Що чи Office 365 гібридів є спільні?

Гібриди

Після гібридного розгортання, тобто співпраці технологій цього партнерів програм власності і керування ними у вашому бізнесі з тих, що ми керувати в наші Cloud(s) Microsoft.

Це визначення працює через не лише Azure, але більшість навантаження у службі Office 365. Якщо ви не знаєте, що робоче навантаження, до речі, програма працює на платформі хмара Office 365 – Skype для бізнесу – онлайн, Exchange Online і SharePoint Online є прикладами. «Навантаження» – це спосіб вони відрізняються від їх на локальному комп'ютері колеги, який використовується для збереження дати та розмова з початку заплутаним.

Гібридне одягу використовувати всі ресурси під рукою, незалежно від того, де вони живуть.

Локальний апаратних ресурсів спільного

Усі гібридів, що йдеться тут підключення середовище клієнта в Інтернеті до служби Office 365 (та Azure Active Directory – AAD – у фоновому режимі, тому що він функціонує як каталог для служби Office 365). Інфраструктура може здатися складно налаштувати. Незважаючи на те, що ви могли чути він не приймає ступінь в "що-небудь ology". Фактично, більшість гібриди працюють так само як з (здебільшого) на одному вимогам до обладнання.

Вирахувати 2016 нижче наведено елементи, які потрібно всіх гібридів. Де необов'язкові дії, можна буде сказати так.

Усі робочі навантаження гібридного розгортання служби Office 365 є ці гарні речі.

1. Деякі сервери локальний (наприклад, на фермі SharePoint або Skype для бізнесу через).

2. Active Directory локальної де користувачів live або є "синхронізація" (у S4B терміни).

3. Сервер Azure Active Directory підключення (AAD підключення) (які можуть бути самостійно або в поєднанні з іншого сервера, наприклад WA-P). Це має вигляд за допомогою піктограми "Синхронізувати", тому що AAD підключення використовується, щоб синхронізувати облікові записи з приміщень в хмарі в гібридному.

4. [Необов'язкові] Інвертованого проксі-сервер, який в мій приклади буде сервера веб-застосунку проксі-сервера (WA-P).

5. [Необов'язкові] Можна також використовувати Active Directory сервера Федерації (або ADFS).

Крім того, майстри гібридного вбудовані в кожному робоче навантаження, щоб допомогти вам партнер до хмари, щоб використовувати всі інструменти у своєму розпорядженні (незалежно від того, де вони живуть).

Якщо у вас немає ADFS, мають ні вимоги Відповідність нормативним вимогам, що вимагають і не хочете додаткові складності, не використовувати її. AAD підключення має на меті отримати роботу (і реплікації інтервал в порівнянні з приблизно 3 години до 30 хвилин, тобто корисні підвищення зробити).

Багато великих компаній мають деякі з таких серверах на місці. Багато є пристрої доменів Active Directory, або, можливо, сервери ADFS. Якщо відомості про настроювання гібридному, ви можете перевірити з іншим адміністраторам, щоб дізнатися, що локальних ресурсів уже на місці. Це допоможе вам визначити, чи потрібно використовувати наявні інфраструктури частин, або створити.

Ці сервери дій?

Пропустити цей розділ, якщо ви вже знаєте таких серверах дій.

Більшість користувачів, звикли операції з Active Directory (AD) – як його перелічує користувачів і об'єктів у домену або лісу (серед інших) – і у випадку гібридного розгортання, це основне основою для користувачів, які буде копіювати на Microsoft Cloud. Робота синхронізації (AAD підключення), ADFS і ваш. P (нашому прикладі зворотний проксі-сервер) трохи пізніше та на інші центр для обробки гібридного HTTPS запити та паспорти давайте поговорити.

