मल्टी-डोमेन / होस्टिंग कार्यान्वयन में एक्सचेंज 2010 को स्थापित / कॉन्फ़िगर करना

मैं उन कठिनाइयों का वर्णन करना चाहता हूं जो एक व्यवस्थापक कई डोमेन के लिए एक्सचेंज स्थापित करते समय सामना कर सकता है। मैं इन समस्याओं को हल करने के विवरण में नहीं जाऊंगा, हालांकि, मैं सामान्य शब्दों में वर्णन करूंगा कि उन्हें कैसे हल किया जाए और संसाधनों (Microsoft या एक्सचेंज विशेषज्ञों के ब्लॉग) को लिंक प्रदान करें जहां विभिन्न कठिनाइयों का समाधान विस्तार से वर्णित है।
मैं संभव के रूप में कई "सूक्ष्मता" को समझने की कोशिश करता हूं, लेकिन मैं कुछ भूल सकता हूं :)

कौन परवाह करता है - बिल्ली के नीचे। ध्यान: बहुत सारे पत्र!

सबसे पहले, यह उन कठिनाइयों का उल्लेख करने योग्य है जो हम विषय में वर्णित कॉन्फ़िगरेशन में एक्सचेंज को लागू करते समय सामना करेंगे:
• वस्तुओं की तैयारी और निर्माण। सबसे महत्वपूर्ण बिंदुओं में से एक। आपको यह सुनिश्चित करने की आवश्यकता है कि वस्तुओं को सही तरीके से, सही जगह और सही विशेषताओं के साथ बनाया गया है, जो एक्सचेंज वातावरण को ठीक से काम करने में मदद करेगा।
• प्रत्येक डोमेन / ग्राहक के लिए सुरक्षा। इसमें कई प्रकार के फ़ंक्शन और सेटिंग्स शामिल हैं, लेकिन सीधे शब्दों में कहें, तो हमें यह सुनिश्चित करने की आवश्यकता है कि एक संगठन के उपयोगकर्ता किसी अन्य संगठन के उपयोगकर्ताओं / डेटा को नहीं देखेंगे। AD इंफ्रास्ट्रक्चर बनाते समय (उदाहरण के लिए, OU पदानुक्रम और उन पर अधिकार) इस अधिकार के बारे में आपको सोचना चाहिए।
• सिस्टम सेटिंग्स और नीतियां। एक्सचेंज के पास उपयोगकर्ताओं और प्रशासकों के लिए कई कार्य उपलब्ध हैं, और इन कार्यों को कई तरीकों से नियंत्रित किया जा सकता है। कुछ सेटिंग्स एक व्यक्तिगत उपयोगकर्ता को प्रभावित करती हैं, कुछ डेटाबेस को प्रभावित करती हैं, और कुछ पूरे एक्सचेंज संगठन को प्रभावित करती हैं।
• परिवहन। सेटिंग में अगला आइटम, जो सभी उपयोगकर्ताओं को प्रभावित करेगा, परिवहन है। हम समस्याओं के बारे में बात कर रहे हैं जब एक्सचेंज मोड में दो डोमेन के बीच मेल को रूट करने की कोशिश करता है, जैसे कि वे एक ही संगठन के भीतर हैं, और सभी समृद्ध कार्यक्षमता प्रदान करने की कोशिश करते हैं जो एक एडी-डोमेन के उपयोगकर्ताओं को प्रदान की जानी चाहिए।
• प्रणाली का डिजाइन और वास्तुकला। यहाँ मैं OWA जैसी सेवाओं के नाम के बारे में बात करने की कोशिश कर रहा हूँ; आउटलुक के साथ ग्राहकों को प्रदान किए गए URL; AutoDiscover और Outlook कहीं भी जैसी सेवाओं के लिए समापन बिंदु। ये / होस्टनाम पते सभी ग्राहकों के लिए दिखाई देते हैं और आगे की समस्याओं से बचने के लिए उनमें से किसी (गैर-ब्रांडेड) से नहीं जुड़ा होना चाहिए।
• स्केलेबिलिटी। एक अन्य प्रमुख विशेषता स्केलेबिलिटी है। यह केवल डोमेन / उपयोगकर्ताओं की अधिकतम संख्या के बारे में नहीं है, बल्कि लोड की गणना करने, विकास की भविष्यवाणी करने और समस्याओं से बचने के तरीके को समझने के लिए कमजोरियों की पहचान करने के बारे में भी है।

