Konfigurieren der Mehrinstanzenfähigkeit in Azure Stack Hub

Sie können Azure Stack Hub so konfigurieren, dass Anmeldungen von Benutzern aus anderen Azure AD-Verzeichnissen (Azure Active Directory) zugelassen werden. Dadurch können diese die Dienste in Azure Stack Hub nutzen. Diese Verzeichnisse stehen in einer Gastbeziehung zu Ihrem Azure Stack Hub-Verzeichnis und gelten daher als Azure AD-Gastmandanten.

Stellen Sie sich z. B. das folgende Szenario vor:

  • Sie sind der Dienstadministrator von contoso.onmicrosoft.com, dem Azure AD-Stammmandanten für Identitäts- und Zugriffsverwaltungsdienste für Ihre Azure Stack Hub-Instanz.
  • Mary ist Verzeichnisadministratorin von fabrikam.onmicrosoft.com, dem Azure AD-Gastmandanten, auf dem sich die Gastbenutzer befinden.
  • Marys Arbeitgeber (Adatum) setzt IaaS- und PaaS-Dienste Ihres Unternehmens ein. Adatum möchte, dass Benutzer aus dem Gastverzeichnis (adatum.onmicrosoft.com) sich anmelden und von contoso.onmicrosoft.com geschützte Azure Stack Hub-Ressourcen verwenden können.

In dieser Anleitung finden Sie die für dieses Szenario erforderlichen Schritte, um die Mehrinstanzenfähigkeit für Gastverzeichnismandanten in Azure Stack Hub zu aktivieren oder zu deaktivieren. Sie und Mary erreichen dieses Ziel, indem Sie das Gastverzeichnis registrieren oder die Registrierung aufheben. Dadurch werden Anmeldungen bei Azure Stack Hub und die Nutzung von Azure Stack Hub-Diensten durch Adatum-Benutzer aktiviert bzw. deaktiviert.

Als Cloud Solution Provider (CSP) haben Sie zusätzliche Möglichkeiten, einen Azure Stack Hub für mehrere Mandanten zu konfigurieren und zu verwalten.

Voraussetzungen

Bevor ein Gastverzeichnis registriert bzw. dessen Registrierung aufgehoben wird, müssen Sie und Mary einige Verwaltungsschritte für die jeweiligen Azure AD-Mandanten vornehmen: das Azure Stack Hub-Stammverzeichnis (Contoso) und das Gastverzeichnis (Adatum):

Registrieren eines Gastverzeichnisses

Damit Sie ein Gastverzeichnis für die Mehrinstanzfähigkeit registrieren können, müssen das Azure Stack Hub-Stammverzeichnis und das Gastverzeichnis konfiguriert werden.

Konfigurieren des Azure Stack Hub-Verzeichnisses

Als Dienstadministrator von contoso.onmicrosoft.com müssen Sie zunächst ein Onboarding für den Adatum-Gastverzeichnismandanten in Azure Stack Hub durchführen. Das folgende Skript konfiguriert den Azure Resource Manager so, dass Anmeldungen von Benutzern und Dienstprinzipalen des Mandanten adatum.onmicrosoft.com akzeptiert werden:

## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as adminmanagement.<region>.<FQDN>.
$adminARMEndpoint = "https://adminmanagement.local.azurestack.external"

## Replace the value below with the Azure Stack Hub directory
$azureStackDirectoryTenant = "contoso.onmicrosoft.com"

## Replace the value below with the guest directory tenant. 
$guestDirectoryTenantToBeOnboarded = "adatum.onmicrosoft.com"

## Replace the value below with the name of the resource group in which the directory tenant registration resource should be created (resource group must already exist).
$ResourceGroupName = "system.local"

## Replace the value below with the region location of the resource group.
$location = "local"

# Subscription Name
$SubscriptionName = "Default Provider Subscription"

Register-AzSGuestDirectoryTenant -AdminResourceManagerEndpoint $adminARMEndpoint `
 -DirectoryTenantName $azureStackDirectoryTenant `
 -GuestDirectoryTenantName $guestDirectoryTenantToBeOnboarded `
 -Location $location `
 -ResourceGroupName $ResourceGroupName `
 -SubscriptionName $SubscriptionName

