Quels sont les problèmes communs des hybrides Office 365 ?

Environnements hybrides

Lorsque je parle de hybride, j’entends une coopération de technologies que les applications de partenariat vous appartiennent et que vous gérez dans votre entreprise avec celles que nous administrez dans nos Clouds Microsoft.

Ce problème fonctionne non seulement sur Azure, mais la plupart des charges de travail dans Microsoft 365. Si vous ne savez pas ce qu’est une charge de travail, il s’agit d’une application en cours d’exécution sur le Microsoft 365 de la plateforme Cloud (Skype entreprise Online, Exchange Online et SharePoint Online, par exemple). « Workload » est un moyen de garder le contact avec ses équivalents locaux, ce qui permet de rester confus et de rester confus.

Les composants hybrides peuvent utiliser toutes les ressources disponibles, quel que soit l’endroit où ils se trouvent.

Ressources matérielles locaux en commun

Toutes les hybrides dont je parle ici connectent un environnement client sur Internet à Microsoft 365 (et au service Azure Active Directory-AAD) en arrière-plan, car il fait office de répertoire de Microsoft 365 ). L’infrastructure risque de rendre son infrastructure difficile à configurer. Malgré ce que vous pourriez entendre, il n’y a pas d’importance. En fait, la plupart des hybrides fonctionnent de la même manière que pour les mêmes exigences matérielles.

Dans 2016, Voici les éléments requis par tous les hybrides. Lorsque des éléments sont facultatifs, je le dis.

Toutes les charges de travail hybrides Microsoft 365 présentent les avantages suivants :

1. Certains serveurs locaux (par exemple, une batterie de serveurs SharePoint ou un environnement Skype entreprise);

2. Active Directory sur site où les utilisateurs résident ou sont « familiaux » (dans la terminologie de S4B).

3. Un serveur Azure Active Directory Connect (AAD Connect) (qui est en son état ou qui est associé à un autre serveur (par exemple, WA-P). Ce qui est représenté par l’icône « synchroniser », car l’utilisation de AAD Connect est utilisée pour synchroniser les comptes des locaux vers le Cloud dans un environnement hybride.

4. [Facultatif] Un serveur proxy inverse, qui, dans tous mes exemples, sera un serveur proxy d’application Web (WA-P).

5. [Facultatif] Vous pouvez également utiliser le serveur de fédération Active Directory (AD DS).

De plus, les assistants hybrides sont intégrés à chaque charge de travail pour vous aider à créer un partenariat avec votre Cloud afin que vous puissiez utiliser tous les outils à votre disposition (quel que soit l’endroit où ils se trouvent).

Si vous n’avez pas ADFS, ne soyez pas obligé à respecter la réglementation et ne souhaitez pas la complexité supplémentaire, ne l’utilisez pas. La fonction AAD Connect est conçue pour effectuer le travail (et l’intervalle de réplication est inférieur d’environ 3 heures à 30 minutes).

De nombreuses grandes entreprises disposent de certains de ces serveurs. Disposent de plusieurs contrôleurs de domaine Active Directory ou de serveurs ADFS. Si vous envisagez de configurer une connexion hybride, vous souhaiterez peut-être que d’autres administrateurs trouvent les ressources locales déjà présentes. Elle vous aide à déterminer si vous souhaitez utiliser des composants d’infrastructure existants ou nouveau.

Quels sont les serveurs en train de faire ?

Ignorez cette section si vous connaissez déjà ce que fait ces serveurs.

La plupart des personnes sont habituées aux opérations d’Active Directory (AD) : la façon dont elle énumère les utilisateurs et les objets d’un domaine ou d’une forêt (entre autres), et dans le cas de l’environnement hybride, il s’agit d’une base pour les utilisateurs qui seront répliqués sur le Cloud Microsoft. Les tâches de synchronisation (AAD Connect), d’ADFS et de WA-P (notre exemple de proxy inverse) sont un peu plus récentes et de plus en plus centrales pour le traitement des requêtes HTTPs et des identités hybrides, c’est pourquoi nous parlons de celles-ci.

ADF

Pour réviser, le travail des services de fédération Active Directory (AD DS) est d’aider les deux parties hybrides à reconnaître une autre et, par le biais de cela, Microsoft 365 va savoir et approuver le nom de domaine public (ou le cluster ADFS) auquel appartient un nom de domaine public vérifié. Cela permet une authentification unique. Cela signifie que lorsque les utilisateurs disposant d’un UPN associé apparaissent pour s’authentifier auprès de ressources en ligne, Microsoft 365 se familiarisera avec leur nom d’utilisateur principal et le serveur ADFS correspondant pour lui envoyer une authentification. Lorsque Heidi@contoso.com passe par le processus de connexion à Exchange Online, Microsoft 365 envoie une demande à votre local de sorte que l’utilisateur puisse s’authentifier auprès de l’authentification et soit confirmer qu’il est le personne qu’il prétend ou lui refuser. Cela peut se produire rapidement si le réseau et la configuration le permettent. Les services ADFS permettent de tirer parti de l’authentification unique : une fois que les utilisateurs se connectent à une session ADFS, le serveur ADFS intercepte en silence toutes les autres invites d’authentification (comme dans le cas d’un changement de charge de travail, par exemple) pour rappeler Microsoft 365 que vous êtes toujours le personne qui vous dit. Dans la mesure où certains services informatiques disposent de paramètres de conformité ou de sécurité des informations qui requièrent que les mots de passe restent en local, et non, les services ADFS sont facultatifs.

Proxy inverse

Web Access-proxy est un proxy inverse (RP) qui a été intégré aux systèmes d’exploitation Windows Server depuis la sortie 2012 R2. Un proxy inverse représente votre point de sortie pour agir au nom de votre batterie de serveurs. C’est un’côté’qui fait face à Internet et qui connaît le nom de domaine public de votre Microsoft 365 hybride, et un « côté » qui fait face à votre intranet ou votre réseau de périmètre et qui connaît le nom de domaine de vos ressources internes (comme votre URL de site SharePoint, par exemple). Elle intercepte toutes les demandes envoyées dans votre entreprise et vous permet de bloquer les ports, de limiter le trafic que vous acceptez sur Internet et de masquer les adresses internes et les URL de votre réseau dans le monde extérieur. Comme tous les RPs, il s’agit d’un proxy pour les serveurs internes sur votre réseau lorsque les utilisateurs en dehors du réseau essaient d’accéder à une ressource.

Hybrides SharePoint 2013 utilisez un proxy inverse comme WA-P pour intercepter le trafic entrant (des utilisateurs dans SPO, qui effectue des requêtes sur un index de recherche sur locaux dans le cadre de la Fédération de recherche), mais les hybrides du Cloud SharePoint 2016 placent l’index complet dans le Cloud. la nouvelle génération n’a plus besoin d’une nouvelle génération (c’est la raison pour laquelle elle est marquée comme étant facultative dans les diagrammes). Mais SharePoint 2013 n’est pas le seul endroit où vous verrez un proxy inverse utilisé pour intercepter le trafic non sollicité provenant d’Internet. Skype entreprise 2016 utilise l’une de ses configurations Edge et Exchange 2016 en utilise également une sur son bord. Dans la mesure où certaines situations le nécessitent, WA-P est facultatif.

Synchroniser

Le graphique que j’utilise montre « synchroniser » pour Azure Active Directory Connect. En fait, la synchronisation réalisée par AAD Connect implique le transit en continu des utilisateurs et/ou des informations utilisateur provenant de votre local et dans le Cloud. Le service AAD Connect peut faire deux choses : il réplique les comptes d’utilisateurs dans Microsoft 365 (réplication) et peut synchroniser les informations de mot de passe dans Microsoft 365 (il n’y a pas de synchronisation du mot de passe, mais un hachage non réversible qui représente le mot de passe-synchronisation). Il n’est pas nécessaire de synchroniser votre mot de passe, mais il synchronise toujours (réplique) vos comptes d’utilisateurs à partir d’Active Directory (ou d’une version filtrée de votre annuaire d’utilisateurs local).

La connexion AAD fonctionne avec des contrôleurs de domaine sains dans votre domaine Active Directory pour autoriser la connexion unique au lieu d’utiliser l’authentification unique d’ADFS. Même si vous vous connectez, vous pouvez vous connecter avec le même mot de passe que si ADFS intervient pour toutes les invites de votre session, vous vous connectez avec le même mot de passe que sur locaux (et, de manière présumée, sélectionner l’option de conservation de votre connexion afin de réduire le nombre d’invites qui résultat de la navigation sur plusieurs charges de travail). La connexion AAD pour la synchronisation n’est pas facultative.

Internet et Internet : parties hybrides disponibles en commun

En plus des serveurs locaux dans votre Microsoft 365 hybride et sur Internet est le Cloud de Microsoft, où, quelle que soit la charge de Microsoft 365, vous utiliserez des technologies familières. Il s’agit des éléments suivants :

• Enregistrements DNS publics

• Autorités de certification publiques

• Azure Active Directory (AAD)

• Microsoft 365 (licences/subs) et Microsoft 365 Assistant hybride

• Approbation de serveur à serveur (S2S)

• Acheminement rapide et/ou trafic Internet

• Modules PowerShell

Les bureaux d’enregistrement DNS publics, tels que GoDaddy, gèrent et permettent d’inscrire les noms de domaine. Si vous souhaitez utiliser la fonction hybride, vous devez inscrire un nom de domaine auprès d’un DNS public (cela peut déjà être fait pour vous dans de grandes entreprises). Ce nom de domaine sera ajouté à Microsoft 365, ce qui permettra également de vérifier que vous êtes propriétaire du nom de domaine public que vous ajoutez.

En règle générale, ce nom de domaine public est identique au nom d’utilisateur principal Active Directory attaché aux utilisateurs hybrides en local, mais ils ne sont pas pris en main sur ce détail. Avec l’introduction de l’attribut « onpremisessecurityidentifier » dans PowerShell, qui mappe l’identité à la clé de registre locale, en faisant correspondre le domaine enregistré dans Microsoft 365 avec le nom d’utilisateur principal des utilisateurs sur-locaux, n’est plus aussi critique qu’il n’en existe une fois. Il est plus important de savoir que vous aurez besoin d’un nom de domaine public que vous pouvez vous présenter, ce nom de domaine public sera enregistré dans Microsoft 365 et représentera votre Microsoft 365 présence de chaque côté de la connexion hybride.

Les autorités de certification publiques vous fournissent des certificats SSL/TLS approuvés pour chiffrer le trafic réseau. Dans chaque charge de travail, la communication hybride intervient sur une connexion chiffrée. Vous aurez besoin d’un certificat provenant d’une autorité de certification publique sur Internet. Les certificats d’utilisation et de cryptage SSL/TLS sont des pratiques standard et il existe généralement des processus de certificat public dans de grandes entreprises pour en faciliter le fonctionnement. Dans les petites entreprises, il est possible que vous deviez consulter votre interlocuteur, Microsoft 365 documentation et votre FAI.

Azure Active Directory ou Azure AD est en arrière-plan lorsque vous synchronisez/répliquez des utilisateurs de votre abonnement local à votre Microsoft 365 (votre environnement dans le Cloud). Ce service est exactement le même que celui utilisé dans Azure. Puissant et facilement mélangé dans Microsoft 365. Vous gérerez vos utilisateurs et les licences utilisateur dans ce répertoire. La gestion des licences dans le Microsoft 365 n’est pas réalisée automatiquement par un Assistant hybride. Les licences sont le coût de l’argent pour les clients, de sorte que les personnes et le nombre de licences Get ne sont pas créées automatiquement.

Microsoft 365 est entièrement la moitié de votre hybride. Il inclut des assistants hybrides en ligne par charge de travail. Ce n’est pas très efficace, mais c’est la façon dont le fonctionnement hybride fonctionne à partir de 2016 (ou, en d’autres termes, à la publication de SharePoint Server 2016, Exchange Server 2016 et Skype entreprise Server 2015, en local). C’est toutefois le moyen le plus simple de configurer tous les éléments d’un environnement hybride. Un Assistant hybride unique qui permettra aux clients de choisir les charges de travail à rendre hybride et de guider ce processus par charge de travail, ainsi qu’un centre de commandes hybride (tableau de bord d’administration Microsoft 365 ), qui peut signaler si les technologies utilisées par chaque hybride sont saines et/ou déjà en place n’existe pas encore.

Qu’est-ce que cela signifie ? Cela signifie que chaque Assistant effectue les mêmes étapes et souvent plusieurs fois. Chaque assistant active le protocole OAuth (approbation S2S) (par exemple, nous allons parler de OAuth plus tard). Certains assistants, tels que le sélecteur d’environnement hybride de la charge de travail SharePoint Online, s’installent OAuth quel que soit le bouton sur lequel vous cliquez (pour chaque sélection), qu’OAuth soit requis pour votre scénario hybride. D’autres assistants, tels que l’Assistant Exchange hybride, configurent le protocole OAuth en arrière-plan et une seule fois.

Une approbation S2S n’a pas besoin de traverser Internet, mais dans le cas d’une relation hybride, cette approbation doit. Un S2S ne ressemble pas à une approbation de domaine ou de forêt. Il n’y a pas de grand nombre de ports à ouvrir, et aucune intégration plus approfondie ne peut être créée entre les annuaires actifs. S2S crée une connexion approuvée entre votre batterie de serveurs SharePoint locale et une partie du Microsoft 365 Cloud appelé service de contrôle d’accès ou ACS (un serveur d’autorisation). La relation d’approbation repose sur un certificat SSL/TLS qui signe les jetons émis pour le compte des utilisateurs, que votre environnement local et le Microsoft 365 ACS s’engagent à être dignes de confiance : considérez-les comme un cinquième (et le service proxy ACS) et ACS de Azure pour chaque utilisateur valide qui accède au service. La communication sur l’identité des utilisateurs (raison de cette approbation) est accomplie via HTTP/443.

Les hybrides peuvent utiliser ici des certificats auto-signés ou publics. De nombreuses grandes entreprises choisissent des certificats publics en raison de leurs normes InfoSec, principalement en raison du fait que le trafic traverse/risque de traverser Internet, segment non fiable. S’il s’agit de SharePoint hybrides, il peut s’agir d’un nouveau certificat auto-signé ou d’une extraction du certificat de signature de jetons du SP STS local. (Si vous avez utilisé un nouveau certificat (public ou auto-signé) dans un environnement hybride SharePoint, vous devez remplacer le certificat de signature de jetons STS du SP sur tous les nœuds de la batterie de serveurs SharePoint.)

Le trafic d’une entreprise hybride quitte une entreprise d’un client, une entreprise, une connexion Internet et entre le Cloud Organization/Microsoft Microsoft 365 Cloud. Il existe un moyen de contourner ce segment non approuvé et non contrôlé, et c’est en utilisant un itinéraire rapide basé sur un fournisseur tiers de votre entreprise ou organisation dans le Cloud Microsoft 365. L’itinéraire rapide ignore Internet en proposant une connexion WAN privée au Cloud Microsoft. Néanmoins, il est important de savoir qu’en cas d’échec, le basculement est toujours Internet.

Tous les hybrides utilisent des modules PowerShell pour des parties de l’ensemble de la gestion ou de la configuration. Les modules dont vous aurez besoin seront probablement inclus dans l' Assistant de connexion de Microsoft Online Serviceset le module Azure Active Directory pour Windows PowerShell. Vous pouvez préparer des serveurs pour la configuration et la gestion de vos hybrides à l’avance en installant ces modules PowerShell fréquemment utilisés.

Communs aux ports et protocoles

Les hybrides sont 1/2 de votre Microsoft 365 et 1/2 (les hybrides Azure SaaS ou PaaS ne sont pas abordés dans ce document). Il est très probable que les deux moitiés s’exécutent sur HTTPs, mais au moins, la moitié de l' Microsoft 365 est d’une durée de 100% https/chiffrée par des certificats TLS, ce qui signifie qu’elle s’exécute via le port standard 443. Vous devez également vous assurer qu’un certificat public est associé au trafic sortant de votre point de sortie. C’est-à-dire que vous devez installer un certificat sur l’ordinateur qui parle de conversation sur le bord de votre réseau, ce trafic sera exécuté sur 443 et sera crypté.

Par défaut, tous les hybrides utilisent 443 (HTTPs) et 53 (DNS) pour le trafic hybride. D’autres utiliseront des ports supplémentaires comme le port 25 (SMTP). Toutefois, le cas le plus complexe de charges de travail hybrides pour les ports est Skype entreprise. Heureusement, les ports sont décrits.

