Chuyển từ Exchange 2010 sang Office 365
Có rất nhiều bài viết trên Internet về cách tạo môi trường kết hợp, trong đó Exchange 2016 được kết nối với Office 365. Bây giờ thì ổn thôi, nhưng khi bạn đang chạy Exchange 2016, điều bạn thích nhất là KHÔNG chuyển sang Office 365 bất cứ lúc nào tôi đoán là sẽ sớm thôi. Nếu bạn đang chạy Exchange 2010 thì rất có thể bạn sẽ chuyển sang Office 365 (sớm), nhưng không có nhiều bài viết về việc chuyển từ Exchange 2010 sang Office 365. Và rất nhiều bài viết có sẵn không có cách tiếp cận phù hợp Tôi e rằng điều này sẽ dẫn đến việc bạn (khách hàng) phải trả quá nhiều tiền cho nhà tích hợp hệ thống của bạn.
Trong bài viết này, tôi sẽ cố gắng phác thảo phương pháp được đề xuất khi chuyển từ Exchange 2010 sang Office 365 trong một kịch bản kết hợp. Với Azure AD Connect cho mục đích đồng bộ hóa. Cliffhanger: Tôi sẽ không cài đặt Exchange 2016 vào môi trường Exchange 2010 hiện có ?
Môi trường Exchange hiện tại
Tổ chức của chúng tôi có tên là Inframan và họ có môi trường Exchange 2010 tại chỗ của riêng mình mà họ đã hoạt động được 5 năm mà không gặp quá nhiều vấn đề. Có các máy khách Outlook nội bộ sử dụng Outlook 2010 trở lên và có các máy khách bên ngoài sử dụng Outlook Anywhere. Ngoài ra còn có các ứng dụng khách di động sử dụng ActiveSync để kết nối với Hộp thư của họ. Tất nhiên là có Outlook Web Access nhưng POP3 và IMAP4 không được sử dụng.
Hình 1. Tổng quan về môi trường Inframan Exchange 2010.
Trên mạng nội bộ cũng có các ứng dụng và thiết bị đa chức năng đang chuyển tiếp các tin nhắn SMTP thông qua máy chủ Exchange 2010. Các tin nhắn này không chỉ được gửi tới người nhận trên máy chủ Exchange 2010 mà còn đến những người nhận bên ngoài thông qua Trình kết nối nhận chuyên dụng trên máy chủ Exchange 2010.
Phần thú vị bắt đầu từ đây. Tên miền NetBIOS là Inframan, nhưng FQDN của Active Directory (nhóm đơn, tên miền đơn) là Inframan.local. Do đó, người dùng đăng nhập bằng Inframan\J.Brown, tổ chức Inframan không bao giờ sử dụng UPN và giá trị này được đặt giá trị mặc định là J.Brown@Inframan.local.
Để vệ sinh thư, máy chủ Exchange 2010 Edge Transport được sử dụng bằng Danh sách chặn thời gian thực (RBL) từ SpamHaus, Lọc người nhận được định cấu hình và một số từ tùy chỉnh đang sử dụng trong mô-đun Lọc nội dung của Máy chủ Edge Transport. Và vâng, điều này đã hoạt động được nhiều năm.
Chuẩn bị cho Office 365 và Hybrid Exchange
Inframan có khoảng. 500 Mailboxes và ước tính quá trình di chuyển sang Office 365 sẽ mất hơn 6 tháng. Trong 6 tháng này, chúng cần cùng tồn tại và tài khoản người dùng được lưu giữ trong Active Directory tại chỗ, một kịch bản kết hợp Exchange 2010 sẽ được triển khai.
Lưu ý. Tên người dùng và mật khẩu sẽ được đồng bộ hóa với Office 365 và hiện tại điều này là đủ. Đăng nhập một lần thông qua ADFS (Dịch vụ liên kết Active Directory) không được triển khai trong môi trường Inframan tại thời điểm này.
Đồng bộ hóa thư mục
Azure AD Connect sẽ được sử dụng để đồng bộ hóa tài khoản người dùng và mật khẩu từ Active Directory tại chỗ sang Azure Active Directory, thư mục cơ bản cho Office 365 và Exchange Online.
