Automatikus felderítési folyamat Active Directory alapú környezetben | 15. rész #36
A következő cikkben az Active Directory-alapú környezetben megvalósított Autodiscover módszer „burkolata alá” tekintünk.
Az Active Directory-alapú környezetben az a folyamat, amelyben az Autodiscover kliens, például az Outlook megkeresi az elérhető Autodiscover végpontot. úgy történik, hogy az Active Directory-t, mint információforrást az elérhető automatikus feltárási végpontokhoz (rendelkezésre álló Exchange-kiszolgálók) tekinti meg.
Az elérhető automatikus felfedezési módszerek
Általánosságban elmondható, hogy két fő automatikus felfedezési módszer létezik:
- Automatikus felfedezés Active Directory környezetben
- Automatikus felderítési módszerek nem Active Directory környezetben
Abban az esetben, ha a felhasználói asztal, amelyre az Outlook-ügyfél telepítve van, tartománytagként van konfigurálva, az Outlook lehetővé teszi az automatikus felderítési folyamat elindítását úgy, hogy a lekérdezésben megcímzi a helyi Active Directory-t.
Abban az esetben, ha nincs lehetőség az Active Directory megkeresésére, az Outlook-ügyfél „továbblép” a következő Autodiscover metódusra (a következő cikkben - Automatikus felfedezés folyamata helyszíni Exchange környezetben | nem Active Directory környezet | 1. rész # 3 | 26#36 rész, részletesen áttekintjük ezt a módszert).
Új Outlook levelezési profil létrehozása tartományi környezetben
Az Autodiscover folyamat egyik legszembetűnőbb jellemzője az On-Premise Active Directory környezetben, hogy ezt a folyamatot teljesen automatizáltnak nevezhetjük.
Abban a forgatókönyvben, amikor a felhasználói asztal tartománytagként van konfigurálva, az egyetlen követelmény a felhasználótól, akinek új Outlook levelezési profilt kell létrehoznia, csak az Outlook megnyitása.
Nagyon rövid idő elteltével az összes szükséges beállítás automatikusan „megérkezik” az Outlook klienshez, és a felhasználó hozzáférhet a postafiókjához, elkezdheti olvasni az e-mailjeit és így tovább.
A kérdés csak az: hogyan történik ez a „varázslat”?
A válasz az, hogy az Autodiscover-t úgy tervezték, hogy leegyszerűsítse a szükséges információk (konfigurációs beállítások) „Autodiscover Endpoint”-ból való beszerzésének folyamatát, és ez a folyamat egyre egyszerűbbé válik az On-Premise Active Directory környezetben.
Nem Active Directory környezetben, amikor a felhasználónak új Outlook levelezési profilt kell létrehoznia, a felhasználónak meg kell adnia a következő adatokat.
- Felhasználó e-mail címe
- Felhasználói hitelesítő adatok
Active Directory környezetben a felhasználónak nem kell megadnia semmilyen részletet, mert tartományi környezetben a folyamat a felhasználói gyorsítótár hitelesítő adatain alapul.
- Hitelesítő adatok (felhasználónév + jelszó) Active Directory környezetben, mivel a felhasználó már megadta hitelesítő adatait a tartományba való bejelentkezéskor, ezek a hitelesítő adatok automatikusan elküldésre kerülnek az Exchange On-Premise kiszolgálóra. (A szakkifejezés gyorsítótár hitelesítő adatai vagy hozzáférési token)
- Adja meg a felhasználói e-mail-címet
Olyan forgatókönyvben, amikor a felhasználó a szervezeti tartományba bejelentkező felhasználó, a felhasználói e-mail-címet a rendszer automatikusan „lekéri” vagy „kivonja” az On-Premise Active Directory felhasználói fiókjából. Más szóval: az új Outlook levelezési profilt létrehozó felhasználónak nem kell megadnia az e-mail címét. - Szerezze be a szükséges konfigurációs információkat az Exchange szerverről
Az a folyamat, amelyben az Outlook megkapja az új Outlook levelezési profil létrehozásához szükséges konfigurációs információkat, szintén „automatikusan megtörténik”.
Az Outlook lekérdezi a helyi Active Directory-t, és kérje le az Exchange CAS-kiszolgálók listáját.
