Apa Office 365 hibrida memiliki kesamaan?

Hibrida

Ketika saya mengatakan hibrid, saya berarti kerja sama teknologi yang mitra aplikasi Anda sendiri dan Kelola dalam bisnis Anda dengan orang-orang yang kami mengelola di Cloud(s) Microsoft kami.

Definisi ini bekerja di tidak hanya Azure tapi beban kerja sebagian besar di Office 365. Jika Anda tidak tahu apa beban kerja adalah, dengan cara, aplikasi berjalan di platform awan Office 365-Skype for Business Online, Exchange Online dan SharePoint Online adalah contoh. 'Beban kerja' adalah cara untuk membuatnya berbeda dari mitra lokal, yang berguna untuk terus menulis dan percakapan dari mendapatkan membingungkan.

Hibrid pakaian menggunakan semua sumber, tak peduli di mana mereka berada.

Sumber daya perangkat keras di tempat di umum

Semua hibrida yang saya berbicara tentang berikut menyambungkan lingkungan pelanggan di seluruh Internet untuk Office 365 (dan direktori aktif Azure – AAD – di latar belakang karena bertindak sebagai direktori untuk Office 365). Infrastruktur mungkin suara sulit untuk mengonfigurasi. Meskipun apa Anda mungkin telah mendengar, tidak perlu gelar di 'apa pun-ology'. Bahkan, sebagian besar hibrida bekerja dengan cara yang sama dengan (untuk sebagian besar) persyaratan perangkat keras sama.

Pada 2016 berikut ini adalah elemen yang memerlukan hibrida semua. Mana hal bersifat opsional, saya akan mengatakan begitu.

Semua beban kerja Office 365 hibrid memiliki hal-hal ini baik:

1. Beberapa server di tempat (seperti Layanan SharePoint atau Skype for Business lingkungan).

2. Aktif direktori di tempat di mana pengguna live atau 'ditempatkan' (dalam terminologi S4B).

3. Server Azure Active Directory menyambungkan (AAD menyambungkan) (yang mungkin sendiri atau dikombinasikan dengan server lain, seperti WA-P). Ini diwakili oleh ikon 'Sinkronisasi' karena AAD menyambungkan digunakan untuk menyinkronkan akun dari lokal ke awan di hibrid.

4. [Opsional] Server reverse proxy, yang, di semua contoh, akan server proksi aplikasi Web (WA-P).

5. [Opsional] Anda juga bisa menggunakan Server Federasi direktori aktif (atau ADFS).

Juga, panduan hibrid dibangun ke setiap beban kerja untuk membantu Anda mitra dengan awan Anda sehingga Anda bisa menggunakan alat yang Anda inginkan (tak peduli di mana mereka live).

Jika Anda tidak memiliki ADFS, memiliki tidak ada permintaan kepatuhan yang memerlukan, dan tidak ingin kerumitan tambahan, tidak menggunakannya. Menyambungkan AAD dirancang untuk menyelesaikan pekerjaan (dan interval replikasi adalah ke bawah dari kira-kira 3 jam hingga 30 menit, yang merupakan peningkatan berguna untuk membuat).

Banyak perusahaan besar memiliki beberapa server di tempat. Banyak memiliki pengontrol domain direktori aktif, atau mungkin memiliki server ADFS. Jika Anda sedang mempertimbangkan tentang penyetelan hibrid, Anda mungkin ingin Tanyakan kepada administrator lain untuk mencari tahu apa sumber daya lokal sudah ada di tempat. Ini akan membantu Anda untuk menentukan apakah Anda ingin menggunakan potongan infrastruktur yang sudah ada, atau baru.

Apa yang sedang server ini?

Melewatkan bagian ini jika Anda sudah mengetahui apa yang sedang server ini.

Sebagian besar orang adalah terbiasa operasi dari direktori aktif (AD)--bagaimana menyesuaikan pengguna dan objek di domain atau hutan (antara lain)--dan dalam kasus hibrid, itu basis untuk pengguna yang akan direplikasi ke Microsoft Cloud. Pekerjaan sinkronisasi (AAD menyambungkan), ADFS dan WA-P (contoh kami Reverse Proxy) sedikit lebih baru, dan lainnya pusat pemrosesan hibrid HTTPS permintaan dan identitas Mari berbicara tentang mereka.

