Joindre une machine virtuelle Windows Server à un domaine géré Azure AD Domain Services (2023)

Azure Active Directory Domain Services (Azure AD DS) fournit des services de domaine gérés tels que la jointure de domaine, la stratégie de groupe, LDAP, l'authentification Kerberos/NTLM qui est entièrement compatible avec Windows Server Active Directory. Avec un domaine managé Azure AD DS, vous pouvez fournir des fonctionnalités de jointure de domaine et de gestion aux machines virtuelles (VM) dans Azure. Ce didacticiel vous montre comment créer une machine virtuelle Windows Server, puis la joindre à un domaine géré.

Dans ce didacticiel, vous apprendrez à :

Si vous n'avez pas d'abonnement Azure,créer un compteavant que tu commences.

Conditions préalables

Pour suivre ce didacticiel, vous avez besoin des ressources suivantes :

• Un abonnement Azure actif.
  • Si vous n'avez pas d'abonnement Azure,créer un compte.
• Un locataire Azure Active Directory associé à votre abonnement, synchronisé avec un annuaire sur site ou un annuaire cloud uniquement.
  • Si besoin,créer un locataire Azure Active Directoryouassocier un abonnement Azure à votre compte.
• Un domaine géré Azure Active Directory Domain Services activé et configuré dans votre locataire Azure AD.
  • Si besoin,créer et configurer un domaine géré Azure Active Directory Domain Services.
• Un compte d'utilisateur qui fait partie du domaine géré.
  • Assurez-vous que la synchronisation du hachage du mot de passe Azure AD Connect ou la réinitialisation du mot de passe en libre-service a été effectuée afin que le compte puisse se connecter au domaine managé.
• Un hôte Azure Bastion déployé dans votre réseau virtuel Azure AD DS.
  • Si besoin,créer un hôte Azure Bastion.

Si vous avez déjà une machine virtuelle que vous souhaitez joindre à un domaine, passez à la section pourjoindre la machine virtuelle au domaine géré.

Connectez-vous au portail Azure

Dans ce didacticiel, vous créez une machine virtuelle Windows Server à joindre à votre domaine géré à l'aide du portail Azure. Pour commencer, connectez-vous d'abord auPortail Azure.

Créer une machine virtuelle Windows Server

Pour voir comment joindre un ordinateur à un domaine géré, créons une machine virtuelle Windows Server. Cette machine virtuelle est connectée à un réseau virtuel Azure qui fournit une connectivité au domaine géré. Le processus pour rejoindre un domaine géré est le même que pour rejoindre un domaine de services de domaine Active Directory sur site standard.

Si vous avez déjà une machine virtuelle que vous souhaitez joindre à un domaine, passez à la section pourjoindre la machine virtuelle au domaine géré.

1. Depuis le menu du portail Azure ou depuis leMaisonpage, sélectionnezCréer une ressource.

2. DepuisCommencer, choisirCentre de données Windows Server 2016.

   

3. Dans leBasesfenêtre, configurez les paramètres principaux de la machine virtuelle. Laissez les valeurs par défaut pourOptions de disponibilité,Image, etTaille.

   Paramètre	Valeur suggérée
   Groupe de ressources	Sélectionnez ou créez un groupe de ressources, tel quemongroupe de ressources
   Nom de la machine virtuelle	Entrez un nom pour la machine virtuelle, tel quemaVM
   Région	Choisissez la région dans laquelle créer votre machine virtuelle, par exempleEst des États-Unis
   Nom d'utilisateur	Entrez un nom d'utilisateur pour le compte d'administrateur local à créer sur la VM, tel queazureuse
   Mot de passe	Entrez, puis confirmez, un mot de passe sécurisé que l'administrateur local doit créer sur la machine virtuelle. Ne spécifiez pas les informations d'identification d'un compte d'utilisateur de domaine.

