Ce Office 365 hibrizi au în comun?

Hibrizi

Când spun hibrid, adică o colaborare tehnologii care aplicațiile partener dețineți și să gestionați în afacerea cu cele noi administrarea în nostru Cloud(s) Microsoft.

Această definiție funcționează în Azure numai de majoritatea soluții de lucru în Office 365. Dacă nu știți ce o sarcină de lucru este la fel, este o aplicație care rulează pe platforma Office 365 Cloud – Skype for Business Online, Exchange Online și SharePoint Online sunt exemple. 'Volumul de lucru este o modalitate de a le păstra distincte de lor corespunzătoare local, care este util să păstreze scris și conversație să derutant.

Hibrid utilaje utilizarea toate resursele la îndemână, indiferent unde locuiesc.

Resursele de hardware locală în comun

Toate hibrizi care vorbesc despre aici conecta un mediu client pe Internet pentru Office 365 (şi Azure Active Directory-AAD-în fundal, deoarece acesta se comportă ca directorului pentru Office 365). Infrastructura poate suna dificil să configurați. Contrar ce ar fi auzit, să nu dureze un grad în 'orice ology-'. De fapt, majoritatea hibrizii funcționează la fel cu (în majoritatea cazurilor) același cerințe de hardware.

Începând cu 2016 aici sunt elemente care au nevoie de toate hibrizi. În cazul în care sunt lucrurile opțional, veți spune-acest lucru.

Toate Office 365 hibrid soluțiile au aceste lucruri bune:

1. Unele servere locală (cum ar fi o fermă SharePoint sau Skype for Business mediu).

2. Active Directory local în cazul în care utilizatorii live sau sunt conectați (în terminologia S4B).

3. Un server Azure Active Directory conectarea (conectarea AAD) (care poate fi în propria sa sau combinat cu un alt server, cum ar fi WA-P). Acest lucru este reprezentat de pictograma "Sincronizare", deoarece AAD conectarea este utilizată pentru a sincroniza conturile din local în cloud un hibrid.

4. [Opțional] Un server proxy invers, care, în toate exemplele mele, va fi server proxy-ul aplicației Web (WA-P).

5. [Opțional] De asemenea, puteți utiliza serverul de federalizare Active Directory (sau ADFS).

De asemenea, hibrid experți sunt construite în fiecare volumul de lucru pentru a vă partener cu pe Cloud pentru a utiliza toate instrumentele la dispoziție (nu contează unde locuiesc).

Dacă nu aveți ADFS, au nu cere de conformitate care necesită, și nu doriți ca complexitatea suplimentare, nu o utilizați. Conectarea AAD este proiectat pentru a realiza (şi intervalul de reproducere este în jos la aproximativ 3 ore la 30 de minute, care este o îmbunătățire utile pentru a face).

Multe companii mari unele dintre aceste servere au loc. Multe au controler de domeniu Active Directory, sau pot avea ADFS servere. Dacă vă gândiți despre cum se configurează un hibrid, poate doriți să verificați cu altor administratori pentru a afla ce resursele locale sunt deja în vigoare. Aceasta vă va ajuta să determinați dacă doriți să utilizați componente de infrastructură existent, sau nou.

Ce fac aceste servere?

Omiteți această secțiune, dacă știți deja ce fac aceste servere.

Majoritatea persoanelor sunt obişnuiţi cu operațiuni de Active Directory (AD) - cum se enumeră utilizatorii și obiecte într-un domeniu sau pădure (printre altele) - și în cazul hibrid, este o bază de pornire pentru utilizatorii care vor fi reproduse la Microsoft Cloud. Activități de sincronizare (AAD conecta), ADFS și WA-P (exemplul nostru inversa Proxy) sunt puțin mai noi și mai multe centrală la procesarea solicitărilor de HTTPS hibrid și identități atât să discutați despre cele.

