Начальство поставило задачу реализовать операции создания, редактирования и перемещения пользователей в локальной Active Directory из приложения asp.net, размещенного в Azure. Реально ли это сделать, и если да, то такими средствами? Можно ли обойтись без Azure Active Directory. Будут ли LDAP работать в облаке? Нужно ли настраивать что-то в локальной AD?
-
Мне кажется проблем быть не должно. В приложении же просто указываешь путь к LDAP и работаешь с ним. А Вы пробовали подключиться к своему LDAP из приложения?– Ella S.Commented 21 мар. 2016 в 8:16
-
@EllaSvetlaya на локальной машине подключается, а из облака нет, не дает доступ. У меня просто есть подозрение, что Azure AD затем и сделана, что облачные сервисы больше никаким способом подключиться к AD не могут.– сергей тамбовцевCommented 21 мар. 2016 в 8:30
-
Зависит от того, как подключаетесь, должно работать.– Ella S.Commented 21 мар. 2016 в 13:48
1 ответ
Да, можно. Azure AD для этого не нужен совсем. В AD тоже настраивать ничего не придется. Пользоваться можно будет обычными .NET библиотеками для доступа к LDAP (ну или Active Directory). Есть множество правильных и безопасных путей.
- Первый через виртуальную сеть и VPN.
- Второй это создание асинхронной, пассивной коммуникации с LDAP через Queue и сервис (даже не придется открывать порты в сетке).
- Третий это создание просто веб-сервиса который надо будет захостить в корпоративной сети и к которому будет обращаться UI. То бишь вся основноая бизнес логика должна быть в нём.
- Возможно, что можно устроить коммуникацию через Azure Hybrid Connection (BizTalk Services), но я не уверен, будет ли это работать с LDAP.
Опишу самый простой путь (с моей точки зрения):
- Создаёте Azure Virtual Network с диапазоном адресов который не перекрещивается с адресами вашей коропоративной сети (опционально можете выбрать ваш DNS-Сервер для доступа к машинам по их имени, а не айпи)
- Создаёте Loсal Network с диапазононом адресов вашей корпоративной сети и указываете ваш Public IP
- Создаёте создаете VPN-Gateway в виртуальной сети (static routing как правило достаточно) вот пример или вот видео про это.
- Подчлючаетесь с вашего Gateway из корпоратвной сети к VPN-Gateway в Azure
- Создаете в Azure новый App Service (Azure Website) как минимум тарифного плана Standard
- Интегрируете ваш App в виртуальную сеть
- Разрабатываете ваше приложение локально
- Развертываете ваше приложение App Service
- Вуаля, вы можете безопасно из вашего App'a получить доступ к Directory Service в вашей сети.
UPDATE:
По пути на работу мне пришла в голову мысль, что для поставленной задачи Azure Websites (App Serivces) уровня Standard, пожалуй, слишком дороговато. Возьмите лучше за место этого Azure Web Role уровня A0. Она стоит в разы дешевле и так же само её можно сконфигурировать для использования виртуальной сети.
P.S. Озученная в одном из ответов возможность реализовать это при помощи Azure AD исключается, ибо Azure AD и просто AD, это не освсем одно и то же. Включая синхрнизацию вы не получаете прямой доступ к AD, а получаете некую копию его аттрибутов в Azure AD. В Azure AD нет Organisational Units (OU's). Соответственно перемещать пользователей будет некуда и неоткуда. Максимум что вы сможете сделать это настроить изменение и обратную синнхронизацию некоторых AD-Аттрибутов. Вот список аттрибутов которые синхронизируются в AAD. "Writeback" (синхронизацию в обратном направлении) поддерживают лишь некоторые из них. К тому же Writeback на данное время (март 2016) находится всё ещё в Preview-фазе.
-
Вооот я по той же причине AAD исключаю, что перемещение между юнитами невозможно. Будем пробовать ваш вариант, спасибо за подробную инструкцию! :) Commented 22 мар. 2016 в 1:00
-
-
@сергейтамбовцев: посмотрите, я небольшой апдейт в пост запилил. Вам пригодится. Commented 22 мар. 2016 в 7:14