Bosque de recursos de Exchange y Office 365 – Parte IV

En las últimas tres publicaciones de blog, les mostré los conceptos básicos de los buzones vinculados en un bosque de recursos, cómo implementar Azure AD Connect en este entorno y cómo configurar Exchange Hybrid en un modelo de bosque de recursos.

Otro desafío es cómo aprovisionar usuarios en una configuración de Resource Forest, especialmente cuando se trata de aprovisionar buzones de correo directamente en Office 365.

En un entorno normal de bosque único, crearía un nuevo usuario en Active Directory y ejecutaría el comando Enable-RemoteMailbox en Exchange PowerShell para crear directamente un buzón en Office 365. Sin embargo, en un modelo de bosque de recursos se encontrará con algunos problemas...

En esta publicación de blog, le mostraré cómo crear manualmente buzones vinculados y las cuentas de usuario que los acompañan, y cómo crear un buzón vinculado, pero directamente en Office 365. Le mostraré la forma no compatible usando ADSI Edit (con fines educativos) y la manera apoyada de lograrlo.

Aprovisionar un buzón vinculado

Para aprovisionar un buzón vinculado, se debe crear una nueva cuenta de usuario en el bosque de cuentas y una cuenta de usuario (algo) idéntica, pero deshabilitada, en el bosque de recursos.

La opción más básica para hacer esto es ejecutar los siguientes comandos en PowerShell en un controlador de dominio en el bosque de recursos:

Import-Module ActiveDirectory
$AccountsCred = Get-Credential Accounts\administrator
$Password = ConvertTo-SecureString -String "P@ss1w0rd!" -AsPlainText -Force

New-ADUser -Name "C.Smith" -Server ACCDC01.accounts.local -Credential $AccountsCred -UserPrincipalName C.Smith@exchangefun.nl -GivenName Clyde -Surname Smith -DisplayName "Clyde Smith" -Path "OU=Users,OU=NL,DC=Accounts,DC=Local" -AccountPassword $Password -Enabled:$TRUE
Esto creará una nueva cuenta de usuario en el bosque de cuentas. Lo siguiente es crear una cuenta de usuario similar, pero deshabilitada, en el bosque de recursos ejecutando el siguiente comando:
New-ADUser -Name "C.Smith" -Server RESDC01.resources.local -UserPrincipalName C.Smith@resources.local -GivenName Clyde -Surname Smith -DisplayName "Clyde Smith" -Path "OU=Users,OU=NL,DC=Resources,DC=Local" -AccountPassword $Password -Enabled:$FALSE
Para crear un nuevo buzón vinculado para esta cuenta de usuario, podemos ejecutar Enable-Mailbox con las opciones -LinkedDomainController y -LinkedMasterAccount contra esta nueva cuenta de usuario en el bosque de recursos. Esto debe ejecutarse en el Shell de administración de Exchange, pero también puede iniciar una sesión remota de PowerShell en la ventana normal actual de PowerShell usando los siguientes comandos:
$AdminCred = Get-Credential resources\administrator
$Session = New-PSSession -ConfigurationName Microsoft.Exchange -ConnectionUri http://RESEXCH01/PowerShell/ -Authentication Kerberos -Credential $AdminCred
Import-PSSession $Session
Nota. También puede ejecutar Import-Module ActiveDirectory en una ventana del Shell de administración de Exchange en el servidor Exchange, pero mi servidor Exchange 2010 se ejecuta en Windows 2012. Este es PowerShell 2.0 y genera un error al importar el módulo Active Directory.
Entonces, el comando para crear el buzón vinculado y utilizar la cuenta de usuario que acabamos de crear en el bosque de cuentas debería ser:
Get-User C.smith | Enable-Mailbox -LinkedCredential $AccountsCred -LinkedDomainController ACCDC01.accounts.local -LinkedMasterAccount "C.Smith"
Con los comandos mostrados en el blog anterior sobre Buzones Vinculados podemos verificar el objectSID y el MsExchMasterAccountSID:
Azure AD Connect se asegurará (al igual que en las publicaciones de blog anteriores) basándose en objectSID y MsExchMasterAccountSID de que la nueva cuenta de usuario y la información del buzón se sincronizarán con Azure Active Directory y aparecerán en la libreta de direcciones de Office 365.
Ahora podemos mover este buzón a Office 365, pero no es la forma más eficiente de crear nuevos buzones, especialmente cuando los nuevos buzones deben crearse en Azure Active Directory.
Habilitar-RemoteMailbox en un bosque de recursos con edición ADSI (no compatible)
El comando Enable-RemoteMailbox PowerShell parece una forma mucho más eficiente de aprovisionar buzones de correo en Office 365. Sin embargo, el problema es conectar la cuenta de usuario en el bosque de cuentas con la cuenta deshabilitada en el bosque de recursos. Hagamos un intento…

