Esegui il deployment di una foresta di Active Directory su Compute Engine

Last reviewed 2024-07-11 UTC

Questo documento descrive come eseguire il deployment di una foresta di Active Directory Compute Engine in modo conforme alle best practice descritto in Best practice per l'esecuzione di Active Directory su Google Cloud.

Questa guida è rivolta agli amministratori e ai DevOps Engineer. Si parte dal presupposto che hai una solida conoscenza di Active Directory e una conoscenza di base Networking e sicurezza di Google Cloud.

Architettura

Il deployment è costituito da due progetti:

• Un progetto host che contiene un VPC condiviso una zona di inoltro DNS privato, e regole firewall per Active Directory.
• Un progetto di servizio che contiene due controller di dominio il cui deployment viene eseguito in due zone.

Questa architettura consente di:

• Esegui il deployment di carichi di lavoro Windows aggiuntivi in progetti separati e consenti loro di utilizzare Rete VPC condiviso e foresta di Active Directory.
• Integra la foresta di Active Directory con una foresta on-premise esistente per implementare il pattern risorsa-foresta.

Nota: questa guida descrive come eseguire il deployment di una foresta di Active Directory per cui personalmente i controller di dominio. Valuta la possibilità di utilizzare Managed AD per eseguire il deployment una foresta di Active Directory completamente gestita, a meno che alcuni dei requisiti non possano può essere gestito utilizzando Managed AD.

Prima di iniziare

Per seguire le istruzioni di questa guida, assicurati di disporre di quanto segue:

• Intervalli CIDR subnet per due subnet:

  • Subnet dei controller di dominio: Questa subnet contiene i controller di dominio. L'utilizzo di una subnet dedicata per i controller di dominio il traffico del controller di dominio proveniente da altro traffico del server quando gestisci il firewall o l'analisi dei log di rete.

    Consigliamo un intervallo CIDR di subnet con dimensioni pari a /28 o /29.

  • Subnet risorsa. Questa subnet contiene server e amministrazioni di lavoro. Utilizza un intervallo CIDR di subnet abbastanza grande da ospitare a tutti i server di cui prevedi di eseguire il deployment.

  Assicurati che le subnet non si sovrappongano ad alcuna subnet on-premise e consenti con margini di crescita sufficienti.

• Un nome di dominio DNS e un nome di dominio NetBIOS per la foresta di Active Directory nel dominio principale. Per ulteriori informazioni sulla scelta di un nome, vedi Convenzioni di denominazione di Microsoft.

Esegui il deployment di una rete condivisa

In questa sezione creerai un nuovo progetto e lo userai per eseguire il deployment di un VPC condiviso in ogni rete. In seguito, utilizzerai questa rete per eseguire il deployment del dominio Active Directory controller.

Crea un progetto

Ora puoi creare un nuovo progetto e utilizzarlo per eseguire il deployment di un VPC condiviso in ogni rete.

1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Go to project selector

2. Assicurati che la fatturazione sia attivata per il tuo progetto Google Cloud.

3. Abilita le API Compute Engine and Cloud DNS.

   Abilita le API

Per ottenere le autorizzazioni necessarie per eseguire il deployment di una rete condivisa, chiedi all'amministratore di concederti seguenti ruoli IAM nel progetto o nella cartella principale:

• Amministratore rete Compute (roles/compute.networkAdmin)
• Amministratore sicurezza Compute (roles/compute.securityAdmin)
• Amministratore VPC condiviso Compute (roles/compute.xpnAdmin)
• Amministratore DNS (roles/dns.admin)

Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite la ruoli o altri ruoli predefiniti ruoli.

Elimina il VPC predefinito

Per impostazione predefinita, Compute Engine crea una rete predefinita in ogni nuovo progetto che crei. Questa rete è configurata in modalità automatica, Ciò significa che una subnet viene preallocata per ogni regione e viene assegnata automaticamente un intervallo CIDR.

In questa sezione, sostituirai questa rete VPC con una modalità personalizzata che contiene due subnet e che utilizza intervalli CIDR personalizzati.

