Mitä Office 365-hybridit ovat yleisiä?

Yhdistelmät

Kun sanon hybridin, tarkoitan sellaisten teknologioiden yhteistyötä, joiden avulla yrityksesi omistaa ja hallitsee liiketoiminta ansa Microsoftin pilvi palvelussa hallitsemillamme sovelluksilla.

Tämä määritelmä toimii paitsi Azure-tieto kannassa, mutta useimmat työmäärät Microsoft 365. Jos et tiedä, mikä työtaakka on, se on Microsoft 365 pilvi ympäristössä, Skype for Business Online-, Exchange Online-ja SharePoint Online-sovelluksissa. Työmäärä-asetuksena voit pitää ne erillään paikallisista kollegoistaan, mikä on hyödyllistä, jos haluat pitää kirjoittamisen ja keskustelun hämmentävältä.

Yhdistelmä asut käyttävät kaikkia käytettävissä olevaa materiaalia riippumatta siitä, missä he asuvat.

On-Prem-laite resurssit yhteisessä käytössä

Kaikki hybridit, joista puhun, yhdistävät asiakas ympäristön Inter netin kautta Microsoft 365 (ja Azure Active Directory – AAD – taustalla, koska se toimii Microsoft 365-hakemistoksi). Infrastruktuuria voi kuulostaa vaikealta määrittää. Siitä huolimatta, mitä olet ehkä kuullut, siinä ei ole mitään tutkintoa "anything-ology". Useimmat hybridit toimivat samalla tavalla (useimmiten) samojen laitteisto vaatimusten mukaisesti.

Kuten 2016 tässä ovat kaikki hybridit tarvitsevat. Jos asiat ovat valinnaisia, sanon sen.

Kaikissa Microsoft 365 yhdistelmä kuormituksiin on seuraavat hyvät ominaisuudet:

1. Jotkin on-Prem-palvelimet (kuten SharePoint-klusteri tai Skype for Business-ympäristö).

2. Paikallinen Active Directory, jossa käyttäjät asuvat tai ovat "homed" (S4B terminologiassa).

3. Azure Active Directory Connect (AAD Connect)-palvelin (joka voi olla sellaisenaan tai yhdistettynä toiseen palvelimeen, kuten WA-P). Tätä kuvaa Synkronoi-kuvake, koska AAD Connectia käytetään, jotta asiakkaat synkronoituvat tiloista pilvi palveluun yhdistelmä palvelussa.

4. [Valinnainen] Välitys palvelin, joka on kaikissa esimerkeissä Verkko sovelluksen välitys palvelimen (WA-P) palvelin.

5. [Valinnainen] Voit käyttää myös Active Directory-liittoutumis palvelinta (tai ADFS).

Lisäksi kuhunkin työmäärään sisältyy yhdistelmä toimintoja, joiden avulla voit tehdä yhteistyötä pilvi palvelun kanssa, jotta voit käyttää kaikkia käytettävissä olevia työkaluja (riippumatta siitä, missä he asuvat).

Jos sinulla ei ole ADFS-ehtoja, sinulla ei ole sen vaativuutta vaativia vaatimuksia etkä halua lisä monimutkaisuutta, Älä käytä sitä. AAD Connect on suunniteltu työn tekemiseen (ja replikointi väli on noin 3 tunnista 30 minuuttiin, mikä on hyödyllinen parannus).

Monet suuret yritykset käyttävät näitä palvelimia paikallaan. Monilla on Active Directory-toimi alueen ohjaus koneita tai ne voivat olla ADFS-palvelimia. Jos olet aikeissa luoda yhdistelmä ympäristön, sinun kannattaa tarkistaa muiden järjestelmänvalvojien kanssa, mitkä paikalliset resurssit ovat jo käytössä. Sen avulla voit määrittää, haluatko käyttää olemassa olevia infrastruktuuriosia vai uutta.

Mitä nämä palvelimet tekevät?

Ohita tämä osa, jos tiedät jo, mitä nämä palvelimet tekevät.

