Crie uma confiança com um domínio local

Nesta página, mostramos como criar uma relação de confiança entre domínios locais e um serviço gerenciado para domínio do Microsoft Active Directory. Essa confiança pode ser unidirecional ou múltipla. Também pode abranger várias florestas. Se você já configurou uma confiança, veja como gerenciar confianças.

O Microsoft AD gerenciado é compatível com o tipo de confiança de floresta, mas não com tipos de confiança externa, realm e de atalho.

Tipos de confiança

Uma relação de confiança pode ser unidirecional ou bidirecional. Uma relação de confiança unidirecional é um caminho de autenticação unidirecional criado entre dois domínios. Neste tópico, o domínio local é o lado confiável ou recebido da confiança unidirecional, e o domínio gerenciado do Microsoft AD é o trusting ou outbound do relacionamento. Uma confiança bidirecional é um caminho de autenticação bidirecional criado entre dois domínios. Fluxo de confiança e acesso nas duas direções.

Antes de começar

Antes de criar uma relação de confiança, siga estas etapas:

Verifique se o domínio local está executando uma versão compatível do Windows.
Reúna os endereços IP dos servidores DNS que se aplicam ao domínio no local.

Estabelecer conectividade de rede

Estabeleça a conectividade de rede entre a rede local e a nuvem privada virtual (VPC) do Google Cloud e, em seguida, verifique se as duas redes podem se comunicar. Para mais informações sobre como identificar e estabelecer conexões do Cloud VPN, consulte Visão geral do Cloud VPN.

Abrir portas de firewall

Configure as portas de entrada/saída na rede local e na VPC do Google Cloud para permitir a conectividade de confiança do Active Directory.

As tabelas a seguir listam o conjunto mínimo de portas necessárias para estabelecer a confiança. Talvez seja necessário configurar mais portas, dependendo do cenário. Para mais informações, consulte os Requisitos de porta do Active Directory e do Active Directory Domain Services da Microsoft.

Abrir portas de firewall de rede no local

Abra as portas listadas na tabela a seguir no firewall local para o bloco IP CIDR usado pela rede VPC e pela rede do Managed Microsoft AD.

Protocolo	Porta	Funcionalidade
TCP, UDP	53	DNS
TCP, UDP	88	Kerberos
TCP, UDP	464	Alteração de senha do Kerberos
TCP	135	RPC
TCP	49152-65535	RPC
TCP, UDP	389	LDAP
TCP, UDP	445	SMB

Abrir portas de firewall da rede VPC

Abra as portas listadas na tabela a seguir no firewall da rede VPC para o bloco de IP CIDR usado pela rede local.

Protocolo	Porta	Funcionalidade
TCP, UDP	53	DNS

Configurar encaminhadores condicionais de DNS

Depois de abrir as portas de firewall, configure os encaminhadores condicionais de DNS. Essas configurações permitem dar dicas para encaminhar solicitações sem solução a diferentes servidores DNS.

Verificar se há uma política de encaminhamento de entrada

Antes de criar uma política de encaminhamento de entrada do Cloud DNS para sua VPC, verifique se existe alguma.

Abra a página de políticas de servidor do Cloud DNS no console do Google Cloud.
Abra a página "Cloud DNS"
Procure uma política na lista em que a coluna Entrada esteja definida como Ativado, e a rede VPC usada pelo seu domínio esteja listada no menu suspenso na coluna Em uso.

Se você encontrar uma política atual, pule para Receber endereços IP do DNS.

Criar uma política de encaminhamento de entrada

Para criar uma política de encaminhamento de entrada, siga estas etapas:

Abra a página de políticas de servidor do Cloud DNS no console do Google Cloud.
Abra a página "Cloud DNS"
Selecione Criar política.
Digite um Nome.
Defina o Encaminhamento de consulta de entrada como Ativado.
Selecione a rede VPC do seu domínio no menu Redes.
Selecione Criar.