1. Nella console Google Cloud, apri Cloud Shell.

   Attiva Cloud Shell

2. Avviare PowerShell:

   pwsh
   

3. Configura gcloud CLI per utilizzare il nuovo progetto:

   gcloud config set project PROJECT_ID
   

   Sostituisci PROJECT_ID con l'ID del tuo progetto.

4. Elimina tutte le regole firewall associate al VPC predefinito:

   $ProjectId = gcloud config get-value core/project
   & gcloud compute firewall-rules list `
     --filter "network=default" `
     --format "value(name)" |
     % { gcloud compute firewall-rules delete --quiet $_ --project $ProjectId }
   

5. Elimina il VPC predefinito:

   & gcloud compute networks list --format "value(name)" |
     % { gcloud compute networks delete $_ --quiet }
   

Crea una rete VPC in modalità personalizzata

Ora crei una modalità personalizzata. rete VPC nel progetto host VPC.

1. In PowerShell, inizializza le seguenti variabili:

   $VpcName = "VPC_NAME"
   $Region = "REGION"
   $SubnetRangeDomainControllers = "DC_CIDR"
   $SubnetRangeResources = "RESOURCES_CIDR"
   

   Sostituisci quanto segue:

   • VPC_NAME: il nome del VPC.
   • REGION: la regione in cui eseguire il deployment di Active Directory controller di dominio.
   • DC_CIDR: l'intervallo di subnet da utilizzare per la subnet dei controller di dominio.
   • RESOURCES_CIDR: l'intervallo di subnet da utilizzare per la subnet della risorsa.

   Esempio:

   $VpcName = "ad"
   $Region = "us-central1"
   $SubnetRangeDomainControllers = "10.0.0.0/28"
   $SubnetRangeResources = "10.0.1.0/24"
   

2. Crea il VPC e configuralo per utilizzarlo come VPC condiviso rete:

   $ProjectId = gcloud config get-value core/project
   & gcloud compute networks create $VpcName --subnet-mode custom
   & gcloud compute shared-vpc enable $ProjectId
   

3. Crea le subnet e abilita l'accesso privato Google per consentire a Windows di attivarsi senza accesso a internet.

   & gcloud compute networks subnets create domain-controllers `
     --network $VpcName `
     --range $SubnetRangeDomainControllers `
     --region $Region `
     --enable-private-ip-google-access
   
   & gcloud compute networks subnets create resources `
     --network $VpcName `
     --range $SubnetRangeResources `
     --region $Region `
     --enable-private-ip-google-access
   

Esegui il deployment di subnet e regole firewall

Ora puoi creare regole firewall per consentire la comunicazione Active Directory all'interno del VPC.

1. Consenti connessioni RDP a tutte le istanze VM tramite inoltro TCP di Cloud IAP:

   & gcloud compute firewall-rules create allow-rdp-ingress-from-iap `
     --direction INGRESS `
     --action allow `
     --rules tcp:3389 `
     --enable-logging `
     --source-ranges 35.235.240.0/20 `
     --network $VpcName `
     --priority 10000
   

2. Consenti query DNS da Cloud DNS ai controller di dominio.

   & gcloud compute firewall-rules create allow-dns-ingress-from-clouddns `
     --direction INGRESS `
     --action=allow `
     --rules udp:53,tcp:53 `
     --enable-logging `
     --source-ranges 35.199.192.0/19 `
     --target-tags ad-domaincontroller `
     --network $VpcName `
     --priority 10000
   

   Questa regola firewall è necessaria per il funzionamento della zona di forwarding del DNS privato.

3. Consenti la replica di Active Directory tra controller di dominio:

   & gcloud compute firewall-rules create allow-replication-between-addc `
     --direction INGRESS `
     --action allow `
     --rules "icmp,tcp:53,udp:53,tcp:88,udp:88,udp:123,tcp:135,tcp:389,udp:389,tcp:445,udp:445,tcp:49152-65535" `
     --enable-logging `
     --source-tags ad-domaincontroller `
     --target-tags ad-domaincontroller `
     --network $VpcName `
     --priority 10000
   

