Resolver un error de restauración del buzón de Exchange Online Se restauró el usuario de Office 365: se eliminó el valor ImmutableID | Parte 23#23
En el artículo actual, proporcionamos instrucciones paso a paso para resolver un error típico de restauración de buzones de Exchange Online en el entorno de sincronización de directorios de Office 365.
- El error de restauración del buzón se realiza al restaurar la cuenta de usuario de Office 365 eliminada temporalmente, en lugar de restaurar la cuenta de usuario de Active Directory local eliminada temporalmente.
- La solución propuesta se basa en el concepto de "Fomentar" el proceso SOFT Match de sincronización de directorios eliminando el valor ImmutableID del usuario de Office 365.
En nuestro escenario Exchange, el buzón en línea se eliminó debido a un evento en el que se eliminó una cuenta de usuario de Active Directory local.
- El usuario de Active Directory local "vinculado" a su cuenta de usuario de Office 365 "réplica"
- La cuenta de usuario de Office 365 tenía asignada la licencia de Exchange Online y el buzón de Exchange Online.
El error de restauración común es que, en lugar de restaurar la cuenta de usuario de Active Directory local original que eliminó, el administrador realiza las siguientes acciones:
- La cuenta de usuario de Office 365 eliminada temporalmente restaurada y el buzón de Exchange Online que se "adjuntó" a la cuenta de usuario de Office 365.
- Un NUEVO usuario de Active Directory local que aparentemente tiene detalles idénticos a los de la cuenta de usuario eliminada creada y la información está sincronizada con el Directorio de Office 365.
La solución ofrecida para este escenario de error de restauración es un "pequeño truco", que describo como "fomentar la coincidencia estricta de sincronización de directorios".
El truco se implementó eliminando el valor ImmutableID de la cuenta de usuario de Office 365 eliminada temporalmente.
Sé que en estos momentos la descripción del problema y la descripción de la solución, parece un poco vaga pero, ten paciencia, se descubre después.
Cuenta de usuario de Office 365 restaurada en lugar del usuario de Active Directory local | Los personajes de Exchange Online restauran el error
Para poder entender mejor:
- ¿Cuáles son los caracteres de la “Operación incorrecta de recuperación del buzón de correo en línea de Exchange” en la que se crea una NUEVA cuenta de usuario de Active Directory?
- ¿Cuáles son los resultados de esta “Operación incorrecta de recuperación del buzón de correo en línea de Exchange”?
- ¿Cuál es la solución ofrecida que implementaremos para tratar la "Operación de recuperación del buzón de correo en línea de Exchange incorrecto?"
Usemos el siguiente escenario:
Infraestructura de correo de la organización
- Una organización utiliza los servicios de Office 365 y Exchange Online como infraestructura de correo.
Infraestructura de directorio
- La administración de directorios se implementa a través de Active Directory local y del servidor de sincronización de directorios (Azure AD Connect).
- El servidor de sincronización de directorios es responsable de sincronizar la información del Active Directory local local con el Directorio de Office 365 (Azure Active Directory).
El evento de eliminación
- La cuenta de usuario local de Active Directory llamada Nicki (cuyo nombre de inicio de sesión es Nicki@o365info.com) se eliminó (número 1).
- La información sobre la “eliminación de usuarios de Active Directory local”, sincronizada por el servidor de sincronización de directorios (Azure AD Connect) con el directorio de Office 365 (Azure Active Directory) (número 2).
- El resultado es que la cuenta de usuario de Office 365 de Nicki que "vinculada" a la cuenta de usuario de Active Directory local eliminada de Nicki y también eliminada(número 3).
- Cuando se eliminó la cuenta de usuario de Nicki Office 365, la licencia de Exchange Online que se asignó a la cuenta de usuario de Nicki Office 365 se eliminó (eliminada) (número 3) .
- Azure Active Directory sincroniza la información con la infraestructura de Exchange Online.
- Cuando Exchange Online obtiene la información sobre el hecho de que se eliminó la licencia de Nicki Exchange Online, Exchange Online elimina el buzón de correo de Nicki Exchange Online (número 4).
La solicitud de restauración
El administrador recibió una solicitud para: recuperar el buzón de correo eliminado de Nicki Exchange Online y permitir que Nicki acceda a su buzón de correo de Exchange Online restaurado.