Receber endereços IP do DNS

Depois de criar uma política de encaminhamento de entrada, consiga os endereços IP DNS do seu domínio do Microsoft AD gerenciado. Se você acabou de criar uma nova política do Cloud DNS, talvez os endereços IP ainda não apareçam. Se isso acontecer, aguarde alguns minutos e tente novamente.

Abra a página de políticas de servidor do Cloud DNS no console do Google Cloud.
Abra a página "Cloud DNS"
Selecione sua política na lista e selecione a guia Em uso por.
Anote todos os endereços IP DNS do domínio do Microsoft AD gerenciado que você precisa configurar no domínio local. Você precisa desses endereços para estabelecer a confiança com o domínio do Microsoft AD gerenciado.

Verifique se os blocos CIDR que contêm esses endereços IP estão configurados no firewall de rede local.

Criar encaminhador condicional de DNS

Para configurar os encaminhadores condicionais de DNS no seu domínio local, use os endereços IP de DNS do seu domínio Managed Microsoft AD para concluir as etapas a seguir.

Faça logon em um controlador de domínio local com uma conta de administrador de Domínio ou de Empresa para o domínio local.
Abra o Gerenciador de DNS.
Expanda o servidor DNS do domínio para o qual você quer configurar a relação de confiança.
Clique com o botão direito do mouse em Encaminhamentos condicionais e selecione Novo encaminhador condicional.
Para Domínio DNS, digite o FQDN do domínio do Managed Microsoft AD (por exemplo, ad.example.com).
No campo Endereços IP dos servidores mestre, insira os endereços IP DNS do domínio do Microsoft AD gerenciado que você anotou anteriormente na etapa Receber endereços IP do DNS.
Se o campo FQDN do servidor mostrar um erro, você poderá ignorá-lo.
Selecione Armazenar este encaminhador condicional no Active Directory e selecione Todos os servidores DNS neste domínio no menu suspenso.
Selecione OK.

Verificar o encaminhador condicional de DNS

É possível verificar se o encaminhador está configurado corretamente usando o nslookup ou o cmdlet Resolve-DnsName PowerShell. Execute este comando:

nslookup FQDN

Substitua FQDN pelo nome de domínio totalmente qualificado do seu domínio do Microsoft AD gerenciado.

Se o encaminhador condicional do DNS estiver configurado corretamente, esse comando retornará os endereços IP dos controladores de domínio.

Verifique a política de segurança local do seu domínio local

A criação de uma relação de confiança requer que a Política de Segurança Local do seu domínio local permita acesso anônimo aos pipes nomeados netlogon, samr e lsarpc. Para verificar se o acesso anônimo está ativado, execute as etapas a seguir:

Faça logon em um controlador de domínio local com uma conta de administrador de Domínio ou de Empresa para o domínio local.
Abra o console de Política de Segurança Local.
No console, vá para Configurações de segurança > Políticas locais > Opções de segurança > Acesso à rede: pipes nomeados que podem ser acessados anonimamente.
Verifique se o acesso anônimo a netlogon, samr e lsarpc está ativado. Eles precisam ser especificados em linhas separadas, e não separados por vírgula.

Configurar confiança

Depois de configurar suas redes, crie uma relação de confiança entre o domínio local e o domínio do Managed Microsoft AD.

Configurar o domínio local

Para estabelecer a confiança no domínio local, siga estas etapas:

Faça logon em um controlador de domínio local usando uma conta de administrador de Domínio ou de Empresa.
Abra Domínios e relações de confiança do Active Directory.
Clique com o botão direito do mouse no domínio e selecione Propriedades.
Na guia Confiável, selecione Nova.
Selecione Próxima no assistente de nova confiança.
Digite o FQDN do domínio do Managed Microsoft AD como Nome da relação de confiança.
Para o Tipo de relação de confiança, selecione Relação de confiança na floresta.
Defina a Direção da confiança.
- Para criar uma confiança unidirecional, selecione Entrada unidirecional..
- Para criar uma confiança em duas vias, selecione Mão dupla.
Para Lados da relação de confiança, selecione Somente este domínio.
Para Nível de autenticação da relação de confiança de saída, selecione Autenticação em toda a floresta.
Digite a Senha de confiança.

