Hvad Office 365 hybrider har til fælles?

Hybrider

Når jeg siger Hybrid, betyder jeg et samarbejde af teknologier pågældende partner-programmer, du ejer og administrere i din virksomhed med de vi administrere i vores Microsoft Cloud(s).

Denne definition fungerer på tværs af ikke kun Azure, men de fleste arbejdsmængder i Office 365. Hvis du ikke ved, hvad en arbejdsbyrde er, af den måde, det er et program, der kører på Office 365-sky-platformen – Skype for Business Online, Exchange Online og SharePoint Online er eksempler. 'Arbejdsbelastningen' er en måde at holde dem adskiller sig fra deres lokale versionerne, hvilket er nyttigt at beholde skrive og samtale for at udføre forvirrende.

Hybrid kostumer bruge alle de ressourcer ved hånden, uanset hvor de er placeret.

Lokalt hardwareressourcer i fælles

Alle hybrider, som jeg taler om her forbinde en kundemiljø på tværs af internettet til Office 365 (og Azure Active Directory-AAD – i baggrunden, da det fungerer som mappen til Office 365). Infrastrukturen kan lyde svært at konfigurere. På trods af hvad du muligvis har hørt, tager det ikke en grad i 'alt-ology'. Faktisk arbejde de fleste af hybrider på samme måde med (i de fleste tilfælde) de samme hardwarekrav.

Her er de elementer, der skal alle hybrider og 2016. Hvor tingene er valgfrit, får jeg sig så.

Alle Office 365 hybrid arbejdsbelastninger har disse god ting:

1. Nogle lokalt servere (som et SharePoint-farm eller Skype for Business-miljø).

2. Active Directory lokale sted, hvor brugerne direkte eller som 'hører' (i S4B terminologi).

3. En server til Azure Active Directory forbinde (AAD forbinde) (som kan være på sin egen eller kombineres med en anden server, som WA-P). Dette er repræsenteret af ikonet 'Synkroniser', fordi AAD forbinde bruges til at synkronisere konti fra de lokale miljø i skyen på en hybrid.

4. [Valgfrit] En omvendt proxyserver, som i alle mine eksempler, vil være Web Application (WA-P) proxyserver.

5. [Valgfrit] Du kan også bruge Active Directory Federation Server (eller ADFS).

Desuden Hybrid guider er indbygget i hver arbejdsbelastningen for at du partner med din skyen, så du kan bruge alle værktøjerne til din rådighed (uanset hvor de live).

Hvis du ikke har ADFS, du har ingen overholdelse efterspørgsel, der kræver det, og ikke ønsker ekstra kompleksitet, ikke bruger den. AAD forbinde er udviklet til at få arbejdet gjort (og gentagelse intervallet er ned fra cirka 3 timer til 30 minutter, som er en praktisk forbedring gøre).

Mange store virksomheder har nogle af disse servere i stedet. Mange har Active Directory-domænecontrollere, eller har ADFS-servere. Hvis du tænker om konfiguration af en hybrid, kan du vil kontrollere med andre administratorer til at finde ud af, hvad lokale ressourcer er allerede på plads. Det hjælper dig med at finde ud af, om du vil bruge eksisterende infrastruktur stykker, eller ny.

Hvad laver følgende servere?

Ignorere dette afsnit, hvis du allerede ved, hvad disse servere laver.

De fleste personer er vant til at handlingerne af Active Directory (AD) – hvordan det optælles brugere og objekter i et domæne eller skov (blandt andet) – og tale om hybrid, er det en startside base for de brugere, der kan replikeres til Microsoft Cloud. Job af synkronisering (AAD forbinde), ADFS og WA-P (i vores eksempel omvendt Proxy) er en smule nyere, og flere central til behandling af anmodninger om hybrid HTTPS og identiteter så lad os tale om de.