4. Par défaut, les machines virtuelles créées dans Azure sont accessibles depuis Internet à l'aide de RDP. Lorsque RDP est activé, des attaques de connexion automatisées sont susceptibles de se produire, ce qui peut désactiver les comptes avec des noms communs tels queadministrateurouadministrateuren raison de plusieurs tentatives de connexion successives infructueuses.

   (Video) Azure AD Domain Join - Windows Server 2019

   RDP ne doit être activé que lorsque cela est nécessaire et limité à un ensemble de plages d'adresses IP autorisées. Cette configuration contribue à améliorer la sécurité de la machine virtuelle et réduit la zone d'attaque potentielle. Vous pouvez également créer et utiliser un hôte Azure Bastion qui autorise l'accès uniquement via le portail Azure sur TLS. Dans l'étape suivante de ce didacticiel, vous utilisez un hôte Azure Bastion pour vous connecter en toute sécurité à la machine virtuelle.

   SousPorts entrants publics, sélectionnerAucun.

5. Lorsque vous avez terminé, sélectionnezSuivant : Disques.

6. Dans le menu déroulant deType de disque du système d'exploitation, choisirSSD standard, puis sélectionnezSuivant : Réseautage.

   See Also

   Qu'est-ce que Microsoft Azure : comment ça marche et quels services y a-t-il ? | AppMasterNouveautés d'Azure App Service dans la version 2023Tutoriel - Migrer vers la synchronisation cloud Azure AD Connect pour une forêt AD synchronisée existante - Microsoft EntraPrésentation de l'ingénierie des données Synapse dans Microsoft Fabric | Blogue Microsoft Fabric | Structure Microsoft

7. Votre machine virtuelle doit se connecter à un sous-réseau de réseau virtuel Azure qui peut communiquer avec le sous-réseau dans lequel votre domaine géré est déployé. Nous vous recommandons de déployer un domaine géré dans son propre sous-réseau dédié. Ne déployez pas votre machine virtuelle dans le même sous-réseau que votre domaine géré.

   Il existe deux manières principales de déployer votre VM et de se connecter à un sous-réseau de réseau virtuel approprié :

   • Créez ou sélectionnez un sous-réseau existant dans le même réseau virtuel que celui où votre domaine géré est déployé.
   • Sélectionnez un sous-réseau dans un réseau virtuel Azure qui y est connecté à l'aide deAppairage de réseaux virtuels Azure.

   Si vous sélectionnez un sous-réseau de réseau virtuel qui n'est pas connecté au sous-réseau de votre domaine géré, vous ne pouvez pas joindre la machine virtuelle au domaine géré. Pour ce didacticiel, créons un nouveau sous-réseau dans le réseau virtuel Azure.

   Dans leLa mise en réseauvolet, sélectionnez le réseau virtuel dans lequel votre domaine géré est déployé, tel queaaads-vnet

8. Dans cet exemple, l'existantaaads-sous-réseaus'affiche auquel le domaine géré est connecté. Ne connectez pas votre machine virtuelle à ce sous-réseau. Pour créer un sous-réseau pour la VM, sélectionnezGérer la configuration du sous-réseau.

   

9. Dans le menu de gauche de la fenêtre du réseau virtuel, sélectionnezEspace d'adressage. Le réseau virtuel est créé avec un seul espace d'adressage de10.0.2.0/24, qui est utilisé par le sous-réseau par défaut. D'autres sous-réseaux, tels que pourcharges de travailou Azure Bastion peut également déjà exister.

   Ajoutez une plage d'adresses IP supplémentaire au réseau virtuel. La taille de cette plage d'adresses et la plage d'adresses IP réelle à utiliser dépendent des autres ressources réseau déjà déployées. La plage d'adresses IP ne doit pas chevaucher les plages d'adresses existantes dans votre environnement Azure ou local. Assurez-vous que la plage d'adresses IP est suffisamment large pour le nombre de machines virtuelles que vous prévoyez de déployer dans le sous-réseau.