ADFS

Untuk meninjau, pekerjaan Active Directory Federation Services untuk membantu kedua sisi hibrid dikenali satu sama lain, dan maksud saya, Office 365 akan kenal dan percaya ADFS (atau kluster ADFS) milik nama domain terverifikasi publik. Ini memungkinkan tunggal-masuk. Yang berarti bahwa ketika pengguna dengan UPN terkait muncul untuk mengautentikasi terhadap sumber daya online, Office 365 akan mengetahui UPN mereka dan server ADFS apa tertentu untuk mengirim pengguna ke untuk autentikasi. Ketika Heidi@contoso.com masuk melalui proses masuk untuk Exchange Online, Office 365 akan mengirimkan permintaan kata ke tempat Anda sehingga ADFS bisa campur di autentikasi dan baik konfirmasi ia yang ia klaim, atau menolak padanya. Ini bisa terjadi dengan cepat jika jaringan dan konfigurasi memperbolehkannya. ADFS digunakan jika Anda ingin memaksimalkan, single sign-on: setelah pengguna masuk ke sesi ADFS, ADFS server secara diam-diam penyadapan perintah autentikasi lainnya (seperti yang terjadi ketika beralih antara beban kerja, misalnya) untuk mengingatkan Office 365 bahwa Anda masih yang Anda katakan Anda. Karena beberapa departemen TI memiliki kepatuhan atau pengaturan keamanan informasi yang meminta kata sandi tetap di tempat, dan beberapa tidak, ADFS bersifat opsional.

Reverse Proxy

Proksi akses web adalah reverse proxy (RP) yang telah dibuat menjadi sistem operasi Server Windows sejak 2012 R2 dirilis. Proksi terbalik berdiri di titik keluar untuk bertindak atas nama layanan Anda. Memiliki '' yang menghadap ke internet dan mengetahui nama domain publik hibrid Office 365 Anda, 'pihak dan ' yang menghadap ke jaringan Anda intranet atau perimeter dan mengetahui nama domain Anda sumber daya internal (seperti URL SharePoint Anda situs, misalnya). Penyadapan semua permintaan masuk bisnis Anda dan memungkinkan Anda untuk memblokir Port, mempersempit lalu lintas Anda akan menerima dari Internet, dan menyembunyikan internal alamat dan URL untuk jaringan Anda dari dunia luar. Seperti semua RPs, itu proksi untuk server internal di jaringan Anda setiap kali pengguna di luar jaringan mencoba untuk masuk ke sumber daya.

SharePoint 2013 hibrida menggunakan proksi terbalik seperti WA-P untuk intercept masuk lalu lintas (dari pengguna di SPO membuat kueri terhadap indeks pencarian di tempat dalam kasus Federasi pencarian), tapi karena SharePoint 2016 awan hibrida tempat seluruh indeks di awan, generasi tidak lagi memerlukan salah (yang merupakan satu-satunya alasan mengapa ini telah menandai opsional dalam diagram). Tapi SharePoint 2013 tidak satu-satunya tempat di mana Anda akan melihat reverse proxy digunakan untuk intercept lalu lintas tidak diinginkan yang berasal dari internet. Skype untuk bisnis 2016 menggunakan satu dengan konfigurasinya tepi, dan Exchange 2016 menggunakan salah satu di tepi juga. Karena beberapa situasi memerlukannya, WA-P opsional.

Sinkronisasi

Grafik yang saya gunakan memperlihatkan 'Sinkronisasi' untuk direktori aktif Azure menyambungkan. Benar-benar, sinkronisasi yang dilakukan oleh AAD menyambungkan melibatkan perjalanan sedang berlangsung pengguna dan/atau informasi pengguna Anda di tempat dan ke awan. Menyambungkan AAD bisa melakukan dua hal: menggandakan akun pengguna ke Office 365 (replikasi), dan bisa menyinkronkan kata sandi informasi ke Office 365 (benar-benar itu tidak sinkron kata sandi, tapi hash non-reversible yang mewakili kata sandi-sinkronisasi). Tidak harus 'menyinkronkan kata sandi Anda', namun selalu menyinkronkan (Ulangan) akun pengguna Anda dari direktori aktif (atau beberapa difilter versi dari direktori pengguna di tempat)!

