Latest / M365.FM – Microsoft 365, Copilot & AI podcast in het Nederlands / Microsoft Entra Domain Services uitgelegd: legacy-apps in Azure zonder eigen domeincontrollers (AI-nasynchronisatie)

Transcript

Microsoft Entra Domain Services uitgelegd: legacy-apps in Azure zonder eigen domeincontrollers (AI-nasynchronisatie) · M365.FM – Microsoft 365, Copilot & AI podcast in het Nederlands

0:00
Klaar voor 10 dagen Microsoft 365, Copilot, AI, Azure en de mensen die de toekomst van werk vormgeven?
0:07
Deze januari is de M365 Conference terug en we pakken groter uit.
0:12
Doe mee voor live sessies, praktijkdemo's en praktische kennis van MVP's en experts van over de hele wereld.
0:18
Geen algemene presentaties, geen eindeloze modewoorden.
0:21
We pakken de echte uitdagingen aan Copilot Studio, AI Agents, Fabric, Beveiliging, Governance en Automatisering.
0:29
Of je nu IT-professional, ontwikkelaar of bedrijfsleider bent, er zijn sessies speciaal voor jou.
0:35
Met 10 volledige dagen kun je diverse technologieën verkennen en in contact komen met een wereldwijde community.
0:40
Kijk live mee en neem praktische inzichten mee terug naar je organisatie.
0:44
Januari 2027, 10 dagen, 1 Microsoft Community.
0:49
Registratie is nu geopend.
0:51
Ga naar m365.com.net en verzeker je vandaag nog van een plek.
0:56
Dat is m365.com.net.
0:59
Meld je aan op m365.com.net en we zien je live in januari.
1:04
Hallo iedereen en welkom bij een nieuwe aflevering van Microsoft Knowledge Nuggets hier op m365.fm.
1:10
Ik ben Mirko Peters.
1:11
Stel je voor dat je een oude bedrijfsapp verplaatst van een server op kantoor naar een virtuele Azure machine.
1:16
De app staat nu in de cloud, maar vraagt nog steeds om een Windows domein.
1:19
Hij wil lid worden van dat domein, mensen opzoeken via LDAP, gebruikers aanmelden met Kerberos en groepsbeleid toepassen.
1:24
De meeste mensen gaan ervan uit dat Entra ID elke taak van Active Directory vervangt.
1:28
Dat doet het niet.
1:29
Moderne cloud apps kunnen je via Entra ID laten aanmelden, maar oudere Windows apps verwachten hetzelfde type domein als in de serverruimte.
1:36
Aan het einde van deze aflevering zie je waar Entra ID, Active Directory en Entra Domain Services elk passen en er is één detail dat de manier waarop je alles beheert verandert.
1:44
Identiteitsinformatie reist slechts in één richting.
1:47
Waarom Entra ID alleen niet elke legacy-app kan draaien?
1:50
Laten we beginnen met wat Entra ID goed doet.
1:53
Het is de receptie voor je clouddiensten.
1:54
Het weet wie je bent, controleert je aanmelding en beslist of je toegang krijgt tot Microsoft 365, Teams, SharePoint of een zakelijke app in de cloud.
2:02
Je meldt je eenmalig aan en wisselt vervolgens tussen diensten zonder telkens opnieuw je wachtwoord in te voeren.
2:06
Dat is single sign-on.
2:07
Entra ID kan ook vragen om een tweede controle via multifactor-authenticatie, kijk naar het apparaat dat je gebruikt, waar je vandaan inlogt en de toegangsregels van je bedrijf.
2:17
Voor een moderne app werkt dat patroon heel goed.
2:19
Je opent een browser, de app stuurt je door naar Entra ID, je meldt je aan, keurt eventueel een verzoek op je telefoon goed en dan stuurt Entra ID op de achtergrond een beveiligd aanmeldbericht naar de app.
2:28
De app leest dat bericht en geeft je toegang.
2:30
Bij dit patroon is een domeinkoppeling niet nodig, komt er geen oude Windows-server aan te pas en hoeft de app geen klassieke bedrijfsmap te doorzoeken.
