如何在 Azure 中部署域控制器
在本指南中，我将演示如何在 Azure 中部署域控制器。
在 Azure 中部署域控制器可用于将其他域控制器添加到本地环境。这也是创建 Active Directory 测试实验室的简单方法。
注意：我在此演示中创建的 VM 用于测试，这些设置对于生产域控制器来说并不是最佳的。如果要在 Azure 中部署域控制器用于生产，则需要确定适合您组织的正确设置，例如 VM 大小（CPU、Mem）、冗余选项、磁盘和网络设置，所有这些都会增加成本。
提示#1：对于生产 DC，请勿为其提供公共 IP 或允许公共入站端口。
提示 2：要将 Azure 域控制器添加到本地环境，您需要一条从网络到 Azure 的 VPN 隧道。我将在单独的指南中讨论这一点。
提示 3：对于生产，Azure 虚拟网络不得与本地网络重叠。对于测试来说，这并不重要（假设您不会连接到本地网络）。
让我们开始吧。
第 1 部分：创建虚拟机
如果您没有 Azure 帐户，可以免费创建一个。 Microsoft 为您提供为期 30 天的 200 美元 Azure 积分。这些积分足以创建多个 VM 并使用其他 Azure 资源。
第 1 步。登录到您的 Azure 门户，https://portal.azure.com
第 2 步。点击“虚拟机”
第 3 步。单击“创建”并选择“Azure 虚拟机”
第 4 步。输入新虚拟机的基本信息
- 订阅：选择您要用于虚拟机的订阅。
- 资源组：选择现有资源组或创建新资源组。
- 虚拟机名称：为您的虚拟机命名。
- 区域：选择您所在的区域，您通常需要一个离您较近的区域。
- 可用性选项：这是为了冗余，将确保您的虚拟机在一个 Azure 数据中心发生故障时仍然运行。您希望将其用于生产虚拟机。我只是创建一个测试虚拟机，因此我将选择“无需基础设施冗余”。
- 安全类型：我将选择标准。
- 图片：选择您要使用的操作系统，我将选择“Windows Server 2019 Datacenter”。
- 大小：您需要确定所需的虚拟机大小。出于测试原因，我将选择小型虚拟机以降低成本。
- 用户名和密码：这将是虚拟机的管理员帐户。
- 公共入站端口：对于生产，您希望将此设置为“无”。为了进行测试，我将 RDP 保持打开状态。
- 许可：如果您有 现有许可证，您可以选择该框来使用，这可以节省每个虚拟机的费用。
这是我的虚拟机的基本设置的屏幕截图。
现在单击“下一步”转到“磁盘”页面。
第 5 步。输入 VM 的磁盘详细信息。
确定要使用的磁盘类型，为了测试我使用标准 HDD。
单击下一步进入网络。
第 6 步。网络设置
- 虚拟网络：选择现有的或创建新的虚拟网络。
- 子网：选择或创建子网。
您创建一个虚拟网络，然后使用子网划分地址空间。例如，我使用 10.1.0.0/16 地址空间，然后通过子网划分 10.1.10.0/24（256 个地址）。我将使用 10.1.10.0/24 子网块作为我的服务器。
- 公共IP：将自动添加公共IP。对于测试来说，这是可以的，对于生产来说，将其设置为无。
- NIC 网络安全组：这是虚拟网络的状态防火墙。我会选择标准。
- 公共入站端口：对于生产，您希望不选择任何端口。为了进行测试，您可以使用 RDP 访问虚拟机。
点击“管理”旁边的
第 7 步：管理设置
我在此页面上唯一想指出的是“自动关闭”选项。对于使用 Azure 进行测试，这是一项有助于节省成本的出色功能。即使您没有使用虚拟机，您仍需要为运行的虚拟机付费。我不会 24/7 使用此测试域控制器，因此我将让它在每晚 7:00 自动关闭。 请勿对生产域控制器执行此操作。
第 8 步：点击“审核 + 创建”
Microsoft 将验证您的设置并显示任何警告或遗漏的设置。您还将获得成本估算，但请记住，这只是一个估算。
准备好后，单击“创建”按钮来创建虚拟机。
