O que o registro SRV _ldap._tcp.dc._msdcs.domainname.com deve apontar para o Azure AD?

Question

Eu administro o Office 365 para a nossa empresa widgetsRus.com, e estou tentando unir meu computador desktop ao domínio e efetuar login usando meu endereço de e-mail do Office 365. Eu comprei o domínio e a assinatura do Office 365 da GoDaddy, e os servidores de nomes estão atualmente na he.net. Eu administro o servidor DNS para esse domínio, para poder adicionar ou alterar registros. Estou certamente disposto a realocar os servidores de nomes ou criar um controlador de domínio no Azure, se necessário.

Eu posso ver nosso domínio, usuários e dispositivos em portal.azure.com.

Quando tento ingressar no domínio usando o Painel de Controle, recebo uma mensagem de erro:

The following error occurred when DNS was queried for the service location (SRV) resource record used to locate an Active Directory Domain Controller (AD DC) for domain "netorgft3xxxxxxx.onmicrosoft.com":

The error was: "DNS name does not exist." (error code 0x0000232B RCODE_NAME_ERROR)

The query was for the SRV record for _ldap._tcp.dc._msdcs.netorgft3xxxxxx.onmicrosoft.com

Common causes of this error include the following:

• The DNS SRV records required to locate a AD DC for the domain are not registered in DNS. These records are registered with a DNS server automatically when a AD DC is added to a domain. They are updated by the AD DC at set intervals. This computer is configured to use DNS servers with the following IP addresses:

208.67.222.222 208.67.220.220

Eu posso ingressar o computador no AD do Azure usando Acesso do trabalho ou escola , mas não consigo fazer logon usando meu endereço de e-mail depois disso.

Eu entendo que eu preciso adicionar mais alguns registros para o arquivo de zona, começando com o registro SRV mencionado. Como posso descobrir o que deveria ser?

    

Answer 1

Este é um tópico confuso para os primeiros expostos ao AzureAD.

O AzureAD por si só não substitui um controlador de domínio. Você não pode ingressar em seu domínio com o AzureAD, a menos que você também ative os Serviços de Domínio (serviço pago adicional). Eu provavelmente simplifiquei demais as diferenças abaixo, mas espero que ajude.

O AzureAD permite registrar ou inscrever um dispositivo no serviço.

Workplace Join - isso é para máquinas que já estão configuradas e é o registro do dispositivo. Ele pode melhorar a experiência do usuário, pois a autenticação no Windows 10 foi criada para funcionar diretamente com o AzureAD. Para o MDM, você registra manualmente um dispositivo.

AzureAD Join - A Microsoft chama esse registro de dispositivo. Com o Windows 10 - quando você tem a experiência OOTB "out of the box", pode optar por ingressar no AzureAD ou em um domínio. Quando você escolhe a primeira, vincula suas credenciais de login ao AzureAD e se inscreve em qualquer política do Intune que possa estar em vigor. É uma ótima maneira de gerenciar dispositivos (supondo que você tenha o Intue também) para dispositivos que não estão na rede com freqüência. Esta é a inscrição - b / c é possível inscrever um dispositivo no MDM no registro do dispositivo também (tudo é feito em conjunto).

Voltar para Serviços de domínio . Você pode habilitar os Serviços de Domínio em um diretório do AzureAD - mas é outro serviço pago. Além disso, você precisa criar uma rede virtual do Azure para vinculá-la também e, em seguida, você precisaria de uma VPN para conectá-la à rede local (supondo que você deseja unir mais do que apenas as VMs do Azure). Com essa configuração, você pode, de fato, juntar máquinas e gerenciá-las com GPOs. Se você tiver controladores de domínio tradicionais - esse serviço não faz parte da replicação de domínio, é um serviço separado que funciona como um "domínio". Ainda há muitas coisas que não são ideais para serviços de domínio, mas o básico está lá. Para implantações do Azure, os custos serão semelhantes à implantação de um pequeno DC como uma VM - mas, novamente, você não precisará gerenciar o sistema operacional ou a replicação de domínio, o que é ideal se ainda não existir nenhum domínio do Active Directory.