El proceso "correcto" para recuperar Exchange Online en el entorno de sincronización de directorios
Se suponía que el proceso de restauración "correcto" comenzaría con la recuperación de la cuenta de usuario de Active Directory local eliminada temporalmente de Nicki, y se suponía que el resto de los pasos de recuperación del buzón de correo de Exchange Online "avanzarían" automáticamente.
Puede leer más información sobre el “procedimiento correcto” para recuperar Exchange Online en un entorno de sincronización de directorios en el artículo - Los caracteres especiales de la sincronización de directorios en un entorno de Office 365 | Artículo 2#2 | Parte 12#23
Los personajes principales del error del buzón de restauración de Exchange Online
El error de recuperación del buzón de Exchange Online
El centro de administración de Office 365 ofrece una interfaz de administración fácil de usar que nos permite realizar diversas tareas.
Por ejemplo, restaurar una cuenta de usuario eliminada temporalmente de Office 365 es un proceso fácil y sencillo cuando se utiliza el centro de administración de Office 365 frente a la interfaz de Active Directory local, que puede considerarse más complicada o menos fácil de usar.
Debido a que es más fácil realizar la "operación de restauración del usuario" a través de la interfaz de administración de Office 365, el "plan" del Administrador, compuesto por las siguientes partes:
Fase 1#2
- Restaurar la cuenta de usuario de Office 365 eliminada temporalmente de Nicki. El proceso de restauración también debería restaurar la licencia de Exchange Online asignada a la cuenta de usuario eliminada temporalmente de Nicki. Cuando se restablezca la licencia de Exchange Online de Nicki, también se restaurará el buzón de Exchange Online.
Fase 2#2
- Crear una NUEVA cuenta de usuario de Active Directory local, con detalles aparentemente idénticos a los de la “cuenta de usuario de Nicki eliminada” (el mismo nombre de inicio de sesión y la misma dirección de correo electrónico). En nuestro ejemplo, el nombre de inicio de sesión configurado para la NUEVA cuenta de usuario de Active Directory es: Nicki@o365info.com.
- Activar el proceso de sincronización de directorios y sincronizar la información sobre la cuenta de usuario de Active Directory local Nicki “recuperada” con - Directorio de Office 365 (Azure Active Directory).
La suposición subyacente del Administrador era que cuando se ejecute el proceso de sincronización del directorio, el mecanismo de Soft Match se ejecutará automáticamente.
El resultado esperado fue que el mecanismo de coincidencia suave de sincronización de directorios “unirá” la NUEVA cuenta de usuario de Active Directory local de Nicki con Azure Active Directory - Eliminación suave de Nicki. cuenta de usuario, porque tienen el mismo nombre de usuario y la misma dirección de correo electrónico.
Puede leer más información sobre el mecanismo Soft Match de sincronización de directorios en el artículo - Los caracteres especiales de la sincronización de directorios en un entorno de Office 365 | Artículo 1#2 | Parte 11#23
El resultado
Fase 1#2
- Cuenta de usuario de NickiOffice 365 restaurada correctamente + licencia de Nicki Exchange Online.
- Nicki El buzón de Exchange Online se restauró correctamente.
- Nicki El estado de la cuenta de usuario de Office 365 cambió a "en la nube" en lugar del estado anterior: sincronizado con Active Directory. En otras palabras, la cuenta de usuario Nicki ya no se considera "cuenta de usuario sincronizada".
Fase 2#2
Cuando el Administrador activa el proceso de sincronización del Directorio, ocurre un fenómeno extraño:
- La cuenta de usuario de Nicki Office 365 se elimina junto con la licencia de Nicki Exchange Online.
- Se elimina el buzón de correo de Nicki Exchange Online.
La razón de este extraño fenómeno es una "colisión" entre la NUEVA cuenta de usuario de Nicki On-Premise Active Directory y la cuenta de usuario de Nicki Office 365 que se restauró porque la cabina de las cuentas de usuario se ha desactivado. el mismo nombre de inicio de sesión y la misma dirección de correo electrónico (Nicki@o365info.com).
El elemento “responsable” de este “comportamiento extraño” es el servidor de sincronización de directorios (Azure AD Connect).
Para mí, parece un "problema" en la forma en que el servidor de sincronización de directorios (Azure AD Connect) interpretó este "evento". "
En lugar de informar sobre un proceso de sincronización fallido, el servidor de sincronización de directorios (Azure AD Connect) "indica" a Azure Active Directory que elimine la cuenta de usuario de Office 365.