Useimmat käyttäjät ovat tottuneet Active Directoryn toimintoihin (AD) – miten se luetteloi käyttäjiä ja objekteja toimi alueella tai metsässä (muun muassa) – ja yhdistelmä ympäristön tapa uksessa se on koti pesä käyttäjille, jotka kopioidaan Microsoft Cloudiin. Synkronoinnin työt (AAD Connect), ADFS ja WA-P (esimerkin palautus välitys palvelin) ovat hieman uudempia, ja niiden avulla voidaan käsitellä yhdistelmä ympäristön HTTPS-pyyntöjä ja-tunniste tietoja.

ADFS

Voit tarkistaa, että Active Directory-liittoutumis palveluiden tehtävä on auttaa risteytettyjen kumpaakin puolta tunnistamaan toisensa, ja tällä tarkoitan, Microsoft 365 tulee tietämään ja luottavan ADFS (tai ADFS-klusteri), johon vahvistettu julkinen toimi alue nimi kuuluu. Tämä mahdollistaa kertakirjautumisen. Tämä tarkoittaa sitä, että kun käyttäjät, joilla on siihen liittyvä UPN, näkevät todennuksen online-resursseista, Microsoft 365 tietävät UPN ja sen, mikä erityinen ADFS-palvelin lähettää käyttäjät todennukseen. Kun Heidi@contoso.com Käy Exchange Onlinen kirjautumisprosessin läpi, Microsoft 365 lähettää pyynnön omille tiloilleen niin, että ADFS voi puuttua todennukseen ja joko vahvistaa, että hän on hänen vaatimuksensa, tai kieltää hänen. Tämä voi tapahtua nopeasti, jos verkko ja kokoonpano sallivat sen. ADFS-tietoja käytetään, jos haluat käyttää kertakirjautumista: kun käyttäjä on kirjautunut ADFS-istuntoon, ADFS-palvelin sieppaa kaikki muut todennus kehotteet (kuten tapahtuu, kun vaihdat työtaakan välillä) muistuttaakseen Microsoft 365, että olet edelleen kuka sanotte. Koska joissakin IT-osastoissa on yhteensopivuus tai tieto turva-asetukset, jotka edellyttävät Sala sanojen oleskelua paikallisesti, eikä ADFS ole valinnainen.

Palauta välitys palvelin

Web-käyttö oikeus-välitys palvelin on Windows Server-käyttö järjestelmiin integroitu rempp (RP)-välitys palvelin, joka on julkaistu 2012 R2-versiosta lähtien. Palautus välitys palvelin on sinun uloskäyntipisteidesi kohdalla, jos haluat toimia oman klusterin puolesta. Siinä on "puoli", joka on Inter netin edessä ja tuntee Microsoft 365-Hybridisi julkisen toimi alue nimen ja "puoli", joka kohdistuu intranetiin tai edusta verkkoon ja joka tuntee sisäisten resurssiesi (esimerkiksi SharePoint-sivuston URL-osoitteen) toimi alue nimen. Se sieppaa kaikki yrityksesi tulevat pyynnöt ja sallii sinun estää satamat, rajoittaa Inter netistä tulevaa liikennettä ja piilottaa verkon sisäiset osoitteet ja URL-osoitteita ulkomaailmasta. Kuten kaikki RPs, se on verkossasi olevien sisäisten palvelinten välitys palvelin aina, kun verkoston ulkopuoliset käyttäjät yrittävät päästä resurssiin.

SharePoint 2013-hybridit Käytä takaisinkäännettyä välitys palvelinta, kuten WA-P, jos haluat siepata saapuvan liikenteen (käyttäjien SPO-haku indekseistä, jos haku on käytössä), mutta koska SharePoint 2016-pilvi hybridit asettavat koko hakemiston pilvi palveluun, Seuraava suku polvi ei enää tarvitse yhtä (mikä on ainoa syy, miksi se on merkitty valinnaisena kaavioissa). SharePoint 2013 ei ole ainoa paikka, jossa näet vasta uksen, jota käytetään Inter netistä tulevan luvattoman liikenteen kuunteluun. Skype for Business 2016 käyttää yhtä ja sen Edge-määritystä, ja Exchange 2016 käyttää sitä myös sen reunassa. Koska joissakin tilanteissa se on tarpeen, WA-P on valinnainen.

