Azure AD DS с тем же доменным именем, что и внешний домен

У нас есть следующая настройка:

Office 365 на mycompany.com
AWS Route 53 в качестве DNS-сервера для mycompany.com
Azure в качестве хостинг-провайдера

Я создаю новый набор серверов в Azure и использую доменные службы Azure Active Directory, чтобы мы могли входить на серверы, используя наши учетные данные Office 365.

mysite.mycompany.com настроен как запись CNAME на AWS для указания на mysite.northeurope.cloudapp.azure.com, и в Azure настроен общедоступный IP-адрес с этим именем, который указывает на общедоступный балансировщик нагрузки, который распределяет трафик между двумя серверами называется mysite-web1.mycompany.com и mysite-web2.mycompany.com.

Проблема в том, что я не могу получить доступ к сайту mysite.mycompany.com из виртуальной сети Azure, хотя я могу получить к нему доступ извне.

Я предполагаю, что это связано с тем, что виртуальная сеть Azure просто использует серверы Azure AD для получения имени домена и вообще не переходит в AWS. В виртуальной сети Azure нет сервера с именем mysite.mycompany.com.

Итак, у меня есть ряд вопросов:

Есть ли способ заставить его работать? Я предполагаю, что могу просто добавить DNS-имя mysite.mycompany.com в AD DS, но я бы предпочел не поддерживать эту информацию дважды.
Это плохая идея? Предполагая, что я могу это исправить, я просто столкнусь с другими проблемами, используя одно и то же имя для внутреннего и внешнего доменов.

Это та же проблема, с которой люди сталкиваются с доменными службами, отличными от Azure Active Directory. Вы не должны называть свой домен AD таким же, как внешний веб-сайт, потому что DNS в вашей Active Directory будет обслуживать IP-адреса ваших контроллеров домена.

Это делает не означают, однако, что вы не можете войти в систему со своими учетными записями Office 365. Ваше доменное имя AD не обязательно должно совпадать с вашим UPN (основным именем пользователя). Например, ваше доменное имя может быть corp.example.com и имя вашего домена NETBIOS будет corp но пользователи по-прежнему входят в систему с amy.smith@example.com - так как example.com это ваш суффикс UPN.

Откровенно говоря, «правильный» выход из ситуации, в которой вы находитесь сейчас, - разорвать этот Azure ADDS и снова начать использовать другое доменное имя. Единственный другой вариант - сделать DNS-делегирование mysite чтобы указать на ваши серверы имен Route 53. Это означает создание нового делегирования для каждого поддомена, который необходимо указать в другом месте.

Не хватает нескольких тестов, на данный момент вы не определили проблему.

Вы можете получить доступ к веб-сайту по IP-адресу?
На машине в Azure, которая использует ADD DS, с помощью PowerShell попробуйте Resolve-DNSName и посмотрите, попадет ли он на правильный IP-адрес или получит NS-сервер.
```
Resolve-DnsName mysite.mycompany.com
Resolve-DnsName mysite.mycompany.com -Type CNAME
Resolve-DnsName mysite.mycompany.com -Type NS
```
Это поможет вам понять, где исправить проблему с DNS, если это проблема с DNS.

Надеюсь это поможет.

Виртуальная сеть не использует серверы Azure AD для получения имени домена. Нет серверов домена Azure AD (если вы не говорите о ваших собственных серверах domain \ dns в той же vnet, которую вы используете).

Я думаю, что для обработки этого сценария вам понадобится условная переадресация DNS. Потому что обе ваши DNS-службы "отвечают" за одну и ту же зону.