ADFS

Для перегляду, роботи служби об'єднання Active Directory, щоб допомогти обох сторонах гібридного визнали між собою, а, я маю на увазі, Office 365 буде довіряєте в ADFS (або ADFS кластер), перевірених загальнодоступного домен належить. Ця функція дає один знак на. Що означає, що якщо користувачі з на пов'язані UPN відображається для автентифікація проти онлайнові ресурси, служби Office 365 знати свої ім'я учасника-користувача і те, що певний сервер ADFS для надсилання користувачам для автентифікація. Під час Heidi@contoso.com проходить через процес входу для служби Exchange Online, щоб надіслати запит на ваші ADFS може втрутитися у автентифікації та будь-який переконайтеся, що вона, хто вона претензій або відмовити в її буде служби Office 365. Це може статися швидко, якщо у мережі та конфігурації. ADFS використовується, якщо ви хочете використовувати єдиний вхід: після входу користувачів до сеансу обміну ADFS, сервер ADFS тихо перехоплює всі інші запити автентифікації (як відбувається під час переходу між навантаження, наприклад) нагадати Office 365, що ви ще, хто Ви говорите. Оскільки деякі відділів інформаційних технологій відповідність або настройки безпеки відомості, які вимагають паролів залишатися на локальному комп'ютері, і деякі не, ADFS не є обов'язковим.

Інвертованого проксі-сервера

Web Access-проксі-сервера – це інвертованого проксі-сервера (RP) вбудовані в ОС Windows Server операційних систем з 2012 R2 випущена. Інвертованого проксі-сервера стоїть на вихідної точки діяти від імені на фермі. Він має "сторони", який стикається з Інтернету та знає загальнодоступна ім'я свого гібридного розгортання служби Office 365 і "сторони", який обличчя інтрамережі або периметр мережі та знала внутрішнього ресурсів (наприклад, свій SharePoint URL-адреси сайту, наприклад), ім'я домену. Вона перехоплює всі запити, що надходять до вашої компанії та дає змогу заборонити порти, звузити трафік ви прийняти з Інтернету і приховати внутрішніх адреси й URL-адреси для мережі ззовні. Як всі RPs це проксі-сервера для внутрішніх серверів у вашій мережі, щоразу, коли користувачі поза межами мережі спробуйте для доступу до ресурсів.

Гібриди SharePoint 2013 за допомогою інвертованого проксі-сервера як WA P перехоплення вхідної пошти трафік (від користувачів у SPO створення запитів проти індексу Локальний пошук у випадку об'єднання пошуку), але оскільки SharePoint 2016 в хмарі гібридів розмістити весь індекс у хмарі, до покоління більше не потребує (це єдиний причин, чому позначив необов'язково в діаграмах). Але SharePoint 2013 не тільки місце, де ви побачите інвертованого проксі-сервера, використовуються для перехоплення небажаних трафіку, що надходить через Інтернет. Skype для бізнесу 2016 використовує одну з її край конфігурації, і Exchange 2016 використовує на його край, а також. Після того, як у деяких випадках вимагає, WA P не є обов'язковим.

Синхронізація

Графічний об'єкт, який можна використовувати показано "Синхронізувати" для Azure Active Directory підключення. Чи справді, синхронізації, виконану AAD підключення включає в себе реального транспорту користувачів та/або відомостей про користувачів із локальної та в хмарі. AAD підключення можна виконати дві дії: його повторює облікових записів користувачів до служби Office 365 (реплікації), і його можна синхронізувати відомості про пароль у службі Office 365 (насправді він не синхронізується пароль, але геш-оборотні, яке представляє пароль – синхронізації). Це не має синхронізуватися ' пароль ', але завжди синхронізуються (іншим) ваші облікові записи користувачів із Active Directory (або кілька відфільтрованих версії локальному каталозі користувача)!

Підключення AAD працює з пристрої працездатної домену у службі Active Directory домену, щоб дозволити "ж входу" замість ADFS у 'єдиного входу". Одного єдиного входу означає, що, замість того, щоб увійти в один раз і маючи ADFS втрутитися для всіх вказівок для сеансу, ви увійти, використовуючи той самий пароль на прем (і, імовірно, виберіть параметр зберегти себе входу для зменшення кількості запит в результаті перехід між кількома навантаження). AAD підключення для синхронізації не є обов'язковим.