2:37
Maar oudere apps zijn opgegroeid in een andere wereld.
2:39
Stel je een financiële app voor die al jaren op een Windows-server draait, waarbij gebruikers inloggen vanaf computers die aan een domein zijn gekoppeld.
2:45
De app zoekt werknemers gegevens op via LDAP, een gebruikelijke manier voor oudere software om een bedrijfsmap te doorzoeken.
2:50
Misschien gebruikt het Kerberos, een oudere Windows-inlog-methode waarmee systemen elkaar kunnen vertrouwen.
2:55
Misschien is het afhankelijk van groepsbeleid, de reeks bedrijfsregels die instellingen op Windows-computers kunnen beheren.
3:00
Die app weet niet hoe hij een modern inlogbericht uit de cloud moet lezen.
3:03
Hij verwacht via het netwerk verbinding te maken en een traditioneel Windows-domein te vinden.
3:07
En als hij er geen kan vinden, kan de app gebruikers niet inloggen, een service-account niet vinden of simpelweg weigeren op te starten.
3:12
Je hebt dit patroon waarschijnlijk ook buiten de IT gezien.
3:15
Een nieuw stopcontact helpt niet als de stekker van een oude machine niet past.
3:18
De stroom is aanwezig, maar de aansluiting is verkeerd.
3:21
Stel je nu voor dat het bedrijf die financiële app en de database ervan verplaatst naar virtuele Azure-machines.
3:25
De servers zijn verhuisd, maar de oude behoefte niet.
3:27
Je zou Active Directory op kantoor kunnen laten staan en Azure ermee kunnen verbinden via een VPN, een privé-tunnel door het netwerk.
3:33
Dus de app in Azure verstuurt verzoeken over die verbinding wanneer hij het domein nodig heeft.
3:37
Dat kan werken, maar de app is nu afhankelijk van de netwerkverbinding en de beschikbaarheid van de on-premises domeincontroller.
3:42
En als die verbinding een probleem heeft, kan de cloud-app ook een probleem hebben.
3:46
Een andere keuze is om je eigen virtuele domeincontroller machines in Azure te maken.
3:50
Een controller is de server die het traditionele Active Directory domein draait en de map inloggegevens en andere domeintaken beheert.
3:55
Dat werkt ook, maar nu heeft je team meer servers in beheer.
3:58
Iemand moet ze patchen en monitoren.
4:00
Je hebt backups nodig, herstelplannen, een plan om domingcontrollers synchroon te houden en je moet de krachtige beheerdersaccounts beschermen die het domein controleren.
4:07
Voor sommige bedrijven is die controle logisch.
4:09
Voor anderen is het extra werk alleen maar om een oudere app tevreden te houden.
4:13
Dus, de kloof is vrij smal, maar wel echt.
4:15
Een app woont in Azure, maar spreekt nog steeds de oude Active Directory taal.
4:19
Wat Microsoft Entra Domain Services in feite is, Microsoft Entra Domain Services is een beheerd Windows domein dat binnen je Azure netwerk draait.
4:26
Dat is de eenvoudige definitie.
4:28
De domingcontrollers draaien op de achtergrond en worden volledig door Microsoft beheerd,
4:32
terwijl uw Azure virtuele machines en oudere apps de vertrouwde doming services gebruiken die ze verwachten.
4:36
Zie uw cloudconfiguratie als een kantoorgebouw.
4:38
Entra ID is de receptie bij de ingang.
4:40
Het controleert wie u bent wanneer u zich aanmeldt bij Microsoft 365 of een andere cloud-app en past de bedrijfsregels toe op die aanmelding.
4:46
Entra Domain Services bevindt zich in een afgesloten kantoorruimte aan de achterkant.
4:49
Oudere systemen hoeven niet langs die receptie te gaan zoals een moderne cloud-app dat doet.
4:53
Zij hebben een klassieke directory in de buurt nodig, een die hun taal begrijpt en hun verzoeken kan beantwoorden.
4:57
Die kantoorruimte aan de achterkant is het beheerde domein.
5:00
Het punt is, u hoeft de domingcontrollers niet zelf te bouwen.