4. Consenti gli accessi ad Active Directory dalle VM nella subnet delle risorse a controller di dominio:

   & gcloud compute firewall-rules create allow-logon-ingress-to-addc `
     --direction INGRESS `
     --action allow `
     --rules "icmp,tcp:53,udp:53,tcp:88,udp:88,udp:123,tcp:135,tcp:389,udp:389,tcp:445,udp:445,tcp:464,udp:464,tcp:3268,udp:3268,tcp:9389,tcp:49152-65535" `
     --enable-logging `
     --source-ranges $SubnetRangeResources `
     --target-tags ad-domaincontroller `
     --network $VpcName `
     --priority 10000
   

5. Se prevedi di configurare LDAP sicuro, consenti le connessioni Secure LDAP dalle VM che si trovano nella subnet delle risorse ai controller di dominio:

   & gcloud compute firewall-rules create allow-ldaps-ingress-to-addc `
     --direction INGRESS `
     --action allow `
     --rules tcp:636 `
     --enable-logging `
     --source-ranges $SubnetRangeResources `
     --target-tags ad-domaincontroller `
     --network $VpcName `
     --priority 10000
   

   Questa regola firewall è necessaria solo se prevedi di configurare LDAP sicuro.

6. (Facoltativo) Crea una regola firewall che registri tutti i tentativi di accesso non riusciti. La log possono essere utili per diagnosticare i problemi di connettività, ma potrebbero generare un volume significativo di dati di log.

   & gcloud compute firewall-rules create deny-ingress-from-all `
     --direction INGRESS `
     --action deny `
     --rules tcp:0-65535,udp:0-65535 `
     --enable-logging `
     --source-ranges 0.0.0.0/0 `
     --network $VpcName `
     --priority 65000
   

Eseguire il deployment della foresta di Active Directory

In questa sezione, creerai un nuovo progetto di servizio e lo collegherai al VPC condiviso che hai creato in precedenza. Puoi quindi utilizzare il progetto di servizio eseguire il deployment di una nuova foresta di Active Directory con due controller di dominio.

Crea un progetto

Ora devi creare un nuovo progetto e utilizzarlo per eseguire il deployment del dominio Active Directory le VM controller.

1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Go to project selector

2. Assicurati che la fatturazione sia attivata per il tuo progetto Google Cloud.

3. Abilita le API Compute Engine and Secret Manager.

   Abilita le API

Per ottenere le autorizzazioni necessarie per eseguire il deployment della foresta di Active Directory, chiedi all'amministratore di concederti seguenti ruoli IAM sul progetto:

• Amministratore istanze Compute (v1) (roles/compute.instanceAdmin.v1)
• Amministratore account di servizio (roles/iam.serviceAccountAdmin)
• Utente account di servizio (roles/iam.serviceAccountUser)
• Amministratore Secret Manager (roles/secretmanager.admin)
• Utente del tunnel con protezione IAP (roles/iap.tunnelResourceAccessor)

Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite la ruoli o altri ruoli predefiniti ruoli.

prepara la configurazione

Il passaggio successivo consiste nel preparare la configurazione per il deployment di Active Directory.

1. Se hai già chiuso la sessione PowerShell, apri Cloud Shell.

   Attiva Cloud Shell

2. Avviare PowerShell:

   pwsh
   

3. Configura gcloud CLI per utilizzare il nuovo progetto:

   gcloud config set project DC_PROJECT_ID
   

   Sostituisci DC_PROJECT_ID con l'ID del tuo progetto.

4. Utilizza PowerShell per creare le seguenti variabili:

   $AdDnsDomain = "DNS_DOMAIN"
   $AdNetbiosDomain = "NETBIOS_DOMAIN"
   $VpcProjectId = "VPCHOST_PROJECT_ID"
   $VpcName = "VPC_NAME"
   $Region = "REGION"
   $Zones = "REGION-a", "REGION-b"
   

   Sostituisci quanto segue:

   • DNS_DOMAIN: il nome del dominio principale della foresta Foresta di Active Directory, ad esempio cloud.example.com.
   • NETBIOS_DOMAIN: il nome di dominio NetBIOS per dominio principale della foresta, ad esempio CLOUD.
   • VPCHOST_PROJECT_ID: l'ID progetto del il progetto host VPC che hai creato in precedenza.
   • VPC_NAME: nome della rete VPC condiviso creata in precedenza.
   • REGION: regione in cui eseguire il deployment di Active Directory controller di dominio. Nota che i nomi delle zone sono basati sulla della regione specificata. Puoi estendere il VPC e il tuo dominio per coprire regioni aggiuntive in qualsiasi momento.