Synkronointi

Käytettävä kuva-kohdassa näytetään "Synkronoi" Azure Active Directory Connect-palvelussa. AAD Connect-palvelussa tehtävä synkronointi edellyttää käyttäjien ja/tai käyttäjä tietojen jatkuvaa siirtoa paikallisesta ja pilvi palveluun. AAD Connect voi tehdä kaksi asiaa: se replikoi käyttäjä tunnukset Microsoft 365 (replikointi), ja se voi synkronoida salasana tietoja Microsoft 365 (se ei todellakaan Synkronoi Sala sanaa, vaan ei-palautuvaa hajautus arvoa, joka vastaa Sala sanaa – synkronointia). Se ei tarvitse "Synkronoi Sala sanaasi", mutta se synkronoi aina (replikoi) käyttäjä tilisi Active Directorysta (tai paikallisesta käyttäjä hakemistosta)!

AAD Connect toimii Active Directory-toimi alueen terveiden toimi alueen ohjaus koneiden kanssa, jotta "sama sisäänkirjautuminen" olisi sallittua ADFS:N "kertakirjautumisen" sijaan. Sama Kirjautumistapa tarkoittaa sitä, että kun olet kirjautunut sisään yhdellä kertaa ja jos ADFS on puuttunut kaikkiin istuntoihisi, voit kirja utua sisään käyttämällä samaa Sala sanaa kuin Prem-ohjelmassa (ja oletettavasti, jos haluat pitää itsesi kirjautuneena, jos haluat vähentää niiden kehotteiden määrää, jotka on seurausta useista Työkuormitusten siirtymisestä). AAD Connect for Sync ei ole valinnainen.

Internet ja Internet-käytettävissä olevat yhdistelmä osat yhteisessä

Microsoft 365 hybridissä ja Inter netissä olevia paikallisia palvelimia vasta päätä on Microsoft Cloud, jossa voit käyttää tuttuja tekniikoita – olipa Microsoft 365 työmäärä mikä tahansa. Näin tapahtuu seuraavissa tapauksissa:

• Julkiset DNS-tietueet

• Julkisten varmenteiden myöntäjät

• Azure Active Directory (AAD)

• Microsoft 365 (lisenssit/subs) ja Microsoft 365 yhdistelmä toiminnot

• Palvelin – palvelin (S2S)-Trust

• Pikareitti ja/tai Internet-liikenne

• PowerShell-moduulit

Julkiset DNS-rekisterin pitäjät, kuten GoDaddy, hallitsevat ja sallivat toimi alue nimien rekisteröimisen. Jos haluat käyttää yhdistelmä ympäristöä, sinun on rekisteröitävä toimi alue nimi Public DNS:ssä (tämä voi jo olla mahdollista suurissa yrityksissä). Tämä toimi alue nimi lisätään Microsoft 365, joka vahvistaa myös, että omistat lisäämäsi julkisen toimi alueen nimen.

Tämä julkinen toimi alue nimi on perinteisesti sama kuin paikallisen yhdistelmä käyttäjän Active Directory UPN, mutta se ei jää tämän yksityiskohdan päälle. Kun käytössä on PowerShellin onpremisessecurityidentifier-määrite, joka yhdistää identiteetin paikalliseen SID-tunnukseen, Microsoft 365-toimi alueen käyttäjät eivät ole enää yhtä kriittisiä kuin ennen. On tärkeää tietää, että tarvitset julkisen toimi alue nimen, jonka voit todistaa itse, Tämä julkinen toimi alue nimi rekisteröidään Microsoft 365 ja se edustaa Microsoft 365 tavoitettavuuttasi yhdistelmä yhteyden kummallakin puolella.