Konfigurieren des Gastverzeichnisses

Als Nächstes muss Mary (Verzeichnisadministratorin von Adatum) Azure Stack Hub beim Gastverzeichnis von adatum.onmicrosoft.com registrieren, indem sie das folgende Skript ausführt:

## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as management.<region>.<FQDN>.
$tenantARMEndpoint = "https://management.local.azurestack.external"

## Replace the value below with the guest directory tenant.
$guestDirectoryTenantName = "adatum.onmicrosoft.com"

Register-AzSWithMyDirectoryTenant `
 -TenantResourceManagerEndpoint $tenantARMEndpoint `
 -DirectoryTenantName $guestDirectoryTenantName `
 -Verbose

Wichtig

Wenn Ihr Azure Stack Hub-Administrator künftig neue Dienste oder Updates installiert, müssen Sie dieses Skript möglicherweise erneut ausführen.

Sie können dieses Skript zu einem beliebigen Zeitpunkt erneut ausführen, um den Status der Azure Stack Hub-Apps in Ihrem Verzeichnis zu überprüfen.

Wenn Sie Probleme beim Erstellen von virtuellen Computern in Managed Disks festgestellt haben (eingeführt im Update 1808), wurde ein neuer Datenträger-Ressourcenanbieter hinzugefügt, der eine erneute Ausführung dieses Skripts erfordert.

Weiterleiten von Benutzern zur Anmeldung

Schließlich kann Mary Adatum-Benutzer mit @adatum.onmicrosoft.com-Konten zur Anmeldung weiterleiten, indem diese das Azure Stack Hub-Benutzerportal aufrufen. Für Systeme mit mehreren Knoten wird das URL-Format https://portal.<region>.<FQDN> für das Benutzerportal benötigt. Für ASDK-Bereitstellungen lautet die URL https://portal.local.azurestack.external.

Mary muss außerdem alle fremden Prinzipale (Benutzer im Adatum-Verzeichnis ohne das Suffix adatum.onmicrosoft.com) weiterleiten, damit diese sich über https://<user-portal-url>/adatum.onmicrosoft.com anmelden. Wenn diese Benutzer den Verzeichnismandanten /adatum.onmicrosoft.com nicht in der URL angeben, werden sie an ihr Standardverzeichnis weitergeleitet und erhalten eine Fehlermeldung mit dem Hinweis, dass ihr Administrator nicht zugestimmt hat.

Aufheben der Registrierung eines Gastverzeichnisses

Wenn Sie Anmeldungen bei Azure Stack Hub-Diensten nicht mehr über Gastverzeichnismandanten zulassen möchten, können Sie die Registrierung des Verzeichnisses aufheben. Auch in diesem Fall müssen das Azure Stack Hub-Stammverzeichnis und das Gastverzeichnis konfiguriert werden:

  1. Als Administrator für das Gastverzeichnis (Mary in diesem Szenario) führen Sie Unregister-AzsWithMyDirectoryTenant aus. Das Cmdlet deinstalliert alle Azure Stack Hub-Apps aus dem neuen Verzeichnis.

    ## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as management.<region>.<FQDN>.
    $tenantARMEndpoint = "https://management.local.azurestack.external"
    
    ## Replace the value below with the guest directory tenant.
    $guestDirectoryTenantName = "adatum.onmicrosoft.com"
    
    Unregister-AzsWithMyDirectoryTenant `
     -TenantResourceManagerEndpoint $tenantARMEndpoint `
     -DirectoryTenantName $guestDirectoryTenantName `
     -Verbose 
    
  2. Der Dienstadministrator von Azure Stack Hub (Sie in diesem Szenario) muss das Cmdlet Unregister-AzSGuestDirectoryTenant ausführen:

    ## The following Azure Resource Manager endpoint is for the ASDK. If you're in a multinode environment, contact your operator or service provider to get the endpoint, formatted as adminmanagement.<region>.<FQDN>.
    $adminARMEndpoint = "https://adminmanagement.local.azurestack.external"
    
    ## Replace the value below with the Azure Stack Hub directory
    $azureStackDirectoryTenant = "contoso.onmicrosoft.com"
    
    ## Replace the value below with the guest directory tenant. 
    $guestDirectoryTenantToBeDecommissioned = "adatum.onmicrosoft.com"
    
    ## Replace the value below with the name of the resource group in which the directory tenant resource was created (resource group must already exist).
    $ResourceGroupName = "system.local"
    
    Unregister-AzSGuestDirectoryTenant -AdminResourceManagerEndpoint $adminARMEndpoint `
     -DirectoryTenantName $azureStackDirectoryTenant `
     -GuestDirectoryTenantName $guestDirectoryTenantToBeDecommissioned `
     -ResourceGroupName $ResourceGroupName
    

    Warnung

    Die Schritte zur Deaktivierung der Mehrinstanzenfähigkeit müssen in dieser Reihenfolge ausgeführt werden. Schritt 1 schlägt fehl, wenn Schritt 2 zuerst abgeschlossen wird.

