Поделиться через


Создание подразделения (OU) в управляемом домене доменных служб Microsoft Entra

Подразделения (OU) в управляемом домене доменных служб Active Directory (AD DS) позволяют логически группировать такие объекты, как учетные записи пользователей, служб или компьютеров. Затем можно назначить администраторов определенным подразделениям и применить групповую политику, чтобы использовать необходимые параметры конфигурации.

Управляемые домены доменных служб включают следующие два встроенных подразделения:

  • Подразделение Компьютеры AADDC включает в себя объекты-компьютеры, присоединенные к управляемому домену.
  • Пользователи AADDC — включают пользователей и группы, синхронизированные из клиента Microsoft Entra.

При создании и запуске рабочих нагрузок, использующих доменные службы, может потребоваться создать учетные записи служб для самих приложений для проверки подлинности. Для организации этих учетных записей служб часто создается пользовательское подразделение в управляемом домене, а затем создаются учетные записи служб в этом подразделении.

В гибридной среде подразделения, созданные в локальной среде AD DS, не синхронизируются с управляемым доменом. Управляемые домены используют плоскую структуру подразделений. Все учетные записи пользователей и группы хранятся в контейнере Пользователей AADDC, хотя их синхронизация выполняется из разных локальных доменов или лесов, даже когда иерархическая структура подразделений настроена локально.

В этой статье демонстрируется создание подразделения в управляемом домене.

Подготовка к работе

Для работы с этой статьей требуются следующие ресурсы и разрешения:

Рекомендации и ограничения для пользовательских подразделений

Создание пользовательских подразделений в управляемом домене обеспечивает дополнительную гибкость управления пользователями и применением групповых политик. По сравнению с локальной средой AD DS, существуют некоторые ограничения и рекомендации при создании и управлении пользовательской структурой подразделений в управляемом домене.

  • Для создания пользовательских подразделений пользователи должны быть членами группы Администраторов AAD DC.
  • Пользователь, создающий подразделение, получает права администратора (полный доступ) над этим подразделением и становится владельцем ресурса.
    • По умолчанию группа Администраторов AAD DC также имеет полный контроль над пользовательским подразделением.
  • Создается подразделение по умолчанию для пользователей AADDC, содержащее все синхронизированные учетные записи пользователей из клиента Microsoft Entra.
    • Пользователей или группы из подразделения Пользователей AADDC нельзя перемещать в пользовательские подразделения. В пользовательские подразделения можно перемещать только учетные записи пользователей или ресурсы, созданные в управляемом домене.
  • Учетные записи пользователей, группы, учетные записи служб и объекты компьютеров, создаваемые в пользовательских подразделениях, недоступны в клиенте Microsoft Entra.
    • Эти объекты не отображаются с помощью API Microsoft Graph или в пользовательском интерфейсе Microsoft Entra; они доступны только в управляемом домене.

Создайте пользовательское подразделение

Для создания пользовательского подразделения используйте средства администрирования Active Directory на виртуальной машине, подключенной к домену. Центр администрирования Active Directory позволяет просматривать, изменять и создавать ресурсы в управляемом домене, включая подразделения.

Примечание.

Чтобы создать пользовательское подразделение в управляемом домене, необходимо войти в учетную запись пользователя, принадлежащую к группе Администраторы контроллера домена AAD.

  1. Войдите на виртуальную машину управления. Инструкции по подключению с помощью Центра администрирования Microsoft Entra см. в Подключение виртуальной машине Windows Server.

  2. На начальном экране выберите Администрирование. Отобразится список доступных средств управления, установка которых описана в руководстве по созданию виртуальной машины управления.

  3. Чтобы создать и настроить подразделение, выберите Центр администрирования Active Directory в списке средств администрирования.

  4. Выберите нужный управляемый домен, например aaddscontoso.com. Отобразится список существующих подразделений и ресурсов.

    Select your managed domain in the Active Directory Administrative Center

  5. Область Задачи отображается в правой части Центра администрирования Active Directory. В разделе домена, например aaddscontoso.com, выберите Создать > Подразделение.

    Select the option to create a new OU in the Active Directory Administrative Center

  6. В диалоговом окне Создание подразделения укажите Имя нового подразделения, например, MyCustomOu. Укажите краткое описание подразделения, например Пользовательское подразделение для учетных записей служб. При необходимости можно также заполнить поле Управляется для подразделения. Нажмите кнопку ОК, чтобы создать пользовательское подразделение.

    Create a custom OU from the Active Directory Administrative Center

  7. Теперь в Центре администрирования Active Directory пользовательское подразделение отображается и доступно для использования:

    Custom OU available for use in the Active Directory Administrative Center

Следующие шаги

Дополнительные сведения об использовании средств администрирования или создании и использовании учетных записей служб см. в следующих статьях: