创建AD工作区

步骤一：创建工作区

1. 登录无影云桌面控制台。
2. 在左侧导航栏，单击总览。
3. 在总览页面，单击创建工作区。
4. 在设置安全办公网络页面完成网络相关配置，然后单击下一步：配置账号系统。
   相关配置说明如下表所示：

   参数	描述
   地域	工作区所属的地域。支持的地域及相关限制，请参见地域。
   工作区名称	自定义，便于识别工作区。名称规范要求请参考页面提示。
   IPv4网段	系统将根据输入的IPv4网段，自动创建一个专有网络VPC。建议您使用10.0.0.0/12，172.16.0.0/12，192.168.0.0/16及其子网作为IPv4网段。如果设置了10或者172网段，掩码有效范围为12~24位，如果设置了192网段，掩码有效范围为16~24位。 说明 在工作区下创建云桌面时，系统将自动从设置的网段中给云桌面分配IP地址。请根据业务需要设置合适的网段，避免与云企业网实例中的其它网络实例造成网段冲突，同时确保IP地址数量能够满足云桌面创建需求（掩码数值越大，工作区内包含的IP地址数量越少，则该工作区内可创建的桌面数量越少）。
   连接方式	连接云桌面时允许使用的接入方式，可选项如下： 公网连接：只允许客户端通过公网连接云桌面。 VPC连接：只允许客户端通过VPC连接云桌面。 公网和VPC都允许：不限制方式。使用客户端连接云桌面时可以自行选择连接方式。 说明 VPC连接方式依赖于阿里云私网连接（PrivateLink）服务，该服务不收取费用。选择VPC连接或者公网和VPC都允许时，系统将自动为您开通私网连接服务。
   云企业网	对接企业AD时，必须要将工作区网络加入到云企业网中，以实现安全办公网络和企业AD的网络互通。请选择加入，然后选择云企业网实例，单击提交验证校验网段是否存在冲突。 说明 支持选择本阿里云账号或者其它阿里云账号下的云企业网实例。选择其它阿里云账号下的云企业网实例时，需进行验证码校验，单击获取验证码后，系统将发送验证码到该阿里云账号关联的手机。

5. 在配置账号系统页面，选择账号类型为企业AD账号，并完成相关参数配置，然后单击立即创建工作区。
   相关参数说明如下表所示。

   参数	描述
   DNS地址	输入企业AD对应DNS的IP地址（私网IP地址）。 说明 如果AD域控服务器和DNS服务器为同一台，您可以直接输入该服务器的IP地址。请确保该IP地址在您上一步设置的安全办公网络下可以访问。
   域名称	输入企业AD的域名，如：example.com。 说明 如果提示域名称无效，请提交工单。
   域控主机名	如果AD域控服务器和DNS服务器不是同一台（即分开部署AD和DNS），建议您设置域控主机名，以便系统明确可连接的域控服务器，提高工作区创建成功率。
   桌面本地管理员	选中后，基于该工作区创建的云桌面分配给终端用户时，根据云桌面的操作系统类型，终端用户的权限情况如下： 对于Windows云桌面，终端用户将拥有本地管理员权限，但具体具备哪些权限仍由AD设置决定。 对于Linux云桌面，终端用户将拥有执行所有命令的权限。使用sudo执行命令时，需要输入AD用户密码。
   AD Connector规格	请根据预估的桌面数量选择合适的规格。AD Connector采用按量付费，不同规格的AD Connector计费不同。更多信息，请参见AD Connector计费。 通用型：用于桌面数量较少（不超过500台）的工作区。 高级型：用于桌面数量较多（高于500台）的工作区。

6. 单击进入工作区详情页面，在工作区详情页面记录AD Connector的IP地址（即连接地址）。
   此时，工作区状态为由注册中变更为创建成功，您需要参考步骤二完成DNS条件转发器和信任关系等配置。

   说明 如果状态变更为创建失败，请根据提示信息进行重试，或者提交工单。例如提示DNS或者域名错误时，您可以从AD域服务器侧尝试ping连接地址，如果无法ping通，请排查网络设置，包括CEN、企业办公网络内的安全软件设置等。

   
7. 配置AD域控服务器和DNS服务器所属VPC的安全组规则，开放相关网络端口。
   1. 登录专有网络控制台。
   2. 在专有网络页面，找到目标VPC，单击实例ID。
   3. 在资源管理页签下，单击安全组对应的数字。
   4. 在安全组页面，找到目标安全组，单击安全组ID。
   5. 配置安全组规则。
      请按下表设置安全组的入方向规则。

      协议类型	端口或端口范围	授权对象
      自定义UDP	53、88、123、137、138、389、445、464	AD工作区对应的IPv4网段，例如：192.168.XX.XX/24。
      自定义TCP	53 88~65535范围的全部端口	AD工作区对应的IPv4网段，例如：192.168.XX.XX/24。p

步骤二：配置AD域

1. 在无影云桌面控制台的工作区详情页面，单击工作区状态右侧的去配置。
2. 在AD域配置面板的域账号设置页面，完成域用户和OU设置。
   1. 输入AD域用户名和密码，单击验证获取OU信息。
      输入的AD域用户需要具有加域权限和读取域控用户属性的权限，以便系统可以将工作区下的云桌面加入到域中，以及分配给AD用户。
   2. 验证成功后，在下拉列表中选择AD域中的组织单元OU。
   3. 单击下一步。
3. 在AD域配置面板的配置条件转发器页面，参考操作提示，登录AD域对应的DNS服务器，完成条件转发器配置。
   说明

   • 如果您的企业AD为单个域，或者多个域（父子域）对应同一个DNS，则需要为该DNS配置条件转发器。
   • 如果您的企业AD为多个域（父子域），且对应多个不同的DNS，则需要为每个DNS分别配置条件转发器。
   1. 打开DNS管理器。
      此处以Windows Server 2016为例介绍打开DNS管理器的步骤，如果您的服务器为其它操作系统，请以实际为准。

      1. 打开服务器管理器，在左侧导航栏中选择DNS。
      2. 在右侧服务器列表中，右键单击服务器，在弹出菜单中选择DNS管理器。
   2. 在DNS管理器对话框中，右键单击条件转发器，在弹出菜单中选择新建条件转发器。
   3. 输入域名和IP地址，选中在Active Directory中存储此条件转发器，并按如下方式复制，然后选择此域中的所有DNS服务器。
      域名为ecd.acs，IP地址为AD Connector的IP地址（即连接地址）。您可以从步骤1打开的配置条件转发器页面中获取。
   4. 单击确定。
   5. 在cmd中执行以下命令，验证网络是否互通。

      nslookup ecd.acs

      如果返回AD Connector的IP地址（即连接地址），则表示已成功配置条件转发器；如果返回报错信息，请检查条件转发器是否配置正确，然后清理DNS缓存，关于如何清理DNS缓存，请参见常见问题。

4. 在无影云桌面控制台的AD域配置面板的配置条件转发器页面，单击下一步。
5. 在AD域配置面板的配置信任关系页面，参考操作提示，登录AD域控服务器，完成信任关系配置。
   1. 打开服务器管理器。
   2. 在右上角的菜单栏选择工具 > Active Directory 域和信任关系。
   3. 在弹出的对话框中，右键单击域，选择属性。
   4. 在域属性对话框中，单击信任页签，然后单击新建信任。
   5. 按照向导完成信任配置。
      需要注意的配置项如下，其他配置保持默认即可。

      • 信任名称：输入ecd.acs。
      • 信任类型：选择外部信任。
        说明 如果无法选择外部信任，请参考步骤3的第v步，执行nslookup ecd.acs命令，确认是否已成功配置条件转发器。
        
      • 信任密码：您可以自定义设置，该密码在下一步云桌面侧配置AD域时需要输入。
   6. 确认配置完成的信任，然后单击确定。
      
6. 在无影云桌面控制台的AD域配置面板的配置信任关系页面，输入配置信任关系时设置的信任密码，然后单击完成所有配置。

执行结果

常见问题