Miután megkapta a meglévő Exchange-kiszolgálók nevét, az Outlook megpróbál csatlakozni egy Exchange-kiszolgálóhoz a listából.
Mint említettük, az a rész, amelyben a felhasználónak meg kell adnia az e-mail-címét és az Exchange-kiszolgáló felhasználói hitelesítő adatait, amely automatikusan megvalósul.
Miután az Exchange-kiszolgáló ellenőrizte a felhasználói azonosságot, az Outlook pedig az Exchange-kiszolgáló azonosságát, az Exchange elküldi az Outlook-ügyfélnek a szükséges konfigurációs beállításokat az Autodiscover.xml fájl használatával.
Az On-Premise Active Directory információforrásként
Az Active Directory egyik legszembetűnőbb előnye, hogy az Active Directory „hirdetőtáblaként” szolgál ügyfele számára.
Azok a szerverek, amelyek egy adott szolgáltatást nyújtanak, regisztrálhatják magukat az Active Directoryban, és ezzel az Active Directory-t „táblaként” használhatják az információkhoz.
Az Active Directory-kliensek megkereshetik az Active Directory-t (LDAP lekérdezéssel), és információkat kérhetnek egy adott szolgáltatásról, ki a szolgáltatást nyújtó gazdagép stb.
A mi forgatókönyvünk szerint az Exchange CAS-kiszolgáló „entitásként” regisztrálja magát az Active Directoryban, amely képes Autodiscover szolgáltatást nyújtani.
A Helyszíni Active Directory erre a célra egy dedikált helyet (az On-Premise Active Directory rendszerpartíció részét) foglal le egy SCP (Service Connection Point) nevű mappa használatával.
A következő diagramon láthatunk egy példát erre a folyamatra.
Minden alkalommal, amikor egy új Exchange On-Premise telepítve van, az Exchange On-Premise hozzáfér az Active Directoryhoz, és „jelentést tesz magáról. ”
Az „Autodiscover kliens” kifejezés lefordítható olyan Autodiscover kliensre, mint például az Outlook, amelynek meg kell találnia az Autodiscover végpontot új Outlook levelezési profil létrehozásához és egyéb célokra, de ugyanakkor az „Autodiscover kliens” lehet „ másik Exchange szerver. ”
Például egy olyan forgatókönyv, amelyben az Exchange-kiszolgálónak az Active Directory A webhelyéről olyan információkat kell beszereznie, amelyeket egy Exchange CAS-kiszolgáló képvisel a B Active Directory-helyen.
Az SCP (Service Connection Point) fizikai helye
Az SCP „fizikai elérési útjának” megtalálásához használhatjuk az egyes DC kiszolgálókra telepített Site és Service eszközöket.
Miután engedélyezte a „View Services Node” opciót a „View” lapon, láthatjuk a az On-Premise Active Directory konfigurációs partíció fizikai elérési útja.
Az SCP objektum az AD-ben a következő elérési úton található:
CN=exchangeserver,CN=Autodiscover,CN=Protocols,CN=exchangeserver,CN=Servers,CN=Exchange Administrative Group ( FYDIBOHF23SPDLT),CN=Felügyeleti csoportok,CN=szervezet neve,CN=Microsoft Exchange,CN=Szolgáltatások,CN=Konfiguráció,DC=domain,DC=com
Mindegyik Exchange CAS-kiszolgáló rendelkezik az „Autodiscover mappával”, és az Autodiscover mappa az Autodiscover Endpoint objektum (egy adott Exchange CAS-kiszolgáló) tárolójaként szolgál.
Egy adott Autodiscover Endpoint tulajdonságának megtekintéséhez (az ex01-es példánkban) jobb gombbal kattintson az Exchange CAS-kiszolgáló nevére, és válassza a tulajdonságok menüt.
A - ServiceBindingInformation nevű tulajdonság
A -Kulcsszavak nevű tulajdonság egy adott Exchange CAS-kiszolgáló Active Directory-webhelynevét tartalmazza.
Új Outlook levelezési profil létrehozása | A varázslat mögötti folyamat!
A következő részben az Autodiscover folyamatát elemezzük Active Directory környezetben.
Az Active Directory környezetben megvalósított Autodiscover metódus miatt az „új Outlook levelezési profil létrehozása” egy nagyon egyszerű feladat, amelyet bármely felhasználó pillanatok alatt telepíthet.
