lab paso a paso: migración gmail a office 365 (ad fs 2.0 - dirsync)
TRANSCRIPT
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
LABORATORIO MICROSOFT
IMPLEMENTACIÓN INICIO DE SESIÓN ÚNICO
SINCRONIZACIÓN DE ACTIVE DIRECTORY
OFFICE 365
WINDOWS SERVER 2008 R2
Este laboratorio tiene el objetivo de implementar y documentar paso a paso la federación de O365
y una infraestructura local, también se sincronizara el active directory local con azure active
directory para proveer a los usuarios un inicio de sesión único, de esta manera el esfuerzo
administrativo del área de tecnología se minimizara notablemente y la experiencia del usuario será
mucho mejor.
Procedimientos de este laboratorio:
1. Requisitos previos para la migración
2. Instalar y configurar AD FS 2.0
3. Instalar y configurar DirSync
4. Crear maestro de buzón Gmail
5. Migración de buzones de Gmail a Exchange Online por lotes
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
NOTA: Se necesitan dos (2) servidores, se recomienda que sean virtual machines, ambos servidores
se utilizaron en este laboratorio con Windows Server 2008 R2 Standard x64 actualizados por
Windows Update. 1svr x AD FS 2.0 y 1svr x DurSync
1. Requisitos previos para la migración
Antes de utilizar el servicio de migración de datos, el entorno desde el cual quieres realizar
la migración (también llamado entorno heredado) debe cumplir como mínimo con una serie
de requisitos previos.
Migración desde GMAIL
El servicio de migración de datos utiliza IMAP para migrar los datos desde Google Apps y
desde las cuentas gratuitas de Gmail.
Si se ha habilitado la verificación en dos pasos en la cuenta, genera una contraseña
específica de la aplicación y úsala para la migración.
Si realizas la migración desde un dominio de Google Apps, sigue las instrucciones para habilitar IMAP para Google Apps.
Si realizas la migración desde una cuenta gratuita de Gmail.
1. Inicia sesión en tu cuenta de Gmail.
2. Haz clic en la rueda dentada en la esquina superior derecha. 3. Selecciona Configuración. 4. Haz clic en Reenvío y correo POP/IMAP. 5. Selecciona Habilitar IMAP. 6. Haz clic en Guardar cambios.
Además de habilitar el acceso IMAP, los usuarios de cuentas gratuitas de Gmail deberán permitir que servicio de migración de datos que acceda a sus cuentas.
1. Inicia sesión en tu cuenta de Gmail. 2. Escribe //www.google.com/settings/security en el navegador. 3. En la tarjeta Permisos de cuenta asegúrate de que Acceso de aplicaciones menos
seguras está habilitado. Si esta configuración está inhabilitada, haz clic en Configuración para habilitarla.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Informar a los usuarios sobre los futuros cambios
Es una buena idea permitir que los usuarios conozcan algunas cosas acerca de la migración de correo electrónico y la forma en que les afecta. Proporcionar información a los usuarios sobre las tareas que deben realizar antes, durante y después de la migración. Dado que una migración es diferente para cada organización, las tareas estándar se muestran en Comunicar cambios de correo electrónico a sus usuarios.
Requisitos para los controladores de dominio
Modo funcional del bosque de Windows Server 2003 o versiones superiores.
Controlador de dominio con edición de 32 bits o 64 bits de Windows Server 2008 Standard o Enterprise, Windows Server 2008 R2 Standard o Enterprise, o Windows Server 2008 Datacenter o Windows Server 2008 R2 Datacenter, Windows Server 2012 Standard o Datacenter.
Recomendaciones de Hardware
Para configurar la sincronización de directorios, debes designar un equipo como el equipo de sincronización de directorios e instalar la Herramienta de sincronización de directorios en ese equipo.
El rendimiento de la Herramienta de sincronización de directorios depende del tamaño y de la complejidad del Active Directory del cliente y del hardware que ejecuta la herramienta de sincronización de directorios. Ejecutar la herramienta de sincronización de directorios en hardware insuficiente afectará al rendimiento de la herramienta, lo que provocará un aumento de latencia o incluso un error en la propagación de los datos locales a la nube.
En el caso de implementaciones de Active Directory con más de 50.000 objetos habilitados para correo, se recomienda implementar la herramienta de sincronización de directorios con una instancia completa de SQL (una implementación de cualquier SKU que no sea SQL Express, como SQL Server Standard, Enterprise o DataCenter). Los clientes con menos de 50.000 objetos habilitados para correo también pueden optar por usar una instancia completa de SQL; sin embargo, será suficiente la instancia de SQL Express instalada de manera predeterminada con la Herramienta de sincronización de directorios.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
La siguiente tabla muestra los requisitos mínimos de hardware recomendados para el equipo de sincronización de directorios en relación con el número de objetos que tenga en tu Active Directory local, estos también se pueden tener en cuenta para el servidor de AD FS 2.0
Número de objetos en Active Directory CPU Memoria Tamaño de la unidad de
disco duro
Menos de 10.000 1,6 GHz 4 GB 70 GB
10,000–50,000 1,6 GHz 4 GB 70 GB
50,000–100,000
Necesita SQL Server completo 1,6 GHz 16 GB 100 GB
100,000–300,000
Necesita SQL Server completo 1,6 GHz 32 GB 300 GB
300,000–600,000
Necesita SQL Server completo 1,6 GHz 32 GB 450 GB
Más de 600.000
Necesita SQL Server completo 1,6 GHz 32 GB 500 GB
Revisa tus requisitos de autenticación de Microsoft Azure AD
Para iniciar sesión en Microsoft Online Services, tus usuarios deben proporcionar credenciales en la forma de una combinación de nombre de usuario y contraseña.
