《Windows Azure Platform 系列文章目錄》

　　本文介紹的是，在單一目錄下，使用Azure AD Connect，打通本地Domain Controller

　　我們需要準備的環境有：

　　1.Azure China訂閱

　　2.在本地或者在微軟雲端，建立1臺Windows VM，安裝Domain Controller域控制器服務。

　　這裡我們的測試環境為在雲端建立1臺Domain Controller機器，命名為CorpDC，安裝的Domain Name為：leicorp.biz

　　3.註冊一個公網的域名，名稱為leicorp.biz，注意需要和上面的Domain Name一致

　　具體的步驟分為三個：

　　第一步：在Azure AD增加自定義域名，在公網域名增加TXT記錄

　　第二步：使用Azure AD Connect，將本地的Domain Controller使用者名稱，Hash加密後的密碼，同步到雲端的Azure AD

　　第三步：使用本地的Domain Controller的使用者名稱和密碼，訪問Azure Portal

　　第一步：在Azure AD增加自定義域名，在公網域名增加TXT記錄

　　1.首先我們登入Azure China Portal: https://portal.azure.cn

　　2.在Azure AD裡面，選擇Custom Domain Name，點選Add Custom Domain，如下圖：

　　3.增加完畢後，頁面會顯示TXT記錄，如下圖：

　　4.我們在域名服務商那裡，增加對leicorp.biz的的TXT記錄。這裡我用的是海外的Azure App Service Domain服務

　　把步驟3中的資訊，輸入到下圖中：

　　(1)Name輸入@

　　(2)Type為TXT

　　(3)TTL使用預設的1 Hour，對應步驟3中的3600秒

　　(4)Value輸入上面步驟3的記錄：MS=ms27412766

　　5.設定完畢後，我們稍微等待TXT生效，然後回到步驟3中，點選Verify按鈕。如下圖所示：

　　6.驗證通過後，Custom domain names會顯示驗證通過：

　　第二步：使用Azure AD Connect，將本地的Domain Controller使用者名稱，Hash加密後的密碼，同步到雲端的Azure AD

　　1.我們已經在雲端建立了1臺Domain Controller機器，命名為CorpDC，安裝的Domain Name為：leicorp.biz

　　2.我們在DC上建立3個使用者：

　　3.在彈出的視窗中，輸入使用者資訊，命名為user01, user02, user03

　　4.微軟官方建議在另外一臺機器上，安裝Azure AD Connect，該機器可以訪問到Domain Controller域控制器

　　為了演示方便，我們在雲端的DC上，安裝Azure AD Connect服務，下載地址：https://www.microsoft.com/en-us/download/details.aspx?id=47594

　　安裝完畢後，選擇I agree

　　5.根據自己的需求，我們這裡選擇Express

　　6.在Connect to Azure AD欄目中，輸入登入https://portal.azure.cn的使用者名稱和密碼

　　7.在Connect to AD DS中，輸入域控制器管理員的使用者名稱和密碼

　　8.驗證完畢後，我們先不勾選Start the Synchronization

　　9.安裝完畢後，介面顯示Azure AD Connect同步尚未開始。如下圖紅色部分

　　9.安裝完畢後。我點選桌面的圖表Azure AD Connect，進行配置和同步

　　10.配置裡面有很多內容，筆者簡單舉幾個例子，比如：

　　11.然後輸入資訊：

　　12.選擇Domain和OU

　　13.設定AD屬性，同時我們注意AD密碼是雜湊加密

　　14.選擇需要同步的AD屬性

　　15.配置完畢後，選擇開始同步Azure AD Connect

　　16.同步開始後，我們訪問portal.azure.cn，可以檢視到本地Domain Controller裡面的賬戶都被同步到微軟雲Azure AD裡

　　第三步：使用本地的Domain Controller的使用者名稱和密碼，訪問Azure Portal

　　1.我們開啟一個新的瀏覽器，輸入https://portal.azure.cn/

　　2.輸入域控制器裡面的使用者名稱：[email protected]，和對應的密碼

　　3.登入後，就可以訪問Azure Portal了，如下圖：

　　最後請注意：Azure AD的賬戶[email protected]是沒有任何訂閱的許可權，也不能訪問任何資源

　　我們需要把一個資源組的許可權，分配給AD賬戶：[email protected]，如下圖