Wat zijn de hybriden van Office 365 gebruikelijk?

Hybride omgeving

Wanneer ik Hybrid zeg, wil ik een samenwerkingsverband van technologieën maken die u in uw bedrijf bezit en beheert in uw bedrijf met de mensen die we beheren in onze Microsoft-Cloud (s).

Deze definitie werkt op niet alleen Azure maar de meeste werkbelastingen in Microsoft 365. Als u niet weet wat een werkbelasting is, is dit een toepassing die wordt uitgevoerd op het Microsoft 365 Cloud platform (skype voor bedrijven online, Exchange Online en SharePoint Online zijn voorbeelden. ' Werklast ' is een manier om ze te onderscheiden van hun on-premises tegenhangers, dat handig is om te voorkomen dat u tekst hoeft te schrijven en te leren.

Hybride aflopend gebruik alle informatiebronnen ter plaatse, ongeacht waar ze zich bevinden.

Gemeenschappelijke Hardwarebronnen van een on-premises hardware

Alle hybriden die ik hier neem hier verbinding maken met een klant omgeving via internet voor Microsoft 365 (en Azure Active Directory – AAD-op de achtergrond, aangezien deze als de adreslijst voor Microsoft 365 ) fungeert. De infrastructuur klinkt mogelijk moeilijk te configureren. Ondanks wat u mogelijk hebt gehoord, duurt het niet enige graad in ' overal-ology '. De meeste hybriden werken op dezelfde manier met (voor het meeste deel) dezelfde hardwarevereisten.

Als 2016 hier volgen de elementen die alle hybriden nodig hebben. Waar alles niet is, ik zeg het.

Voor alle Microsoft 365 hybride werklasten bestaan de volgende goede zaken:

1. Sommige on-premises servers (zoals een SharePoint-farm of een Skype voor bedrijven-omgeving).

2. Active Directory on-premises waarbij de gebruikers live of bevinden zich in een S4B-terminologie.

3. Een server van Azure Active Directory Connect (AAD Connect) (die kan worden gekoppeld of gecombineerd met een andere server, zoals WA-P). Dit wordt aangeduid met het pictogram synchroniseren omdat via AAD Connect accounts van de premises worden gesynchroniseerd met de cloud in een hybride implementatie.

4. [Optioneel] Een omgekeerde proxyserver, die in al deze voorbeelden wordt gebruikt, is Webtoepassingsproxy (WA-P).

5. [Optioneel] U kunt ook Active Directory Federation server (of ADFS) gebruiken.

Daarnaast zijn hybride wizards ingebouwd in elke werkbelasting, zodat u zich helpt bij de samenwerking met uw Cloud, zodat u alle hulpmiddelen voor de verwijdering kunt gebruiken (ongeacht waar ze wonen).

Als u geen ADFS hebt, hebt u geen nalevingsvereisten en hoeft u de extra complexiteit niet te gebruiken. AAD Connect is zo ontworpen dat de taak is uitgevoerd (en de replicatieperiode is van ongeveer 3 uur tot 30 minuten, wat een nuttige verbetering is).

Veel grote bedrijven hebben enkele van deze servers ter plaatse. U hebt veel Active Directory-domeincontrollers of kan ADFS-servers hebben. Als u een hybride wilt instellen, kunt u het beste contact opnemen met andere beheerders om erachter te komen welke on-premises resources al op hun plaats staan. U wordt aangeraden om te bepalen of u al dan niet bestaande infrastructuur stuks of nieuwe wilt gebruiken.

Wat doen deze servers?

Sla deze sectie over als u al weet wat deze servers doen.

De meeste mensen zijn gewend aan de bewerkingen van Active Directory (AD), en de manier waarop gebruikers en objecten in een domein of forest (onder andere) worden opgesomd, en in het geval van de hybride versie van de gebruikers die worden gerepliceerd naar de Microsoft-Cloud. De taken van de synchronisatie (AAD Connect), ADFS en WA-P (de voorbeelden omkeren van proxy) zijn iets nieuwer en meer centrale voor het verwerken van hybride HTTPS-aanvragen en identiteiten, dus laten we dan met ze praten.