   Dans l'exemple suivant, une plage d'adresses IP supplémentaire de10.0.5.0/24est ajouté. Lorsque vous êtes prêt, sélectionnezSauvegarder.

   

10. Ensuite, dans le menu de gauche de la fenêtre du réseau virtuel, sélectionnezSous-réseaux, Alors choisi+ Sous-réseaupour ajouter un sous-réseau.

11. Sélectionner+ Sous-réseau, puis saisissez un nom pour le sous-réseau, tel quegestion. Fournir unPlage d'adresses (bloc CIDR), tel que10.0.5.0/24. Assurez-vous que cette plage d'adresses IP ne chevauche aucune autre plage d'adresses Azure ou locale existante. Laissez les autres options sur leurs valeurs par défaut, puis sélectionnezD'ACCORD.

    (Video) How to Join Azure VM to Azure AD Domain

    

12. La création du sous-réseau prend quelques secondes. Une fois créé, sélectionnez leXpour fermer la fenêtre du sous-réseau.

13. De retour dans leLa mise en réseauvolet pour créer une machine virtuelle, choisissez le sous-réseau que vous avez créé dans le menu déroulant, tel quegestion. Encore une fois, assurez-vous de choisir le bon sous-réseau et de ne pas déployer votre machine virtuelle dans le même sous-réseau que votre domaine géré.

14. PourIP publique, sélectionnerAucundans le menu déroulant. Comme vous utilisez Azure Bastion dans ce didacticiel pour vous connecter à la gestion, vous n'avez pas besoin d'une adresse IP publique attribuée à la machine virtuelle.

15. Laissez les autres options sur leurs valeurs par défaut, puis sélectionnezGestion.

16. EnsembleDiagnostic de démarragepourDésactivé. Laissez les autres options sur leurs valeurs par défaut, puis sélectionnezRéviser + créer.

17. Vérifiez les paramètres de la machine virtuelle, puis sélectionnezCréer.

La création de la VM prend quelques minutes. Le portail Azure affiche l'état du déploiement. Une fois la VM prête, sélectionnezAller à la ressource.

Connectez-vous à la machine virtuelle Windows Server

Pour vous connecter en toute sécurité à vos machines virtuelles, utilisez un hôte Azure Bastion. Avec Azure Bastion, un hôte géré est déployé dans votre réseau virtuel et fournit des connexions Web RDP ou SSH aux machines virtuelles. Aucune adresse IP publique n'est requise pour les machines virtuelles et vous n'avez pas besoin d'ouvrir les règles du groupe de sécurité réseau pour le trafic distant externe. Vous vous connectez aux machines virtuelles à l'aide du portail Azure à partir de votre navigateur Web. Si besoin,créer un hôte Azure Bastion.

Pour utiliser un hôte Bastion pour vous connecter à votre VM, procédez comme suit :

1. Dans leAperçuvolet de votre machine virtuelle, sélectionnezConnecter, alorsBastion.

   

2. Saisissez les informations d'identification de votre machine virtuelle que vous avez spécifiées dans la section précédente, puis sélectionnezConnecter.

   

Si nécessaire, autorisez votre navigateur Web à ouvrir des fenêtres contextuelles pour que la connexion Bastion s'affiche. La connexion à votre VM prend quelques secondes.

Joindre la machine virtuelle au domaine géré

Une fois la machine virtuelle créée et une connexion RDP basée sur le Web établie à l'aide d'Azure Bastion, joignons maintenant la machine virtuelle Windows Server au domaine géré. Ce processus est identique à celui d'un ordinateur se connectant à un domaine de services de domaine Active Directory sur site standard.

1. SiGestionnaire de serveurne s'ouvre pas par défaut lorsque vous vous connectez à la VM, sélectionnez leCommencermenu, puis choisissezGestionnaire de serveur.

2. Dans le volet de gauche duGestionnaire de serveurfenêtre, sélectionnezServeur local. SousPropriétésdans le volet de droite, choisissezGroupe de travail.

