Granikos Technology Blog

Die Installation und die erfolgreiche Implementierung von SharePoint Server 2019 erfordern eine detaillierte Planung. Gleiches gilt für eine Hybrid-Konfiguration mit SharePoint Online.

In diesem Artikel finden Sie eine Zusammenstellung der wichtigsten Links zur Planung, Installation und Konfiguration von SharePoint Server 2019 und einer optionalen Hybrid-Konfiguration mit SharePoint Online.

Hinweis
Nicht für alle Seiten ist eine deutschsprachige Übersetzung verfügbar. Daher finden Sie nachfolgend Verlinkungen zu englischsprachigen und deutschsprachigen Inhalten.

SharePoint Server 2019

• New and improved features in SharePoint Server 2019
• Unterschiede zwischen SharePoint Server 2016 und 2019
• Veraltete oder entfernte Funktionen in SharePoint Server 2019
• Hardware- und Softwareanforderungen für SharePoint Server 2019
• Resilient File System (ReFS) Overview

Planung einer SharePoint Farm

SharePoint kann grundsätzlich in vier unterschiedlichen Architekturmodellen betrieben werden, die ihre ganz individuellen Vor- und Nachteile bieten. Diese sind:

• SharePoint Online (SaaS)
  Hierbei wird SharePoint als integraler Bestandteile des SaaS Angebotes von Office 365 verwendet. Sie nutzen immer die aktuellste Version von SharePoint.
   
• SharePoint Hybrid
  Hierbei werden eine lokale SharePoint Server Farm und SharePoint Online parallel betrieben und sind bidirektional miteinander verbunden. Beide Umgebungen können auf Inhalte der anderen Umgebung zugreifen.
   
• SharePoint in Azure (IaaS)
  Hier agiert Azure als Erweiterung Ihrer internen IT-Infrastruktur. Sie betreiben in Azure virtuelle Serversysteme und betreiben dort eine SharePoint Server Farm. Diese Farm kann auch in einer Hybridanbindung mit SharePoint Online betrieben werden. 
   
• SharePoint On-Premises
  Dies entspricht einer klassischen SharePoint Server Farm, die Sie auf Ihren eigenen Serversystemen, virtualisiert oder phsikalisch, betreiben.

IT-Responsibility	SharePoint  Online	Hybrid	Azure IaaS	On-Premises
Data Governance und Rechtemanagement
Client Endpunkte
Benutzerkonten- und Zugriffsverwaltung
Identitäten und Active Directory Infrastruktur
Netzwerk
Applikationen
Betriebssystem
Physikalische Host-Systeme
Physikalisches Netzwerk
Physikalische Rechenzentren

 = kontrolliert durch Microsoft
 = kontrolliert durch Kunden

Design einer SharePoint Farm Topologie

• Video: What is SharePoint Server MinRole
• Übersicht über die MinRole-Serverrollen in SharePoint Server 2016 und 2019
• Beschreibung von MinRole und den zugehörigen Diensten in SharePoint Server 2016 und 2019
• Microsoft SharePoint Server MinRole Topology (PDF, Visio)

Hochverfügbarkeit und Notfallwiederherstellung 

• Erstellen einer Hochverfügbarkeitsarchitektur und -strategie für SharePoint Server
• Konzepte für hohe Verfügbarkeit und Notfallwiederherstellung in SharePoint Server
• Unterstützte Hochverfügbarkeits- und Notfallwiederherstellungsoptionen für SharePoint-Datenbanken
• Konfigurieren von SQL Server AlwaysOn-Verfügbarkeitsgruppen für SharePoint Server
• Planen von SQL Server AlwaysOn und Microsoft Azure für die Notfallwiederherstellung in SharePoint Server

Installation und Konfiguration

• Planen der Browserunterstützung in SharePoint Server 2016 und 2019
• Planen von Administrator- und Dienstkonten in SharePoint Server 
• Kontoberechtigungen und Sicherheitseinstellungen in SharePoint Server 2016 und 2019
• Konfigurieren der automatischen Kennwortänderung in SharePoint Server
• Installieren von erforderlichen Komponenten für SharePoint Server 2016 von einer Netzwerkfreigabe
• Installieren von SharePoint Server 2016 oder 2019 auf einem einzelnen Server 
• Hinzufügen eines Servers zu einer Farm in SharePoint Server 2016 oder 2019
• Installieren von SharePoint Server 2016 oder 2019 auf mehreren Servern 
• Verwalten einer MinRole-Serverfarm in SharePoint Server 2016 und 2019

Applikationsverwaltung

• Zuweisen oder Entfernen von Administratoren von Dienstanwendungen in SharePoint Server 

Hybrid-Konfiguration mit SharePoint Online

• Download Hybrid Picker (direkter Download)

Viel Spaß mit SharePoint Server 2019 und SharePoint Online.

