Office 365环境中目录同步的特殊字符|第 2#2 条 |第 12 部分#23

在本文中，我们继续回顾Office 365 Directory同步环境的特殊特征，以便我们能够更好地理解Office 365 Directory同步环境中的“事件流程”。

我们将回顾三个主要场景的事件流程：

1. 事件 - 创建新的 Active Directory 用户帐户
2. 事件 - 删除 Active Directory 用户帐户
3. 事件 - 恢复软删除的 Active Directory 用户帐户

我想在本文中涉及的另一个主题是 - 为什么在我们想要在目录同步环境中恢复软删除的 Exchange Online 邮箱的情况下实施恢复本地 Active Directory 用户帐户的最佳实践如此重要。

目录同步环境中常见的邮箱删除场景

在当前的文章系列中，我们将多次提到术语：“Exchange Online 邮箱的恢复”和“Exchange Online 邮箱的删除”。

需要强调的是，在使用目录同步的 Office 365 环境中，尽管我们使用术语“邮箱”，但大多数时候，我们处理的“用户对象”被视为邮箱所有者。

如果我们想要“使描述复杂化”，在 Office 365 目录同步环境中，我们需要还原 Active Directory 用户帐户，该帐户被视为 Office 365 用户帐户的“所有者”或“主”，即被视为 Office 365 用户帐户的“所有者”或“主”。已删除的 Exchange Online 邮箱的所有者。

例如

1.目录同步环境中Exchange Online邮箱删除的根本原因。

在 Office 365 目录同步环境中，大多数时候，删除 Exchange Online 邮箱的“真正原因”（Root Cause）是 - On-Premise Active Directory 用户帐户的“删除事件”。

2. 恢复已删除的Exchange Online 邮箱。

在 Office 365 目录同步环境中，建议的 Exchange Online 邮箱还原方案是通过还原软删除的本地 Active Directory 用户帐户来启动还原过程，而不是“直接”恢复已删除的 Exchange Online 邮箱。

通过本地 Active Directory 创建和管理目录对象的概念

在目录同步环境中，与目录管理相关的任务（例如创建新的 Active Directory 用户帐户）应通过本地 Active Directory 来实现，而不是通过 Office 365 目录（Azure Active Directory）来实现。目录）。

之所以提出此建议，是因为目前目录同步环境的架构基于将 On-Premise Active Directory 视为“权限来源”的模型。

有关本地 Active Directory 中发生的更新的信息通过目录同步基础结构 (Azure AD Connect) 同步到 Office 365 Directory (Azure Active Directory)，但反之则不然！

例如，在目录同步中，如果我们在 Office 365 目录 (Azure Active Directory) 中创建新的用户帐户，则信息不会同步到本地 Active Directory。

为了更好地理解 Office 365 目录同步环境中“单向同步”的概念，让我们使用一些与本地 Active Directory 对象相关的示例：

1. 创建新的本地 Active Directory 用户

如果在本地 Active Directory 中创建新用户，信息将同步到 Office 365 目录 (Azure Active Directory)。
因此，也会在 Office 365 目录 (Azure Active Directory) 中创建新用户帐户）。

在 Office 365 Directory (Azure Active Directory) 中创建的 Office 365 用户帐户“附加”到本地 Active Directory 用户帐户。

换句话说，Office 365 NEW 用户帐户被视为本地 Active Directory 用户帐户的“副本”或“双胞胎”。

2. 更新本地 Active Directory 用户

在这种情况下，我们更新本地 Active Directory 用户帐户，信息将（通过 Azure AD Connect）同步到 Azure Active Directory。
Azure Active Directory 将“有义务”实施相同的操作更新为视为本地 Active Directory 用户帐户副本的 Office 365 用户帐户。

将本地 Active Directory 用户“绑定”到 Exchange Online 邮箱的流程

在下面的部分中，我想回顾一下我们将本地 Active Directory 用户“粘合”到 Office 365 用户帐户以及将 Office 365 用户帐户“粘合”到 Exchange Online 邮箱的过程。

在目录同步环境中，当我们创建新的本地 Active Directory 用户帐户时，也会在 Office 365 目录（副本）中创建相同的用户。

本地 Active Directory 用户和创建的 Office 365 用户（定义为与 Active Directory 同步）将具有相同的凭据含义 - 相同的登录名 + 相同的密码。