ADFS

Pentru a examina, sarcinile Active Directory Federation Services este de a ajuta ambele părți ale hibrid să recunoască reciproc și de care adică, Office 365 va cunoașteți și aveți încredere ADFS (sau ADFS cluster) care aparține un nume de domeniu verificat public. Acest lucru permite sign-on unic. Care înseamnă că, atunci când utilizatorii cu o UPN-ul asociat afișează pentru a autentifica împotriva resurse online, Office 365 se întâmplă să știți lor UPN și ce server ADFS specifice pentru a trimite utilizatorilor să pentru autentificare. Atunci când Heidi@contoso.com trece prin procesul de conectare pentru Exchange Online, Office 365 va trimite o solicitare de la sediul dvs, astfel încât ADFS poate interveni în autentificare și fie confirmați ea este care ea susține sau să vă refuze ei. Acest lucru se poate întâmpla rapid dacă de rețea și configurare permite. ADFS este utilizat în cazul în care doriți să utilizați sign-on unic: după login utilizatorii într-o sesiune de ADFS, serverul ADFS în tăcere intercepteaza toate celelalte solicitări de autentificare (așa cum se întâmplă atunci când comutați între soluții de lucru, de exemplu) pentru a reaminti Office 365 care vă aflați încă care vă spun că vă aflați. Deoarece unele departamente IT au conformitate sau setările de securitate informații care necesită parole rămâne local, iar unele nu, ADFS este opțional.

Proxy invers

Acces-proxy-ul web este un proxy invers (RP) care a fost construit în sistemele de operare Windows Server din 2012 R2 lansate. Un proxy invers se află la punctul de ieșire pentru a acționa în numele fermă. Există o latură',' care se confruntă internet și să știe numele domeniului public vă hibrid Office 365 și o parte',' care se confruntă cu rețeaua intranet sau perimetrului și să știe numele de domeniu intern resursele (de exemplu, pe site-ul URL-ul SharePoint, de exemplu). Vă interceptează toate solicitările sosească în afacerea și vă permite să blocați porturi, restrânge traficul va accepta de pe Internet și ascunderea interne adresele și URL-uri pentru rețeaua lumea din exterior. Cum ar fi toate PRC, este un proxy pentru serverele interne în rețeaua dvs ori de câte ori utilizatorilor din afara rețelei încercați pentru a ajunge la o resursă.

SharePoint 2013 hibrizi utilizați un proxy invers, cum ar fi WA P pentru a intercepta traficul de intrare (de la utilizatori din SPO a face interogările împotriva o indexul de căutare locală în cazul căutare federalizarea), dar, deoarece SharePoint 2016 Cloud hibrizi plasați întregul index în cloud, următoarea generație nu mai are nevoie de o (care este singurul motiv ce a marcată opțional în diagrame). Dar SharePoint 2013 nu este singurul loc unde veți vedea un proxy invers utilizată pentru a intercepta trafic nesolicitat provin de pe internet. Skype pentru Business 2016 utilizează una cu configurația marginea și Exchange 2016 utilizează una sa marginea. Deoarece unele situații necesită o, WA P este opțional.

Sincronizare

Ilustrație utilizez afișează "Sincronizare" pentru Azure Active Directory conectarea. Într-adevăr, sincronizare efectuat de AAD conectarea implică tranzit în curs de desfășurare a utilizatorilor și/sau informații utilizator din locală și în Cloud. Conectarea AAD posibile două lucruri: o reproduce conturilor de utilizator în Office 365 (reproducere) și îl puteți sincroniza parola informațiilor în Office 365 (într-adevăr o nu se sincronizează parola, dar un hash nu reversibilă care reprezintă parola-sincronizare). Aceasta nu trebuie să 'sincronizarea parola', dar întotdeauna sincronizează (replică) conturi de utilizator din Active Directory (sau unele versiuni filtrate din directorul de utilizator local)!

Conectarea AAD funcționează cu controler de domeniu corect, din domeniul Active Directory pentru a permite 'același sign-on' mai degrabă decât ADFS pe 'sign-on unic". Același de sign-on unic înseamnă că, în loc să vă conectați o singură dată și având ADFS interveni pentru toate solicitările pentru sesiunea, vă conectați cu aceeași parolă ca pe locală (şi, probabil, selectați opțiunea de a vă păstra conectare pentru a reduce numărul de care solicită rezultat din navigarea soluții de lucru mai multe). AAD conectarea pentru sincronizarea nu este opțional.

