Čo majú spoločné hybridy Office 365?

Hybridy

Keď povedať, že hybridné nasadenie, myslím spolupráci technológií danej partnerské aplikácie vlastníctva a spravovať v rámci podniku s tými sme spravovať v našej spoločnosti Microsoft cloud (s).

Táto definícia funguje naprieč nielen Azure, ale väčšina pracovných zaťažení služieb Office 365. Ak neviete, aký pracovnú záťaž je na ceste, je aplikácia pripojenia k sieti platformy Cloud služieb Office 365 – Skype for Business Online, Exchange Online a SharePoint Online príkladov. "Záťaž" je spôsob, ako udržať je odlišný od ich lokálnymi partnermi, čo je užitočné zachovať písanie a konverzácie dokončiť prehľadnejší.

Hybridné oblečenie použite všetky zdroje na dosah ruky, bez ohľadu na to, kde žijú.

Lokálny hardvérových zdrojov v spoločnom

Všetky hybridy, ktoré sa mi rozhovory o tu pripojiť zákaznícke prostredie na internete služieb Office 365 (a Azure Active Directory – AAD – na pozadí, pretože funguje ako adresárov pre služby Office 365). Infraštruktúra môže vyzerať zložito konfigurovať. Napriek tomu, čo ste mohli počuť, neberie titul "čokoľvek-veda". V skutočnosti, väčšina hybridov pracovať rovnako ako s (prevažne) rovnaké hardvérové požiadavky.

2016 uvádzame prvky, ktoré všetky hybridy. Kde veci sú voliteľné, možno povedať, tak.

Všetky zaťaženie hybridné nasadenie služieb Office 365 majú tieto dobré veci:

1. Niektoré lokálny servery (napríklad farme SharePoint alebo Skype for Business prostredie).

2. Active Directory lokálne kde používateľov live alebo sú "domovskej" (v terminológii S4B).

3. Server Azure Active Directory pripojenie (AAD pripojenie) (ktoré môžu byť samostatne alebo v kombinácii s inom serveri, ako je napríklad WA-P). Takto sa zobrazí ikona "Sync", pretože AAD pripojiť sa používa na synchronizáciu kont z priestorov do cloudu v hybridnom.

4. [Voliteľné] Reverzného servera proxy server, ktorý všetky moje príklady budú servera Proxy webovej aplikácie (WA-P).

5. [Voliteľné] Môžete tiež použiť Active Directory Federation Server (alebo ADFS).

Tiež hybridné sprievodcov sú zabudované do každej pracovnú záťaž pomôcť máte partnera s váš Cloud, aby ste mohli používať všetky nástroje k dispozícii (bez ohľadu na to, kde žijú).

Ak nemáte k dispozícii ADFS, majú žiadne nároky súlad s požiadavkami, ktoré vyžadujú, a nechcete, aby navyše zložitosť, nepoužíva. AAD pripojenie je navrhnutá na svoju prácu (a interval replikácie je nadol približne 3 hodiny 30 minút, ktoré je užitočné zlepšenie, aby).

Mnoho veľkých spoločností má niektoré z týchto serverov v mieste. Mnohé ovládače doménové služby Active Directory, alebo môžu mať ADFS servery. Ak si myslíte o nastavení hybridnom, môžete skontrolujte si u správcu ďalším používateľom, ako zistiť, čo sú už na mieste lokálnych zdrojov. To vám pomôže určiť, či chcete použiť existujúce infraštruktúry kusov, alebo nové.

Čo robia tieto servery?

Túto sekciu preskočiť, ak už viete, čo robia týchto serveroch.

Väčšina ľudí sú zvyknutí operácie Active Directory (AD) – ako to enumeruje používateľov a objekty v doméne alebo lesa (okrem iného) – a v prípade hybridného je domov base pre používateľov, ktorí vám replikovať na Microsoft Cloud. Úlohy synchronizácie (AAD pripojenie), ADFS a WA-P (našom príklade spätne Proxy) sa trochu novšie a ďalšie central na spracovanie hybridné HTTPS požiadavky a identít tak poďme hovoriť o tých.