Office Online ist die browserbasierte Variante der wichtigsten Office Applikationen. Dies ermöglicht Ihnen einen schnellen Zugriff und eine Bearbeitung von Office-Dokumenten im Browser.

Office Online umfasst im Standard folgende Applikationen:

• Excel
• OneNote
• PowerPoint
• Word

Wenn Sie Anwender Lizenzpläne für Visio Online oder Project Online zuweisen, können diese Anwender auch Dateien dieser Applikation im Browser bearbeiten.

Office Online kommt auch in Outlook on the Web zu Einsatz. Immer dann, wenn Sie einen Dateianhang einer E-Mail auswählen, erfolgt die Anzeige im Browser durch Office Online. In dieser Ansicht in Outlook on the Web haben Sie auch die Möglichkeit, die ausgewählte Datei direkt zu bearbeiten.

Ob ein Anwender in der Lage ist, eine Office-Datei zu bearbeiten hängt von der jeweiligen Berechtigung und Absicherung des Dokumentes ab. Daher ist eine korrekte Konfiguration der Berechtigungen und Freigaben so wichtig. Office Online unterstützt die gleichzeitige Bearbeitung eines Dokumentes durch mehrere Anwender. Die zeitgleiche Zusammenarbeit an einem Office-Dokument funktioniert mit Office Online, Office Desktop und Office Mobile.. 

Die Office Online Suite wird ergänzt durch die zugehörigen mobilen Office Apps für Android und iOS. 

Excel

Die Excel-Edition von Office Online stellt Ihnen die wichtigsten Excel-Funktionen bereit. Damit haben Sie schnell und einfach Zugriff auf Informationen, die über Excel abgerufen werden können. Bei der Nutzung von Excel-Datei gibt es jedoch zwei wichtige EInschränkungen. Excel-Dateien mit verknüpften externen Datenquelle funktinieren aus Sicherheitsgründen nicht. Hier bietet sich Power BI als Alternative an. Eine weitere Einschränkung gilt für Excel-Dateien mit Makros und VBA-Code. Dieser Code wird in Excel Online nicht ausgeführt.

Der folgende Screenshot zeigt eine Excel-Datei aus der Dateiablage einer Office 365 Gruppe.

Die Einbettung von Office Online steht natürlich auch in Microsoft Teams zur Verfügung. Der folgende Screenshot zeigt ein Excel-Arbeitsblatt, das direkt aus der Dateiablage eines Teams heraus geöffnet wurde. Sie haben in dieser Ansicht die Option, zur reinen Office Online Ansicht zu wechseln, um den zur Verfügung stehenden Bildschirmraum besser auszunutzen oder die Datei in der Desktopversion von Excel zu öffnen. 

Die Einbettung von Office Online in Microsoft Teams ist nicht auf Excel beschränkt. 

PowerPoint

PowerPoint Online ist eine weitere Applikation von Office Online. Mit dieser Applikation können Sie bestehende Präsentationen bearbeiten oder neue Präsentationen erstellen. Der große Vorteil von PowerPoint Online ist aber weniger die Möglichkeit zur Bearbeitung, sondern zu direkten Präsentation. 

Sie können eine geöffnete PowerPoint-Datei direkt im Browser präsentieren. Sie benötigen die Desktop-Applikation hierzu nicht. 

Wenn Sie eine Präsenation in einer anderen Office 365-Applikation, wie z.B. Sway, einbetten, können Sie direkt in dieser Applikation die Präsenation halten.

Der folgende Screenshot zeigt eine PowerPoint-Datei eines Office 365-Testmandanten.

Das Öffnen und Präsentieren ist natürlich auch in Microsoft Teams möglich.

Visio

Auch für Visio exisitiert eine Möglichkeit zur Ansicht von Visio-Dateien. HIer steht primär ein Viewer zur Verfügung, der keine Bearbeitung zulässt. Ist die Datei in SharePoint-Online geöffnet, können Sie die ausgewählte Datei in einer Vorversion der Office Web Apps von Visio (Visio Legacy Editor) bearbeiten. Aufgrund der Komplexität von Vision ist eine Bearbeitung nur in der Visio Desktop-Edition sinnvoll.