Menyambungkan AAD bekerja dengan pengontrol domain sehat di domain direktori aktif untuk memungkinkan 'sama sign-on' daripada ADFS tersebut 'single sign-on'. Masuk sama berarti bahwa, alih-alih masuk dalam satu waktu dan memiliki ADFS campur untuk semua permintaan untuk sesi Anda, Anda masuk dengan kata sandi yang sama seperti di tempat (dan, mungkin, pilih opsi untuk menjaga diri Anda masuk untuk mengurangi jumlah meminta yang hasil dari menavigasi beban kerja beberapa). Menyambungkan AAD untuk sinkronisasi bukan opsional.

Komponen hibrid internet dan Internet tersedia di umum

Berhadapan server di tempat di hibrid O365 Anda dan di seluruh Internet adalah Microsoft Cloud, tempat – terlepas dari beban kerja Office 365-Anda akan menggunakan beberapa teknologi yang sudah tak asing lagi. Ini adalah:

• Catatan DNS yang umum

• Otoritas sertifikat publik

• Direktori Aktif Azure (AAD)

• Office 365 (lisensi/sub) dan panduan hibrid Office 365

• Kepercayaan server-ke-server (S2S)

• Menyatakan merutekan dan/atau lalu lintas Internet

• Modul PowerShell

Pencatat DNS publik, seperti GoDaddy, mengelola dan Perbolehkan pendaftaran nama domain. Jika Anda ingin menggunakan hibrid, Anda akan perlu mendaftarkan nama domain publik DNS (ini mungkin sudah dilakukan untuk Anda di perusahaan besar). Nama domain ini akan ditambahkan ke Office 365, yang juga akan memverifikasi bahwa Anda pemilik nama domain publik yang Anda tambahkan.

Tradisional, nama publik domain ini adalah sama dengan UPN direktori aktif yang dilampirkan ke pengguna hibrid di tempat, tapi jangan terjebak di detail ini. Dengan munculnya atribut 'onpremisessecurityidentifier' di PowerShell, yang peta identitas ke di tempat SID, cocok domain terdaftar di O365 dengan UPN pengguna di tempat tidak lagi penting seperti dulu. Lebih penting untuk diketahui Anda akan memerlukan nama domain publik yang bisa Anda membuktikan pemilik, nama domain umum ini akan terdaftar di Office 365 dan akan mewakili kehadiran Office 365 Anda pada salah satu sisi koneksi hibrid.

Otoritas sertifikat publik memberi Anda sertifikat SSL/TLS dapat dipercaya untuk mengenkripsi lalu lintas jaringan Anda. Di setiap beban kerja, komunikasi hibrid berlangsung melalui koneksi terenkripsi. Anda akan memerlukan sertifikat dari Otoritas sertifikat publik di Internet. Memulai dan SSL/TLS sertifikat merupakan praktik yang standar dan tidak ada proses sertifikat biasanya publik di perusahaan besar untuk melakukan ini. Di perusahaan yang lebih kecil, Anda mungkin perlu perhatikan dokumentasi Office 365, ISP Anda dan orang TI Anda.

Direktori Aktif Azure, atau Azure AD, berada di latar belakang saat Anda menyinkronkan / replikasi pengguna dari tempat Anda ke langganan Office 365 Anda (Anda awan tempat). Ini adalah sama persis direktori aktif yang digunakan dalam Azure lebih luas. Kuat, dan dengan mulus berpadu ke Office 365. Anda akan mengelola pengguna dan lisensi pengguna di direktori ini Anda. Mengelola lisensi di Office 365 tidak dilakukan secara otomatis oleh panduan hibrid apa pun. Lisensi biaya pelanggan, sehingga keputusan yang dan berapa banyak mendapatkan lisensi tidak dibuat secara otomatis.

Office 365 adalah sepenuhnya setengah hibrid Anda. Memiliki hibrid online panduan per beban kerja. Ini tidak sangat efisien, tetapi ini adalah cara hibrid kerja pada 2016 (atau, dengan kata lain, seperti rilis SharePoint Server 2016, Exchange Server 2016 dan Skype for Business Server 2015, lokal). Tapi ini bukan cara paling sederhana untuk mengkonfigurasi semua elemen hibrid. Panduan hibrid tunggal yang akan memungkinkan pelanggan untuk memilih beban kerja mana untuk membuat hibrid, dan berjalan-melalui proses per beban kerja, serta hibrid perintah pusat – O365 administratif dasbor-yang bisa laporan Apakah teknologi yang digunakan oleh hibrid setiap sehat dan/atau sudah di tempat belum ada.

Apa artinya ini? Artinya panduan setiap melakukan langkah yang sama, dan sering kali lebih dari sekali. Panduan setiap mengaktifkan OAuth (S2S kepercayaan) misalnya (berlanjut tentang OAuth nanti). Beberapa panduan, seperti pemilih hibrid beban kerja SharePoint Online, instal OAuth tak peduli apa tombol Anda mengklik (untuk setiap pilihan yang Anda buat), OAuth Apakah diperlukan untuk skenario hibrid Anda. Panduan lain, seperti panduan hibrid Exchange, menyiapkan OAuth di latar belakang, dan sekali saja.

Kepercayaan S2S tidak perlu silang internet, tapi dalam kasus hibrid, kepercayaan ini harus. S2S tidak seperti domain atau hutan kepercayaan. Tidak ada sejumlah besar Port untuk membuka, dan tidak ada integrasi yang lebih mendalam untuk membuat antara direktori aktif. S2S membangun koneksi tepercaya antara Layanan SharePoint di tempat dan awan Office 365 disebut akses kontrol layanan atau ACS (otorisasi server). Percayai berdasarkan sertifikat SSL/TLS yang tanda token diterbitkan atas nama pengguna, Anda di tempat dan di O365 ACS keduanya setuju yang dapat dipercaya – memikirkan seperti TOS antara SharePoint di tempat (dan layanan proksi ACS) dan Azure ACS untuk setiap valid pengguna mengakses layanan. Komunikasi tentang identitas pengguna (alasan kepercayaan) dilakukan melalui HTTP 443.

Hibrida bisa menggunakan sertifikat yang ditandatangani sendiri atau publik di sini. Banyak perusahaan besar akan Pilih sertifikat publik karena standar InfoSec mereka – sebagian besar karena lalu lintas melintasi/mungkin silang Internet, segmen tidak tepercaya. Untuk SharePoint hibrida, sertifikat ini bisa berupa sertifikat yang ditandatangani sendiri baru atau yang diekstrak dari SP STS token yang ditandatangani sertifikat lokal. (Jika Anda menggunakan sertifikat baru (publik atau ditandatangani sendiri) di SharePoint hibrid Anda perlu mengganti sertifikat penandatanganan SP STS Token pada semua node Layanan SharePoint.)

Lalu lintas pada hibrid membiarkan klien perusahaan/organisasi, melintasi internet, dan masuk Microsoft organisasi/Microsoft Office 365 awan. Ada cara untuk melewati segmen ini tidak tepercaya dan tidak, dan yang memiliki dengan menggunakan penyedia pihak ke-3 Berdasarkan Express merutekan dari perusahaan atau organisasi ke awan Office 365. Menyatakan merutekan bypasses internet dengan menawarkan koneksi WAN pribadi ke Microsoft Cloud. Namun, sangatlah penting untuk menyadari bahwa dalam kasus di mana WAN mengalami kegagalan, mundur masih Internet.

Semua hibrida Manfaatkan PowerShell modul untuk komponen manajemen atau konfigurasi. Modul yang paling Anda akan memerlukan mungkin akan menyertakan Microsoft Online Services Sign-In Assistant, dan Azure Active Directory Module untuk Windows PowerShell. Anda bisa menyiapkan server untuk konfigurasi dan manajemen hibrida Anda terlebih dahulu dengan menginstal ini sering digunakan PowerShell modul.

Port dan protokol sama

Hibrida adalah ½ Anda di tempat, dan ½ Office 365 (hibrida Azure SaaS atau PaaS tidak dicakup dalam dokumen ini). Ada kemungkinan besar bagian kedua Jalankan di HTTPs, tapi setidaknya, Office 365 setengah adalah 100% https/dienkripsi dengan TLS sertifikat, yang berarti berjalan standar port 443. Anda harus memastikan bahwa publik sertifikat terkait dengan lalu lintas keluar dari titik keluar terlalu. Yaitu, Anda mungkin perlu menginstal sertifikat di komputer yang melakukan berbicara di tepi jaringan Anda – lalu lintas ini akan berjalan lebih dari 443 dan dienkripsi.

Semua hibrida akan menggunakan 443 (HTTPS) dan 53 (DNS), secara default, untuk lalu lintas hibrid. Beberapa akan menggunakan Port tambahan seperti port 25 (SMTP). Tapi kasus paling kompleks di beban kerja hibrid untuk Port Skype for Business. Untungnya, Port yang terdokumentasikan.