Cree dos usuarios, una cuenta normal en el bosque de cuentas y una cuenta deshabilitada (que actúa como marcador de posición) en el bosque de recursos. Cuando se inicie Azure AD Connect, verá aparecer dos cuentas de usuario en Office 365 para este usuario.
La cuenta sin licencia se origina en el bosque de cuentas, la cuenta bloqueada se origina en el bosque de recursos. Esto se trata como dos cuentas separadas porque Azure AD Connect no puede crear la identidad unida como lo hace con un buzón vinculado normal, porque no hay ningún valor objectSID estampado en la propiedad MsExchMasterAccountSid. No hay ningún MsExchMasterAccountSid ya que no hay un buzón vinculado, y en este momento tampoco planeamos crear un buzón vinculado, suspiro...
Una opción (pero totalmente no compatible) para superar esto es marcar el valor objectSID de la cuenta de usuario normal en la propiedad MSExchMasterAccountSid de la cuenta deshabilitada, antes del siguiente ciclo de sincronización de Azure AD Connect. Cuando se configura correctamente, Azure AD Connect conecta las dos cuentas y sincroniza solo la cuenta de usuario normal con Azure AD Connect y solo esta cuenta de usuario aparecerá en Azure Active Directory.
Puede intentar esto copiando y pegando este valor usando ADSI Edit; con gusto acepta el valor hexadecimal como se muestra en la siguiente figura:
Usar PowerShell es fácil para crear secuencias de comandos, pero implica un poco más de trabajo. Inmediatamente después de crear las dos cuentas de usuario, debe recuperar el valor objectSID de la cuenta de usuario en el bosque de cuentas mediante los siguientes comandos:
$objectSID = Get-ADUser -Filter {SAMAccountName -eq "j.doe"} -properties * -server accdc01.accounts.local -Credential $AccountsCred | Select SID
El comando $objectSID.SID.Value mostrará el valor del objectSID:
Configurar el objectSID en MsExchMasterAccountSid usando Set-ADUser funciona con la opción -replace. Utilice el comando anterior para recuperar la cuenta de usuario y utilice el comando pipe para analizarla en el comando Set-ADUser (aquí solo se muestra el comando Set-ADUser):
Set-ADUser  -replace @{msExchMasterAccountSid = $objectSID.SID.Value