Der folgende Screenshot zeigt das Organisationsdiagramm eines Office 365-Testmandaten als VIsio-Datei.  

Die Anzeige von Visio-Dateien ist natürlich auch in Microsoft Teams möglich. 

Word

Word Online ist sicherlich die Komponente von Office Online, die Sie am häufigsten verwenden werden. Mit Word Online steht Ihnen ein browserbasiertes Textverarbeitungsprogramm zur Verfügung, das die gängigsten Funktionen der Desktop-Edition von Word zur Verfügung stellt. 

Der folgende Screenshot zeigt ein Word-Dokument eines Office 365-Testmandaten.

Und natürlich funktioniert Word Online auch in Microsoft Teams.

Links

• Office for the web service description

Zurück zum Blog-Artikel "Was ist Office 365"

Viel Spaß mit Microsoft 365.

Der browserbasierte Zugriff auf ein Exchange Postfach mit Hilfe von Outlook on the Web (OWA) ermöglicht Ihren Anwendern die Anzeige und Bearbeitung von Office-Dateianhängen ganz ohne Medienbruch in eine andere Applikation. 

Für Kunden von Microsoft 365 und Exchange Online sind hierzu keine weiteren Konfigurationen notwendig. Die Integration von Office Online mit Outlook on the Web ist standardmäßig aktiviert. Jedem Anwender wird automatisch eine Standard-Richtlinie zu gewiesen. Zu den Betriebsrisiken später mehr.

Wenn Sie diese Funktion auch für Ihre lokale Exchange Organisation bereitstellen möchten, müssen Sie zuerst eine Office Online Server Umgebung aufbauen und, falls erforderlich, aus dem Internet erreichbar machen. Die Anforderungen und Implementierungsoptionen einer Office Online Umgebung schauen wir uns in einem der nächsten Artikel an.

In Outlook on the Web wird die Möglichkeit einer Anzeige im Browser im Auswahlmenü eines Dateianhanges anzeigt:

Ebenso ist das Öffnen des Anhanges das Standardverhalten bei einem Klick auf den Dateinamen.

Problem

Im Rahmen einer betrieblichen Anforderung kann es notwendig sein, dass bestimmten Anwendergruppen der Zugriff auf Office Online aus OWA heraus zu unterbinden und stattdessen das Herunterladen von Office-Dateianhängen zu erzwingen.

Die Gründe hierfür können sehr unterschiedlich sein.

Lösungen

Je nachdem, ob Sie Office Online als SaaS-Lösung in Microsoft 365 nutzen, oder aber Ihre eigene Office Online Server Umgebung betreiben, stehen Ihnen unterschiedliche Lösungen zur Verfügung. DIe von Office Online (Server) bereitgestellten Funktionen werden nciht nur von OWA verwendet. 

Konfiguration einer neuen OWA-Postfachrichtlinie

Die Option einer neuen OWA-Postfachrichlinie (OwaMailboxPolicy) steht Ihnen für Microsoft 365 und die lokale Exchange Organisation zur Verfügung. Die Erstellung einer neuen OWA-Postfachrichtlinie ist zwar auch über das Exchange Admin Center, jedoch ermöglicht dieser Weg anschließend nur eine sehr rudimentäre Konfiguration. Daher empfehle ich Ihnen, OWA-Postfachrichtlinien immer mit Hilfe der Exchange Management Shell (EMS) zu erstellen und zu verwalten. Wenn Sie mit Exchange Online arbeiten, stellen Sie bitte sicher, dass Ihr administratives Konto mit einer Multi-Faktor-Authentifizierung (MFA) geschützt ist und Sie das speziell hierfür zur Verfügung gestellte PowerShell Modul verwenden.

Die Erstellung einer neuen OWA-Postfachrichlinie gliedert sich immer in zwei Schritte:

1. Erstellung der neuen Richtlinie mit Hilfe des Cmdlets von New-OwaMailboxPolicy
2. Konfiguration der neu erstellen Richtlinie mit Hilfe des Cmdlets Set-OwaMailboxPolicy

Im folgenden Beispiel erstelle ich in Exchange Online eine neue OWA-Postfachrichlinie für das fiktive Unternehmen Contoso. Der Name der neuen Richtlinie ist Contoso-Restricted-OWA-Policy.