ADFS

Ak chcete skontrolovať, prácu Active Directory Federation Services je pomôcť obojstranne hybridné rozpoznať vzájomne a to myslím, Office 365 bude známych a dôveryhodných ADFS (alebo klaster ADFS), ktorej patrí overených verejnej domény. Umožňuje jediného prihlásenia. To znamená, že keď používatelia s hlavného mena používateľa priradeného objaví na overenie online zdrojov, služieb Office 365 bude vedieť ich hlavného mena používateľa a čo konkrétne ADFS server, ak chcete odoslať používateľom pre overenie. Keď Heidi@contoso.com prechádza prihlasovacieho procesu pre Exchange Online, Office 365 bude odošle požiadavku na svojich zariadeniach tak, že môžete zasahovať ADFS overovania a buď potvrďte, že je kto jej tvrdí, alebo ju odmietnuť. Môže sa to stať rýchlo Ak siete a konfigurácie umožňuje. ADFS sa používa, ak chcete využiť jediné prihlásenie: keď používatelia prihlásenie do relácie ADFS, ADFS server bez použitia zachytí všetky ostatné výzvy na overenie (ako sa stane pri prepínaní medzi pracovných zaťažení, ako je napríklad) pripomenúť, Office 365, ktoré ste ešte kto hovoríte vy. Keďže niektoré IT oddelenia máte súladu alebo nastavenia zabezpečenia informácie, ktoré požadujú heslo zostať lokálne a niektoré nie, ADFS je voliteľná.

Reverzného servera Proxy

Web Proxy prístup je reverzného proxy (zo), ktoré sú zabudované Server operačné systémy Windows 2012 R2 vydaný. Výstupný bod konať v mene vašej farmy stojí reverzného servera proxy. Má "strany", ktorý smeruje internet a vie verejne domain name vaše hybridné nasadenie služieb Office 365 a "strany", ktorý smeruje obvod alebo intranetovej siete a vie, názov domény vašej interných zdrojov (napríklad váš adresu URL lokality SharePoint, napríklad). Zachytí všetky požiadavky doručovať do svojho podnikania a umožňuje blokovať porty, úzky prenosy budete prijímať z internetu a skryť interné adresy a URL adresy pre vašu sieť z webového. Rovnako ako všetky RPR je proxy pre interné servery vo vašej sieti vždy, keď používatelia mimo siete, skúste navštíviť zdroja.

Hybridy SharePoint 2013 pomocou reverzného servera proxy ako WA P intercept prichádzajúce prenosy (od používateľov v SPO tvorby dotazov lokálny index hľadania v prípade vyhľadávania federácie), ale pretože SharePoint 2016 Cloud hybridy miesto celý index v cloude, generácie už nie je potrebné (ktorá je jediný dôvod, prečo je označené voliteľné v diagramoch). Však SharePoint 2013 nie je jediným miestom, kde budete vidieť reverzného servera proxy, použiť na zachytenie nevyžiadané prenosy pochádzajúce z internetu. Skype for Business 2016 používa jeden s konfiguráciou jeho okraj a Exchange 2016 používa jeden na jeho okraj aj. Od niektorých prípadoch sa požaduje to, WA-P je voliteľná.

Synchronizácia

Môžem použiť obrázok zobrazuje "Sync" pre Azure Active Directory pripojenie. V skutočnosti zahŕňa synchronizácie vykonanú AAD pripojenie priebežné dopravné užívateľov a/alebo informácie o používateľoch z lokálnych a do cloudu. AAD pripojenie môžete vykonať dve veci: ho kopíruje používateľských kont do služieb Office 365 (replikácie) a môžete synchronizovať informácie týkajúce sa hesla do služieb Office 365 (naozaj to sa nedá synchronizovať heslo, ale s obojstranným hash predstavujúci heslo – synchronizácie). Nemá chcete heslo, ale nie vždy synchronizuje (replikáty) svoje používateľské kontá služby Active Directory (alebo niektoré filtrovanú verziu v lokálnom adresári používateľa)!

AAD pripojenie funguje s primeraný domény v službe Active Directory domény povoliť pre "rovnaké prihlásenie" nie je ADFS "jediné prihlásenie". Rovnaké prihlásenia znamená, že namiesto prihlásenie do jedného času a so ADFS zasahovať pre všetky výzva pre relácie, ktoré prihlásenie pomocou rovnaké heslo na prem (a, pravdepodobne, vyberte možnosť, ak chcete zachovať si prihlásený znížiť počet zobrazí výzvu výsledkom navigácia viacerých pracovných zaťažení). Pripojenie AAD Sync nie je voliteľné.