ADFS

Om te controleren moet de taak van Active Directory Federation Services u helpen beide zijden van de Hybrid te helpen om elkaar te herkennen, en op Microsoft 365 basis van het gebruik van het ADFS-cluster (of ADFS cluster) waartoe een geverifieerde openbare domeinnaam behoort. Dit staat in eenmalige aanmelding. Dat betekent dat wanneer gebruikers met een gekoppelde UPN worden weergegeven om te verifiëren tegen online bronnen, Microsoft 365 de UPN en welke ADFS-server de gebruikers voor verificatie verzenden. Wanneer Heidi@contoso.com het aanmeldingsproces voor Exchange Online doorloopt, stuurt Microsoft 365 een verzoek naar uw lokale vestiging, zodat via ADFS verificatie kan worden opgestuurd via verificatie en een bevestiging van de autorisatie. Dit kan snel gebeuren als dit door de netwerk en configuratie is toegestaan. ADFS wordt gebruikt als u eenmalige aanmelding wilt gebruiken: wanneer gebruikers zich aanmelden bij een ADFS-sessie, onderscheppen de ADFS-server alle andere verificatie vragen (als dit gebeurt wanneer u overschakelt tussen de werkbelasting) om Microsoft 365 te herinneren dat u nog meer bent die u zegt. Aangezien sommige IT-afdelingen nalevings-of informatie-instellingen voor naleving hebben, moet u on-premises on-premises on-premises blijven en geen ADFS optioneel zijn.

Omgekeerde proxy

Web Access-Proxy is een versie voor reverse-proxy (RP) die is ingebouwd in Windows-besturingssystemen voor servers sinds 2012 R2 werd uitgebracht. Een omgekeerde proxy staat op een uitgangspunt om namens uw farm actie te ondernemen. Er staat een ' kant ' die het Internet bevalt en weet de openbare domeinnaam van uw Microsoft 365 hybride en een ' kant ' die de domeinnaam van uw interne bronnen bevat (zoals de URL van uw SharePoint-site). Alle aanvragen worden onderschept en u kunt poorten blokkeren, het verkeer beperken dat u van internet accepteert, en de interne adressen en Url's voor uw netwerk van de externe wereld verbergen. Net als alle RPs, is het een proxy voor interne servers in uw netwerk, wanneer gebruikers van buiten het netwerk een resource proberen te bereiken.

Hybride versies van SharePoint 2013 gebruikmaken van een omkeerbare proxy, zoals WA-P, waarmee inkomende verkeer (van gebruikers in SPO worden gemaakt op basis van een on-premises zoekindex in het geval van zoek Federatie 2016) voor de volgende generatie hoeft u niet langer een te kiezen (dat is de enige reden waarom het in de diagrammen is gemarkeerd). Maar SharePoint 2013 is de enige plek waar u een reverse-proxy ziet waarmee ongevraagde verkeer van Internet wordt onderschept. Skype voor bedrijven 2016 gebruikt één met de Edge-configuratie en Exchange 2016 maakt ook een rand. Aangezien in sommige situaties dit is vereist, WA-P optioneel.

Synchroniseren

Voor de afbeelding die ik gebruik, wordt ' synchroniseren ' voor Azure Active Directory Connect weergegeven. Helemaal, de synchronisatie met AAD Connect omvat de voortdurende transit van gebruikers en/of gebruikers informatie van uw on-premises en in de Cloud. AAD connect-verbinding kan twee dingen doen: deze repliceert gebruikersaccounts in Microsoft 365 (replicatie) en kan wachtwoordinformatie synchroniseren naar Microsoft 365 (helemaal wanneer het wachtwoord niet wordt gesynchroniseerd, maar een niet-omkeerbaar hash die het wachtwoord voorstelt. Het is niet nodig om uw wachtwoord te synchroniseren, maar het synchroniseren van uw gebruikersaccounts via Active Directory (of een een gefilterde versie van uw on-premises gebruikerslijst) wordt altijd gesynchroniseerd.

AAD Connect werkt met ongezonde domeincontrollers in uw Active Directory-domein, zodat eenmalige aanmelding mogelijk is, in plaats van de eenmalige aanmelding van ADFS. Als u hetzelfde aanmeldt, moet u zich aanmelden met hetzelfde wachtwoord als on-premises (en, op elk gewenst moment, de optie om ervoor te zorgen dat u zich afmeldt om het aantal prompts te verminderen). het resultaat van het navigeren in meerdere werkbelastingen). AAD Connect voor synchronisatie is niet optioneel.