# Aktivierung der PowerShell-Protokollierung (Transkript)
Start-Transcript

# Uneingeschränkte Anzeige von Array-Inhalten
$FormatEnumerationLimit=-1

# Erstellung der neuen OWA-Postfachrichtlinie
New-OwaMailboxPolicy -Name 'Contoso-Restricted-OWA-Policy'

# Auflistung der Namen der vorhandenen OWA-Richtlinien
Get-OwaMailboxPolicy | ft Name

Nach der Erstellung der neuen Richtlinie wurden alle Standard-Einstellungen der Richtlinie im PowerShell-Fenster ausgegeben. Dank der aktivierten Protokollierung haben Sie diese Einstellungen in der Transkript-Textdatei festgehalten.

In diesem Artikel interessieren wir uns für die relevanten Einstellungen zu Office Online (Server). Diese Einstellungen verbergen sich in den Parametern mit dem Kürzel Wac.

# Auflistung der Wac-relevanten Parameter der OWA-Richtlinie
Get-OwaMailboxPolicy 'Contoso-Restricted-OWA-Policy' | FL *wac*

WacEditingEnabled                      : True
WacViewingOnPublicComputersEnabled     : True
WacViewingOnPrivateComputersEnabled    : True
ForceWacViewingFirstOnPublicComputers  : False
ForceWacViewingFirstOnPrivateComputers : False
WacExternalServicesEnabled             : True
WacOMEXEnabled                         : False

Die gewünschte Deaktivierung von Office Online erfolgt über die Parameter WacViewingOnPublicComputersEnabled und WacViewingOnPrivateComputersEnabled. Mit diesen beiden Parametern wird festgelegt, ob für den Anwender, dem diese Richtlinie zugewiesen ist, eine Anzeige des Anhanges in Office Online möglich ist oder nicht. Die Möglichkeit zur Anzeige wird für öffentliche und private Computer getrennt konfiguriert. Seit Exchange Server 2013 werden Zugriffe per OWA immer als Zugriffe von einem privaten Computer gewertet.

Die Bedeutung der Wac-relevanten und aller anderen Parameter ist auf der Hilfe-Seite des Cmdlets Set-OwaMailboxPolicy bestens beschrieben. 

Nach der Erstellung muss die neue Richtlinie noch einzelnen oder allen Anwenderkonten zugewiesen werden.

# Zuweisung der neuen OWA-Richtlinie an ein einzelnes Anwenderkonto
Get-CASMailbox AllanD | Set-CASMailbox -OwaMailboxPolicy 'OwaMailboxPolicy-Default'

# Zuweisung der neuen OWA-Richtlinie an alle vorhanden Anwenderkonten
Get-CASMailbox | Set-CASMailbox -OwaMailboxPolicy 'OwaMailboxPolicy-Default'

# Optionale Konfiguration der neuen OWA-Richtlinie als Standardrichtlinie
Set-OwaMailboxPolicy 'Contoso-Restricted-OWA-Policy' -IsDefault:$true

Nach der Zuweisung der neuen OWA-Postfachrichtlinie wird die Möglichkeit zur Vorschau eines Dateianhanges nicht mehr angezeigt.

Wenn Sie die neu erstellte OWA-Postfachrichlinie Anwendern zuweisen, die zu diesem Zeitpunkt in OWA angemeldet sind, so haben die neuen Einstellungen noch keine Wirksamkeit. Die Einstellungen der neu zugewiesenen Richtlinie werden erst nach einer Ab- und Anmeldung an OWA wirksam.

Deaktivierung der Office Online Lizenz

Auf den ersten Blick erscheint die Deaktivierung der Office Online Lizenz im Rahmen eines Office 365-Lizenzplanes auch eine Möglichkeit zu sein, um die Nutzung von Office Online zu verhindern.

Sie deaktivieren die Office Online Lizenz direkt in der Lizenzzuweisung eines Anwenders im Microsoft 365 Admin Center oder über die gruppengesteuerte Lizenzzuweisung in Azure AD.

Aber führt diese Anpassung der Lizenzzuweisung zum gewünschten Ergebnis? Nein, leider nicht.

