AD DS के साथ Office 365 सिंक, एकल साइन-ऑन बनाने के लिए AD FS 2.0 का उपयोग करें

शुभ दोपहर, मैं आपके साथ इस क्षेत्र में अर्जित ज्ञान को साझा करना चाहूंगा।
यह आलेख अनुभवी प्रशासकों या इंजीनियरों के लिए उपयोगी होने की संभावना नहीं है, आप इसे Google bing और धैर्य की मदद से समझ सकते हैं, लेकिन ऐसा होता है कि समय सीमा समाप्त हो रही है, विषय दिलचस्प नहीं है, या कुछ अन्य परिस्थितियाँ वर्कफ़्लो में हस्तक्षेप करती हैं। इसके अलावा, मेरे पास हर चीज और हर चीज के स्क्रीनशॉट लेने का अवसर नहीं है, क्योंकि भाग में वे वेब से अटक जाएंगे, लेकिन अधिकांश घटकों के लिए इंस्टॉलेशन प्रक्रिया एक बटन को आगे बढ़ाते हुए पागलपन के बिंदु पर आती है।

जोखिम

शून्य, सिंक्रोनाइज़ेशन एक तरफ़ा है, अगर अधिकारियों को यह पसंद नहीं आया कि \ n कुछ भी काम नहीं करता है, तो उन्होंने पैसा आवंटित नहीं किया है - हमने सबकुछ तोड़ दिया है, हम डिरसिंक्स और AD FS को रोकते हैं, DirSync को हटाते हैं, AD DS में MSOL_AD_Sync खाते को हटाते हैं, Office 365 से सिंक्रनाइज़ किए गए खातों को हटाते हैं। यदि आप मेल स्थानांतरित कर सकते हैं, तो आप वापस अग्रेषित करना।

न्यूनतम अवसंरचना आवश्यकताएँ

AD FS, विंडोज सर्वर 2008 या उच्चतर के लिए सर्वर, डोमेन सदस्य, गैर-डोमेन नियंत्रक
DirSync'A के लिए सर्वर (AD DS और कार्यालय 365 को सिंक्रनाइज़ करने के लिए Microsoft उपयोगिता), Windows Server 2003 या उच्चतर, डोमेन सदस्य, गैर-डोमेन नियंत्रक, NET फ्रेमवर्क 3.0 या 3.5 और पॉवर्सशेल
AD DS 2003 मिश्रित \ देशी मोड या उच्चतर, एक ही वन से। डोमेन में एंटरप्राइज़ व्यवस्थापक खाता। इसका उपयोग केवल MSOL_AD_Sync बनाने के लिए किया जाता है, लॉगिन \ पासवर्ड डिर्ससिंक में कहीं भी सहेजा नहीं गया है। खाते को AD DS में परिवर्तनों को पढ़ने और सिंक्रनाइज़ करने के अधिकार दिए गए हैं।
Office 365 के लिए व्यवस्थापक खाता, Office 365 में डोमेन सत्यापित । डोमेन नाम सत्यापित डोमेन के साथ मेल नहीं खा सकता है, इस मामले में आपको केवल डोमेन के यूपीएन प्रत्यय को जोड़ने और उपयोगकर्ताओं को इस प्रत्यय से बांधने की आवश्यकता है।
विज्ञापन के प्रकाशन के लिए प्रमाणपत्र एफएस (कोई भी, स्व-हस्ताक्षरित, परीक्षण के लिए करेगा)

नोट : DirSync 80 और 443 पोर्ट पर काम करता है, प्रॉक्सी सर्वर में लॉग इन करने का तरीका नहीं जानता, इसके लिए आपको प्रॉक्सी सर्वर में एक अलग "छेद" बनाने की आवश्यकता होगी। 50,000 से अधिक उपयोगकर्ताओं को सिंक्रनाइज़ करने के लिए, आपको एक पूर्ण SQL सर्वर स्थापित करना होगा।