Internet en beschikbare hybride delen van de Internet

Naast de on-premises servers in uw Microsoft 365 hybride en via internet is de Microsoft-Cloud, waar – ongeacht de Microsoft 365-werkbelasting, dan gebruikt u enkele bekende technologieën. Dit zijn:

• Openbare DNS-records

• Openbare Certificate Authorities

• Azure Active Directory (AAD)

• Microsoft 365 (licenties/niet) en Microsoft 365 hybride wizards

• Een S2S-vertrouwen (server-to-server)

• Snelle route ring en/of Internet verkeer

• PowerShell-modules

Openbare DNS-service-registeren, bijvoorbeeld GoDaddy, beheer en registratie van domeinnamen. Als u hybride wilt gebruiken, moet u een domeinnaam registreren met openbare DNS (dit kan al voor u doen in grote bedrijven). Deze domeinnaam wordt toegevoegd aan Microsoft 365, en u wordt ook gecontroleerd of u de naam van de openbare domeinnaam hebt die u toevoegt.

Voor deze openbare domeinnaam is de naam van de actieve domeinnaam gelijk aan de gebruiker die on-premises voor hybride gebruikers wordt gebruikt, maar er wordt geen informatie weergegeven. Met de komst van het kenmerk ' onpremisessecurityidentifier ' in PowerShell, dat de identiteit van de on-premises SID toewijst, wordt het geregistreerde domein in Microsoft 365 met de UPN van gebruikers on-premises niet langer zo essentieel. Het is belangrijk om te weten dat u de naam van een openbare domeinnaam nodig hebt en dat u de eigenaar bent van deze openbare domeinnaam in Microsoft 365 registreren, zodat uw Microsoft 365 aanwezigheid aan beide zijden van de hybride verbinding wordt weergegeven.

Openbare Certificate Authorities bieden vertrouwde SSL/TLS-certificaten voor het versleutelen van uw netwerkverkeer. In elke belasting vindt hybride communicatie plaats via een versleutelde verbinding. U hebt een certificaat van een openbare certificeringsinstantie op internet nodig. Het verkrijgen en SSL/TLS van certificaten is een standaardprocedure en de algemeen gangbare certificaat processen van grote bedrijven zijn dit te vereenvoudigen. In kleinere bedrijven moet u mogelijk contact opnemen met uw IT-medewerker, Microsoft 365 documentatie en uw INTERNETPROVIDER.

Azure Active Directory of Azure AD wordt op de achtergrond uitgevoerd wanneer u gebruikers synchroniseert/repliceert van uw on-premises naar uw Microsoft 365-abonnement (de Cloud premises). Het komt exact overeen met Active Directory die wordt gebruikt in bredere Azure. Krachtig en naadloos vermengd in Microsoft 365. U beheert uw gebruikers en gebruikerslicenties in deze adreslijst. Het beheren van licenties in Microsoft 365 wordt niet automatisch uitgevoerd door een hybride wizard. Licenties gelden voor kosten van klanten, zodat u kunt bepalen wie en hoeveel verplaatsings licenties automatisch worden uitgevoerd.

Microsoft 365 is volledig één helft van uw hybride. Het bevat online hybride wizards per werkbelasting. Dit is niet zeer efficiënt, maar dit is de werking van de hybride versie van 2016 (of, met andere woorden, vanaf de release van SharePoint Server 2016, Exchange Server 2016 en Skype voor bedrijven server 2015, on-premises). Dit is de eenvoudigste manier om alle elementen in een hybride te configureren. Eén hybride wizard waarmee klanten kunnen kiezen welke belastingen ze hybride willen maken, en door dit proces per werkbelasting te doorlopen, en een hybride opdrachten centrum – een Microsoft 365 beheer dashboard, waarop kan worden gerapporteerd of de technologieën die worden gebruikt voor elke hybride, in orde zijn en/of al zijn opgenomen.

Wat betekent dit? Dit betekent dat elke wizard dezelfde stappen uitvoert, en vaak meer dan één keer. Elke wizard activeert OAuth (S2S vertrouwen), bijvoorbeeld (we spreken later met OAuth). In sommige wizards, zoals de hybride kiezer van de SharePoint Online-werkbelasting, installeert u OAuth, ongeacht de knop waarop u klikt (voor elke selectie die u maakt), of OAuth vereist zijn voor uw hybride scenario. Andere wizards, zoals de hybride wizard van Exchange, stellen OAuth op de achtergrond in en keren ze maar één keer.