   Esempio:

   $AdDnsDomain = "cloud.example.com"
   $AdNetbiosDomain = "CLOUD"
   $VpcProjectId = "vpc-project-123"
   $VpcName = "ad"
   $Region = "us-west1"
   $Zones = "us-west1-a", "us-west1-b"
   

Crea una zona di forwarding DNS privata

Ora prenoti due indirizzi IP statici per i controller di dominio e crei un zona di inoltro DNS privato che inoltra tutte le query DNS per il dominio Active Directory a questi indirizzi IP.

1. Collega il progetto alla rete VPC condiviso:

   $ProjectId = gcloud config get-value core/project
   & gcloud compute shared-vpc associated-projects add $ProjectId --host-project $VpcProjectId
   

2. Riserva due indirizzi IP interni statici nella subnet del controller di dominio:

   $AddressOfDc1 = gcloud compute addresses create dc-1 `
     --region $Region `
     --subnet "projects/$VpcProjectId/regions/$Region/subnetworks/domain-controllers" `
     --format value`(address`)
   $AddressOfDc2 = gcloud compute addresses create dc-2 `
     --region $Region `
     --subnet "projects/$VpcProjectId/regions/$Region/subnetworks/domain-controllers" `
     --format value`(address`)
   

3. Creare una zona di forwarding privata di Cloud DNS nel progetto host VPC e configurare la zona per inoltrare le query DNS al due indirizzi IP riservati:

   & gcloud dns managed-zones create $AdDnsDomain.Replace(".", "-") `
     --project $VpcProjectId `
     --dns-name $AdDnsDomain `
     --description "Active Directory forwarding zone" `
     --networks $VpcName `
     --visibility private `
     --forwarding-targets "$AddressOfDc1,$AddressOfDc2"
   

Creare una password DSRM

Ora definisci la modalità di ripristino dei servizi directory (DSRM). e la archiviamo in Secret Manager. Tu quindi concedi alle VM del controller di dominio l'accesso temporaneo a questo secret utilizzabile per il deployment della foresta di Active Directory.

1. Genera una password casuale e memorizzala in un secret di Secret Manager:

   # Generate a random password.
   $DsrmPassword = [Guid]::NewGuid().ToString()+"-"+[Guid]::NewGuid().ToString()
   
   $TempFile = New-TemporaryFile
   Set-Content $TempFile "$DsrmPassword" -NoNewLine
   & gcloud secrets create ad-password --data-file $TempFile
   Remove-Item $TempFile
   

2. Crea l'account di servizio per le istanze VM del controller di dominio:

   $DcServiceAccount = gcloud iam service-accounts create ad-domaincontroller `
     --display-name "AD Domain Controller" `
     --format "value(email)"
   

3. Concedi all'account di servizio l'autorizzazione a leggere il secret per la prossima ora:

   $Expiry = [DateTime]::UtcNow.AddHours(1).ToString("o")
   & gcloud secrets add-iam-policy-binding ad-password `
     --member=serviceAccount:$($DcServiceAccount) `
     --role=roles/secretmanager.secretAccessor `
     --condition="title=Expires after 1h,expression=request.time < timestamp('$Expiry')"
   

Deployment di controller di dominio

Ora esegui il deployment di due istanze VM, crei una nuova foresta di Active Directory dominio. Per ridurre al minimo il numero di passaggi manuali, puoi utilizzare script di avvio.