Hybridné časti Internet a k dispozícii na internete v spoločnom

Lokálne servery do svojho hybridné nasadenie služieb Office 365 a na internete sa Microsoft Cloud, kde – bez ohľadu na to pracovnú záťaž služieb Office 365 – použijete niektoré známe technológie. Toto sú:

• Verejných záznamov DNS

• Verejné certifikačných úradoch

• Azure Active Directory (AAD)

• Office 365 (licencie alebo titulky) a sprievodcovia hybridné nasadenie služieb Office 365

• Server server (S2S) dôveryhodnosti

• Expresná smerovanie a/alebo internetový prenos

• Moduly prostredia PowerShell

Verejné DNS registrátorov, napríklad GoDaddy, spravovanie a povoliť registráciu názvov domén. Ak chcete použiť hybridné nasadenie, budete musieť Registrácia názvu domény pomocou verejnej DNS (možno už sa to za vás vo veľkých spoločnostiach). Tento názov domény sa pridá do služieb Office 365 tiež overiť, že ste vlastníkom verejnej domény môžete pridať.

Tradične, tento názov domény pre verejnosť je rovnaká ako Active Directory UPN pripojené k hybridné používateľov lokálneho, ale nechcete dostať zachytený na tento detail. S nástup "onpremisessecurityidentifier" atribút v prostredí PowerShell, ktorého mapy identity do lokálneho Sida, zodpovedajúce registrované domény do služieb Office 365 s UPN lokálny používatelia už nie je dôležité, ako kedysi. Je viac dôležité najavo, že budete mať názvu domény verejne, ktoré môžu byť vlastných, tento názov domény pre verejnosť zaznamená v službách Office 365 a bude predstavovať prítomnosti na oboch stranách pripojenia hybridné nasadenie služieb Office 365.

Verejné certifikačných úradoch vám dôveryhodné SSL/TLS certifikátov na šifrovanie vaše sieťové prenosy. V každej pracovnú záťaž hybridné komunikácia prebieha cez šifrované pripojenie. Budete potrebovať certifikát od verejnej certifikačnej autority na internete. Získanie a SSL/TLS certifikáty je štandardný postup a sú veľké podniky na tento certifikát zvyčajne verejného procesy. Menšie spoločnosti potrebujete poradiť s IT osoba, dokumentácia služieb Office 365 a poskytovateľa internetových služieb.

Azure Active Directory alebo Azure AD je na pozadí, keď synchronizovať / replikovať používateľov z lokálnych do predplatného služieb Office 365 (lokálny cloudu). Je presne rovnaký Active Directory používa v širšom Azure. Výkonné a hladké ovplyvnili aj do služieb Office 365. Budete spravovaní používateľov a používateľských licencií v tomto adresári. Správa licencií v službách Office 365 nie je vykonať automaticky všetky Sprievodca hybridnou. Licencie náklady zákazníkov peniaze, takže rozhodnutie, kto a koľko získať licencie sa nevykonáva automaticky.

Office 365 je plne polovica hybridný. Má online hybridné sprievodcov za pracovnú záťaž. Toto nie je veľmi efektívne, ale je to, ako funguje Hybridný 2016 (alebo inými slovami, od vydania SharePoint Server 2016, Exchange Server 2016 a Skype for Business Server 2015, lokálne). To však nie je najjednoduchší spôsob, ako nakonfigurovať všetky prvky v hybridnom. Jeden hybridné nasadenie sprievodca, ktorý umožní zákazníkom vybrať ktoré pracovných zaťažení na hybridné nasadenie, a chodiť-through, že proces za pracovnú záťaž, ako aj hybridné príkaz centra – tabuľa správcu služieb Office 365 –, ktoré by mohli vykazovať či technológie na zjednodušenie ovládania, ktoré sú používané každý hybrid sú primeraný a/alebo už na mieste ešte neexistuje.

Čo to znamená? To znamená, že každý sprievodca má rovnaké kroky, a často viac než jedenkrát. Každý sprievodca aktivuje OAuth (S2S dôveryhodnosti) napríklad (vám ukážeme o OAuth neskôr). Niektoré sprievodcov, ako je napríklad pracovnú záťaž SharePointu Online výber hybridného nasadenia, inštalovať OAuth bez ohľadu na to, čo ste tlačidlo kliknite na položku (pre každý výber), či je potrebné pre vaše hybridného OAuth. Iné sprievodcov, napríklad Sprievodcu Exchange hybridné nastavenie OAuth na pozadí a iba raz.