Інтернет та Інтернет доступні частини гібридного розгортання спільного

Навпроти локальні сервери у свого гібридного O365 і в Інтернеті – це Microsoft Cloud, де – незалежно від того, у службі Office 365 робоче навантаження – ви будете використовувати деякі знайомі засоби. Ось кілька.

• Загальнодоступний записи DNS

• Загальнодоступний сертифікації

• Azure Active Directory (AAD)

• Office 365 (ліцензії та субтитри) і майстри гібридного розгортання служби Office 365

• Сервер сервера (S2S) безпеки

• Експрес-маршрутизації та/або Інтернет-трафіком

• Модулі PowerShell

Загальнодоступний DNS реєстраторів, наприклад, GoDaddy, керування та дозволити реєстрація доменних імен. Якщо ви хочете використовувати гібридного розгортання, потрібно буде реєстрації імені домену із загальнодоступним DNS (це може бути виконану для вас у великих компаній). Це ім'я домену буде додано до служби Office 365, який також буде підтвердження наявності власного загальнодоступного доменне ім'я, ви додаєте.

Традиційно, Цей загальнодоступний доменне ім'я так само, як Active Directory UPN додається до гібридних користувачів на локальному комп'ютері, але не потрапити на це докладно. З появою 'onpremisessecurityidentifier' атрибут у PowerShell, який карти посвідчення до локальної SID, підбору зареєстрований домен у службі O365 допомогою UPN користувачів локальний – це більше не менш важливо, як це було раніше. Це інші важливі відомості, які потрібно загальнодоступного доменне ім'я, яке ви можете довести до власного, Цей загальнодоступний доменне ім'я буде зареєстрований у службі Office 365 і представлятиме присутності з обох боків гібридного підключення служби Office 365.

Загальнодоступний сертифікації дають змогу надійний сертифікати SSL/TLS для шифрування до мережний трафік. У кожній робоче навантаження гібридного спілкування відбувається через шифроване підключення. Вам знадобиться сертифікат із загальнодоступного сертифікації в Інтернеті. Отримання та SSL/TLS сертифікати стандартна практика і є зазвичай загальнодоступного сертифікат процесів у великих компаній для цього. У невеликих компаній може знадобитися звернутися до ІТ-працівник, Office 365 документація та вашого інтернет-Провайдера.

Azure Active Directory, або Azure AD, – у фоновому режимі під час синхронізації / повторити користувачів із локальної до передплати Office 365 (до хмари локально). Це точне ж Active Directory використовуються в ширший Azure. Потужний та інтеграція з переходом до служби Office 365. Можна керувати користувачів і ліцензій користувача в цьому каталозі. Керування ліцензіями в службі Office 365 не зроблено автоматично будь-якого майстра гібридного розгортання. Ліцензії вартості клієнтів гроші, тому рішення, які і скільки отримання ліцензії не зроблено автоматично.

Служба Office 365 – повністю половина до гібридного розгортання. Він має онлайн гібридного майстри на робоче навантаження. Це не ефективний, але це як гібридного працює на 2016 (або іншими словами, на випуск SharePoint Server 2016, Exchange Server 2016 і Skype for Business Server 2015, локальний). Але це не найпростіший спосіб настроювання всі елементи в гібридному. Майстер одного гібридного розгортання, що дозволить клієнтів, щоб вибрати, які навантаження для гібридного розгортання і Покрокове, що процес на робоче навантаження, а також гібридного командного центру – адміністрування O365 dashboard –, можна повідомити про чи технологій, які використовуються в Кожен гібридного працездатної та/або вже на місці ще не існує.

