Sincronización de directorios de Office 365 sin servidor Exchange

Recibo muchas preguntas sobre Office 365, la sincronización de directorios desde un Active Directory local y el desmantelamiento de servidores Exchange locales. Muchos clientes quieren un Active Directory local, quieren buzones de correo en Office 365 y ya no quieren un servidor Exchange local.

Entonces, la pregunta es básicamente: “¿Podemos desmantelar nuestros servidores Exchange después de migrarnos a Office 365? "

Es una pregunta fácil con una respuesta fácil, y la respuesta es "No, no puede desmantelar su último servidor Exchange local". Déjame explicarte por qué.

fuente de autoridad

En una entrada de blog anterior ya hablé de los tres tipos de identidades:

• Identidades en la nube.
• Identidades sincronizadas.
• Identidades federadas.

Con la sincronización de directorios (a través de Azure AD Connect) implementada, estamos hablando de identidades sincronizadas o identidades federadas. Es importante tener en cuenta que la fuente de autoridad, es decir, donde se administran las identidades, es el Active Directory local. Las cuentas se crean y administran localmente y no en la nube. Esto también es válido para las propiedades de las cuentas.

Supongamos que tenemos la siguiente situación. Hay un entorno de Active Directory, no hay servidores Exchange locales y hay un servidor AADConnect para fines de replicación en Azure Active Directory, como se muestra en la siguiente imagen.

Figura 1. Azure AD Connect está sincronizando cuentas de usuario con Office 365.

El dominio interno es Exchangelabs.local, el dominio externo Exchangelabs.nl solo se verifica en Office 365 y se establece como dominio predeterminado. En el Active Directory local hay una OU=Cuentas donde los objetos están en varias OU como OU=Grupos, OU=Usuarios, OU=Contactos, etc.

Figura 2. Cuentas de usuario en Usuarios y Computadoras de Active Directory. Tenga en cuenta las diferentes configuraciones en la columna Dirección de correo electrónico.

La instalación de Azure AD Connect detecta automáticamente que no hay ningún servidor Exchange instalado (el esquema de Active Directory ni siquiera está preparado, por lo que es realmente un Active Directory totalmente nuevo) y, por lo tanto, la opción Exchange Hybrid no está disponible en la aplicación de configuración:

Figura 3. Azure AD Connect está configurado con sincronización de hash de contraseña

La única opción seleccionada es la sincronización de hash de contraseña. La unidad organizativa OU=Cuentas, como se mencionó anteriormente, es la única OU que se selecciona para la replicación de objetos, por lo que después de finalizar la aplicación de configuración y la sincronización inicial, la cuenta de usuario aparecerá en el Portal en línea de Microsoft.

Cuando las licencias de Office 365 (E3) se asignan a las cuentas de usuario replicadas, se ve algo extraño. La cuenta de usuario es exactamente la esperada, es decir, bwesselius@exchangelabs.nl, pero la dirección SMTP principal no refleja esto y en realidad se basa en el nombre del inquilino, es decir, bwesselius@exchangelabsnl.onmicrosoft.com, como se muestra en la siguiente captura de pantalla.

Figura 4. La dirección de correo electrónico del usuario está configurada incorrectamente. La dirección de correo electrónico del inquilino se establece como dirección SMTP principal.

Cuando desee cambiar la dirección de correo electrónico del inquilino a la dirección de correo electrónico normal, verá la siguiente advertencia:

Figura 5. No es posible cambiar la dirección SMTP principal del usuario

El botón Establecer como principal está atenuado, por lo que no es posible cambiar la dirección de correo electrónico.

Cuando intentas esto en el Centro de administración de Exchange (en Exchange Online), tampoco funciona y aparece el siguiente mensaje de error:

La operación en el buzón "Bram Wesselius" falló porque está fuera del alcance de escritura del usuario actual. La acción "Establecer buzón de correo", "Direcciones de correo electrónico", no se puede realizar en el objeto "Bram Wesselius" porque el objeto se está sincronizando desde su organización local. Esta acción debe realizarse en el objeto de su organización local.

Figura 6. Se muestra un mensaje de error sobre el "alcance de escritura" cuando se cambia la dirección de correo electrónico del usuario.

Ahora se pone interesante. Mire más de cerca la Figura 2. Verá que el usuario BWesselius no tiene una dirección de correo electrónico configurada en Active Directory, pero el usuario Ahaverkamp sí tiene una dirección de correo electrónico. Esta no es una dirección de correo electrónico de Exchange (dado que Exchange no está instalado localmente, Active Directory no tiene aplicados los cambios de esquema de Exchange, en realidad es un Active Directory nuevo) pero la dirección de correo electrónico está configurada en Usuarios de Active Directory y Ordenadores.

Figura 7. La dirección de correo electrónico del usuario está configurada en Usuarios y equipos de Active Directory.

Cuando la dirección de correo electrónico se configura mediante Usuarios y equipos de Active Directory, se sincroniza correctamente con Office 365 y se utiliza en Exchange Online como la dirección de correo electrónico principal del usuario.

Entonces, ahora sabemos cómo configurar la dirección de correo electrónico principal cuando el usuario está aprovisionado en Active Directory local. A pesar de que el usuario ahora tiene la dirección de correo electrónico principal correcta, todavía no es posible cambiar la dirección de correo electrónico del usuario en el portal de Office 365 o en el Centro de administración de Exchange (en línea).

Este comportamiento se debe al hecho de que la cuenta en este escenario es una cuenta sincronizada. La fuente de autoridad es el Active Directory local y aquí es donde se deben realizar todos los cambios. Una vez modificada, la nueva configuración se sincroniza con Office 365.

Entonces, para cambiar la dirección de correo electrónico principal del usuario BWesselius es cuestión de agregar la dirección de correo electrónico a la propiedad de correo en los usuarios y computadoras de Active Directory y esperar a que se realice la sincronización (o forzar la sincronización del directorio). Si desea cambiar una dirección de correo electrónico, por ejemplo, para el usuario AHaverkamp, puede simplemente cambiar la propiedad de correo del usuario en Usuarios y computadoras de Active Directory.

Entonces, ahora sabemos cómo crear un usuario en Active Directory local y configurar correctamente la dirección de correo electrónico principal de Exchange Online. En mi próximo blog hablaré más sobre un servidor Exchange local.