ऑफिस 365

पहले आपको AD DS के साथ सिंक्रनाइज़ेशन को सक्रिय करने की आवश्यकता है, यह कदम पहले किया जाना सुविधाजनक है, क्योंकि सिंक्रनाइज़ेशन को चालू करने में 24 घंटे (व्यवहार में, कम) तक का समय लगेगा, यह समय सिंक्रनाइज़ेशन में शामिल अन्य घटकों को कॉन्फ़िगर करने और तैयार करने के लिए पर्याप्त से अधिक है।

1. उपयोगकर्ता अनुभाग में Office 365 पोर्टल पर जाएं।
2. हम "सक्रिय निर्देशिका सिंक्रनाइज़ेशन" के लिए खोज करते हैं और "सेट अप" बटन दबाएं
3. आइटम नंबर 3 के तहत खुलने वाली विंडो में, "सक्रिय करें" पर क्लिक करके सिंक्रनाइज़ेशन चालू करें
4. अनुच्छेद 4 में, DirSync डाउनलोड करें।

AD FS

AD FS को स्थापित करने से पहले, आपको एक डोमेन या स्व-हस्ताक्षरित प्रमाण पत्र आयात या उत्पन्न करना होगा जिसका उपयोग AD FS को IIS में प्रकाशित करने के लिए किया जाएगा।

AD FS 2.0 डाउनलोड करें , स्थापित करें, हमें AD FS सर्वर की आवश्यकता है, AD FS सर्वर प्रॉक्सी की नहीं। AD FS 2.0 को स्थापित करने के बाद, IIS पर जाएं और AD FS साइट को 443 और प्रमाणपत्र पोर्ट करने के लिए बांधें।
नोट : यह बाध्यकारी को हटाने के लिए 80 को पोर्ट करने और साइट सेटिंग्स में "SSL की आवश्यकता" को सक्षम करने के लिए अनुशंसित है। यह सब IIS प्रबंधन इंटरफ़ेस के माध्यम से सहज रूप से किया जाता है।

अगला, AD FS 2.0 प्रबंधन कंसोल पर जाएं और AD FS 2.0 सर्वर कॉन्फ़िगरेशन विज़ार्ड या C: \ Program Files \ Active Directory फेडरेशन सेवाएँ 2.0 \ FsConfigWizard.exe लॉन्च करें। वास्तव में आगे, आगे, आगे, आगे ... यह एक खेत को स्थापित करने के लिए आवश्यक है, विज्ञापन एफएस के लिए एक सेवा खाता वांछनीय है, इसके संचालन के लिए आवश्यक न्यूनतम अतिरिक्त अनुमतियाँ "राइट टू ओयू" प्रोग्राम डेटा "हैं"।

आप लिंक पर क्लिक करके देख सकते हैं _https: //adfs_server_name/adfs/ls/idpinitiatedsignon.aspx

DirSync स्थापित करें

प्रक्रिया बहुत सरल है, आगे-आगे-आगे-पूर्ण। स्थापना के बाद, कॉन्फ़िगरेशन विज़ार्ड खुल जाएगा। फिर से, यह काफी तुच्छ है, दूसरे बिंदु पर आपको Office 365 व्यवस्थापक खाते को निर्दिष्ट करने की आवश्यकता है (तीसरे बिंदु पर AD DS के साथ सिंक्रनाइज़ेशन सक्षम होना चाहिए), तीसरे पैराग्राफ पर व्यवस्थापक के लिए व्यवस्थापक खाता निर्दिष्ट करें। चौथे पैराग्राफ में, आपको "रिच सह-अस्तित्व" को शामिल करने के लिए कहा जाएगा, लेकिन मैं इस लेख में इस पर विचार नहीं करूंगा। स्थापना के बाद, आप "अब निर्देशिकाओं को सिंक्रनाइज़ करें" को अनचेक कर सकते हैं, इससे आप अब सिंक्रनाइज़ नहीं कर पाएंगे, लेकिन हर 3 घंटे में शेड्यूल के अनुसार सिंक्रनाइज़ेशन निर्धारित है।

