql-prod-001 und klicken sie auf den Namen vm-sql-prod-001 >  Fenster "vm-sql-prod-001 - Microsof

5.4 vm-sql-prod-001 in Domäne aufnehmen (Microsoft Entra Domain Services)

www.godangel.ch

Microsoft Entra Domain Services | 5.4 vm-sql-prod-001 in Domäne aufnehmen (Microsoft Entra Domain Services)

Öffnen sie auf dem SQL Server vm-sql-prod-001 den Server Manager. Fenster "Server Manager"WORKGROUP >  Fenster "System Properties"Register "Computer Name"Change… >  Fenster "Computer Name/Domain Changes"Abschnitt "Member of"[x] Domain dsgodangel.chOK >  Fenster "Windows Security - Computer Name/Domain Changes"Eingabe User name globaladmin@swiss-schmid.chEingabe Password *********************OK >  Fenster "Computer Name/Domain Changes"Welcome to the dsgodangel.ch domain.OK >  Fenster "Microsoft W

5.5 SQL Express Server installieren (vm-sql-prod-001)

www.godangel.ch

Microsoft Entra Domain Services | 5.5 SQL Express Server installieren (vm-sql-prod-001)

Laden sie die neueste SQL Express Version von der Microsoft Website herunter.https://www.microsoft.com/en-us/sql-server/sql-server-downloads Hier in unserem Beispiel ist das noch die SQL Server Express 2019 Version.  Extrahieren sie die komprimierte Zip Datei SQLEXPR_x64_ENU Fenster "Extract Compressed (Zipped) Folders - Select Destination and Extract Files"Extract >  Doppelklicken auf SQLEXPR_x64_ENU.exe >  Fenster "User Account Control - Do you want to allow this app to make changes to your de

5.6 SQL Management Studio installieren

www.godangel.ch

Microsoft Entra Domain Services | 5.6 SQL Management Studio installieren

SQL Installation nochmals starten Fenster "SQL Server Installation Center"Install SQL Server Management Tools >  Sie werden auf die Downloadseite des SQL Management Studio weitergeleitet Fenster "Install SQL Server Management Studio"Download SQL Server Management Studio 22 installer >  Die Datei vs_SSMS.exe wird heruntergeladen.  Doppelklicken sie die Datei vs_SSMS.exe >  Fenster "User Account Control - Do you want to allow this app to make changes to your device?"Yes >  Fenster "Visual Studio I

5.7 Konfiguration SQL Instanz

www.godangel.ch

Microsoft Entra Domain Services | 5.7 Konfiguration SQL Server Instanz

Fenster "Visual Studio Installer"Abschnitt "SQL Server Management Studio 22"Launch > Das Microsoft SQL Server Management Studio wird gestartet…  Fenster "Sign in to SQL Server Management Studio"ℹ️Information: Es wird empfohlen sich mit einem Microsoft oder GitHub Account anzumelden, damit eure Einstellungen synchronisiert oder ihr auf eure GitHub Repositories zugreifen könnt.Um die Dokumentation nicht unnötig zu vergrössern überspringen wir diesen Schritt für den Moment.Skip and add accounts lat

🆕5.8 Windows Firewall konfigurieren

www.godangel.ch

Microsoft Entra Domain Services | 5.8 Windows Firewall konfigurieren

Öffnen sie auf dem vm-sql-prod-001 die Windows Defender Firewall with Advanced Security >  Fenster "Windows Defender Firewall with Advanced Security"Inbound Rule > (Rechte Maustaste)New Rule… >  Fenster "New Inbound Rule Wizard - Rule Type"Auswahl [x] ProgramNext >  Fenster "New Inbound Rule Wizard - Program"[x] This program pathBrowse… >  Fenster "Open"Navigieren sie im Windows Explorer Fenster in den Pfad "C:\Program Files\Microsoft SQL Server\MSSQL15.TIMESAFE\MSSQL\Binn"Wählen sie die sqlserv

🆕6.0 Timesafe Leistungserfassung installieren

www.godangel.ch

Microsoft Entra Domain Services | 6.0 Timesafe Leistungserfassung installieren

Wenn ihr die TimeSafe Installationsroutine heruntergeladen habt dann müsst ihr die ZIP Datei noch kurz von der Sicherheit her entsperren da diese über das Internet heruntergeladen wurde. Klickt mit der rechten Maustaste auf die TimeSafeCD-TSLV2602-demo.zip.Properties >  Fenster "TimeSafeCD-TSLV2602-demo.zip Properties"Register "General"Abschnitt "Security"[x] Unblock >  Fenster "TimeSafeCD-TSLV2602-demo.zip Properties"Register "General"Apply >  Fenster "TimeSafeCD-TSLV2602-demo.zip Properties"OK

Folgende Blogeinträge erscheinen in Kürze

4.4.2 Domain Join der VM in die Entra Domain Services (PowerShell Befehl)

7.0 Zugriff auf TimeSafe über Client mit Microsoft Entra Private Access

7.1 Testbenutzer erstellen (Sieber Hans)

7.2 Gruppe für TimeSafe Benutzer erstellen

7.3 Benutzer zu Gruppen hinzufügen (G_Remote Users und G_TimeSafe Users)

7.4 Benutzer und Gruppen Synchronsierung in die Microsoft Entra Domain Services

7.5 Anmeldung mit Sieber Hans am Client v-pc-schmid-01 (Entra Joined)

7.6 TimeSafe Ordner freigeben

Das könnte dich auch interessieren: