教程：为 Microsoft Entra 域服务托管域配置虚拟网络
为了给用户和应用程序提供连接，已在 Azure 虚拟网络子网中部署了一个 Microsoft Entra 域服务托管域。 此虚拟网络子网应该仅供 Azure 平台提供的托管域资源使用。
当你创建自己的 VM 和应用程序时，不应将它们部署到同一个虚拟网络子网中。 应创建应用程序并将其部署到不同的虚拟网络子网，或部署到与域服务虚拟网络对等互连的其他虚拟网络中。
本教程介绍如何创建和配置专用的虚拟网络子网，或者如何将不同的网络对等互连到域服务托管域的虚拟网络。
本教程介绍如何执行下列操作：
- 了解已加入域的资源与域服务之间的虚拟网络连接选项
- 在域服务虚拟网络中创建 IP 地址范围和额外的子网
- 配置与独立于域服务的网络之间的虚拟网络对等互连
如果还没有 Azure 订阅，可以在开始前创建一个帐户。
先决条件
需有以下资源和特权才能完成本教程：
- 一个有效的 Azure 订阅。
- 如果你没有 Azure 订阅，请创建一个帐户。
- 与订阅关联的 Microsoft Entra 租户，可以与本地目录或仅限云的目录同步。
- 需要租户中的应用程序管理员和组管理员 Microsoft Entra 角色才能启用域服务。
- 需要域服务参与者 Azure 角色来创建所需的域服务资源。
- 在 Microsoft Entra 租户中启用和配置的 Microsoft Entra 域服务托管域。
- 如果需要，请参考第一篇教程创建并配置 Microsoft Entra 域服务托管域。
登录 Microsoft Entra 管理中心
在本教程中，你将使用 Microsoft Entra 管理中心创建和配置托管域。 若要开始操作，请先登录到 Microsoft Entra 管理中心。
应用程序工作负荷连接选项
在上一篇教程中，我们已创建一个托管域，该托管域对虚拟网络使用了一些默认的配置选项。 这些默认选项创建了一个 Azure 虚拟网络和虚拟网络子网。 提供托管域服务的域服务域控制器已连接到此虚拟网络子网。
创建并运行需要使用托管域的 VM 时，需要提供网络连接。 可通过以下方式之一提供此网络连接：
- 在托管域的虚拟网络中创建额外的虚拟网络子网。 将在此额外子网中创建和连接 VM。
- 由于这些 VM 位于同一虚拟网络中，它们可以自动执行名称解析并与域服务域控制器通信。
- 配置从托管域的虚拟网络到一个或多个独立虚拟网络的 Azure 虚拟网络对等互连。 将在这些独立的虚拟网络中创建和连接 VM。
- 配置虚拟网络对等互连时，还必须配置 DNS 设置，以使用名称解析回到域服务域控制器。
通常我们只使用其中的一个网络连接选项。 做出的选择往往取决于如何单独管理 Azure 资源。
- 若要将域服务和连接的 VM 作为一组资源进行管理，可为 VM 额外创建一个虚拟网络子网。
- 若要将域服务和任何连接的 VM 分开管理，可以使用虚拟网络对等互连。
- 还可以选择使用虚拟网络对等互连来与 Azure 环境中已连接到现有虚拟网络的现有 VM 建立连接。
在本教程中，你只需配置其中的一个虚拟网络连接选项。
有关如何规划和配置虚拟网络的详细信息，请参阅 Microsoft Entra 域服务的网络注意事项。
创建虚拟网络子网
默认情况下，使用托管域创建的 Azure 虚拟网络包含单个虚拟网络子网。 此虚拟网络子网应该仅供 Azure 平台用来提供托管域服务。 若要在此 Azure 虚拟网络中创建并使用自己的 VM，请创建额外的子网。
若要为 VM 和应用程序工作负荷创建虚拟网络子网，请完成以下步骤：
在 Microsoft Entra 管理中心，选择托管域的资源组，例如 myResourceGroup。 在资源列表中选择默认的虚拟网络，例如 aadds-vnet。
在虚拟网络窗口的左侧菜单中，选择“地址空间”。 随即会创建带有单个地址空间 10.0.2.0/24（由默认子网使用）的虚拟网络。
将额外的 IP 地址范围添加到该虚拟网络。 此地址范围的大小以及要使用的实际 IP 地址范围取决于已部署的其他网络资源。 该 IP 地址范围不应与 Azure 或本地环境中的任何现有地址范围重叠。 请确保该 IP 地址范围足够大，能够与要部署到子网中的 VM 数量相适应。
在以下示例中，添加了额外的 IP 地址范围 10.0.3.0/24。 准备就绪后，选择“保存”。
接下来，在虚拟网络窗口的左侧菜单中选择“子网”，然后选择“+ 子网”以添加子网。
