Managed Microsoft AD mit projektübergreifendem Zugriff über Domain-Peering bereitstellen

In diesem Thema erfahren Sie, wie Sie das Domain-Peering zwischen Managed Service for Microsoft Active Directory (Managed Microsoft AD) und freigegebene VPC konfigurieren. So können Sie Managed Microsoft AD für Dienstprojekte verfügbar machen, die an eine freigegebene VPC angehängt sind.

Überblick

Beim Domain-Peering in Managed Microsoft AD wird eine Domain-Peering-Ressource in allen Domainressourcen und VPC-Ressourcenprojekten erstellt. Eine verwaltete Microsoft AD-Domain kann durch Erstellen eines Domain-Peerings zwischen Managed Microsoft AD und freigegebener VPC für alle Projekte verfügbar gemacht werden, die an die freigegebene VPC angehängt sind. Sie können sich beispielsweise über eine Managed Microsoft AD-Domain bei SQL Server authentifizieren und anmelden, wobei sich SQL Server und Managed Microsoft AD in verschiedenen Dienstprojekten befinden, die an die freigegebene VPC angehängt sind.

Hinweise

Führen Sie zuerst folgende Schritte aus:

Wählen Sie in der Google Cloud Console auf der Seite für die Projektauswahl drei Google Cloud-Projekte aus oder erstellen Sie sie. Sie werden Host- und Dienstprojekte genannt. Im Hostprojekt ist die freigegebene VPC aktiviert. Die verwaltete Microsoft AD-Domain und die Cloud SQL-Instanzen müssen sich in verschiedenen Dienstprojekten befinden. Die VMs könnten sich in einem der Dienstprojekte befinden.

Zur Projektauswahl
Aktivieren Sie die Abrechnung für Ihre Cloud-Projekte. Weitere Informationen finden Sie unter Prüfen, ob die Abrechnung für ein Projekt aktiviert ist.
Aktivieren Sie die freigegebene VPC im Hostprojekt. Weitere Informationen finden Sie unter Hostprojekt aktivieren.
Hängen Sie die Dienstprojekte an das freigegebene VPC-Netzwerk an. Für jedes Projekt muss die Compute Engine API aktiviert sein. Für dieses Beispiel empfehlen wir, separate Subnetze in der freigegebene VPC zu erstellen. Wählen Sie beim Anhängen des Projekts für jedes Projekt das passende Subnetz aus. Weitere Informationen finden Sie unter Dienstprojekte anhängen.
Erstellen Sie eine verwaltete Microsoft AD-Domain im Dienstprojekt. Das beim Erstellen der Managed Microsoft AD-Domain autorisierte VPC-Netzwerk ist von den freigegebene VPC-Netzwerken unabhängig. Verwenden Sie den gcloud CLI-Befehl, um eine Managed Microsoft AD-Domain ohne autorisiertes Netzwerk zu erstellen.

Domain-Peering konfigurieren

Erstellen Sie Domain-Peering vom Dienstprojekt mit der Domainressource zum freigegebene VPC-Netzwerk. Weitere Informationen zum Domain-Peering finden Sie unter Domain-Peering konfigurieren.
```
gcloud active-directory peerings create PEERING-RESOURCE-NAME \
--domain=DOMAIN-RESOURCE-NAME \
--authorized-network=SHARED-VPC-NAME
```
Ersetzen Sie Folgendes:
- PEERING-RESOURCE-NAME: Ein Name für Ihre Domain-Peering-Ressource (z. B. my-domain-peering).
- DOMAIN-RESOURCE-NAME: Der vollständige Ressourcenname Ihrer verwalteten Microsoft AD-Domain im Format projects/PROJECT-ID/locations/global/domains/DOMAIN-NAME.
- SHARED-VPC-NAME: Der vollständige Ressourcenname Ihres freigegebene VPC-Netzwerks im Format projects/PROJECT-ID/global/networks/NETWORK-NAME.
Listen Sie die Domain-Peerings auf, um den Status zu prüfen. Führen Sie den folgenden gcloud CLI-Befehl aus:
```
gcloud active-directory peerings list --project=PROJECT_ID
```
Ersetzen Sie PROJECT_ID durch die Projekt-ID des Dienstprojekts, das zum Erstellen der Domain-Peering-Ressource verwendet wird.