S2S dôveryhodnosti nepotrebuje cez internet, ale v prípade hybridné nasadenie, musí tento dôveryhodnosti. S2S nie je ako domény alebo lesa dôveryhodnosti. Nie sú k dispozícii veľkého počtu porty otvoriť a žiadne užšia integrácia na vytvorenie medzi aktívnych adresárov. S2S vytvorí dôveryhodné pripojenie medzi farme SharePointu s lokálnym a časti cloud služieb Office 365, s názvom služby Access Control alebo ACS (povolenie server). Dôveryhodnosti je založený na certifikát SSL/TLS prihlási tokenov vydaných v mene používateľov, že vaše lokálne a služieb Office 365 je ACS oba Vyjadrujte je dôveryhodná – Myslite na to, ako vysoké päť medzi lokálny SharePoint (a jeho ACS proxy služby) a Azure ACS pre každý platný používateľ prístup k službe. Oznámenie o identít používateľov (dôvodom tejto dôvery) sa vykonáva cez HTTP/443.

Hybridy môžete použiť program vlastným podpisom alebo verejné CERT. Mnoho veľkých spoločností vyberie certifikátov verejných z dôvodu ich InfoSec štandardov – z veľkej časti preto prenosy kríže/nemusí cez Internet, nedôveryhodných segmentu. Tento certifikát hybridy SharePoint, môže byť nový certifikát s vlastným podpisom alebo ID extrahovaných z SP služba tokenov zabezpečenia tokenu podpisovanie certifikátu v lokálnom. (Ak ste používali nový certifikát (verejná alebo vlastným podpisom) v hybridnom SharePoint je potrebné nahradiť SP služba tokenov zabezpečenia tokenu podpisovanie certifikátu na všetky uzly vo farme SharePoint.)

Prenosu v hybridnom ponechá klienta spoločnosti alebo organizácie, prechádza cez internet a zadá Microsoft organizácie a Microsoft Cloud služieb Office 365. Neexistuje spôsob, ako obísť tejto časti nedôveryhodných a nekontrolované a ktoré obsahuje s použitím 3. nezávislého poskytovateľa založené Express smerovanie z vašej spoločnosti alebo organizácii do Cloud služieb Office 365. Expresná trasa obchádza internetu tým, že ponúka súkromné WAN pripojenie ku cloudu spoločnosti Microsoft. Však je dôležité si uvedomiť, že v prípadoch, kde WAN trpí zlyhania záložný je stále na internete.

Všetky hybridy môžete využiť prostredia PowerShell moduly častí správy alebo konfigurácie. Väčšina modulov budete potrebovať bude pravdepodobne zahŕňať Microsoft Online Services Sign In Assistanta Azure Active Directory Module pre Windows PowerShell. Môžete príprava serverov pre konfiguráciu a správu vašej hybridov predčasne inštaláciou týchto bežne používané PowerShell modulov.

Porty a protokoly spoločné

Hybridy sú ½ lokálnych a ½ služieb Office 365 (Azure SaaS alebo PaaS hybridy nie sú zahrnuté v tomto dokumente). Je veľmi pravdepodobné, obe polovice spustiť na HTTPs, ale aspoň, Office 365 polovica je 100% https/šifrované TLS certifikátov, a to znamená, že ho spustí cez štandardný port 443. Potrebujete, aby ste sa uistili, že certifikát verejného je spojená s prenosy chodiť od výstupného bodu príliš. Budete musieť nainštalovať certifikát na počítači robí hovoriť na okraji siete – tento prenos bude možné spustiť viac ako 443 a zašifrované.

Všetky hybridy sa použijú 443 (HTTPS) a 53 (DNS), na základe predvoleného nastavenia pre hybridné nasadenie prenosy. Niektoré ďalšie porty sa použije ako portu 25 (SMTP). Väčšina zložitých prípade v hybridnom pracovných zaťažení pre porty však Skype for Business. Našťastie porty sú popísané.

