Introducción a Exchange en la nube con Microsoft Office 365

¡Feliz año nuevo a todos!
Antes de comenzar con este post quería desear a todos los lectores del blog que pasen un feliz 2012 y que ojalá puedan cumplir todos sus propósitos en este nuevo año que empieza.

Dicho esto, podemos empezar este artículo con información sobre Microsoft Office 365 y particularmente sobre el proceso de migración de un Exchange On-Premises (el Exchange instalado en local de toda la vida) hacia Exchange Online, la propuesta de Exchange en la nube de Microsoft.

Office 365 es una de las apuestas de Microsoft en la nube y ayuda a los administradores de sistemas a ofrecer 3 de los servicios de usuario más comunes (correo electrónico, mensajería instantánea y colaboración) de una forma rápida y sencilla de administrar. Al suscribir un plan de Office 365, los usuarios pueden comenzar a utilizar Microsoft Exchange, Microsoft Lync y Microsoft Sharepoint con una mínima intervención del administrador y con un compromiso muy alto de disponibilidad por parte de Microsoft.

Si estamos hablando de una empresa que no tenía antes ningún servicio de estas características implementado en su red local... ¡Genial! El proceso de suscripción es realmente sencillo y la configuración inicial consta apenas de 3 ó 4 rápidos pasos.

Una vez que hemos decidido dar el paso a la nube, debemos tener en cuenta el licenciamiento de esta solución:

• El plan de suscripción más barato se llama E1 y cuesta aproximadamente 100EUR/año por usuario. Incluye 25GB de correo, acceso a estas 3 herramientas y licencias de Exchange, Sharepoint y Lync por si queremos hacer una implementación híbrida (algunos buzones de correo alojados en la nube y otros en la LAN, por ejemplo). El plan "estrella" parece ser el plan llamado E3. Incluye acceso a todo lo anterior, a Office Web Apps (Google Docs, pero de MS) y licencia de Office Professional Plus para los puestos cliente. Cuesta más o menos 275EUR/año por usuario. Hay más planes E disponibles, para satisfacer las necesidades de un montón de empresas distintas.

• Si la empresa tiene menos de 50 usuarios puede acceder al plan P. Este plan ofrece las mismas funcionalidades que el plan E1, pero con otro nombre. Este plan cuesta 64EUR al año por usuario, pero NO hay posibilidad de migrar del plan P a los planes E. Es decir, es para empresas que no vayan a tener más de 50 usuarios.

• Por unos 43 euros al año por usuario también podemos optar por usar los planes K. Estos planes están pensados para trabajadores que no hacen un uso intensivo de su equipo o que, tal vez, ni siquiera tienen un puesto de trabajo propio. Este plan cuenta con un espacio limitado de buzón (500MB) y características de edición de documentos limitadas.

También es destacable que no haya ningún requisito mínimo de contratación para estos planes. Si estamos trabajando con una Micropyme, podríamos contratar solo 1 ó 2 licencias de cualquiera de estos planes. También es digno de mencionar que no hay ningún requisito de versión de Office en los equipos cliente que se conectan a la nube de Microsoft. No tienes que mantener actualizado tu Outlook, por ejemplo, aunque las versiones actualmente con soporte son Outlook 2007 y 2010. Outlook 2003 solo podrá conectarse a la nube de MS por POP3 o IMAP, pero no por MAPI. Además, el soporte de MS no te ayuda si tienes problemas con Outlook 2003 y la nube de Office 365. Evidentemente, las versiones más antiguas no podrán aprovechar todas las características de la nube, pero no estás obligado a acceder desde la última versión si no necesitas esas funcionalidades.

