Abgleich der Benutzerkonten mit Office 365

+++ DRAFT +++ DRAFT +++ DRAFT +++ DRAFT +++ DRAFT +++ DRAFT +++ DRAFT +++ DRAFT +++ DRAFT +++ DRAFT +++

Neben der manuellen Anlage von Benutzern (diese wird im Kapitel Verwalten von Benutzern beschrieben), kann MailStore Server seine interne Benutzerdatenbank auch mit dem Office 365 Mandanten Ihres Unternehmens abgleichen.

Bei der Synchronisierung werden Benutzerinformationen, wie z.B. Benutzernamen und E-Mail-Adressen, aus dem Office 365 Mandanten in die MailStore Server-Benutzerdatenbank kopiert. Dadurch können sich z.B. Benutzer mit ihren Office 365 Mandanten-Zugangsdaten auch an MailStore Server anmelden und E-Mails den Benutzerarchiven automatisch zugeordnet werden. Es werden von MailStore Server keine Änderungen am Office 365 Mandanten selbst vorgenommen. Der Umfang der Synchronisierung lässt sich über Filter einschränken.

Vorbereiten des Office 365 Mandanten

Um Benutzerinformationen aus Office 365 zu synchronisieren, benötigt MailStore Server einen Dienstprinzipal, welcher das Recht besitzt, auf Ihren Office 365 Mandanten zuzugreifen. Der Dienstprinzipal repräsentiert MailStore Server innerhalb des Office 365 Mandanten und ermöglicht die Authentifizierung gegenüber den Mandantendiensten und die Nutzung ihrer Ressourcen.

Installieren des Azure Active Directory Moduls

Office 365 nutzt das Azure Active Directory als Verzeichnisdienst. Jedem Office 365 Mandanten entspricht ein Azure AD Mandant, in welchem seine Benutzerinformationen gespeichert werden. Um einen Dienstprinzipal zu erstellen, müssen zunächst die dafür notwendigen PowerShell Cmdlets installiert werden, wie in diesem Artikel beschrieben:

Windows PowerShell-Cmdlets für Office 365 auf Office.com

Einen Dienstprinzipal erstellen

Nachdem das PowerShell Modul installiert wurde, können Sie einen Dienstprinzipal im Azure AD wie folgt erstellen:

Öffnen Sie eine PowerShell-Sitzung un geben Sie den folgenden Befehl ein, um sich mit dem Office 365 Azure AD Mandanten zu verbinden:
```
Connect-MsolService
```
Ein Anmeldedialog öffnet sich. Geben Sie hier administrative Zugangsdaten für Ihren Office 365 Plan ein.
Optional: Um eine Liste aller Dienstprinzipale, die momentan in Ihrem Azure AD Mandanten existieren, abzurufen geben Sie folgenden Befehl ein:
```
Get-MsolServicePrincipal
```

Erstellen Sie einen neuen Dienstprinzipal mit folgendem Befehl:

New-MsolServicePrincipal -DisplayName "MailStoreSP" -ServicePrincipalNames "MailStoreSP/<Mandantendomäne>" -Type Password -Value "<Passwort>"

Ein Dienstprinzipalobjekt wird zurückgegeben. Seine ObjectId wird für die Rollenzuweisung im nächsten Schritt benötigt. Der Dienstprinzipal ist standardmäßig für ein Jahr gültig, weitere Informationen finden Sie im MSDN.
Damit der Dienstprinzipal Informationen aus dem Azure AD Mandanten lesen kann, weisen Sie ihm die Directory Readers Rolle mit folgendem Befehl zu:
```
Add-MsolRoleMember -RoleName "Directory Readers" -RoleMemberType ServicePrincipal -RoleMemberObjectId "<ObjectId des Dienstprinzipals>"
```

Aufruf der Verzeichnisdienste-Integration

Melden Sie sich als MailStore Server-Administrator über den MailStore Client an.
Klicken Sie auf Verwaltung > Benutzer und Archive > Verzeichnisdienste.
Der Verzeichnisdienste-Typ ist abhängig von der Azure Cloud Ihres Office 365-Azure AD-Mandanten:

Globale Azure Cloud

Wenn Ihr Office 365-Azure AD-Mandant in der globalen Azure Cloud liegt, wählen Sie den Verzeichnisdienste-Typ Office 365.