Sie gibt den Status als DISCONNECTED zurück.
Erstellen Sie das umgekehrte Domain-Peering aus dem Hostprojekt.
```
gcloud active-directory peerings create PEERING-RESOURCE-NAME \
--domain=DOMAIN-RESOURCE-NAME \
--authorized-network=SHARED-VPC-NAME \
--project=VPC-RESOURCE-PROJECT-ID
```
Ersetzen Sie Folgendes:
- PEERING-RESOURCE-NAME: Ein Name für Ihre Domain-Peering-Ressource (z. B. my-domain-peering).
- DOMAIN-RESOURCE-NAME: Der vollständige Ressourcenname Ihrer verwalteten Microsoft AD-Domain im Format projects/PROJECT-ID/locations/global/domains/DOMAIN-NAME.
- SHARED-VPC-NAME: Der vollständige Ressourcenname Ihres freigegebene VPC-Netzwerks im Format projects/PROJECT-ID/global/networks/NETWORK-NAME.
- VPC-RESOURCE-PROJECT-ID: Die Projekt-ID des Hostprojekts, in dem die freigegebene VPC gehostet wird.
Listen Sie die Domain-Peerings noch einmal auf, um den Status zu prüfen. Führen Sie den folgenden gcloud CLI-Befehl aus:
```
gcloud active-directory peerings list --project=PROJECT_ID
```
Ersetzen Sie PROJECT_ID durch die Projekt-ID des Dienstprojekts, das zum Erstellen der Domain-Peering-Ressource verwendet wird.

Sie gibt den Status CONNECTED sowohl aus dem Hostprojekt als auch aus dem Dienstprojekt zurück.

Cloud SQL-Instanz (SQL Server) konfigurieren

Erstellen Sie die Cloud SQL-Instanz (SQL Server) im Dienstprojekt mit aktivierter privater IP-Adresse und wählen Sie das Netzwerk der freigegebene VPC aus. Weitere Informationen finden Sie unter Instanz mit Windows-Authentifizierung erstellen.
Ändern Sie nach Abschluss des Domain-Peerings die Cloud SQL-Konfiguration (SQL Server), um Ihre Managed Microsoft AD-Domain für die Authentifizierung zu verwenden. Führen Sie den folgenden gcloud CLI-Befehl aus:
```
gcloud beta sql instances patch INSTANCE-NAME \
--active-directory-domain=DOMAIN-RESOURCE-NAME
```
Ersetzen Sie Folgendes:
- INSTANCE-NAME: Der Name Ihrer Cloud SQL-Instanz im Dienstprojekt.
- DOMAIN-RESOURCE-NAME: Der vollständige Ressourcenname Ihrer verwalteten Microsoft AD-Domain, die Sie für die Authentifizierung verwenden möchten. Format des vollständigen Ressourcennamens: projects/PROJECT-ID/locations/global/domains/DOMAIN-NAME.
Weitere Informationen finden Sie unter Projektübergreifende Windows-Authentifizierung aktivieren.

Der SQL Server ist jetzt mit aktivierter Windows-Authentifizierung konfiguriert.

Einrichtung testen

Erstellen Sie im Dienstprojekt eine Windows- oder Linux-VM. Wählen Sie beim Erstellen der VM die freigegebene VPC und das Subnetz aus, das in der freigegebenen VPC für dieses Dienstprojekt freigegeben ist.
Verbinden Sie die VM mit einer Domain. Weitere Informationen zum Beitreten einer Windows-VM mit einer Domain finden Sie unter Windows-VM mit einer Domain verknüpfen.
Erstellen Sie eine SQL Server-Anmeldung basierend auf einem Windows-Nutzer oder einer Windows-Gruppe. Weitere Informationen finden Sie unter Verbindung zu einer Instanz mit einem Nutzer herstellen.
Stellen Sie eine Verbindung über den DNS-Namen der SQL Server-Instanz her. Weitere Informationen finden Sie unter Schritt 2 im Artikel Verbindung zu einer Instanz mit einem Nutzer herstellen.

Fazit

Sie haben eine Domain-Peering zwischen einer verwalteten Microsoft AD-Domain und dem Host der freigegebene VPC durchgeführt und SQL Server in der freigegebene VPC erstellt. Mit diesem Domain-Peering wird die projektübergreifende Windows-Authentifizierung für SQL Server aktiviert.

Im obigen Szenario befinden sich verwaltete Microsoft AD und SQL Server in unterschiedlichen Dienstprojekten. Die Konfiguration im selben Dienstprojekt wird jedoch ebenfalls unterstützt.

Alternativ können Sie auch die Managed Microsoft AD-Domain im Hostprojekt haben. In diesem Fall muss die freigegebene VPC der verwalteten Microsoft AD-Domain als autorisiertes Netzwerk hinzugefügt werden. Weitere Informationen finden Sie unter Autorisierte Netzwerke zu einer vorhandenen Domain hinzufügen.

In all diesen Szenarien ist die Domain über Peering mit einer freigegebenen VPC für die Dienstprojekte verfügbar, die an die freigegebene VPC angehängt sind.