Trao đổi Resource Forest và Office 365 – Phần I
Một kịch bản được hỗ trợ đầy đủ trong Exchange được gọi là mô hình Rừng tài nguyên. Trong trường hợp này, có một nhóm tài khoản Active Directory nơi tồn tại tất cả các tài khoản người dùng và dịch vụ thông thường, đồng thời có một nhóm tài nguyên Active Directory nơi Exchange được cài đặt. Kịch bản này được hỗ trợ cho Exchange 2010, Exchange 2013 và Exchange 2016 và tôi đã thấy điều này nhiều lần ở một số khách hàng, với một số phiên bản Exchange.
Vì vậy, Exchange được cài đặt trong nhóm tài nguyên và các hộp thư trong quá trình triển khai Exchange này được gọi là Hộp thư được liên kết. Hộp thư ở đây được liên kết với tài khoản người dùng trong nhóm tài khoản. Có một tài khoản người dùng cho Hộp thư được liên kết trong nhóm tài nguyên, nhưng theo thiết kế thì đây là tài khoản bị vô hiệu hóa.
Khi cung cấp Hộp thư, một tài khoản người dùng sẽ được tạo trong nhóm tài khoản, một tài khoản người dùng giống hệt (nhưng bị vô hiệu hóa) sẽ được tạo trong nhóm tài nguyên và một hộp thư được liên kết sẽ được tạo. Việc cung cấp có thể được thực hiện bằng cách sử dụng công cụ của Microsoft như Microsoft Identity Manager (MIM), công cụ của bên thứ ba như Quest hoặc sử dụng tập lệnh PowerShell đơn giản. Quá trình này được thể hiện trong hình sau:
Điều này có thể hữu ích nếu bạn có nhiều nhóm tài khoản cần sử dụng một tổ chức Exchange, một tình huống mà tôi đã thấy ở nhiều khách hàng. Bạn kết thúc với một kịch bản như thế này:
Tôi phải đồng ý rằng mọi thứ có thể trở nên phức tạp khá nhanh nhưng đó là một kịch bản được hỗ trợ đầy đủ và trong một số trường hợp, nó có thể hữu ích. Một trong những khách hàng của tôi đã thực hiện tình huống này vì đã mua lại nhiều lần.
Trong môi trường phòng thí nghiệm của tôi, tôi đang làm việc với kịch bản đầu tiên. Tôi đã cài đặt một nhóm tài khoản (accounts.local) và một nhóm tài nguyên (resources.local). Phiên bản Exchange được cài đặt là Exchange 2010, có một máy chủ Exchange 2010 đa vai trò và có một máy chủ Exchange 2010 Edge Transport. Cả hai máy chủ đều đang chạy Gói dịch vụ 3 với Bản cập nhật tổng hợp 20. Các tài khoản được tạo trong nhóm tài khoản và hộp thư liên kết được tạo trong nhóm tài nguyên.
Mỗi hộp thư đều có một thuộc tính được gọi là msExchangeRecipientTypeDetails và thuộc tính này cho biết đó là loại hộp thư nào. Khi thuộc tính này có giá trị là “2” thì đó là hộp thư được liên kết, nếu có giá trị là “1” thì đó là hộp thư thông thường. Bạn có thể tìm thấy tổng quan về thuộc tính này và các giá trị của nó trong blog của John Baily trên TechNet.
Thuộc tính quan trọng thứ hai của hộp thư là msExchMasterAccountSID. Đối với Hộp thư được liên kết, thuộc tính msExchMasterAccountSID được điền với giá trị objectSID của người dùng tương ứng trong nhóm tài khoản. Khi sử dụng ADSI Chỉnh sửa và kiểm tra objectSID của tài khoản người dùng và msExchMasterAccountSID của cả hai tài khoản, bạn sẽ thấy chúng có cùng giá trị. Đối với người dùng thử nghiệm có tên Don Drop trong nhóm tài khoản, bạn có thể thấy objectSID sau:
Và đối với tài khoản bị vô hiệu hóa tương ứng trong rừng tài nguyên, chúng ta có thể thấy msExchMasterAccountSID sau:
Hoặc nếu bạn thích sử dụng PowerShell, hãy thực thi các lệnh sau trong cửa sổ PowerShell (trong nhóm Exchange) để truy xuất msExchMasterAccountSID:
Import-Module ActiveDirectory
$MBXUser = Get-ADUser -Identity Don -Properties *
$MBXUser.msExchMasterAccountSID | flĐể truy xuất objectSID của người dùng từ miền tài khoản, hãy thực hiện các lệnh PowerShell sau:
$AccountsCred = Get-Credential "accounts\administrator"
Get-ADUser -Filter {ObjectSID -eq $MBXUser.msExchMasterAccountSid} -Properties * -Server accdc01.accounts.local -Credential $AccountsCred | fl Name,ObjectSID
Lưu ý. Bạn sẽ thấy lại objectSID và MSExchMasterAccountSid này trong blog tiếp theo về Azure AD Connect trong trường hợp này.
Để kiểm tra quyền trên hộp thư, bạn có thể sử dụng lệnh Get-ADPermission dựa trên đầu ra của lệnh Get-Mailbox:
Get-Mailbox -Identity Don | Get-ADPermission -User Accounts\Don | fl *
Như bạn có thể thấy Don có quyền thích hợp trên hộp thư của mình.
Lưu ý. Để chuyển đổi hộp thư được liên kết thành hộp thư thông thường, bạn có thể xóa giá trị cho msExchMasterAccountSID bằng cách sử dụng lệnh Set-User:
Set-User -Identity Don -LinkedMasterAccount $NULLĐiều này sẽ đặt lại msExchMasterAccountSID, nhưng đồng thời thay đổi giá trị của msExchRecipientTypeDetails từ “2” (Hộp thư được liên kết) thành “1” (Hộp thư thông thường).
Bản tóm tắt
Như vậy, đến đây bạn đã biết thêm về mô hình Exchange Resource forest. Nó phức tạp hơn một chút so với mô hình một nhóm, một miền được cài đặt Exchange, nhưng đây là một kịch bản được hỗ trợ đầy đủ. Và một tình huống tôi thấy ở khách hàng rất thường xuyên.
Trong blog tiếp theo, tôi sẽ thảo luận thêm về Azure AD Connect trong mô hình rừng tài nguyên này.