1. In PowerShell, esegui questo comando per generare uno script di avvio:

   '
   $ErrorActionPreference = "Stop"
   
   #
   # Only run the script if the VM is not a domain controller already.
   #
   if ((Get-CimInstance -ClassName Win32_OperatingSystem).ProductType -eq 2) {
       exit
   }
   
   #
   # Read configuration from metadata.
   #
   Import-Module "${Env:ProgramFiles}\Google\Compute Engine\sysprep\gce_base.psm1"
   
   $ActiveDirectoryDnsDomain     = Get-MetaData -Property "attributes/ActiveDirectoryDnsDomain" -instance_only
   $ActiveDirectoryNetbiosDomain = Get-MetaData -Property "attributes/ActiveDirectoryNetbiosDomain" -instance_only
   $ActiveDirectoryFirstDc       = Get-MetaData -Property "attributes/ActiveDirectoryFirstDc" -instance_only
   $ProjectId                    = Get-MetaData -Property "project-id" -project_only
   $Hostname                     = Get-MetaData -Property "hostname" -instance_only
   $AccessToken                  = (Get-MetaData -Property "service-accounts/default/token" | ConvertFrom-Json).access_token
   
   #
   # Read the DSRM password from secret manager.
   #
   $Secret = (Invoke-RestMethod `
       -Headers @{
           "Metadata-Flavor" = "Google";
           "x-goog-user-project" = $ProjectId;
           "Authorization" = "Bearer $AccessToken"} `
       -Uri "https://secretmanager.googleapis.com/v1/projects/$ProjectId/secrets/ad-password/versions/latest:access")
   $DsrmPassword = [System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String($Secret.payload.data))
   $DsrmPassword = ConvertTo-SecureString -AsPlainText $DsrmPassword -force
   
   #
   # Promote.
   #
   Write-Host "Setting administrator password..."
   Set-LocalUser -Name Administrator -Password $DsrmPassword
   
   if ($ActiveDirectoryFirstDc -eq $env:COMPUTERNAME) {
       Write-Host "Creating a new forest $ActiveDirectoryDnsDomain ($ActiveDirectoryNetbiosDomain)..."
       Install-ADDSForest `
           -DomainName $ActiveDirectoryDnsDomain `
           -DomainNetbiosName $DomainNetbiosName `
           -SafeModeAdministratorPassword $DsrmPassword `
           -DomainMode Win2008R2 `
           -ForestMode Win2008R2 `
           -InstallDns `
           -CreateDnsDelegation:$False `
           -NoRebootOnCompletion:$True `
           -Confirm:$false
   }
   else {
       do {
           Write-Host "Waiting for domain to become available..."
           Start-Sleep -s 60
           & ipconfig /flushdns | Out-Null
           & nltest /dsgetdc:$ActiveDirectoryDnsDomain | Out-Null
       } while ($LASTEXITCODE -ne 0)
   
       Write-Host "Adding DC to $ActiveDirectoryDnsDomain ($ActiveDirectoryNetbiosDomain)..."
       Install-ADDSDomainController `
           -DomainName $ActiveDirectoryDnsDomain `
           -SafeModeAdministratorPassword $DsrmPassword `
           -InstallDns `
           -Credential (New-Object System.Management.Automation.PSCredential ("Administrator@$ActiveDirectoryDnsDomain", $DsrmPassword)) `
           -NoRebootOnCompletion:$true  `
           -Confirm:$false
   }
   
   #
   # Configure DNS.
   #
   Write-Host "Configuring DNS settings..."
   Get-Netadapter| Disable-NetAdapterBinding -ComponentID ms_tcpip6
   Set-DnsClientServerAddress  `
       -InterfaceIndex (Get-NetAdapter -Name Ethernet).InterfaceIndex `
       -ServerAddresses 127.0.0.1
   
   #
   # Enable LSA protection.
   #
   New-ItemProperty `
       -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" `
       -Name "RunAsPPL" `
       -Value 1 `
       -PropertyType DWord
   
   Write-Host "Restarting to apply all settings..."
   Restart-Computer
   ' | Out-File dc-startup.ps1 -Encoding ASCII
   

   Lo script esegue queste operazioni:

   • Leggere la password DSRM da Secret Manager.
   • Promuovere la VM a controller di dominio.
   • Configura le impostazioni DNS in modo che ogni controller di dominio utilizza l'indirizzo di loopback come server DNS.
   • Disattiva IPv6.
   • Attiva la protezione LSA.