Die Deaktivierung der Lizenzzuweisung von Office Online hat keine Auswirkungen auf

• das Öffnen und Bearbeiten von Dateianhängen in Outlook on the Web
• das Öffnen und Bearbeiten von Dokumenten in SharePoint Web oder OneDrive for Business Web
• das Öffnen und Bearbeiten von Dokumenten in Microsoft Teams Desktop oder Web

Damit scheidet die Option zur Zugriffssteuerung von Office Online über die Lizenzzuweisung für einen Anwender aus. 

Risiken

Wie bei vielen anderen Richtlinien von Exchange Online und Exchange Server existiert nach der ersten Einrichtung des Office 365 Tenants bzw. der Exchange Organisation eine Standardrichtlinie zur Konfiguration der Outlook on the Web (OWA) Einstellungen für alle Anwender. Da der Zugriff auf OWA ebenfalls standardmäßig für alle Anwender aktiviert ist, müssen Sie sich mit der Konfiguration der Standardrichtlinie auseinandersetzen.

Verschaffen Sie sich einen schnellen Überblick über all die Zusatzfunktionen, die im Rahmen einer OWA-Richtlinie gesteuert (*enabled) werden.

# Beispielhafte Abfrage der Parameter einer OWA-Richtlinie, die eine Zusatzfunktion steuern
Get-OwaMailboxPolicy 'OwaMailboxPolicy-Default' | FL *enabled*

Diese Abfrage liefert Ihnen eine Grobüberischt der vorhandenen Einstellungen und deren Standardkonfigurationen. Überprüfen Sie alle Einstellungen für OWA-Postfachrichtlinien, ob sie den Compliance-Anforderungen Ihres Unternehmens entsprechen. Sie finden dieser EInstellunge in der Dokumentation für das Cmdlet Set-OwaMailboxPolicy.

Hinweis

Denken Sie beim Thema Office Online auch daran, dass Office Online auch Dokumente öffnen kann, die bei externen Speicheranbietern liegen. Die Nutzung von externen Speicheranbietern, aus Sicht von Office 365, kann im Microsoft 365 Admin Center ausgeschaltet werden.

Wählen Sie im Menüpunkt Einstellungen > Dienste und Add-Ins den Punkt Office Online aus.

Setzen Sie den Schieberegler für die Konfiguration Personen die Verwendung von gehosteten Speicherdiensten von Drittanbietern gestatten aus Aus und speichern Sie die Einstellung.

Links

• Dokumentation OwaMailboxPolicy
  • New-OwaMailboxPolicy
  • Set-OwaMailboxPolicy
• Download Exchange Online PowerShell Modul mit MFA

Viel Spaß mit Microsoft 365 und Exchange Server!

Problem:

When you try to connect to SharePoint Online using PowerShell you receive an Access Denied error as follows:

PS C:\> Connect-SPOService -Url https://tenant-admin.sharepoint.com -credential $credential
 
Connect-SPOService : Cannot contact web site
'https://tenant-admin.sharepoint.com/' or the web site does not support
SharePoint Online credentials. The response status code is 'Unauthorized'. The
response headers are 'X-SharePointHealthScore=0,
SPRequestGuid=310ce59d-002b-3000-ef1a-70e5fe7eaf72,
request-id=310ce59d-002b-3000-ef1a-70e5fe7eaf72, X-MSDAVEXT_Error=917656; Acces
s+denied.+Before+opening+files+in+this+location%2c+you+must+first+browse+to+the
+web+site+and+select+the+option+to+login+automatically.,

Solution

Connecto to the SPO Service without the previously entered credentials ($credential) and enable the LegacyAuthProtocolsEnabled attribute.

Set-SPOTenant -LegacyAuthProtocolsEnabled $True

Enjoy SharePoint Online.

Abschaltung der Basic Authentication für Exchange Online

In ihrem Blogartikel Improving Security - Together hat die Exchange Produktgruppe angekündigt, die unsichere Authentifizierungsmethode Basic Authentication zum 13. Oktober 2020 nicht nur für die Exchange Web Services (EWS) abzuschalten, sondern zusätzlich auch für Exchange ActiveSync (EAS), POP, IMAP und Remote Exchange PowerShell.

Bei der Basic Authentication handelt es sich um eine in die Jahre gekommene Authentifizierungsmethode, die im Vergleich zu modernen Authentifizierungsmethoden Schwächen hat. Diese Schwächen führen dazu, dass diese Authentifizierungsmethode immer wieder von Angreifern verwendet wird, um unberechtigten Zugriff auf Ressourcen zu erlangen. Exchange Online und Azure AD sind, als globale Clouddienste, immens vielen Angriffen dieser Art ausgesetzt.