Panel de administración de usuarios de Office 365

La administración de usuarios y grupos se hace desde una consola web muy fácil de utilizar. Una empresa que comience ahora a utilizar los servicios mencionados no tendrá más que conectarse al panel de control y comenzar a crear sus usuarios. Si, por otra parte, la empresa quiere sincronizar su Active Directory con la nube de MS, necesitará un servidor miembro en el dominio y la utilidad DirSync de Microsoft. Esta utilidad de apenas 100MB de peso se instala como servicio y sincroniza el directorio activo cada 3 horas con la nube de MS. También puedes forzar una sincronización manual. MS recomienda que este servicio esté instalado en un servidor dedicado a esta función. Es obligatorio que esta utilidad se instale en un servidor miembro. No se puede instalar sobre un controlador de dominio. Además, deberá estar instalada sobre un Windows Server 2008 o posterior.

Asistente de sincronización de directorios

Es importante saber que DirSync no sincroniza contraseñas. Solo nombres de usuario, grupos y atributos asociados a ellos (dirección, cargo...). Si además de sincronizar los usuarios y grupos con DirSync queremos que los usuarios de la nube de MS tengan la misma contraseña que los usuarios de nuestro AD (el tan ansiado "inicio de sesión único") y que los cambios en un sitio se propaguen al otro, tenemos que usar los Servicios de Federación de Active Directory. Ojo al dato: Microsoft recomienda que para sincronizar las contraseñas en instalaciones de menos de mil usuarios se usen cuatro servidores dedicados a esta tarea. Esto se debe a lo crítico que este servicio se convierte para los servicios de la nube.

Federation Services consta de dos roles principales: los propios servidores de federación y los servidores de proxy de federación. Los servidores de federación son los encargados de recibir y aceptar/rechazar las peticiones de inicio de sesión de directorio activo. Estos servidores se tienen que instalar en la LAN y deben tener comunicación directa con los controladores de dominio. Los proxies de federación se instalan en la DMZ y publican el puerto 443 (HTTPS) a Internet. Cuando la nube de Microsoft quiere autenticar a un usuario, habla con el proxy de federación por el puerto 443 que a su vez enruta la petición hasta los servidores de federación de la LAN por RPC sobre HTTPS y ellos, a su vez, devuelven la respuesta al proxy. De esta forma, las contraseñas no abandonan la empresa y se aumenta la seguridad en la infraestructura.

Esquema de una infraestructura tipo de ADFS

Aunque los dos roles de servicios de federación se podrían instalar en la misma máquina y colocar esa máquina en la LAN, la infraestructura perdería, evidentemente, seguridad. Además, dependeríamos de que ese servidor estuviera funcionando para dar los servicios de la nube de MS. De todas formas, si no queremos usar servicios de federación, podemos administrar las contraseñas de la nube y de Active Directory de forma separada, sin ningún problema. Los usuarios deberían acordarse de dos passwords, pero ahí queda todo. Microsoft proporciona amplia información sobre el inicio de sesión único en Office 365.

Una vez decidido si vamos a sincronizar nuestros usuarios y contraseñas, en muchas de las implementaciones de Office 365 tendremos que migrar los correos de la instalación local hacia la nube. El proceso de migración de los buzones locales de Exchange a la nube está muy cuidado. No hay que tocar registros MX en el DNS ni nada de nada. La migración se hace a través de RPC sobre HTTPS desde Exchange 2003 en adelante. Requiere, por tanto, que Outlook Anywhere esté configurado y que tenga un certificado válido en el servidor de origen. En el caso de que el servidor de correo origen no sea un Exchange, también se puede hacer la migración a través de IMAP, pero en ese caso no se migrarán ni los contactos ni el calendario del usuario, tal y como si sucede en las migraciones desde Exchange On-Premises.

Antes de comenzar el proceso de migración desde Exchange a Exchange Online tendremos que comprobar que RPC sobre HTTPS funciona correctamente en la instalación local usando https://testexchangeconnectivity.com. En el caso de que se produzca algún error en estos tests, tendremos que corregirlo.

