Los caracteres especiales de la sincronización de Directorios en un entorno Office 365 | Artículo 2#2 | Parte 12#23

En este artículo, continuamos revisando los caracteres especiales del entorno de sincronización del Directorio de Office 365, para que podamos comprender mejor el "flujo de eventos" en el entorno de sincronización del Directorio de Office 365.

Revisaremos el flujo de eventos de tres escenarios principales:

El evento de - Crear una NUEVA cuenta de usuario de Active Directory
El evento de - Eliminar una cuenta de usuario de Active Directory
El evento de: Restaurar la cuenta de usuario de Active Directory eliminada temporalmente

Otro tema con el que me gustaría referirme en este artículo es: por qué es tan importante implementar las mejores prácticas de restaurar la cuenta de usuario de Active Directory local en caso de que queramos restaurar el buzón de Exchange Online eliminado temporalmente en el entorno de sincronización de directorios.

El escenario común de eliminación de buzones de correo en el entorno de sincronización de directorios

En la serie de artículos actual, mencionaremos los términos: “recuperación del buzón de Exchange Online” y “eliminación del buzón de Exchange Online” muchas veces.

Es importante enfatizar que en un entorno de Office 365 que utiliza sincronización de directorios, aunque usamos el término “buzón”, la mayoría de las veces tratamos con el “objeto de usuario” que considera como el < u>propietario del buzón.

Si queremos “complicar la descripción”, en el entorno de sincronización de Directorios de Office 365, necesitamos restaurar la cuenta de usuario de Active Directory, que considera como el “propietario” o el “maestro” de la cuenta de usuario de Office 365, que considera como la propietario del buzón de Exchange Online eliminado.

Por ejemplo

1. La causa principal de la eliminación del buzón de correo de Exchange Online en el entorno de sincronización de directorios.

En el entorno de sincronización de directorios de Office 365, la mayoría de las veces, la "causa real" (la causa raíz) para la eliminación del buzón de Exchange Online es el "evento de eliminación" de la cuenta de usuario de Active Directory local.

2. Restaurar el buzón de Exchange Online eliminado.

En el entorno de sincronización de directorios de Office 365, el escenario de restauración recomendado del buzón de Exchange Online es iniciar el proceso de restauración restaurando la cuenta de usuario de Active Directory local eliminada temporalmente, y no “directamente”. restaurar el buzón de Exchange Online eliminado.

El concepto de crear y administrar objetos de directorio a través de Active Directory local

En el entorno de sincronización de directorios, la tarea relacionada con la administración de directorios, como la creación de NUEVAS cuentas de usuario de Active Directory, debe implementarse a través de Active Directory local y no el directorio de Office 365 (Azure Active Directorio).

El motivo de esta recomendación es que, en la actualidad, la arquitectura del entorno de sincronización de directorios se basa en el modelo en el que Active Directory local considera como “fuente de autoridad”.

La información sobre las actualizaciones que ocurren en Active Directory local se sincroniza con el Directorio de Office 365 (Azure Active Directory) mediante la infraestructura de sincronización de directorios (Azure AD Connect), pero lo contrario no es cierto.

Por ejemplo, en la sincronización de Directorios, en caso de que creemos una NUEVA cuenta de usuario en el Directorio de Office 365 (Azure Active Directory), la información no se sincroniza con el Directorio Activo On-Premise.

Para comprender mejor el concepto de "sincronización unidireccional" en el entorno de sincronización de directorios de Office 365, usemos algunos ejemplos relacionados con objetos de Active Directory locales:

1. Crear un NUEVO usuario de Active Directory local

En caso de que se cree un NUEVO usuario en el Directorio Activo local, la información se sincroniza con el Directorio de Office 365 (Azure Active Directory).
Por lo tanto, también se crea una NUEVA cuenta de usuario en el Directorio de Office 365 (Azure Active Directory). ).

La cuenta de usuario de Office 365 que se creó en Office 365 Directory (Azure Active Directory) está "adjunta" a la cuenta de usuario de Active Directory local.

En otras palabras, la cuenta de usuario NUEVA de Office 365 se considera una “réplica” o un “gemelo” de la cuenta de usuario de Active Directory local.

