Administración basada en la nube de atributos de Exchange para buzones remotos en entornos híbridos

Información general

En un entorno híbrido de Exchange, la administración de atributos de Exchange para los usuarios sincronizados con directorios está restringida en Exchange Online (EXO). Las organizaciones deben usar sus Exchange Server locales, a veces denominados Último Exchange Server (LES) para modificar estos atributos dentro de Active Directory (AD), sincronizando los cambios en la nube a través de Cloud Sync o Connect Sync. Como resultado, aunque los buzones de correo se encuentran en la nube, las organizaciones siguen dependiendo de sus Exchange Server locales para administrar buzones de correo en la nube mediante la ejecución de cmdlets de Exchange Server que actualizan Active Directory local, lo que luego sincroniza las actualizaciones en la nube.

Una nueva funcionalidad de Exchange Online ahora permite a los administradores administrar atributos de Exchange para usuarios sincronizados con directorios con buzones hospedados en la nube. Con esta actualización, el origen de autoridad (SOA) para atributos específicos de Exchange se puede transferir a la nube, mientras que el SOA para los atributos relacionados con la identidad permanece bajo el control de la Active Directory local. Después de mover los atributos SOA para Exchange a la nube, estos detalles se pueden administrar mediante PowerShell EXO, el Centro de Administración de Microsoft 365 o el Centro de Exchange Administración, mientras que los atributos de identidad se siguen modificando solo a través de Active Directory local. En este documento se proporcionan instrucciones detalladas para activar esta característica para los usuarios cuyos buzones se encuentran en la nube, así como el proceso de desplazamiento de los atributos soa para Exchange al entorno de nube.

Una vez que el atributo de Exchange soa de un usuario se transfiere a la nube, la edición del nombre y el apellido del usuario requiere el uso de Active Directory local. Para modificar atributos de Exchange como HiddenFromAddressListsEnabled o CustomAttribute(x), los administradores deben usar Exchange Online PowerShell o el Centro de Administración de Exchange (EAC) de Microsoft 365.

Las modificaciones en los atributos de Exchange designados también se pueden volver a escribir en Active Directory local a través de Microsoft Entra Cloud Sync. Para obtener más información sobre la configuración, consulte Habilitación de la escritura diferida de atributos de Exchange.

Disponibilidad de características

Microsoft proporciona esta característica en dos fases:

La fase 1 (ahora disponibilidad general) presenta el control por buzón para la administración en la nube de los atributos de Exchange. Los administradores pueden participar en buzones individuales para la administración en la nube si establecen IsExchangeCloudManaged en true. Durante esta fase, los buzones también se pueden revertir a la administración local si es necesario (IsExchangeCloudManaged se establece de nuevo falseen ). La fase 1 está pensada para administrar los atributos de buzón de usuario existentes individualmente y para la validación de características. La compatibilidad está disponible en los inquilinos comerciales (globales), así como en los entornos GCCH, DoD y Gallatin.

La fase 2 (versión preliminar pública) presenta compatibilidad con la escritura diferida para los atributos designados mediante Microsoft Entra integración de Cloud Sync. Las modificaciones en las propiedades de Exchange designadas realizadas en la nube se sincronizan automáticamente con Active Directory local; por ejemplo, los cambios en una dirección de proxy en Exchange Online se reflejan en el entorno local. La escritura diferida requiere Microsoft Entra Cloud Sync. Durante la versión preliminar pública, la escritura diferida admite inquilinos con menos de 200 000 buzones administrados en la nube; este límite aumenta a la disponibilidad general, destinada a finales de junio de 2026. Para obtener más información sobre la configuración, consulte Habilitación de la escritura diferida de atributos de Exchange.

La administración del origen de autoridad (SOA) de nivel de objeto permite a las organizaciones realizar la transición de objetos de directorio individuales de la administración local a la administración en la nube como parte de la retirada de servidores exchange locales y Active Directory. La administración del SOA para Usersy ContactsGroups ahora está disponible con carácter general (GA). Para usar esta funcionalidad, siga los pasos descritos en Configurar el origen de autoridad del usuario, Configurar el origen de entidad de grupo y Configurar soa de contacto.