5:02
U meldt zich er niet op aan met extern bureaublad.
5:05
U bepaalt niet hoeveel er draaien, u hoeft Windows niet te patchen en de verbinding ertussen niet te beheren.
5:08
Microsoft zorgt voor dat alles.
5:10
Uw taak is om de juiste Azure virtuele machines en apps te verbinden met het beheerde domein.
5:14
Zodra ze verbonden zijn, kunnen ze vertrouwde Active Directory Services gebruiken.
5:18
Een Windows VM kan lid worden van het domein en een oudere app kan LDAP gebruiken om personen, groepen en directory gegevens op te zoeken.
5:23
Het kan Kerberos gebruiken, de aanmeldmethode die oudere bedrijfsapps vaak verwachten wanneer de ene server de andere moet vertrouwen.
5:29
Het kan ook een TLM gebruiken, een andere oudere Windows aanmeldmethode die sommige apps nog steeds nodig hebben.
5:33
Het beheerde domein biedt ook DNS, wat systemen helpt de juiste server te vinden op naam in plaats van op een reeks getallen.
5:39
En het ondersteunt groepsbeleid, zodat u bepaalde Windows instellingen kunt toepassen op computers en gebruikers in dat beheerde domein.
5:44
Die lijst klinkt technisch, dat weet ik.
5:46
Zie het in plaats daarvan als een vertaalbalie.
5:49
Uw app vraagt in de oude Windows taal, wie is deze gebruiker?
5:52
Kan deze server die server vertrouwen?
5:54
Waar is de database?
5:55
Welke instellingen moet deze computer gebruiken?
5:58
Entra Domain Services begrijpt die vragen en geeft het type antwoord dat de app verwacht.
6:01
Maar het creëert geen tweede hoofdlijst met werknemers.
6:04
Het hoofddossier van identiteiten blijft in Entra ID staan.
6:07
Gebruikers en groepen uit Entra ID worden gekopieerd naar het beheerde domein,
6:10
zodat de oudere app ze kan zien en gebruiken in de vorm die hij begrijpt.
6:13
Als uw bedrijf ook een on-premises Active Directory heeft,
6:15
kunnen identiteiten daarvandaan al Entra ID bereiken voordat ze worden gekopieerd naar Domain Services.
6:19
Richting is hier van belang.
6:21
Identiteitsgegevens stromen in Entra Domain Services.
6:23
Ze stromen niet terug naar buiten.
6:24
Dus, als een gebruiker uit Entra ID komt, beheert u die gebruiker in Entra ID.
6:28
Als de gebruiker oorspronkelijk uit uw on-premises Active Directory komt, beheert u de gebruiker daar.
6:33
Je gebruikt Domain Services niet als de plek om het hoofdpersoneels dossier te bewerken.
6:37
Zo voorkom je dat het beheerde domein een tweede archiefkast wordt met verschillende versies van dezelfde persoon.
6:41
Nu is er één onderdeel waar veel mensen tijdens de configuratie tegenaan lopen, wachtwoorden.
6:45
Moderne cloud-ameldingen en oudere Windows-ameldingen gebruiken wachtwoorden achter de schermen niet op precies dezelfde manier.
6:50
Om Kerberos en een TLM te laten werken,
6:51
heeft Domain Services een beveiligde vorm van wachtwoordgegevens nodig die die oudere methoden ondersteunt.
6:55
Microsoft slaat je wachtwoord nooit op als platte tekst.
6:58
In plaats daarvan heeft de service de juiste beveiligde wachtwoordinformatie nodig voordat een gebruiker kan inloggen op een VM in het domein of een oudere app via het beheerde domein.
7:06
Voor gebruikers die alleen in de cloud werken, betekent dit vaak dat de gebruiker zijn wachtwoord moet wijzigen nadat Domain Services is ingeschakeld.
7:12
Die wachtwoordwijziging creëert de beveiligde vorm die nodig is voor het beheerde domein.
7:15
Totdat dat gebeurt, kan de gebruiker prima inloggen op Microsoft 365, maar toch falen bij het gebruik van het domein in oude stijl.