Un formato posible para un nombre de usuario es el atributo de nombre principal del usuario (UPN) local que también se denomina nombre de inicio de sesión del usuario.
El uso del UPN local requiere que el atributo UPN use un dominio enrutable públicamente. Sin embargo, hay casos en los que el dominio local no es enrutable.
Por ejemplo, para dominios de un solo nivel como “.local” o “.intranet”.
Un método de solucionar esto es agregar un sufijo de UPN alternativo a Active Directory. A continuación, encontrarás instrucciones de cómo agregar un sufijo alternativo.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Agregar sufijo de UPN alternativo en Active Directory
Debes agregar un sufijo de UPN alternativo para asociar las credenciales corporativas con el entorno de Office 365. Un sufijo de UPN es la parte de un UPN a la derecha del carácter @. Los UPN que se usan para el inicio de sesión único pueden contener letras, números, puntos, guiones y guiones bajos, pero no otros tipos de caracteres.
Para agregar un sufijo de UPN alternativo
1. Haz clic en Inicio, Herramientas administrativas y luego en Dominios y confianzas de Active Directory.
2. Iniciar sesión en los controladores de dominio de Active Directory de su organización 3. En el árbol de consola, haz clic con el botón secundario en Dominios y confianzas de Active
Directory y después haz clic en Propiedades. 4. Selecciona la pestaña Sufijos de UPN, escribe un sufijo de UPN alternativo para el bosque y
luego haz clic en Agregar. 5. Repite el paso 3 para agregar más sufijos de UPN alternativos
Revisar requisitos de equipo para la sincronización de directorios
En esta sección se describen los requisitos del equipo para ejecutar la Herramienta de sincronización de directorios. La Herramienta de sincronización de directorios se comunica con los servidores del controlador de dominio. La instalación predeterminada de la Herramienta de sincronización de directorios incluye una versión de Microsoft SQL Server 2012 Express SP1.
El equipo de la sincronización de directorios debe cumplir los requisitos siguientes:
Debes ejecutar Windows Server como sistema operativo. Las siguientes versiones de sistema operativo de Windows Server son compatibles:
o Edición de 64 bits de Windows Server 2008 Standard, Enterprise o Datacenter con SP1 o posterior
o Windows Server 2008 R2 Standard, Enterprise o Datacenter Edition con SP1 o posterior
o Windows Server 2012 Standard o Datacenter
o Windows Server 2012 R2 Standard o Datacenter
Debe estar unido a Active Directory. El equipo debe estar unido al bosque de Active Directory que planee sincronizar. Para el escenario de coexistencia enriquecida, es un requisito puesto que el servidor de DirSync enumera explícitamente y llega a todos los
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
controladores de dominio del bosque para establecer permisos de escritura diferida. Este no es el caso si no tiene habilitada una implementación híbrida.
El equipo también debe poder conectarse al resto de controladores de dominio para todos los dominios del bosque. Un bosque es uno o más dominios de Active Directory que comparten las mismas definiciones de clase y atributo, información del sitio y de replicación, y capacidades de búsqueda en todo el bosque.
Debe ejecutar Microsoft .NET Framework 3.5 SP1 y Microsoft .NET Framework 4.5.1 Si ejecuta Windows Server 2008, .NET Framework ya estará instalado; en otro caso, puede descargarlo de las siguientes ubicaciones:
o Microsoft .NET Framework 3.5 Service Pack 1
o Microsoft .NET Framework 4.5.1
Debe ejecutar Windows PowerShell: Si estás ejecutando Windows Server 2003, debes descargar Windows PowerShell. Si estás ejecutando Windows Server 2008, debes habilitar Windows PowerShell. Para obtener más información, vea Instalar Windows PowerShell en el equipo de sincronización de directorios.
Debe estar ubicado en un entorno con control de acceso. El acceso al equipo que está ejecutando la Herramienta de sincronización de directorios debe limitarse a los usuarios que tienen acceso a sus controladores de dominio de Active Directory y otros componentes de red sensibles. Solo los usuarios o administradores que tienen los permisos necesarios para realizar cambios en controladores de dominio en Active Directory pueden tener acceso a este equipo.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Auditoría de Active Directory
Para ayudar a garantizar una transición perfecta a Office 365 por medio de la sincronización, se recomienda que prepare el bosque de Active Directory antes de empezar la implementación de sincronización de directorios de Office 365.