输入子网的名称，例如 workloads。 如果需要使用在前面步骤中为虚拟网络配置的 IP 地址范围子集，请更新“地址范围”。 暂时对网络安全组、路由表、服务终结点等选项保留默认值。
在以下示例中，创建了名为 workloads、使用 10.0.3.0/24 IP 地址范围的子网：
准备就绪后，选择“确定”。 需要花费片刻时间来创建虚拟网络子网。
创建需要使用托管域的 VM 时，请务必选择此虚拟网络子网。 请不要在默认的 aadds-subnet 中创建 VM。 如果选择其他虚拟网络，则除非配置虚拟网络对等互连，否则将不提供网络连接和 DNS 解析，因此无法连接到托管域。
配置虚拟网络对等互连
你可能已经为 VM 创建了 Azure 虚拟网络，或者希望保持托管域虚拟网络的独立性。 若要使用托管域，其他虚拟网络中的 VM 需要通过某种方式来与域服务域控制器通信。 可以使用 Azure 虚拟网络对等互连来提供此连接。
使用 Azure 虚拟网络对等互连时，两个虚拟网络将连接到一起，而无需使用虚拟专用网络 (VPN) 设备。 使用网络对等互连可以快速连接虚拟网络并定义整个 Azure 环境中的流量流。
有关对等互连的详细信息，请参阅 Azure 虚拟网络对等互连概述。
若要将某个虚拟网络对等互连到托管域虚拟网络，请完成以下步骤：
选择为托管域创建的名为“aadds-vnet”的默认虚拟网络。
在虚拟网络窗口的左侧菜单中，选择“对等互连”。
若要创建对等互连，请选择“+ 添加”。 在以下示例中，默认的 aadds-vnet 已对等互连到名为 myVnet 的虚拟网络。 使用自己的值配置以下设置：
- 从 aadds-vnet 到远程虚拟网络的对等互连的名称：两个网络的描述性标识符，例如 aadds-vnet-myvnet
- 虚拟网络部署类型：资源管理器
- 订阅：要对等互连到的虚拟网络的订阅，例如 Azure
- 虚拟网络：要对等互连到的虚拟网络，例如 myVnet
- 从 myVnet 到 aadds-vnet 的对等互连的名称：两个网络的描述性标识符，例如 myvnet-to-aadds-vnet
除非对环境有特定的要求，否则请对虚拟网络访问或转发流量等任何其他设置保留默认值；然后选择“确定”。
对域服务虚拟网络和所选虚拟网络创建对等互连需要花费片刻时间。 准备就绪后，“对等互连状态”中会报告“已连接”，如以下示例所示：
在对等互连的虚拟网络中的 VM 可以使用托管域之前，请配置 DNS 服务器，以便能够正确进行名称解析。
在对等互连的虚拟网络中配置 DNS 服务器
要使对等互连虚拟网络中的 VM 和应用程序能够成功地与托管域通信，必须更新 DNS 设置。 必须将域服务域控制器的 IP 地址配置为对等互联虚拟网络上的 DNS 服务器。 可通过两种方式将域控制器配置为对等互连虚拟网络的 DNS 服务器：
- 将 Azure 虚拟网络 DNS 服务器配置为使用域服务域控制器。
- 将对等互连虚拟网络中使用的现有 DNS 服务器配置为使用条件 DNS 转发向托管域定向查询。 这些步骤根据所用的现有 DNS 服务器而异。
在本教程中，让我们将 Azure 虚拟网络 DNS 服务器配置为向域服务域控制器定向所有查询。
在 Microsoft Entra 管理中心中，选择对等互连虚拟网络的资源组，例如 myResourceGroup。 在资源列表中选择对等互连的虚拟网络，例如 myVnet。
在虚拟网络窗口的左侧菜单中，选择“DNS 服务器”。
默认情况下，虚拟网络使用 Azure 提供的内置 DNS 服务器。 选择使用“自定义”DNS 服务器。 输入域服务域控制器的 IP 地址，通常是 10.0.2.4 和 10.0.2.5。 在门户上托管域的“概述”窗口中确认这些 IP 地址。
准备就绪后，选择“保存”。 需要花费片刻时间来更新虚拟网络的 DNS 服务器。
若要将更新的 DNS 设置应用到 VM，请重启已连接到对等互连虚拟网络的 VM。
创建需要使用托管域的 VM 时，请务必选择此对等互连的虚拟网络。 如果选择其他虚拟网络，将不提供网络连接和 DNS 解析，因此无法连接到托管域。
后续步骤
在本教程中，你了解了如何执行以下操作：
- 了解已加入域的资源与域服务之间的虚拟网络连接选项
- 在域服务虚拟网络中创建 IP 地址范围和额外的子网
- 配置与独立于域服务的网络之间的虚拟网络对等互连
若要了解此托管域的运作情况，请创建一个虚拟机并将其加入域。