2. Actualización del usuario de Active Directory local

En este caso, que actualicemos la cuenta de usuario de Active Directory On-Premise, la información se sincronizará (mediante Azure AD Connect) con Azure Active Directory.
Azure Active Directory, estará “obligado” a implementar lo mismo. actualice a la cuenta de usuario de Office 365 que se considera la réplica de la cuenta de usuario de Active Directory local.

El flujo de "vinculación" del usuario de Active Directory local al buzón de Exchange Online

En la siguiente sección, me gustaría revisar el proceso en el que "pegamos" el usuario de Active Directory local a la cuenta de usuario de Office 365 y "pegamos" la cuenta de usuario de Office 365 al buzón de Exchange Online.

En el entorno de sincronización de directorios, cuando creamos una NUEVA cuenta de usuario de Active Directory local, el mismo usuario también se crea en el Directorio de Office 365 (réplica).

El usuario de Active Directory local y el usuario de Office 365 que creó (definido como sincronizado con Active Directory) tendrán el mismo significado de mismas credenciales: el mismo nombre de inicio de sesión + la misma contraseña.

En caso de que asignemos la licencia de Exchange Online al usuario de Office 365, el usuario de Office 365 será considerado como el propietario del buzón de Exchange Online.

El "verdadero propietario" del buzón de Exchange Online es el objeto de la cuenta de usuario de Office 365.

La cuenta de usuario de Office 365 que se considera sincronizada con Active Directory utiliza las mismas credenciales que la cuenta de usuario de Active Directory local.

En otras palabras, la réplica de la cuenta de usuario de Active Directory local y de Office 365 utiliza las mismas credenciales.

Pero es importante mencionar que al buzón de Exchange Online "no le importa" quién es el verdadero propietario, siempre que la entidad que accede a Exchange Online tenga las "credenciales correctas".

El buzón de Exchange Online está dispuesto a aceptar solicitudes de acceso de usuarios, siempre que la entidad que necesita acceder pueda proporcionar las credenciales requeridas.

En la siguiente sección, podemos revisar cada uno de los diferentes pasos que están involucrados en un escenario en el que se crea una NUEVA cuenta de usuario de Active Directory local en un entorno basado en sincronización de directorios de Office 365:

Evento 1#7: se crea una NUEVA cuenta de usuario de Active Directory local. En nuestro ejemplo, el nombre de inicio de sesión de la cuenta de usuario es: Alice@o365info.com
Evento 2#7: el servidor de sincronización de directorios (Azure AD Connect), conecta el Active Directory local (de forma predeterminada, el intervalo de tiempo es de tres horas) y obtiene la información actualizada sobre el evento, en el que NEW Se creó la cuenta de usuario.
Evento 3#7: El servidor de sincronización de directorios (Azure AD Connect), conecta Azure Active Directory y sincroniza la información sobre la NUEVA cuenta de usuario.
Evento 4#7: Azure Active Directory está “obligado” a crear una NUEVA cuenta de usuario de Office 365 (replica usuario) con el mismo nombre de inicio de sesión, dirección de correo electrónico, contraseña, etc.
De ahora en adelante, la NUEVA cuenta de usuario de Office 365 se considerará “vinculada” o como una “réplica” de la cuenta de usuario de Active Directory local. Cada actualización en la cuenta de usuario de Active Directory local se sincronizará con el Directorio de Office 365 y afectará la cuenta de usuario "réplica" de Office 365.

Evento 5#7: La licencia de Exchange Online se asigna a la NUEVA cuenta de usuario de Office 365.
Evento 6#7: Azure Active Directory sincronizó la información con la infraestructura de Exchange Online.
Evento 7#7: Exchange Online crea un NUEVO buzón de Exchange Online y "vincula" el buzón a la cuenta de usuario de Office 365.

El “flujo de eliminación de objetos” en Office 365 y el entorno de sincronización de directorios

En esta sección, me gustaría revisar cada uno de los "pasos" que se llevan a cabo en un escenario en el que eliminamos una cuenta de usuario de Active Directory local en el entorno de sincronización de directorios de Office 365.

En nuestro ejemplo, la cuenta de usuario Grace eliminada tiene una “réplica” de usuario de Office 365 y el usuario de Office 365 tenía una licencia de Exchange Online (considerada como el propietario de un buzón de Exchange Online).