अब थोड़ा "जादू"
C: \ Program Files \ Microsoft ऑनलाइन निर्देशिका सिंक \ SYNCBUS \ सिंक्रनाइज़ेशन सेवा \ UIShell \ miisclient.exe इस पथ के साथ DirSync के लिए एक छिपा हुआ GUI निहित है (वास्तव में, यह एक सामान्य Fim सिंक्रनाइज़ेशन सेवा है)। यदि आपका ज्ञान पर्याप्त है, तो आप सेटिंग्स के साथ "चारों ओर" खेल सकते हैं, लेकिन GUI के माध्यम से सेटिंग्स को बदलना Microsoft द्वारा समर्थित नहीं है, अगर कुछ बदलने की आवश्यकता है, तो Microsoft फिर से "कॉन्फ़िगरेशन विज़ार्ड" के माध्यम से जाने की पेशकश करता है। यदि आपको DirSync GUI में अनुमति नहीं है, तो आपको बस लॉग इन करने की आवश्यकता है, आपका खाता Fim Synt Service सेवा समूह में जोड़ दिया गया है।
Force सिंक्रोनाइज़ेशन DirSync GUI के माध्यम से या पावरशेल के माध्यम से किया जा सकता है:

1. Povershell लॉन्च करें
2. एलसीडी C: \ Program Files \ Microsoft ऑनलाइन निर्देशिका सिंक
3 .. \ DirSyncConfigShell.psc1
4. नई Start-OnlineCoexistenceSync विंडो में
परिणाम इवेंट लॉग और / या Office 365 पोर्टल के माध्यम से देखे जा सकते हैं।


एक परीक्षण चलाने के लिए, आप चुन सकते हैं कि कौन सा OUs सिंक्रनाइज़ किया जाएगा। ऐसा करने के लिए, GUI पर जाएं, सोर्सड प्रबंधन एजेंट में डबल क्लिक करें, "एक्टिव डायरेक्ट्री फ़ॉरेस्ट से कनेक्ट करें" अनुभाग में, "कंटेनर" पर क्लिक करें और आवश्यक कंटेनरों का चयन करें। यदि आपके पास कई डोमेन हैं, तो सूची से वांछित डोमेन चुनें और "कंटेनर" पर क्लिक करें। प्रत्येक डोमेन के साथ दोहराएँ।
नोट : यदि आप ऐसा नहीं करते हैं, तो सभी OU से सभी खाते Office 365 को "छोड़" देंगे। जिसमें सेवा खाते और बिल्ट-इन खाते शामिल हैं।

AD FS 2.0 बंडल - Office 365

AD FS सर्वर पर Office 365 के साथ काम करने के लिए साइन-इन असिस्टेंट और पावरशेल मॉड्यूल डाउनलोड और इंस्टॉल करें। एक नया शॉर्टकट स्टार्ट मेनू में और डेस्कटॉप पर दिखाई देगा, Office 365 के साथ काम करने के लिए शक्तियां (आप आयात-मॉड्यूल MSOnline को पहले करके "सामान्य" पॉवरशेल का उपयोग कर सकते हैं)।