Fundamentalmente, céntrese en las siguientes correcciones:
Quite los atributos proxyAddress y userPrincipalName duplicados. Actualice los atributos userPrincipalName no válidos o en blanco con atributos
userPrincipalName válidos. Quite los caracteres no válidos o dudosos de los atributos givenName, surname (sn),
sAMAccountName, displayName, mail, proxyAddresses, mailNickname y userPrincipalName.
Active Directory Auditoría
Una organización puede usar la auditoría de Active Directory para capturar y evaluar los eventos asociados a la sincronización de directorios, por ejemplo, la creación de usuarios, el restablecimiento de contraseñas, la adición de usuarios a grupos, etc. Si implementa la sincronización de directorios, la auditoría capturará los registros de los servicios de directorio de los controladores de dominio de Active Directory. El registro de seguridad puede deshabilitarse de forma predeterminada, por lo que se recomienda aprender a habilitarlo para la organización.
Consideraciones de implementación de bosques múltiples
La Herramienta de sincronización de directorios sincroniza con un bosque de Active Directory local de inicio de sesión único (SSO). Si la organización usa varios bosques para la autenticación (bosques de inicio de sesión) y quiere usar la Herramienta de sincronización de directorios, se recomienda realizar las siguientes acciones:
Evaluar la consolidación de los bosques. Por lo general, el mantenimiento de varios bosques es más complejo. Si las restricciones de seguridad de su organización no imponen el uso de bosques independientes, considere la posibilidad de simplificar el entorno local antes de implementar la Herramienta de sincronización de directorios.
Usar únicamente el bosque de inicio de sesión principal. Para la distribución inicial de Office 365, plantéese implementar Office 365 únicamente en el bosque de inicio de sesión principal.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Acerca de la Herramienta de sincronización de directorios
La sincronización de directorios es la sincronización de objetos de directorio (usuarios, grupos y contactos) de su entorno de Active Directory local con la infraestructura de directorios de Office 365. La Herramienta de sincronización de directorios realiza esta sincronización. Debe instalar esta herramienta en un equipo dedicado de su entorno local.
Al sincronizar por primera vez las cuentas de usuario con el directorio de Office 365, se marcan como no activadas. No pueden enviar o recibir correo ni consumen licencias de suscripción. Cuando esté listo para asignar suscripciones de Office 365 a usuarios específicos, debe seleccionarlos y activarlos asignándoles una licencia válida.
La Herramienta de sincronización de directorios es necesaria para las siguientes funciones:
SSO. Coexistencia de Lync. Implementación híbrida de Exchange, que incluye:
o Una lista global de direcciones (LGD) totalmente compartida entre el entorno Exchange local y Exchange Online.
o Sincronización de información de LGD desde varios sistemas de correo. o La capacidad de agregar usuarios a las ofertas de servicios de Office 365 y de
eliminarlos. Para esto es necesario: La sincronización bidireccional se debe configurar durante la configuración
de la Herramienta de sincronización de directorios. De forma predeterminada, la Herramienta de sincronización de directorios solo escribe información de directorio en la nube. Cuando configura la sincronización bidireccional, habilita la función escritura diferida de modo que la Herramienta de sincronización de directorios copia una cantidad limitada de atributos de objeto desde la nube y luego los vuelve a escribir en la instancia local de Active Directory. La escritura diferida también se denomina "modo híbrido de Exchange" en el contexto de la configuración de la Herramienta de sincronización de directorios. En secciones posteriores de este tema encontrará más información sobre los atributos que se sincronizan durante la escritura diferida.
Una implementación híbrida de Exchange local o La capacidad de desplazar buzones de correo de usuario a Office 365 al mismo
tiempo que se conservan otros buzones de correo de usuario locales. o Los remitentes seguros y remitentes bloqueados locales se replican en Exchange
Online. o Función de delegación básica y envío en nombre de otra persona.
Sincronización de fotos, miniaturas, salas de conferencias y grupos de seguridad. Filtrado y ámbito. Para obtener más información, vea Configurar el filtrado para la
sincronización de directorios.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Permisos necesarios para la instalación
Para instalar la Herramienta de sincronización de directorios, necesitará derechos de administración de empresas únicamente durante el proceso de instalación. Tras la instalación de la herramienta, será necesaria una cuenta de Active Directory sin privilegios. Esta cuenta se crea automáticamente al instalarse la Herramienta de sincronización de directorios.
Programación de capacidades
Para implementar la Herramienta de sincronización de directorios, necesita planear la capacidad de la base de datos y la sincronización. En la mayoría de las organizaciones, los objetos de usuario suponen la mayor carga de sincronización y tienen influencia tanto en los tiempos de sincronización como en el tamaño de la base de datos del servidor de la Herramienta de sincronización de directorios.
Sincronización bidireccional
La sincronización bidireccional (escritura diferida) es necesaria si su organización tiene pensado aprovechar las funciones de Office 365 como, por ejemplo, el archivado en línea, la configuración de remitentes seguros y bloqueados, y el correo de voz en la nube. La escritura diferida copia los atributos necesarios en su entorno de Active Directory local desde la infraestructura de directorios de Office 365.