Az igazi varázslat az, hogy a színfalak mögött az „egyszerű feladatot” túlságosan kifinomult és intelligens infrastruktúrának „lefordítják”, ami segít abban, hogy ez a folyamat „egyszerűnek és könnyűnek” tűnjön.
Feladatleírás
Szervezeti felhasználó szerezzen be egy új asztalt, a felhasználó duplán kattintson az Outlook ikonra, és néhány másodperc múlva az Outlook profil sikeresen elkészült, és a felhasználó láthatja a leveleit, küldhet és fogadhat leveleket és így tovább.
A következő részben áttekintjük, hogy mi volt az eseménysor, amely a fenti eredményhez vezetett
1. fázis - a helyi Active Directory lekérdezése
Az LDAP protokoll használatával megvalósított kommunikáció az Autodiscover kliens és az Active Directory között.
1. lépés - Az ügyfél lekérdezi a helyi Active Directory-t
Az Autodiscover kliens (Outlook) létrehoz egy LDAP-lekérdezést, és megkeresi a helyi Active Directory-t, kérve a meglévő Autodiscover-végpont URL-címeinek listáját.
Más szóval - az elérhető Exchange CAS-kiszolgálók listája.
2. lépés - Az Active Directory nézze meg az SCP-partíciót, és keresse meg a - ServiceBindingInformation nevű attribútum értékét
Az Active Directory SCP egy másik vagy dedikált ServiceBindingInformation információt tartalmaz
Az Exchange CAS-szerver Autodiscover URL-címe a következő formátumban valósul meg:
https://cas_server.domain/Autodiscover/Autodiscover.xml
Az Exchange CAS-kiszolgáló neve a belső Exchange-kiszolgáló neve (FQDN - Teljesen minősített tartománynév)
Példánkban az Active Directory SCP-n regisztrált Exchange CAS-szerver belső FQDN-je - ex01.0365info.com , az automatikus felfedezés URL-je pedig a következő lesz:
< span class="highlight4i"> https://ex01.0365info.com/autodiscover/autodiscover.xml
További információk, amelyeket az Active Directory „visszaad” az Autodiscover kliensnek - Kulcsszavakként.
A „Kulcsszavak ” az Exchange CAS-kiszolgáló Active Directory-helynevére vonatkozó információkat tartalmaznak.
(Az az Active Directory-helynév, amelyben az Exchange CAS-kiszolgáló található).
Amikor az Autodiscover kliens (Outlook) megkapja a listát az Active Directoryból, az Autodiscover kliens előnyben részesíti az Exchange CAS-kiszolgálót, amelynek ugyanaz az Active Directory helyértéke, mint azt az Active Directory-helyet, amelyhez az Autodiscover ügyfél is tartozik.
Ez a módszer, amelyben az Autodiscover-ügyfél egy adott Exchange CAS-szerverrel szeretne kapcsolatba lépni más Exchange CAS-szerverekkel szemben - Webhely-affinitás
2. fázis - a helyi DNS-kiszolgáló lekérdezése
3. lépés - Az Autodiscover ügyfélnek meg kell szereznie az Exchange CAS-szerver belső IP-címét. Az Autodiscover kliens csatlakozik a belső DNS-kiszolgálóhoz. Példánkban keresse meg a - ex01.o365info.lcoal nevű gazdagép IP-címét
4. lépés - A DNS-kiszolgáló válaszol (válaszol) a DNS-lekérdezésre, és elküldi a megadott gazdagépnév belső IP-címét (példánkban 192.168.1.10).
3. fázis - Kölcsönös ellenőrzési folyamat
Ebben a fázisban a kliensnek (Outlook) és a „szervernek” (az Exchange CAS szervernek) azonosítania kell egymást.
5. lépés - Az Outlook arra kéri az Exchange CAS-kiszolgálót, hogy tanúsítsa a személyazonosságát egy tanúsítvány megadásával.
6. lépés - Az Exchange CAS-kiszolgáló küldje el a tanúsítványát az ügyfélnek, és az ügyfél ellenőrzi az Exchange CAS-kiszolgáló tanúsítványát.
