Troubleshoot Office 365 – AD / DirSync

 

Olá comunidade tecnica. Neste artigo (uma sequência de 3) eu reuno informações muito importantes sobre correção de AD, troubleshoot em DirSync, considerações de ambientes de ADFS e Hybrid Deployment. É um apanhado de algumas experiências de projetos que irá ajudá-los no dia-a-dia e nos projetos de vocês.

Vamos lá…?

Qual a importância do Active Directory para Office 365?

  • Objetos e atributos
  • DirSync
  • ADFS
  • Hybrid Deployment
  • Infraestrutura do AD
  • Ferramentas

Concordam com isso? então vamos dar prosseguimento…

Active Directory

O Active Directory é peça fundamental para projetos com:

  • Dirsync
  • Dirsync + ADFS
  • Dirsync + Hybrid
  • Dirsync + ADFS + Hybrid

É possível, sim,  realizar um projeto sem DirSync, mas não é uma realidade para grandes clientes.

 

Infraestrutura do Active Directory

O mais importante de tudo é que o Active Directory esteja saudável

…mas as informações abaixo não são foco imediato e/ou premissa para um projeto de O365:

  • Topologia
  • Nível Funcional
  • Posicionamento de DCs
  • etc.

Objetos & Atributos

Os objetos, especificamente seus atributos, são o ponto chave para uma sincronização bem sucedida.

Aqui está o principal desafio numa implantação de Dirsync: problemas com caracteres inválidos em atributos que podem levar a falha na sincronização de alguns objetos ou caracteres substituídos por underline “_”.

Caracteres substituídos por underline:

Objetos possuem um ou mais dos caracteres abaixo no ProxyAddresses ou mail:

Caractere Nome
espaço
` apóstrofe
( abre parêntese
) fecha parêntese
@ arroba
acento agudo
& “e” comercial
\ barra invertida
= sinal de igualdade
? interrogação
/ barra
% percentagem

Ferramentas

Microsoft Office 365 Deployment Readiness Tool

(http://community.office365.com/en-us/forums/183/p/2285/8155.aspx)

No Readiness Tool as seguintes informações são levantadas:

  • Domains
  • Email domain discovery and number of users leveraging each domain
  • User Identity and Account Provisioning
  • Statistical information
  • Active Directory schema and forest/domain functional data
  • Trusts extract (checks for multi-forest constraints)
  • Directory Synchronization
  • Pre-requisite checks
  • Attribute assessment
  • Single sign on
  • Attribute assessment
  • Exchange Online
  • Statistical information
  • Public folder, public delegates, and proxyaddresses extract
  • 3rd party and unified messaging proxyaddresses information
  • Lync Online
  • Statistical information
  • SIP domains summary
  • SharePoint Online
  • User object count assessment
  • Client and End User Experience
  • Summary of domain joined machines for rich experience/SSO readiness
  • Network
  • Port analysis on certain Office 365 endpoints
  • DNS records assessment

Windows PowerShell Command Builder para Office 365

(http://www.microsoft.com/resources/TechNet/en-us/Office/media/WindowsPowerShell/WindowsPowerShellCommandBuilder.html)

Exemplos de Scripts do PowerShell para a implantação do Office 365

(http://technet.microsoft.com/en-us/library/hh974317)

Exemplo:

  • GetSyncedObjectCount
  • NewDirSyncPowerShellShortcut

Office 365 Deployment Guide

(http://technet.microsoft.com/en-us/library/hh852466.aspx)

DirSync

  • Desenhado para ser um “appliance”
  • “Configurar e esquecer”

Acréscimo do limite de sincronização do tenant

Error 016: Synchronization has been stopped. This company has exceeded the number of objects that can be synchronized. Contact Microsoft Online Services Support.

Lembrem-se: o Directory Synchronization (DirSync) pode sincronizar apenas os primeiros 20.000 objetos.

Apontando para cima 20.000 objetos e não 20.000 mailboxes!!

