Revisando los caracteres del error de recuperación del buzón de Exchange Online: se restauró Office 365 eliminado temporalmente | Parte 20#23
En el artículo actual, describimos los caracteres de un error típico de restauración del buzón de Exchange Online en el entorno de sincronización del directorio de Office 365 y describimos las características de una solución opcional.
El error de restauración del buzón es:
- Se restauró la cuenta de usuario de Office 365 (y se restauró su buzón de Exchange Online).
- Se creó un nuevo usuario de Active Directory con detalles aparentemente idénticos y la información se sincronizó con el directorio de Office 365.
La solución proporcionada se basa en el concepto de: "Fomentar" el proceso SOFT Match de sincronización de directorios eliminando el valor ImmutableID del usuario de Office 365.
Serie de artículos sobre restauración de buzones de correo de Exchange Online.
Hay dos escenarios comunes en los que un proceso de restauración de buzones de correo local eliminado de Exchange se implementa incorrectamente en el entorno de sincronización de directorios de Office 365:
- Error de restauración del buzón de correo en línea de Exchange 1#2: escenario en el que se creó un NUEVO usuario de Active Directory, en lugar de restaurar la cuenta de usuario de Active Directory local eliminada temporalmente.
- Error n.º 2 de restauración del buzón de correo de Exchange Online: escenario en el que se restaura una cuenta de usuario sincronizada eliminada temporalmente de Office 365 y su buzón de Exchange Online también se restaura, en lugar de restaurar la cuenta de usuario original de Active Directory local eliminada temporalmente.
El artículo actual, dedicado a la descripción de alto nivel de - “Restaurar el error 2#2 del buzón de Exchange Online”.
En el siguiente artículo: Resolver un error de restauración del buzón de Exchange Online Se restauró el usuario de Office 365: se elimina el valor ImmutableID | En la Parte 23#23, proporcionamos una descripción paso a paso de la solución, que podemos usar para "corregir" el error de restauración del buzón de Exchange Online que se ejecutó incorrectamente.
Nota: se revisará el segundo error de restauración del buzón de Exchange Online, un escenario en el que se restaura una cuenta de usuario sincronizada eliminada temporalmente de Office 365 y su buzón de Exchange Online también se restaura, en lugar de restaurar la cuenta de usuario original eliminada temporalmente de Active Directory local. en el artículo - Revisión de los caracteres del error de recuperación del buzón de Exchange Online - Se creó una nueva cuenta de usuario de Active Directory local | Parte 19#23
Entorno basado en sincronización de directorios | Mejores prácticas para recuperar el buzón de Exchange Online
Antes de comenzar con la descripción de los caracteres específicos de los “Escenarios problemáticos de restauración de buzones de correo de Exchange Online” en un entorno basado en sincronización de directorios y la posible solución que se puede implementar, comencemos con un recordatorio rápido sobre la guía de “mejores prácticas” para Restaurar el buzón de Exchange Online en el entorno de sincronización de directorios:
Los pasos recomendados, en un escenario en el que debemos restaurar el buzón de correo de Exchange Online eliminado en el entorno de sincronización del directorio de Office 365, son:
- Inicie el proceso de restauración, restaurando la cuenta de usuario de Active Directory local eliminada temporalmente que está "vinculada" a la cuenta de usuario de Office 365, que se considera propietaria de la Buzón de Exchange Online eliminado temporalmente (número 1).
- La información sobre el usuario de Active Directory local restaurado llega al Directorio de Office 365, que ubica la cuenta de usuario de Office 365 eliminada temporalmente que está "vinculada" al usuario de Active Directory local restaurado. Azure Active Directory inicia automáticamente el proceso de restauración de la cuenta de usuario de Office 365 eliminada temporalmente. La licencia de Exchange Online también se restaurará automáticamente (número 2).
- La información sobre la licencia de Exchange Online restaurada se sincronizará con la infraestructura de Exchange Online. Exchange Online iniciará automáticamente el proceso de restauración del buzón de Exchange Online eliminado temporalmente y el buzón de correo de Exchange Online de restauración se “adjuntará” a la cuenta de usuario de Office 365 restaurada (número 3).
La descripción del escenario.
Para poder comprender mejor el carácter específico del "escenario problemático de restauración del buzón local de Exchange", en el que se restaura la cuenta de usuario eliminada temporalmente de Office 365, en lugar de reiniciar la cuenta de usuario original de Active Directory eliminada temporalmente, usemos el siguiente escenario:
Infraestructura de la organización
- Una organización utiliza los servicios de Office 365 y Exchange Online como infraestructura de correo.