Este "problema" probablemente se solucionará en el futuro, por lo que el servidor de sincronización de directorios (Azure AD se conecta) simplemente informará sobre una colisión entre dos cuentas de usuarios en lugar de eliminar la cuenta de usuario de Office 365.
El resultado
Nicki no puede acceder a su buzón de Exchange Online. Incluso si restauramos nuevamente la cuenta de usuario de Office 365 eliminada temporalmente de Nicki , cada tres horas, se eliminará la cuenta de usuario de Nicki Office 365 y su buzón de Exchange Online.
Descripción de la solución ofrecida: fomente un proceso de coincidencia suave eliminando el valor ImmutableID de la cuenta de usuario de Office 365.
La solución propuesta
Elimine el atributo ImmutableID de la cuenta de Office 365 restaurada.
En la sección actual, implementaremos una solución que describo como: “Fomentar el proceso Soft Match de sincronización de directorios. "
Utilizo el término "Fomentar" porque, en nuestro escenario, la coincidencia suave entre la NUEVA cuenta de usuario de Active Directory y la cuenta de usuario restaurada de Office 365 no se producirá de forma predeterminada.
Para poder “activar” el proceso Soft Match de sincronización de directorios, utilizaremos el siguiente truco:
Paso 1#2: Eliminar el valor ImmutableID (atributo sourceAnchor) de la cuenta de usuario de Office 365.
Accederemos a las propiedades de la cuenta de usuario de Office 365 restaurada (mediante PowerShell) y eliminaremos el valor de ImmutableID.
Paso 2#2 - Activar la sincronización del directorio
En este paso, todo lo que tenemos que hacer es activar el proceso de sincronización del directorio.
Después de un breve período, veremos que el estado de la cuenta de usuario de Nicki Office 365 se actualiza de “En la nube” a un estado de - sincronizado con Active Directory. .
En caso de que te preguntes cómo ocurrió esta “magia”, la respuesta es la siguiente:
Cuando el servidor de sincronización de directorios sincroniza la información sobre el NUEVO usuario de Active Directory cuyo nombre de inicio de sesión es: Nicki@o365info.com, el "aviso" de sincronización de directorios indica que hay un usuario de Office 365 que también usa un nombre de inicio de sesión idéntico.
El proceso de sincronización del directorio "comprende" que las dos cuentas de usuario están relacionadas entre sí y probablemente necesitan estar conectadas.
La sincronización del Directorio activará el proceso Soft Match.
El proceso de "Partida suave" conducirá al resultado de "Partida dura".
El término "Hard Match" describe un proceso en el que el valor GUID de la NUEVA cuenta de usuario de Active Directory se convertirá y guardará como el valor ImmutableID de la cuenta de Nicki Office 365 . .
En caso de que se pregunte por qué necesitamos implementar todo este paso complejo, la respuesta es que antes de eliminar el valor ImmutableID del usuario de Office 365 Nicki eliminado temporalmente, la sincronización del directorio no puede activar el proceso de coincidencia suave porque la sincronización del directorio no puede "decidir por sí mismo" eliminar un valor ImmutableID de usuario de Office 365 existente.
Puede leer más información sobre el mecanismo Soft Match de sincronización de directorios en el artículo - Los caracteres especiales de la sincronización de directorios en un entorno de Office 365 | Artículo 1#2 | Parte 11#23
El desafío
La cuenta de usuario de Nicki Office 365 que queremos abordar y eliminar su valor ImmutableID se considera eliminada temporalmente.
En este momento, PowerShell no ofrece la opción de eliminar el valor ImmutableID de una cuenta de usuario de Office 365 eliminada temporalmente (el comando de PowerShell mostrará un error).
Por este motivo, necesitaremos restaurar nuevamente la cuenta de usuario de Office 365 eliminada temporalmente de Nicki y, solo entonces, usar el comando de PowerShell requerido que eliminará el valor ImmutableID .
Implementar la solución de: Fomentar un proceso de coincidencia suave eliminando el valor ImmutableID de la cuenta de usuario de Office 365.
En las siguientes secciones, demostraremos un escenario que incluye las siguientes partes:
- Paso 1#3: Simular el evento en el que se elimina la cuenta de usuario de Active Directory local.
- Paso 2#3: Simular el error de restauración del buzón de Exchange Online.