Nota: Planos “P” não suportam a implantação de DirSync

Pude notar em alguns projetos que as falhas existentes na sincronização, geralmente estão relacionadas à:

  • Ausência de informação em surName (sobrenome) e givenName (primeiro nome);
  • Uma solução é usar o displayName para preencher esse atributo, usando um script.
  • UPN possui um domínio não roteável (maiores detalhes posteriormente)
  • Atributo mail e/ou proxyAddresses em branco ou com valores duplicados entre vários objetos.
  • Caracteres acentuados em alias (mailNickname)

Preparação do Active Directory

Office 365 Deployment Guide for Enterprise | Appendix F Directory Object Preparation

http://technet.microsoft.com/en-us/library/hh852533

image

Dica: É possível pegar todas essas validações e gerar um script que analisa o Active Directory

Atributos sincronizados pelo DirSync

“List of attributes that are synchronized to Office 365 and attributes that are written back to the on-premises Active Directory Domain Services” (http://support.microsoft.com/kb/2256198/en-us)

Dentre outros desafios, como a migração em si, num projeto com Lotus Notes, também temos atributos em branco no e-mail.

Directory Preparation For Lotus Notes Migration (DirPrep)

O script de Preparação de Diretório (DirPrep) facilita a migração com êxito do Lotus Notes para o Office 365.

DirPrep prepara o Active Directory a partir do Notes para migração para o Exchange Online.

O processo de preparação de diretório usa o script DirPrep para preencher todos os atributos relacionados ao email para contas de usuário, criar contas para representar caixas de correio de grupo/compartilhadas, criar contas para salas e recursos e criar grupos no Active Directory para cada grupo que está sendo migrado do Lotus Notes.

(http://technet.microsoft.com/en-us/library/hh974319.aspx)

Mais informações sobre limite de sincronismo

A Directory Service quota is implemented by using Office 365 as a method to limit the maximum number of objects that can be created and owned by a single security principal. If an online company has a legitimate need to synchronize more than the Directory Service quota limit, the company must submit an Service Request with the Office 365 Technical Support.

Q. Do objects that were manually added through the Office 365 portal or the Office 365 API such as Exchange Online PowerShell count against my online company quota?

A. Yes.

Q. Do deleted objects count against my online company quota?

A. Yes . When an Office 365 customer deletes an object from his or her online company, the deleted object is put into a deleted objects container in the Office 365 Directory Service. The object remains in the deleted objects container until the tombstone lifetime expires. The expiration is currently set to 30 days for Microsoft Online Services. All objects in the deleted objects container continue to consume up to 25 percent of the AD DS quota for an online company.

For example, consider the following scenario. An online company is evaluating Office 365 by using a nonproduction on-premises AD DS environment. The company performs a bulk synchronization of 8,000 group objects and contact objects by using the Directory Synchronization Tool. Later, the online company decides to do the following:

1. Delete those group objects and contact objects from the company’s on-premises nonproduction AD DS environment

2. Add 8,000 user objects to its on-premises nonproduction AD DS environment

3. Synchronize the updates to its online company

The 8,000 group objects and contact objects are moved to the deleted objects container in the Office 365 Directory Service (DS). And, these objects continue to consume up to 25 percent of the online company quota (This percentage is equal to 2,000 objects, or 8,000 × 25 percent) until they are permanently removed after the 30-day tombstone period. Therefore, after synchronizing the 5,000 new user objects, the online company will consume 10,000 objects of its available AD DS quota, 2,000 from deleted objects plus 8,000 from new user objects. During the 30-day tombstone period (and this period may coincide with the online company evaluation period), the online company may be unable to add any additional objects by using the Directory Synchronization. This condition occurs because the online company’s Directory Service quota has been reached.

In this scenario, the online company that is performing the evaluation of Office 365 must reduce the number of objects in its non-production on-premises AD DS environment to complete the product evaluation. However, if the online company cannot reduce the number of objects, the company must request an increase in its Office 365 Directory Service quota.

