[Exchange 2013] Bloquer la console d'administration (EAC) depuis Internet

Avec Exchange 2013 administrer son organisation se fait aussi bien en mode powershell qu'en mode graphique depuis l'EAC.
Cette interface graphique n'est autre qu'une version web de la console d'administration correspondant au Vdir Exchange Control Panel.
En tant qu'administrateur Exchange, il arrive de passer par l'interface graphique pour des tâches assez simple comme la création de connecteur, de boite aux lettres...

Toutefois, lorsque vous publiez les sevices de messagerie Exchange 2013 sur Internet, il faut à minima publié l'OWA et l'ECP permettant ainsi à un utilisateur de modifier ses "options" de messagerie.
Vous obtenez par exemple un accès externe "https://mail.mondomain.fr/owa" et pour les options l'URL "https://mail.mondomain.fr/ecp"

Cette derniere URL permet aussi d'administrer son organisation depuis Internet, ce qui peut être une "faille" de sécurité.
Microsoft permet de bloquer l'administration depuis Internet à l'aide de la cmdlet Set-EcpVirtualDirectory et le paramètre -AdminEnabled $False
(mon ancien post à ce sujet : ici)

Mais comment le système sait qu'on y accède depuis le réseau interne et/ou depuis Internet ? La réponse est simple...il ne le sait pas et de ce fait -AdminEnabled $False bloque aussi l'administration via l'EAC depuis le réseau interne. L'administrateur est alors dirigé sur les options liées à sa boite aux lettres...

Il existe toute de même un moyen d'y parvenir et pour cela il faut:
1/ Désactiver l'accès à l'EAC (http://technet.microsoft.com/fr-fr/library/jj218639.aspx)
1/ Créer un nouveau Site Web
2/ Créer et configurer un nouveau VDir OWA à ce nouveau Site Web
3/ Créer et configurer un nouveau VDir ECP à ce nouveau Site Web

Une fois le nouveau Site Web créé

Créer les VDirs:

-> OWA
New-OwaVirtualDirectory -Server ServerName -WebSiteName AdminECP -InternalUrl https://adminecp.domain.fr/owa

-> ECP
New-EcpVirtualDirectory -Server ServerName -WebSiteName AdminECP -InternalUrl https://adminecp.domain.fr/ecp

Configurer ainsi le nom d'hôte associé (ici adminecp.domain.fr) et dans mon exemple, le certificat correspond au certificat wildcard présent dans mon organisation.

Il suffit alors de se connecter à l'EAC depuis le réseau interne via https://adminecp.domain.fr/ecp

Cheers

[Exchange 2010] Office 365/Hybride - Le nouveau certificat n'apparait pas...

Récemment chez un de mes clients, nous sommes intervenus pour remettre à jour le "mode hybride" suite au renouvellement du certificat pour Microsoft Exchange Server 2010.

Cependant, en relançant l'assistant (appelé aussi HCW) nous constatons que le nouveau certificat n'est pas affiché dans le menu déroulant, bien que celui ci soit valide et assigné aux services SMTP et IIS.

Le certificat présenté est l'ancien...comme indiqué dans l'image ci dessus.

Contrairement à Microsoft Exchange Server 2013,  où le HCW propose le nouveau certificat, ici la manipulation nécessaire, consistait à :

- Supprimer l'ancien certificat (via mmc)

- Rafraîchir la console EMC

- Relancer le HCW et la le nouveau certificat en place était visible

Il est vrai que le HCW version Exchange 2010 ne fonctionne jamais du premier coup...par expérience il ne faut pas paniquer et le relancer à plusieurs reprises pour que les changements soient pris en compte ;-)

Cheers

[Office365] Forcer une réplication WAAD

Comme dans les versions précedentes de 'Dirsync', il est possible de forcer la synchronisation vers Windows Azure et de ce fait Microsoft Office 365.

Pour ce faire, ouvrir un invite de commandes et se placer dans :

"C:\Program Files\Microsoft Azure AD Sync\Bin"

et lancer DirectorySyncClientCmd.exe

Par défaut une synchronisation "Delta" est exécutée  toutefois il est possible de lancer une "Full" en exécutant "DirectorySyncClientCmd.exe Initial"

Pour ouvrir la console FIM et vérifier les synchronisations

"C:\Program Files\Microsoft Azure AD Sync\UIShell\miisclient.exe"

La synchronisation est configurée, par défaut, pour se lancer toutes les 3 heures. Une tâche planifiée est créée lors de la configuration de l'outil.