Infraestructura de directorio
- La administración de directorios se implementa a través de Active Directory local y del servidor de sincronización de directorios (Azure AD Connect).
- El servidor de sincronización de directorios es responsable de sincronizar la información del Active Directory local local con el Directorio de Office 365 (Azure Active Directory).
El evento de eliminación de usuarios del directorio
- La cuenta de usuario de Active Directory se eliminó y la información sobre la eliminación del usuario se sincronizó con el directorio de Office 365 (Azure Active Directory).
- Azure Active Directory elimina la cuenta de usuario de Office 365 que está "vinculada" al usuario eliminado de Active Directory local + la licencia de Exchange Online del usuario de Office 365.
- La información se sincroniza con Exchange Online. El resultado es que el buzón de Exchange Online también se eliminó.
Los detalles de la cuenta de usuario eliminada de Active Directory
El nombre de inicio de sesión de la cuenta de usuario de Active Directory eliminada es: John@o365info.com
La misión
Se pidió a la organización TI que:
- Recupere el buzón de Exchange Online eliminado.
- Habilite el acceso del usuario a su buzón de Exchange Online recuperado y a los datos almacenados en el buzón de Exchange Online recuperado.
Tenga en cuenta que mencionamos que necesitamos recuperar el buzón de correo de Exchange Online y permitir que el usuario acceda al buzón de Exchange Online.
No proporcionamos ninguna instrucción o directriz con respecto a la "cuenta de usuario" que se "adjuntará" al buzón de Exchange Online restaurado.
Descripción de la restauración común del buzón de correo de Exchange Online: se restauró el usuario de Office 365 (en lugar de la cuenta de usuario de Active Directory local)
Un "error de restauración" común que se implementa en un escenario de restauración de buzones de correo de Exchange Online en un entorno de sincronización de directorios es un error de restauración, que incluye las dos "dos partes" siguientes:
- Se restaura la cuenta de usuario eliminada temporalmente de Office 365 (en lugar de restaurar la cuenta de usuario eliminada temporalmente de Active Directory).
- Se crea una NUEVA cuenta de usuario de Active Directory que es aparentemente idéntica al “usuario original de Active Directory que fue eliminado. La información sobre el NUEVO usuario de Active Directory se sincroniza con el Directorio de Office 365 (Azure Active Directory).
En el siguiente diagrama, podemos ver que el orden del buzón de Exchange Online es “pasos de restauración erróneos” (número 1).
En nuestro caso, se restauró la cuenta de usuario de Office 365 eliminada temporalmente y el buzón de Exchange Online.
Luego, se creó una NUEVA cuenta de usuario de Active Directory con el mismo nombre de inicio de sesión y se sincronizó con la nube (número 2).
El resultado
El proceso de restauración del usuario eliminado temporalmente de Office 365 y su buzón de Exchange Online probablemente se completará correctamente.
El "fenómeno extraño" es que cuando el servidor de sincronización de directorios sincroniza la información sobre la "NUEVA cuenta de usuario de Active Directory" con Azure Active Directory (número 2), ocurrirá uno de los siguientes resultados:
Caso 1: el proceso de sincronización del directorio provocará la eliminación de la cuenta de usuario de Office 365 recuperada y la eliminación del buzón de Exchange Online recuperado.
No estoy seguro de poder explicar la lógica detrás de la "operación de eliminación" que implementa el servidor de sincronización de directorios (Azure AD Connect) porque, en mi opinión, se suponía que el proceso de sincronización de directorios informaría sobre un error en el que dos Los objetos usan el mismo nombre de inicio de sesión, en lugar de eliminar la cuenta de usuario de Office 365 restaurada.
Tenga en cuenta que la eliminación de la cuenta de usuario de Office 365 restaurada conduce a la eliminación del buzón de correo de Exchange Online restaurado (número 5).
En este momento, este es el escenario que se ejecuta en mi entorno, por este motivo; Continuaré revisando este tipo de escenario.
Caso 2: la sincronización del directorio no podrá completar el proceso de sincronización y, en el registro de sincronización del directorio, veremos un evento de error que nos informa que la sincronización no se puede completar debido a un usuario duplicado. nombre de inicio de sesión.