ADFS

Hvis du vil gennemgå, kørslen af Active Directory Federation Services er så begge sider af hybrid at genkende hinanden, og med, som jeg-mener, Office 365 skal vide og har tillid til ADFS (eller ADFS klynge), som en bekræftet offentlige domænenavn tilhører. Dette giver mulighed for single-sign-on. Det betyder, at når brugere med en tilknyttet UPN viser til godkendelse mod onlineressourcer, Office 365 vil ved deres UPN og hvilke specifikke ADFS-server til at sende brugere til til godkendelse. Når Heidi@contoso.com gennemgår logon til Exchange Online, vil Office 365 til at sende en anmodning til din virksomhed, så ADFS kan gribe ind i godkendelse og enten Bekræft hun er den, som hun krav eller nægte hende. Dette kan ske hurtigt, hvis Netværks- og konfigurationen tillader det. ADFS bruges, hvis du vil udnytte enkeltlogon: Når logon brugere i en session med ADFS ADFS-server automatisk opfanger alle andre godkendelse instruktionerne (som sker der, når du skifter mellem arbejdsbelastninger, for eksempel) at minde dig om Office 365, som du er stadig som du, at du er. Da nogle IT-afdelinger har overholdelse af angivne standarder eller oplysninger om sikkerhedsindstillinger, der kræver adgangskoder Hold i det lokale miljø, og nogle ikke, er ADFS valgfrit.

Omvendt Proxy

Web Access-Proxy er en omvendt proxy (RP), der er indbygget i Windows Server-operativsystem systemer siden 2012 R2 udgivet. En omvendt proxy står på dit udgangspunkt til at handle på vegne af farmen. Den har en 'side', der vender internettet og kender det offentlige domænenavn for dit Office 365 hybrid og en 'side', der vender dit intranet eller afskærmede netværk og kender domænenavnet for dine interne ressourcer (som din SharePoint-websted URL-adresse, for eksempel). Det registrerer alle anmodninger kommer ind i din virksomhed og gør det muligt at blokere porte, indsnævre trafikken du acceptere fra internettet, og skjule interne adresser og URL-adresser til dit netværk mod verden udenfor. Sådan alle RPs er det en proxy for interne servere på dit netværk, når brugerne uden for netværket forsøger at få adgang til en ressource.

SharePoint 2013 hybrider bruge en omvendt proxy som WA-P for at opfange indgående trafik (fra brugere i SPO forespørgsler mod et lokalt søgeindekset for søgning sammenslutning), men fordi SharePoint 2016 i skyen hybrider placere hele indekset i skyen, den Næste generering ikke længere skal have et (som er den eneste eller anden grund, hvorfor det har markeret valgfrit i diagrammer). Men SharePoint 2013 er ikke det eneste sted, hvor du kan se en omvendt proxy, der bruges til at opfange uønsket trafik kommer fra internettet. Skype for Business 2016 bruger én med dens kant konfiguration og Exchange 2016 bruger en på kanten samt. Da nogle situationer kræver det, er WA-P valgfrit.

Synkroniser

Jeg bruge grafikken viser 'Synkroniser' for Azure Active Directory Connect. Virkelig, omfatter synkroniseringen udført af AAD forbinde igangværende overførsel af brugere og/eller brugeroplysninger fra dine lokale og for i skyen. Oprette forbindelse AAD kan gøre to ting: den kopieres brugerkonti i Office 365 (replikering), og den kan synkronisere adgangskodeoplysningerne på Office 365 (virkelig det ikke som kan synkroniseres adgangskoden, men ikke fortrydes hash, der repræsenterer adgangskoden – synkronisering). Den ikke har ' synkronisere adgangskoden ', men den altid synkroniserer (flergangsbestemmelser) din brugerkonti fra Active Directory (eller nogle filtreret version af din lokale brugermappe)!