7:22
Dat kan in het begin vreemd aanvoelen.
7:24
De gebruiker heeft al een account, het wachtwoord werkt al, maar de legacy app kan het toch niet gebruiken.
7:28
Het ontbrekende stukje is niet het gebruikersaccount.
7:31
Het is de beveiligde wachtwoordvorm die vereist is voor die oudere aanmeldingsmethode.
7:34
Domain Services heeft ook een duidelijke grens waarbinnen het werkt.
7:37
Het draait binnen een virtueel Azure netwerk, vaak een VNet genoemd.
7:41
Je Azure VM's hebben netwerktoegang tot dat VNet nodig en ze moeten de DNS-instelling van het beheerde domein gebruiken om het te kunnen vinden.
7:47
Dit is geen openbare directory die elk apparaat op internet kan bereiken.
7:50
Het is een privé-domainservice voor workloads die verbonden zijn met het juiste Azure-netwerk.
7:54
Dus wanneer een app oud Active Directory gedrag nodig heeft in Azure, liet Domain Services een beheerde plek om dat gedrag te vinden.
8:00
Dat brengt ons bij de volgende vraag.
8:02
Waar past dit naast Entra ID en je bestaande Active Directory domein?
8:05
De namen klinken vergelijkbaar, maar hun taken zijn heel verschillend.
8:09
Entra ID Active Directory and Domain Services
8:12
Verschillende taken.
8:13
De namen liggen dicht bij elkaar, dus het is makkelijk om dit als verschillende versies van hetzelfde product te zien.
8:17
Dat zijn ze niet.
8:18
Elk verwerkt een ander onderdeel van het identiteitsplaatje van je bedrijf en zodra je ziet wat de taak van elk is, wordt de keuze veel duidelijker.
8:24
Entra ID beheert cloud-identiteit.
8:26
Wanneer je Microsoft 365, Teams, SharePoint of een moderne zakelijke app opent, controleert Entra ID je aanmelding en regelt het wat je kunt openen.
8:33
Het ondersteunt ook meervoudige verificatie- en toegangsregels, zoals het vragen om een strengere aanmeldingscontrole wanneer je vanaf een onbekend apparaat werkt.
8:40
Het is gebouwd voor cloud-services.
8:42
Een moderne app hoeft niet op hetzelfde netwerk te zitten als Entra ID, omdat deze gebruik maakt van webgebaseerde aanmeldmethode.
8:47
Je meldt je aan via een browser of een app, Entra ID bevestigt wie je bent en de app ontvangt het bewijs dat je toegang hebt.
8:53
Dat is het normale patroon voor nieuwe cloud-apps.
8:55
Active Directory Domain Services, vaak afgekort tot Active Directory, vervult een andere rol.
8:59
Dit is het traditionele Windows-domein dat veel bedrijven in hun eigen kantoren, datacenters of serverruimtes draaien.
9:05
Het bedrijf is eigenaar van de domain controllers, bepaalt hoe ze worden ingesteld en beheert het volledige domein van boven tot onder.
9:10
Het kan Windows-pc's aansturen, lokale servers ondersteunen en de oudere aanmeldmethode bieden die langlopende bedrijfsapplicaties verwachten.
9:16
Dat niveau van controle brengt de nodige verantwoordelijkheid met zich mee.
9:19
Je IT-team beheert het domein, onderhoudt de servers en beslist hoe de directory voor het bedrijf moet werken.
9:24
Entra Domain Services bevindt zich tussen die twee werelden in.
9:27
Het biedt Azure Workloads een beheerd Windows-domein wanneer ze ouderwets Active Directory-gedrag vereisen, maar Microsoft beheert de domeincontroller kant ervan.
9:34
Je gebruikt het domein voor Azure VM's en oudere apps zonder zelf de volledige taak van het beheren van een traditioneel Active Directory-domein op je te nemen.
9:41
Zie het als een archiefkastsysteem.
9:42
Entra ID bevat het belangrijkste werknemersdossier voor cloudwerk.