Tras hacer esta comprobación solo tendremos que añadir el dominio para el que queremos recibir correo a nuestro plan de Office 365. Añadir un dominio nos obligará a introducir un registro TXT en el DNS del mismo para comprobar que somos los dueños del mismo, sin embargo, no afectará para nada a la producción del mismo.

Agregando un nuevo dominio a Office 365

Una vez completado este paso nos dirigiremos al apartado "Migración de correo" en el panel de administración de Exchange Online. Allí le introduciremos un archivo de texto separado por comas que previamente habremos generado y que incluirá los usuarios que queremos migrar en ese "lote". Podemos especificar un lote de hasta mil usuarios, aunque Exchange Online los procesa de 3 en 3.

Iniciar un lote de migración

Cuando comienza la migración del buzón, automáticamente redirige todos los mensajes del buzón local hacia la nube. El usuario ya puede cerrar su Outlook y el administrador ya puede configurarle el perfil de Outlook de Office 365, ya que todos sus correos nuevos empezarán a llegar a la nube de MS sin que el administrador haga nada. Mientras el usuario tiene abierto su nuevo buzón de Office 365 irá viendo como se va "rellenando" con los mensajes migrados a medida que se van subiendo hacia la nube. El usuario no pierde en ningún momento el acceso al buzón antiguo ni al nuevo. No pierde ni un solo correo ni un solo minuto de trabajo. El único trabajo del administrador es cerrar el Outlook y configurarle una nueva cuenta de correo que apunte a la nube de MS.

El buzón de Office 365 funciona como uno normal y corriente de Exchange On-Premises. Todas las funciones están disponibles. Incluso, si un usuario tiene un PST y lo quiere subir a la nube, puede hacer arrastrar y colocar. Si es el administrador el que quiere subir un PST a la nube, primero tendrá que importarlo a un buzón de Exchange local (Exmerge, cmdlets de Exchange 2007 o Exchange 2010) y luego usar el mismo procedimiento para migrar ese buzón a la nube.

Antes de comenzar el proceso tenemos que saber que es una copia, no una sincronización. Como os digo, una vez que empieza el proceso, el usuario deja de recibir los mensajes en el Exchange local y empieza a recibirlos en el Office 365. Evidentemente, una vez el buzón está en la nube de MS, podemos acceder al correo a través de Outlook, OWA o ActiveSync (teléfonos). También hay disponible una interfaz de BlackBerry para Office 365 llamada BlackBerry Business Cloud Services que actualmente está en beta pública y será lanzada definitivamente durante este mes.

Iniciando sesión en BlackBerry Business Cloud Services

Tal y como se aprecia en el siguiente gráfico, el proceso de migración consume aproximadamente 1Mb de ancho de banda de subida por cada buzón que se migra de forma simultánea. Para que os hagáis una idea, he montado un Exchange 2003 en el laboratorio de Ncora y he subido desde allí un buzón de 256 correos de 4MBs cada uno (1GB de buzón) a la nube de Microsoft. Sube aproximadamente 400MB por hora. Un buzón "tipo" de 2GB de tamaño y 10.000 elementos ha tardado poco más de 6 horas en migrarse. Planead, por tanto, el número de elementos además del tamaño del buzón antes de hacer la migración.

Ancho de banda de subida consumido por la migración

Una vez migrados todos los buzones, podemos escoger desinstalar el Exchange local y cambiar los MX en el DNS para que sea la nube de MS la que reciba los correos o bien dejar la instalación en local de Exchange para alojar los buzones que creamos conveniente. En este segundo caso, MS recomienda que se use la licencia de Exchange 2010 que te ofrecen para que lo que tengamos en local esté actualizado.

Espero que esta pequeña introducción a los servicios Online de Microsoft os haya gustado. Que la nube es el futuro-presente ya está bastante claro. Microsoft nos tiende la mano para acompañarnos a ella y, dentro de la responsabilidad de los administradores de sistemas, entra la decisión de escoger su solución después de probarla y compararla con la del resto de fabricantes.

¡Un saludo a todos!