अब मैं विशेष रूप से प्रत्येक आइटम के बारे में कहने की कोशिश करूंगा:
AD संरचना। पालन ​​करने के लिए कुछ नियम हैं:
1) प्रत्येक डोमेन एक अलग OU है।
2) प्रत्येक डोमेन के सभी उपयोगकर्ता - एसीसी। इस डोमेन के लिए समूह।
3) सक्रिय निर्देशिका सूची ऑब्जेक्ट मोड का उपयोग करना। जब आप प्रत्येक OU के लिए सुरक्षा (उन्नत) सेटिंग्स में सूची ऑब्जेक्ट मोड को सक्षम करते हैं, तो आप सूची में अधिकार सेट कर सकते हैं। यह वह जगह है जहां हमें दूसरे पैराग्राफ से समूह की आवश्यकता होती है - केवल इस डोमेन के उपयोगकर्ता एक निश्चित डोमेन की सूची OU की अनुमति दे सकते हैं। यह वस्तुओं की दृश्यता के बीच अंतर करने की अनुमति देगा।

प्रत्येक डोमेन / ग्राहक के लिए सुरक्षा। मैंने पहले ही पिछले पैराग्राफ में इस पर चर्चा शुरू कर दी थी:
1) विज्ञापन सूची वस्तु मोड का उपयोग करना।
2) प्रत्येक डोमेन के लिए संशोधित ग्लोबल एड्रेस लिस्ट और ऑफलाइन एड्रेस बुक का उपयोग करना। ऐसा करने के लिए, एक पता पुस्तिका नीति बनाएं (जो केवल एक्सचेंज 2010 SP2 में उपलब्ध हो गई)। मिखाइल टोकरेव के ब्लॉग ने इस प्रक्रिया का विस्तार से वर्णन किया है ।
3) प्रत्येक डोमेन में व्यवस्थापकों के लिए प्रशासन पोर्टल। किसी विशिष्ट उपयोगकर्ता को Exchange उपयोगकर्ताओं के विशिष्ट समूह (ECP के माध्यम से) के लिए Microsoft ने भूमिका समूह तंत्र बनाया। भूमिका समूह कैसे बनाएं (जहां आप प्रशासकों के अधिकारों का एक समूह बनाते हैं) यहां लिखा गया है । हालांकि, इन भूमिकाओं को बनाते समय, आपको स्कोप - उन क्षेत्रों को निर्दिष्ट करना होगा, जिन पर वे लागू होते हैं। मैं OU को "ज़ोन" के रूप में उपयोग करने की सलाह देता हूं (प्रत्येक ग्राहक के लिए - इसका अपना)। आप यहां PowerShell और New-ManagementScope cmdlet का उपयोग करके ऐसे प्रबंधन स्कोप बनाने के बारे में पढ़ सकते हैं।
4) मैं संदेश ट्रैकिंग लॉग (वितरण की पुष्टि) को देखने के लिए अधिकार देने की अनुशंसा नहीं करता, जैसा कि वे पूरे संगठन पर लागू होते हैं और व्यवस्थापक सभी मेल देखेंगे।
5) कैलेंडर में अधिकारों का परिवर्तन। डिफ़ॉल्ट रूप से, सभी एक्सचेंज उपयोगकर्ता अन्य सभी एक्सचेंज उपयोगकर्ताओं की मुफ्त / व्यस्त स्थिति देखेंगे। Set-MailboxFolderPermission cmdlet या ExFolders जैसे उपयोगिताओं का उपयोग करके, उपयोगकर्ता की "डिफ़ॉल्ट" पहुंच का चयन करें, लेकिन इस डोमेन के उपयोगकर्ताओं को आवश्यक अनुमति दें।
6) वैकल्पिक: ग्राहकों के लिए बिलिंग। दुर्भाग्य से, एक्सचेंज में बिल्ट-इन बिलिंग मैकेनिज्म नहीं है, हालांकि, आप एक्सेल के आधार पर अपना खुद का बना सकते हैं। मेलबॉक्स पर आंकड़े प्राप्त करने के लिए, मेरा सुझाव है कि आप अपने आप को Get-MailboxStatistics और Get-ActivesyncDeviceStatistics cmdlets से परिचित कराएँ , जिसके उपयोग से (आप PowerShell का उपयोग करके क्लाइंट / डोमेन द्वारा आँकड़ों को फ़िल्टर कर सकते हैं), आप आँकड़े प्राप्त कर सकते हैं और इसे CSV / XLS में अपलोड कर सकते हैं।
7) मैं आउटलुक प्रोटेक्शन रूल्स सहित सिफारिश नहीं करता जब Outlook उन्नत लॉगिंग सक्षम की जाती है, तो सभी क्लाइंट के SMTP डोमेन पर डेटा उपलब्ध होगा।
8) एक्सचेंज बेस। एक्सचेंज के साथ काम करने का अनुभव रखने वाले कई लोग कहेंगे कि प्रत्येक ग्राहक के लिए अपना स्वयं का डेटाबेस बनाना और एक ही डोमेन के सभी मेलबॉक्सों को एक अलग डेटाबेस में संग्रहीत करना "अधिक सुविधाजनक" है। लेकिन, यदि आपके पास ऐसा करने का कोई अच्छा कारण नहीं है, तो ग्राहकों को आधारों में विभाजित न करें। वास्तव में, 1 डेटाबेस के साथ समस्याओं के मामले में, सभी डोमेन मेल अनुपलब्ध होंगे, जो अस्वीकार्य है। कई डेटाबेस बनाएं और स्वचालित मेलबॉक्स वितरण का उपयोग करें और एक्सचेंज को मेलबॉक्स में डालने के लिए कौन सा डेटाबेस चुनें। आप यहां पढ़ सकते हैं कि स्वचालित मेलबॉक्स वितरण कैसे काम करता है ।