El resultado
La conexión entre la cuenta de usuario de Office 365 y la cuenta de usuario de Active Directory local está “rota”. "
- La NUEVA cuenta de usuario de Active Directory local no se sincronizará con el Directorio de Office 365 (Azure Active Directory) y no completará la "conexión" con la cuenta de usuario de Office 365 eliminada temporalmente que se restauró.
- No hay ninguna opción para restaurar el buzón de Exchange Online. Incluso si restauramos nuevamente la cuenta de usuario de Office 365 que eliminó, cada vez que se complete el ciclo de sincronización del Directorio (cada 3 horas de forma predeterminada), la cuenta de usuario de Office 365 se eliminará nuevamente.
El resultado final
La conclusión es que en el entorno de sincronización de directorios, no debemos iniciar el proceso de restauración del buzón de Exchange Online restaurando la cuenta de usuario de Office 365.
En caso de que iniciemos el proceso de restauración restaurando la cuenta de Office 365, “romperemos” la conexión entre la cuenta de usuario de Active Directory local.
En este caso, necesitaremos encontrar una manera de “volver a conectar” nuevamente la cuenta de usuario de Office 365 a su “cuenta de usuario de Active Directory local”. "
Las soluciones ofrecidas
Para poder solucionar este tipo de error de restauración del buzón de Exchange Online, podemos optar por implementar una de las siguientes soluciones:
Solución 1#2: revierta el error de restauración del buzón de correo de Exchange Online eliminando el NUEVO usuario de Active Directory que se creó y restaurando el usuario de Active Directory eliminado temporalmente "original".
Solución 2#2: elimine el valor ImmutableID de la cuenta de usuario de Office 365 e inicie la sincronización del directorio. La sincronización del directorio activará el proceso Soft Match, que creará el "vínculo" requerido entre la NUEVA cuenta de usuario de Active Directory local y la cuenta de usuario existente de Office 365.
El artículo actual dedicado a la descripción de la solución que se describe como "Solución 2#2". Una descripción detallada de la solución "Solución 1#2", aparece en el artículo: Resolver un error de restauración del buzón de Exchange Online mediante la restauración del activo eliminado temporalmente Usuario del directorio | Parte 21#23
La causa del procedimiento de “restauración de conceptos erróneos”
Causa 1: El centro de administración de Office 365 proporciona una interfaz gráfica muy fácil de usar que permite al administrador restaurar las cuentas de usuario de Office 365 con "un clic".
La tarea de restaurar un usuario de Active Directory local eliminado temporalmente puede considerarse una "tarea complicada" dependiendo del escenario específico (la papelera de reciclaje de Active Directory estaba habilitada o no).
En otras palabras, es muy fácil elegir la opción "fácil", en lugar de la "opción correcta" de restaurar al usuario original de Active Directory eliminado temporalmente.
Causa 2: la suposición básica del administrador que realiza el "error de restauración del buzón de Exchange Online" es que el "NUEVO usuario local de Active Directory" es "idéntico" al usuario eliminado anteriormente (mismo nombre de inicio de sesión, correo electrónico). dirección, etc.), la sincronización del directorio implementará automáticamente el mecanismo Soft Match.
La expectativa del administrador es que la coincidencia suave de sincronización de directorios "vincule" al "NUEVO usuario de Active Directory" con el usuario existente de Office 365 eliminado temporalmente.
Una vez completado el proceso de "vinculación" automático, el resto del proceso de restauración (la restauración del buzón de Exchange Online eliminado temporalmente) se iniciará automáticamente como debería.
El motivo del error de eliminación temporal
El proceso de sincronización de directorios "Coincidencias suaves" no se activará porque la propiedad ImmutableID de la cuenta de usuario de Office 365 restaurada ya está completa con el valor GUID de " cuenta de usuario original de Active Directory” (el usuario original de Active Directory que fue eliminado).
El mecanismo de “coincidencia suave” de sincronización de directorios no está configurado para “ignorar” esta información y “sobrepasar” el valor existente de ImmutableID.
Como se mencionó, en este escenario, la sincronización del directorio eliminará la cuenta de usuario de Office 365 restaurada que tiene el mismo nombre de inicio de sesión (UPN) que el NUEVO usuario local de Active Directory (John@o365info. es).
Nota: otro resultado opcional es que el servidor de sincronización de directorios informará sobre objetos duplicados y no podrá sincronizar la información sobre la NUEVA cuenta de usuario de Active Directory con el Directorio de Office 365 (Azure Active Directorio).