Le protocole standout utilisé par tous les hybrides (hormis les tests de performance utilisés pour la recherche DNS, le trafic HTTPs et les autres normes) est OAuth (autorisation d’ouverture), qui est également utilisé dans la bibliothèque d’authentification Active Directory. Elle est utilisée quand une ressource serveur située sur un côté de la connexion doit agir de la part d’un utilisateur pour accéder aux ressources sur un autre serveur, souvent dans le Cloud. C’est un moyen par le biais duquel le niveau d’accès d’un fichier ou d’une ressource peut être utilisé pour l’utilisateur authentifié. Il s’agit également de l’authentification moderne (bien qu’OAuth désigne l’autorisation).

Toutes les charges de travail utilisent OAuth/S2S dans un environnement hybride (mais pas pour chaque fonctionnalité hybride). Les assistants hybrides configurent généralement ce protocole utile. Néanmoins, il n’y a pas d’unification de ces efforts sur les charges de travail, sans rapport avec l’État OAuth au client et sans moyen centralisé de gérer cette ressource universelle à partir d' 2016.

Dans certains cas, les assistants hybrides activent la fonction OAuth lorsque celle-ci n’est pas nécessaire (par exemple, quand le sélecteur d’environnement hybride de SharePoint active la redirection de OneDrive entreprise vers le Cloud) ou lors de chaque sélection d’une option hybride de l’Assistant (de nouveau, voir le sélecteur d’environnement hybride SharePoint) , ou même en dehors du sélecteur d’environnement hybride dans les scripts d’installation personnalisés, par exemple avec la recherche hybride dans le Cloud.

Tableau des éléments communs dans Microsoft 365 hybrides

Nous disposons maintenant d’une liste d’éléments communs qui ressemble à ce qui suit :

Le plus souvent, quelle que soit la charge de travail, l’objectif est de faire en sorte que les utilisateurs soient les mêmes dans toutes les limites, afin que nous puissions simplifier les deux principales fonctions d’un environnement hybride : Découvrez l’identité de votre utilisateur et ce qu’il est autorisé à faire avec les informations qu’il est autorisé à voir.

Une remarque sur « facultatif ».

Certains de ces éléments sont définis sur « facultatif », mais comment savoir si c’est nécessaire ? Certains éléments dans Microsoft 365 hybrides sont totalement facultatifs ou facultatifs dans le tableau :

À l’intérieur d’une hybride de travail, il existe d’autres fonctionnalités qui se trouvent dans une zone grise. Le plus important est probablement l’approbation S2S/OAuth. Cette approbation est conçue par chaque Assistant hybride créé à l’intérieur de Microsoft, et la relation d’approbation est créée par défaut, même si elle n’est pas requise, pour les hybrides d’une plus proche. Lorsque vous alliez hybride via un Assistant, cette fonctionnalité est activée. Or (comme nous l’avons vu plus haut), il n’est pas utilisé pour le moment dans tous les cas.

Un proxy inverse (WA-P dans notre exemple) est requis chaque fois qu’une demande non sollicitée est entrante dans l’organisation du client pour les données ou les informations (par exemple, lors de l’utilisation du BCS hybride, lors de la publication d’Office Web Apps ou d’Office Online Server pour l’aperçu des documents dans la recherche résultats). C’est également nécessaire lors de la publication d’un point de terminaison dans une DMZ de votre entreprise, par exemple lorsque Exchange utilise le serveur de la société avec un proxy ADFS (si vous utilisez les services ADFS dans un environnement Exchange hybride, vous aurez besoin de WA-P).

Des bords sont nécessaires pour maintenir des canaux de communication cohérents pour les discussions en cours dans Skype entreprise hybride et peuvent être utilisés pour acheminer le trafic SMTP vers le réseau à partir d’un périmètre dans un environnement Exchange hybride. Comme indiqué plus haut, le complément ADFS est utilisé pour l’authentification unique.

Il existe des tables similaires pour S2S, telles que ce tableau pour les serveurs SharePoint dans des configurations hybrides. Les tableaux comme celui-ci peuvent être créés à l’aide de la logique du protocole S2S, qui est utilisée quand une ressource serveur située d’un côté de la connexion hybride doit agir au nom d’un utilisateur pour accéder aux ressources sur un autre serveur dans le Cloud.

* Le sélecteur d’environnement hybride SharePoint doit toujours être activé, mais il s’agit d’une configuration hybride future.