Oprette forbindelse AAD fungerer med sund domænecontrollere i Active Directory-domænet til at tillade 'samme sign-on' i stedet for ADFS'S 'single sign-on'. Betyder, at, samme enkeltlogon i stedet for at logge på en enkelt gang og har ADFS gribe ind for alle instruktionerne for din session, skal du logge på med den samme adgangskode som i prem (og dias, Vælg indstillingen for at bevare selv logget på at reducere antallet af beder resultat af navigere flere arbejdsbelastninger). AAD oprette forbindelse til synkronisering er ikke valgfrit.

Internet- og tilgængelige for internettet hybrid webdele i fælles

Er Microsoft Cloud, hvor – uanset arbejdsbelastningen Office 365 – du skal bruge nogle af de velkendte hjælpemidler modsat de lokale servere i din O365 hybrid og på internettet. Dette er:

• Offentlige DNS-poster

• Offentlige nøglecentre

• Azure Active Directory (AAD)

• Office 365 (licenser/Afspil subrutiner som et) og Office 365 hybrid guider

• Hav tillid til en server til server (S2S)

• Express distribuere og/eller internettrafik

• PowerShell moduler

Offentlige DNS-udbyder, som GoDaddy, administrere og tillade registrering af domænenavne. Hvis du vil bruge hybrid, skal du registrere et domænenavn med offentlige DNS (dette måske allerede er gjort for dig i store virksomheder). Dette domænenavn, føjes til Office 365, som også kontrollere, at du ejer det offentlige domænenavn, du har tilføjet.

Traditionelt dette offentlige domænenavn er den samme som Active Directory UPN, der er knyttet til hybrid brugere i det lokale miljø, men ikke få taget på denne detaljer. Med fremkomsten af attributten 'onpremisessecurityidentifier' i PowerShell, som kort-identitet til en lokal installation SID, tilsvarende registrerede domænet i O365 med UPN af brugere lokalt er ikke længere som kritiske, som den var, én gang. Den er den mest vigtigt, at du ved, at du har brug for en offentlig domænenavn, du kan vise du ejer, dette offentlige domænenavn registreres i Office 365 og repræsenterer din Office 365 tilstedeværelse på begge sider af hybrid forbindelsen.

Offentlige nøglecentre giver dig troværdig SSL/TLS certifikater til at kryptere netværkstrafikken. I hver arbejdsbelastningen hybrid kommunikation udføres over en krypteret forbindelse. Du skal bruge et certifikat fra en offentlig nøglecenter på internettet. Få og SSL/TLS certifikater anvendes som standard, og der er som regel offentlige certifikat processer i store virksomheder til at gøre det lettere. I mindre virksomheder skal du se en IT-medarbejder, Office 365 dokumentation og din Internetudbyder.

Azure Active Directory eller Azure AD kører i baggrunden, når du synkroniserer / gentage brugere fra dit lokale til dit Office 365-abonnement (skyen-premises). Det er det nøjagtige samme Active Directory, der er brugt i bredere Azure. Stærke og problemfrit blandes til Office 365. Du kan administrere dine brugere og brugerlicenser i denne mappe. Administrere licenser i Office 365 ikke er udført automatisk af enhver hybrid guiden. Licenser penge kunder, så beslutning af hvem og hvor mange få licenser ikke foretaget automatisk.

Office 365 er fuldt halvdelen af din hybrid. Der er online hybrid guider per arbejdsbyrde. Dette er ikke meget effektiv, men dette Sådan virker hybrid og 2016 (eller med andre ord og version af SharePoint Server 2016, Exchange Server 2016 og Skype for Business Server 2015, lokalt). Men det er ikke den nemmeste måde at konfigurere alle elementerne i en hybrid. En enkelt hybrid guide, der ville vores kunder kan vælge, hvilke arbejdsbelastninger at hybrid, og gennemgå, der behandler per arbejdsbelastningen samt en hybrid kommandoen – en O365 Administrative dashboard –, og kunne rapportere om teknologier, der bruges af hver hybrid er sund og/eller allerede på plads findes ikke.