Rýchle protokol všetkých hybridov (na rozdiel od referenčné hodnoty použiť na vyhľadávanie v systéme DNS, prenosy HTTPS, SMTP a ďalšie štandardy), je OAuth (otvorená autorizácie), ktorá sa používa aj v Active Directory Authentication Library. Používa sa, keď server prostriedku na jednej strane pripojenia má konať v mene používateľa na prístup k prostriedkom na inom serveri, často, v cloude. Predstavuje spôsob, ktorým môžete merať úroveň prístupu používateľov k súboru alebo zdroja pre overeného používateľa. Nazýva sa tiež "Moderný overovanie" (keď OAuth odkazuje na povolenie).

Všetky zaťaženie použiť OAuth/S2S v hybridnom (ale nie za každú funkciu hybridného). Hybridné sprievodcov vo všeobecnosti automaticky nastaviť tento protokol užitočné. Však neexistuje žiadne zjednotenie snahy naprieč pracovných zaťažení, ohlasovanie OAuth štátu zákazníka a centralizovaným spôsobom, ako spravovať tento univerzálny zdroj 2016.

V niektorých prípadoch hybridného sprievodcov zapnutie OAuth keď nie je potrebné (napríklad pri SharePoint výber hybridného nasadenia zapne to pre OneDrive Business redirect v cloude), alebo na každej výberu hybridného možnosť v sprievodcovi (znova, pozrite tému výber hybridného nasadenia SharePointu) , alebo dokonca mimo výberom hybridného nasadenia v vlastné nastavenie skripty, ako napríklad s Cloud hybridného vyhľadávania.

Tabuľka bežných prvkov v Office 365 hybridy

Takže teraz máme zoznam bežných prvkov, ktoré vyzerá takto:

Nakoniec naprieč všetkými pracovnými cieľom slúži môžu používatelia má rovnakú veľkosť hranice tak, aby môžeme zjednodušiť dve z najdôležitejších funkcií hybridnom – zisťuje daného používateľa identity a jej umožnila robiť s informáciami, ktoré sa má povolené zobrazíte.

Poznámka k "Nepovinné"

Niektoré z týchto prvkov sú nastavené na "nepovinné", ale ako budete vedieť, ak sú potrebné? Niektoré prvky v O365 hybridy sú naozaj voliteľné alebo nie je voliteľný vo všetkých oblastiach:

V hybridnom pracovných sú ďalšie funkcie, ktoré spadajú do sivej oblasti. Najdôležitejšie z nich je pravdepodobne S2S dôverovať / OAuth. Tento dôveryhodnosti je vytváraná každej Sprievodca hybridnou vytvoriť vnútri Microsoft a dôveryhodnosti je postavené na základe predvoleného nastavenia aj vtedy, keď ho nie je nutné, aby hybridov "budúcnosti". Po prechode hybridné nasadenie pomocou sprievodcu, bude sa na túto funkciu. Však (ako je to uvedené vyššie) nie je v súčasnosti používa vo všetkých prípadoch.

Spätne Proxy (WA-P v našom príklade) je potrebné vždy, keď nie je nevyžiadané žiadosti o prichádzajúcej pošty v organizácii zákazníka pre údaje alebo informácie (napríklad pri pomocou hybridného BCS, pri publikovaní aplikácií Office Web Apps alebo Online Services pre ukážku dokumentu vo vyhľadávaní výsledky). Tiež je potrebné pri publikovaní koncový bod do DMZ vašej spoločnosti, napríklad keď Exchange používa WA-P ako proxy ADFS (tak, aby pri používaní služieb ADFS v hybridné nasadenie systému Exchange budete potrebovať WA-P).

Okraje sú potrebné na zachovanie konzistentné komunikačné kanály prebiehajúcej konverzácie v Skype for Business hybridné nasadenie, a môžu byť použité na smerovanie prenosu SMTP do siete z obvodu v hybridné nasadenie systému Exchange. Ako bolo spomenuté, ADFS sa používa pre jediného prihlásenia.

Existuje podobné tabuľky pre S2S, ako je táto tabuľka pre SharePoint servery v hybridnou konfiguráciou. Tabuľky takto je možné vytvárať pomocou logiky S2S protokol, ktorý sa používa, keď server prostriedku na jednej strane hybridné pripojenie má konať v mene používateľa na prístup k prostriedkom na inom serveri v cloude

* Výber hybridného nasadenia SharePointu stále sa zmení na OAuth, ale toto je pre všetky budúce hybridnou konfiguráciou.