Abrufen des Berichts zur Azure Stack Hub-Identitätsintegrität

Ersetzen Sie die Platzhalter <region>, <domain> und <homeDirectoryTenant>, und führen Sie dann das folgende Cmdlet als Azure Stack Hub-Administrator aus:


$AdminResourceManagerEndpoint = "https://adminmanagement.<region>.<domain>"
$DirectoryName = "<homeDirectoryTenant>.onmicrosoft.com"
$healthReport = Get-AzsHealthReport -AdminResourceManagerEndpoint $AdminResourceManagerEndpoint -DirectoryTenantName $DirectoryName
Write-Host "Healthy directories: "
$healthReport.directoryTenants | Where status -EQ 'Healthy' | Select -Property tenantName,tenantId,status | ft


Write-Host "Unhealthy directories: "
$healthReport.directoryTenants | Where status -NE 'Healthy' | Select -Property tenantName,tenantId,status | ft

Aktualisieren von Azure AD-Mandantenberechtigungen

Durch die folgende Aktion wird eine Warnung in Azure Stack Hub gelöscht, die darauf hinweist, dass ein Verzeichnis aktualisiert werden muss. Führen Sie im Ordner Azurestack-tools-master/identity den folgenden Befehl aus:

Import-Module ..\Identity\AzureStack.Identity.psm1

$adminResourceManagerEndpoint = "https://adminmanagement.<region>.<domain>"

# This is the primary tenant Azure Stack Hub is registered to:
$homeDirectoryTenantName = "<homeDirectoryTenant>.onmicrosoft.com"

Update-AzsHomeDirectoryTenant -AdminResourceManagerEndpoint $adminResourceManagerEndpoint `
   -DirectoryTenantName $homeDirectoryTenantName -Verbose

Sie werden vom Skript zur Eingabe von Administratoranmeldeinformationen im Azure AD-Mandanten aufgefordert. Die Ausführung dauert einige Minuten. Die Warnung sollte nach dem Ausführen des Cmdlets nicht mehr angezeigt werden.

Die portalbasierte Verwaltung wird für diese Version nicht unterstützt.

Die Mehrmandanzverwaltung über das Administratorportal ist nur für die Versionen 2102 und höher verfügbar. Wählen Sie eine höhere Version mithilfe des Selektors im oberen linken Teil der Seite aus.

Registrieren eines Gastverzeichnisses

Damit Sie ein Gastverzeichnis für die Mehrinstanzfähigkeit registrieren können, müssen das Azure Stack Hub-Stammverzeichnis und das Gastverzeichnis konfiguriert werden.

Konfigurieren des Azure Stack Hub-Verzeichnisses

Der erste Schritt besteht darin, ihr Azure Stack Hub System auf das Gastverzeichnis aufmerksam zu machen. In diesem Beispiel wird das Verzeichnis von Marys Unternehmen Adatum als adatum.onmicrosoft.com bezeichnet.

  1. Melden Sie sich beim Azure Stack Hub-Administratorportal an, und wechseln Sie zu Alle Dienste: Verzeichnisse.

    Screenshot that shows the list of directories.

  2. Wählen Sie zum Starten des Onboarding-Prozesses die Option Hinzufügen aus. Geben Sie den Namen des Gastverzeichnisses „adatum.onmicrosoft.com“ ein und wählen Sie anschließend Hinzufügen aus.

    Screenshot that shows how to add a new directory.

  3. Das Gastverzeichnis wird in der Listenansicht mit dem Status nicht registriert angezeigt.

    Screenshot that shows the new guest directory with an unregistered status.

