Смена УЗ на сервисе синхронизации AADSync

Первоисточник

После установки обновлений на свежий сервер синхронизации Azure AD Sync его потребовалось перезагрузить... и после перезагрузки мониторинг сказал, что синхронизация не работает. Как оказалось, на сервере не стартует служба "Microsoft Azure AD Sync". Ага, подумал я, обновление снесло предыдущие настройки DirSync, щя поменяем учётку и для службы (в домене стоит политика по ограничению возможности запуска служб под сервисными учётками) и запущу её. Нет, сказал AADSync и выдал eventid 6208 (The server encryption keys could not be accessed).

Предварительно я нашел информацию, что сброс пароля локальной учётки AAD_* не поддерживается и вообще: её (локальную учётку) надо добавлять в доменную политику для разрешения запуска служб. Как утверждает официальная документация при установке можно указать другую учётную запись для использования в качестве сервисной, но я обновлялся с DirSync и такой вариант мне не был предложен

LXC с сетью в Bridge+NAT

Есть сервер тонкой виртуализации LXC на Debian. Виртуальные машины подключаем в Bridge (не включено bydefault в Debian 8\Jessie), выпускаем во вне через Masquerade и настраиваем для VM раздачу адресов в DNSMasq.

Миграция с Lync на Skype: Edge server

Итак, настало время миграции на Skype for Business. Как настоящие Enterprise админы мы не поддаёмся намёкамMS о том, что надо-бы делать InPlace и идём по сценарию Side-by-Side. Потому что Windws на 2012R2 на Edge тоже надо бы обновить.

И тут нас начинают поджидать грабли.

Exchange Load Balancing

Признаю свою неправоту: Exchange 2013 умеет в L4 балансировку. Чего я НЕ знал, так это того, что чтобы это работало Enable-ExchangeCertificate -services IIS должен активировать ОДИНАКОВЫЙ сертификат на КАЖДОМ сервере, т.к. приватный ключ используется для защиты кукиса авторизации.

Посыпая свою голову пеплом я размышляю: а почему-же у меня всё таки не заработала авторизация через ADFS?

Не пускает в OWA после успешной авторизации

Столкнулся с проблемой, когда после успешной авторизации в OWA происходит возвращение на страницу авторизации, при этом в логах всё хорошо, авторизация происходит успешно и красного нет (если только не посмотреть в тот самый глубоко зарытый лог и знать, что именно искать).

Так как это происходило оочень редко и OWA пользуются мало только разрабы с Linux, я долгое время подзабивал на эту проблему, но в определённый момент пошло много жалоб и пришлось вникнуть, загуглить и разобраться.

Office365, гибрид, миграция и RecipientsLimits

На моей работе очень большой оборот персонала и в некоторых случаях вместо того, чтобы бить по рукам и учить как делать правильно, экономнее делать технический запрет на определённые действия. Одним из таких запретов является ограничений на число получателей письма. Да, звучит глупо, но было достаточно идиотов, которые отправляли по всем контактам "Привет, я Ваш новый менеджер" или "Участвуйте в нашем супер-пупер вебинаре".

Для блокировки такой возможности были использованы лимиты на число получателей, которые работали замечательно ... до момента построения гибрида с O365

MS SQL vs XML

Оказывается в MS SQL есть целый инструментарий XQuery, как работать с данными типа XML в качестве элемента записи. Получается почти еврейский SQL: внутри запроса содержится запрос. Можно работать со столбцами, когда ты работаешь со столбцами!

Как всегда заметка для освежения своей памяти в будущем ибо продвинутую магию можно загуглить.

Минималистичный шлюз на Debian

После развёртывания debian-netinstall вносим изменения в файлы по списку ниже.

Что и где:

• Внешний интерфейс eth0
• Внутренний интерфейс eth1
• Внутренняя сеть 10.10.0.0/24
• На шлюза работют DNS proxy+DHCP via DNSMasq

Ошибка добавления сервера в DAG

Понадобилось добавить в DAG Exchange 2013 очередной сервер (7й по счёту), и тут случилась неудача.

Автоматическое включение архива для ящиков в Exchange 2010\2013

Через год после миграции на архивы Exchange настало время автоматизировать включение сотрудникам архивы (RetentionPolicy штампуется автоматически при создании ящика, но можно штамповать и в этом скрипте). Так как архивы хранятся на отдельном хранилище (RAID 50 против RAID 10 для основных баз), то помешать их в базы с основными ящиками будет нерационально с точки зрения траты "дорогого" пространства.