सिस्टम सेटिंग्स और नीतियां। यह बिंदु पिछले एक के साथ बहुत "अन्तर्विभाजित" है, इसलिए यहां मैं थोड़ा कहूंगा।
1) ग्राहकों को प्रत्यक्ष पहुंच (LDAP + MAPI) प्रदान करना आवश्यक नहीं है। यह एक बुरा विचार है। कई होस्टर्स ऐसा करते हैं (उदाहरण के लिए, मास्टरहोस्ट), लेकिन मैं इस तरह के समाधान की शुद्धता से सहमत नहीं हो सकता। HTTP पर RPC केवल (विशेषकर एक्सचेंज के अगले संस्करण में केवल इस तरह की पहुंच है)। प्रारंभिक सेटअप में इस तरह की पहुंच थोड़ी अधिक कठिन है, लेकिन भविष्य में आपको समस्याओं से बचाने की गारंटी है।
2) अपने फ़ायरवॉल का ध्यान रखें। DDoS हमलों के लिए, संभावित क्रूर हमलों के लिए। बाद में नेटवर्क सुरक्षा न छोड़ें।
3) मैं गलत पासवर्ड प्रविष्टि के मामले में खातों की "ऑटो-ब्लॉकिंग" नीति को अक्षम करने की सलाह देता हूं (अन्यथा किसी हमलावर को किसी खाते को ब्लॉक करना बहुत आसान होगा), लेकिन उन नीतियों का उपयोग करना सुनिश्चित करें जिनके लिए उपयोगकर्ताओं से जटिल पासवर्ड की आवश्यकता होती है।