En la tabla siguiente se muestran las funciones proporcionadas por la sincronización bidireccional de directorios y los atributos asociados que se copian desde el directorio de Office 365 de nuevo al directorio local.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Función Descripción Atributo de escritura diferida
Coexistencia de filtrado
Escribe en diferido datos sobre filtrado local y remitentes
seguros/bloqueados en línea de clientes.
SafeSendersHash
BlockedSendersHash
SafeRecipientsHash
Archivo en línea Permite a su organización archivar correo electrónico en Office 365.
msExchArchiveStatus
Eliminación del buzón de correo
Permite a su organización desplazar buzones de correo de la nube a su
organización local.
ProxyAddresses (LegacyExchangeDN) (LegacyDN
en línea) como X500
Habilitar correo de voz en línea de
mensajería unificada (MU)
Le permite integrar la MU y Lync para indicar a Lync local que el usuario tiene correo de voz en Office 365.
(Este atributo es nuevo. Solo se puede usar para esta integración).
msExchUCVoiceMailSettings
Delegados Permite a los usuarios administrar los buzones de correo de otros usuarios.
PublicDelegates
Si la organización tiene preocupaciones sobre la configuración de la sincronización bidireccional, plantéese crear una cuenta de servicio sin privilegios en el directorio local. Asigne permisos de escritura en esta nueva cuenta de servicio solo a los atributos definidos anteriormente.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
2. Instalar y configurar AD FS 2.0
Añadir un nuevo dominio en Office 365 Si desea agregar su propio dominio personalizado a Office 365 y también tiene previsto migrar el correo electrónico de los usuarios a Office 365, use las instrucciones siguientes para agilizar el proceso.
1. Agregue y compruebe su dominio en Office 365 (pero todavía no cambie sus registros de nombre de servidor).
2. Cree usuarios y buzones de correo en ese dominio. Use el mismo alias de correo electrónico que el que se usa para estos usuarios en el servicio de correo existente.
3. Cambie los registros de servidor de nombres para que señale a los servidores de nombres Office 365. El asistente para agregar dominios proporcionará los valores del registro de servidor de nombre que debe usar.
El correo seguirá enrutándose a su proveedor existente hasta el paso 2 anterior (inclusivo). Una vez que se hayan cambiado los registros de servidor de nombres, el correo comenzará a enrutarse a Exchange Online. Tenga en cuenta que debido a que su registro MX anterior podría estar almacenado en caché en distintos servidores DNS no autoritativo o en otros servidores de correo en la Web, es posible que durante un tiempo reciba correo electrónico en su proveedor de correo anterior Y en Exchange Online. Sin embargo, a medida que expiren las memorias caché de DNS y dichos sistemas hagan una nueva solicitud para el registro MX de su dominio, obtendrán las direcciones de Office 365.
Si sigue este método, no debería perder ningún correo electrónico durante la migración a Office 365.
NOTA: SI estamos migrando desde gmail, cuando el sistema solicite agregar los registros DNS en el dominio te recomiendo que selecciones registrar esos cambios en el DNS de manera manual, agrégalos todos menos el MX hasta después de migrar todos los buzones desde gmail para que mientras los buzones de migren y se estén actualizando cada 24 horas los email sigan entrando por gmail y puedan salir o enviarse desde gmail o Exchange online.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
AD FS 2.0 = http://www.microsoft.com/en-us/download/details.aspx?id=10909
Ejecutamos el AdfsSetup.exe para instalar la consola de AD FS 2.0
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Obtener un certificado comodín para usarlo con ADFS
1. En el servidor ADFS entramos a la consola de IIS
2. Nos ubicamos en el servidor IIS, al lado derecho entramos a Certificados del Servidor.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
3. Clic en Create Certificate Request.
4. Siga el procedimiento. Se recomienda como nombre común *.nombredominio.com.co o .com o .co o .XXX acorde a tu dominio.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Se recomienda guardar el archivo con la siguiente ruta y nombre: C:\Certificate\nombredominio.XXX
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
5. La solicitud resultante de este certificado lo debemos gestionar por una entidad certificadora, sino tenemos el dinero para comprar un certificado publico entonces debemos instalar el rol CA en el Active Directory y desde este producir el certificar *.CER
6. Ahora debemos importar el *.CER (Certificado) en la consola del IIS. Volvemos a Certificados del Servidor en la consola del IIS, clic en Complete
Certificate Request.
Cargar el archivo *.CER (Certificado) En Friendly name colocamos el mismo nombre común que digitamos en el punto 4.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Como resultado si todo sale bien aparecerá el certificado cargado en Certificados del Servidor.
Ahora seleccionamos Default Web Site del servidor en la consola del IIS. En la parte superior derecha de al consola del IIS clic en Bindings…
Clic en Add…
Seleccionamos https y en SSL certificate seleccionamos el certificado *.CER que importamos puntos anteriores.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Así debe quedar después de importar el certificado.