Evento 1#7: Se elimina la cuenta de usuario de Active Directory local denominada Grace@o365info.com.
Evento 2#7: cuando se elimina la cuenta de usuario de Grace Active Directory, el estado de la cuenta de usuario eliminada se actualiza a: cuenta de usuario "eliminada temporalmente". La cuenta de usuario se “envía” a la papelera de reciclaje de Active Directory (la cuenta de usuario se guardará en la papelera de reciclaje de Active Directory por un período de 180 días).
Evento 3#7: el servidor de sincronización de directorios (Azure AD Connect), conecta el Active Directory local (de forma predeterminada, el intervalo de tiempo es de tres horas) y obtiene la información actualizada sobre el evento, en el que Grace La cuenta de usuario fue eliminada.

Evento 4#7: el servidor de sincronización de directorios (Azure AD Connect), conecta Windows Azure Active Directory y sincroniza la información sobre el evento en el que se eliminó la cuenta de usuario de Active Directory local.
Evento 5#7: Windows Azure Active Directory obtiene la actualización y busca en su base de datos.
En nuestro ejemplo, Azure Active Directory encuentra que existe una cuenta de usuario de Office 365 existente que se considera "limitada" al On- Cuenta de usuario local de Active Directory que se eliminó.
Azure Active Directory "entiende" que existe una "conexión" entre las dos entidades de cuentas de usuario del Directorio porque el valor ImmutableID de Office 365 de la cuenta de usuario de Office 365 Grace es idéntico al valor GUID de Grace Active Directory local eliminó la cuenta de usuario.
Azure Active Directory está “obligado” a eliminar la cuenta de usuario de Office 365.
La cuenta de usuario de Office 365 se enviará a la papelera de reciclaje de Azure Active Directory. La cuenta de usuario de Office 365 se considerará "eliminada temporalmente" y se mantendrá en la papelera de reciclaje de Azure Active Directory durante 30 días. Al final del período de 30 días, el buzón del usuario se eliminará permanentemente (eliminación definitiva).
Cuando se elimina la cuenta de usuario de Office 365, la licencia de Exchange Online que estaba “adjunta” a la cuenta de usuario también se “elimina” (elimina).
Evento 6#7: Azure Active Directory “informa” (sincroniza la información) a la infraestructura de Exchange Online sobre el evento en el que se eliminó la licencia de Exchange Online.
Evento 7#7: por lo tanto, Exchange Online eliminará el buzón de usuario asociado con la cuenta de usuario de Office 365. El buzón de correo del usuario de Exchange Online eliminado se enviará a la papelera de reciclaje de Exchange Online y permanecerá allí durante 30 días. Al final del período de 30 días, el buzón del usuario se eliminará permanentemente (eliminación definitiva).

Restauración de un flujo de cuenta de usuario de Active Directory local eliminado temporalmente "en Office 365 y el entorno de sincronización de directorios

En la siguiente sección, me gustaría revisar el tema de “Restauración de un flujo de cuenta de usuario de Active Directory local eliminado temporalmente” en Office 365 y el entorno de sincronización de directorios.

Me gustaría revisar cada uno de los “pasos” que se llevan a cabo en un escenario en el que restauramos la cuenta de usuario de Active Directory local en el entorno de sincronización de directorios de Office 365.

En nuestro ejemplo, se eliminó la cuenta de usuario de Active Directory local de un usuario llamado Grace.

La cuenta de usuario de Grace tenía un usuario de Office 365 “ réplica” y el usuario de Office 365 tenía una licencia de Exchange Online (era propietario de un buzón de Exchange Online).

Paso 1#6: cuando restauramos una cuenta de usuario eliminada temporalmente de la papelera de reciclaje de Active Directory local, la cuenta de usuario se “envía de regreso” a la base de datos del usuario del directorio “activo”.
Paso 2#6: el servidor de sincronización de directorios (Azure AD Connect), conecte el Active Directory local (de forma predeterminada, el intervalo de tiempo es de tres horas) y obtenga la información actualizada sobre el evento, en el que Grace La cuenta de usuario fue restaurada.