Julkisten varmenteiden myöntäjät antavat luotettavan SSL/TLS-varmenteen, jonka avulla voit salata verkko liikenteesi. Yhdistelmä viestintä tapahtuu kaikissa Työkuormitusten aikana salatun yhteyden kautta. Tarvitset varmenteen julkisesta varmenteiden myöntäjältä Inter netissä. Getting-ja SSL/TLS-varmenteet ovat normaali käytäntö, ja niiden Help ottamiseksi on yleensä olemassa julkisten Varmenteiden prosesseja suurissa yrityksissä. Pienissä yrityksissä sinun on ehkä kuultava IT-henkilösi, Microsoft 365-asia kirjoja ja Internet-palveluntarjoajaasi.

Azure Active Directory tai Azure AD on taustalla, kun synkronoit tai replikoi käyttäjiä paikallisesta tieto koneesta Microsoft 365-tilaukseesi (pilvi tilat). Se on täsmälleen sama Active Directory, jota käytetään laajemmin Azuressa. Tehokas ja saumaton yhdistelmä Microsoft 365. Hallitset käyttäjiä ja käyttö oikeuksia tässä hakemistossa. Käyttö oikeuksien hallintaa Microsoft 365 ei tehdä automaattisesti millään yhdistelmä toiminnolla. Käyttö oikeudet maksavat asiakkaiden rahoja, joten päätöksen siitä, kuka ja kuinka monta käyttö oikeutta saat, ei tehdä automaattisesti.

Microsoft 365 on täysin puolet risteytäsi. Siinä on verkossa olevat yhdistelmä toiminnot työtaakkaa kohden. Tämä ei ole kovin tehokasta, mutta tämä on se tapa, jolla yhdistelmä toimii 2016 (tai toisin sanoen SharePoint Server 2016-, Exchange Server 2016-ja Skype for Business Server 2015-versioiden julkaisemisen jälkeen). Tämä ei kuitenkaan ole helpoin tapa määrittää kaikki yhdistelmä ympäristön kaikki ominaisuudet. Yksittäinen yhdistelmä toiminto, jonka avulla asiakkaat voivat valita, mitkä työmäärät tekevät risteytymän ja miten se käy läpi työmäärän mukaan, sekä yhdistelmä komento keskuksen, joka on Microsoft 365 hallinta-raportti näkymä, joka voi ilmoittaa, ovatko kunkin hybridi käytön tekniikat terveitä ja/tai onko niitä jo olemassa.

Mitä tämä tarkoittaa? Se tarkoittaa, että jokainen ohjattu toiminto tekee samat vaiheet ja usein useammin kuin kerran. Jokainen ohjattu toiminto aktivoi OAuth (S2S Trust)-toiminnon esimerkiksi (keskus telemme OAuth-funktioista myöhemmin). Jotkin ohjatut toiminnot, kuten SharePoint Online-työmäärän yhdistelmä valitsin, asentavat OAuth-painikkeen valitsemaksesi (jokaista valittua valintaa varten) riippumatta siitä, tarvitaanko yhdistelmä skenaarioon OAuth-vaihto ehto. Muita ohjattuja toimintoja, kuten ohjattua Exchange-yhdistelmä toimintoa, määritetään OAuth-toiminto taustalle ja vain kerran.

S2S-trustin ei tarvitse olla Inter netin yläpuolella, mutta hybridissä tämän luottamuksen on oltava. S2S ei ole kuin toimi alueen tai metsän Trust. Avoimia portteja ei ole suuri määrä, eikä aktiivista integrointia luoda aktiivisten hakemistojen välille. S2S rakentaa luotettavan yhteyden paikallisen SharePoint-klusterin ja Microsoft 365 pilvi palvelun, jonka nimi on käytön valvonta palvelu tai ACS (valtuutus palvelin). Luottamus perustuu SSL/TLS-varmenteeseen, joka allekirjoittaa käyttäjien puolesta annetut tunnukset, että paikallinen ja Microsoft 365 ACS molemmat ovat luotettavia – Ajattele sitä kuin viisi prosenttia on-Prem SharePointin (ja sen ACS-välitys palvelun) ja Azuren ACS jokaista palvelua käyttäville kelvolliseen käyttäjään. Käyttäjä tietoja (luottamuksen syy) koskevat tiedot on tehty HTTP/443-yhteyden kautta.