Een S2S-vertrouwensrelatie hoeven niet te worden opgebruikt van Internet, maar in geval van hybride moet deze vertrouwensrelatie. Een S2S is niet vergelijkbaar met een domein of forestvertrouwensrelatie. Er worden geen grote hoeveelheden poorten geopend en u kunt geen betere integratie van Active Directory-bestanden maken. Met S2S wordt een vertrouwde verbinding tot stand brengen tussen uw on-premises SharePoint-farm en een deel van de Microsoft 365 Cloud genaamd de toegangsbeheer service of ACS (een autorisatieserver). De vertrouwensrelatie is gebaseerd op een SSL/TLS-certificaat waarmee de tokens die worden uitgegeven namens gebruikers, worden ondertekend, wat uw on-premises en de Microsoft 365 ACS beide accepteren, beschouwt dit als een hoog vijf van de on-premises SharePoint-site (en de ACS-proxy service) en Azure de ACS voor elke geldige gebruiker die de service opent. Communicatie van gebruikersidentiteiten (de reden voor deze vertrouwensrelatie) wordt uitgevoerd via HTTP/443.

Hybrids kunnen hier gebruikmaken van eigen of persoonlijke certificaten. Veel grote bedrijven kiezen openbare certificaten vanwege hun blijven vanwege-standaarden, grotendeels omdat het verkeer via het Internet, een niet-vertrouwd segment, wordt overschreden. Voor SharePoint-hybriden kan dit certificaat bestaan uit een nieuw, zelfondertekend certificaat of één uitgepakte versie van het SP STS-token-ondertekening certificaat on-premises. (Als u een nieuw certificaat (openbaar of zelfondertekend) in een hybride versie van SharePoint hebt gebruikt, moet u het certificaat van de SP STS-token-ondertekening op alle knooppunten in de SharePoint-farm vervangen.)

Verkeer in een hybride bladert een client bedrijf/organisatie, kruist de Internet en voert de Microsoft organisatie/Microsoft Microsoft 365 Cloud in. Er is een manier om dit niet-vertrouwd en ongeregeld segment te omzeilen, en dat is het gebruik van een indirecte route van een externe provider van uw bedrijf of organisatie in de Microsoft 365 Cloud. Met Express route wordt het Internet overgeslagen door een persoonlijke WAN-verbinding met de Microsoft-Cloud aan te bieden. Het is echter wel belangrijk om te realiseren dat bij een afwijkend WAN een fout is opgetreden.

Alle hybriden maken gebruik van PowerShell-modules voor onderdelen van een management of configuratie. Voor de meeste modules geldt waarschijnlijk de Microsoft Online Services-aanmeldhulpen de Azure Active Directory-module voor Windows PowerShell. U kunt op elk gewenst moment voor het configureren en beheren van uw hybride hybride servers een prep-server voorbereiden door deze veelgebruikte PowerShell-modules te installeren.

Gangbare poorten en protocollen

Hybriden zijn 1/2 uw on-premises en 1/2 Microsoft 365 (Azure SaaS-of PaaS hybriden zijn niet in dit document opgenomen). Het is zeer waarschijnlijk dat de helft van de helft van de helft van de helft van de helft van de Microsoft 365 de helft van 100% https/versleuteld met TLS-certificaten bevat, en dat betekent dat deze wordt uitgevoerd via Standard Port 443. U dient ervoor te zorgen dat een openbaar certificaat ook wordt gekoppeld aan het verzonden verkeer vanuit uw uitgangspunt. Dat wil zeggen dat u een certificaat moet installeren op de computer die het gesprek doet op de Edge van uw netwerk, dat dit verkeer wordt uitgevoerd via 443 en versleuteld.

Voor alle hybriden worden standaard 443 (HTTPS) en 53 (DNS) gebruikt voor hybride verkeer. Sommige zullen gebruikmaken van extra poorten zoals poort 25 (SMTP). Maar de meest ingewikkelde zaak in hybride werklasten voor poorten is Skype voor bedrijven. Gelukkig zijn de poorten gedocumenteerd.