Chạy IdFix
Để đảm bảo Active Directory tại chỗ của bạn sẵn sàng cho việc đồng bộ hóa Azure AD, Microsoft có một công cụ tên là IdFix để phân tích Active Directory của bạn để tìm mọi sự không nhất quán hoặc sự cố có thể gây ra sự cố với Azure Active Directory. Nổi tiếng về mặt này là hậu tố UPN không thể định tuyến, các mục trùng lặp hoặc địa chỉ email không thể định tuyến. Công cụ khắc phục lỗi IdFix DirSync là tên chính thức và có thể tải xuống tại đây: https://www.microsoft.com/en-us/download/details.aspx?id=36832
Khi bạn chạy công cụ IdFix, nó sẽ hiển thị danh sách các sự cố trong Active Directory của bạn trên bảng điều khiển nhưng bạn cũng có thể xuất nó sang tệp CSV để phân tích trong Microsoft Excel chẳng hạn.
Hình 2. Các vấn đề trong Active Directory được công cụ IdFix tìm thấy
Hình 3. Các vấn đề tương tự được xuất sang tệp CSV và được nhập vào Microsoft Excel.
Trong môi trường này, có một số ký tự lạ (dấu phụ) cần được sửa, nhưng UPN cũng được định cấu hình không chính xác và tồn tại một số địa chỉ email có TLD .local.
Điều kiện tiên quyết để đồng bộ hóa Azure AD là Tên chính của người dùng hoặc UPN cần có tên miền có thể định tuyến làm hậu tố UPN. Vì vậy, không thể sử dụng Inframan.local và cần phải sử dụng tên miền Inframan.nl. Chúng tôi đặc biệt khuyên bạn nên sử dụng cùng tên cho địa chỉ SMTP chính của người dùng và UPN. Trong trường hợp này, địa chỉ Email của người dùng sẽ có dạng J.Brown@inframan.nl và UPN tương ứng cũng sẽ là J.Brown@inframan.nl.
Hình 4. Thêm Hậu tố UPN có thể định tuyến bằng cách sử dụng Miền Active Directory và Trusts
Sau khi thêm vào, bạn có thể sử dụng Active Directory Users and Computers để nhanh chóng thay đổi hậu tố UPN cho người dùng. Điều hướng đến Đơn vị tổ chức chính xác, chọn tất cả người dùng và chọn thuộc tính.
Trên tab Tài khoản, hãy chọn hộp kiểm hậu tố UPN và sử dụng hộp thả xuống để chọn hậu tố UPN thích hợp.
Hình 5. Chọn Hậu tố UPN chính xác cho người dùng
Một vấn đề khác trong môi trường của chúng tôi là tất cả người dùng đều có địa chỉ SMTP @inframan.local. Điều này xảy ra do Chính sách địa chỉ email mặc định vẫn giữ mục nhập @inframan.local nên tất cả người dùng được tạo vẫn nhận được địa chỉ email @inframan.local.
Cách dễ nhất để xóa các địa chỉ Email bổ sung này là sử dụng tập lệnh PowerShell đơn giản, chẳng hạn như:
$Mailboxes = Get-Mailbox -ResultSize Unlimited -OrganizationalUnit Accounts
ForEach($Mailbox in $Mailboxes) {
$Mailbox.EmailAddresses |
?{$_.AddressString -like '*@inframan.local'} |
%{Set-Mailbox $Mailbox -EmailAddresses @{remove=$_}
}
}Thao tác này sẽ tạo một mảng có tất cả Hộp thư trong Đơn vị tổ chức OU=Accounts và xóa mọi địa chỉ Email để chứa hậu tố @inframan.local.
Khi chạy lại công cụ IdFix, chỉ còn lại hai vấn đề nữa, hai Nhóm phân phối vẫn chứa địa chỉ email @inframan.local, nhưng vấn đề này có thể được giải quyết theo cách thủ công bằng cách sử dụng Exchange Management Console.
Hình 6. Chỉ còn hai vấn đề nữa tồn tại trong môi trường Inframan của chúng tôi
Khi hai vấn đề cuối cùng này được giải quyết, Active Directory tại chỗ của chúng tôi có thể kết nối với Azure Active Directory.
Cài đặt và cấu hình Azure AD Connect
Microsoft Azure AD Connect là công cụ được sử dụng để kết nối và đồng bộ hóa Active Directory tại chỗ của bạn với Azure AD, thư mục cơ bản cho Office 365.
Azure AD Connect sử dụng tài khoản dịch vụ cả trong Active Directory tại chỗ và Azure Active Directory. Trong Active Directory tại chỗ, tài khoản dịch vụ cần phải là thành viên của nhóm bảo mật Quản trị viên doanh nghiệp, trong Azure Active Directory, tài khoản dịch vụ cần phải là tài khoản Quản trị viên toàn cầu.