Paso 3#6: El servidor de sincronización de directorios (Azure AD Connect), conecta Windows Azure Active Directory y sincroniza la información sobre el evento en el que se restauró la cuenta de usuario de Active Directory local.
Paso 4#6: Windows Azure Active Directory obtiene la actualización y busca en su base de datos.
En nuestro ejemplo, Azure Active Directory encuentra que hay una cuenta de usuario de Office 365 existente que se considera "limitada" a la instalación local. Cuenta de usuario de Active Directory.
Azure Active Directory "entiende" que existe una "conexión" entre las dos entidades de cuentas de usuario del Directorio porque el valor ImmutableID de Office 365 de la cuenta de usuario de Office 365 Grace es idéntico al valor GUID de la cuenta de usuario restaurada de Active Directory local.
Azure Active Directory está “obligado” a restaurar las cuentas de usuario de Office 365. Azure Active Directory "obtiene" la cuenta de usuario de Office 365 eliminada temporalmente de la papelera de reciclaje de Azure Active Directory y la cuenta de usuario se considera "activa".
Como parte del proceso de restauración de la cuenta de usuario, también se restaura la licencia de Exchange Online asignada al usuario de Office 365. Es decir, la cuenta de usuario de Office 365 + su licencia de Exchange Online.
Paso 5#6: Azure Active Directory “informa” (sincroniza la información) a la infraestructura de Exchange Online sobre el evento en el que se restauró la licencia de Exchange Online.
Paso 6#6: por lo tanto, Exchange Online restaurará el buzón del usuario eliminado temporalmente y el buzón de Exchange Online asociado con la cuenta de usuario restaurada de Office 365.

¿Por qué es tan importante restaurar la cuenta de usuario local original de Active Directory en el entorno de sincronización de directorios?

Repitamos un concepto muy básico en un escenario de: “restaurar el buzón de Exchange Online en un entorno basado en sincronización de directorios. ”
La mayoría de las veces, cuando utilizamos el término “Restaurar buzón de Exchange Online”, queremos decir:

Restaure la cuenta de usuario de Active Directory local.
Restaure la cuenta de usuario de Office 365 que se considera propietario del buzón de Exchange Online.

Restaurar la "cuenta de usuario original de Active Directory" es la "clave" para un proceso exitoso de restauración del buzón de correo de Exchange Online.

Cuando nos relacionamos con la tarea de - “restaurar al usuario que se considera propietario del buzón de correo de Exchange Online eliminado temporalmente, existen dos escenarios diferentes.

Escenario 1: solo en la nube (completamente alojado)

En un escenario, que describo como entorno "solo en la nube", el proceso de restauración del buzón de Exchange Online se implementa mediante la restauración de la cuenta de usuario eliminada temporalmente de Office 365 que se considera propietario del buzón de Exchange Online.

El elemento que almacena la cuenta de usuario eliminada temporalmente y sirve como "fuente de autoridad" para esta cuenta de usuario es (lo que significa directorio de Office 365) Active Directory Azure.

Escenario 2: entorno de sincronización de directorios

Utilizo el término "entorno de sincronización de directorios" para describir un escenario en el que utilizamos una combinación de dos "directorios" diferentes:
Active Directory local y Azure Active Directory.
En este caso, el Active Directory local se considera "fuente de autoridad" y Azure Active Directory obtiene una copia de "solo lectura" de las cuentas de usuario que se sincronizaron con la nube desde Active Directory local.

En un escenario en el que queremos restaurar un buzón de Exchange Online, la "cuenta de usuario original" que necesitamos restaurar es la cuenta de usuario de Active Directory local.

Es cierto que el buzón de Exchange Online está asociado directamente con la entidad de la cuenta de usuario de Office 365 y no con la “cuenta de usuario original” local de Active Directory.

Pero es importante comprender que en el entorno de sincronización de directorios, la cuenta de usuario de Office 365 que está "vinculada" al Directorio activo local depende completamente de la cuenta de usuario de Active Directory local y está "controlada" por ella. Por este motivo, las “restauraciones de usuario procesadas” están relacionadas con la cuenta de usuario de Active Directory local y no con las cuentas de usuario de Office 365.

Ahora, volvamos a la pregunta que debemos responder: “¿Por qué es tan importante restaurar la cuenta de usuario original de Active Directory local en el entorno de sincronización de directorios?

A1 - La primera respuesta a las preguntas es - aproveche el mecanismo de recuperación automática, que se implementa en un entorno basado en Office 365.