Що це означає? Це означає, що кожен майстер виконує ті самі кроки і часто кілька разів. Кожен майстер активує OAuth (S2S безпеки) для прикладу (ми будемо говорити про OAuth пізніше). Деякі майстри, наприклад у службі SharePoint Online навантаження гібридного вибору, встановити OAuth незалежно від того, що ви кнопку клацніть (для кожного фрагмента внесення), чи OAuth необхідна для сценарію гібридного розгортання. Інші майстри, як-от майстра гібридного розгортання Exchange настроїти OAuth у фоновому режимі а лише один раз.

На S2S безпеки та конфіденційності не потребує через Інтернет, але у випадку гібридного розгортання, необхідно цей безпеки та конфіденційності. До S2S не подобається домену або лісу безпеки. Немає великої кількості портів, щоб відкрити а не глибше інтеграції, щоб створити між активним каталогів. S2S можна створити надійне підключення між фермі SharePoint на локальному комп'ютері та певні хмари Office 365 називаються доступу служби керування або СКС (сервер авторизації). Довіряти основі сертифікат SSL/TLS, знаки маркери, видані від імені користувачів, що локальних і СКС O365, обидва погоджуєтеся є надійним – на вашу думку його як висока п'ять між локальний SharePoint (і його СКС служба проксі-сервера) і Azure СКС для кожного неприпустимі користувач доступ до служби. Повідомлення про посвідченнями користувачів (причина цього безпеки) буде завершено через HTTP/443.

Гібриди можна використовувати самостійно підписаний або загальнодоступна сертифікатів тут. Багато великих компаній вибрати загальнодоступного сертифікати через їх InfoSec стандартів – значною мірою тому, що трафік перетин із або травня перехресне Internet, на ненадійних сегмент. Для гібридів SharePoint цей сертифікат можна створити самостійно підписаний сертифікат або один видобуто з SP STS підпису маркера сертифіката локальна. (Якщо ви використовували новим сертифікатом (загальнодоступний або самостійно підписаний) у гібридному SharePoint потрібно замінити SP STS маркер підписання сертифіката на всіх вузлів у фермі SharePoint.)

Трафік у гібридному залишає клієнтів компанії або організації, перетинає Інтернет і вводить Microsoft організації або Microsoft Cloud служби Office 365. Спосіб обійти цього сегмента ненадійних та неконтрольованих, а, має за допомогою сторонніх постачальників залежить Express маршрут у вашій компанії або організації до хмари Office 365. Експрес-маршрут обходить Інтернету, пропонуючи приватні глобальної мережі підключення до хмари Microsoft. Однак, важливо розуміти, що у випадках, де глобальній мережі страждає збою рекомендованим до встановлення ще Інтернету.

Усі гібридів використовувати PowerShell модулі для елементи керування або конфігурації. Більшість модулі, вам знадобиться міститиме зазвичай у Microsoft Online Services входу помічник ізта Azure Active Directory Module для Windows PowerShell. Ви можете підготовка DNS-серверів для конфігурації та керування до гібридів заздалегідь, якщо інсталювати ці найчастіше використовуються PowerShell модулі.

Портів і протоколів спільні

Гібриди є ½ локальних та ½ служби Office 365 (Azure SaaS або PaaS гібридів не охоплює в цьому документі). Це дуже ймовірно, обидві половини запуску на HTTPs, але принаймні, Office 365 половина 100% https або зашифровані, TLS сертифікати а це означає, що вона працює над стандартний порт 443. Необхідно, щоб переконатися, що загальнодоступний сертифікат, пов'язані з трафік виходить від вихідної точки також. Потрібно інсталювати сертифікат на комп'ютері, виконавши розмовляєте по краю мережі – це трафік триватиме більше 443 та зашифровано.

Усі гібридів використовуватиметься 443 (HTTPS) і 53 (DNS), за замовчуванням для гібридного розгортання трафіку. Деякі буде використовувати додаткові порти як порт 25 (SMTP). Але найбільш складних справи в гібридному навантаження для портів Skype для бізнесу. На щастя, порти в описано.