Il est alors possible de changer l'intervalle de synchronisation.

Cheers

[OFFICE365] ADFS 3.0 & HLB KEMP

Dans mon environnement hybride Exchange 2013/Office 365, j'ai voulu tester la mise en place de l'authentification unique (SSO) à l'aide de l'ADFS 3.0.

Après avoir monté 4 serveurs (2 Proxy ADFS et 2 ADFS) j'ai suivi les recommandations de l'éditeur et mis en place un équilibrage de charge pour ces services à l'aide d'un KEMP VLM200.

Toutefois cela n'a fonctionné du premier coup malgré l'utilisation du guide ;-)

Ci-dessous, ce qu'il faut configurer pour que cela fonctionne correctement:

Pour rappel avec l'ADFS 3.0, il n'y a plus d'adhérence avec IIS et le boitier doit être capable de prendre en charge le SNI.

Hypothèse: Les templates de configuration ont été installés et le certificat ajouté au boitier Kemp.

Ici la version du firmware est le 7.1-20b

1/ Entrer la VIP puis selectionner le template à utiliser et cliquer sur "Add This Virtual Service"

2/ Dans la section "SSL Properties", ajouter le certificat (Assigned Certificates) et ajouter le "SNI Hostname" comme par exmeple "sts.domain.net".

3/ Dans la section "Real Servers", ajouter à nouveau le nom d'hôte dans le champ "HTTP/1.1 Host" (information non présente dans le guide de l'éditeur). Cliquer ensuite sur "Add New..." pour ajouter les serveurs ADFS.

4/ Entrer l'IP des serveurs ADFS

5/ Répeter la même opération pour les Proxy ADFS, en selectionnant le template associé, mais une fois dans la section "Real Servers", cocher la case "Use HTTP/1.1" et entrer le nom d'hôte comme indiqué à l'étape 3.

Une fois les étapes réalisées vous pouvez vérifier en allant dans "Statistics" puis "Virtual Services"

Merci à Darren du Support Kemp pour son assistance.

Microsoft MVP Award 2014

Ce mercredi 1er octobre, j'ai appris avec beaucoup de plaisir et d'honneur, ma nomination au titre de Microsoft MVP Exchange Server pour l'année 2014.

Ce titre ne vient pas seul et je tiens à remercier tout particulièrement ma femme pour sa grande patience, Microsoft pour sa grande reconnaissance et toute la communauté qui gravite autour de cet écosystème avec qui j'ai le plaisir d'échanger et d'avancer tous les jours.

Mon profil est consultable ici

A très bientôt

[Exchange 2013/Office365] Migration vers Exchange Online: Taille de boite incohérente !

Voulant tester la migration d'une boite contenant des pièces jointes assez grosse, je me retrouve confronté à un "bug" assez inexplicable !

La boite aux lettres fait environ 120 MB mais la migration me donne des informations assez erronées comme ci dessous :

Je me retrouve avec une migration qui tourne depuis 10 heures maintenant et avec plus d'1 GB de données !

Pourtant dans les logs je n'ai aucune information dans ce sens :

25/09/2014 13:00:50 [DB4PR04MB0765] Messages have been enumerated successfully. 29 items loaded. Total size: 121.5 MB (127,360,547 bytes).
25/09/2014 13:00:50 [DB4PR04MB0765] Stage: CopyingMessages. Percent complete: 25.
25/09/2014 13:00:50 [DB4PR04MB0765] Copy progress: 0/29 messages, 0 B (0 bytes)/121.5 MB (127,360,547 bytes), 36/45 folders completed.

Je vais appeler le Support pour mettre tout ça au clair ;-)

Cheers

[Divers] - Oubliez le format de langue Français...

Encore une fois, je me trouve confronter à une erreur qui ne devrait pas l'être !

En mettant à jour l'application Dirsync avec la dernière version publiée, voici le beau message d'erreur qui est apparu lors de vérification des prérequis

Pas d'affolement cette fois ci et après mes déboires avec le HCW suite au passage du CU5 j'ai compris tout de suite d'où venait cette erreur ;-)

Après le passage au format US...l'installation est 'In Progress..."

Merci....

Cheers