  4. Nur Mary verfügt über die Anmeldeinformationen für die Authentifizierung beim Gastverzeichnis, daher müssen Sie ihr den Link senden, um die Registrierung abzuschließen. Aktivieren Sie das Kontrollkästchen adatum.onmicrosoft.com und wählen Sie dann Registrieren aus.

    Screenshot that shows selecting a directory to register.

  5. Im Browser wird eine neue Registerkarte geöffnet. Wählen Sie unten auf der Seite Link kopieren aus und geben Sie ihn Mary an.

  6. Wenn Sie über die Anmeldeinformationen für das Gastverzeichnis verfügen, können Sie die Registrierung selbst abschließen, indem Sie Anmelden auswählen.

    Screenshot that shows selecting sign in.

Konfigurieren des Gastverzeichnisses

Mary hat die E-Mail mit dem Link zum Registrieren des Verzeichnisses erhalten. Sie öffnet den Link in einem Browser und bestätigt die Azure Active Directory und den Azure Resource Manager-Endpunkt Ihres Azure Stack Hub-Systems.

  1. Mary meldet sich mit ihren globalen Administratoranmeldeinformationen für adatum.onmicrosoft.com an.

    Hinweis

    Stellen Sie sicher, dass Popupblocker deaktiviert sind, bevor Sie sich anmelden.

    Screenshot that shows signing in to manage a directory.

  2. Mary überprüft den Status des Verzeichnisses und sieht, dass es nicht registriert ist.

    Screenshot that shows an unregistered directory.

  3. Mary wählt Registrieren aus, um den Prozess zu starten.

    Hinweis

    Erforderliche Objekte für Visual Studio Code können möglicherweise nicht erstellt werden und müssen PowerShell verwenden.

    Screenshot that shows the starting directory registration.

  4. Nachdem der Registrierungsprozess abgeschlossen ist, kann Mary alle Anwendungen überprüfen, die im Verzeichnis erstellt wurden, und ihren Status überprüfen.

    Screenshot that shows a registered directory.

  5. Mary hat den Registrierungsprozess erfolgreich abgeschlossen und kann jetzt Adatum-Benutzer mit @adatum.onmicrosoft.com Konten zur Anmeldung anweisen, indem sie das Azure Stack Hub-Benutzerportal aufrufen. Für Systeme mit mehreren Knoten wird das URL-Format https://portal.<region>.<FQDN> für das Benutzerportal benötigt. Für ASDK-Bereitstellungen lautet die URL https://portal.local.azurestack.external.

Wichtig

Es kann bis zu einer Stunde dauern, bis für den Azure Stack-Operator der Verzeichnisstatus im Verwaltungsportal als aktualisiert angezeigt wird.

Mary muss außerdem alle fremden Prinzipale (Benutzer im Adatum-Verzeichnis ohne das Suffix adatum.onmicrosoft.com) weiterleiten, damit diese sich über https://<user-portal-url>/adatum.onmicrosoft.com anmelden. Wenn diese Benutzer den Verzeichnismandanten /adatum.onmicrosoft.com nicht in der URL angeben, werden sie an ihr Standardverzeichnis weitergeleitet und erhalten eine Fehlermeldung mit dem Hinweis, dass ihr Administrator nicht zugestimmt hat.

Aufheben der Registrierung eines Gastverzeichnisses

Wenn Sie Anmeldungen bei Azure Stack Hub-Diensten nicht mehr über Gastverzeichnismandanten zulassen möchten, können Sie die Registrierung des Verzeichnisses aufheben. Auch in diesem Fall müssen das Azure Stack Hub-Stammverzeichnis und das Gastverzeichnis konfiguriert werden:

Konfigurieren des Gastverzeichnisses

Mary verwendet keine Dienste mehr auf Azure Stack Hub und muss die Objekte entfernen. Sie öffnet erneut die URL, die sie per E-Mail erhalten hat, um die Registrierung des Verzeichnisses aufzuheben. Bevor Mary mit diesem Prozess beginnt, entfernt sie alle Ressourcen aus dem Azure Stack Hub-Abonnement.

  1. Mary meldet sich mit ihren globalen Administratoranmeldeinformationen für adatum.onmicrosoft.com an.

    Hinweis

    Stellen Sie sicher, dass Popupblocker deaktiviert sind, bevor Sie sich anmelden.

    Screenshot that shows selecting Sign In.

