Esegui il deployment di Microsoft AD gestito con accesso tra progetti utilizzando il peering di dominio
Mantieni tutto organizzato con le raccolte
Salva e classifica i contenuti in base alle tue preferenze.
Questo argomento mostra come configurare il peering di dominio tra Managed Service for Microsoft Active Directory (Managed Microsoft AD) e VPC condiviso. In questo modo, puoi rendere disponibile Managed Microsoft AD per i progetti di servizio collegati alla VPC condivisa.
Panoramica
Il peering di dominio in Managed Microsoft AD crea una risorsa di peering di dominio in ogni progetto di risorse di dominio e VPC. Il dominio Microsoft Active Directory gestito può essere reso disponibile a tutti i progetti collegati alla rete VPC condivisa creando un peering di dominio tra Microsoft Active Directory gestito e la rete VPC condivisa. Ad esempio, puoi autenticarti e accedere a SQL Server utilizzando il dominio Microsoft Active Directory gestito, in cui SQL Server e Microsoft Active Directory gestito si trovano in progetti di servizio diversi collegati alla VPC condivisa.
Prima di iniziare
Prima di iniziare, segui questi passaggi:
Nella console Google Cloud, nella pagina di selezione dei progetti, seleziona o crea tre Google Cloud progetti. Si chiamano progetti host e di servizio. Il progetto host è il luogo in cui è abilitata la VPC condivisa. Il dominio Microsoft AD gestito e le istanze Cloud SQL devono trovarsi in progetti di servizi diversi. Le VM potrebbero trovarsi in uno dei progetti di servizio.
Attiva la rete VPC condivisa nel progetto host. Per ulteriori informazioni, vedi Attivare un progetto host.
Collega i progetti di servizio alla rete VPC condivisa. Per ogni progetto è necessario abilitare l'API Compute Engine. Ai fini di questo esempio, consigliamo di creare subnet separate nel VPC condiviso. Durante l'attacco del progetto, scegli la subnet appropriata per ciascuno dei progetti. Per ulteriori informazioni, consulta Collegare i progetti di servizio.
Crea un dominio Microsoft AD gestito nel progetto di servizio. La rete VPC autorizzata durante la creazione del dominio Microsoft AD gestito è indipendente dalle reti VPC condivise. Per creare un dominio Microsoft AD gestito senza una rete autorizzata, utilizza il comando gcloud CLI.
Configurare il peering del dominio
Crea il peering di dominio dal progetto di servizio che ha la risorsa di dominio alla rete VPC condivisa. Per ulteriori informazioni sul peering di dominio, vedi Configurare il peering di dominio.
PEERING-RESOURCE-NAME: un nome per la risorsa di peering del dominio (ad esempio my-domain-peering).
DOMAIN-RESOURCE-NAME: il nome completo della risorsa del tuo
dominio Microsoft AD gestito, nella forma:
projects/PROJECT-ID/locations/global/domains/DOMAIN-NAME.
SHARED-VPC-NAME: il nome completo della risorsa della rete VPC condivisa, nel formato:projects/PROJECT-ID/global/networks/NETWORK-NAME.
Elenca i peering di dominio per verificare lo stato. Esegui il seguente comando gcloud CLI:
gcloud active-directory peerings list --project=PROJECT_ID
Sostituisci PROJECT_ID con l'ID del progetto di servizio utilizzato per creare la risorsa di peering di dominio.
Restituisce lo stato come DISCONNECTED.
Crea il peering di dominio inverso dal progetto host.
PEERING-RESOURCE-NAME: un nome per la risorsa di peering del dominio (ad esempio my-domain-peering).
DOMAIN-RESOURCE-NAME: il nome completo della risorsa del tuo
dominio Microsoft AD gestito, nella forma:
projects/PROJECT-ID/locations/global/domains/DOMAIN-NAME.
SHARED-VPC-NAME: il nome completo della risorsa della rete VPC condivisa, nel formato:projects/PROJECT-ID/global/networks/NETWORK-NAME.