Protokol menonjol yang digunakan oleh semua hibrida (selain benchmark digunakan untuk pencarian DNS, lalu lintas HTTPS, SMTP dan standar lainnya), adalah OAuth (buka otorisasi), yang juga digunakan dalam Active Directory Authentication Library. Digunakan bila sumber daya server pada satu sisi koneksi bertindak atas nama pengguna untuk mengakses sumber daya pada server lainnya, sering, di awan. Ini adalah cara yang tingkat akses pengguna ke file atau sumber daya bisa diukur untuk pengguna terautentikasi. Ini juga disebut 'Autentikasi Modern' (meskipun OAuth merujuk ke otorisasi).

Semua beban kerja menggunakan OAuth/S2S saat dalam hibrid (meskipun tidak untuk setiap fitur hibrid). Panduan hibrid biasanya menyiapkan protokol berguna ini secara otomatis. Namun, ada adalah tanpa adanya upaya ini seluruh beban kerja, tanpa pelaporan OAuth status untuk pelanggan, dan tidak ada cara terpusat untuk mengelola sumber daya ini universal pada 2016.

Dalam beberapa kasus, panduan hibrid mengaktifkan OAuth ketika tidak diperlukan (seperti saat pemilih hibrid SharePoint mengaktifkan ini untuk OneDrive for Business Alihkan ke awan), atau di setiap pilihan opsi hibrid di panduan (lagi, lihat pemilih hibrid SharePoint) , atau bahkan luar pemilih hibrid di skrip kustom penyetelan, seperti dengan pencarian hibrid awan.

Tabel umum elemen dalam hibrida Office 365

Jadi sekarang kami memiliki daftar umum elemen yang terlihat seperti ini:

Akhirnya, seluruh semua beban kerja tujuannya adalah untuk mendapatkan pengguna harus sama lintas batasan agar kami bisa menyederhanakan dua fungsi yang paling penting hibrid Apakah-mencari tahu identitas pengguna Anda, dan apa yang telah ia memungkinkan harus saya lakukan dengan informasi yang telah ia memungkinkan untuk melihat.

Catatan tentang 'Opsional'

Beberapa elemen-elemen ini diatur ke 'opsional', tapi bagaimana Anda mengetahui jika mereka yang diperlukan? Beberapa elemen di O365 hibrida benar-benar opsional atau tidak opsional di papan:

Di dalam hibrid bekerja ada fitur lain yang termasuk dalam area berwarna abu-abu. Mungkin yang paling penting adalah S2S mempercayai / OAuth. Kepercayaan yang dibuat oleh setiap panduan hibrid yang dibuat dalam Microsoft, dan kepercayaan yang dibuat secara default, bahkan saat tidak diperlukan, agar hibrida 'masa depan-bukti'. Setelah Anda pergi hibrid melalui panduan, fitur ini akan ada di. Tapi (seperti yang Anda lihat sebelumnya) saat ini tidak digunakan di semua kasus.

Membalik proksi (WA-P dalam contoh kami) diperlukan setiap kali ada permintaan yang tidak diinginkan yang masuk ke organisasi pelanggan untuk data atau info (seperti kapan menggunakan hibrid BCS, saat penerbitan Office Web Apps atau Office Online Server untuk pratinjau dokumen dalam pencarian hasil). Ada juga perlu saat penerbitan titik akhir ke DMZ perusahaan Anda, seperti ketika Exchange menggunakan WA-P sebagai proksi ADFS (jadi jika Anda menggunakan ADFS di hibrid Exchange Anda akan memerlukan WA-P).

Tepi yang diperlukan untuk mempertahankan saluran komunikasi yang konsisten untuk sedang berlangsung obrolan di Skype for Business hibrid, dan bisa digunakan untuk merutekan lalu lintas SMTP ke jaringan dari perimeter di hibrid Exchange. Seperti yang dibahas, ADFS digunakan untuk satu-masuk.

Ada serupa tabel untuk S2S, seperti tabel ini untuk SharePoint Server di konfigurasi hibrid. Tabel seperti ini bisa dibuat dengan menggunakan logika S2S protokol, yang digunakan saat memiliki sumber daya server pada satu sisi koneksi hibrid untuk bertindak atas nama pengguna untuk mengakses sumber daya server lain di awan

* Pemilih hibrid SharePoint masih akan mengaktifkan OAuth, tapi ini adalah untuk konfigurasi hibrid mendatang apa pun.