परिवहन।
1) वितरण समूहों को अन्य डोमेन से भेजने पर रोक लगाना आवश्यक है। ऐसा करने के लिए, प्रेषकों को डीजी को भेजने की अनुमति है और डीजी को भेजने के लिए प्रमाणीकरण की आवश्यकता होती है। इसे EMC या सेट-डिस्ट्रीब्यूशनग्रुप cmdlet के माध्यम से कॉन्फ़िगर किया जा सकता है।
2) अक्षरों का आकार सीमित करना। उदाहरण के लिए, एज सर्वर पर आने वाले संदेशों के लिए आकार सीमा आंतरिक मेल के लिए निर्धारित सीमा से कम या उसके बराबर होनी चाहिए। ऐरे एज एज सर्वर संसाधनों की बर्बादी होगी। याद रखें कि उपयोगकर्ता सीमाओं के साथ, आप किसी उपयोगकर्ता या उपयोगकर्ताओं के समूह को पूरे Exchange संगठन के लिए निर्धारित सीमा से अधिक दे सकते हैं।
3) बाहरी रिले के माध्यम से "पड़ोसी" डोमेन के लिए मेल रूटिंग कॉन्फ़िगर करें। यह आवश्यक है यदि आप इस एक्सचेंज पर डोमेन से पूरी तरह से "मुखौटा" मेल करना चाहते हैं, अगर उन्हें "पड़ोसी" डोमेन पर भेजा जाता है। बेशक, कुछ जानकारी हेडर में रहेगी, हालांकि, आप यह सुनिश्चित करेंगे कि मेल इंटरनेट से प्राप्त किया जाता है, जो बदले में, इस प्रेषक को आंतरिक रूप से हल होने से रोक देगा।
4) याद रखें कि यदि आप म्यूचुअल टीएलएस का उपयोग करना चाहते हैं (आप इसके बारे में पढ़ सकते हैं कि यह यहाँ क्या है), TLSRecieveDomainSecureList और TLSSendDomainSecureList सेटिंग्स पूरे कंप्यूटर संगठन के लिए कॉन्फ़िगर की गई हैं। और यदि आप ग्राहकों को यह सुविधा देने का इरादा रखते हैं, तो आपको यह सुनिश्चित करने की आवश्यकता होगी कि वे समझते हैं कि "सुरक्षित" ध्वज को कुछ अक्षरों पर प्रदर्शित किया जाएगा जो उन्हें प्राप्त होंगे।
5) यह अनुशंसा की जाती है कि आप हब सर्वरों पर एंटी-स्पैम एजेंटों को सक्षम करें ताकि डोमेन के बीच मेल की जाँच हो। यह कैसे करना है यहाँ लिखा है ।
6) डोमेन के बीच आउट ऑफ़ ऑफिस आंतरिक संदेशों को अक्षम करना आवश्यक है। वास्तव में, यदि कोई उपयोगकर्ता "OOF को केवल मेरे संगठन के भीतर भेजना" चुनता है, तो OOF पत्र इस Exchange के उपयोगकर्ता के पास जा सकता है, लेकिन किसी अन्य डोमेन से। इसे रोकने के लिए, आपको कई परिवहन नियम बनाने की आवश्यकता है जो IPM.Note.Rules.Oof.Template.Microsoft वर्ग (इस वर्ग में OOF संदेश हैं) के संदेशों को केवल एक ही डोमेन (नियम प्रति डोमेन द्वारा) के बीच की अनुमति देगा।
7) पत्र भेजते समय कुछ "युक्तियों" को अक्षम करें। एक बहु-डोमेन संरचना के साथ, आपको कुछ कार्यक्षमता का त्याग करना होगा, जैसे समूह के सदस्यों को प्रदर्शित करना और चेतावनी देना कि प्राप्तकर्ता के पास ओओएफ ऑटो उत्तर सक्षम है, आदि। आप सेट-संगठनकॉन्फ़िग cmdlet के माध्यम से इन सेटिंग्स को बदल सकते हैं।

डिजाइन और वास्तुकला।
1) साझा URL का उपयोग करें। उदाहरण के लिए, एक डोमेन exchsuperhost.ru पंजीकृत करें। ऑटोडिस्कवर के लिए नोड्स m.exchsuperhost.ru और m2.exchsuperhost.ru (दोष-सहिष्णु EDGE के लिए , ये एमएक्स अलग-अलग प्राथमिकताओं के साथ होंगे), mail.exchsuperhost.ru (क्लाइंट एक्सेस और आउटलुक एक्सेस के लिए) और autodiscover.exchsuperhost.ru । अपने ग्राहकों को वेब इंटरफेस के लिए CNAME और MX और SPF रिकॉर्ड के लिए आपके MX पते का उपयोग करने दें। यह मेल के प्रशासन और ट्रैकिंग को बहुत सरल करेगा।
2) मैं अनुशंसा करता हूं कि हम पीओपी और आईएमएपी के साथ उपयोगकर्ताओं को प्रदान न करें, जैसे यह माइग्रेशन के दौरान और साथ ही उपयोगकर्ता के काम के दौरान समस्याएं पैदा कर सकता है।
3) वर्चुअलाइजेशन के बारे में सोचो। Microsoft के पास एक्सचेंज की कुछ भूमिकाओं को वर्चुअलाइज़ करने से कुछ नहीं होता है। यह उपकरण और लाइसेंस लागत को कम करने में मदद करेगा।

अनुमापकता। यह सब आपके ग्राहकों, उपकरणों आदि पर निर्भर करता है। सभी मैं सलाह दे सकता हूं: "पुरानी" तकनीकों (जैसे सार्वजनिक फ़ोल्डर) का उपयोग न करें, "लोहे" की क्षमता और भंडारण स्थान और डिस्क अलमारियों की गणना करें, गतिशील वितरण समूहों का उपयोग करने की कोशिश करें और अपने काम को अधिकतम करें - पावरशेल स्क्रिप्ट, परिवहन नियम, विकल्प जीएएल, नामकरण और भंडारण नीतियां।

मुझे आपके सवालों का जवाब देने और आपकी सलाह सुनने में खुशी होगी :) धन्यवाद!