Solución opcional: “Fomentar” el proceso Soft Match de sincronización de directorios
Para poder solucionar el “Error de recuperación del buzón de Exchange Online”, que tiene los siguientes caracteres:
- La cuenta de usuario eliminada temporalmente de Office 365 se restaura en lugar de restaurar la cuenta de usuario eliminada temporalmente de Active Directory.
- Se creó una nueva cuenta de usuario de Active Directory que es aparentemente idéntica al “usuario original de Active Directory que fue eliminado. La información se sincronizó con la nube.
Los pasos que deben implementarse son los siguientes:
- Elimine el valor ImmutableID de la cuenta de usuario de Office 365 eliminada temporalmente.
- Inicie el proceso de sincronización del directorio.
- Deje que el proceso de sincronización de directorios realice la coincidencia suave, que "vinculará" la NUEVA cuenta de usuario de Active Directory local a la cuenta de usuario de Office 365 (completando el valor ImmutableID del usuario de Office 365). con el valor GUID de la NUEVA cuenta de usuario local de Active Directory).
La “solución” que vamos a revisar se basa en la siguiente lógica:
En lugar de implementar el “proceso de restauración recomendado” en el que restauramos el Active Directory eliminado temporalmente, “vincularemos” la NUEVA cuenta de usuario de Active Directory con la cuenta de usuario de Office 365 restaurada.
En caso de que realicemos todos los pasos requeridos, la sincronización del directorio inicializará el proceso Soft Match que vinculará la cuenta de dos usuarios.
Una vez completado el proceso de Soft Match, la “conexión” o el “vinculación” entre las dos cuentas de usuario se describirá como - Hard Match.
La solución propuesta
Elimine el atributo ImmutableID de la cuenta de Office 365 restaurada.
En la sección actual, vamos a implementar una solución que describo como: "Fomentar el proceso de coincidencia suave de sincronización de directorios".
Utilizo el término "Fomentar" porque, en nuestro escenario, la coincidencia suave entre la NUEVA cuenta de usuario de Active Directory y la cuenta de usuario restaurada de Office 365 no ocurrirá de forma predeterminada.
Para poder “activar” el proceso Soft Match de sincronización de directorios, utilizaremos el siguiente truco:
Paso 1#2: Eliminar el valor ImmutableID (atributo sourceAnchor) de la cuenta de usuario de Office 365.
Accederemos a las propiedades de la cuenta de usuario de Office 365 restaurada (mediante PowerShell) y eliminaremos el valor del atributo ImmutableID.
El resultado es que ahora tenemos un usuario de Office 365 sin un valor de atributo ImmutableID (valor vacío).
Paso 2#2 - Activar la sincronización del directorio
En este paso, todo lo que tenemos que hacer es activar el proceso de sincronización del directorio.
Luego de un breve período, veremos que la cuenta de usuario de Active Directory está “vinculada” a la cuenta de usuario de Office 365.
En caso de que te preguntes cómo diablos sucedió esta “magia”, la respuesta es la siguiente:
Cuando el servicio de sincronización de directorios sincronizó la información sobre el NUEVO usuario de Active Directory cuyo nombre de inicio de sesión es: John@o365info.com, la sincronización de directorios "avisa" que Azure Active Directory también incluye un usuario. con el mismo nombre de inicio de sesión.
El proceso de sincronización del directorio "comprende" que las dos cuentas de usuario están relacionadas entre sí y probablemente necesitan estar conectadas.
La sincronización del Directorio activará el proceso Soft Match.
Después de que las cuentas de usuario estén "vinculadas" entre sí, y después de que la sincronización del directorio complete el proceso de sincronización, el valor GUID de la NUEVA cuenta de usuario de Active Directory se convertirá (a un valor de 64 bits) y se guardará como Atributo ImmutableID de la cuenta de Office 365 restaurada.
En caso de que se pregunte por qué necesitamos implementar todo este paso complicado, la respuesta es que antes de eliminar el valor ImmutableID de los usuarios eliminados temporalmente de Office 365, la sincronización del directorio no se pudo activar el proceso de coincidencia suave porque la sincronización del directorio no puede decidir por sí misma eliminar un valor ImmutableID existente.
El artículo: Solución de un error de restauración del buzón de correo de Exchange Online Se restauró el usuario de Office 365: se elimina el valor de ImmutableID | Parte 23#23, incluye una descripción paso a paso de la solución propuesta.
El próximo artículo de la serie de artículos actual.
Resolver un error de restauración de buzón de Exchange Online mediante la restauración del usuario original de Active Directory eliminado temporalmente | Parte 21#23