Bevált gyakorlatok az Active Directory domain elnevezéséhez
Új Active Directory tartomány létrehozásakor fontos a tartománynév kiválasztása, függetlenül attól, hogy Ön új vagy tapasztalt rendszergazda. Ez a cikk a tartománynevek három lehetőségét tárgyalja: érvényes legfelső szintű tartomány (TLD) használatával, amelyet a vállalatnál regisztráltak, egy érvényes TLD aldomainjét, amelyet a vállalatnál regisztráltak, vagy nem TLD-név használatát. Az egyes lehetőségekre példákat adunk.
Az Active Directory alapvető tartományelnevezési megállapodásai
Az Active Directory első tartományvezérlője létrehozza az első tartományt és a szervezet biztonsági határát, az úgynevezett erdőt. Több tartomány hozzáadható az erdőn belüli replikáció javításához. Az erdő lehet egyetlen tartomány, vagy több aldomainnel rendelkező fa is lehet. Az első domain/erdő felállításakor az adminisztrátor megválaszthatja annak nevét, ami jelentős hatással lehet a szervezet jövőjére. A NetBIOS név, amelynek nem kell megegyeznie a tartománynévvel, szintén megadható az Active Directory telepítési folyamata során. Például az ad.patricio.ca domain NetBIOS neve lehet „Corporate”, ha szükséges.
Domain regisztráció
Az adminisztrátor által választott lehetőségtől függetlenül kulcsfontosságú, hogy a közterületet a cég neve alatt regisztrálják. Ez az első és legfontosabb lépés a vállalati környezet szilárd alapjainak megteremtésében. Figyelembe véve a vállalat méretét és potenciális növekedését, fontos, hogy az Active Directory infrastruktúra-beállítását a jövőbeni bővítések szem előtt tartásával tervezzük meg. Például, ha egy olyan vállalat, mint a Patricio Enterprises, kizárólag Kanadában működik, de világszerte tervezi irodáinak létrehozását, hasznos lehet, ha minden ország számára közterületeket vásárol. Ezenkívül ajánlott egy tartományt, például a .com-t alapértelmezett domainként kijelölni.
Nyilvános tanúsítványok
A nyilvános hitelesítésszolgáltatók csak a legfelső szintű tartományokat (TLD-ket) fogadják el, és nem támogatják a nem TLD-ket vagy a NetBIOS-neveket a tanúsítványaikon. Ez azt jelenti, hogy a hálózati rendszergazdáknak megosztott agy DNS-t kell használniuk, amikor az Exchange Serverrel dolgoznak. Ez magában foglalja egy DNS-zóna létrehozását a belső hálózaton belül, amely megegyezik a nyilvános DNS-zóna névvel. A belső ügyfelek ezután feloldják a belső DNS-szervereiken felsorolt bejegyzéseket, amelyek egy helyi szerverre mutatnak. Ez a megközelítés leegyszerűsíti a tervezést, mivel ugyanazt a szolgáltatásnevet használja a belső és külső felhasználók számára. A nyilvános tanúsítványokkal kapcsolatban korlátozott lehetőségek állnak rendelkezésre. Az adminisztrátoroknak regisztrált tartományt kell használniuk a tanúsítvány kéréséhez, és a szolgáltatásokat az adott tartomány használatához kell beállítaniuk (pl. Patricio.com).
Domain Name Services (DNS) és Name Resolution Design
A DNS kulcsfontosságú szolgáltatás az Active Directory és más Microsoft-termékek számára. Szükséges a nyilvános domainek kezelése, és megtehető az internetes regisztrátorokon vagy speciális DNS-szolgáltatókon keresztül, például a Microsoft Azure/Office 365-ön. A nyilvános DNS-konfigurációk elérhetők a felhasználók számára az interneten, és lehetővé teszik az olyan beállításokat, mint az e-mailek fogadása és az ügyfél-hozzáférési szolgáltatások. A cél az, hogy a felhasználói élmény zökkenőmentes legyen, függetlenül attól, hogy az intraneten vagy az interneten vannak-e, egyetlen szolgáltatásnév használatával. Ennek eléréséhez osztott agyú DNS használata javasolt. Egyes Microsoft-technológiák, például a Skype Vállalati verzió és az Exchange szinte szükségessé teszik az osztott agy DNS használatát.
Microsoft Exchange: Elfogadott tartományokra és e-mail címekre vonatkozó szabályzatok
Az Exchange-szervezet első Exchange-kiszolgálójának beállítása során a meglévő Active Directory-tartomány lesz a szervezet elsődleges SMTP-címe. Ha érvényes legfelső szintű tartományt (TLD) használ, nincs szükség elfogadott tartományok létrehozására vagy e-mail-címekre vonatkozó házirendek konfigurálására. Minden automatikusan konfigurálva lesz, és az új postafiókok változtatás nélkül megkapják a helyes SMTP-címet. Ha azonban a 2. vagy 3. opciót választja, új elfogadott tartományt kell hozzáadni, frissíteni kell az e-mail cím házirendeket, és el kell távolítani a korábban létrehozott alapértelmezett tartományt a szervezettség és a tisztaság megőrzése érdekében.
Microsoft Azure és egyszerű felhasználói név (UPN)
A címtárak helyszíni és a Microsoft Azure Active Directory (AAD) közötti szinkronizálásához a rendszergazdának gondoskodnia kell arról, hogy a Microsoft Azure nyilvános tartománya érvényes legyen. Ez azt jelenti, hogy az összes fiók, amelynek ugyanaz a tartománya van beállítva az egyszerű felhasználói névben (UPN), szinkronizálva lesz az Azure Active Directoryval. Korábban a hitelesítés a DOMAIN\felhasználónév formátumban történt, amely továbbra is működik a belső alkalmazásoknál. A SaaS és az Active Directory Federation esetében azonban az UPN formátumra, például felhasználónév@cég.comra van szükség. Ez a formátum a Windows kliensbe, a Skype Vállalati verzióba és az Exchange-be való bejelentkezéshez is ajánlott (az Outlook Anywhere alkalmazással). Az Azure Active Directoryval való szinkronizáláskor a felhasználói UPN-nek meg kell egyeznie az Azure-beli tartománysal.
Három lehetőség van a szinkronizálás beállítására:
Az 1. lehetőség nem igényel további konfigurációs módosítást, mivel az alapértelmezett UPN a jelenlegi vagy gyökértartománynév lesz.
A 2. és a 3. lehetőség megköveteli az érvényes tartomány hozzáadását az Active Directory Domain és Trusts szolgáltatáshoz, valamint annak biztosítását, hogy minden felhasználónak be van állítva az érvényes UPN a felhasználói tulajdonságaiban.
Amikor új Active Directory-t készít, a rendszergazdának mérlegelnie kell az 1. és a 2. lehetőséget. Személy szerint az 1. lehetőséget részesítik előnyben, mivel hosszú távon könnyebb. A 2. lehetőség megvalósítható, de több környezeti változtatást igényel, és a teendők listáját tekintve hasonló a 3. lehetőséghez.