VPC-RESOURCE-PROJECT-ID: l'ID del progetto host che ospita il VPC condiviso.
Elenca di nuovo i peering di dominio per verificare lo stato. Esegui il seguente comando gcloud CLI:
gcloud active-directory peerings list --project=PROJECT_ID
Sostituisci PROJECT_ID con l'ID del progetto di servizio utilizzato per creare la risorsa di peering di dominio.
Restituisce lo stato CONNECTED sia dal progetto host che dal progetto di servizio.
Configura l'istanza Cloud SQL (SQL Server)
Crea l'istanza Cloud SQL (SQL Server) nel progetto di servizio con l'IP privato abilitato e seleziona la rete del VPC condiviso. Per ulteriori informazioni, consulta Creare un'istanza con l'autenticazione Windows.
Al termine del peering dei domini, modifica la configurazione di Cloud SQL (SQL Server) in modo da utilizzare il dominio Microsoft AD gestito per l'autenticazione. Esegui il seguente comando gcloud CLI:
INSTANCE-NAME: il nome dell'istanza Cloud SQL nel progetto di servizio.
DOMAIN-RESOURCE-NAME: il nome della risorsa completo del tuo dominio AD di Microsoft gestito che vuoi utilizzare per l'autenticazione. Formato del nome completo della risorsa:
projects/PROJECT-ID/locations/global/domains/DOMAIN-NAME.
SQL Server è ora configurato con l'autenticazione Windows abilitata.
Testa la configurazione
Crea una VM Windows o Linux nel progetto di servizio. Durante la creazione della VM, seleziona la rete VPC condivisa e la subnet condivisa nella rete VPC condivisa con questo progetto di servizio.
Connettiti utilizzando il nome DNS dell'istanza SQL Server. Per ulteriori informazioni, consulta il passaggio 2 in Connettersi a un'istanza con un utente.
Riepilogo
Hai eseguito il peering di un dominio Microsoft AD gestito con l'host VPC condiviso e hai creato SQL Server nella VPC condivisa. Con questo peering di dominio, l'autenticazione Windows tra progetti è abilitata per SQL Server.
Sebbene nello scenario precedente AD Microsoft gestito e SQL Server si trovino in progetti di servizio diversi, è supportata anche la loro configurazione nello stesso progetto di servizio.
In alternativa, puoi anche avere il dominio Microsoft Active Directory gestito nel progetto host. In questo caso, la VPC condivisa deve essere aggiunta come rete autorizzata al dominio Microsoft AD gestito. Per ulteriori informazioni, vedi Aggiungere reti autorizzate a un dominio esistente.
In tutti questi scenari, tramite il peering con il VPC condiviso, il dominio è disponibile per i progetti di servizio collegati al VPC condiviso.
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2025-09-04 UTC."],[],[],null,["# Deploy Managed Microsoft AD with cross-project access using domain peering\n\nThis topic shows you how to configure domain peering between Managed Service for Microsoft Active Directory (Managed Microsoft AD) and Shared VPC. This allows you to make Managed Microsoft AD available to service projects attached to Shared VPC.\n\nOverview\n--------\n\n[Domain peering](/managed-microsoft-ad/docs/domain-peering) in Managed Microsoft AD creates a domain peering resource in each domain resource and VPC resource projects. Managed Microsoft AD domain can be made available to all the projects attached to the Shared VPC by creating a domain peering between Managed Microsoft AD and Shared VPC. For example, you can authenticate and login to SQL Server using Managed Microsoft AD domain, where SQL Server and Managed Microsoft AD are in different service projects that are attached to the Shared VPC.\n\nBefore you begin\n----------------\n\nBefore you begin, do the following:\n\n1. In the Google Cloud console, on the project selector page, select or create three Google Cloud projects. They are called host and service projects. The host project is where the Shared VPC is enabled. Managed Microsoft AD domain and Cloud SQL instances must reside in different service projects. The VMs could reside in one of the service projects.