Configuración del estado deseado de Microsoft 365 en migraciones de inquilino a inquilino

Controle su configuración a medida que se desarrollan las migraciones

Puede ser todo un desafío mantener las configuraciones de carga de trabajo en un inquilino de Microsoft 365. Las organizaciones pequeñas y medianas pueden tener administradores responsables de la gestión de todo el inquilino. Las grandes organizaciones empresariales pueden asignar diferentes personas para gestionar diferentes cargas de trabajo. Todos comparten la responsabilidad común de mantener la administración y la configuración consistentes. Las migraciones de inquilino a inquilino aportan una capa adicional de complejidad porque el seguimiento de los cambios es importante en cualquier proyecto de Fusiones, Adquisiciones y Desinversiones (MAD).

En este artículo, reviso cómo la Configuración de estado deseado (DSC) de Microsoft 365 puede ayudar a facilitar la configuración y la administración durante las migraciones de inquilino a inquilino.

¿Qué es la configuración de estado deseado de Microsoft 365?

La configuración de estado deseada (DSC) apareció por primera vez en Windows PowerShell 4.0. Las configuraciones de DSC son un tipo declarativo de script de PowerShell que configura instancias de código y los recursos para admitir este código en el estado adecuado (deseado). Los recursos contienen el código que mantiene el destino de una configuración en su lugar y reside en módulos de PowerShell escritos para modelar un tipo de configuración.

Un componente del Administrador de configuración local (LCM) se ejecuta en un sistema donde el DSC está configurado e interactúa entre recursos y configuraciones en un intervalo de sondeo establecido. Si el LCM detecta que un sistema está fuera de estado con la configuración deseada, llama al código en los módulos de recursos para actualizar la configuración al estado deseado.

Muchas tecnologías de Microsoft, como los componentes de Windows Server y las versiones locales de Exchange Server y SharePoint Server, utilizan DSC, con módulos dedicados disponibles para cada producto. Los módulos de Microsoft 365 DSC admiten las diferentes cargas de trabajo dentro de un inquilino.

¿Por qué utilizar la configuración de estado deseado de Microsoft 365?

Una migración de inquilino a inquilino puede abarcar algunas o todas las cargas de trabajo. Microsoft 365 DSC puede extraer una configuración de atributos para una carga de trabajo del inquilino de origen y cargar esa configuración en el inquilino de destino.

Las implementaciones de configuración inicial pueden tardar entre 3 y 5 minutos y entre 50 y 60 minutos, dependiendo de cuántas cargas de trabajo y parámetros de recursos dentro de las cargas de trabajo se implementen. Después de recopilar una configuración, puede aplicarla a un objetivo. Si el inquilino de destino acepta la configuración, la configuración se aplica allí. Por otro lado, si la configuración entra en conflicto con la configuración del inquilino de destino, ese conflicto debe ser resuelto por un administrador.

Los ejemplos incluyen grupos de Azure para licencias basadas en grupos, políticas de acceso condicional de Azure AD, planes de buzones de correo de Exchange, políticas de autenticación de Exchange, etc. Si una organización se traslada a un nuevo inquilino creado desde cero, DSC puede ayudar aplicando ajustes de configuración a las cargas de trabajo en el nuevo inquilino.

Cree un entorno DSC de Microsoft 365

Microsoft 365 DSC admite las versiones 5.1 y 7.1 de PowerShell. El nivel mínimo del sistema operativo del servidor necesario en el servidor que aloja la configuración de DSC es Windows Server 2016 debido a los requisitos de PowerShell. Los requisitos para conectar PowerShell a las cargas de trabajo compatibles de Microsoft 365 están disponibles en línea.

Microsoft está trabajando para admitir la autenticación moderna para todas las cargas de trabajo de DSC. Por ahora, la autenticación básica (nombre de usuario y contraseña) es compatible con la mayoría de las cargas de trabajo, pero es la opción de seguridad menos preferida. Un modelo más preferido y con mayor alcance requiere la creación de una aplicación registrada en Azure AD con los permisos de API necesarios otorgados a la aplicación, lo que luego permite el uso de autenticación basada en certificados.

Puede proteger el PFX en el servidor DSC y eliminar la huella digital si es necesario en la configuración de DSC. Siga los pasos de este artículo para crear la aplicación de Azure AD. Anote el ID del inquilino, el ID de la aplicación cliente y la huella digital del certificado o el secreto del cliente, si se utiliza. Deberá crear una aplicación registrada en los inquilinos de origen y de destino con los mismos permisos de API.

Para otorgar permisos a la aplicación, consulte la documentación de los recursos que desea incluir en su configuración. En una migración de inquilino a inquilino, las cargas de trabajo más comunes son Exchange Online, OneDrive, Teams y SharePoint Online. La Figura 1 muestra un ejemplo de los permisos otorgados a una aplicación registrada utilizada con Microsoft 365 DSC.

Para ayudar a crear una configuración general de inquilinos, puede incluir otras cargas de trabajo como Microsoft Purview, Intune y Azure AD. Puede obtener el acceso RBAC para soluciones de cumplimiento o administración de grupos desde Intune y Azure AD junto con políticas de acceso condicional para establecerlas en el inquilino de destino.

Para instalar el módulo DSC de Microsoft 365, abra una ventana de PowerShell como administrador y ejecute el comando:

Install-Module Microsoft365DSC -Force

También puede instalar los módulos de carga de trabajo dependientes ejecutando (Figura 2):

Update-M365DSCDependencies

Planificación y consolidación de la migración de la plataforma Microsoft

Simplifique la planificación de la migración, supere los desafíos de la migración y finalice los proyectos más rápido mientras minimiza los costos, los riesgos y las interrupciones para los usuarios.