Serão sincronizados:

  • Todas as contas de usuários (exceto algumas contas de sistema)
  • Todos os contatos mail-enabled (mas não contatos que não são mail-enabled)
  • Todos os Grupos de Segurança e Grupos de Distribuição mail-enabled

Comportamento do Sincronismo:

  • Novos usuários adicionados ao Active Directory são sincronizados para o Office 365
  • Usuários, grupos ou contatos existentes que são apagados no on-premises são apagados também do Office 365.
  • Usuários que são desabilitados no on-premises são desabilitados no Office 365
  • Atributos existentes de usuários, contatos e grupos (que são sincronizados) que forem modificados no on-premises serão modificados no Office 365
  • Nem todos os atributos são sincronizados, mas os mais significativos (em torno de 100).
  • Uma vez implantada a sincronização, o Active Directory on-premises se torna “dono” dos objetos
  • Em outras palavras, modificações em objetos sincronizados devem ocorrer no Active Directory on-premises
  • Objetos sincronizados não podem ser modificados ou apagados via portal ou powershell
  • Para remover tais objetos, eles devem ser apagados no Active Directory on-premises

Usuários

  • Mail-enabled/mailbox-enabled são sincronizados como mail-enabled (não mailbox-enabled)
  • Visível na GAL do Office 365 (ao menos que estejam ocultas no on-premises)
  • Contas desabilitadas
  • Target address é sincronizado para usuários mail-enabled
  • Usuários simples são sincronizados como usuários simples
  • Não são provisionados como mail-enabled no Office 365
  • Resource mailboxes são sincronizados como resource mailboxes
  • Usuários sincronizados não são assinalados com uma licença automaticamente
  • Requer intervenção ou via Portal de Administração ou PowerShell para designar a licença.

Informações Gerais

  • Senhas não são sincronizadas
  • Sincronização é no sentido on-premises para o Office 365
  • Exceto se o “write-back” for habilitado
  • Ocorre a cada três horas (por padrão)
  • Use “Start-OnlineCoexistenceSync” cmdlet para forçar a sincronização
  • O intervalo pode ser modificado através do arquivo Microsoft.Online.DirSync.Scheduler.exe.config.
  • Atributo SyncTimeInterval (Usar intervalos coerentes)
  • Deve ser instalado na rede interna e não na DMZ
  • Comunicação é feita através da porta 443 (http://onlinehelp.microsoft.com/en-us/office365-enterprises/ff652544.aspx)
  • Não há uma solução de HA
  • Uma queda no DirSync não gera indisponibilidade os serviços do Office 365
  • Não instale junto com outro servidor desempenhando serviço de Diretório (ADDS, ADFS, etc.)
  • Dê preferência a versão 64bits baseado no FIM
  • Versão 32 bits não está mais disponível para download.
  • O computador deve ser capaz de se comunicar com qualquer controlador de domínio da floresta

Sincronização

  • O atributo objectGuid AD attribute é assinalado como valor do atributo sourceAnchor durante a sincronização inicial de um objeto
  • Isto é conhecido como “hard match”
  • Dirsync sabe qual objeto é o “dono” do objeto sincronizado examinando o atributo sourceAnchor
  • DirSync pode também sincronizar objetos criados pelo portal se um dos endereços proxyaddresses for igual ao do objeto no Active Directory
  • Isto é conhecido como “soft match”
  • Os atributos proxyAddresses são sincronizados
  • Necessita de um domínio correspondente no tenant
  • Updates são sincronizados mesmo após o assinalamento de licença

Nota: Por padrão a floresta inteira do Active Directory é o escopo da sincronização.

Processo de Sincronização

1. Verificar se o objeto existe com o mesmo SourceAnchor (hard match)

a) Se o objeto for encontrado, será atualizado

2. Se não foi feito o hardmatch será tentando um match usando o endereço SMTP (soft match)

a) Se o objeto for encontrado, grava SourceAnchor para uso em sincronismos posteriores

3. Se nenhum dos matches acima tiveram sucesso um novo objeto será criado.

É recomendado um servidor que exceda o requerimento mínimo

Número de objetos no AD CPU Memória Hard Disk
Menos que 10.000 1.6 GHz 4 GB 70 GB
10.000 – 50.000 1.6 GHz 4 GB 70 GB
50.000 – 100.000 1.6 GHz 16 GB 100 GB
100.000 – 300.000 1.6 GHz 32 GB 300 GB
300.000 – 600.000 1.6 GHz 32 GB 450 GB
Mais que 600.000 1.6 GHz 32 GB 500 GB

