Mobile-Menu

Hybrid-Bereitstellung von Microsoft Exchange SE Exchange SE mit Microsoft 365 und Entra ID betreiben

Von Thomas Joos 5 min Lesedauer

Anbieter zum Thema

FTAPI Software GmbH

Mit Exchange SE steht der Nachfolger von Exchange 2019 in den Startlöchern. Der Server lässt sich über den Hybrid Configuration Wizard an Microsoft 365 und damit an Microsoft 365 und Entra ID anbinden. Der Beitrag zeigt die Möglichkeiten.

Der Hybrid Configuration Wizard verbindet Exchange SE mit Microsoft 365 und Entra ID – zentrale Schnittstelle für Migration und Verzeichnisabgleich.(Bild: Joos | Microsoft)
Der Hybrid Configuration Wizard verbindet Exchange SE mit Microsoft 365 und Entra ID – zentrale Schnittstelle für Migration und Verzeichnisabgleich.
(Bild: Joos | Microsoft)

Exchange SE (Subscription Edition) baut auf Exchange 2019 CU15 auf. Daher ist auch der Hybrid Configuration Wizard ähnlich im Aufbau. Bezüglich der Serverversion entspricht Exchange SE in der RTM-Version der Version 15.2 (Build 2562.17). Bei Exchange 2019 CU15 ist die Version ebenfalls 15.2, allerdings mit dem Build 1748.10. Um eine lokale Exchange-Organisation an Microsoft 365 anzubinden und die Benutzer auch über Microsoft 365 anzubinden, erfolgt die Ausführung des Hybrid Configuration Wizards über den Bereich "Hybrid" im Exchange Admin Center.

Exchange-Verwaltungstools auf Windows 11 vorbereiten

Am besten erfolgt die Einrichtung über eine Admin-Arbeitsstation auf der auch die Verwaltungstools für Exchange SE installiert sind. Verbinden sich Admins von einer Arbeitsstation mit installierten Exchange-Verwaltungstools über den lokal installierten Webbrowser mit dem Exchange Admin Center, können sie von hier die Einrichtung starten.

Bildergalerie
Bildergalerie mit 8 Bildern

Die Exchange-Verwaltungstools werden am besten über die ISO-Datei von Exchange SE installiert. Dazu wird zuerst das Feature IIS6ManagementCompatibility gebraucht. Dieses lässt sich in Windows 11 am schnellsten über die Befehlszeile installieren:

dism.exe /online /Enable-Feature /FeatureName:IIS-IIS6ManagementCompatibility /All

Im Anschluss werden die notwendigen Runtimes für C++ benötigt und auf dem PC installiert:

Danach erfolgt der Start des Installationsassistenten von Exchange SE auf dem PC.

Verbindung zwischen Exchange und Microsoft 365 testen

Damit Exchange SE mit Microsoft 365 verbunden werden kann, sollte auf dem Exchange-Server zunächst die Verbindung überprüft werden. Microsoft stellt dazu ein Skript zur Verfügung, mit dem die Verbindung getestet werden kann. Nach dem Download kopieren wird die Datei in das Modules-Verzeichnis der PowerShell kopiert. Dieses lässt sich mit dem folgenden Befehl öffnen:

Cd $PSHome\Modules

Damit das Skript funktioniert, muss zeitweise die Ausführungsrichtlinie für Skripts der PowerShell auf Unrestricted gesetzt werden:

Set-ExecutionPolicy Unrestricted

Das PowerShell-Skript muss zunächst als Modul in die PowerShell importiert werden:

Import-Module .\HybridManagement.psm1

Danach kann die Verbindung mit folgendem Cmdlet getestet werden:

Test-HybridConnectivity -testO365Endpoints

Exchange-Verwaltungstools installieren

Nach dem Start des Installationsassistenten von Exchange SE, lässt sich auf Windows 11 der Menüpunkt „Empfohlene Einstellungen nicht verwenden“ und dann „Verwaltungstools“ auf der Seite „Serverrollenauswahl“ zur Verfügung. Nach der Installation stehen die Verwaltungstools auf dem PC zur Verfügung, vor allem das PowerShell-Modul für Exchange SE, das Basis für die Verwaltung ist. Nach dem Start der Tools, ruft man über den lokal installierten Browser das Exchange Admin Center auf dem Server mit Exchange SE auf. Die Adresse dazu ist https://<Name oder IP von Exchange>/ecp.

Nach der Anmeldung erfolgt ein Wechsel zu „Hybrid“.

Die Einrichtung lässt sich auch über die Schaltfläche „Konfigurieren“ im Exchange Online Admin Center bei „Einstellungen -> Hybrideinrichtung starten“. Das Exchange Online Admin Center steht über die Adresse admin.exchange.microsoft.com zur Verfügung. Nach dem Download des Hybrid-Assistenten „Microsoft.Online.CSE.Hybrid.Client.application“ erfolgt dessen Start. Das funktioniert auch direkt auf dem Server, ist aber auf Grund von Sicherheitseinstellungen oft umständlicher als auf einer Arbeitsstation.

