Exchange Kaynak Ormanı ve Office 365 – Bölüm I

Exchange'de tam olarak desteklenen bir senaryo, Kaynak Ormanı modeli olarak adlandırılan modeldir. Bu senaryoda, tüm kullanıcı hesaplarının ve normal hizmetlerin bulunduğu bir Active Directory hesap ormanı ve Exchange'in yüklü olduğu bir Active Directory kaynak ormanı vardır. Bu senaryo Exchange 2010, Exchange 2013 ve Exchange 2016 için desteklenmektedir ve bunu birkaç Exchange sürümüne sahip birçok müşteride birkaç kez gördüm.

Dolayısıyla, Exchange kaynak ormanına yüklenir ve bu Exchange uygulamasındaki posta kutularına Bağlantılı Posta Kutuları adı verilir. Buradaki Posta Kutusu, hesap ormanındaki bir kullanıcı hesabına bağlıdır. Kaynak ormanında Bağlantılı Posta Kutusu için bir kullanıcı hesabı vardır ancak tasarım gereği bu, devre dışı bırakılmış bir hesaptır.

Bir Posta Kutusunun yetkilendirilmesi sırasında, hesap ormanında bir kullanıcı hesabı oluşturulur, kaynak ormanında aynı (ancak devre dışı bırakılmış) bir kullanıcı hesabı oluşturulur ve bağlantılı bir posta kutusu oluşturulur. Sağlama, Microsoft Identity Manager (MIM) gibi bir Microsoft aracı, Quest gibi bir üçüncü taraf aracı veya düz PowerShell komut dosyaları kullanılarak yapılabilir. İşlem aşağıdaki şekilde gösterilmektedir:

Birden fazla müşteride gördüğüm bir durum olan, tek bir Exchange kuruluşunu kullanması gereken birden fazla hesap ormanınız varsa bu yararlı olabilir. Sonunda şöyle bir senaryoyla karşılaşırsınız:

Kabul etmeliyim ki, işler oldukça hızlı bir şekilde karmaşık hale gelebilir, ancak bu tamamen desteklenen bir senaryodur ve bazı durumlarda faydalı olabilir. Müşterilerimden biri birden fazla satın alma nedeniyle bu senaryoyu uyguladı.

Laboratuvar ortamımda ilk senaryo üzerinde çalışıyorum. Bir hesap ormanı (accounts.local) ve bir kaynak ormanı (resources.local) kurdum. Kurulu Exchange sürümü Exchange 2010'dur, bir adet çok rollü Exchange 2010 sunucusu ve bir adet Exchange 2010 Edge Transport sunucusu bulunmaktadır. Her iki sunucu da Toplama Güncelleştirmesi 20'yi içeren Service Pack 3'ü çalıştırıyor. Hesaplar, hesap ormanında oluşturulur ve kaynak ormanında bağlantılı bir posta kutusu oluşturulur.

Her posta kutusunun msExchangeRecipientTypeDetails adında bir özelliği vardır ve bu, onun ne tür bir posta kutusu olduğunu belirtir. Bu özellik “2” değerine sahipse bağlantılı posta kutusu, “1” değerine sahipse normal posta kutusudur. Bu özelliğe ve değerlerine genel bir bakış, John Baily'nin TechNet'teki bir blogunda bulunabilir.

Bir posta kutusunun ikinci önemli özelliği msExchMasterAccountSID'dir. Bağlantılı bir Posta Kutusu için msExchMasterAccountSID özniteliği, hesap ormanındaki ilgili kullanıcının objectSID değeriyle doldurulur. ADSI Edit'i kullanırken ve kullanıcı hesabının objectSID'sini ve her iki hesabın msExchMasterAccountSID'sini kontrol ederken, bunların aynı değere sahip olduğunu göreceksiniz. Hesap ormanındaki Don Drop adlı bir test kullanıcısı için aşağıdaki objectSID'yi görebilirsiniz:

Kaynak ormanındaki ilgili devre dışı bırakılmış hesap için aşağıdaki msExchMasterAccountSID'yi görebiliriz:

Veya PowerShell'i kullanmayı tercih ederseniz msExchMasterAccountSID'yi almak için bir PowerShell penceresinde (Exchange ormanında) aşağıdaki komutları yürütün:

Import-Module ActiveDirectory
$MBXUser = Get-ADUser -Identity Don -Properties *
$MBXUser.msExchMasterAccountSID | fl

Kullanıcının objectSID'sini hesap etki alanından almak için aşağıdaki PowerShell komutlarını yürütün:

$AccountsCred = Get-Credential "accounts\administrator"
Get-ADUser -Filter {ObjectSID -eq $MBXUser.msExchMasterAccountSid} -Properties * -Server accdc01.accounts.local -Credential $AccountsCred | fl Name,ObjectSID

Not. Bu senaryoda Azure AD Connect'teki bir sonraki blogda bu objectSID'yi ve MSExchMasterAccountSid'i tekrar göreceksiniz.

Posta kutusundaki izinleri kontrol etmek için Get-ADPermission komutunu Get-Mailbox komutunun çıktısına karşı kullanabilirsiniz:

Get-Mailbox -Identity Don | Get-ADPermission -User Accounts\Don | fl *

Gördüğünüz gibi Don, posta kutusunda uygun izinlere sahip.

Not. Bağlantılı bir posta kutusunu normal bir posta kutusuna dönüştürmek için Set-User komutunu kullanarak msExchMasterAccountSID değerini kaldırabilirsiniz:

Set-User -Identity Don -LinkedMasterAccount $NULL

Bu, msExchMasterAccountSID'yi sıfırlar ancak aynı zamanda msExchRecipientTypeDetails değerini "2"den (bağlantılı Posta Kutusu) "1"e (normal Posta Kutusu) değiştirir.

Özet

Artık Exchange kaynak ormanı modeli hakkında daha fazla bilgi sahibi olmalısınız. Exchange'in kurulu olduğu tek orman, tek etki alanı modelinden biraz daha karmaşıktır ancak tam olarak desteklenen bir senaryodur. Müşterilerde çok sık gördüğüm bir senaryo.

Bir sonraki blogumda bu kaynak ormanı modelinde Azure AD Connect hakkında daha fazla bilgi vereceğim.