Hybridit voivat käyttää itse allekirjoitettuja tai julkisia CERT:tä täällä. Monet suuryritykset valitsevat julkisten sertifikaattien tieto liikenne standardiensa takia – suurelta osin siksi, että ne ylittävät/voivat ylittää Inter netin, ei-luotettavan segmentin. SharePoint-hybridien osalta tämä varmenne voi olla uusi itse allekirjoitettu sertifikaatti tai sellainen, joka on erotettu paikallisesta SP STS-kirjautumistunnuksesta. (Jos olet käyttänyt uutta sertifikaattia (julkinen tai itse allekirjoitettu) SharePoint-yhdistelmä sovelluksessa, sinun on korvattava SP STS-tunnuksen allekirjoitus varmenne kaikissa SharePoint-klusterin solmuissa.)

Hybridi-tieto liikenne jättää asiakas yrityksen/organisaation Inter netin kautta, ja se siirtyy Microsoft Organization/Microsoft Microsoft 365 Cloudiin. On olemassa tapa ohittaa tämä epäluotettava ja hallitsematon segmentti, ja se on käyttämällä yrityksen tai organisaation kolmannen osapuolen toimittamaa Pikareittiä Microsoft 365 pilvi palveluun. Pikareitti ohittaa Inter netin tarjoamalla yksityisen WAN-yhteyden Microsoft Cloudiin. On kuitenkin tärkeää huomata, että tapa uksissa, joissa WAN kärsii epäonnistumisesta, varmistus on edelleen Internet.

Kaikki hybridit käyttävät PowerShell-moduuleja osien hallintaan tai kokoonpanoon. Useimmat tarvitsemasi moduulit sisältävät todennäköisesti Microsoft Online Services-palveluiden kirjautumisavustajanja Windows PowerShellin Azure Active Directory-moduulin. Voit valmistella palvelinten hybridien kokoonpanoa ja hallintaa etukäteen asentamalla nämä usein käytetyt PowerShell-moduulit.

Yhteiset portit ja protokollat

Hybridit ovat 1/2 paikallisesti ja 1/2 Microsoft 365 (Azure SaaS-tai PaaS-hybridit eivät sisälly tähän asia kirjaan). On erittäin todennäköistä, että molemmat puolet toimivat HTTPs-protokollalla, mutta vähintään Microsoft 365 puoli on TLS-varmenteilla 100% https/encrypted-varmenne, joka tarkoittaa, että se toimii vakio portissa 443. Sinun on varmistettava, että julkiseen varmenteeseen liittyy myös uloskäyntipisteestä ulos tulevaa liikennettä. Tämä tarkoittaa sitä, että sinun on asennettava tieto koneeseen sertifikaatti, joka tekee puhumisen verkoston reunassa – Tämä liikenne jatkuu 443 ja salataan.

Kaikki hybridit käyttävät oletusarvoisesti 443 (HTTPS) ja 53 (DNS)-yhdistelmä liikennettä. Joissakin on käytössä muita portteja, kuten portti 25 (SMTP). Mutta monimutkaisin tapa uksessa satamien hybridi työtaakka on Skype for Business. Satamat on onneksi dokumentoitu.

Kaikkien hybridien (DNS-haku, HTTPS-liikenne, SMTP ja muut standardit) käyttämä standout-protokolla on OAuth (avoin valtuutus), jota käytetään myös Active Directory-todennus kirjastossa. Sitä käytetään, kun yhteyden toisella puolella olevan palvelin resurssin on toimittava käyttäjän puolesta, jotta hän voi käyttää toisen palvelimen resursseja, usein pilvi palvelussa. Se tarkoittaa sitä, että tiedoston tai resurssin käyttö oikeus taso voidaan mitata todennetulle käyttäjälle. Tätä kutsutaan myös nykyaikaiseksi todennukseksi (vaikka OAuth viittaa valtuutukseen).