- Paso 3#3 - Solucionar el error de restauración del buzón de Exchange Online: elimine el valor ImmutableID de la cuenta de usuario de Office 365 y active el proceso de sincronización del directorio.
Paso 1#3: Simular el evento en el que se elimina la cuenta de usuario de Active Directory local.
En la siguiente captura de pantalla, podemos ver esa cuenta de usuario de Office 365 de Nicki que se considera “cuenta de usuario de Office 365 sincronizada”. Podemos ver que el estado del tipo de sincronización de Nicki está - sincronizado con Active Directory.
Se eliminó la cuenta de usuario de Active Directory local de Nicki y la información se sincronizó mediante el servidor de sincronización de directorios (Azure AD Connect) con el directorio de Office 365 (Azure Active Directory).
El resultado es que la cuenta de usuario de Office 365 Nicki que "vinculada" a la cuenta de usuario de Active Directory local eliminada de Nicki también se eliminó.
Cuando se eliminó la cuenta de usuario de Nicki Office 365, la licencia de Exchange Online que se asignó a la cuenta de usuario de Nicki Office 365 se eliminó (eliminó).
Azure Active Directory sincroniza la información con la infraestructura de Exchange Online.
Cuando Exchange Online obtiene la información sobre el hecho de que se eliminó la licencia de Nicki Exchange Online, Exchange Online elimina el buzón de correo de Nicki Exchange Online.
Paso 2#3: Simular el error de restauración del buzón de Exchange Online.
En esta sección, simularemos el "error de restauración del buzón de Exchange Online" implementado por el Administrador.
El buzón de Exchange Online restaura la fase de error 1#2
En lugar de utilizar el "proceso de restauración correcto", en el que se suponía que se restauraría Nicki el directorio activo local eliminado temporalmente, el administrador accede al centro de administración de Office 365 y restaura a Nicki . Cuenta de usuario eliminada temporalmente de Office 365.
El proceso de restauración se completó con éxito, pero debemos tener en cuenta un dato muy importante: el estado del Tipo de sincronización de Nicki cambió a "En la nube ". ”.
En palabras simples, el "vínculo" entre la cuenta de usuario de Nicki Office 365 y la cuenta de usuario de Nicki Active Directory (que se eliminó) está "cortada".
Otra cosa importante que no podemos ver en la interfaz gráfica del centro de administración de Office 365 es que el valor ImmutableID de Nicki no fue eliminado . Más adelante veremos cómo nos afecta este tema.
El buzón de Exchange Online restaura la fase de error 2#2
En la siguiente fase, el administrador realiza las siguientes acciones:
- Crear una NUEVA cuenta de usuario de Active Directory local, con detalles aparentemente idénticos a los de la “cuenta de usuario de Nicki eliminada”, es decir, el mismo nombre de inicio de sesión y la misma dirección de correo electrónico. En nuestro escenario específico, el NUEVO nombre de inicio de sesión de Active Directory es Nicki@o365info.com.
- El administrador activa el proceso de sincronización de directorios y sincroniza la información sobre la cuenta de usuario de Active Directory local Nicki “recuperada” con - Directorio de Office 365 (Azure Active Directory).
Al mirar el registro de sincronización del directorio, podemos ver información sobre un "problema" en el proceso de sincronización.
El problema aparece como "errores de exportación completados".
La sincronización del directorio informa sobre un error definido como "AttributeValueMustBeUnique".
La “acción” que realiza el proceso de sincronización del Directorio es una eliminación de la cuenta de usuario de Office 365.
En el panel izquierdo, podemos ver las acciones definidas como - “Eliminaciones. "
No estoy seguro de estar de acuerdo con esta lógica.
Supongo que la “lógica” de sincronización de directorios es que si localiza una “cuenta de usuario huérfana de Office 365”, que tiene el valor ImmutableID, pero no está conectado a la cuenta de usuario existente de Active Directory local, es necesario eliminar el “objeto de Office 365”.
Cuando intentamos obtener más información sobre el error de sincronización, podemos ver el siguiente error:
No se puede actualizar este objeto porque los siguientes atributos asociados con este objeto tienen valores que pueden ya estar asociados con otro objeto en sus servicios de directorio local: [UserPrincipalName Nicki@o365info.com;]. Corrija o elimine los valores duplicados en su directorio local. Consulte http://support.microsoft.com/kb/2647098 para obtener más información sobre cómo identificar objetos con valores de atributos duplicados.