Permissões

  • Usuário logado no computador com o DirSync instalado deve ser um membro do grupo local MIIS Admins. Este grupo foi criado durante a instalação do DirSync.
  • Durante a configuração do DirSync será necessário prover:
  • Credencial de Enterprise Admin do Active Directory on-premise.
  • Esta conta não é salva na instalação ou configuração do Dirsync
  • É apenas utilizada para criar a conta de domínio “MSOL_AD_Sync” no container “CN=Users” do domínio raiz da floresta
  • Utilizada para delegar as seguintes permissões em cada partição de domínio da floresta:
  • Replicating Directory Changes
  • Replicating Directory Changes all
  • Replication Synchronization
  • Credencial de Global Administrator no Microsoft Online Services.
  • Se utilizando SQL, direitos dentro do SQL para criar a base de dados do Dirsync, e configurar a conta do SQL Service com o papel de db_owner
  • O DirSync roda sob contexto de um usuário comum com privilégios específicos. Não usa a conta de administração.

 

Office 365 – Usuários Aparecem com o Domínio O365 após o DirSync

Este vídeo mostra como resolver problemas relacionados com nome, e-mail ou proxy adresses de  usuários que estão sendo mostrados com o domínio errado após uma sincronização do diretório.

http://community.office365.com/en-us/blogs/office_365_technical_blog/archive/2011/05/06/video-office-365-users-appear-with-o365-domain-after-dirsync.aspx

 

Agora é suportado criar filtros para a sincronização.

http://community.office365.com/en-us/wikis/sso/configure-filtering-for-directory-synchronization.aspx

…testem amplamente o fluxo de mensagens, pois mensagens que originalmente eram Mail Enabled Users não aparecerão mais na GAL e poderão gerar algum grau de inconsistência.

`

Nota: Dependendo da necessidade de “filtro”, trabalhar com o atributo msExchHideFromAddressLists já poderá ser uma opção boa o suficiente pois representa um risco menor.

 

Como forçar a sincronização em Delta do DirSync?

No caminho onde a ferramenta de sincronização foi instalada (normalmente C:\Program Files\Microsoft Online Directory Sync)

Dê um duplo clique no arquivo DirSyncConfigShell.psc1

image

image

image

Como abrir a console do DirSync?

Para abrir o console do DirSync, execute o arquivo miisclient.exe que normalmente é instalado no seguinte caminho:

C:\Program Files\Microsoft Online Directory Sync\SYNCBUS\Syncronization Service\UIShell

Com ele podemos verificar:

image

image

image

 

Como forçar a sincronização *FULL* do DirSync?

Em alguns casos pode ser necessária a sincronização total do ambiente para o Office 365.

Para fazermos isto devemos alterar a seguinte chave do registro do servidor onde o Dirsync foi instalado: HKLM/Software/Microsoft/MSOLCoExistence

Nesta chave alterar o valor do registro FullSyncNeeded para 1, conforme abaixo:

image

 

Como modificar o intervalo de sincronização?

Para modificarmos o intervalo padrão de sincronização (três horas), devemos efetuar o seguinte procedimento no servidor onde o Dirsync está instalado:

Alterar o arquivo que se encontra no diretório de instalação, normalmente o caminho C:\Program Files\Microsoft Online Directory Sync\

Neste diretório editar com o bloco de notas o seguinte arquivo: Microsoft.Online.DirSync.Scheduler.exe.Config

image

 

Material extraido do site do Mauricio Cassemiro

Anúncios

Deixe um comentário

Preencha os seus dados abaixo ou clique em um ícone para log in:

Logotipo do WordPress.com

Você está comentando utilizando sua conta WordPress.com. Sair / Alterar )

Imagem do Twitter

Você está comentando utilizando sua conta Twitter. Sair / Alterar )

Foto do Facebook

Você está comentando utilizando sua conta Facebook. Sair / Alterar )

Foto do Google+

Você está comentando utilizando sua conta Google+. Sair / Alterar )

Conectando a %s