如果我们将 Exchange Online 许可证分配给 Office 365 用户，则 Office 365 用户将被视为 Exchange Online 邮箱的所有者。

Exchange Online 邮箱的“真正所有者”是——Office 365 用户帐户的对象。

Office 365 用户帐户被视为 - 与 Active Directory 同步，用户使用与本地 Active Directory 用户帐户相同的凭据。

换句话说，本地 Active Directory 和 Office 365 用户帐户副本使用相同的凭据。

但值得一提的是，Exchange Online 邮箱“并不关心”谁是真正的所有者，只要访问 Exchange Online 的实体拥有“正确的凭据”即可。

Exchange Online 邮箱愿意接受用户访问请求，只要需要访问的实体能够提供所需的凭据。

在以下部分中，我们可以回顾在基于 Office 365 目录同步的环境中创建新的本地 Active Directory 用户帐户的场景中涉及的每个不同步骤：

• 事件 1#7 - 创建新的本地 Active Directory 用户帐户。在我们的示例中，用户帐户的登录名是 - [email protected]
• 事件 2#7 - 目录同步服务器 (Azure AD Connect)，连接本地 Active Directory（默认情况下，时间间隔为三小时），并获取有关该事件的更新信息，其中 NEW用户帐户已创建。
• 事件 3#7 - 目录同步服务器 (Azure AD Connect)，连接 Azure Active Directory，并同步有关新用户帐户的信息。
• 事件 4#7 - Azure Active Directory“有义务”创建一个具有相同登录名、电子邮件地址、密码等的新 Office 365 用户帐户（复制用户）。
• 从现在起，新的 Office 365 用户帐户将被视为“绑定”或本地 Active Directory 用户帐户的“副本”。本地 Active Directory 用户帐户中的每个更新都将同步到 Office 365 Directory，并将影响 Office 365“副本”用户帐户。

• 事件 5#7 - Exchange Online 许可证已分配给新的 Office 365 用户帐户。
• 事件 6#7 - Azure Active Directory 将信息同步到 Exchange Online 基础结构。
• 事件 7#7 - Exchange Online 创建一个新的 Exchange Online 邮箱，并将该邮箱“绑定”到 Office 365 用户帐户。

Office 365 和目录同步环境中的“对象删除流程”

在本节中，我想回顾一下在 Office 365 目录同步环境中删除本地 Active Directory 用户帐户的场景中发生的每个“步骤”。

在我们的示例中，已删除的 Grace 用户帐户具有 Office 365 用户“副本”，并且 Office 365 用户具有 Exchange Online 许可证（视为 Exchange Online 邮箱的所有者）。

• 事件 1#7 - 名为 [email protected] 的本地 Active Directory 用户帐户被删除。
• 事件 2#7 - 当删除 Grace Active Directory 用户帐户时，已删除的用户帐户状态将更新为 - “软删除”用户帐户。用户帐户被“发送”到 Active Directory 回收站（用户帐户将在 Active Directory 回收站中保存 180 天）。
• 事件 3#7 - 目录同步服务器 (Azure AD Connect)，连接本地 Active Directory（默认情况下，时间间隔为三小时），并获取有关该事件的更新信息，其中 Grace 用户帐户已删除。

• 事件 4#7 - 目录同步服务器 (Azure AD Connect)，连接 Windows Azure Active Directory，并同步有关删除本地 Active Directory 用户帐户的事件的信息。
• 事件 5#7 - Windows Azure Active Directory 获取更新，并在数据库中搜索。
  在我们的示例中，Azure Active Directory 发现存在一个现有 Office 365 用户帐户，该帐户被视为“绑定”到 On-已删除的本地 Active Directory 用户帐户。
• Azure Active Directory“理解”两个目录用户帐户实体之间存在“连接”，因为 Grace Office 365 用户帐户的 Office 365 ImmutableID 值是与本地 Active Directory 删除用户帐户的 GUID 值相同。
• Azure Active Directory “有义务”删除 Office 365 用户帐户。
• Office 365 用户帐户将被发送到 Azure Active Directory 回收站。 Office 365 用户帐户将被视为“软删除”，并将在 Azure Active Directory 回收站中保留 30 天。 30 天期限结束后，用户邮箱将被永久删除（硬删除）。
• 当 Office 365 用户帐户被删除时，“附加”到该用户帐户的 Exchange Online 许可证也会被“删除”（删除）。
• 事件 6#7 - Azure Active Directory “通知”（同步信息）Exchange Online 基础结构有关删除 Exchange Online 许可证的事件。
• 事件 7#7 - 因此，Exchange Online 将删除与 Office 365 用户帐户关联的用户邮箱。删除的 Exchange Online 用户邮箱将被发送到 Exchange Online 回收站并在那里保留 30 天。 30 天期限结束后，用户邮箱将被永久删除（硬删除）。