9:46
Dat is waar het bedrijf de werkbestanden bijhoudt die worden gebruikt voor Microsoft 365 en moderne cloud-aanmeldingen.
9:51
Domain Services geeft oudere Azure-apps een compatibele kopie van de gegevens die ze nodig hebben.
9:55
Die apps kunnen de vertrouwde archiefkast openen en gebruikers, groepen en inloggegevens vinden in de oude indeling die ze begrijpen.
10:01
Je hoeft de app niet opnieuw op te bouwen alleen omdat deze naar Azure is verhuisd.
10:04
Een cloud-only bedrijf kan deze opzet ook gebruiken.
10:07
Stel je een bedrijf voor dat nog nooit lokale domingcontrollers heeft gebruikt.
10:10
Iedereen meldt zich aan bij Microsoft 365 via Entra ID en het bedrijf gaat Azure VM's gebruiken voor een oudere Windows-app.
10:16
Dat bedrijf hoeft geen on-premises Active Directory-domein op te zetten enkel voor die ene app.
10:21
In plaats daarvan kan het Entra Domain Services gebruiken voor de Azure VM's die domeingedrag vereisen, terwijl de rest van het bedrijf Entra ID blijft gebruiken voor regulier cloudwerk.
10:28
Een hybride bedrijf heeft een ander vertrekpunt.
10:30
Het draait wellicht al Active Directory op kantoor met gebruikers en groepen die worden gesynchroniseerd naar Entra ID.
10:35
Die personen kunnen vervolgens verschijnen in Entra Domain Services voor workloads die in Azure draaien.
10:39
De stroom ziet er als volgt uit.
10:41
De bestaande Active Directory van het bedrijf stuurt identiteitsgegevens naar Entra ID en Entra ID levert de compatibele kopie aan Domain Services.
10:48
Dat betekent niet dat Domain Services het oorspronkelijke on-premises domein vervangt.
10:52
Het kantoor heeft mogelijk nog een eigen Active Directory-domein nodig voor lokale PC's, lokale servers, fabrieksystemen of applicaties die op locatie blijven.
10:59
Domain Services regelt alleen het Azure-gedeelte waar beheerd domeingedrag van de oude stijl past bij de werklast.
11:04
En het verandert Entra ID ook niet in een volledige Active Directory.
11:07
Entra ID blijft een cloud-identiteitsdienst.
11:10
Domain Services voegt een beheerd domein toe voor bepaalde oudere behoeften, maar biedt niet elke optie en elk controleniveau dat je hebt als je zelf Active Directory beheert.
11:19
Stel je dus drie afzonderlijke taken voor.
11:21
Entra ID regelt moderne cloud-aanholdingen.
11:23
Active Directory beheert het Windows-domein dat jouw bedrijf zelf draait.
11:26
Entra Domain Services regelt verouderde Azure-werklasten die nog een Windows-domein nodig hebben, zonder dat je zelf de domingcontrollers hoeft te beheren.
11:33
Je kunt een veel betere vraag stellen.
11:36
Wanneer past Domain Services bij de werklast en wanneer moet je iets anders kiezen?
11:40
Wanneer Domain Services past en wanneer niet?
11:42
Begin bij de app, niet bij de productnaam.
11:45
Als een oudere app LDAP gebruikt, een oude taal voor het controleren van gebruikersnamen en wachtwoorden, en je verplaatst deze naar Azure, dan kan Domain Services uitstekend passen.
11:52
De app blijft gebruiken wat hij al begrijpt zonder dat een volledige herschrijving nodig is.
11:56
Dat is belangrijk als de app nog werkt, het bedrijf hem nodig heeft en het herschrijven van de aanmeldcode te veel tijd of geld zou kosten.
12:01
Een ander veelvoorkomend scenario is dat een groep Azure virtuele machines zich moet gedragen als normale domingcomputers.
12:06
Medewerkers moeten zich wellicht met hun werkaccount aanmelden bij Windows.
12:09
Een service heeft mogelijk een serviceaccount nodig, een account dat een app gebruikt om verbinding te maken met een ander systeem, zoals een database.
12:15
Mogelijk heb je groepsbeleid nodig om bedrijfsinstellingen toe te passen op die virtuele machines.