Startet der Assistent nicht, hilft es die Verknüpfung der Dateiendung „*.application“ in den Systemeinstellungen von Windows auf eine andere App zu legen, zum Beispiel den Editor und danach wieder auf „ClickOnce Application Deployment Support Library“. Das Tool kann auch direkt über den Link heruntergeladen werden.

Startet der Assistent nicht, steht hier eine angepasste Version zur Verfügung. Die hier zur Verfügung gestellte Version sollte problemlos starten, die Anleitung dazu ist auf der Ali-Tarjan-Webseite dazu zu finden.

Hierbei handelt es sich um keinen offiziellen Download von Microsoft, die Verwendung erfolgt auf eigene Gefahr.

Hybrid Agent im Exchange Admin Center aktivieren

Der Hybrid Agent wird direkt über das Exchange Admin Center gestartet, sobald der Hybrid Configuration Wizard ausgeführt wird. Auf der Arbeitsstation mit Windows 11 und installierten Exchange-Verwaltungstools genügt ein Aufruf der Seite „Hybrid“, um den Assistenten herunterzuladen und zu starten. Der Agent ersetzt in der modernen Bereitstellung klassische Methoden wie Reverse Proxies oder öffentliche HTTPS-Verbindungen auf dem Exchange-Server.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Während der Einrichtung fordert der Assistent zur Authentifizierung an der lokalen Exchange-Organisation und Microsoft 365 auf. Sobald beide Anmeldungen erfolgreich verlaufen sind, prüft das Tool die verfügbaren Server und fordert zur Auswahl der Hybridkonfiguration auf. Für die Anbindung wird ein TXT-Eintrag in der externen DNS-Zone notwendig, um den Besitz der Domäne zu bestätigen. Der Inhalt des Eintrags wird im Assistenten angezeigt und kann direkt in die Zwischenablage übernommen werden.

Zertifikatsvalidierung und Connector-Konfiguration

Nach der Domänenverifizierung prüft der Assistent die eingesetzten Zertifikate auf allen Exchange SE-Servern. Dabei erkennt er automatisch, ob die Zertifikate korrekt installiert, vollständig verteilt und den richtigen Connectors zugewiesen sind. Fehlerhafte Konfigurationen blockieren den Assistenten nicht. Stattdessen lassen sich betroffene Server aus der Hybridkonfiguration ausschließen und der Vorgang trotzdem abschließen. Der Hybrid Agent benötigt keinen eingehenden Netzwerkzugriff von außen. Alle Verbindungen erfolgen ausgehend über die Ports 80 und 443.

Teilweise schlägt die Verbindung zu Microsoft 365 wegen eines Fehlers in der Zeitzonenerkennung fehl. In diesem Fall hilft eine temporäre Umstellung der Arbeitsstation auf UTC -1 (Azoren). Der Fehler tritt unregelmäßig auf und betrifft vor allem den Verbindungsaufbau beim Start des Assistenten.

Postfachmigration und Frei/Gebucht-Zeiten aktivieren

Nach Abschluss der Einrichtung lassen sich Postfächer direkt vom lokalen Exchange SE-Server zu Microsoft 365 migrieren. Auch die Frei/Gebucht-Zeiten zwischen Cloud- und On-Premises-Benutzern werden synchronisiert. Der Mailbox Replication Service nutzt dafür eine dedizierte Proxy-URL, die über den Agent generiert und verwaltet wird. Die URL basiert auf einem GUID-basierten Format und ist vollständig in Azure abgesichert.

Anders als oft vermutet, verbindet der Hybrid Agent nicht nur einen bestimmten Server mit Microsoft 365. In Exchange SE sind alle Server einer Organisation eingebunden, sofern sie über den Assistenten erkannt und zugelassen wurden. Eine zentrale Hybridrolle entfällt. Voraussetzung ist, dass alle beteiligten Server die DNS-Auflösung für AutoDiscover intern und extern fehlerfrei umsetzen können.

Vorbereitung und Kontrolle der lokalen Umgebung

Bevor der Hybrid Agent zum Einsatz kommt, sollte Exchange SE vollständig eingerichtet und betriebsbereit sein. Dazu gehören korrekte Zertifikatszuweisungen, stabile DNS-Auflösungen und eine funktionierende AutoDiscovery-Logik. Besonders bei komplexeren Umgebungen mit mehreren Servern empfiehlt sich eine Prüfung der Ereignisanzeige sowie ein Testlauf über das Skript Test-HybridConnectivity.

Zur vollständigen Integration in Microsoft 365 ist auch die Benutzer- und Gruppenverwaltung über Entra ID erforderlich. Dazu wird Entra ID Connect eingesetzt. Das Tool läuft auf einem separaten Server oder einem Domänencontroller und synchronisiert die lokalen Objekte in die Cloud. Die Einrichtung erfolgt über das Azure-Portal und bildet die Basis für ein einheitliches Identitätsmodell zwischen Exchange SE und Microsoft 365.

(ID:50549047)

Weiterführende Inhalte