Men-deploy Microsoft AD Terkelola dengan akses lintas-project menggunakan peering domain

Topik ini menunjukkan cara mengonfigurasi peering domain antara Layanan Terkelola untuk Microsoft Active Directory (Microsoft AD Terkelola) dan VPC Bersama. Dengan demikian, Anda dapat menyediakan Managed Microsoft AD untuk project layanan yang dilampirkan ke VPC Bersama.

Ringkasan

Peering domain di Managed Microsoft AD membuat resource peering domain di setiap project resource domain dan resource VPC. Domain Microsoft AD Terkelola dapat disediakan untuk semua project yang dilampirkan ke VPC Bersama dengan membuat peering domain antara Microsoft AD Terkelola dan VPC Bersama. Misalnya, Anda dapat mengautentikasi dan login ke SQL Server menggunakan domain Microsoft AD Terkelola, dengan SQL Server dan Microsoft AD Terkelola berada di project layanan yang berbeda yang dilampirkan ke VPC Bersama.

Sebelum memulai

Sebelum memulai, lakukan hal berikut:

  1. Di konsol Google Cloud, pada halaman pemilih project, pilih atau buat tiga project Google Cloud. Keduanya disebut project host dan project layanan. Project host adalah tempat VPC Bersama diaktifkan. Domain Microsoft AD Terkelola dan instance Cloud SQL harus berada di project layanan yang berbeda. VM dapat berada di salah satu project layanan.

    Buka pemilih project

  2. Aktifkan penagihan untuk project Cloud Anda. Untuk informasi selengkapnya, lihat Memeriksa apakah penagihan diaktifkan pada project.

  3. Aktifkan VPC Bersama di project host. Untuk mengetahui informasi selengkapnya, lihat Mengaktifkan project host.

  4. Lampirkan project layanan ke jaringan VPC Bersama. Setiap project harus mengaktifkan Compute Engine API. Untuk tujuan contoh ini, sebaiknya buat subnet terpisah di VPC Bersama. Saat melampirkan project, pilih subnet yang sesuai untuk setiap project. Untuk mengetahui informasi selengkapnya, lihat Melampirkan project layanan.

  5. Buat domain Microsoft AD Terkelola di project layanan. Jaringan VPC yang diotorisasi saat membuat domain Microsoft AD Terkelola tidak bergantung pada jaringan VPC Bersama. Untuk membuat Managed Microsoft AD domain tanpa jaringan yang diotorisasi, gunakan perintah gcloud CLI.

Mengonfigurasi peering domain

  1. Buat peering domain dari project layanan yang memiliki resource domain ke jaringan VPC Bersama. Untuk mengetahui informasi selengkapnya tentang peering domain, lihat Mengonfigurasi peering domain.

    gcloud active-directory peerings create PEERING-RESOURCE-NAME \
--domain=DOMAIN-RESOURCE-NAME \
--authorized-network=SHARED-VPC-NAME

    Ganti kode berikut:

    • PEERING-RESOURCE-NAME: Nama untuk resource peering domain Anda (seperti my-domain-peering).
    • DOMAIN-RESOURCE-NAME: Nama resource lengkap domain Microsoft AD Terkelola Anda, dalam bentuk: projects/PROJECT-ID/locations/global/domains/DOMAIN-NAME.
    • SHARED-VPC-NAME: Nama resource lengkap jaringan VPC Bersama Anda, dalam bentuk: projects/PROJECT-ID/global/networks/NETWORK-NAME.

  2. Cantumkan peering domain untuk memverifikasi statusnya. Jalankan perintah gcloud CLI berikut:

    gcloud active-directory peerings list --project=PROJECT_ID

    Ganti PROJECT_ID dengan project ID project layanan yang digunakan untuk membuat resource peering domain Anda.

    Perintah ini akan menampilkan status sebagai DISCONNECTED.

