Bosque de recursos de Exchange y Office 365 – Parte II
En mi publicación de blog anterior, expliqué más sobre el modelo de bosque de recursos de Exchange, donde las cuentas de usuario se ubican en un bosque dedicado solo con la cuenta de usuario (y sus recursos regulares) y donde Exchange está instalado en un bosque de recursos. Existe una confianza de bosque entre el bosque de recursos y el bosque de cuentas, y los buzones están configurados como buzones vinculados. Esto se muestra en la siguiente figura:
En esta publicación de blog agregaremos un servidor Azure AD Connect para permitir la sincronización entre Active Directories locales y Office 365.
Bosque de recursos de Exchange y Azure AD Connect
Si queremos crear un escenario híbrido con nuestro bosque de recursos y Exchange Online, primero debemos implementar Azure AD Connect. Azure AD Connect sincronizará la información de la cuenta del bosque de cuentas y la información del buzón vinculado del bosque de recursos. Para lograr esto, tenemos que configurar un modelo de sincronización de bosques múltiples (que también es totalmente compatible con Microsoft).
El servidor Azure AD Connect se instalará en el bosque de cuentas. Para recuperar la información sobre los buzones de correo del bosque de recursos, se utilizará una cuenta de servicio como se muestra en la siguiente figura:
En un entorno típico sólo hay un Active Directory que contiene cuentas de usuario y servidores Exchange. Como tal, las cuentas de usuario tienen las propiedades de Exchange correspondientes. En un escenario de Resource Forest hay dos cuentas de usuario, donde la cuenta de usuario en Resource Forest está deshabilitada y esta cuenta deshabilitada contiene las propiedades de Exchange.
El servidor Azure AD Connect (que se ejecuta en el bosque de cuentas) combina las dos cuentas según objectSID y MSExchMasterAccountSid y sincroniza esta información de cuenta "unida" con Azure Active Directory, como se muestra en la siguiente figura:
Los requisitos previos para que Azure AD Connect sea un escenario de bosque de recursos son los mismos que para un entorno normal, por lo que no entraré en demasiados detalles al respecto. Por supuesto, necesita un dominio enrutable de Internet para sus cuentas (es decir, don@accounts.local no funcionará, por lo que debe cambiarse a don@exchangefun.nl), sus cuentas deben verificarse para detectar inconsistencias con la herramienta IDFix y por supuesto, debe configurar su inquilino en Office 365. Para obtener más información sobre el proceso, consulte mi blog Implementación de la sincronización de directorios. Es un blog algo antiguo, pero los pasos siguen siendo los mismos.
Puede descargar la última versión de Azure AD Connect desde Descargar Azure AD Connect. Solo mostraré las capturas de pantalla más importantes cuando ejecute el asistente de Azure AD Connect.
Azure AD Connect se puede instalar mediante una configuración Express; esta es la configuración predeterminada y es suficiente si tiene un entorno de bosque único con menos de 100 000 objetos en Active Directory y donde usar SQL Express es suficiente. En nuestro entorno de Bosque de recursos tenemos varios bosques de Active Directory, por lo que se necesita una configuración personalizada, así que seleccione Personalizar en la ventana Configuración rápida:
Continúe con el asistente hasta llegar a la ventana de inicio de sesión de usuario. Aquí debe seleccionar qué método de autenticación se utiliza cuando los usuarios inician sesión en Office 365. Haga su selección y haga clic en Siguiente para continuar.
Después de ingresar las credenciales de administrador de inquilinos (globales), los bosques deben agregarse al asistente de Azure AD Connect. En la ventana Conecte sus directorios aparecerá el bosque de Active Directory donde reside su servidor Azure AD Connect. Para agregar este directorio, haga clic en Agregar directorio:
Aparecerá la ventana Agregar cuenta forestal. Aquí puede seleccionar si se creará una nueva cuenta de servicio para Azure AD Connect o si se utilizará una cuenta de servicio existente. Se utilizará una cuenta de administrador empresarial para crear esta cuenta de servicio y configurar Azure AD Connect para su primer uso. Debe ser una cuenta de administrador empresarial porque la información se escribe en la partición de configuración de Active Directory. Ingrese las credenciales del administrador empresarial (en su bosque de cuentas) y haga clic en Aceptar para continuar.
Repita estos pasos para el bosque de recursos, así que ingrese el nombre del bosque, seleccione el botón de opción para crear una nueva cuenta de servicio e ingrese las credenciales de administrador empresarial en el bosque de recursos como se muestra en las dos figuras siguientes:
Continúe con el asistente, seleccione las opciones de filtrado de Dominio/OU para ambos bosques y asegúrese de seleccionar los contenedores que contienen las cuentas de usuario en el bosque de cuentas y los buzones de correo correspondientes en el bosque de recursos, como se muestra en las dos figuras siguientes:
La identificación única de sus usuarios es la ventana más importante del asistente de Azure AD Connect. Aquí es donde se unen la cuenta de usuario en el bosque de cuentas y el buzón de correo correspondiente en el bosque de recursos. En la publicación de blog anterior expliqué el objectSID y el msExchMasterAccountSID, por lo que esta opción está seleccionada.
Continúe con el asistente de Azure AD Connect y, en Características opcionales, seleccione la casilla de verificación Implementación híbrida de Exchange y haga clic en Siguiente para continuar.
Ahora está listo con el asistente de Azure AD Connect. En la ventana Listo para configurar, puede elegir iniciar la sincronización inmediatamente o habilitar el servidor Azure AD Connect en modo provisional. En este modo, recopilará toda la información y llenará la base de datos SQL Express con datos, pero no escribirá ningún dato en Azure Active Directory hasta que haya verificado todo. Seleccione la opción que desee y haga clic en instalar para finalizar el asistente e instalar/configurar Azure AD Connect.
En la ventana configuración completa hay algunas recomendaciones y/o comentarios para su referencia, haga clic en Salir para detener el asistente de Azure AD Connect.
Ahora, cuando inicie sesión en Microsoft Portal, verá que se ha producido la sincronización:
Y cuando expandas la opción de usuarios verás qué usuarios están sincronizados.
Cuando inicia sesión en la Consola de administración de Exchange en Exchange Online y marca Destinatarios | Carpeta de contactos, verá que los usuarios aparecen aquí. Esto tiene sentido, ya que los buzones locales se representan como usuarios habilitados para correo en Exchange Online.
Resumen
En esta publicación de blog, le mostré cómo implementar Azure AD Connect en un modelo de bosque de recursos de Exchange existente. El servidor de Azure AD Connect combina la cuenta de usuario del bosque de cuentas con el buzón de correo del bosque de recursos y lo sincroniza con Azure Active Directory.
En mi próximo blog crearé un entorno híbrido basado en el modelo de bosque de recursos de Exchange.
PD. Un agradecimiento especial a 'Trekveer Harry' por sus continuas sesiones de intercambio de ideas y sus buenas ideas ?