Kaikki työmäärät käyttävät OAuth/S2S-toimintoa, kun se on yhdistelmä (vaikkakaan ei kaikissa yhdistelmä yhdistelmissä). Yhdistelmä toiminnot määrittävät yleensä tämän hyödyllisen protokollan automaattisesti. Tätä pyrkimystä ei kuitenkaan ole yhdistymään työtaakan aikana, ei raportoinnista OAuth-tilasta asiakkaalle eikä keskitettyä tapaa hallinnoida tätä yleistä resurssia 2016.

Joissain tapa uksissa yhdistelmä toimintojen ohjatut toiminnot KÄÄNT OAuth-toiminnon käyttöön, kun sitä ei tarvita (esimerkiksi silloin, kun SharePoint-yhdistelmä valitsin ottaa tämän käyttöön OneDrive for Businessin uudelleenohjausta varten pilvi palvelussa), tai kaikissa yhdistelmä vaihto ehdoissa ohjatussa toiminnossa (uudelleen, Katso SharePoint-yhdistelmä valitsin) tai jopa hybridin valitsimen ulkopuolella mukautetuissa asennus komento sarjoissa, kuten pilvi yhdistelmä haun avulla.

Taulukko Microsoft 365 hybridien yleisistä osista

Meillä on nyt luettelo yleisistä elementeistä, jotka näyttävät tältä:

Loppujen lopuksi kaikissa työtaakan tavoitetta on se, että käyttäjät saavat samat rajat rajoilleen, jotta voimme yksinkertaistaa kahta tärkeintä funktiota, joita yhdistelmä toiminto tekee – käyttäjän henkilöllisyyden miettiminen ja sen, mitä tietoja hän voi nähdä.

Valinnainen-merkintä

Jotkin näistä elementeistä ovat valinnaisia, mutta mistä tiedät, jos niitä tarvitaan? Jotkin Microsoft 365 hybridien ominaisuudet ovat aidosti valinnaisia tai eivät valinnaisia kautta linjan:

Työskentely risteymän sisällä on muita ominaisuuksia, jotka kuuluvat harmaalle alueelle. Ehkä tärkein näistä on S2S Trust/OAuth. Tämä Trust on luotu Microsoftin sisällä luotujen yhdistelmä toimintojen avulla, ja luotettavuus on oletus arvon mukaan sisäänrakennettu, vaikka sitä ei tarvita, jotta "tulevaisuuden hybridit". Kun siirryt yhdistelmä toiminnolla, tämä toiminto on käytössä. Mutta (kuten näit aiemmin) sitä ei tällä hetkellä käytetä kaikissa tapa uksissa.

Rempseä välitys palvelinta (esimerkin WA-P) tarvitaan aina, kun asiakas organisaatiolle on pyydetty tietoja tai tietoja (esimerkiksi käytettäessä yhdistelmä palvelu palvelimia, kun Office Web Apps-sovelluksia tai Office Online-palvelinta käytetään haun asia kirjan esikatselussa). tulokset). Se on tarpeen myös silloin, kun pääte piste julkaistaan yrityksesi DMZ-muodossa, esimerkiksi silloin, kun Exchange käyttää WA-P:tä ADFS-välitys palvelimena (jos käytät ADFS:ää Exchange-hybridissä, sinun on oltava WA-P).

Reunat ovat tarpeen, jotta Skype for Business-hybridissä käynnissä oleville keskusteluille voidaan ylläpitää yhtenäisiä viestintä kanavia, ja niitä voi käyttää reitittämään SMTP-liikennettä verkkoon, joka on Exchange-risteymän kehä. Kuten edellä on kerrottu, ADFS-tietoja käytetään kertakirjautumisen yhteydessä.

S2S-sovelluksessa on samankaltaisia taulu koita, kuten tämä taulukko SharePoint-palvelimiin yhdistelmä määrityksissä. Tämän kaltaiset taulukot voidaan luoda käyttämällä S2S-protokollan logiikkaa, jota käytetään, kun yhdistelmä yhteyden toisella puolella oleva palvelin resurssi toimii käyttäjän puolesta, jotta hän voi käyttää toisen palvelimen resursseja pilvi palvelussa.

* SharePoint Hybrid valitsin ottaa OAuth-toiminnon käyttöön, mutta tämä on tulevien yhdistelmä määritysten vuoksi.