Hvad betyder det? Det betyder, at hver guiden ser de samme trin, og ofte mere end én gang. Hver guiden aktiverer OAuth (S2S sikkerhed og rettighedsadministration) for eksempel (gennemgår vi om OAuth senere). Nogle guider, som SharePoint Online arbejdsbelastningen Hybridvalg, Installer OAuth uanset hvad knappen du klikker på (for alle valg, du foretager), om OAuth er påkrævet til dit hybride scenarie. Andre guider, som guiden Exchange hybrid konfigurere OAuth i baggrunden og kun én gang.

En S2S sikkerhed og rettighedsadministration er ikke nødvendigt at på tværs af internettet, men i forbindelse med hybrid, denne tillid skal. En S2S er ikke som et domæne eller en skov sikkerhed og rettighedsadministration. Der ikke er stort antal porte der skal åbnes, og ingen bedre integration til at oprette mellem aktive kataloger. S2S opbygger en pålidelig forbindelse mellem din lokale SharePoint-farm og en del af en Office 365 skyen titlen Access Control Service eller ACS (en godkendelse server). Trust er baseret på et SSL/TLS-certifikat, der logger tokens udstedt på vegne af brugere, at dine lokale og O365's ACS begge accepterer er troværdig – betragte som en høj fem mellem lokalt SharePoint (og dens ACS proxytjenesten) og Azure's ACS for hver gyldige bruger får adgang til tjenesten. Kommunikation om bruger-id'er (årsagen til denne tillid) udføres over HTTP/443.

Hybrider kan bruge selvsigneret eller offentligt certifikater her. Mange store virksomheder vælger offentlige certifikater på grund af deres InfoSec standarder – stort set fordi trafikken krydser/maj på tværs af internettet, et upålidelige segment. For SharePoint hybrider kan dette certifikat være et nyt selvsigneret certifikat eller en, der er hentet fra de SP STS signering med token cert i det lokale miljø. (Hvis du har brugt et nyt certifikat (offentlig eller selvsigneret) i en SharePoint-hybrid, du vil erstatte certifikatet SP STS Token logge på alle noder i SharePoint-farm.)

Trafik i en hybrid efterlader en klient virksomhed/organisationsdiagram, krydser internettet og indsætter Microsoft organisation/Microsoft Office 365 i skyen. Der findes en måde at springe dette upålidelige og ukontrolleret segment, og, der har ved hjælp af en udbyder af 3 tredjepart baseret Express ruten fra din virksomhed eller organisation til Office 365-sky. Express distribuere omfartsveje internettet ved hjælp af en privat WAN-forbindelse til Microsoft Cloud. Men det er vigtigt at huske, i tilfælde, hvor WAN befinder sig en fejl, reservedatakilden er stadig på internettet.

Alle hybrider gør brug af PowerShell moduler for dele af management eller konfiguration. I de fleste moduler, skal du sandsynligvis indeholder en Microsoft Online Services-logon-assistentenog Azure Active Directory-modulet til Windows PowerShell. Du kan forberede servere til konfiguration og administration af din hybrider forvejen ved at installere disse ofte anvendte PowerShell moduler.

Porte og protokoller fælles

Hybrider er ½ dine lokale og ½ Office 365 (Azure SaaS eller PaaS hybrider ikke er dækket af dette dokument). Det er meget sandsynligt begge halve køres på HTTPs, men i det mindste, på Office 365-halvdelen er 100% https/krypteret af TLS certifikater, og det betyder, der køres over standard port 443. Du skal kontrollere, at et certifikat til offentlig er knyttet til trafikken går fra dit udgangspunkt for. Det vil sige, skal du installere et certifikat på den computer, at gøre taler i kanten af netværket – denne trafik kører over 443 og krypteres.

Alle hybrider bruger 443 (HTTPS) og 53 (DNS), som standard for hybride trafik. Nogle anvender ekstra porte som port 25 (SMTP). Men mest komplekse store og små bogstaver i hybride arbejdsmængder for porte er Skype for Business. Heldigvis er portene beskrevet.