12:18
In die gevallen geeft Domain Services de Azure machines het domeingedrag dat ze verwachten.
12:23
Remote Desktop Services past hier ook bij.
12:25
Stel je medewerkers voor die verbinding maken met gedeelde Windows Desktops of apps in Azure.
12:29
Die systemen zijn vaak afhankelijk van een Windows domein voor gebruikersaanmelding en computerbeheer.
12:33
Domain Services biedt die dominglaag zonder dat jouw team vanaf nul virtuele machines voor domingcontrollers hoeft op te bouwen.
12:39
Oudere apps bestaan vaak uit meer dan één onderdeel.
12:41
Er is wellicht een webserver aan de voorkant, een appserver in het midden en een database aan de achterkant.
12:45
De appserver moet zijn identiteit bewijzen voordat de database een verbinding accepteert.
12:49
Wanneer dat vertrouwen gebaseerd is op Windows Service Accounts, houdt Domain Services die verbindingen in stand na de verplaatsing.
12:55
Het punt is, jouw team krijgt het oudere domeingedrag dat de werklast vereist,
12:59
terwijl Microsoft het werk aan de domeincontroller afhandelt dat anders op jouw serverlijst zou staan.
13:04
Maar kies Domain Services niet alleen omdat je Azure gebruikt.
13:07
Een nieuwe cloudapp moet direct inloggen via Entra ID.
13:10
Als de app moderne inlogmethoden ondersteunt, stuurt deze gebruikers door naar Entra ID,
13:14
ontvangt een bewijs van de aanmelding en profiteert van cloudtoegangsregels en meervoudige verificatie.
13:18
Dat is de meest schone weg voor nieuwe software.
13:21
Domain Services helpt een app die de oude taal spreekt.
13:24
Dat is geen reden om nieuwe apps die oude taal aan te leren.
13:26
Er zijn ook strikte limieten die je eerst moet controleren.
13:29
Sommige apps lezen niet alleen uit Active Directory, ze schrijven er ook naar terug.
13:33
Een app wil bijvoorbeeld directory vermeldingen aanmaken of wijzigen als onderdeel van het normale werk.
13:38
Domain Services is niet geschikt wanneer de app LDAP schrijftoegang vereist.
13:42
Dezelfde waarschuwing geldt als een app het Active Directory schema moet wijzigen,
13:45
de zet velden die bepaalt wat de directory kan opslaan.
13:48
Sommige oudere software vraagt je om eigen velden toe te voegen voordat het programma draait.
13:52
Een beheerd domein staat niet toe dat je dat onderliggende ontwerp wijzigt.
13:55
Je moet ook even stilstaan als je 10 volledige controle over het domein zelf nodig heeft.
13:58
Misschien heb je directe toegang nodig tot domingcontrollers.
14:01
Misschien heb je domeinbeheerdersrechten nodig die zeer ruime controle bieden.
14:04
Of misschien heb je een complex directory ontwerp nodig dat je op je eigen manier wilt opbouwen en beheren.
14:08
Dat wijst richting het zelfdraaien van Active Directory, on-premises of op virtuele machines in Azure.
14:14
Domain Services geeft je bewust minder controle omdat Microsoft de kerndomeinservice beheert.
14:18
Stel jezelf dus één eenvoudige vraag voordat je een pad kiest.
14:21
Heeft deze workload de oude Active Directory taal nodig of kan deze het moderne Entra ID spreken?
14:26
Als het moderne Entra ID gebruikt kan worden, begin daar dan.
14:28
Als het oud domein gedrag vereist, maar je niet elk onderdeel van het domein hoeft te bezitten, dan kan domainservices heel goed passen.
14:34
En als de app de directory moet herschrijven, het schema moet wijzigen of je 10 totale domeincontrole moet geven, heeft het een andere plek nodig.
14:40
Kiezen voor een beheerd domein betekent een afweging maken.
14:43
Microsoft zorgt voor de domingcontrollers en jij geeft een deel van de controle op die je hebt bij zelfbeheer.