Clic en Close.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Configurar AD FS 2.0
1. Ingresamos en la consola de AD FS 2.0 y seleccionamos AD FS 2.0 Federation Server Configuration Wizard.
2. Siga paso a paso el procedimiento como se muestra:
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
AD FS tomara el certificado SSL que montamos anteriormente desde la consola del IIS.
Se recomienda definir la url sencilla, esta URL es donde seremos redireccionados desde Office 365 para iniciar sesión cuando detecte que nuestra cuenta pertenece a un dominio federado.
Ejemplos: federation.xxxx.xxx o fs.xxxx.xxx
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Selecciona el usuario del AD que administrara o gestionara el servicio de AD FS, se recomienda que se cree un usuario nuevo en el AD local y que se utilice única y exclusivamente para esta configuración.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Verifica lo siguiente:
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Instale el módulo Windows Azure Active Directory para Windows PowerShell
1. Inicie session en Office 365. [email protected] 2. Vaya a Usuarios y clic en la parte superior en Inicio de sesión único: Configurar
3. Ahora descarga el PowerShell de Azure AD.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
4. En el servidor de AD FS 2.0 se debe instalar el módulo de azure directory para Windows powershell.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Establecer la relación de confianza y convertir el dominio a federado en Office 365 (PowerShell)
1. Escribe en la consola $cred=Get-Credential 2. Se solicitaran las credenciales de login de Office 365, ingresa las credenciales.
3. Ahora ejecuta Connect-MsolService -Credential $cred
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
4. Recordar que el dominio que queremos federar con office 365 ya lo agregamos desde el portal de administración, ahora desde seguimos en PowerShell de Azure y ejecutamos el siguiente comando para convertir ese dominio en un dominio federado: Convert-MsolDomainToFederated –DomainName xxx.xxx.x (donde xxx.xxx.x es el nombre del dominio) Nos debe dar como resultado en la consola el siguiente mensaje: Successfully updated ‘xxx.xxx.xx’ domain.
5. Para verificar que la conversión ha funcionado, compare la configuración del servidor AD FS y de Azure AD mediante la ejecución de Get-MsolFederationProperty –DomainName <domain>, en el que <domain> corresponde al dominio cuya configuración desea visualizar. Si no coinciden, puede ejecutar Update-MsolFederatedDomain –DomainName <domain> para sincronizar la configuración.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
3. Instalar y configurar DirSync
Instale Windows Azure Active Directory Sync tool Configuration Wizard
1. Inicie session en Office 365. [email protected] 2. Vaya a Usuarios y clic en la parte superior en Inicio de sesión único: Configurar
3. Ahora debemos Activar la Sincronización de Active Directory en Office 365
4. Instalar y ejecutar corrección de errores de DirSync
¿Por qué debo usar IdFix antes de sincronizar mi directorio con Office 365?
La respuesta breve es que usar IdFix le permite ahorrar tiempo y dinero, incluso en el caso de que su directorio local no tenga problemas de ejecución. Una pequeña cantidad de errores puede generar una gran cantidad de errores que deberá corregir de forma manual. Esto puede retrasar una implementación y aumentar notablemente los gastos del proyecto.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
La herramienta IdFix comprueba los valores que pueden generar problemas con los servicios en la nube en Office 365, pero que quizás no ocasionan problemas en su entorno local. La tarea de limpieza se centra en los errores de sincronización del directorio que IdFix detecta aunque su entorno local funcione correctamente.
Instalar IdFix
Para instalar IdFix, descargue y descomprima IdFix.exe tal como se describe en estos pasos:
1. Inicie sesión en el equipo donde quiere instalar la herramienta IdFix. 2. Vaya al sitio de descarga de Microsoft para bajarse la Herramienta de corrección de
errores de sincronización de directorios IdFix. 3. Haga clic en Descargar. 4. Cuando aparezca, haga clic en Ejecutar. 5. En el cuadro de diálogo Autoextractor WinZip, en el cuadro de texto Descomprimir en
carpeta, escriba o busque la ubicación donde quiere instalar la herramienta IdFix. De forma predeterminada, IdFix se instala en C:\Deployment Tools\.
6. Haga clic en Descomprimir.
Ejecutar la herramienta IdFix
Después de instalar IdFix, ejecute la herramienta para buscar problemas en el directorio:
1. Con una cuenta que tenga acceso de lectura y escritura en el directorio, inicie sesión en el equipo donde ha instalado IdFix.
2. En el Explorador de archivos, vaya a la ubicación donde instaló IdFix. Si ha elegido la carpeta predeterminada durante la instalación, vaya a C:\Deployment Tools\IdFix.
3. Haga doble clic en IdFix.exe.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
4. De forma predeterminada, IdFix usa el conjunto de reglas de multiempresa para probar las entradas del directorio. Este conjunto de reglas vale para la mayoría de los clientes de Office 365. Sin embargo, si es cliente de Office 365 Dedicado o ITAR (Reglamento internacional de tráfico de armas), puede configurar IdFix para que use el conjunto de reglas dedicadas. Si no está seguro de qué tipo de cliente es, omita este paso. Para establecer el conjunto de reglas en Dedicado, haga clic en el icono del engranaje en la barra de menús y luego haga clic en Dedicado.
