Microsoft Entra Domain Services Microsoft Entra Domain Services

Verwaltete Domäne, Kerberos, NTLM, LDAP/LDAPS, Gruppenrichtlinien, Replica Sets, Hash-Synchronisierung und Migrationsleitfaden. Managed domain, Kerberos, NTLM, LDAP/LDAPS, Group Policy, replica sets, hash synchronization, and migration guidance.

Was ist Microsoft Entra Domain Services? What is Microsoft Entra Domain Services?

Microsoft Entra Domain Services stellt eine verwaltete Active-Directory-kompatible Domäne in Azure bereit. Der Dienst synchronisiert Benutzer, Gruppen und Kennworthashes aus Microsoft Entra ID in einen verwalteten Verzeichnisbestand, ohne dass Administratoren Domänencontroller bereitstellen oder patchen müssen. Microsoft Entra Domain Services provides a managed Active Directory compatible domain in Azure. The service synchronizes users, groups, and password hashes from Microsoft Entra ID into a managed directory store without requiring administrators to deploy or patch domain controllers.

Typische Einsatzfälle sind Legacy-Anwendungen mit LDAP- oder Kerberos-Abhängigkeiten, virtuelle Maschinen in Azure, Lift-and-Shift-Migrationen und Szenarien, in denen Domänenbeitritt oder Gruppenrichtlinien benötigt werden, aber klassische AD-DS-Betriebsaufgaben vermieden werden sollen. Typical use cases are legacy applications with LDAP or Kerberos dependencies, Azure virtual machines, lift-and-shift migrations, and scenarios that need domain join or Group Policy while avoiding traditional AD DS operational overhead.

Bereitstellungsvoraussetzungen und Deployment Prerequisites and deployment

• Erstelle Ressourcengruppe, VNet und dediziertes Subnetz mit ausreichend freiem Adressraum. Create the resource group, VNet, and dedicated subnet with sufficient free address space.
• Prüfe, dass keine benutzerdefinierten DNS-Server oder NSGs den späteren DC-Datenverkehr blockieren. Verify that custom DNS servers or NSGs do not block later DC traffic.
• Aktiviere Microsoft Entra Domain Services im gewünschten Abonnement und in der Zielregion. Enable Microsoft Entra Domain Services in the desired subscription and target region.
• Warte auf die erste Bereitstellung und dokumentiere die bereitgestellten DNS-IP-Adressen. Wait for initial provisioning and document the published DNS IP addresses.
• Setze auf Arbeitslast-Subnetzen die DNS-Server auf die verwaltete Domäne oder einen Forwarder dafür. Set workload subnet DNS servers to the managed domain or a forwarder that targets it.
• Führe Passwortänderungen oder Passwort-Hash-Initialisierung für betroffene Konten durch. Trigger password changes or password hash initialization for affected accounts.
• Teste Domänenbeitritt, Kerberos, LDAP-Abfragen und Gruppenrichtlinien mit Pilot-VMs. Test domain join, Kerberos, LDAP queries, and Group Policy with pilot VMs.
• Aktiviere Monitoring, Warnungen und Zertifikatsüberwachung vor Produktionsfreigabe. Enable monitoring, alerts, and certificate surveillance before production go-live.

Import-Module Az.Accounts
Import-Module Az.ADDomainServices

Connect-AzAccount
Select-AzSubscription -SubscriptionId "00000000-0000-0000-0000-000000000000"

$params = @{
    ResourceGroupName = "rg-aadds-prod"
    Name              = "aadds-contoso"
    DomainName        = "corp.contoso.com"
    Location          = "westeurope"
    Sku               = "Enterprise"
    SubnetId          = "/subscriptions/.../subnets/aadds-subnet"
}

New-AzADDomainService @params

Netzwerk-, DNS- und SKU-Design Networking, DNS, and SKU design

Authentifizierung, Funktionen und Forest-Topologien Authentication, features, and forest topologies

Kennworthash-Synchronisierung und Richtlinien Password hash synchronization and policies

Entra Domain Services nutzt kompatible Kennworthashes aus Entra ID. Für Konten, die vor der Aktivierung noch nie Cloud-Hashmaterial erzeugt haben, ist häufig eine Passwortänderung oder ein gezieltes Zurücksetzen erforderlich, damit Kerberos und NTLM in der verwalteten Domäne funktionieren. Entra Domain Services uses compatible password hashes from Entra ID. For accounts that never generated cloud hash material before activation, a password change or targeted reset is often required so Kerberos and NTLM can work inside the managed domain.

Unterstützte und nicht unterstützte Funktionen Supported and unsupported capabilities

Secure LDAP / LDAPS Secure LDAP / LDAPS

Test-NetConnection -ComputerName ldaps.corp.contoso.com -Port 636

$ldap = New-Object System.DirectoryServices.Protocols.LdapConnection("ldaps.corp.contoso.com:636")
$ldap.SessionOptions.SecureSocketLayer = $true
$ldap.Bind()

# ldp.exe Testablauf
# 1. Connection > Connect > ldaps.corp.contoso.com, Port 636, SSL aktivieren
# 2. Connection > Bind mit UPN oder Domain\\User
# 3. Browse > Search gegen die Basis-DN der verwalteten Domäne

Domain Join, OU-Struktur und Gruppenrichtlinien Domain join, OU structure, and Group Policy

Add-Computer -DomainName "corp.contoso.com" -Credential (Get-Credential) -Restart

# Beispiel für Ubuntu / RHEL (Kommandos dokumentieren und außerhalb des Images testen)
sudo realm discover corp.contoso.com
sudo realm join corp.contoso.com -U joinadmin@corp.contoso.com
sudo kinit joinadmin@CORP.CONTOSO.COM

Monitoring, Warnungen und Fehlerbehebung Monitoring, alerts, and troubleshooting

Get-AzADDomainService -ResourceGroupName "rg-aadds-prod" -Name "aadds-contoso" |
    Select-Object Name, DomainName, ProvisioningState, SyncOwner, LdapsSettings, ReplicaSets

PowerShell, REST und Administrationsreferenz PowerShell, REST, and administration reference

{
  "properties": {
    "domainName": "corp.contoso.com",
    "filteredSync": "Enabled",
    "domainConfigurationType": "FullySynced",
    "ldapsSettings": {
      "ldaps": "Enabled",
      "externalAccess": "Enabled"
    },
    "sku": "Enterprise"
  },
  "location": "westeurope"
}

Connect-MgGraph -Scopes "User.Read.All"
Invoke-MgGraphRequest -Method GET -Uri "https://graph.microsoft.com/v1.0/users?$select=id,displayName,userPrincipalName,onPremisesSyncEnabled"     | ConvertTo-Json -Depth 4

Migration, Vergleich und Betriebscheckliste Migration, comparison, and operational checklist

Betriebscheckliste Operational checklist

Glossar & Schnellreferenz Glossary & quick reference