แนวทางปฏิบัติที่ดีที่สุดสำหรับการตั้งชื่อโดเมน Active Directory

เมื่อสร้างโดเมน Active Directory ใหม่ การเลือกชื่อโดเมนเป็นสิ่งสำคัญ ไม่ว่าคุณจะเป็นผู้ดูแลระบบใหม่หรือมีประสบการณ์ก็ตาม บทความนี้กล่าวถึงสามตัวเลือกสำหรับชื่อโดเมน: การใช้โดเมนระดับบนสุดที่ถูกต้อง (TLD) ที่ลงทะเบียนกับบริษัทของคุณ การใช้โดเมนย่อยของ TLD ที่ถูกต้องที่ลงทะเบียนกับบริษัทของคุณ หรือใช้ชื่อที่ไม่ใช่ TLD มีตัวอย่างของแต่ละตัวเลือกให้ไว้

แบบแผนการตั้งชื่อโดเมนพื้นฐานของ Active Directory

ตัวควบคุมโดเมนตัวแรกสำหรับ Active Directory จะสร้างทั้งโดเมนแรกและขอบเขตความปลอดภัยสำหรับองค์กรที่เรียกว่าฟอเรสต์ คุณสามารถเพิ่มหลายโดเมนเพื่อปรับปรุงการจำลองแบบภายในฟอเรสต์ ฟอเรสต์อาจเป็นโดเมนเดียวหรือมีต้นไม้หลายต้นพร้อมโดเมนย่อย เมื่อตั้งค่าโดเมน/ฟอเรสต์แรก ผู้ดูแลระบบสามารถเลือกชื่อได้ ซึ่งอาจมีผลกระทบที่สำคัญต่ออนาคตขององค์กร ชื่อ NetBIOS ซึ่งไม่จำเป็นต้องเหมือนกับชื่อโดเมนสามารถกำหนดได้ในระหว่างกระบวนการปรับใช้ Active Directory ตัวอย่างเช่น โดเมน ad.patricio.ca อาจมีชื่อ NetBIOS “Corporate” ได้ หากต้องการ

การลงทะเบียนโดเมน

ไม่ว่าผู้ดูแลระบบจะเลือกตัวเลือกใด การลงทะเบียนโดเมนสาธารณะภายใต้ชื่อบริษัทเป็นสิ่งสำคัญ นี่เป็นก้าวแรกและสำคัญที่สุดในการสร้างรากฐานที่แข็งแกร่งสำหรับสภาพแวดล้อมของบริษัท เมื่อพิจารณาถึงขนาดและศักยภาพในการเติบโตของบริษัท สิ่งสำคัญคือต้องวางแผนการตั้งค่าโครงสร้างพื้นฐาน Active Directory โดยคำนึงถึงการขยายในอนาคต ตัวอย่างเช่น หากบริษัทอย่าง Patricio Enterprises ดำเนินกิจการในแคนาดาแต่เพียงผู้เดียวแต่วางแผนที่จะมีสำนักงานทั่วโลก การซื้อโดเมนสาธารณะสำหรับทุกประเทศอาจเป็นประโยชน์ นอกจากนี้ ขอแนะนำให้กำหนดโดเมนหนึ่ง เช่น .com เป็นโดเมนเริ่มต้น

ใบรับรองสาธารณะ

หน่วยงานออกใบรับรองสาธารณะยอมรับเฉพาะโดเมนระดับบนสุด (TLD) และไม่รองรับชื่อที่ไม่ใช่ TLD หรือ NetBIOS บนใบรับรองของพวกเขา ซึ่งหมายความว่าผู้ดูแลระบบเครือข่ายต้องใช้ DNS แบบแยกสมองเมื่อทำงานกับ Exchange Server สิ่งนี้เกี่ยวข้องกับการสร้างโซน DNS ภายในเครือข่ายภายในที่มีชื่อเดียวกับโซน DNS สาธารณะ ไคลเอนต์ภายในจะแก้ไขรายการที่แสดงบนเซิร์ฟเวอร์ DNS ภายในซึ่งชี้ไปที่เซิร์ฟเวอร์ภายในเครื่อง แนวทางนี้ทำให้การออกแบบง่ายขึ้นโดยใช้ชื่อบริการเดียวกันสำหรับผู้ใช้ภายในและภายนอก สำหรับใบรับรองสาธารณะ มีตัวเลือกที่จำกัด ผู้ดูแลระบบต้องใช้โดเมนที่ลงทะเบียนเพื่อขอใบรับรองและกำหนดค่าบริการเพื่อใช้โดเมนนั้น (เช่น Patricio.com)