5. Haga clic en Consultar.
6. De forma predeterminada, IdFix busca errores en todo el directorio.
El tiempo que se tarde en ejecutar la consulta depende del tamaño del directorio. Puede ver el progreso en la parte inferior de la ventana principal de la herramienta. Si hace clic en Cancelar, tendrá que volver al principio.
Cuando IdFix termina la consulta, y si no hay ningún error en el directorio, puede seguir
adelante y sincronizar su directorio. Si hay errores en el directorio, se recomienda
corregirlos antes de sincronizar.
¿Qué tipo de experiencia necesito para usar IdFix correctamente?IdFix está diseñado para
los administradores de Active Directory Domain Services (AD DS) que se encargan del
soporte técnico de Office 365 en su empresa. El administrador que use la herramienta debe
comprender las consecuencias que implica modificar objetos y atributos del directorio. No
obstante, cualquier persona que necesite implementar Office 365 y sea responsable de
trasladar usuarios y grupos a Office 365 puede usar la herramienta y corregir los errores sin
problema. Hay un conjunto de instrucciones disponibles para aquellas personas que tienen
poco tiempo y no tienen mucha experiencia en AD DS. Si no sabe qué son los objetos y los
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
atributos, no hay problema. Puede seguir las instrucciones descritas en Instalar y ejecutar
la herramienta IdFix de Office 365. En los otros temas de esta sección se proporciona
información más detallada sobre la herramienta que probablemente no le resulte necesaria,
ya que está dirigida a administradores más avanzados de AD DS.
Si el directorio no es el último origen de autoridad, es posible que deba corregir los errores
primero fuera del directorio.
En algunos entornos, el directorio no es el último origen de autoridad de sus propios datos;
por ejemplo, puede haber un sistema de RR. HH. que sobrescriba los nombres de los
empleados en el directorio. Si su directorio no es el último origen de autoridad, deberá
asegurarse de que los errores identificados por IdFix que provengan de otro origen que no
sea el directorio se corrijan en el origen correspondiente. De lo contrario, puede corregir el
atributo con IdFix solo para que el otro sistema de administración de identidades
sobrescriba el cambio en el directorio.
5. Instalación de DirSync tool
Antes de instalar asegúrate que el usuario con que iniciaste sesión en el servidor pertenezca al
grupo correspondiente de DirSync.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Antes de instalar asegúrate que el servicio de Azure AD este suscripto y activo en su tenant de
Office 365 de la siguiente manera:
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Ejecute el *.exe que descargo desde Office 365 y siga los pasos de la instalación como se muestra:
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Inicia “Directory Sync Configuration” para establecer la conexión y los permisos
correspondientes con Azure AD.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Sigue le proceso de configuración como se indica:
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Ahora debes comenzar a verificar en el portal administrativo de Office 365 en Usuarios que los
usuarios del Active Directory local se estén cargando y mostrando paulatinamente.
Después debemos mirar cuales fueron los usuarios que se sincronizaron con errores para
analizarlos y corregirlos.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Depuración de atributos de Usuarios (AD)
A veces tenemos que depurar ciertos atributos en los usuarios del active directory local para que
la sincronización se haga correctamente y no se presenten inconvenientes cuando asignamos
licencias a los usuarios sincronizados desde el portal de administración de office 365.
1. Tenemos dos formas de editar los atributos de un objeto User en un Active Directory:
a. Inicio – Herramientas Administrativas – Active Directory Users and Computers – OU
de los usuarios – Propiedades de un Usuario – Pestaña Editor de Atributos.
b. Inicio – Herramientas Administrativas – ADSI Edit – Conectamos con Default naming
context y buscamos los usuarios que debemos depurar.
Esta imagen muestra el primer método.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
2. Ahora estando en Propiedades del Usuario en la pestaña Editor de Atributos debemos buscar
los parámetros que empiezan con “msExchXXXX” y todos absolutamente todos deben tener
como valor <not set>.
NOTA IMPORTANTE: Esto aplica para una migración a Exchange Online desde Gmail como
en este lab, si la migración fuera desde Exchange Local a Exchange Online NO tendríamos
que depurar estos atributos.
3. Ahora es el momento para comprobar que los usuarios pueden entrar con a office 365 con
las mismas credenciales del active directory local que son las credenciales con las que inician
en su equipo de escritorio y/o portátil.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
4. CREAR MAESTRO DE MIGRACIÓN GMAIL
Para activar uno o más usuarios
1. En función del portal que use, en el panel izquierdo, haga clic en Usuarios o Usuarios y grupos.
2. Active la casilla junto a los usuarios que desea activar y luego haga clic en Activar usuarios sincronizados.
Nota:
Para acceder a todos los usuarios sincronizados desde el servicio de Active Directory, puede
crear una vista personalizada de dichos usuarios en la lista desplegable Ver. Para ello,
active la casilla junto a Solo usuarios sincronizados en la página Nueva vista cuando cree
la vista. Una vez creada la vista, vuelva a este paso del procedimiento, seleccione la nueva
vista en la lista desplegable Ver y luego active la casilla de la parte superior en la lista de
usuarios para seleccionar a todos los usuarios de esa vista. Verá que aparece un icono de
sincronización junto al nombre para mostrar de todos los usuarios sincronizados.