Het standout-protocol dat wordt gebruikt door alle hybriden (afgezien van de benchmark die wordt gebruikt voor het opzoeken van DNS, HTTPS-verkeer, SMTP en andere normen), is OAuth (open Authorization), die ook in Active Directory Authentication bibliotheek wordt gebruikt. Dit wordt gebruikt wanneer een serverbron aan de ene kant van de verbinding moet handelen namens een gebruiker om toegang te krijgen tot bronnen op een andere server, vaak in de Cloud. Het maakt niet uit of het niveau van de gebruiker toegang heeft tot een bestand of resource kan worden vastmaken voor een geverifieerde gebruiker. Dit wordt ook wel ' moderne verificatie ' genoemd (alhoewel OAuth verwijst naar autorisatie).

Voor alle werkbelasting wordt OAuth/S2S gebruikt in een hybride (maar niet voor elke hybride functie). Hybride wizards stellen meestal dit handige protocol automatisch in. Er is echter geen unification van deze inspanning voor de werkbelasting, geen rapportage van de OAuth-status aan de klant en de centrale manier om deze universele resource te beheren vanaf 2016.

In sommige gevallen wordt OAuth ingeschakeld wanneer u dit niet nodig hebt (bijvoorbeeld wanneer de hybride kiezer van SharePoint deze optie aanmeldt voor OneDrive voor bedrijven naar de Cloud), of bij elke selectie van een hybride optie in de wizard (als u dat nog niet doet, raadpleegt u de Hybrid-kiezer voor SharePoint) of zelfs buiten de hybride kiezer in aangepaste installatiescripts, zoals voor hybride zoeken voor de Cloud.

Tabel met veelgebruikte elementen in Microsoft 365 hybriden

Nu hebben we een lijst met veelvoorkomende elementen die er als volgt uitzien:

Ten slotte is het doel om gebruikers overal in de grenzen te trekken, zodat we twee van de belangrijkste functies die een hybride functie doen, van invloed kunnen zijn op de identiteit van uw gebruikers en wat ze mogen doen met de informatie die ze mogen zien.

Een opmerking op ' optioneel '

Sommige van deze elementen zijn ingesteld op ' optioneel ', maar hoe weet u ook of deze nodig zijn? Sommige elementen in Microsoft 365 hybriden zijn echt optioneel of niet optioneel op het bord:

In een werk-hybride zijn er andere functies die in een grijs gebied vallen. Waarschijnlijk is het belangrijkste van dit de S2S-vertrouwensrelatie/OAuth. Deze vertrouwensrelatie wordt gemaakt door elke hybride wizard die in Microsoft is gemaakt, en de vertrouwensrelatie is standaard gebouwd, zelfs wanneer dit niet is vereist, om hybriden voor de toekomst te '. Wanneer u hybride keer via een wizard hebt gebruikt, wordt deze functie ingeschakeld. Maar (zoals u eerder hebt gezien) wordt het momenteel niet gebruikt in alle gevallen.

Er is een omkeerbare proxy (WA-P in ons voorbeeld) nodig wanneer er een ongevraagde aanvraag binnenkomt voor de klant organisatie voor gegevens of informatie (bijvoorbeeld wanneer u hybride BCS gebruikt, wanneer u Office Web apps of een Office Online-server voor het publiceren van documenten in een zoekopdracht publiceert resultaten). Het is ook nodig voor het publiceren van een eindpunt naar een DMZ van uw bedrijf, bijvoorbeeld wanneer Exchange gebruikmaakt van WA-P als een ADFS-proxy (dus wanneer u ADFS gebruikt in een Exchange-Hybrid, hebt u WA-P).

U hebt een Edge nodig om consistente communicatiekanalen voor voortdurende chats in Skype voor bedrijven hybride te behouden en kan worden gebruikt voor het routeren van SMTP-verkeer naar het netwerk vanaf een perimeternetwerk in een Exchange-Hybrid. Zoals besproken, wordt ADFS gebruikt voor eenmalige aanmelding.

Er zijn soortgelijke tabellen voor S2S, zoals deze tabel voor SharePoint-servers in hybride configuraties. Tabellen zoals dit kunt u maken met behulp van de logica van het S2S-protocol dat wordt gebruikt wanneer een serverbron aan de ene kant van de hybride verbinding moet handelen namens een gebruiker om toegang te krijgen tot bronnen op een andere server in de Cloud.

* De hybride kiezer van SharePoint schakelt OAuth wel in, maar dit is alleen mogelijk voor toekomstige hybride configuraties.