\n\n [Go to project selector](https://console.cloud.google.com/projectselector2/home/dashboard)\n2. Enable billing for your Cloud project(s). For more information, see [Check if billing is enabled on a project](/billing/docs/how-to/modify-project#confirm_billing_is_enabled_on_a_project).\n\n3. Enable Shared VPC on the host project. For more information, see [Enable a host project](/vpc/docs/provisioning-shared-vpc#enable-shared-vpc-host).\n\n4. Attach the service project(s) to the Shared VPC network. Each of the projects need to have Compute Engine API enabled. For the purpose of this example, we recommend creating separate subnets in the Shared VPC. While attaching the project, choose the appropriate subnet for each of the project(s). For more information, see [Attach service projects](/vpc/docs/provisioning-shared-vpc#create-shared).\n\n5. [Create a Managed Microsoft AD domain](/managed-microsoft-ad/docs/create-domain) in the service project. The VPC network authorized while creating the Managed Microsoft AD domain is independent of the Shared VPC networks. To create a Managed Microsoft AD domain without an authorized network, use the gcloud CLI command.\n\nConfigure domain peering\n------------------------\n\n1. Create domain peering from the service project having the domain resource to the Shared VPC network. For more information about domain peering, see [Configure domain peering](/managed-microsoft-ad/docs/quickstart-domain-peering#configure_domain_peering).\n\n ```\n gcloud active-directory peerings create PEERING-RESOURCE-NAME \\\n --domain=DOMAIN-RESOURCE-NAME \\\n --authorized-network=SHARED-VPC-NAME\n ```\n\n Replace the following:\n - \u003cvar translate=\"no\"\u003ePEERING-RESOURCE-NAME\u003c/var\u003e: A name for your domain peering resource (such as `my-domain-peering`).\n - \u003cvar translate=\"no\"\u003eDOMAIN-RESOURCE-NAME\u003c/var\u003e: The [full resource name](/iam/docs/full-resource-names) of your Managed Microsoft AD domain, in the form of: `projects/`\u003cvar translate=\"no\"\u003ePROJECT-ID\u003c/var\u003e`/locations/global/domains/`\u003cvar translate=\"no\"\u003eDOMAIN-NAME\u003c/var\u003e.\n - \u003cvar translate=\"no\"\u003eSHARED-VPC-NAME\u003c/var\u003e: The [full resource name](/iam/docs/full-resource-names) of your Shared VPC network, in the form of: `projects/`\u003cvar translate=\"no\"\u003ePROJECT-ID\u003c/var\u003e`/global/networks/`\u003cvar translate=\"no\"\u003eNETWORK-NAME\u003c/var\u003e.\n2. List the domain peerings to verify the state. Run the following gcloud CLI command:\n\n ```\n gcloud active-directory peerings list --project=PROJECT_ID\n ```\n\n Replace \u003cvar translate=\"no\"\u003ePROJECT_ID\u003c/var\u003e with the project ID of the service project that is used to create your domain peering resource.\n\n It returns the state as `DISCONNECTED`.\n3. Create the reverse domain peering from the host project.\n\n ```\n gcloud active-directory peerings create PEERING-RESOURCE-NAME \\\n --domain=DOMAIN-RESOURCE-NAME \\\n --authorized-network=SHARED-VPC-NAME \\\n --project=VPC-RESOURCE-PROJECT-ID\n ```\n\n Replace the following:\n - \u003cvar translate=\"no\"\u003ePEERING-RESOURCE-NAME\u003c/var\u003e: A name for your domain peering resource (such as `my-domain-peering`).\n - \u003cvar translate=\"no\"\u003eDOMAIN-RESOURCE-NAME\u003c/var\u003e: The [full resource name](/iam/docs/full-resource-names) of your Managed Microsoft AD domain, in the form of: `projects/`\u003cvar translate=\"no\"\u003ePROJECT-ID\u003c/var\u003e`/locations/global/domains/`\u003cvar translate=\"no\"\u003eDOMAIN-NAME\u003c/var\u003e.\n - \u003cvar translate=\"no\"\u003eSHARED-VPC-NAME\u003c/var\u003e: The [full resource name](/iam/docs/full-resource-names) of your Shared VPC network, in the form of: `projects/`\u003cvar translate=\"no\"\u003ePROJECT-ID\u003c/var\u003e`/global/networks/`\u003cvar translate=\"no\"\u003eNETWORK-NAME\u003c/var\u003e.