Azure Deutschland Cloud

Wenn Ihr Office 365-Azure AD-Mandant in der Azure Deutschland Cloud liegt, wählen Sie den Verzeichnisdienste-Typ Office 365 Germany.

Azure China Cloud

Wenn Ihr Office 365-Azure AD-Mandant in der Azure China Cloud liegt, wählen Sie den Verzeichnisdienste-Typ Office 365 operated by 21 Vianet.

Verbindung zu Office 365

Für die Synchronisierung benötigt MailStore Server Informationen darüber, wie der Office 365 Mandant angesprochen werden kann.

Dienstprinzipal
Der Dienstprinzipalname des Dienstprinzipals (z.B. MailStoreSP/<Mandantendomäne>).
Passwort
Das Passwort des Dienstprinzipals.
Domäne
Eine E-Mail-Domäne innerhalb des Office 365 Mandanten.

Synchronisierung der Benutzerdatenbank

Nachdem Sie die Verbindungseinstellungen wie oben beschrieben angegeben haben, können Sie in diesem Abschnitt Filterkriterien für den Abgleich mit Office 365 festlegen.

Nur diese Gruppen:
Wählen Sie eine oder mehrere Office 365-Gruppen aus, wenn Sie nur deren Mitglieder als MailStore Server-Benutzer anlegen wollen. Dadurch lässt sich verhindern, dass bestimmte Benutzer nach MailStore Server synchronisiert werden.

Optionen

Automatisch Benutzer in MailStore Server löschen
Hier kann gewählt werden, ob Benutzer, die im Office 365 Mandanten gelöscht wurden, durch die Synchronisierung auch in der MailStore Server-Benutzerdatenbank automatisch gelöscht werden sollen. Benutzer, die aus dem Betrachtungsbereich der Einstellungen fallen, werden ebenfalls gelöscht.
Es werden nur MailStore Server-Benutzer gelöscht, deren Authentifizierungsmethode auf Verzeichnisdienste eingestellt ist.
Enthält der Archivordner eines solchen Benutzers bereits archivierte E-Mails, wird nur der Benutzereintrag, nicht aber sein Archivordner in MailStore Server gelöscht.

Standard-Berechtigungen festlegen

Benutzer, die aus einem Office 365 Mandanten nach MailStore Server synchronisiert wurden, besitzen standardmäßig das Recht zum Anmelden am MailStore Server und haben lesenden Zugriff auf ihr eigenes Benutzerarchiv.
Sie haben die Möglichkeit, die Standard-Berechtigungen vor der Synchronisierung anzupassen, um z.B. allen neuen Benutzern das Recht E-Mails archivieren zu geben. Klicken Sie dazu auf die Schaltfläche Standard-Berechtigungen....
Weitere Informationen über die Verwaltung von Benutzerrechten und deren Auswirkungen finden Sie im Kapitel Benutzer, Archive und Berechtigungen. Dort finden Sie auch Hinweise zum Anpassen existierender Berechtigungen.

Die Synchronisierung durchführen

Mit Klick auf Sync testen können Sie die Synchronisierungseinstellungen und das vom Office 365 Mandanten zurückgelieferte Ergebnis überprüfen, ohne dass Änderungen an der MailStore Server-Benutzerdatenbank durchgeführt werden.

Um die Synchronisierung letztendlich durchzuführen, klicken Sie auf Synchronisieren. Das Ergebnis wird dann mit allen an der MailStore Server-Benutzerdatenbank vollzogenen Änderungen angezeigt.