   

3. Dans lePropriétés du systèmefenêtre, sélectionnezChangementpour rejoindre le domaine géré.

   

4. Dans leDomaine, spécifiez le nom de votre domaine géré, tel queaaddscontoso.com, puis sélectionnezD'ACCORD.

   

5. Entrez les informations d'identification du domaine pour rejoindre le domaine. Fournissez les informations d'identification d'un utilisateur qui fait partie du domaine géré. Le compte doit faire partie du domaine géré ou du locataire Azure AD - les comptes des annuaires externes associés à votre locataire Azure AD ne peuvent pas s'authentifier correctement pendant le processus de jonction de domaine.

   Les informations d'identification du compte peuvent être spécifiées de l'une des manières suivantes :

   • Format UPN(recommandé) - Entrez le suffixe du nom d'utilisateur principal (UPN) pour le compte d'utilisateur, tel que configuré dans Azure AD. Par exemple, le suffixe UPN de l'utilisateurcontosoadminseraitcontosoadmin@aaddscontoso.onmicrosoft.com. Il existe quelques cas d'utilisation courants où le format UPN peut être utilisé de manière fiable pour se connecter au domaine plutôt que leSAMAccountNameformat:
     • Si le préfixe UPN d'un utilisateur est long, tel quedeehasareallylongname, leSAMAccountNamepeuvent être générés automatiquement.
     • Si plusieurs utilisateurs ont le même préfixe UPN dans votre locataire Azure AD, commedieu, leurSAMAccountNameformat peut être généré automatiquement.
   • Format SAMAccountName- Entrez le nom du compte dans le champSAMAccountNameformat. Par exemple, leSAMAccountNamede l'utilisateurcontosoadminseraitAADDSCONTOSO\contosoadmin.

6. La connexion au domaine géré prend quelques secondes. Une fois terminé, le message suivant vous souhaite la bienvenue dans le domaine :

   

   SélectionnerD'ACCORDcontinuer.

7. Pour terminer le processus de connexion au domaine géré, redémarrez la machine virtuelle.

Une fois la machine virtuelle Windows Server redémarrée, toutes les stratégies appliquées dans le domaine géré sont transmises à la machine virtuelle. Vous pouvez également désormais vous connecter à la machine virtuelle Windows Server à l'aide des informations d'identification de domaine appropriées.

Nettoyer les ressources

Dans le didacticiel suivant, vous utilisez cette machine virtuelle Windows Server pour installer les outils de gestion qui vous permettent d'administrer le domaine géré. Si vous ne souhaitez pas continuer dans cette série de didacticiels, passez en revue les étapes de nettoyage suivantes poursupprimer la machine virtuelle. Sinon,passez au prochain tutoriel.

Dissocier la VM du domaine géré

Pour supprimer la machine virtuelle du domaine géré, suivez à nouveau les étapes pourjoindre la VM à un domaine. Au lieu de rejoindre le domaine géré, choisissez de rejoindre un groupe de travail, tel que le groupe par défautGROUPE DE TRAVAIL. Après le redémarrage de la machine virtuelle, l'objet ordinateur est supprimé du domaine géré.

Si tusupprimer la machine virtuellesans se dissocier du domaine, un objet ordinateur orphelin est laissé dans Azure AD DS.

Supprimer la machine virtuelle

Si vous n'utilisez pas cette VM Windows Server, supprimez-la en procédant comme suit :

1. Dans le menu de gauche, sélectionnezGroupes de ressources
2. Choisissez votre groupe de ressources, tel quemongroupe de ressources.
3. Choisissez votre machine virtuelle, par exemplemaVM, puis sélectionnezSupprimer. SélectionnerOuipour confirmer la suppression de la ressource. La suppression de la VM prend quelques minutes.
4. Lorsque la machine virtuelle est supprimée, sélectionnez le disque du système d'exploitation, la carte d'interface réseau et toute autre ressource avec lemaVM-préfixe et supprimez-les.