Ahora las dos cuentas están vinculadas (cuando se trata de Azure AD Connect) y puede ejecutar el comando Enable-RemoteMailbox:
Get-User -Identity j.doe | Enable-RemoteMailbox -RemoteRoutingAddress j.doe@exchangefun.onmicrosoft.com
Nuevamente, esto funciona bien pero no es compatible. Expliqué esto principalmente para mostrar lo que sucede debajo del capó.
Habilite-RemoteMailbox de la forma admitida
Una forma mejor y más probablemente compatible (gracias al compañero MVP Mike Crowley) es crear un buzón de correo remoto y conectar la cuenta de usuario deshabilitada en el bosque de recursos a la cuenta de usuario en el bosque de cuentas usando el comando Set-User (con -LinkedMasterAccount opción) antes de que Azure AD Connect se ejecute y sincronice la información con Azure Active Directory.
Todos los pasos serían:
Cree una cuenta de usuario en el bosque de cuentas
Cree una cuenta de usuario deshabilitada en Resource Forest
Enable-RemoteMailbox esta cuenta de usuario deshabilitada
Establecer las propiedades de LinkedMasterAccount
En PowerShell esto sería:
Import-Module ActiveDirectory
$AccountsCred = Get-Credential Accounts\administrator
$ResourceCred = Get-Credential resources\administrator

$Session = New-PSSession -ConfigurationName Microsoft.Exchange -ConnectionUri http://RESEXCH01/PowerShell/ -Authentication Kerberos -Credential $ResourceCred
Import-PSSession $Session

$Password = ConvertTo-SecureString -String "P@ss1w0rd!" -AsPlainText -Force

# Create the user account in the Account Forest
New-ADUser -Name "Clyde Smith" -SAMAccountName C.Smith -Server ACCDC01.accounts.local -Credential $AccountsCred -UserPrincipalName C.Smith@exchangefun.nl -GivenName Clyde -Surname Smith -DisplayName "Clyde Smith" -Path "OU=Users,OU=NL,DC=Accounts,DC=Local" -AccountPassword $Password -Enabled:$TRUE

# Create the disabled account in the Resource Forest
New-ADUser -Name "Clyde Smith" -Server RESDC01.resources.local -SAMAccountName C.Smith -UserPrincipalName C.Smith@resources.local -GivenName Clyde -Surname Smith -DisplayName "Clyde Smith" -Path "OU=Users,OU=NL,DC=Resources,DC=Local" -AccountPassword $Password -Enabled:$FALSE

# Create a Remote Mailbox for this user (in the Resource Forest)
Get-User "C.Smith" | Enable-RemoteMailbox -RemoteRoutingAddress C.Smith@exchangefun.mail.onmicrosoft.com

# Set the LinkedMasterAccount properties
Get-User "C.Smith" | Set-User -LinkedCredential $AccountsCred -LinkedDomainController ACCDC01.accounts.local -LinkedMasterAccount "Clyde Smith"
Ahora se configuran dos cuentas de usuario, se crea el buzón remoto en Office 365, la cuenta en el bosque de recursos está vinculada a la cuenta en el bosque de cuentas. ¡Todo listo y totalmente compatible!
Resumen
Cuando se utiliza un bosque de recursos de Exchange con buzones vinculados y desea aprovisionar nuevos buzones en Office 365, la forma más común es crear un buzón vinculado y mover el buzón vacío directamente a Office 365. Si bien esto funciona, no es el más eficiente. y mover buzones de correo puede llevar mucho tiempo, incluso cuando están vacíos.
Otra forma es crear dos cuentas de usuario y jugar con ADSI Edit y crear un buzón de correo remoto en Office 365. Esto es divertido de hacer en un entorno de laboratorio, pero no es compatible.
La mejor manera de lograrlo es crear dos cuentas de usuario y crear un buzón remoto en la cuenta deshabilitada en el bosque de recursos. Una vez creado, utilice el comando Set-User con la opción -LinkedMasterAccount para vincular el buzón remoto a la cuenta de usuario en el bosque de cuentas. El único inconveniente aquí es ejecutar todos los comandos antes de que se active Azure AD Connect; de lo contrario, obtendrá resultados inesperados (es decir, varias cuentas en Azure Active Directory).
En la parte V de esta serie, analizaré cómo actualizar este bosque de recursos de Exchange 2010 a Exchange 2016. Si no desea actualizar pero ha movido todo a Office 365, puede ir a la parte VI de esta serie donde explico cómo desmantelar un bosque de recursos en este entorno.