Exporte la configuración de DSC del inquilino de origen e importe al inquilino de destino

Para exportar una configuración desde el origen, utilice la herramienta de exportación del sitio web de Microsoft 365 DSC. Inicie sesión con sus credenciales de inquilino de origen y verá todas las cargas de trabajo y recursos dentro de las cargas de trabajo que puede exportar desde el inquilino. Luego elige la configuración para la exportación. Por ejemplo, puede seleccionar la autenticación de la aplicación y el certificado y proporcionar el ID de la aplicación, la huella digital del certificado, el ID del inquilino de origen y los recursos para exportar.

La herramienta crea un cmdlet de PowerShell de Microsoft 365 DSC llamado Export-M365DSCConfiguration, que copiará y pegará en PowerShell en su máquina para ejecutar el cmdlet. El cmdlet exporta una configuración del entorno en el que elige iniciar sesión (inquilino de origen) a la ruta del directorio elegido. Si no especifica un parámetro FileName en el cmdlet Export-M365DSCConfiguration como en el ejemplo siguiente, se utiliza el nombre predeterminado M365TenantConfig.ps1. El cmdlet Export-M365DSCConfiguration también genera un archivo de datos de configuración denominado ConfigurationData.psd1.

Export-M365DSCConfiguration -ApplicationId “ID of Application” -TenantId “ID or Name of Tenant” -CertificateThumbprint “ThumbprintOfCertificate” -Components @("AADApplication", "AADAuthorizationPolicy", "AADConditionalAccessPolicy", "AADGroup", "AADTenantDetails", "EXOAcceptedDomain", "EXOCASMailboxPlan", "EXOCASMailboxSettings", "EXOEmailAddressPolicy", "EXOHostedOutboundSpamFilterRule", "EXOInboundConnector", "EXOIntraOrganizationConnector", "EXOJournalRule", "EXOMailboxPlan", "EXOMailboxSettings", "EXOMobileDeviceMailboxPolicy", "EXOOnPremisesOrganization", "EXOOrganizationConfig", "EXOOrganizationRelationship", "EXOOutboundConnector", "EXOOwaMailboxPolicy", "EXOPartnerApplication", "EXOResourceConfiguration", "EXOSharedMailbox", "EXOTransportConfig", "EXOTransportRule", "ODSettings", "SPOAccessControlSettings", "SPOBrowserIdleSignout","SPOHomeSite", "SPOHubSite", "SPOOrgAssetsLibrary", "SPOSearchManagedProperty", "SPOSearchResultSource", "SPOSharingSettings", "SPOSiteDesignRights", "SPOSiteScript", "SPOStorageEntity", "SPOTenantCdnEnabled", "SPOTenantCdnPolicy", "SPOTenantSettings", "SPOTheme")

Después de exportar la configuración del inquilino de origen, busque la carpeta donde se crearon los scripts y abra ConfigurationData.psd1. Busque una sección llamada NonNodeData, que contiene lo siguiente (si usa una aplicación y una huella digital de certificado):

• Nombre de la organización: el nombre de dominio onmicrosoft.com del inquilino
• ApplicationID: el ID de cliente de su aplicación de Azure AD.
• TenantID: el ID del directorio o el nombre de dominio del inquilino.
• CertificateThumbprint: la huella digital del certificado utilizado en su aplicación de Azure AD

Debe actualizar estos parámetros con los valores de su inquilino de destino, ID de aplicación y huella digital del certificado y guardar ConfigurationData.psd1. Luego, ejecute el script M365TenantConfig.ps1. Una vez finalizado M365TenantConfig.ps1, hay un archivo localhost.mof disponible en una nueva subcarpeta llamada M365TenantConfig (Figura 3).

Para aplicar la configuración, ejecute el siguiente cmdlet (el parámetro Ruta es la ubicación del directorio donde se encuentra el archivo .mof después de ejecutar el script M365TenantConfig.ps1).

Ejemplo :

Start-DSCConfiguration -Path C:\M365DSC\Config\M365TenantConfig -Wait -Verbose -Force

Si ve una salida amarilla de PowerShell, sabrá que la configuración está funcionando. Los errores se muestran en texto rojo. Dependiendo del tamaño del archivo MOF y de los recursos dentro del archivo MOF, la secuencia de comandos puede tardar entre 3 y 5 minutos hasta 60 minutos. El tiempo exacto depende de cuántos recursos se seleccionaron de cada carga de trabajo y de la cantidad de datos que se deben aplicar al inquilino de destino desde la configuración.

Una vez completado, el LCM de la máquina intenta aplicar la configuración cada 15 minutos (el intervalo predeterminado). Puede optar por dejar el intervalo de configuración predeterminado y la configuración de verificación de cumplimiento en su lugar o aplicar la configuración al inquilino de destino como una importación única.

Después de una importación única, debe eliminar la supervisión de la configuración del LCM ejecutando los siguientes cmdlets:

Stop-DSCConfiguration -Force
Remove-DSCConfigurationDocument -Stage Current

Si desea crear un informe de configuración para verlo en formato HTML o Excel y comparar configuraciones entre los dos inquilinos después de haber importado una configuración exitosa a ambos, consulte este artículo aquí.

¡Únase a mí en TEC 2022 en Atlanta para obtener más información!

Existen múltiples casos de uso en entornos donde Microsoft 365 DSC es útil para la configuración y administración de estándares y políticas. Si se encuentra en algún escenario en el que este tipo de información le resulta útil para resolver problemas de configuración, únase a mí en mi sesión sobre Microsoft 365 DSC: Cómo configurar un inquilino de Office 365 desde cero y detener la deriva de configuración ¡A los expertos en The Experts Conference 2022!

Migración bajo demanda

Migre todas sus cargas de trabajo y Active Directory con una solución integral de migración de inquilino a inquilino de Office 365.