Résoudre les problèmes de jointure de domaine

La machine virtuelle Windows Server doit réussir à se joindre au domaine géré, de la même manière qu'un ordinateur sur site ordinaire rejoindrait un domaine des services de domaine Active Directory. Si la machine virtuelle Windows Server ne peut pas rejoindre le domaine géré, cela indique qu'il existe un problème lié à la connectivité ou aux informations d'identification. Passez en revue les sections de dépannage suivantes pour joindre avec succès le domaine géré.

Problèmes de connectivité

Si vous ne recevez pas d'invite demandant des informations d'identification pour rejoindre le domaine, il y a un problème de connectivité. La machine virtuelle ne peut pas atteindre le domaine géré sur le réseau virtuel.

Après avoir essayé chacune de ces étapes de dépannage, essayez à nouveau de joindre la machine virtuelle Windows Server au domaine géré.

• Vérifiez que la machine virtuelle est connectée au même réseau virtuel dans lequel Azure AD DS est activé, ou dispose d'une connexion réseau appairée.
• Essayez d'envoyer un ping au nom de domaine DNS du domaine géré, tel queping aaddscontoso.com.
  • Si la requête ping échoue, essayez d'envoyer un ping aux adresses IP du domaine géré, telles queping 10.0.0.4. L'adresse IP de votre environnement s'affiche sur lePropriétéslorsque vous sélectionnez le domaine géré dans votre liste de ressources Azure.
  • Si vous pouvez envoyer un ping à l'adresse IP mais pas au domaine, le DNS est peut-être mal configuré. Vérifiez que les adresses IP du domaine géré sont configurées en tant que serveurs DNS pour le réseau virtuel.
• Essayez de vider le cache du résolveur DNS sur la machine virtuelle à l'aide deipconfig /flushdnscommande.

Problèmes liés aux identifiants

Si vous recevez une invite demandant des informations d'identification pour rejoindre le domaine, mais une erreur après avoir saisi ces informations d'identification, la machine virtuelle est en mesure de se connecter au domaine géré. Les informations d'identification que vous avez fournies ne permettent alors pas à la machine virtuelle de rejoindre le domaine géré.

Après avoir essayé chacune de ces étapes de dépannage, essayez à nouveau de joindre la machine virtuelle Windows Server au domaine géré.

• Assurez-vous que le compte d'utilisateur que vous spécifiez appartient au domaine géré.
• Vérifiez que le compte fait partie du domaine géré ou du locataire Azure AD. Les comptes de répertoires externes associés à votre locataire Azure AD ne peuvent pas s'authentifier correctement pendant le processus de jonction de domaine.
• Essayez d'utiliser le format UPN pour spécifier les informations d'identification, telles quecontosoadmin@aaddscontoso.onmicrosoft.com. S'il y a de nombreux utilisateurs avec le même préfixe UPN dans votre locataire ou si votre préfixe UPN est trop long, leSAMAccountNamepour votre compte peut être généré automatiquement. Dans ces cas, leSAMAccountNameLe format de votre compte peut être différent de celui que vous attendez ou utilisez dans votre domaine sur site.
• Vérifiez que vous avezsynchronisation de mot de passe activéeà votre domaine géré. Sans cette étape de configuration, les hachages de mot de passe requis ne seront pas présents dans le domaine géré pour authentifier correctement votre tentative de connexion.
• Attendez que la synchronisation du mot de passe soit terminée. Lorsque le mot de passe d'un compte d'utilisateur est modifié, une synchronisation automatique en arrière-plan à partir d'Azure AD met à jour le mot de passe dans Azure AD DS. Il faut un certain temps pour que le mot de passe soit disponible pour une utilisation de jointure de domaine.

Prochaines étapes

Dans ce didacticiel, vous avez appris à :

Pour administrer votre domaine géré, configurez une machine virtuelle de gestion à l'aide du centre d'administration Active Directory (ADAC).