  3. Buat peering domain terbalik dari project host.

    gcloud active-directory peerings create PEERING-RESOURCE-NAME \
--domain=DOMAIN-RESOURCE-NAME \
--authorized-network=SHARED-VPC-NAME \
--project=VPC-RESOURCE-PROJECT-ID

    Ganti kode berikut:

    • PEERING-RESOURCE-NAME: Nama untuk resource peering domain Anda (seperti my-domain-peering).
    • DOMAIN-RESOURCE-NAME: Nama resource lengkap domain Microsoft AD Terkelola Anda, dalam bentuk: projects/PROJECT-ID/locations/global/domains/DOMAIN-NAME.
    • SHARED-VPC-NAME: Nama resource lengkap jaringan VPC Bersama Anda, dalam bentuk: projects/PROJECT-ID/global/networks/NETWORK-NAME.
    • VPC-RESOURCE-PROJECT-ID: Project ID project host yang menghosting VPC Bersama.

  4. Cantumkan peering domain lagi untuk memverifikasi statusnya. Jalankan perintah gcloud CLI berikut:

    gcloud active-directory peerings list --project=PROJECT_ID

    Ganti PROJECT_ID dengan project ID project layanan yang digunakan untuk membuat resource peering domain Anda.

    Fungsi ini menampilkan status sebagai CONNECTED dari project host dan layanan.

Mengonfigurasi instance Cloud SQL (SQL Server)

  1. Buat instance Cloud SQL (SQL Server) di project layanan dengan mengaktifkan IP Pribadi dan pilih jaringan VPC Bersama. Untuk mengetahui informasi selengkapnya, lihat Membuat instance dengan Autentikasi Windows.

  2. Setelah peering domain selesai, ubah konfigurasi Cloud SQL (SQL Server) untuk menggunakan Managed Microsoft AD domain Anda untuk autentikasi. Jalankan perintah gcloud CLI berikut:

    gcloud beta sql instances patch INSTANCE-NAME \
--active-directory-domain=DOMAIN-RESOURCE-NAME

    Ganti kode berikut:

    • INSTANCE-NAME: Nama instance Cloud SQL Anda di project layanan.
    • DOMAIN-RESOURCE-NAME: Nama resource lengkap domain AD Microsoft Terkelola yang ingin Anda gunakan untuk autentikasi. Format nama lengkap resource: projects/PROJECT-ID/locations/global/domains/DOMAIN-NAME.

    Untuk mengetahui informasi selengkapnya, lihat Mengaktifkan autentikasi Windows lintas project.

SQL Server kini dikonfigurasi dengan autentikasi Windows yang diaktifkan.

Menguji penyiapan

  1. Buat VM Windows atau Linux di project layanan. Saat membuat VM, pilih VPC Bersama dan subnet yang dibagikan di VPC Bersama dengan project layanan ini.
  2. Gabungkan VM ke domain. Untuk mengetahui informasi selengkapnya tentang cara bergabung ke VM Windows ke domain, lihat Menggabungkan VM Windows ke domain.
  3. Buat login SQL Server berdasarkan pengguna atau grup Windows. Untuk mengetahui informasi selengkapnya, lihat Menghubungkan ke instance dengan pengguna.
  4. Hubungkan menggunakan nama DNS instance SQL Server. Untuk mengetahui informasi selengkapnya, lihat Langkah 2 di Menghubungkan ke instance dengan pengguna.

Ringkasan

Anda telah melakukan peering domain pada domain Microsoft AD Terkelola dengan host VPC Bersama dan membuat SQL Server di VPC Bersama. Dengan peering domain ini, autentikasi Windows lintas project diaktifkan untuk SQL Server.

Meskipun dalam skenario di atas Microsoft AD Terkelola dan SQL Server berada di project layanan yang berbeda, mengonfigurasinya di project layanan yang sama juga didukung.

Atau, Anda juga dapat memiliki domain Microsoft AD Terkelola di project host. Dalam hal ini, VPC Bersama perlu ditambahkan sebagai jaringan yang diizinkan ke domain Managed Microsoft AD. Untuk mengetahui informasi selengkapnya, lihat Menambahkan jaringan yang diizinkan ke domain yang ada.

Dalam semua skenario ini melalui peering dengan VPC Bersama, domain tersedia untuk project layanan yang dilampirkan ke VPC Bersama.