Lưu ý. Không cần phải gán giấy phép Office 365 cho tài khoản dịch vụ.
Bạn có thể cài đặt kết nối Azure AD trên máy chủ chuyên dụng (tùy chọn và khuyến nghị của tôi) nhưng nó cũng có thể được cài đặt trên Bộ điều khiển miền. Nhược điểm của việc này (tôi nghĩ) là bạn kết thúc với Bộ điều khiển miền với các cấu hình khác nhau, điều mà tôi muốn tránh.
Cài đặt máy chủ Windows 2012 R2 mới, cài đặt .NET Framework 4.5 và cài đặt tất cả các bản vá có sẵn. Sau khi tải xuống phần mềm Azure AD Connect từ trang web của Microsoft (https://www.microsoft.com/en-us/download/details.aspx?id=47594), bạn có thể bắt đầu cài đặt.
Trước khi bạn có thể cài đặt và đặt cấu hình Azure AD Connect, đối tượng thuê Office 365 của bạn cần được bật tính năng Đồng bộ hóa thư mục. Đăng nhập vào đối tượng thuê của bạn bằng thông tin xác thực của quản trị viên đối tượng thuê và nhấp vào ô Quản trị.
Trong menu điều hướng bên trái, nhấp vào biểu tượng người dùng và chọn Đồng bộ hóa thư mục trong menu thả xuống Khác.
Hình 7. Chọn Đồng bộ hóa thư mục trong menu thả xuống
Trình hướng dẫn đồng bộ hóa thư mục được khởi động và bạn chỉ cần làm theo trình hướng dẫn. Trong quá trình Kiểm tra mức độ sẵn sàng triển khai, bạn có thể khởi động ứng dụng thiết lập Azure AD Connect và trình hướng dẫn sẽ hướng dẫn bạn cách thiết lập Azure AD Connect.
Hình 8. Sử dụng tài khoản dịch vụ để kết nối với Azure Active Directory.
Mẹo: Mật khẩu của tài khoản dịch vụ trong Azure Active Directory sẽ hết hạn sau mỗi 90 ngày mà không thông báo cho bạn với tư cách là quản trị viên. Sử dụng lệnh Set-MsolUser -UserPrincipalName
Hình 9. Miền inframan.nl đã được xác minh, miền inframan.local không được sử dụng (và không thể thêm vào).
Hình 10. Đảm bảo bạn chọn hộp kiểm Triển khai kết hợp Exchange.
Khi Azure AD Connect được cài đặt, bạn có thể tiếp tục với trình hướng dẫn Đồng bộ hóa Thư mục. Nhấp vào Hoàn tất khi mọi thứ đã được thiết lập.
Hình 11. Nhấp vào Hoàn tất để đóng Công cụ sẵn sàng triển khai.
Azure AD Connect sẽ tự động khởi động và thực hiện đồng bộ hóa đầy đủ. Khi kiểm tra Trung tâm quản trị Office 365, bạn sẽ thấy người dùng từ Active Directory tại chỗ của mình xuất hiện. Xin lưu ý rằng họ không có giấy phép vào thời điểm này.
Hình 12. Người dùng từ Active Directory tại chỗ sẽ xuất hiện trong Trung tâm quản trị Office 365.
Bạn có thể sử dụng Trung tâm quản trị Office 365 để gán giấy phép cho tất cả người dùng được đồng bộ hóa từ Active Directory tại chỗ. Lọc tất cả người dùng không có giấy phép, chọn tất cả người dùng cần giấy phép và trong ngăn hành động, chọn Chỉnh sửa giấy phép sản phẩm để gán giấy phép phù hợp.
Tại thời điểm này, người dùng của bạn có thể đăng nhập vào cổng Office 365 và kiểm tra tất cả các dịch vụ có sẵn. Có Hộp thư trong Office 365 không? Không, chưa. Tất cả các Hộp thư trong môi trường Exchange 2010 tại chỗ đều có người dùng Kích hoạt Thư tương ứng trong Office 365. Bạn có thể dễ dàng kiểm tra điều này khi đăng nhập vào Trung tâm Quản trị Exchange:
Hình 13. Hộp thư tại chỗ xuất hiện dưới dạng người dùng đã bật Thư trong Office 365
Bước tiếp theo là triển khai cấu hình kết hợp với Exchange 2010 và Office 365. Điều này sẽ được thảo luận trong bài đăng blog tiếp theo của tôi.