Id. de seguimiento: bde73132-d2e5-4237-bf09-a0a2a89c0d34
Cuando usamos el centro de administración de Office 365 para verificar el estado de la cuenta de usuario de Nicki Office 365, podemos ver que la cuenta de usuario de Nicki se eliminó.
Paso 3#3 - Solucionar el error de restauración del buzón de Exchange Online: elimine el valor ImmutableID de la cuenta de usuario de Office 365 y active el proceso de sincronización del directorio.
En la sección, "solucionaremos" el error de recuperación del buzón de Exchange Online implementando el siguiente procedimiento:
Para habilitar el "vínculo" requerido entre la cuenta de usuario de Nicki Active Directory y la cuenta de usuario de Nicki Office 365, "fomentaremos" el proceso de coincidencia suave de sincronización de directorios eliminando el ImmutableID valor de la cuenta de usuario de Nicki Office 365.
En el primer paso, nos gustaría verificar cuál es el estado del valor de Nicki ImmutableID.
Usaremos el siguiente comando de PowerShell:
Get-MsolUser -ReturnDeletedUsers -UserPrincipalName Nicki@o365info.com | Select ImmutableIDTenga en cuenta que utilizamos el parámetro "ReturnDeletedUsers" porque la cuenta de usuario de Nicki Office 365 está eliminada temporalmente. En otras palabras, ubicado en la papelera de reciclaje de Azure Active Directory.
Para poder abordar el objeto eliminado temporalmente, necesitaremos usar el parámetro - “ReturnDeletedUsers”.
En el siguiente paso, intentaremos eliminar el valor de Nicki ImmutableID.
Usaremos el siguiente comando de PowerShell:
Set-MSOLUser -ReturnDeletedUsers -UserPrincipalName Nicki@o365info.com -ImmutableID ""
Cuando ejecutamos el comando de PowerShell nos aparece el siguiente error:
Set-MsolUser : A parameter cannot be found that matches parameter name ‘ReturnDeletedUsers’.
At line:1 char:14
+ Set-MSOLUser -ReturnDeletedUsers -UserPrincipalName Nicki@o365info.co …
+ ~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : InvalidArgument: (:) [Set-MsolUser], ParameterBindingException
+ FullyQualifiedErrorId : NamedParameterNotFound,Microsoft.Online.Administration.Automation.SetUserSEl significado de este error es que no podemos actualizar el valor de ImmutableID de una cuenta de usuario de Office 365 eliminada temporalmente.
Para poder continuar con el proceso, necesitaremos restaurar nuevamente la cuenta de usuario de Office 365 eliminada por software de Nicki .
Después de restaurar la cuenta de usuario de Office 365 eliminada por software de Nicki , ejecutaremos el siguiente comando de PowerShell:
Set-MSOLUser -UserPrincipalName Nicki@o365info.com -ImmutableID ""Para verificar el estado del valor de Nicki ImmutableID, usaremos el siguiente comando de PowerShell:
En la siguiente captura de pantalla, podemos ver que el valor de Nicki ImmutableID está vacío.
¡Este es el resultado requerido!
Infraestructura de sincronización de directorios
En este paso, inicializaremos el proceso de sincronización del directorio.
En teoría, podemos inicializar el proceso de sincronización de directorios estándar "delta", que sincronizará solo las actualizaciones.
Según mi experiencia, al inicializar, el proceso estándar de sincronización de directorios "delta" no completa el proceso con éxito todo el tiempo.
Por este motivo, recomiendo utilizar la opción “Sincronización completa”.
Podemos iniciar la opción "Sincronización completa" utilizando el siguiente comando de PowerShell:
Start-ADSyncSyncCycle InitialEn la siguiente captura de pantalla, podemos ver que los procesos de sincronización de directorios se completan exitosamente.
La sincronización de directorios define el proceso como "Agregar".
Al observar las propiedades del evento, podemos ver que la información sobre la cuenta de usuario de Nicki On-Premise Active Directory "agregada" al Directorio de Office 365 (Azure Active Directory).
En la siguiente captura de pantalla, podemos ver esa cuenta de usuario de Office 365 de Nicki que se considera “cuenta de usuario de Office 365 sincronizada”. Podemos ver que el estado del tipo de sincronización de Nicki está - sincronizado con Active Directory.