3. En Establecer ubicación de usuario, seleccione la ubicación de trabajo de los usuarios. Si desea asignar licencias a los usuarios, vaya al paso 5 de este procedimiento. Si no desea asignar licencias en este momento, haga clic en Siguiente y vaya al paso 6 de este procedimiento.
4. En Asignar licencias, seleccione las licencias que quiera asignar a los usuarios y luego haga clic en Siguiente.
5. En la página Resultados aparecerá la asignación de licencias a los usuarios seleccionados, no se cambiaran las contraseñas ya que se tomaran las mismas de los usuarios que tienen asignadas en el active directory local.
6. Haga clic en Finalizar.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
5. Migración de buzones de Gmail a Exchange Online por lotes
Para esta tarea, se crea un archivo de migración que contiene una lista de buzones Gmail para migrar a Office 365. La manera más sencilla para crear el archivo de migración es mediante Excel; por tanto, usamos Excel en estas instrucciones. Puede utilizar Excel 2013, Excel 2010 o Excel 2007.
Al crear el archivo de migración, necesita saber la contraseña de cada buzón Gmail que desee migrar. Suponemos que no conoce las contraseñas de usuario, de modo que probablemente necesitará asignar contraseñas temporales (restableciendo las contraseñas) a todos los buzones durante la migración. Debe ser un administrador de Google Apps para restablecer las contraseñas.
No es necesario migrar todos los buzones Gmail a la vez. Lo puede realizar por lotes, según su conveniencia. Puede incluir hasta 50.000 buzones (una fila para cada usuario) en su archivo de migración. El archivo puede tener un máximo de 10 MB.
Para crear el archivo de migración
1. Inicie sesión en la consola de administración de Google con su usuario y contraseña de administrador.
2. Una vez haya iniciado sesión, elija Usuarios.
3. Desplace el puntero sobre cada nombre para identificar cada dirección de correo electrónico del usuario. Anote la dirección.
4. Para restablecer la contraseña de cada usuario, desplace el puntero sobre cada nombre de usuario y elija Restablecer contraseña. Restablezca la contraseña y escriba la contraseña nueva debajo, junto al nombre de usuario en cuestión.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
5. Inicie sesión en el centro de administración de Office 365 y diríjase a USUARIOS > Usuarios activos. Esté pendiente de la columna NOMBRE DE USUARIO. Usará esta información en un minuto. Deje también la Centro de administración de Office 365 ventana abierta.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
6. Iniciar Excel. 7. Utilice la siguiente captura de pantalla como plantilla para crear el archivo de migración en
Excel. Comience con los títulos en la fila 1. Asegúrese de que coinciden exactamente con la imagen y que no contienen espacios. Los nombres de título exactos son:
o Dirección de correo electrónico en la celda A1. o Usuario en la celda B1. o Contraseña en la celda C1.
8. Luego, introduzca la dirección de correo electrónico, nombre de usuario y contraseña de cada buzón que desee migrar. Introduzca un buzón por fila.
o Columna A es la dirección de correo electrónico del Office 365 buzón. Esto es lo que se muestra en la columna NOMBRE DE USUARIO en usuarios y grupos en el Centro de administración de Office 365.
o Columna B es el nombre de inicio de sesión para el buzón de usuario de Gmail (por ejemplo, [email protected]).
o Columna C es la contraseña del buzón de usuario de Gmail.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
9. Guarde el archivo como un CSV y luego cierre Excel.
Conectarse a Office 365 Gmail
Para migrar los buzones de Gmail correctamente, Office 365 es necesario conectarse y comunicarse con Gmail. Para ello, Office 365 utiliza un punto final de migración. El punto final de migración es un término técnico que describe los ajustes que se utilizan para crear la conexión para poder migrar los buzones. Se crea el punto final de migración en esta tarea.
Crear la conexión entre Office 365 y Gmail
1. Vaya al Centro de administración de Exchange. 2. En Centro de administración de Exchange, vaya a Destinatarios > Migración > Más >
Puntos finales de migración.
3. Elija Nuevo para crear un nuevo punto final de migración. 4. En la página Seleccionar el tipo de punto final de migración, elija IMAP. 5. En la página Configuración de migración IMAP, establezca servidor IMAP para
imap.gmail.com y mantenga los valores predeterminados del mismo. 6. Elija Siguiente. El servicio de migración utiliza los ajustes para comprobar la conexión al
sistema de Gmail. Si la conexión funciona, se abre la página Introducir información general. 7. En la página Introducir información general, escriba un Nombre de punto final de migración,
por ejemplo, Prueba5-puntofinal. Deje los otros dos cuadros en blanco para utilizar los valores predeterminados.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
8. Elija Nuevo para crear el punto final de migración.
Migrar los buzones Gmail
Utilice un lote de migración para migrar grupos de buzones Gmail a Office 365 al mismo tiempo. El lote consiste en los buzones Gmail que ha enumerado en el archivo de migración en la anterior tarea.