Părțile hibrid Internet și Internet disponibile în comun

Aflată servere local în vă hibrid O365 și pe Internet este mediul Cloud Microsoft, unde-indiferent volumul de lucru Office 365-veți utiliza câteva tehnologii familiare. Acestea sunt:

• Înregistrările DNS public

• Autoritățile de certificare publică

• Azure Active Directory (AAD)

• Office 365 (licențe/subs) și Office 365 hibrid experți

• O încredere server-la-server (S2S)

• Distribuirea expres și/sau traficul de Internet

• Module PowerShell

Registratori de DNS publice, cum ar fi GoDaddy, gestionarea și se permite înregistrarea cu numele de domenii. Dacă doriți să utilizați hibrid, va trebui să se înregistreze un nume de domeniu cu DNS-ul public (acest lucru poate fi făcută deja pentru dvs în firmele mari). Acest nume de domeniu vor fi adăugate la Office 365, care, de asemenea, se vor verifica dacă dețineți numele de domeniu public adăugați.

Tradițional, acest nume de domeniu public este la fel ca Active Directory UPN atașate utilizatorilor hibrid local, dar nu primiți capturate în acest detaliu. Cu apariția atributul 'onpremisessecurityidentifier' în PowerShell, care hărți identitate în local SID, domeniu înregistrat în Office 365 cu UPN-ul de utilizatori locală de potrivire nu mai este drept critice așa cum a fost o dată. Mai sunt importante pentru a vă veți aveți nevoie de un nume de domeniu public care să dovedească proprii, acest nume de domeniu public vor fi înregistrate în Office 365 și va reprezenta prezenței Office 365 pe fiecare parte din conexiunea hibrid.

Autoritățile de certificare publică vă oferă încredere certificatele SSL/TLS pentru a cripta vă traficul în rețea. În fiecare volumul de muncă, hibrid comunicare are loc într-o conexiune criptată. Veți avea nevoie de un certificat de la o autoritate de certificare public pe Internet. Funcționarea și SSL/TLS certificate este o practică standard și sunt, de obicei, public certificat procese firmele mari pentru a facilita acest lucru. În firmele mai mici poate fi necesar să consultați vă IT persoană, Office 365 documentația și ISP-ul.

Azure Active Directory sau Azure AD, este în fundal atunci când vă sincronizați / reproduce utilizatori din locală la abonamentul Office 365 (de Cloud local). Este exact aceeași Active Directory utilizate în lărgi Azure. Puternice și fără fisuri schemele în Office 365. Vă veți gestiona de utilizatori și licențe de utilizator în acest director. Gestionarea licențelor în Office 365 nu face în mod automat de orice expert hibrid. Licențe costa clienți, astfel încât decizia care și obțineți câte licențe nu este în mod automat.

Office 365 este complet o jumătate de hibrid dvs. Are experți hibrid online pe volumul de muncă. Acest lucru nu este foarte eficient, dar iată cum funcționează hibrid începând cu 2016 (sau, cu alte cuvinte, începând cu versiunea de SharePoint Server 2016, Exchange Server 2016 și Skype for Business Server 2015, local). Dar acest lucru nu este cea mai simplă metodă de configurare a tuturor elementelor dintr-o hibridă. Un expert hibrid unic care ar permite clienților să alegeți ce soluții de lucru să asigurați hibride, și plimbare prin acest proces pe volumul de muncă, cât și un centru de comanda hibrid-un tablou de bord administrativ O365-care ar putea raporta dacă tehnologii care sunt utilizate de fiecare hibrid sunt corect, și/sau în locul nu încă există deja.