Cuando restauramos la “cuenta de usuario local original de Active Directory” (la “cuenta de usuario raíz”), la
infraestructura local y la infraestructura de Office 365 “saben por sí mismas” cómo completar automáticamente todos los pasos requeridos como:

Sincronice la información con el Directorio de Office 365 (Azure Active Directory).
Restaure la cuenta de usuario de Office 365 eliminada temporalmente.
Restaure la licencia de Exchange Online.
Restaurar buzones de correo de Exchange Online eliminados temporalmente.
Vincule el buzón de Exchange Online restaurado a su "propietario".

Etcétera.

La "magia" del proceso de restauración automática en el entorno de sincronización del directorio de Office 365 se implementa mediante el uso de un mecanismo de "coincidencia dura" que se basa en el valor GUID del usuario de Active Directory local y el ID inmutable de Office 365 ajustado. fuerte> valor.

información adicional sobre el concepto de Hard Match aparece en el artículo - Los caracteres especiales de la sincronización de directorios en el entorno Office 365 | Artículo 1#2 | Parte 11#23

En caso de que no restauremos el Active Directory original y, en su lugar, creemos una NUEVA cuenta de usuario de Active Directory local con propiedades aparentes, como el nombre de usuario de inicio de sesión, etc., el proceso de restauración automática no se implementará.
La razón es que Office 365 (Azure Active Directory) no sabe cómo "vincular" los objetos eliminados temporalmente (la cuenta de usuario de Office 365 + el buzón de correo eliminado temporalmente de Exchange Online) al NUEVO cuenta de usuario sincronizada.

Nos relacionaremos con este tipo de error de restauración de Exchange Online en el artículo: Revisión de los caracteres del error de recuperación del buzón de Exchange Online: se creó una nueva cuenta de usuario de Active Directory local | Parte 19#23

A2: la segunda respuesta a la pregunta es que cuando decimos que necesitamos restaurar un buzón de Exchange Online, también queremos decir que necesitamos restaurar las "entidades adjuntas", como el buzón local. La cuenta de usuario de Active Directory y la cuenta de usuario de Office 365, que se consideran propietarias del buzón de Exchange Online.

Además de los datos importantes que se almacenaron en Exchange Online y eliminaron el buzón, hay "datos importantes adicionales" que se "almacenan" en las cuentas de usuario del Directorio involucradas.

Las cuentas de usuario de Directorio involucradas tienen propiedades y relaciones con otros objetos e infraestructura en el entorno de Active Directory y Office 365.

Por ejemplo

1. La cuenta de usuario de Active Directory local incluye muchas propiedades que incluyen contraseña de usuario, dirección de la oficina, números de teléfono, etc.

La mayoría de las veces, la cuenta de Usuario se considera miembro de grupos de distribución o grupos de seguridad.

La mayoría de las veces, el grupo de seguridad asigna permisos a otros recursos, como servidores de archivos, etc.

2. Cuenta de usuario de Office 365

En un entorno basado en Office 365, muchas veces, la cuenta de usuario de Office 365 está "vinculada" (tiene una licencia de Office 365) a muchos otros servicios de Office 365, como SharePoint en línea, One Drive, Skype empresarial y más. Esta infraestructura de Office 365 almacena datos privados del usuario de Office 365, como el almacén de una unidad.

¿Entonces, cuál es mi punto?

Mi punto es que en un escenario en el que se eliminó una cuenta de usuario de Active Directory local y, por lo tanto, también se eliminó el buzón de correo de Exchange Online, es muy importante que restablezcamos la "cuenta de usuario de Active Directory local original" que se eliminó temporalmente.

Solo al restaurar la cuenta de usuario de Active Directory local original, podemos restaurar toda la información que estaba "adjunta" a la cuenta de usuario de Active Directory local, como la propiedad del usuario, las membresías de grupo y pronto,

El proceso de restauración de la cuenta de usuario original de Active Directory local conducirá al proceso de restauración automática de la cuenta de usuario de Office 365 + su licencia de Exchange Online y otras licencias de Office 365 y nos permitirá

Restaurar la “conexión” que tenía la cuenta de usuario de Office 365 con otra infraestructura de Office 365.
Restaure el buzón de Exchange Online que se conectó a la cuenta de usuario de Office 365 restaurada.

El próximo artículo de la serie de artículos actual.

Cuenta de usuario de Active Directory eliminada y almacén de objetos eliminados | Introducción básica | Artículo 1#4 | Parte 13#23