在 Office 365 和目录同步环境中恢复软删除的本地 Active Directory 用户帐户流

在下一节中，我想回顾一下 Office 365 和目录同步环境中的“恢复软删除的本地 Active Directory 用户帐户流程”主题。

我想回顾一下在 Office 365 目录同步环境中恢复本地 Active Directory 用户帐户的场景中发生的每个“步骤”。

在我们的示例中，名为 Grace 的用户的本地 Active Directory 用户帐户已被删除。

Grace 用户帐户有一个 Office 365 用户“副本”，并且 Office 365 用户拥有 Exchange Online 许可证（是 Exchange Online 邮箱的所有者）。

• 步骤 1#6 - 当我们从本地 Active Directory 回收站恢复软删除的用户帐户时，该用户帐户将“发送回”到“活动”目录用户的数据库。
• 步骤 2#6 - 目录同步服务器 (Azure AD Connect)，连接本地 Active Directory（默认情况下，时间间隔为三小时），并获取有关事件的更新信息，其中 Grace 用户帐户已恢复。

• 步骤 3#6 - 目录同步服务器 (Azure AD Connect)，连接 Windows Azure Active Directory 并同步有关恢复本地 Active Directory 用户帐户的事件的信息。
• 步骤 4#6 - Windows Azure Active Directory 获取更新并在数据库中搜索。
  在我们的示例中，Azure Active Directory 发现存在一个现有 Office 365 用户帐户，该帐户被视为“绑定”到本地活动目录用户帐户。
• Azure Active Directory“理解”两个目录用户帐户实体之间存在“连接”，因为 Grace Office 365 用户帐户的 Office 365 ImmutableID 值是与本地 Active Directory 恢复的用户帐户的 GUID 值相同。
• Azure Active Directory “有义务”恢复 Office 365 用户帐户。 Azure Active Directory 从 Azure Active Directory 回收站“获取”软删除的 Office 365 用户帐户，并且该用户帐户被视为“活动”。
• 作为用户帐户还原过程的一部分，分配给 Office 365 用户的 Exchange Online 许可证也会还原。换句话说，Office 365 用户帐户 + 他的 Exchange Online 许可证。
• 步骤 5#6 - Azure Active Directory “通知”（同步信息）Exchange Online 基础结构有关 Exchange Online 许可证恢复的事件。
• 步骤 6#6 - 因此，Exchange Online将还原软删除的用户邮箱以及与还原的 Office 365 用户帐户关联的 Exchange Online 邮箱。

为什么在目录同步环境中恢复原始本地 Active Directory 用户帐户如此重要？

让我们在“基于目录同步的环境中恢复 Exchange Online 邮箱”场景中重复一个非常基本的概念。 ”
大多数时候，当我们使用术语“恢复 Exchange Online 邮箱”时，我们的意思是 -

• 恢复本地 Active Directory 用户帐户。
• 还原被视为 Exchange Online 邮箱所有者的 Office 365 用户帐户。

恢复“原始 Active Directory 用户帐户”是成功恢复 Exchange Online 邮箱过程的“关键”！

当我们涉及“恢复被视为软删除 Exchange Online 邮箱所有者的用户”的任务时，有两种不同的情况。

场景 1 - 仅云（完全托管）

在我描述为“仅云”环境的方案中，Exchange Online 邮箱的还原过程是通过还原被视为 Exchange Online 邮箱所有者的 Office 365 软删除用户帐户来实现的。

存储软删除用户帐户并充当该用户帐户的“权限来源”的元素是 - Office 365 目录含义 - Active Directory Azure。

场景 2 - 目录同步环境

我使用术语“目录同步环境”来描述我们使用两个不同“目录”组合的场景 -
本地 Active Directory 和 Azure Active Directory。
在本例中，本地 Active Directory 被视为“权限来源”，Azure Active Directory 获取从本地 Active Directory 同步到云的用户帐户的“只读”副本。