Ce înseamnă acest lucru? Înseamnă că fiecare expert se aceiași pași și frecvent mai multe ori. Fiecare expert se activează OAuth (S2S autorizare), de exemplu (vom discuta despre OAuth mai târziu). Unele experți, cum ar fi Selector hibrid volumul de lucru SharePoint Online, instalați OAuth indiferent ce butonul când faceți clic pe (pentru fiecare selecție vă), dacă este necesar pentru de scenariu hibrid OAuth. Alți experți, cum ar fi Exchange hibrid expert, configurați OAuth în fundal și doar o singură dată.

O autorizare S2S nu trebuie să traverseze pe internet, dar în cazul hibrid, trebuie să această autorizare. O S2S nu este cum ar fi un domeniu sau pădure de autorizare. Nu există un număr mare de porturi pentru a deschide și fără integrare mai mult pentru a crea între directoare Active. S2S construiește o conexiune de încredere între ferma SharePoint locală și un fragment de cloud Office 365 numit serviciul de control al accesului sau ACS (un server de autorizare). Încredere se bazează pe un certificat SSL/TLS simboluri emis de utilizatori, se conectează locală și ACS O365 pe ambele acord este demnă de încredere-mă gândesc la ea, cum ar fi un maxim cinci între locală SharePoint (şi sa ACS proxy serviciu) și Azure pe ACS pentru fiecare valide accesarea serviciului de utilizator. Comunicarea despre utilizator identitățile (motivul pentru această autorizare) se face peste HTTP/443.

Hibrizi puteți utiliza publică sau auto-semnat certs aici. Multe companii mari va alegeți public certificatele din cauza standardele lor InfoSec-în mare parte, deoarece traficul intersectează/mai încrucișată Internet, un segment nu sunt de încredere. Pentru SharePoint hibride, acest certificat poate fi un nou certificat auto-semnat sau un extras din SP STS semnătură cu simboluri cert local. (Dacă ați utilizat un nou certificat (public sau auto-semnat) într-un hibrid SharePoint trebuie să înlocuiți cert SP STS simbolului de semnătură pe toate nodurile din fermă SharePoint.)

Traficul într-un hibrid lasă un client de firmă/organizație, traversează internet și introduce Microsoft organizației/Microsoft Cloud Office 365. Există o modalitate de a trece acest segment conferă și necontrolată, și care are prin utilizarea unui furnizor de la terți 3. baza Express redirecționarea de la firma sau organizația în Office 365 Cloud. Express distribui ocoleşte internet, oferind o conexiune WAN privat în cloud Microsoft. Cu toate acestea, este important să realizeze că în cazuri în care WAN suferă o cădere, de rezervă este încă Internet.

Toate hibrizi face uz de PowerShell module pentru părțile de configurare sau gestionare. Module majoritatea va trebui probabil va include Microsoft Online Services asistentul de conectareși Modul Azure Active Directory pentru Windows PowerShell. Puteți pregătirea servere pentru configurarea și gestionare hibrizilor de avans prin instalarea acestea frecvent utilizate PowerShell module.

Porturile și protocoalele în comun

Hibrizi sunt ½ locală și ½ Office 365 (Azure SaaS sau PaaS hibrizi nu sunt acoperite în acest document). Este foarte probabil ambele reprize rula pe HTTPs, dar la foarte puțin, Office 365 jumătate este 100 % https/criptate, TLS certificate, înseamnă că se execută peste standard port 443. Va trebui să vă asigurați că un certificat public este asociat cu trafic treceți de la punctul de ieșire prea. Care este, va trebui să instalați un certificat pe computer efectuând discuțiile pe marginea rețelei-acest trafic va rula peste 443 și fie criptate.

Toate hibrizi va utiliza 443 (HTTPS) și 53 (DNS), în mod implicit, pentru traficul de hibrid. Unele va utiliza porturi suplimentare, cum ar fi portul 25 (SMTP). Dar caz cele mai complexe în hibrid soluții de lucru pentru porturi este Skype for Business. Din fericire, porturile sunt prezentate.