Для автоматизации этого дела я написал небольшой скрипт.

Exchange 2013 - 421 4.3.2 Service Not Available

[Source]

Через неопределенный промежуток времени Exchange 2013 (MBX+CAS) перестает принимать письма и выдает ошибку при попытке подключиться по 25 порту:

421 4.3.2 Service Not Available

Lync\Exchange 2013 Remote management

По пока непонятный мне причине Lync 2013 отказывается работать с RGS при импорте его модуля на нелинковском сервере, ссылаясь на то, что нет подключения к SQL. В качестве временного решения (хотя скорее постоянного) я воспользовался Powershell Remoting.

rsyslog сервер

Настроим клиент и сервер rsyslogd для удаленного сбора логов с разборкой по правилам и отделением локальных и удаленных логов

Миграция почтовых объектов в другой лес

Очередная бизнес задача: есть два леса с настроенным доверием, в каждом из них настроен Exchange. Необходимо произвести миграцию объектов из одного леса в другой.

Lighttpd в качестве домашнего вебсервера

В один прекрасный момент я понял, что Apache на домашнем сервере - это слишком тяжело и решил поставить что-нибудь попроще и побыстрее. Мой выбор пал на lighttpd, так как у меня ранее был опыт работы с ним.

(не) Использование Distribution групп в Lync Response Group

Внезапно выяснилось и подтвердилось, что при создании групп дозвона Lync 2010, смотрящих на группы рассылки в AD, могут возникать проблемы с синхронизацией. Узнать об этом можно будет только из журнала Lync, наблюдая за событием 31128:

Data synchronization from Active Directory failed.

The following exception was thrown during the synchronization process:
Exception: System.Data.SqlClient.SqlException - Cannot insert duplicate key row in object 'dbo.Agents' with unique index 'IX_Agents_UserSid'.
The statement has been terminated.
Inner Exception: ~
The next synchronization attempt will be in 480 minutes.
Cause: Unhandled exception.
Resolution:
Verify the connectivity with the domain controller or if the Active Directory schema was properly applied and all user attributes are present.

Очень информативно :(.

Autdiscover не работает перестал работать для некоторых пользователей

При очередной автонастройки я обнаружил, что оно не работает. Remote connectivity test analyzer показывал, что сервер возвращает 603\The Active Directory user wasn't found, что крайне странно.

Автоматическое обновление сертификатов на Lync серверах

Развертывание Mediation\SBA серверов в представительствах может показаться не такой уж и плохой идеей, ровно до того момента, как приходит понимание, что для каждого сервера необходим персональный сертификат и их необходимо периодически обновлять.

Для покупных сертификатов у меня есть отдельная Excel табличка, которая генерирует csv, по которому скрипт на пару с дорогим мне поставщиком сертификатов отправляет уведомления при истечении срока действия сертификата, но обновлять сертификаты более чем на 10 серверах я не хочу.

Данная задача вполне может быть автоматизирована, хотя и не весьма тривиально.

Использование Exchange EWS для чистки почтовых ящиков

При переходе на архивирование в Exchange появились две проблемы (кроме очевидного отсуствия возможности тереть сообщения из архива, хотя....): удалить заглушки, оставленные системой архивации, и автоматически удалять из архива сообщения старше 5 лет

По поводу заглушек. В Exchange 2007 можно было производить поиск сообщений по их классу, в 2010 и 2013 данную возможность убрали. Задачу можно решить достаточно просто с использованием EWS (просто - если уже знаешь как или делал подобно хотя бы один раз, когда я первый раз искал информацию её было очень мало).

Автоимпорт PST в Exchange и автоматические оповещения

В определенный момент понадобилось переехать с некой системы архивирования на архивы Excahnge. Шаг не лучший, но, к сожалению, предыдущая система архивирвоания плохо масштабировалась и имела свои недостатки.

Основной проблемой, которая встретилась при переезде оказалось перемещение почты из системы архивирования обратно в Exchange. Из-за наличия багов в работе Outlook процесс прямой выгрузки сообщений в почтовый ящик имел ненулевую вероятность остановки с ошибкой и требовал ручного продолжения. К счастью можно было выгружать архивы в PST, что было в 7-10 раз быстрее и не давало сбоев. Надо было только автоматизировать процесс импорта.