您将看到一个进度页面，以便您可以查看部署的状态。创建我的虚拟机大约需要 5 分钟。
第 2 部分：使用静态 IP 地址配置虚拟机
域控制器需要静态 IP 地址和指向自身的 DNS。对于本地 DC，您只需进入 NIC 设置并手动配置 IP 设置。对于 Azure VM，建议在虚拟网络接口处进行设置。
转到虚拟机网络设置。
在虚拟机的右侧菜单中的设置下，单击“网络”。
现在单击虚拟机的网络接口（您将拥有不同的名称）。
接下来单击左侧菜单中设置下的“IP 配置”。
接下来单击 IP 配置下的“ipconfig1”。
将 IP 从“动态”更改为“静态”，然后输入您希望域控制器拥有的 IP 地址，它必须是您分配给虚拟网络的子网中的 IP。我将为我的 DC 指定 IP 地址 10.1.10.10。
单击“保存”。网络接口将重新启动以设置 IP 地址。
返回网络接口并单击“DNS 服务器”。
将DNS服务器设置为域控制器的IP地址。
现在在虚拟机上，您的服务器应该使用上面的设置进行配置。下面我运行 ipconfig /all 来验证我的 IP 设置。
第 3 部分：安装 Active Directory 域服务
创建 VM 并配置 IP 设置后，我们可以继续在服务器上安装 Active Directory。如果您之前已经安装过 ADDS，那么这并不新鲜，这与在本地服务器上安装它相同。
转到服务器管理器并单击“添加角色和功能”
开始之前 - 单击“下一步”。
安装类型 - 选择“基于角色”，然后单击“下一步”。
服务器选择 - 选择服务器的主机名，然后单击“下一步”。
服务器角色 - 选择“Active Directory 域服务”。
您将看到一个弹出窗口以添加其他功能。单击“添加功能”。
点击下一步”。
功能 - 无需添加功能，因此单击“下一步”。
AD DS - 单击“下一步”。
确认 - 单击“安装”。
安装将开始。
完成后，单击右上角的黄色图标，然后单击“将此服务器提升为域控制器”。
部署配置
我正在创建一个新域，因此我将选择“添加新林”。如果您要向现有域添加另一个 DC，您可以选择第一个选项“将域控制器添加到现有域”。
域控制器选项
对于新的测试域，默认设置就很好。添加 DSRM 密码，然后单击下一步。
DNS选项
单击此屏幕上的“下一步”。
其他选项
输入 NetBIOS 名称并单击“下一步”
路径
我总是将这些保留为默认设置
审核选项
检查您的设置并单击“下一步”
先决条件检查
如果先决条件通过，请单击“安装”
安装完成后，服务器将重新启动，现在将成为域控制器。
干得好。如果您按照步骤操作，现在应该有一个域控制器在 Azure 云中运行。
现在，您可以部署其他 Azure VM 并将它们连接到此域控制器。您还可以使用此域控制器将其他 DC 添加到您的本地环境。
第 4 部分：其他设置和提示
以下是我推荐的一些附加设置和提示。
- 您将需要使用新子网在 Active Directory 站点和服务中创建新站点。
- 您应该调整域控制器 DNS 设置以实现冗余。
- 需要从本地网络到 Azure 的 VPN 隧道。
- 如果您正在测试并使用具有开放端口 (RDP 3389) 的公共 IP，那么我建议在 Active Directory 中使用假/虚拟数据。他们的服务器可能会由于互联网暴露而受到攻击，因此不要使用真实的数据，例如真实的用户名和密码。
- 您可以使用 Azure 防火墙来限制从您的 IP 地址访问 VM。
- 使用 Bastion 实现安全远程连接。
- 探索 Azure 提供的众多选项，它提供的一切都令人印象深刻。
您计划使用在 Azure 中运行的域控制器吗？请在下面的评论中告诉我。
资源
- 在 Azure 虚拟网络中部署 AD DS - Microsoft 文档，其中包含有关将本地扩展至 Azure 的一些详细信息。
- 如何添加辅助域控制器