Protocol standout utilizate de toate hibrizi (cu excepția repere utilizate pentru căutare DNS, traficul HTTPS, SMTP și alte standarde), este OAuth (autorizație de deschidere), care se utilizează, de asemenea, în Active Directory autentificare bibliotecă. Acesta este utilizat atunci când o resursă de server într-o parte din conexiunea trebuie să acționeze în numele unui utilizator la resursele de acces pe un alt server, de multe ori, în Cloud. Acesta este un mijloc prin care nivelul al utilizatorului acces la un fișier sau o resursă poate măsoară pentru un utilizator autentificat. Acest lucru este denumită 'Autentificare modernă' (dacă OAuth se referă la autorizarea).

Toate soluțiile utilizarea OAuth/S2S atunci când într-un hibrid (dacă nu pentru fiecare caracteristică hibrid). Hibrid experți în general configurarea acest protocol utile automat. Cu toate acestea, nu există nicio unificare a acestui efort în volumul de activitate, fără raportarea OAuth starea la clientul și nu centralizat pentru a gestiona această resursă universală începând cu 2016.

În unele cazuri, hibrid experți activați OAuth atunci când nu este necesar (de exemplu, când Selector hibrid SharePoint activează acest lucru pentru OneDrive pentru Business Redirijare în cloud), sau pe fiecare selecție de o opțiune hibrid în expert (din nou, vedeți selectorul hibrid SharePoint) , sau chiar în afara selectorul hibrid din scripturi configurare particularizat, cum ar fi cu Cloud hibrid căutare.

Tabelul de elemente comune din Office 365 hibrizi

Acum avem o listă de elemente comune care arată astfel:

În cele din urmă, în toate soluțiile scopul este de a utilizatorilor să fi la fel dincolo de limitele astfel încât să vă poate simplifica două dintre cele mai importante funcții un hibrid se-informații despre contul de utilizator identitate și ce ea are permise pentru a face cu ea are permise pentru a vedea informațiile.

Notă despre 'Opțional'

Unele dintre aceste elemente sunt setate la "opțional", dar cum veți ști dacă acestea sunt necesare? Unele elemente în O365 hibrizi sunt într-adevăr opțional sau nu opțional peste bord:

În interiorul unui hibrid de lucru există alte caracteristici care se încadrează într-o zonă gri. Probabil că cel mai important este S2S autorizare / OAuth. Această autorizare este construită de fiecare expert hibrid creat în interiorul Microsoft și încredere este construit în mod implicit, chiar și atunci când nu este necesar, în scopul de a 'de viitor' hibrizi. După ce vă deplasați hibrid printr-un expert, această caracteristică va fi pe. Dar (așa cum ați văzut anterior) nu este utilizat în prezent în toate cazurile.

Proxy inversa (WA-P în exemplul nostru) este nevoie de fiecare dată când există o solicitare nesolicitate primite să organizația clientului pentru date sau informații (cum ar fi atunci când utilizați hibrid BCS, atunci când publicarea Office Web Apps sau Office Online Server pentru Previzualizarea documentului în căutare Rezultate). De asemenea, este necesar atunci când un punct final de publicare într-o DMZ firmei, cum ar fi când Exchange utilizează WA P ca un proxy ADFS (prin urmare, dacă utilizați ADFS dintr-o hibridă Exchange trebuie WA-P).

Marginile sunt necesare pentru a menține canale de comunicare coerente pentru chaturi în curs de desfășurare în Skype for Business hibride, și pot fi utilizate pentru a distribui SMTP traficul în rețea, de la un perimetru dintr-o hibridă Exchange. După cum discutat, ADFS este utilizat pentru-sign-on unic.

Există tabele similare pentru S2S, cum ar fi acest tabel pentru serverele SharePoint în configurațiile hibride. Tabelele astfel poate fi construit utilizând valoarea logică a protocolul S2S, care este utilizat atunci când o resursă de server într-o parte din conexiunea hibrid trebuie să acționeze în numele unui utilizator la resursele de acces pe un alt server în Cloud

* Selectorul hibrid SharePoint va activa încă OAuth, dar acest lucru este din motive de orice configurațiile hibride viitoare.