Você precisa dessa senha para configurar a confiança no domínio do Microsoft AD gerenciado.
Confirme as configurações de confiança e selecione Próxima.
A janela Criação completa da relação de confiança é exibida.
Selecione Não confirmar a confiança de saída e selecione Próxima.
Selecione Não confirmar a confiança recebida e selecione Próxima.
Na caixa de diálogo Como preencher o assistente para uma nova relação de confiança, selecione Concluir.
Roteamento de sufixo de nome de atualização para a confiança.

Configurar o domínio do Microsoft AD gerenciado

Para estabelecer a confiança no domínio do Microsoft AD gerenciado, conclua as seguintes etapas:

Console

Abra a página do Microsoft AD gerenciado no console do Google Cloud.
Abrir a página Managed Microsoft AD
Selecione o domínio em que você quer criar uma confiança e selecione Create Trust.
Defina Tipo de relação de confiança como Floresta.
Em Nome de domínio de destino, insira o FQDN do domínio local.
Defina a Direção da confiança.
- Para criar uma confiança unidirecional, selecione Saída.
- Para criar uma confiança bidirecional, selecione Bidirecional.
Digite a senha da relação de confiança que você criou ao configurar a relação de confiança no domínio local.
Em IPs do encaminhador condicional de DNS, insira os endereços IP de DNS locais que você coletou anteriormente.
Selecione Criar relação de confiança.
Você retornará à página do domínio. Sua nova confiança deve aparecer como Criando. Aguarde até que o estado mude para Conectado. A configuração pode levar até 10 minutos para ser concluída.

gcloud

Para criar uma confiança unidirecional, execute o seguinte comando da CLI gcloud:

gcloud active-directory domains trusts create DOMAIN \
    --target-dns-ip-addresses=TARGET_DNS_IP_ADDRESSES \
    --target-domain-name=TARGET_DOMAIN_NAME \
    --direction=OUTBOUND

Substitua:

DOMAIN: o FQDN do domínio gerenciado do Microsoft AD.
TARGET_DNS_IP_ADDRESSES: os endereços IP do DNS local que você coletou anteriormente.
TARGET_DOMAIN_NAME: o FQDN do domínio local.

Para criar uma confiança bidirecional, execute o seguinte comando da CLI gcloud:

gcloud active-directory domains trusts create DOMAIN \
    --target-dns-ip-addresses=TARGET_DNS_IP_ADDRESSES \
    --target-domain-name=TARGET_DOMAIN_NAME \
    --direction=BIDIRECTIONAL

Para mais informações, consulte o comando create.

Validar confiança bidirecional

Depois de configurar o domínio gerenciado do Microsoft AD para uma confiança bidirecional, você precisa validar a confiança de saída do domínio local. Se você estiver criando uma confiança unidirecional, pule esta etapa.

Para verificar a confiança de saída, siga estas etapas:

Faça login em um controlador de domínio local usando uma conta de administrador do domínio ou da empresa.
Abra Domínios e relações de confiança do Active Directory.
Clique com o botão direito do mouse no seu domínio e selecione Propriedades.
Na guia Confiança, selecione a confiança de saída para o domínio gerenciado do Microsoft AD.
Selecione Propriedades.
Na guia Geral, selecione Validar.

Resolver problemas

Se você encontrar problemas ao tentar criar uma confiança, teste nossas dicas de solução de problemas.

A seguir

Saiba como gerenciar uma relação de confiança.
Saiba como solucionar problemas de acesso a uma relação de confiança.