Bosque de recursos de Exchange y Office 365 – Parte I

Un escenario totalmente compatible con Exchange es el llamado modelo Resource Forest. En este escenario, hay un bosque de cuentas de Active Directory donde existen todas las cuentas de usuario y los servicios habituales, y hay un bosque de recursos de Active Directory donde está instalado Exchange. Este escenario es compatible con Exchange 2010, Exchange 2013 y Exchange 2016 y lo he visto varias veces en varios clientes, con varias versiones de Exchange.

Entonces, Exchange está instalado en el bosque de recursos y los buzones de correo en esta implementación de Exchange se denominan buzones vinculados. El buzón aquí está vinculado a una cuenta de usuario en el bosque de cuentas. Hay una cuenta de usuario para el buzón vinculado en el bosque de recursos, pero por diseño es una cuenta deshabilitada.

Al aprovisionar un buzón, se crea una cuenta de usuario en el bosque de cuentas, se crea una cuenta de usuario idéntica (pero deshabilitada) en el bosque de recursos y se crea un buzón vinculado. El aprovisionamiento se puede realizar mediante una herramienta de Microsoft como Microsoft Identity Manager (MIM), una herramienta de terceros como Quest o mediante scripts simples de PowerShell. El proceso se muestra en la siguiente figura:

Esto puede resultar útil si tiene varios bosques de cuentas que necesitan utilizar una organización de Exchange, una situación que he visto en varios clientes. Terminas con un escenario como este:

Debo estar de acuerdo, las cosas pueden complicarse bastante rápido, pero es un escenario totalmente compatible y, en algunos casos, puede resultar útil. Uno de mis clientes implementó este escenario debido a múltiples adquisiciones.

En mi entorno de laboratorio estoy trabajando con el primer escenario. Instalé un bosque de cuentas (accounts.local) y un bosque de recursos (resources.local). La versión de Exchange instalada es Exchange 2010, hay un servidor Exchange 2010 multifunción y un servidor Exchange 2010 Edge Transport. Ambos servidores ejecutan el Service Pack 3 con la actualización acumulativa 20. Las cuentas se crean en el bosque de cuentas y un buzón vinculado en el bosque de recursos.

Cada buzón tiene una propiedad llamada msExchangeRecipientTypeDetails, que indica qué tipo de buzón es. Cuando esta propiedad tiene un valor de “2” es un buzón vinculado, si tiene un valor de “1” es un buzón normal. Puede encontrar una descripción general de esta propiedad y sus valores en un blog de John Baily en TechNet.

La segunda propiedad importante de un buzón es msExchMasterAccountSID. Para un buzón vinculado, el atributo msExchMasterAccountSID se completa con el valor del objectSID del usuario correspondiente en el bosque de cuentas. Al usar ADSI Edit y verificar el objectSID de la cuenta de usuario y el msExchMasterAccountSID de ambas cuentas, verá que tienen el mismo valor. Para un usuario de prueba llamado Don Drop en el bosque de cuentas, puede ver el siguiente objectSID:

Y para la cuenta deshabilitada correspondiente en el bosque de recursos podemos ver el siguiente msExchMasterAccountSID:

O si prefiere usar PowerShell, ejecute los siguientes comandos en una ventana de PowerShell (en el bosque de Exchange) para recuperar msExchMasterAccountSID:

Import-Module ActiveDirectory
$MBXUser = Get-ADUser -Identity Don -Properties *
$MBXUser.msExchMasterAccountSID | fl

Para recuperar el objectSID del usuario del dominio de la cuenta, ejecute los siguientes comandos de PowerShell:

$AccountsCred = Get-Credential "accounts\administrator"
Get-ADUser -Filter {ObjectSID -eq $MBXUser.msExchMasterAccountSid} -Properties * -Server accdc01.accounts.local -Credential $AccountsCred | fl Name,ObjectSID

Nota. Verá este objectSID y MSExchMasterAccountSid nuevamente en el próximo blog sobre Azure AD Connect en este escenario.

Para verificar los permisos en el buzón, puede usar el comando Get-ADPermission contra el resultado del comando Get-Mailbox:

Get-Mailbox -Identity Don | Get-ADPermission -User Accounts\Don | fl *

Como puede ver, Don tiene los permisos adecuados en su buzón.

Nota. Para convertir un buzón vinculado en un buzón normal, puede eliminar el valor de msExchMasterAccountSID mediante el comando Set-User:

Set-User -Identity Don -LinkedMasterAccount $NULL

Esto restablecerá msExchMasterAccountSID, pero al mismo tiempo cambiará el valor de msExchRecipientTypeDetails de “2” (buzón vinculado) a “1” (buzón normal).

Resumen

Entonces, a estas alturas ya debería saber más sobre el modelo de bosque de recursos de Exchange. Es un poco más complejo que un modelo de bosque único y dominio único con Exchange instalado, pero es un escenario totalmente compatible. Y un escenario que veo con los clientes con mucha frecuencia.

En mi próximo blog hablaré más sobre Azure AD Connect en este modelo de bosque de recursos.