Mehr Sicherheit mit moderner Authentifizierung

Die moderne Authentifizierung (Modern Auth), basierend auf OAuth 2.0, bietet im Zusammenspiel mit Multi-Faktor-Authentifizierung (MFA) einen umfassenderen Schutz für den Zugriff auf Exchange Online und andere Cloud-Ressourcen. Diese Art der Authentifizierung ist nicht neu, setzt sich für bestimmte Zugriffsarten aber nur langsam durch. Die Unterstützung für Modern Auth wird bereits seit Office 2013 unterstützt und ist seit Version 2016 nativ in das Produkt integriert.

Für mobile Endgeräte stellt sich die Situation etwas anders dar. In vielen Fällen erfolgt der Zugriff auf Exchange Online Postfächer mit nativen E-Mail-Clients der mobilen Endgeräte statt. Diese verwenden in den meisten Fällen das ActiveSync-Protokoll (EAS). EAS wiederum bedient sich standardmäßig der Basic Authentifizierung und ist daher für die Zukunft nicht mehr das passende Protokoll für den Zugriff auf Exchange Online. Hier ist Outlook Mobile (Android/iOS) die bessere Alternative. Mit Outlook Mobile haben Sie die Möglichkeit, die Authentifizierung der Benutzerkonten zusätzlich mit MFA abzusichern.

Für die Protokolle SMTP, POP und IMAP gibt es eine besondere Herausforderungen. Diese Protokolle unterstützen heute die moderne Authentifizierung (noch) nicht. Für den Zugriff auf Mitarbeiter-Postfächer stellt dies noch keine Problem dar, da dieser Zugriff immer über das Protokoll MAPIoverHTTP erfolgen sollte. Das eigentliche Problem sind all die anderen Applikationen, die Sie gegenwärtig für einen POP/IMAP-Postfachzugriff und SMTP-Mailversand über ein Exchange Online Postfach konfiguriert haben. Hierzu gehören z.B. Ticketsysteme, ERP-Lösungen oder individuell programmierte Line-of-Business-Applikationen (LOB).

Ähnlich sieht es für die Authentifizierung von PowerShell-Skripten aus, die auf einem Ihrer internen Skript-Server ausgeführt werden und Aktionen gegen Exchange Online ausführen. Für die direkte Anmeldung an die Exchange Online PowerShell mit Modern Auth können Sie bereits heute das Exchange Online PowerShell Modul mit MFA oder die Azure Cloud Shell verwenden.

Was muss ich tun?

Die Deaktivierung der Basic Authentication für Exchange Online hat direkte Auswirkungen auf die von Ihnen betreute IT-Infrastruktur. Um eine Unterbrechung im Zugriff auf Exchange Online-Ressourcen zu vermeiden, müssen Sie wissen, mit welchen Protokollen Anwender und Applikationen auf Exchange Online-Endpunkte zugreifen. Die Exchange Produktgruppe plant ein Software-Tool zur Auswertung bereitzustellen, dass Sie bei der Analyse der Zugriffsarten unterstützt.

Für den Zugriff auf Exchange Postfächer von Windows Desktops ist die Maßnahme einfach. Wenn Sie noch ältere Windows Desktop Betriebssystem im Unternehmen einsetzen, wechseln Sie auf Windows 10 als Standard-Betriebssystem und migrieren Sie die Office-Installation zu Office 2019 bzw. Office 365 ProPlus.

Nutzen Sie Outlook Mobile für den Zugriff auf Exchange Online Postfächer. Outlook Mobile lässt sich über die gängigen Mobile Device Management (MDM) Lösungen zentral auf mobile Endgeräte verteilen und konfigurieren. Mit Hilfe von Mobile Application Management (MAM) und Conditional Access können Sie die Sicherheit beim mobilen Zugriff auf Exchange Online Postfächer noch weiter erhöhen.

Für automatisierte PowerShell-Skripte wird die Anpassung auf Modern Auth schwieriger. Sie können für die Ausführung der Skripte in der lokalen IT-Infrastruktur das Exchange Online PowerShell Modul mit MFA implementieren. Hierbei müssen Sie allerdings bedenken, dass Skripte mit einer längeren Ausführungszeit in technische Probleme laufen werden. Wenn Ihre Skripte von Timeouts und Skriptverzögerungen, sog. Micro Delays, betroffen sind, müssen Sie die Strategie zur Skriptausführung überdenken und den Skript-Code anpassen. Eventuell ist es vorteilhafter, eine professionelle Softwarelösung zur Ausführung von Skripten einzusetzen, die Modern Auth nativ unterstützt. PowerShell-Skripte, die nur Aktionen gegen Exchange Online oder anderen Office 365 Endpunkten ausführen, können auch in Azure Automation betrieben werden.

