Forstå indstillingerne for Office 365 og Azure Active Directory

Du kan vælge mellem tre primære identitetsmodeller i Office 365, når du konfigurerer og administrerer brugerkonti:

Det er vigtigt nøje at overveje, hvilken identitetsmodel der skal bruges til at komme i gang. Tænk på tid, eksisterende kompleksitet og omkostninger. Disse faktorer er forskellige for hver organisation; Dette emne gennemgår disse nøglebegreber for hver identitetsmodel for at hjælpe dig med at vælge den identitet, du vil bruge til installationen.

Du kan også skifte til en anden identitetsmodel, hvis dine krav ændres.

Identitet i Office 365 til virksomheder

Cloud-identitet

I denne model opretter og administrerer du brugere i Microsoft Office-portalen og gemmer kontiene i Azure AD. Azure AD bekræfter adgangskoderne. Azure AD er det skykatalog, der bruges af Office 365. Der kræves ingen servere i det lokale miljø – Microsoft administrerer alt dette for dig. Når identitet og godkendelse håndteres fuldstændigt i skyen, kan du administrere brugerkonti og brugerlicenser via Microsoft Online Portal eller Windows PowerShell-cmdlet'er.

Følgende grafik opsummerer, hvordan du administrerer brugere i cloudidentitetsmodellen.

1. Administratoren opretter forbindelse til Microsoft Online Portal i Microsoft-skyplatformen for at oprette eller administrere brugere.

2. Opret eller administrer anmodninger sendes videre til Azure AD.

3. Hvis dette er en ændringsanmodning, foretages ændringen og kopieres tilbage til Microsoft Office-portalen

4. Nye brugerkonti og ændringer af eksisterende brugerkonti kopieres tilbage til Microsoft Office-portalen.

Hvornår vil du bruge cloud-identitet? Cloudidentitet er et godt valg, hvis:

• Du har ingen anden lokal brugermappe.
• Du har en meget kompleks mappe i det lokale miljø og vil blot undgå arbejdet med at integrere med den.
• Du har et eksisterende katalog i det lokale miljø, men du vil køre en prøveversion eller et pilotprojekt med Office 365. Senere kan du matche skybrugerne med brugere i det lokale miljø, når du er klar til at oprette forbindelse til dit lokale katalog

Integration af Office 365 med en eksisterende katalogtjeneste

Hvis du har et eksisterende katalogmiljø i det lokale miljø, kan du integrere Office 365 med dit katalog ved hjælp af enten synkroniseret identitet eller enkeltlogon og identitet i organisationsnetværket for at oprette og administrere dine brugere i Office 365.

Synkroniseret identitet

I denne model administrerer du brugeridentiteten på en lokal server og synkroniserer kontiene og eventuelt adgangskoderne til skyen. Brugeren indtaster den samme adgangskode i det lokale miljø, som han eller hun gør i skyen, og ved logon bekræftes adgangskoden af Azure AD. Denne model bruger et katalogsynkroniseringsværktøj til at synkronisere den lokale identitet med Office 365.

Hvis du vil konfigurere den synkroniserede identitetsmodel, skal du have et lokalt katalog at synkronisere fra, og du skal installere et katalogsynkroniseringsværktøj. Du skal køre et par overensstemmelseskontroller i dit lokale katalog, før du synkroniserer kontiene.

Hvornår skal du bruge synkroniserede identiteter eller identiteter i organisationsnetværket:

Følgende diagram viser et synkroniseret identitetsscenarie med synkronisering af adgangskode. Synkroniseringsværktøjet holder dine virksomhedsbrugeridentiteter i det lokale miljø og i clouden synkroniserede.

1. Du installerer en Microsoft Azure Active Directory Connect.

2. Du opretter nye brugere i det lokale katalog.

3. Synkroniseringsværktøjet kontrollerer jævnligt det lokale katalog for eventuelle nye identiteter, du har oprettet. Derefter klargør den disse identiteter i Azure AD, sammenkæder de lokale identiteter og skyidentiteterne med hinanden, synkroniserer adgangskoder og gør dem synlige for dig via Microsoft Office-portalen.

4. Når du foretager ændringer af brugerne i det lokale katalog, synkroniseres disse ændringer med Azure AD og gøres tilgængelige for dig via Microsoft Office-portalen.

Sammensluttet identitet

Denne model kræver en synkroniseret identitet, men med én ændring af modellen: Brugeradgangskoden bekræftes af den lokale identitetsudbyder. Det betyder, at adgangskodehashen ikke behøver at blive synkroniseret med Azure AD. Denne model bruger Active Directory Federation Services (AD FS) eller en tredjepartsidentitetsudbyder.

Årsagerne til at bruge en identitet i organisationsnetværket omfatter:

Eksisterende infrastruktur

• Hvis du allerede har AD FS installeret af en anden grund, vil du sandsynligvis også bruge det til Office 365.
• Hvis du allerede bruger en anden identitetsudbyder, skal du bruge identitet i organisationsnetværket med Office 365.
• Hvis du bruger Forefront Identity Manager, skal du også bruge identitet i organisationsnetværket med Office 365.

Tekniske krav

• Du har flere områder i dine lokale Active Directory-domænetjenester (AD DS).
• Du har en lokal integreret chipkortløsning.
• Du har et eksisterende brugerdefineret hybridprogram, f.eks. med SharePoint eller Microsoft Exchange Server.

Politiske krav

• Du kræver login-revision og/eller øjeblikkelig deaktivering.
• Du skal bruge enkeltlogon.
• Du har loginbegrænsninger efter netværksplacering eller arbejdstid.
• Du har andre politikker på plads, der kræver identitet i organisationsnetværket.

I følgende diagram vises et scenarie med identitet i organisationsnetværket med en hybrid lokal installation og cloudinstallation. Den lokale mappe i dette eksempel er AD FS. Synkroniseringsværktøjet holder dine virksomhedsbrugeridentiteter i det lokale miljø og i clouden synkroniserede.

1. Du installerer Azure Active Directory Connect Synkroniseringsværktøjet hjælper med at holde Azure AD opdateret med de seneste ændringer, du foretager i dit lokale katalog. Du skal bruge en brugerdefineret installation af Azure AD Connect for at konfigurere enkeltlogon.

2. Du opretter nye brugere i Active Directory i det lokale miljø.

3. Synkroniseringsværktøjet kontrollerer jævnligt Active Directory-serveren i det lokale miljø for eventuelle nye identiteter, du har oprettet. Derefter klargør den disse identiteter i Azure AD, sammenkæder de lokale identiteter og skyidentiteterne med hinanden og gør dem synlige for dig via Microsoft Office-portalen.

4. Når der foretages ændringer af identiteten i Active Directory i det lokale miljø, synkroniseres disse ændringer med Azure AD.

5. Disse ændringer gøres tilgængelige for dig via Microsoft Office-portalen.

6. Dine fødererede brugere logger på med din AD FS.

7. AD FS genererer et sikkerhedstoken, og dette token overføres til Azure AD. Tokenet bekræftes og valideres, og brugerne godkendes derefter til Office 365.