Identidad, atributos de Exchange y escritura diferida

La sección siguiente contiene una tabla completa en la que se detallan los atributos que se pueden editar después de la transferencia soa de atributos de Exchange y si estas actualizaciones se devolverán al Active Directory local después de la transferencia de SOA. Muestra el estado final previsto de la característica y es posible que no refleje el comportamiento en las versiones actuales.

Requisitos previos

Antes de transferir el SOA del entorno local a Exchange Online, se deben cumplir ciertos requisitos previos.

Microsoft Entra Connect

Para habilitar esta característica, instale la versión más reciente de Entra Connect Sync. Descargue e instale la versión 2.5.190.0 o superior de la compilación de Connect Sync de Entra antes de su uso. Para obtener instrucciones detalladas sobre la actualización desde versiones anteriores, consulte la documentación Microsoft Entra Connect: Upgrade from a previous version to the latest (Conectar: actualizar de una versión anterior a la más reciente). Si usa una versión anterior de Entra Connect Sync que 2.5.190.0, el cliente de sincronización intentará insertar los atributos de Exchange de los buzones ya transferidos por SOA a Entra identificador, pero producirá un error. La actualización a la versión más reciente resolverá este problema.

Para confirmar la instalación correcta de la compilación de Entra Connect Sync, vaya a Programas dentro de la Panel de control y compruebe que la versión de Connect Sync de Microsoft Entra es 2.5.190.0 o posterior. Como alternativa, esta información se puede obtener mediante PowerShell:

(Get-ADSyncGlobalSettings).Parameters['Microsoft.Synchronize.ServerConfigurationVersion']

Microsoft Entra Cloud Sync

Además de Microsoft Entra Connect, esta característica ahora se admite a través de Microsoft Entra Cloud Sync.

Para descargar e instalar el agente de aprovisionamiento de Cloud Sync, siga Instalación del agente de aprovisionamiento de Microsoft Entra.

Después de la instalación, confirme lo siguiente:

• Versión (en el servidor local): El agente es 1.1.1107.0 o posterior, que es necesario para la escritura diferida de atributos de Exchange. Vaya a C:\Program Files\Microsoft Azure AD Connect Provisioning Agent, haga clic con el botón AADConnectProvisioningAgent.exederecho y seleccione Detalles de propiedades>.
• Registro (en el Centro de administración Microsoft Entra): el agente aparece con el estado Activo en Centro de administración Microsoft Entra> Administraciónhíbrida> de identidades >Microsoft Entra Conectar>Sincronización en la nube>Agentes.

Requisitos de rol

Para administrar correctamente la IsExchangeCloudManaged propiedad, la cuenta debe pertenecer a uno de los siguientes roles integrados, que están diseñados para proporcionar los derechos administrativos adecuados:

• (Recomendado)Administrador de Exchangeo
• Administrador de identidadeshíbridas o
• Administrador global

Transferencia de los atributos de Exchange SOA a la nube

Se ha agregado un nuevo parámetro, IsExchangeCloudManaged, para Exchange Online usuarios. Esta propiedad indica si los atributos de Exchange de un usuario sincronizado con directorio se administran en la nube o en el entorno local. De forma predeterminada, el IsExchangeCloudManaged valor se establece en false. Tenga en cuenta que este parámetro solo se aplica a los buzones con un usuario cuyo IsDirSynced estado es true. No se debe usar junto con ningún otro parámetro.

Para configurar los atributos de Exchange para que el buzón de un usuario sincronizado con directorios se administre en la nube, cambie el valor del parámetro del usuario a true. Para ello, abra una Exchange Online sesión de PowerShell y ejecute el siguiente comando para un buzón que se encuentra en la nube.

Set-Mailbox -Identity <User> -IsExchangeCloudManaged $true

Para comprobar el estado de este cambio, ejecute el siguiente cmdlet:

Get-Mailbox -Identity <User> | Format-List Identity, IsExchangeCloudManaged

Cuando IsExchangeCloudManaged se establece en true para un buzón sincronizado a través de Entra Connect Sync, los atributos de Exchange dejan de actualizarse desde el entorno local. A continuación, puede editar estos atributos directamente en la nube, que anteriormente estaba restringido.