在我们想要还原 Exchange Online 邮箱的情况下，我们需要还原的“原始用户帐户”是本地 Active Directory 用户帐户。

确实，Exchange Online 邮箱直接与 Office 365 用户帐户的实体相关联，而不是与本地 Active Directory“原始用户帐户”相关联。

但是，重要的是要了解，在目录同步环境中，“绑定”到本地 Active Directory 的 Office 365 用户帐户完全依赖于本地 Active Directory 用户帐户并受其“控制”。因此，“已处理的用户还原”与本地 Active Directory 用户帐户相关，与 Office 365 用户帐户无关。

现在，让我们回到我们需要回答的问题“为什么在目录同步环境中恢复原始本地 Active Directory 用户帐户如此重要？”

A1 - 问题的第一个答案是 - 利用在基于 Office 365 的环境中实施的自动恢复机制。

当我们恢复“原始本地 Active Directory 用户帐户”（“根用户帐户”）时，
本地基础设施和 Office 365 基础设施“自行了解”，如何自动完成 所有必需的步骤，例如：

• 将信息同步到 Office 365 目录 (Azure Active Directory)。
• 恢复软删除的 Office 365 用户帐户。
• 恢复 Exchange Online 许可证。
• 恢复软删除的 Exchange Online 邮箱。
• 将恢复的 Exchange Online 邮箱绑定到她的“所有者”。

等等。

Office 365 目录同步环境中自动还原过程的“魔力”是通过使用“硬匹配”机制实现的，该机制依赖于本地 Active Directory 用户 GUID 值和调整后的 Office 365 ImmutableID价值。

有关硬匹配概念的其他信息出现在文章 - Office 365 环境中目录同步的特殊字符 |第 1#2 条 |第 11 部分#23

如果我们不恢复原始 Active Directory，而是创建一个新的本地 Active Directory 用户帐户，并具有登录用户名等看似属性，则自动恢复过程将不会实施.
原因是 Office 365 (Azure Active Directory) 不知道如何将软删除对象（Office 365 用户帐户 + Exchange Online 软删除邮箱）“绑定”到新对象同步的用户帐户。

我们将在文章中涉及这种类型的 Exchange Online 恢复错误 - 回顾 Exchange Online 邮箱恢复错误的特征 - 创建新的本地 Active Directory 用户帐户 |第 19 部分#23

A2 - 问题的第二个答案是，当我们说我们需要恢复 Exchange Online 邮箱时，我们也意味着我们需要恢复“伴随实体”，例如 On-Premise Active Directory 用户帐户和 Office 365 用户帐户，被视为 Exchange Online 邮箱所有者。

除了存储在 Exchange Online 中删除的邮箱中的重要数据外，在涉及的目录用户帐户中还“存储”了“其他重要数据”。

涉及的目录用户帐户具有与 Active Directory 环境和 Office 365 中的其他对象和基础结构的属性和关系。

例如

1. 本地 Active Directory 用户帐户包含许多属性，包括用户密码、办公室地址、电话号码等。

大多数时候，用户帐户被视为通讯组或安全组的成员。

大多数时候，安全组分配有其他资源（例如文件服务器等）的权限。

2.Office 365用户帐户

在基于 Office 365 的环境中，很多时候，Office 365 用户帐户“绑定”（拥有 Office 365 许可证）到许多其他 Office 365 服务，例如 SharePoint Online、One Drive、Skype for Business 等。此 Office 365 基础设施存储 Office 365 用户的私人数据，例如单驱动器存储。

那么，我的观点是什么？

我的观点是，在删除本地 Active Directory 用户帐户并因此删除 Exchange Online 邮箱的情况下，恢复被软删除的“原始本地 Active Directory 用户帐户”非常重要。

只有在恢复原始本地Active Directory用户帐户时，我们才能恢复“附加”到本地Active Directory用户帐户的所有信息，例如用户属性、组成员身份和很快，

原始本地 Active Directory 用户帐户的还原过程将导致 Office 365 用户帐户 + 他的 Exchange Online 许可证和其他 Office 365 许可证的自动还原过程，使我们能够

• 恢复 Office 365 用户帐户与另一个 Office 365 基础结构的“连接”。
• 还原连接到已还原的 Office 365 用户帐户的 Exchange Online 邮箱。

当前文章系列的下一篇文章

已删除的 Active Directory 用户帐户和已删除的对象存储 |基本介绍 |第 1#4 条 |第 13 部分#23