Wichtig ist auch noch einmal der Hinweis, dass sich die Deaktivierung der Basic Authentifizierung auf Exchange Online bezieht. Die On-Premises Variante von Exchange Server 2019 ist davon nicht betroffen.

Fazit

Die Exchange Produktgruppe ist sich der Herausforderungen für die Kunden bewusst. Der Titel des Original-Artikels Improving Security - Together ist mit Bedacht gewählt. Ein besserer Schutz von Exchange Online Postfächern und Ressourcen ist nur möglich, wenn die Erhöhung der Sicherheit gemeinsam, also von Ihnen als Office 365 Kunde und der Exchange Produktgruppe, umgesetzt wird.

Bereiten Sie sich und Ihre IT-Infrastruktur rechtzeitig auf die Abschaltung der Basic Authentication vor. Erstellen Sie einen realistischen Zeitplan für die notwendigen Konfigurationen und Anpassungen, um spätestens im Juli 2020 die Umstellung abgeschlossen zu haben. Es hat sich schon immer bewährt, einen zeitliche Puffer einzuplanen.

Die Erhöhung der Sicherheit geht immer mit Komfortverlust einher. Dieser Komfortverlust ist jedoch zu verschmerzen, wenn man den Sicherheitsgewinn gegenüberstellt.

Links

• Building Zero Trust networks with Microsoft 365 
• Enable modern authentication in Exchange Online 
• Upcoming changes to Exchange Web Services (EWS) API for Office 365
• Connect to Exchange Online PowerShell using multi-factor authentication
• Azure Cloud Shell Now Supports Exchange Online

Viel Spaß mit Exchange Online!

Today's virtualization options provide a wide variety to even virtualize business-critical enterprise applications. Distributed enterprise applications can easily be virtualized but require proper planning. Otherwise, you will end up with virtualized SharePoint Server Farm that does not scale well and perform badly.

This article will provide information on how to virtualize your production environment properly and will not necessarily cover development environments, as those tend to run in over-committed scenarios anyway.

The following table provides a simple overview of the SharePoint farm terminology:

Never ever start a SharePoint production deployment with a single multi-role SharePoint Server.

The following figure illustrates the architecture of a SharePoint Server 2013 environment example.

Capacity and Performance: These two key aspects are the most important aspects when you plan your SharePoint virtualization infrastructure. You need to plan for enough disk capacity to host all of the content databases and data that is cached to disk by the web server and application server roles. Your overall capacity should be planned at least for a three year period. The requirements for CPU and memory sizing of the virtual hosts depends on your server requirements. A virtual host should always be equipped to the physical maximum. If you leave CPU sockets empty, there is no guarantee that you will get the CPU for that socket in the future. The memory banks should be filled in the proper ratio per CPU as well. Otherwise, you will not be able to fully benefit from the virtualization of your servers.

Virtualizing the Load Balancer

Mostly all of the major vendors of hardware load balancers offer virtualized load balancers as well. As long as the virtual load balancer is not running on an over-committed host, and sufficient performance is provided, there is no legitimate reason to not virtualize a load balancer. 

Especially when you maintain a large virtualization platform you are heavily interested to not add additional hardware complexity to your network infrastructure by adding hardware load balancers. Any additional layer of complexity adds an additional layer for support as well.

Some of the major vendors are (purely alphabetical):

• F5, http://f5.com
• jetNEXUS, http://www.jetnexus.com
• Kemp,  http://kemptechnologies.com
• Radware, http://www.radware.com
• Riverbed, http://www.riverbed.com

Virtualizing the Web Server role

Web servers are easy to scale because web servers generally provide much better performance by adding additional CPUs and memory resources. This is the reason why the webserver role within a SharePoint deployment is the easiest to scale out. Because it is so easy to just add additional resources it is not automatically the right approach. Performance-wise you will reach a point where adding an additional web server makes more sense. This decision if you extend the resources of an existing server or add a new virtual machine depends on the overall virtualization infrastructure and the available hardware resources.