हम डोमेन फ़ेडरेटेड बनाते हैं:
1. $ क्रेडि = गेट-क्रेडेंशियल - दिखाई देने वाली विंडो में, Office 365 प्रशासनिक खाते के उपयोगकर्ता नाम / पासवर्ड में ड्राइव करें।
2. कनेक्ट- MsolService –Credential $ क्रेडेंशियल - Office 365 से कनेक्ट करें।
3. सेट- MsolADFSContext –Computer <AD FS 2.0 सर्वर नाम> - एक वैकल्पिक कदम, केवल तभी आवश्यक है जब आप उस पावरशेल को चलाएं न कि जिस कंप्यूटर से AD FS सर्वर स्थापित है।
4. Convert-MSOLDomainToFederated - domainname <domain.com> - "root" डोमेन का नाम निर्दिष्ट करें, अगर हम कहते हैं कि आपको office365.domain.com, अपने office365.domain.com और domain को सत्यापित करना होगा और डोमेन को सत्यापित करना होगा। लेकिन एक डोमेन को परिवर्तित करते समय, आपको domain.com निर्दिष्ट करना होगा, office365.domain.com नहीं। डोमेन और सभी उप-डोमेन कनवर्ट किए जाते हैं।
नोट : इस ऑपरेशन के बाद, उपयोगकर्ता AD 365 का उपयोग नहीं कर पाएंगे यदि AD FS - Office 365 बंडल को कॉन्फ़िगर नहीं किया गया है या सही तरीके से कॉन्फ़िगर नहीं किया गया है, क्योंकि डोमेन पहले ही फेड हो चुका है।
5. अपडेट-MSOLFederatedDomain –domainname <domain.com>

यदि Office 365 लॉगिन पृष्ठ पर जाकर सब कुछ सही ढंग से किया गया है, तो आप देखेंगे कि पासवर्ड फ़ील्ड अब उपलब्ध नहीं है।

ISA या TMG का उपयोग करके AD FS सर्वर प्रकाशित करें

इसे एक नियमित वेबसाइट के रूप में प्रकाशित किया जाता है, लेकिन इसमें कुछ बारीकियां हैं:
1. उच्च-बिट वर्णों को ब्लॉक करें और https प्रोटोकॉल के गुणों में सामान्यीकरण को सत्यापित करें।
2. लिंक अनुवाद बंद किया जाना चाहिए।
3. नियम सेटिंग में "ISA सर्वर कंप्यूटर से आने के लिए अनुरोध दिखाई देते हैं" चेक किया जाना चाहिए
4. श्रोता सेटिंग में, आपको AD FS स्थापित करते समय IIS में आयात किया गया प्रमाणपत्र जोड़ना होगा।

एक बार प्रकाशित होने के बाद, आप Office 365 पोर्टल या outlook.com के माध्यम से अपने काम का परीक्षण कर सकते हैं। SSO समस्या निवारण के लिए महान साइट ।
नोट : उपयोगकर्ताओं को काम करने के लिए, उन्हें लाइसेंस देने की आवश्यकता है, एक परीक्षण उपयोगकर्ता के लिए, लाइसेंस को मैन्युअल रूप से सौंपा जा सकता है। आप उपयोगकर्ताओं को थोक जोड़ने के लाइसेंस के लिए पॉवरशेल का उपयोग कर सकते हैं

परिणाम

परिणाम एक कामकाजी बुनियादी ढांचा है जहां उपयोगकर्ता अपने कंप्यूटर और "कंप्यूटर" से मेलबॉक्स और पासवर्ड का उपयोग करके Office 365 में लॉग इन कर सकते हैं। सभी पासवर्ड आपके AD DS में संग्रहीत हैं। पासवर्ड सिंक्रनाइज़ नहीं हैं (AD FS इसके लिए आवश्यक है)। सभी उपयोगकर्ता जानकारी में परिवर्तन आपके मूल AD DS के लिए किए जाते हैं और स्वचालित रूप से Office 365 में दोहराए जाते हैं।

मुझे उम्मीद है कि लेख किसी के लिए उपयोगी है।
अनुभव को "पक्ष" के रूप में प्राप्त किया गया था जब एफआईएम 2010 के साथ काम करते हुए, यह एक दया है कि हमारे पास इस कार्यक्रम के आसपास एक समुदाय नहीं है, मैं भविष्य में एफआईएम के बारे में लिखने की योजना बना रहा हूं।