14:48
De afwegingen voor beheerde services die je moet kennen.
14:51
Die beheerde aanpak scheelt werk, maar verandert ook wat je IT-team kan beheren.
14:55
Microsoft beheert de domingcontrollers, houdt ze gesynchroniseerd, past patches toe en regelt de beschikbaarheid op de achtergrond.
15:00
U hoeft niet te plannen waar elke domeincontroller staat of er een te herstellen na een server-storing.
15:05
Daarom kiezen veel teams hiervoor, maar je kunt niet via extern bureaublad inloggen op die domingcontrollers en je krijgt geen domein- of enterprise-beheerdersrechten,
15:12
omdat die controle zouden geven over de onderdelen die Microsoft beheert.
15:15
In plaats daarvan biedt Microsoft een groep genaamd Entradomein Services Administrators.
15:19
Plaats de mensen die het domein moeten beheren in die groep en gebruik vervolgens een beheervirtuele machine die is gekoppeld aan het beheerde domein.
15:25
Vanaf die machine kun je vertrouwde Active Directory tools gebruiken om te beheren wat Microsoft toestaat.
15:29
Je kunt bijvoorbeeld je eigen organisatieeenheden of OU's maken. Zie ze als mappen voor domeinobjecten zoals computers of service accounts.
15:36
Je kunt DNS records beheren en groepsbeleid maken en toepassen voor ondersteunde instellingen.
15:41
Je kunt ook de computers beheren die lid worden van het domein, wat vaak de hoofdreden is dat de dienst bestaat.
15:45
Deze beperkingen zijn bewust aangebracht.
15:47
Je kunt geen extra domeincontrollers toevoegen, het Active Directory schema wijzigen of het beheerde domein beschouwen als een plek waar wijzigingen terugvloeien naar Entra ID.
15:54
Beheer gebruikers en groepen daarom in de Brondirectory. Voor een bedrijf dat alleen de cloud gebruikt, is die bron Entra ID.
16:00
Voor een hybride bedrijf is het de On-Premises Active Directory die synchroniseert met Entra ID.
16:05
Deze regel voorkomt een fout die we vaak zien.
16:07
Iemand ziet een gebruiker in het beheerde domein en wijzigt deze daar in de veronderstelling dat dit definitief is.
16:11
Maar die wijziging wordt niet het bedrijfsrecord in Entra ID of de On-Premises Active Directory.
16:16
Hou het beheerde domein privé binnen Azure netwerken.
16:19
Het moet alleen de workloads ondersteunen die het nodig hebben en niet een algemene bedrijfsdirectory worden.
16:23
Beperkt netwerk toegang, beveiligt de beheermachine en geeft alleen beheerdersrechten aan mensen die dat nodig hebben.
16:29
Je kiest voor een dienst met vangrails.
16:30
Die vangrails nemen wat werk uit handen en voorkomen tegelijkertijd dat je onderdelen wijzigt die eigendom zijn van Microsoft.
16:36
Een eenvoudig Azure migratie verhaal.
16:38
Stel je een financieel bedrijf voordat een oude app draait op servers in hun eigen kantoor.
16:42
Die app vertrouwt op LDAP om werknemers te vinden.
16:44
Het gebruikt Kerberos wanneer mensen zich aanmelden.
16:46
En de server verifieert met een serviceaccount om de financiële database te bereiken.
16:50
Het bedrijf wil zowel de app als de database verplaatsen naar Azure virtuele machines.
16:54
Een optie is om de app via een VPN verbonden te houden met het kantoordomein, maar dan is de Azure app elke dag afhankelijk van die netwerkverbinding en de lokale domingcontrollers.
17:02
Een andere optie is het draaien van nieuwe virtuele machines voor domingcontrollers in Azure.
17:06
Dat houdt meer verkeer binnen Azure, maar voegt Windows servers toe die het IT-team moet patchen, monitoren, backuppen en herstellen.
17:12
Het team kiest een andere weg.
17:13
Hun gebruikers en groepen synchroniseren al naar Entra ID.
17:16
Ze schakelen Entra Domain Services in, koppelen het virtuele Azure netwerk.