En esta página se describen las distintas opciones para conectarse a un dominio del servicio gestionado para Microsoft Active Directory.
Conectarse a una VM de Windows unida a un dominio con RDP
Puedes conectarte a tu dominio con el protocolo de escritorio remoto (RDP). Por motivos de seguridad, no puedes usar RDP para conectarte directamente a un controlador de dominio. En su lugar, puedes usar RDP para conectarte a una instancia de Compute Engine y, a continuación, usar las herramientas de gestión de AD estándar para trabajar de forma remota con tu dominio de AD.
Después de unir tu máquina virtual Windows a un dominio, puedes usar RDP en la consola de Google Cloud para conectarte a tu máquina virtual Windows unida al dominio y gestionar tus objetos de Active Directory.
Solucionar problemas de conexiones RDP
Si tienes problemas para conectarte a tu instancia de Windows con RDP, consulta el artículo Solución de problemas de RDP para obtener consejos y enfoques para solucionar problemas comunes de RDP.
Resolver problemas de Kerberos
Si intentas usar Kerberos para tu conexión RDP, pero se vuelve a NTLM, es posible que tu configuración no cumpla los requisitos necesarios.
Para conectarse a una máquina virtual unida a un servicio gestionado de Microsoft AD mediante RDP y Kerberos, el cliente RDP necesita un ticket emitido para el servidor de destino. Para obtener este ticket, el cliente debe poder hacer lo siguiente:
- Determina el nombre principal del servicio (SPN) del servidor. En el caso de RDP, el SPN se deriva del nombre DNS del servidor.
- Ponte en contacto con el controlador de dominio del dominio al que se ha unido la estación de trabajo del cliente y solicita un ticket para ese SPN.
Para asegurarte de que el cliente pueda determinar el SPN, añade un SPN basado en IP al objeto de equipo del servidor en AD.
Para asegurarte de que el cliente puede encontrar el controlador de dominio adecuado al que contactar, debes realizar una de las siguientes tareas:
- Crea una relación de confianza con tu dominio de AD local. Más información sobre cómo crear y gestionar relaciones de confianza
- Conéctate desde una estación de trabajo unida a un dominio mediante Cloud VPN o Cloud Interconnect.
Conectarse a una VM de Linux unida a un dominio
En esta sección se enumeran algunas de las opciones de código abierto para gestionar la interoperación de Active Directory con Linux. Consulta cómo unir una máquina virtual Linux a un dominio de Microsoft AD gestionado.
System Security Services Daemon (SSSD) unido directamente a Active Directory
Puedes usar el daemon de servicios de seguridad del sistema (SSSD) para gestionar la interoperación de Active Directory. Ten en cuenta que SSSD no admite relaciones de confianza entre bosques. Consulta información sobre SSSD.
Winbind
Puedes usar Winbind para gestionar la interoperación de Active Directory. Usa llamadas a procedimientos remotos de Microsoft (MSRPCs) para interactuar con Active Directory, que es similar a un cliente de Windows. Winbind admite relaciones de confianza entre bosques. Consulta información sobre Winbind.
OpenLDAP
OpenLDAP es un conjunto de aplicaciones LDAP. Algunos proveedores externos han desarrollado herramientas de interoperación de Active Directory propietarias basadas en OpenLDAP. Consulta información sobre OpenLDAP.
Conectarse a un dominio mediante una relación de confianza
Si creas una relación de confianza entre tu dominio on-premise y tu dominio de Microsoft AD gestionado, puedes acceder a tus recursos de AD en Google Cloudcomo si estuvieran en tu dominio on-premise. Consulta cómo crear y gestionar relaciones de confianza en Managed Microsoft AD.
Conectarse a un dominio con productos de conectividad híbrida
Puedes conectarte a tu dominio de Microsoft AD gestionado con productos de Google Cloud conectividad híbrida, como Cloud VPN o Cloud Interconnect. Puedes configurar la conexión desde tu red local u otra red a una red autorizada de un dominio de Microsoft AD gestionado.
Antes de empezar
Une tu VM de Windows o tu VM de Linux al dominio de Microsoft AD gestionado.
Conexión mediante el nombre de dominio
Recomendamos conectarse a un controlador de dominio mediante su nombre de dominio en lugar de su dirección IP, ya que Managed Microsoft AD no proporciona direcciones IP estáticas. Con el nombre de dominio, el proceso de localización de controladores de dominio de Active Directory puede encontrar el controlador de dominio por ti, aunque su dirección IP haya cambiado.
Usar la dirección IP para la resolución de DNS
Si usas la dirección IP para conectarte a un dominio, puedes crear una política de DNS entrante en tu red VPC para que pueda usar los mismos servicios de resolución de nombres que el servicio gestionado de Microsoft AD. Microsoft AD gestionado usa Cloud DNS para proporcionar resolución de nombres al dominio de Microsoft AD gestionado mediante el peering de Cloud DNS.
Para usar la política de DNS entrante, debes configurar tus sistemas o servidores de nombres on-premise para que reenvíen las consultas de DNS a la dirección IP del proxy ubicada en la misma región que el túnel de Cloud VPN o la vinculación de VLAN que conecta tu red on-premise con tu red de VPC. Consulte cómo crear una política de servidor entrante.
Usar emparejamientos
Managed Microsoft AD no admite el peering anidado, por lo que solo las redes que tengan autorización directa para Active Directory pueden acceder al dominio. Los peers de la red autorizada no pueden acceder al dominio de Microsoft AD gestionado.