Set-Mailbox -Identity <User> -CustomAttribute1 "ModifiedInTheCloud"

Para buscar todos los usuarios cuyo atributo de Exchange SOA se ha transferido a la nube, recupere las cuentas donde la IsExchangeCloudManaged propiedad está establecida en true. Puede usar el siguiente comando:

Get-Mailbox | Where-Object { $_.IsDirSynced -eq $true -and $_.IsExchangeCloudManaged -eq $true }

Habilitación de la escritura diferida de atributos de Exchange

Después de transferir el atributo SOA de Exchange a la nube, configure Microsoft Entra Cloud Sync para volver a escribir los atributos de Exchange admitidos en Active Directory local. La configuración se realiza en el Centro de administración Microsoft Entra y requiere el rol Administrador de identidades híbridas.

Creación de la configuración de sincronización

1. Inicie sesión en el Centro de administración Microsoft Entra.

2. En el panel izquierdo, desplácese hacia abajo hasta Entra Conectar, expándalo y seleccione Cloud Sync.

   

3. En la sincronización en la nube | Página Configuraciones , seleccione la lista desplegable Nueva configuración y, a continuación, seleccione EXO to AD attribute sync (Preview).

   

4. En la página Nueva configuración de escritura diferida de atributos Exchange Online, compruebe que el agente coincide con el dominio para el que desea configurar la sincronización y, a continuación, seleccione Crear. La creación de trabajos puede tardar unos minutos.

   

5. Una vez creado el trabajo, la página Información general de la nueva configuración se abre automáticamente. Para volver a esta página más adelante, seleccione el nombre de configuración en La sincronización en la nube | Página Configuraciones .

   

Inicio del trabajo de sincronización

En la pestaña Información general , seleccione Iniciar aprovisionamiento y, a continuación, seleccione Sí para confirmar.

Administración del trabajo de sincronización

El estado del trabajo aparece en la columna Estado de la sincronización en la nube | Página Configuraciones . Al seleccionar el vínculo de esa columna, se abre una barra lateral con detalles adicionales. Al abrir la configuración, se proporcionan más información sobre la pestaña Información general , entre las que se incluyen:

• Registros de aprovisionamiento: vea las operaciones de sincronización individuales desde el menú izquierdo.
• Registros de auditoría: vea los cambios de configuración en el menú de la izquierda.

Para pausar el trabajo, seleccione Pausar el aprovisionamiento en la pestaña Información general .

Para eliminar el trabajo, seleccione Eliminar configuración en la pestaña Información general . Esta acción deja la configuración sin un trabajo dentro. Para eliminar toda la configuración, seleccione el menú ... para la configuración en cloud sync | Página Configuraciones y, a continuación, seleccione Eliminar configuración.

Para ver o editar asignaciones de atributos o ámbito, abra la configuración y seleccione la pestaña Asignaciones de atributos o Filtros de ámbito .

Aprovisionamiento a petición

Para desencadenar una sincronización inmediata para un usuario específico en lugar de esperar al siguiente ciclo de sincronización, use Aprovisionar a petición.

1. En el menú izquierdo de la configuración, seleccione Aprovisionar a petición.

   

2. Busque el usuario o grupo y, a continuación, seleccione Aprovisionar.

   

3. Una vez completada la solicitud de aprovisionamiento, se muestra el resultado.

   

Comprobación de que la escritura diferida funciona

Una vez que se ejecute el trabajo de sincronización, compruebe la escritura diferida de un buzón administrado en la nube existente:

1. En Exchange Online PowerShell, modifique un atributo habilitado para escritura diferida en el buzón:

   Set-Mailbox -Identity <User> -CustomAttribute1 "TestValue_$(Get-Date -Format 'yyyyMMdd_HHmmss')"
   

2. Espere al siguiente ciclo de sincronización (aproximadamente 20 minutos) o use Aprovisionar a petición para una sincronización inmediata.

3. En el Shell de administración de Exchange local, confirme que el valor alcanzado Active Directory local:

   Get-RemoteMailbox -Identity <User> | Format-List CustomAttribute1
   

   El valor debe coincidir con el valor establecido en Exchange Online.

Cómo transferir los atributos de Exchange SOA de nuevo al entorno local

Para cambiar la administración de los atributos de Exchange de un usuario de administrado en la nube a administrado localmente, establezca IsExchangeCloudManagedfalseen . Una vez actualizada esta configuración, el siguiente ciclo de sincronización actualizará los atributos de Exchange en la nube del usuario con los valores del entorno local.

