Вопрос или проблема
Мы управляем небольшим бизнесом и начали использовать Azure AD для управления нашими пользователями. Наши рабочие станции с Windows 10 подключены к Azure домену через настройку “Подключиться к работе или учебе”, и это работает хорошо.
Проблема в том, что у нас есть несколько установок Windows Server 2016 в офисе. В настоящее время они настроены с локальными административными учетными записями, и люди входят в систему под ними для администрирования.
Что мы действительно хотим, так это предоставить административные права нашим пользователям Azure AD и позволить им входить на сервер с их обычными учетными данными Azure AD.
Какой эквивалент “Подключиться к работе или учебе” для Windows Server 2016? Как мы можем предоставить Windows Server возможность предоставлять административные права конкретным пользователям AD?
Я видел Azure AD Connect, но, похоже, это требует от нас настройки локального AD и синхронизации его с Azure. Я обеспокоен тем, что, если это решение, оно усложнит нашу нагрузку по администрированию. Мы просто ищем действительно простое решение. Если Azure AD Connect — это ответ, как наилучшим образом его настроить для достижения самой базовой администраторской работы с локем сервером для пользователей Azure AD?
В этом случае (для Windows Server), даже если вы успешно синхронизировали свою локальную учетную запись компьютера в Azure AD с помощью AAD Connect, вы не можете контролировать, кто может или не может управлять сервером, так же как это делается на месте, даже позволяя пользователю AAD входить в систему.
Обратите внимание на Azure AD DS – https://azure.microsoft.com/en-us/services/active-directory-ds/
Если у вас есть эти серверы в вашей локальной среде, потребуется настроить некоторые сетевые параметры (VPN). AAD DS имеет ограничения, но если вам это нужно только для управления безопасностью и присоединения к домену, без необходимости в больших структурах каталогов, GPO и т. д., этого будет достаточно.
Ответ или решение
Для управления локальными серверами на базе Windows Server 2016 с использованием учетных записей Azure AD, существует несколько путей, которые вы можете рассмотреть. Вот рекомендации по решению вашей проблемы.
1. Использование Azure Active Directory Domain Services (Azure AD DS)
Одним из самых простых и эффективных способов является использование Azure AD Domain Services (Azure AD DS). Этот сервис предоставляет функциональность доменной службы без необходимости разворачивать и управлять локальным Active Directory. Вот шаги, которые помогут вам в этом:
-
Создайте экземпляр Azure AD DS: Перейдите в портал Azure и создайте новый экземпляр услуги Azure AD DS. Это позволит вам создать управляемую доменную среду, которая может синхронизироваться с вашей Azure AD.
-
Настройка сети: Убедитесь, что ваш локальный сервер имеет соединение с Azure через VPN или Azure ExpressRoute, чтобы ваши серверы могли взаимодействовать с Azure AD DS. Это важный шаг, так как Azure AD DS будет управлять аутентификацией пользователей.
-
Присоедините сервер к Azure AD DS: После настройки Azure AD DS вы сможете присоединить ваш Windows Server 2016 к новому домену, созданному в Azure AD DS. Это позволит вам использовать учетные записи Azure AD для входа на сервер.
-
Настройка прав администратора: После присоединения к домену вы можете назначить всем пользователям Azure AD права администратора. Для этого вам нужно создать группу в Azure AD, которую вы хотите использовать для администрирования (например, группу "Администраторы"), и добавить в нее нужных пользователей.
-
Управление через группы: После создания группы вы можете добавить ее в локальную группу "Administrators" на сервере. Это позволит всем участникам группы Azure AD иметь права администратора на сервере.
2. Azure AD Connect
Если вы все же предпочитаете управлять всем локальным, вы можете использовать Azure AD Connect. Однако, как вы отметили, это может добавить некоторые сложности в администрирование. Azure AD Connect позволяет синхронизировать идентификаторы и учетные записи из локальной Active Directory с Azure AD. Вот краткий обзор:
-
Установите Azure AD Connect: Следуйте инструкциям по установке Azure AD Connect на одном из ваших локальных серверов. Это даст вам возможность синхронизировать локальные учетные записи с Azure AD.
-
Создание локальной AD: Если у вас нет локальной AD, вам придется создать ее. Это может быть более трудоемким процессом.
-
Назначение групп: После настройки Azure AD Connect вы сможете назначить права и группы аналогичным образом, как было описано ранее.
Заключение
Для вашей ситуации, если у вас нет необходимости в сложной инфраструктуре Active Directory, я рекомендую использовать Azure AD Domain Services. Это самый простой и быстрый способ управлять вашими локальными серверами с использованием учетных записей Azure AD без значительных управленческих накладных расходов. Убедитесь, что у вас есть надежное сетевое соединение, чтобы обеспечить стабильный доступ к Azure AD DS.
Если у вас возникнут дополнительные вопросы, не стесняйтесь обращаться за помощью!