2. Crea un'istanza VM per il primo controller di dominio:

   $Subnet = "projects/$VpcProjectId/regions/$Region/subnetworks/domain-controllers"
   $Metadata = `
     "ActiveDirectoryDnsDomain=$AdDnsDomain",
     "ActiveDirectoryNetbiosDomain=$AdNetbiosDomain",
     "ActiveDirectoryFirstDc=dc-1",
     "sysprep-specialize-script-ps1=Install-WindowsFeature AD-Domain-Services; Install-WindowsFeature DNS",
     "disable-account-manager=true" -join ","
   
   & gcloud compute instances create dc-1  `
     --image-family windows-2022 `
     --image-project windows-cloud `
     --machine-type n2-standard-8 `
     --tags ad-domaincontroller `
     --metadata "$Metadata" `
     --metadata-from-file windows-startup-script-ps1=dc-startup.ps1 `
     --no-address `
     --network-interface "no-address,private-network-ip=$AddressOfDc1,subnet=$Subnet" `
     --service-account $DcServiceAccount `
     --scopes cloud-platform `
     --zone $Zones[0] `
     --shielded-integrity-monitoring `
     --shielded-secure-boot `
     --shielded-vtpm `
     --deletion-protection
   

   Questo comando esegue le seguenti operazioni:

   • Crea una schermata VM Windows Server 2022.
   • Assegna l'account di servizio ad-domaincontroller alla VM in modo che possono accedere alla password DSRM.
   • Configura l'agente ospite per disattivare l'account manager. Per maggiori informazioni informazioni sulla configurazione dell'agente guest, consulta Attivazione e disattivazione delle funzionalità delle istanze Windows.
   • Consenti alla VM di installare le funzionalità Windows AD-Domain-Services e DNS durante la fase di specializzazione di sysprep.
   • Consenti alla VM di eseguire lo script di avvio che hai creato in precedenza.

3. crea un'altra istanza VM per il secondo controller di dominio e posizionala in un'altra zona:

   & gcloud compute instances create dc-2  `
     --image-family windows-2022 `
     --image-project windows-cloud `
     --machine-type n2-standard-8 `
     --tags ad-domaincontroller `
     --metadata "$Metadata" `
     --metadata-from-file windows-startup-script-ps1=dc-startup.ps1 `
     --no-address `
     --network-interface "no-address,private-network-ip=$AddressOfDc2,subnet=$Subnet" `
     --service-account $DcServiceAccount `
     --scopes cloud-platform `
     --zone $Zones[1] `
     --shielded-integrity-monitoring `
     --shielded-secure-boot `
     --shielded-vtpm `
     --deletion-protection
   

4. Per monitorare il processo di inizializzazione del primo controller di dominio, visualizza l'output della porta seriale:

   & gcloud compute instances tail-serial-port-output dc-1 --zone $Zones[0]
   

   Attendi circa 10 minuti finché non viene visualizzato il messaggio Restarting to apply all settings.... quindi premi Ctrl+C.

5. Monitora il processo di inizializzazione del secondo controller di dominio visualizzando l'output della porta seriale:

   & gcloud compute instances tail-serial-port-output dc-2 --zone $Zones[1]
   

   Attendi circa 10 minuti finché non viene visualizzato il messaggio Restarting to apply all settings.... quindi premi Ctrl+C.

La foresta e il dominio di Active Directory sono ora pronti per l'uso.

Connettersi a un controller di dominio

Ora puoi personalizzare la foresta di Active Directory connettendoti a uno dei i controller di dominio.

1. In PowerShell, accedi alla password per l'utente Administrator:

   gcloud secrets versions access latest --secret ad-password
   

2. Connettiti a dc-1 tramite RDP e accedi come utente Administrator.

   Poiché l'istanza VM non ha indirizzi IP pubblici, devi connetterti mediante l'inoltro TCP di Identity-Aware Proxy.

Passaggi successivi

• Scopri di più su per l'utilizzo di Active Directory in un ambiente ibrido.
• Configura Active Directory per consentire alle VM di aggiungere automaticamente un dominio.
• Scopri di più sull'utilizzo di Active Directory tra i firewall.