Another important topic to think about is the migration of virtual machines between hosts and the high-availability functionality of your virtualization platform. A virtual machine can be moved between virtual hosts more quickly when the virtual machine is not over-sized. The larger the assigned resources are, the more time it takes to migrate a virtual machine. You need to keep this in mind not only for migrations due to maintenance reasons or virtual hosts fail-overs. The same is true when you utilize the automatic load balancing of virtual machines.

NUMA nodes are an additional important topic. Microsoft provides dedicated information to NUMA nodes SharePoint here. Even though the article is focusing on Hyper-V, the general NUMA node requirements are valid for other hyper-visor platforms as well. As per Microsoft performance can decrease by up to 8% when a virtual machine needs to access remote memory from another NUMA node.

The proper sizing of memory resources ensures that your web servers perform as expected. You need to ensure that the webserver does not require to swap memory and make heavy use of the page file. Any use of the page file results in unnecessary disk I/O. And depending on the disk subsystem the required I/O reduces the performance dramatically. Even though the operating system supports the hot-adding of virtual memory, not all application functions make use of added virtual memory. Some components recognized available memory during the start-up of the operating system and do not adjust themselves during run time (e.g. Distributed Cache).

Your SharePoint server running the webserver role should be configured with at least:

• 2 CPU
• 8 GB Memory
• Single Volume hosting the operating system and the SharePoint Server application files

Virtualizing the Application Server role

The CPU demand of SharePoint application servers depends heavily on the applications that are running on those servers. Some applications might be more CPU resource-intensive (e.g. Search), others might be more memory intensive. To find the proper sizing for your specific requirements you need to monitor the system resources not only on a general level (e.g. System CPU usage, system memory consumption) but on a more granular level (per service, per application pool, per worker process). 

Your SharePoint server running the application server role should be configured with at least:

• 2 CPU (4 CPU, if running multiple applications on a single server)
• 8 GB Memory (16 GB, if running multiple applications on a single server)
• Single Volume hosting the operating system and the SharePoint Server application files

Virtualizing the Database Server role

The virtualization of SQL Server is a separate topic that will be covered in more detail in a separate blog article. But it would be unfair to leave this section more or less empty.

First of all, it should be said that even SQL Server can be virtualized. If virtualizing SQL Server is an option for your IT infrastructure depends on the SQL Server and data warehouse design of your company. Some companies prefer to host SQL databases in central SQL Servers serving all data applications within the company. Other companies prefer to host SQL databases on different SQL servers and group those by SQL Server SLA and/or by the type of data stored in databases.

In this example, we assume that there are three SQL Server 2012 dedicated to SharePoint in use. The following table gives a brief overview of the recommended memory sizing for SQL Server virtual machines:

SQL Server 2012 provides a new functionality called AlwaysOn Availability Groups (AAG). The AAG provides a much better experience and performance when it comes to database fail-overs. But at the same time, you need to plan resource requirements in a different way than you were used to with classic Windows Clustering capabilities. An AAG does have a primary replica of a database and many secondary (passive) replicas of the same database.

AAGs can be operated in two different availability modes:

1. Asynchronous-commit
   The primary replica commits transactions without waiting for confirmation by the secondary replicas.
   This mode is similar to high-performance mode with database mirroring.
2. Synchronous-commit
   The primary replica waits for the acknowledgment of all secondary replicas.
   This mode is similar to high-safety mode with database mirroring.

 In our example we have two different AlwaysOn Availability Groups configured:

1. AAG1: Synchronous-commit
   This AAG supports the databases for Central Administration and the SharePoint configuration databases.
   These databases do not rely so much on database performance, but we want to make sure that the data is properly protected.
2. AAG2: Asynchronous-commit
   This AAG supports all SharePoint content databases.
   We want to achieve the best performance for the content databases. 

Summary

The SharePoint 2013 farm example ends up in the following virtual host demands:

To be able to have a single virtual host in maintenance, but still have redundancy we need to plan for at least three virtual hosts. But even in this case one of the two can fail. Therefore you need to protect yourself from a failure while having on a virtual host in maintenance. The disk subsystem is connected to each host by fiber channel or iSCSI on a dedicated 10GB network.

Links

• Performance And Capacity Technical Case Studies (SharePoint Server 2010)
• Use best-practice configurations for the SharePoint 2013 virtual machines and Hyper-V environment
• Storage and SQL Server capacity planning and configuration (SharePoint Server 2013)