\n - \u003cvar translate=\"no\"\u003eVPC-RESOURCE-PROJECT-ID\u003c/var\u003e: The project ID of the host project that is hosting the Shared VPC.\n4. List the domain peerings again to verify the state. Run the following gcloud CLI command:\n\n ```\n gcloud active-directory peerings list --project=PROJECT_ID\n ```\n\n Replace \u003cvar translate=\"no\"\u003ePROJECT_ID\u003c/var\u003e with the project ID of the service project that is used to create your domain peering resource.\n\n It returns the state as `CONNECTED` from both the host and service projects.\n\nConfigure the Cloud SQL (SQL Server) instance\n---------------------------------------------\n\n1. Create the Cloud SQL (SQL Server) instance in the service project with Private IP enabled and select the network of the Shared VPC. For more information, see [Create an instance with Windows Authentication](/sql/docs/sqlserver/configure-ad#creating-an-instance-with-windows-authentication).\n\n2. After the domain peering is complete, modify the Cloud SQL (SQL Server) configuration to use your Managed Microsoft AD domain for authentication. Run the following gcloud CLI command:\n\n ```\n gcloud beta sql instances patch INSTANCE-NAME \\\n --active-directory-domain=DOMAIN-RESOURCE-NAME\n ```\n\n Replace the following:\n - \u003cvar translate=\"no\"\u003eINSTANCE-NAME\u003c/var\u003e: The name of your Cloud SQL instance in the service project.\n - \u003cvar translate=\"no\"\u003eDOMAIN-RESOURCE-NAME\u003c/var\u003e: The [full resource name](/iam/docs/full-resource-names) of your Managed Microsoft AD domain that you want to use for authentication. Full resource name format: `projects/`\u003cvar translate=\"no\"\u003ePROJECT-ID\u003c/var\u003e`/locations/global/domains/`\u003cvar translate=\"no\"\u003eDOMAIN-NAME\u003c/var\u003e.\n\n For more information, see [Enable cross-project Windows authentication](/sql/docs/sqlserver/configure-ad#enable-cross-project-auth).\n\nThe SQL Server is now configured with Windows authentication enabled.\n\nTest the setup\n--------------\n\n1. Create a Windows or Linux VM in the service project. While creating the VM, select the Shared VPC and the subnet which is shared in the Shared VPC with this service project.\n2. Join the VM to a domain. For more information about joining a Windows VM to a domain, see [Join a Windows VM to a domain](/managed-microsoft-ad/docs/quickstart-domain-join-windows).\n3. Create a SQL Server login based on a Windows user or group. For more information, see [Connect to an instance with a user](/sql/docs/sqlserver/configure-ad#connecting-to-an-instance-with-a-user).\n4. Connect using the SQL Server's instance DNS name. For more information, see Step 2 in [Connect to an instance with a user](/sql/docs/sqlserver/configure-ad#connecting-to-an-instance-with-a-user).\n\nSummary\n-------\n\nYou have domain peered a Managed Microsoft AD domain with the Shared VPC host and created SQL Server on the Shared VPC. With this domain peering, cross-project Windows authentication is enabled for SQL Server.\n\nWhile in the above scenario Managed Microsoft AD and SQL Server are in different service projects, configuring them in the same service project is also supported.\n\nAlternatively, you can also have the Managed Microsoft AD domain in the host project. In this case, Shared VPC needs to be added as an authorized network to the Managed Microsoft AD domain. For more information, see [Adding authorized networks to an existing domain](/managed-microsoft-ad/docs/managing-authorized-networks#adding_authorized_networks_to_an_existing_domain).\n\nIn all these scenarios through peering with Shared VPC, the domain is available to the service project(s) attached to the Shared VPC."]]
