Azure AD (5) 在單一目錄下，使用Azure AD單點登陸

　　《Windows Azure Platform 系列文章目錄》

 

　　本文介紹的是，在單一目錄下，使用Azure AD Connect，打通本地Domain Controller

 

　　咱們須要準備的環境有：

　　1.Azure China訂閱

　　2.在本地或者在微軟雲端，建立1臺Windows VM，安裝Domain Controller域控制器服務。

　　這裏咱們的測試環境爲在雲端建立1臺Domain Controller機器，命名爲CorpDC，安裝的Domain Name爲：leicorp.biz

　　3.註冊一個公網的域名，名稱爲leicorp.biz，注意須要和上面的Domain Name一致

 

　　具體的步驟分爲三個：

　　第一步：在Azure AD增長自定義域名，在公網域名增長TXT記錄

　　第二步：使用Azure AD Connect，將本地的Domain Controller用戶名，Hash加密後的密碼，同步到雲端的Azure AD

　　第三步：使用本地的Domain Controller的用戶名和密碼，訪問Azure Portal

 

　　第一步：在Azure AD增長自定義域名，在公網域名增長TXT記錄

　　1.首先咱們登陸Azure China Portal: https://portal.azure.cn

　　2.在Azure AD裏面，選擇Custom Domain Name，點擊Add Custom Domain，以下圖：

　　

　　

　　3.增長完畢後，頁面會顯示TXT記錄，以下圖：

　　

 

　　4.咱們在域名服務商那裏，增長對leicorp.biz的的TXT記錄。這裏我用的是海外的Azure App Service Domain服務

　　把步驟3中的信息，輸入到下圖中：

　　(1)Name輸入@

　　(2)Type爲TXT

　　(3)TTL使用默認的1 Hour，對應步驟3中的3600秒

　　(4)Value輸入上面步驟3的記錄：MS=ms27412766

 

　　5.設置完畢後，咱們稍微等待TXT生效，而後回到步驟3中，點擊Verify按鈕。以下圖所示：

　　

 

　　6.驗證經過後，Custom domain names會顯示驗證經過：

　　

 

　　

 

　　第二步：使用Azure AD Connect，將本地的Domain Controller用戶名，Hash加密後的密碼，同步到雲端的Azure AD

　　1.咱們已經在雲端建立了1臺Domain Controller機器，命名爲CorpDC，安裝的Domain Name爲：leicorp.biz

　　

　　2.咱們在DC上建立3個用戶：

　　

　　

　　3.在彈出的窗口中，輸入用戶信息，命名爲user01, user02, user03

　　

 

　　4.微軟官方建議在另一臺機器上，安裝Azure AD Connect，該機器能夠訪問到Domain Controller域控制器

　　爲了演示方便，咱們在雲端的DC上，安裝Azure AD Connect服務，下載地址：https://www.microsoft.com/en-us/download/details.aspx?id=47594

　　安裝完畢後，選擇I agree

　　

 

　　5.根據本身的需求，咱們這裏選擇Express

　　

 

　　6.在Connect to Azure AD欄目中，輸入登陸https://portal.azure.cn的用戶名和密碼

　　

 

　　7.在Connect to AD DS中，輸入域控制器管理員的用戶名和密碼

　　

 

　　8.驗證完畢後，咱們先不勾選Start the Synchronization

　　

 

　　9.安裝完畢後，界面顯示Azure AD Connect同步還沒有開始。以下圖紅色部分

　　

　

　　9.安裝完畢後。我點擊桌面的圖表Azure AD Connect，進行配置和同步

　　

 

　　10.配置裏面有不少內容，筆者簡單舉幾個例子，好比：

　　

 

　　11.而後輸入信息：

　　

 

　　12.選擇Domain和OU

　　

 

　　13.設置AD屬性，同時咱們注意AD密碼是哈希加密

　　

 

　　14.選擇須要同步的AD屬性

　　

　　

　　15.配置完畢後，選擇開始同步Azure AD Connect

　　

 

　　16.同步開始後，咱們訪問portal.azure.cn，能夠查看到本地Domain Controller裏面的帳戶都被同步到微軟雲Azure AD裏

　　請注意：Source爲Windows Server AD，表示這些帳戶是從Windows Server AD同步過來的

　　

　　

　　

　　第三步：使用本地的Domain Controller的用戶名和密碼，訪問Azure Portal

　　1.咱們打開一個新的瀏覽器，輸入https://portal.azure.cn/

　　2.輸入域控制器裏面的用戶名：user01@leicorp.biz，和對應的密碼

　　

 

　　3.登陸後，就能夠訪問Azure Portal了，以下圖：

　　

 

　　最後請注意：Azure AD的帳戶user01@leicorp.biz是沒有任何訂閱的權限，也不能訪問任何資源

　　咱們須要把一個資源組的權限，分配給AD帳戶：user01@leicorp.biz，以下圖