Протокол кодом всіх гібридів (за винятком критерії для пошуку DNS, трафік HTTPS, SMTP та інші стандарти), це OAuth (відкрити авторизації), який використовується в бібліотека автентифікації Active Directory. Це використовується, коли сервер ресурсів на одній стороні підключення має діяти від імені користувача на доступ до ресурсів на інший сервер, часто у хмарі. Це означає, що за допомогою якого можна судити рівень доступу до файлу або ресурс користувачів для автентифікованого користувача. Це також називається 'Сучасної автентифікації' (попри те, що OAuth посилається на дозвіл).

Усі робочі навантаження за допомогою OAuth або S2S в гібридному (але не для кожного гібридною функцією). Гібридне майстри зазвичай це корисно протокол автоматично настроїти. Проте, існує ні об'єднання цих зусиль через навантаження, не звітування OAuth стан клієнта та ніяк централізованого керування цей універсальний ресурс на 2016.

У деяких випадках гібридного майстри Увімкнення OAuth коли він не потрібен (наприклад, коли SharePoint гібридного вибору вмикає це для OneDrive для бізнесу переспрямування до хмари), або на кожній виділення гібридного розгортання параметр у майстрі (знову, див. SharePoint гібридного вибору) , або навіть за межами гібридного вибору у сценарії вибіркової інсталяції, таких як з хмари гібридного розгортання пошуку.

Таблиця Загальні елементи у службі Office 365 гібриди

Тепер у нас є список типових елементів, який має такий вигляд:

Зрештою, через усі робочі навантаження мета –, щоб користувачі мали те ж саме в межах, щоб ми можна спростити два найважливіші функції гібридному чи – з'ясувати особу до користувача, і те, що вона містить дозволено виконувати з інформацією, вона має дозвіл на перегляд.

Примітка щодо "Додатково"

Деякі з цих елементів, введено "обов'язково", але як ви знаєте, якщо вони потрібні? Деякі елементи O365 гібридів наведено справді необов'язковий або не обов'язково дошки.

У гібридному роботу є інші функції, які перебувають у сірій області. Можливо найважливіші з них є S2S безпеки або OAuth. Цей безпеки будується за кожен майстер гібридного розгортання, створені в програмі Microsoft і довіряти будується за промовчанням, навіть якщо це не потрібно, щоб гібридів 'майбутнє. Після того, як перейти за допомогою майстра гібридного розгортання, цю функцію буде. Але (як описано вище) це зараз не використовується у всіх випадках.

Зворотний проксі-сервера (WA-P у даному прикладі) потрібно щоразу, коли виникає запит небажаних вхідних клієнтів організації даних або відомості (наприклад, коли за допомогою гібридного розгортання служби BCS, під час публікування веб-застосунків Office Web Apps або сервер Office Online для перегляду документів під час пошуку результати). Також варто під час публікування кінцеву точку до DMZ вашої компанії, наприклад, коли Exchange використовується WA P як проксі сервер ADFS (так, якщо ви використовуєте ADFS у гібридне розгортання рішення Exchange, вам знадобиться ваш. P).

Згладжування необхідні, щоб зберегти узгодженість каналів для поточного чати в Skype для бізнесу гібридного розгортання і можна використовувати, щоб спрямувати трафік SMTP в мережі з периметр у гібридне розгортання рішення Exchange. Як зазначено, ADFS використовується для однієї входу на.

Існують схожі таблиць для S2S, наприклад, у цій таблиці для серверів SharePoint у гібридних конфігураціях. Таблиці таким чином вбудовується за допомогою логіки протоколу S2S, який використовується, коли сервер ресурсів на одній стороні гібридного підключення має діяти від імені користувача на доступ до ресурсів на інший сервер у хмарі

* Засіб гібридного вибору SharePoint буде вмикати OAuth, але це для будь-якого майбутніх у гібридних конфігураціях.