  2. Mary sieht den Status des Verzeichnisses.

    Screenshot that shows a registered directory.

  3. Mary wählt Registrierung aufheben aus, um die Aktion zu starten.

    Screenshot that shows selecing Unregister to unregister a directory.

  4. Wenn der Prozess abgeschlossen ist, wird der Status Nicht registriert angezeigt:

    Screenshot that shows a directory that has been unregistered.

    Mary hat die Registrierung des Verzeichnisses adatum.onmicrosoft.com erfolgreich aufgehoben.

    Hinweis

    Es kann bis zu einer Stunde dauern, bis das Verzeichnis im Azure Stack-Verwaltungsportal als „nicht registriert“ angezeigt wird.

Konfigurieren des Azure Stack Hub-Verzeichnisses

Als Azure Stack Hub-Operator können Sie das Gastverzeichnis jederzeit entfernen, auch wenn Mary die Registrierung des Verzeichnisses noch nicht aufgehoben hat.

  1. Melden Sie sich beim Azure Stack Hub-Administratorportal an, und wechseln Sie zu Alle Dienste: Verzeichnisse.

    Screenshot that shows all directories.

  2. Aktivieren Sie das Kontrollkästchen für das Verzeichnis adatum.onmicrosoft.com und wählen Sie dann Entfernen aus.

    Screenshot that shows selecting Remove for a directory.

  3. Bestätigen Sie die Löschaktion, indem Sie Ja eingeben und Entfernenauswählen.

    Screenshot that shows how to remove a directory.

    Sie haben das Verzeichnis erfolgreich entfernt.

Verwalten erforderlicher Updates

Azure Stack Hub-Updates können Unterstützung für neue Tools oder Dienste einführen, die möglicherweise ein Update des Stamm- oder Gastverzeichnisses erfordern.

Als Azure Stack Hub-Operator erhalten Sie im Verwaltungsportal eine Warnung, die Sie über ein erforderliches Verzeichnisupdate informiert. Sie können auch ermitteln, ob ein Update für Heim- oder Gastverzeichnisse erforderlich ist, indem Sie den Bereich „Verzeichnisse“ im Verwaltungsportal anzeigen. Jede Verzeichnisauflistung zeigt den Typ des Verzeichnisses an. Der Typ kann ein Home- oder Gastverzeichnis sein und sein Status wird angezeigt.

Aktualisieren der Azure Stack Hub-Verzeichnisse

Wenn ein Azure Stack Hub-Verzeichnisupdate erforderlich ist, wird der Status Update erforderlich angezeigt. Beispiel:

Screenshot that shows a directory requiring an update.

Aktivieren Sie zum Aktualisieren des Verzeichnisses das Kontrollkästchen Verzeichnisname und wählen Sie dann Aktualisieren aus.

Aktualisieren des Gastverzeichnisses

Ein Azure Stack Hub-Operator sollte auch den Besitzer des Gastverzeichnisses darüber informieren, dass er sein Verzeichnis mithilfe der für die Registrierung freigegebenen URL aktualisieren muss. Der Operator kann die URL erneut senden, sie ändert sich aber nicht.

Mary, die Besitzerin des Gastverzeichnisses, öffnet die URL, die sie per E-Mail erhalten hat, als sie das Verzeichnis registriert hat:

  1. Mary meldet sich mit ihren globalen Administratoranmeldeinformationen für adatum.onmicrosoft.com an. Stellen Sie sicher, dass Popupblocker deaktiviert sind, bevor Sie sich anmelden.

    Screenshot that shows selecting Sign In.

  2. Mary sieht den Status des Verzeichnisses, der sagt, dass ein Update erforderlich ist.

  3. Die Aktion Update ist für Mary verfügbar, um das Gastverzeichnis zu aktualisieren. Es kann bis zu einer Stunde dauern, bis das Verzeichnis im Azure Stack-Verwaltungsportal als registriert angezeigt wird.

Zusätzliche Funktionen

Ein Azure Stack Hub-Operator kann die Abonnements anzeigen, die einem Verzeichnis zugeordnet sind. Darüber hinaus verfügt jedes Verzeichnis über eine Aktion zum Verwalten des Verzeichnisses direkt im Azure-Portal. Für die Verwaltung muss das Zielverzeichnis über Berechtigungen zum Verwalten im Azure-Portal verfügen.

Nächste Schritte