Partage via

Préparer Active Directory pour le déploiement Azure Local version 23H2

  • Article

S’applique à : Azure Local 2311.2 et les versions ultérieures

Cet article explique comment préparer votre environnement Active Directory avant de déployer Azure Local version 23H2.

Les exigences d’Active Directory pour Azure Local sont les suivantes :

  • Unité d’organisation dédiée (UO).
  • Héritage de stratégie de groupe bloqué pour l’objet de stratégie de groupe applicable.
  • Un compte d’utilisateur disposant de tous les droits relatifs à l’unité d’organisation dans Active Directory.
  • Les machines ne doivent pas être jointes à Active Directory avant le déploiement.

Remarque

  • Vous pouvez utiliser votre processus existant pour répondre aux exigences ci-dessus. Le script utilisé dans cet article est facultatif et est fourni pour simplifier la préparation.
  • Lorsque l'héritage des stratégies de groupe est bloqué au niveau de l'OU, les GPO dont l'option exécutée est activée ne sont pas bloquées Le cas échéant, assurez-vous que ces GPO sont bloqués par d'autres méthodes, par exemple à l'aide d'un filtre WMI (Windows Management Instrumentation). Appliquez le filtre WMI à toutes les GPO appliquées, afin d'exclure les comptes d'ordinateur machine de vos instances Azure Local de l'application des GPO. Une fois le filtre appliqué, les GPO imposées ne s'appliqueront pas, selon la logique définie dans le filtre WMI.

Pour affecter manuellement les autorisations requises pour Active Directory, créez une unité d’organisation et bloquez l’héritage des objets de stratégie de groupe, consultez la configuration d’Active Directory personnalisée pour votre instance Azure Local, version 23H2.

Prérequis

  • Remplissez les conditions préalables pour les nouveaux déploiements d’Azure Local.

  • Installez la version 2402 du module « AsHciADArtifactsPreCreationTool ». Exécutez la commande suivante pour installer le module à partir de PowerShell Gallery :

    Install-Module AsHciADArtifactsPreCreationTool -Repository PSGallery -Force

    Remarque

    Veillez à désinstaller toutes les versions précédentes du module avant d’installer la nouvelle version.

  • Vous avez besoin d’autorisations pour créer une unité organisationnelle. Si vous n’avez pas d’autorisations, contactez votre administrateur Active Directory.

  • Si vous disposez d’un pare-feu entre votre système local Azure et Active Directory, vérifiez que les règles de pare-feu appropriées sont configurées. Pour obtenir des conseils spécifiques, consultez les exigences de pare-feu pour les services web Active Directory et le service de gestion de passerelle Active Directory. Consultez également Comment configurer un pare-feu pour les domaines et approbations Active Directory.

Module de préparation Active Directory

L’applet New-HciAdObjectsPreCreation de commande du module PowerShell AsHciADArtifactsPreCreationTool est utilisée pour préparer Active Directory pour les déploiements locaux Azure. Voici les paramètres requis associés à l’applet de commande :

Paramètre Description
-AzureStackLCMUserCredential Objet utilisateur créé avec les autorisations appropriées pour le déploiement. Ce compte est identique au compte d’utilisateur utilisé par le déploiement local Azure.
Assurez-vous que seul le nom d’utilisateur est fourni. Le nom ne doit pas inclure le nom de domaine, par exemple, contoso\username.
Le mot de passe doit être conforme aux exigences de longueur et de complexité. Utilisez un mot de passe d’au moins 12 caractères. Le mot de passe doit également contenir trois des quatre exigences : un caractère minuscule, un caractère majuscule, un chiffre et un caractère spécial.
Pour plus d’informations, consultez les exigences de complexité du mot de passe.
Le nom ne peut pas être exactement identique à celui de l’utilisateur administrateur local.
Le nom peut utiliser l’administrateur comme nom d’utilisateur.
-AsHciOUName Nouvelle unité d’organisation (UO) pour stocker tous les objets du déploiement local Azure. Les stratégies de groupe et l’héritage existants sont bloquées dans cette unité d’organisation pour s’assurer qu’il n’existe aucun conflit de paramètres. L’unité d’organisation doit être spécifiée en tant que nom unique (DN). Pour plus d’informations, consultez le format des noms uniques.

Remarque

  • Le -AsHciOUName chemin d’accès ne prend pas en charge les caractères spéciaux suivants n’importe où dans le chemin d’accès : &,",',<,>.
  • Une fois le déploiement terminé, le déplacement des objets ordinateur vers une unité d’organisation différente n’est pas pris en charge.