Megjegyzés - Ha részletesebb információkat szeretne olvasni az Autodiscover folyamatról, a tanúsítványról és a biztonságos kommunikációs hivatkozásról, olvassa el a - Autodiscover folyamat és Exchange biztonsági infrastruktúra | 20. rész #36
7. lépés - Abban az esetben, ha az Exchange-tanúsítvány „OK”, az ügyfél elküldi „azonosítóját” (felhasználói hitelesítő adatait) az Exchange CAS-kiszolgálónak.
8. lépés - Abban az esetben, ha a felhasználói hitelesítési adatok helyesek, a kölcsönös hitelesítés és azonosítás folyamata befejeződik.
4. fázis - kommunikáljon az Exchange CAS szerverrel RPC vagy HTTP/S használatával
9. lépés - a levelezőkliens (Outlook) az Autodiscover Endpointtól (Exchange CAS-szerver) kéri az Autodiscover információkat (az Autodiscover.xml fájlt)
10. lépés - Az Exchange-szerver „generálja” a konfigurációs fájlt az Outlook-verzió szoftvere alapján, és elmenti egy - Autodiscover.xml nevű fájlba.
11. lépés - Az Outlook kliens beszerzi a konfigurációs fájlt, és létrehoz egy új Outlook levelezési profilt, amely tartalmazza az összes szükséges konfigurációs beállítást.
Egy diagramábrázolás automatikus felfedezése az Active Directory környezetben
A következő diagramon láthatjuk a kliens „döntéshozó táblázatának” ábrázolását, amely az automatikus felfedezési folyamathoz kapcsolódik.
Az ábrán nem térünk ki minden részletre, ehelyett csak összefoglalom és kiemelem az Active Directory-környezet Autodiscover folyamatának néhány részét.
1. lépés - az automatikus felfedezés módszere teljes mértékben az Active Directory SCP-partícióján regisztrált információktól függ.
Más szavakkal, az Active Directory az „információforrás-jogosultság”, amely az Autodiscover ügyfél számára információkat biztosít az elérhető Autodiscover végpontokról.
2. lépés - abban az esetben, ha az Exchange-szervezet egynél több Exchange CAS-kiszolgálót is tartalmaz, az Autodiscover-kliens választ kap az „opcionális Autodiscover-végpontok” listájára.
Az Autodiscover kliensnek végre kell hajtania valamilyen módszert a számára legmegfelelőbb Autodiscover végpont kiválasztásához.
Ezt a megközelítést „webhely-affinitásnak” nevezték. Az Autodiscover kliens „előnyben részesíti” az Autodiscover végpontot, amely ugyanabban az Active Directoryban található, mint ő.
Megjegyzés: Az „ugyanazon az Active Directory-helyen található, mint ő” kifejezés nem pontos, mert bizonyos esetekben „regisztrálhatunk” egy adott Exchange CAS-kiszolgálót Exchange-kiszolgálóként, amelyhez „tartoznak”. egy adott Active Directory, miközben az Exchange CAS-kiszolgáló fizikai helye az Active Directory helyen van.
3. lépés és 4.1. lépés - abban az esetben, ha az Autodiscover kliens megkapja a rendelkezésre álló Autodiscover végpontok listáját, az ügyfél megpróbálja közölni az „első automatikus felfedezési végpontot”, és ha az Autodiscover A végpont nem elérhető, „áthelyezés” a következő automatikus felfedezési végpontra a listában, és így tovább.
Az 5.1., 5.2., 5.3. lépés és a 6. lépés azok a lépések, amelyeket sikeresen végre kell hajtani, mielőtt elkezdené azt a fázist, amelyben az automatikus felfedezés végpontja megadja a kívánt információkat az automatikus felfedezés kliensének.
Az Autodiscover végpontnak meg kell bizonyosodnia arról, hogy az Autodiscover végpont megbízható, és fordítva - az Autodiscover végpontnak azonosítania kell az Autodiscover ügyfelet.
7. lépés - az Autodiscover Endpoint (Exchange CAS szerver) előállítja a szükséges információkat (Autodiscover válasz), és elküldi az Autodiscover kliensnek (Outlook).
8. lépés - ez a „happy end fázis”, amelyben az Outlook kliens „elveszi” az információkat, és új Outlook levelezési profil létrehozásához használja fel.