บริการชื่อโดเมน (DNS) และการออกแบบการจำแนกชื่อ

DNS เป็นบริการที่สำคัญสำหรับ Active Directory และผลิตภัณฑ์อื่นๆ ของ Microsoft จำเป็นต้องจัดการโดเมนสาธารณะและสามารถทำได้ผ่านผู้รับจดทะเบียนอินเทอร์เน็ตหรือผู้ให้บริการ DNS เฉพาะทาง เช่น Microsoft Azure/Office 365 ผู้ใช้บนอินเทอร์เน็ตสามารถเข้าถึงการกำหนดค่า DNS สาธารณะได้ และอนุญาตการตั้งค่า เช่น การรับอีเมลและบริการการเข้าถึงไคลเอ็นต์ จุดมุ่งหมายคือการทำให้ประสบการณ์ผู้ใช้ราบรื่น โดยไม่คำนึงว่าพวกเขาจะอยู่บนอินทราเน็ตหรืออินเทอร์เน็ต โดยใช้ชื่อเดียวสำหรับบริการ เพื่อให้บรรลุเป้าหมายนี้ แนะนำให้ใช้ DNS แบบแยกสมอง เทคโนโลยีบางอย่างของ Microsoft เช่น Skype for Business และ Exchange เกือบจะจำเป็นต้องใช้ DNS แบบแยกสมอง

Microsoft Exchange: นโยบายโดเมนและที่อยู่อีเมลที่ยอมรับ

ในกระบวนการตั้งค่า Exchange Server แรกสำหรับองค์กร Exchange โดเมน Active Directory ที่มีอยู่จะกลายเป็นที่อยู่ SMTP หลักสำหรับองค์กร หากใช้โดเมนระดับบนสุด (TLD) ที่ถูกต้อง ไม่จำเป็นต้องสร้างโดเมนที่ยอมรับหรือกำหนดค่านโยบายที่อยู่อีเมล ทุกอย่างจะได้รับการกำหนดค่าโดยอัตโนมัติ และกล่องจดหมายใหม่จะได้รับที่อยู่ SMTP ที่ถูกต้องโดยไม่มีการเปลี่ยนแปลงใดๆ อย่างไรก็ตาม หากเลือกตัวเลือกที่ 2 หรือตัวเลือกที่ 3 จะต้องเพิ่มโดเมนที่ยอมรับใหม่ จะต้องอัปเดตนโยบายที่อยู่อีเมล และโดเมนเริ่มต้นที่สร้างไว้ก่อนหน้านี้จะต้องถูกลบออกเพื่อรักษาองค์กรและความสะอาด

Microsoft Azure และชื่อหลักของผู้ใช้ (UPN)

ในการซิงโครไนซ์ไดเรกทอรีระหว่างภายในองค์กรและ Microsoft Azure Active Directory (AAD) ผู้ดูแลระบบต้องตรวจสอบให้แน่ใจว่าโดเมนสาธารณะใน Microsoft Azure ได้รับการตรวจสอบแล้ว ซึ่งหมายความว่าบัญชีทั้งหมดที่มีโดเมนเดียวกันที่ตั้งค่าไว้ใน User Principal Name (UPN) จะถูกซิงโครไนซ์กับ Azure Active Directory ก่อนหน้านี้ การตรวจสอบสิทธิ์ทำได้โดยใช้รูปแบบ DOMAIN\ชื่อผู้ใช้ ซึ่งยังคงใช้ได้กับแอปพลิเคชันภายใน อย่างไรก็ตาม สำหรับ SaaS และ Active Directory Federation จำเป็นต้องใช้รูปแบบ UPN เช่น username@company.com แนะนำให้ใช้รูปแบบนี้สำหรับการเข้าสู่ระบบไคลเอนต์ Windows, Skype for Business และ Exchange (ด้วย Outlook Anywhere) เมื่อซิงโครไนซ์กับ Azure Active Directory UPN ของผู้ใช้จะต้องตรงกับโดเมนใน Azure

มีสามตัวเลือกในการกำหนดค่าการซิงโครไนซ์นี้:

ตัวเลือกที่ 1 ไม่จำเป็นต้องเปลี่ยนแปลงการกำหนดค่าเพิ่มเติม เนื่องจาก UPN เริ่มต้นจะเป็นชื่อโดเมนปัจจุบันหรือชื่อโดเมนราก

ตัวเลือกที่ 2 และตัวเลือกที่ 3 จำเป็นต้องเพิ่มโดเมนที่ถูกต้องใน Active Directory Domain และ Trusts และตรวจสอบให้แน่ใจว่าผู้ใช้ทั้งหมดมีการตั้งค่า UPN ที่ถูกต้องในคุณสมบัติผู้ใช้ของตน

เมื่อสร้าง Active Directory ใหม่ ผู้ดูแลระบบควรพิจารณาตัวเลือกที่ 1 และตัวเลือกที่ 2 โดยส่วนตัวแล้ว แนะนำให้ใช้ตัวเลือกที่ 1 เนื่องจากจะง่ายกว่าในระยะยาว ตัวเลือกที่ 2 เป็นไปได้ แต่ต้องมีการเปลี่ยนแปลงสภาพแวดล้อมเพิ่มเติม และคล้ายกับตัวเลือกที่ 3 ในแง่ของรายการสิ่งที่ต้องทำ