Préparation du système Active Directory

Lorsque vous préparez Active Directory, vous créez une unité d’organisation dédiée pour placer les objets locaux Azure tels que l’utilisateur de déploiement.

Pour créer une unité d’organisation dédiée, procédez comme suit :

  1. Connectez-vous à un ordinateur joint à votre domaine Active Directory.

  2. Démarrez PowerShell en tant qu'administrateur.

  3. Exécutez la commande suivante pour créer l’unité d’organisation dédiée.

    New-HciAdObjectsPreCreation -AzureStackLCMUserCredential (Get-Credential) -AsHciOUName "<OU name or distinguished name including the domain components>"

  4. Lorsque vous y êtes invité, indiquez le nom d’utilisateur et le mot de passe du déploiement.

    1. Assurez-vous que seul le nom d’utilisateur est fourni. Le nom ne doit pas inclure le nom de domaine, par exemple, contoso\username. Le nom d’utilisateur doit comporter entre 1 et 64 caractères et contenir uniquement des lettres, des chiffres, des traits d’union et des traits de soulignement et ne peut pas commencer par un trait d’union ou un nombre.
    2. Assurez-vous que le mot de passe répond aux exigences de complexité et de longueur. Utilisez un mot de passe d’au moins 12 caractères et contient : un caractère minuscule, un caractère majuscule, un chiffre et un caractère spécial.

    Voici un exemple de sortie à partir d’une exécution réussie du script :

    PS C:\work> $password = ConvertTo-SecureString '<password>' -AsPlainText -Force
PS C:\work> $user = "ms309deployuser"
PS C:\work> $credential = New-Object System.Management.Automation.PSCredential ($user, $password)
PS C:\work> New-HciAdObjectsPreCreation -AzureStackLCMUserCredential $credential -AsHciOUName "OU=ms309,DC=PLab8,DC=nttest,DC=microsoft,DC=com"    
PS C:\work>

  5. Vérifiez que l’unité d’organisation est créée. Si vous utilisez un client Windows Server, accédez à Gestionnaire de serveur > Outils > Utilisateurs et ordinateurs Active Directory.

  6. Une unité d’organisation portant le nom spécifié est créée. Cette OU contient le nouveau compte utilisateur de déploiement du LCM.

    Capture d’écran de la fenêtre Ordinateurs et utilisateurs Active Directory.

Remarque

Si vous réparez un seul ordinateur, ne supprimez pas l’unité d’organisation existante. Si les volumes de l’ordinateur sont chiffrés, la suppression de l’unité d’organisation supprime les clés de récupération BitLocker.

Considérations relatives aux déploiements à grande échelle

Le compte d’utilisateur Lifecycle Manager (LCM) est utilisé pendant les déploiements d’instances locales Azure qui utilisent Active Directory (AD) ou pour toutes les opérations de réparation/de nœud de complément pour les instances existantes. Le compte d’utilisateur LCM est chargé d’effectuer des actions de jointure de domaine, ce qui nécessite que l’identité de l’utilisateur LCM dispose d’autorisations déléguées pour ajouter des comptes d’ordinateur à l’unité d’organisation cible dans le domaine local. Pendant le déploiement d’Azure Local, le compte d’utilisateur LCM est ajouté au groupe d’administrateurs locaux des machines physiques.

Pour atténuer le risque de compromission des informations d’identification d’un compte utilisateur LCM, nous vous conseillons de disposer, pour chaque instance locale Azure, d’un compte utilisateur LCM dédié avec un mot de passe unique.

Nous vous recommandons de suivre ces bonnes pratiques pour la création de l’unité d’organisation :

  • Pour chaque instance locale Azure, créez une unité d’organisation individuelle dans Active Directory. Cette approche permet de gérer les comptes d’ordinateur, CNO, compte d’utilisateur LCM et comptes d’ordinateurs physiques dans l’étendue d’une unité d’organisation unique pour chaque instance.
  • Lors du déploiement de plusieurs instances à grande échelle, pour faciliter la gestion :
    • Créez une OU sous une OU parent unique pour chaque instance.
    • Désactivez l'héritage des GPO au niveau de l'OU parent.

Les recommandations précédentes sont automatisées lorsque vous utilisez la cmdlet New-HciAdObjectsPreCreation pour préparer Active Directory.

Étapes suivantes