Sugerencias Es una buena idea crear un lote de migración de prueba con pocos buzones para probar primero el proceso.
Use archivos de migración con el mismo número de filas y ejecute los lotes a una hora similar durante el día. A continuación, compare el tiempo total de funcionamiento para cada lote de prueba. Esto le ayuda a calcular aproximadamente cuánto tiempo podría llevar migrar todos sus buzones, lo grande que deberá ser cada lote de migración y cuántas conexiones simultáneas al sistema de correo electrónico de origen deberá usar para equilibrar la velocidad de migración y el ancho de banda de Internet.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Crear un lote de migración y comenzar a migrar buzones Gmail:
1. En la Centro de administración de Office 365, elija Administrador > Exchange.
2. En Centro de administración de Exchange, vaya a Destinatarios > Migración. 3. Elija Nuevo > Migrar a Exchange Online.
4. Seleccione Migración IMAP > Siguiente. 5. En la página Seleccionar los usuarios, seleccione Examinar para especificar el archivo de
migración que ha creado. Después de seleccionar el archivo de migración, Office 365 lo comprueba para asegurarse de lo siguiente:
o No está vacío. o Utiliza un formato delimitado por comas. o No contiene más de 50.000 filas. o Incluye los atributos necesarios en la fila de encabezado. o Contiene filas con el mismo número de columnas que la fila de encabezado.
Si cualquiera de estos controles falla, se mostrará un error que describirá el motivo del fallo. Si hay un error, deberá que corregir el archivo de migración y volver a enviarlo para crear un lote de migración.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
6. Después que Office 365 valide el archivo de migración, se muestra el número de usuarios enumerados en el archivo, así como el número de buzones Gmail para migrar.
7. Elija Siguiente. 8. En la página Establecer el punto final de migración, seleccione el punto final de migración
creado en el paso anterior y, a continuación, elija Siguiente. 9. En la página Configuración de migración IMAP, acepte los valores predeterminados y, a
continuación, elija Siguiente. 10. En la página Cambiar la configuración, escriba el nombre (sin espacios ni caracteres
especiales) del lote de migración en el cuadro (por ejemplo, Prueba5-migración). El nombre que se muestra por defecto de lote de migración es el nombre del archivo de migración que ha especificado. El nombre del lote migración se muestra en la lista del panel de migración después de crear el lote.
También puede escribir los nombres de las carpetas que desea excluir de la migración. Por ejemplo, Compartida, Correo electrónico no deseado y Eliminado. Elija Agregar para agregarlos a la lista de excluidos. También puede usar el icono editar para cambiar un nombre de carpeta y el icono eliminar para eliminar el nombre de la carpeta.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
11. Elija Siguiente 12. En la página Iniciar el proceso por lotes, haga lo siguiente:
o Seleccione Examinar para enviar una copia de los informes de migración para otros usuarios. Por defecto, los informes de migración se le envían por correo electrónico. También puede acceder a los informes de migración desde la página de propiedades del lote de migración.
o Elija Iniciar el lote automáticamente > Nuevo. La migración se inicia inmediatamente con el estado Sincronizando.
www.ragazome.info Libertad de Conocimiento / Libertad de Aprendizaje
Comprobar que la migración ha funcionado
En el Centro de administración de Exchange, vaya a Destinatarios > Migración. Compruebe que el lote se muestra en el panel de migración. Si la migración se completó correctamente, el estado es Sincronizado.
Si esta tarea falla, consulte el informe de estado de los buzones asociados para errores específicos y asegúrese de que el archivo de migración tiene la dirección de correo electrónico Office 365 correcta en la columna DirecciónCorreoElectrónico.
Para comprobar que una migración del buzón se ha realizado con éxito en Office 365
Pregunte a sus usuarios migrados para completar las siguientes tareas: o Vaya a la página Inicio de sesión de Office 365 e inicie sesión con su nombre de
usuario y una contraseña temporal. o Actualizar su contraseña y establecer su zona horaria. Es importante que seleccione
la zona horaria correcta para asegurarse de que el calendario y la configuración del correo electrónico son correctos.
o Cuando Outlook Web App se abra, envíe un mensaje de correo electrónico a otro usuario de Office 365 para comprobar que se pueden enviar mensajes.
o Seleccione Outlook y compruebe que todos los mensajes de correo electrónico y carpetas están ahí.
Para eliminar un lote de migración
1. En Centro de administración de Exchange, vaya a Destinatarios > Migración. 2. En el panel de migración, seleccione el lote y, a continuación, haga clic en Eliminar.
Para confirmar que la eliminación ha funcionado
En Centro de administración de Exchange, vaya a Destinatarios > Migración. Compruebe que el lote de migración ya no se encuentra en el panel de migración.