Den skille protokol, der bruges af alle hybrider (med undtagelse af benchmarks bruges til DNS-opslag, HTTPS-trafik, SMTP og andre standarder), er OAuth (Åbn authorization), som bruges også i Active Directory Authentication Library. Det bruges, når du har en serverressource på én side af forbindelsen til at handle på vegne af en bruger til at få adgang til ressourcer på en anden server, ofte i skyen. Det er en måde, som kan være gauged niveau af brugeradgang til en fil eller en ressource til en godkendt bruger. Dette kaldes også 'Moderne Authentication' (selvom OAuth refererer til godkendelse).

Alle arbejdsbelastninger, som bruger OAuth/S2S ved arbejde med en hybrid (men ikke for alle hybrid funktioner). Hybrid guider normalt konfigurere denne nyttige protokol automatisk. Men der er ingen forening af dette arbejde på tværs af arbejdsbelastninger, ingen rapportering OAuth-tilstand til kunden, og ingen centralt måde at administrere denne universal ressource og 2016.

I nogle tilfælde hybrid guider slå OAuth når det ikke er nødvendigt (f.eks når SharePoint hybridvalg slår ud for OneDrive for Business Omdiriger til skyen), eller på alle valg af en hybrid indstillingen i guiden (igen, se hybridvalg SharePoint) , eller endda uden for hybridvalg i brugerdefineret installationsscripts, som med skyen Hybridsøgning.

Liste over almindelige elementer i Office 365 hybrider

Nu er en liste over almindelige elementer, der ser sådan ud:

I sidste ende på tværs af alle arbejdsbelastninger er målet at få en hybrid-brugere skal være den samme på tværs af grænser, så vi kan forenkle to af de vigtigste funktioner fungerer – forståelse af dit bruger-id, og hvad hun har tilladelse til at gøre med de oplysninger, hun har tilladelse til at se.

En bemærkning omkring 'Optional'

Nogle af disse elementer er sat til 'valgfri', men hvordan vil du vide, hvis der er brug for? Nogle elementer i O365 hybrider er helt igennem valgfri eller ikke valgfrit på tværs af tavlen:

Der findes andre funktioner, der falder inden for et grå område i et arbejde hybrid. Sandsynligvis de vigtigste af disse er S2S sikkerhed og rettighedsadministration / OAuth. Denne sikkerhed og rettighedsadministration er oprettet af hver hybrid guide, der er oprettet i Microsoft, og sikkerhed og rettighedsadministration er oprettet som standard, selvom det ikke er påkrævet, i rækkefølge til fremtidige-bevis hybrider. Når du går hybrid via en guide, bliver denne funktion på. Men (som du fik vist tidligere) det ikke er i øjeblikket bruges i alle tilfælde.

En omvendt Proxy (WA-P i vores eksempel) bruges, når der er en anmodning om uønsket indgående til kundens organisation for data eller oplysninger (såsom hvornår ved hjælp af hybrid BCS, når du udgiver Office Web Apps eller Office Online Server for udskrift af dokument i Søg resultater). Det er også nødvendigt, når du udgiver ark i en DMZ af din virksomhed, som når Exchange bruger WA-P som en ADFS-proxy, (så hvis du bruger ADFS i en Exchange Hybrid skal du WA-P).

Kanter er nødvendige for at bevare ensartet kommunikationskanaler til igangværende Chat i Skype for Business hybrid og kan bruges til at omdirigere trafikken SMTP på netværket fra en afskærmede i en Exchange Hybrid. Som det er gennemgået, ADFS bruges til Single-sign-on.

Der findes lignende tabeller til S2S, som denne tabel til SharePoint-servere i hybridkonfigurationer. Tabeller således kan konfigureres ved hjælp af logik af S2S-protokollen, der bruges, når du har en serverressource på én side af hybrid forbindelsen til at handle på vegne af en bruger til at få adgang til ressourcer på en anden server i skyen

* SharePoint-hybridvalg bliver stadig på OAuth, men dette er af hensyn til alle fremtidige hybridkonfigurationer.