Antes de implementar este cambio, asegúrese de que las modificaciones realizadas en la nube que se deben conservar en el Active Directory local se realicen correctamente. Use cmdlets como Get-Mailbox y Get-User para guardar los valores pertinentes, lo que permite la restauración manual en el entorno local cuando sea necesario.

El siguiente comando transfiere el SOA de un buzón de correo a administrado localmente:

Set-Mailbox -Identity <User> -IsExchangeCloudManaged $false

Creación de nuevos buzones

Es posible que se sigan creando nuevos buzones mediante el cmdlet local, que aprovisiona buzones New-RemoteMailbox en la nube, hasta que se retire o apague el Exchange Server final. Sin embargo, como el objetivo de esta característica es acelerar el proceso de retirada de la última Exchange Server, el enfoque recomendado para crear nuevos buzones se describe aquí:

1. Cree un usuario de Active Directory en el entorno local y asigne los atributos de identidad necesarios. Si se usa un delimitador de origen personalizado, asegúrese de que la propiedad está asignada en el Active Directory local.
2. Entra Connect Sync sincronizará la identidad con la nube.
3. Use el Centro de Administración de Microsoft 365 para asignar una licencia de Exchange Online al usuario. Esta acción aprovisiona un buzón en Exchange Online.
4. Por último, use Set-Mailbox para establecer en IsExchangeCloudManagedtrue. Esto transfiere el SOA de este usuario a la nube.

Eliminación de un buzón existente

Para eliminar un usuario y su buzón de correo, el proceso requiere quitarlo de Active Directory local, incluso si los atributos se administran en la nube. Cuando la eliminación se sincroniza con la nube a través de Entra Connect Sync, el buzón del usuario también se elimina de la nube.

Habilitación de la característica en un nivel de inquilino

También es posible habilitar esta característica en el nivel de inquilino. SoA para todo el inquilino se introdujo para simplificar el proceso de configuración estableciendo IsExchangeCloudManagedtrue de forma predeterminada en para los buzones recién creados. Este comportamiento simplifica la administración de buzones en la nube mediante la eliminación de la dependencia en un Exchange Server local. Tenga en cuenta que esto no afecta a los buzones que ya se migraron a Exchange Online. Para habilitar la administración en la nube para estos buzones de correo, siga los pasos descritos en Transferencia de SOA de atributos de Exchange a la nube.

Cuando se habilita SOA en todo el inquilino, las cuentas de usuario asociadas a buzones recién creados se sincronizan con Microsoft Entra ID sin atributos relacionados con Exchange. Para aprovisionar estos usuarios con buzones de correo en la nube, se debe asignar un plan de Exchange Online adecuado. Una vez aprovisionado el buzón, se administra en la nube de forma predeterminada, lo que elimina la necesidad de participar explícitamente en cada buzón, como se describe en Transferencia de atributos de Exchange SOA a la nube.

Asegúrese de que se asigna uno de los siguientes roles:

• Administrador de identidades híbridas o
• Administrador global

Además, asegúrese de que usa una versión compatible de Microsoft Entra Connect, como se describe en la sección Requisitos previos. Microsoft Entra Cloud Sync también admite esta característica.

Para habilitar esta característica, conéctese a Exchange Online y ejecute el siguiente comando:

Set-OrganizationConfig -ExchangeAttributesCloudManagedByDefault

Para confirmar que la característica está habilitada, ejecute el siguiente comando:

Get-OrganizationConfig | Format-List BlockExchangeProvisioningFromOnPremEnabled

Se muestra la siguiente salida: BlockExchangeProvisioningFromOnPremEnabled : True

Para deshabilitar la característica, ejecute el siguiente comando. Tenga en cuenta que este cambio no afecta a los usuarios creados en Exchange Server y sincronizados con la nube mientras se habilitaba la característica:

Set-OrganizationConfig -ExchangeAttributesServerManagedByDefault

Para confirmar que la característica está deshabilitada, ejecute el siguiente comando:

Get-OrganizationConfig | Format-List BlockExchangeProvisioningFromOnPremEnabled

Se muestra la siguiente salida: BlockExchangeProvisioningFromOnPremEnabled : False

preguntas más frecuentes