Hogyan mentsük a bőrünket ADFS-leállás esetén

… avagy ADFS és jelszó-szinkronizáció egyszerre.

ADFS-t csak teljesen megbízható infrastruktúrára alapozva érdemes használni az Office 365-tel. Ehhez öt szerver kell: két proxy a DMZ-ben, két ADFS-szerver és egy szinkronizációs (AD Sync) szerver. Célszerű, hogy a szerverek közül legalább kettő fizikailag különböző helyen legyen, lehetőleg nem ugyanabban az épületben, és az internetkapcsolat is jó, ha redundáns. Ha biztosra szeretnénk menni, ezt a redundáns architektúrát kell felépítenünk.

Manapság már nem mindig érdemes ADFS-infrastruktúrát építeni: ha csak jelszó-szinkronizálásra van szükség, elég az AAD Sync. Ez viszont nem igazi egyszeri bejelentkezés (SSO), kizárólag arra jó, hogy a helyi AD-s jelszavakkal be tudjunk jelentkezni az Azure AD-ba. Ha például a helyi AD-hoz kapcsolt tokenes megoldást szeretnénk használni, rögtön ADFS-re van szükség.

Egy szónak is száz a vége: az ADFS jó bonyolult, és ha nem működik, szinte senki nem tud bejelentkezni az Office 365-be. Mivel az Office 365-től magas rendelkezésre állást várunk el, ADFS használatakor gyakorlatilag a helyi ADFS rendelkezésre állásának szintjére visszük le az Office 365-ét is – pedig az georedundáns, meg minden.

Szerencsére van mentőövünk

Immár akkor is be tudjuk kapcsolni a jelszó-szinkronizálást az AAD Syncben (DirSync), ha az ADFS aktív. Ez viszonylag egyszerű.

Mit kell tennünk, ha nem megy az ADFS, és gyors átmeneti megoldás kell (például ADFS-frissítésnél)?

1. Nyugodjunk le :)
2. Ha még nem tettük meg, kapcsoljuk be a jelszó-szinkronizálást, és futtassunk egy szinkronizálást az AAD Syncben.
3. Futtassuk a Convert-MsolDomainToStandard parancsot a -SkipUserConversion $true kapcsolóval (utóbbi fontos!) a Windows Azure Active Directory Module for Windows PowerShell ablakban:

$cred = Get-Credential
Connect-MsolService -Credential $cred
Set-MsolADFSContext -Computer <AD FS szerver>
Convert-MsolDomainToStandard -DomainName domainnev.hu -SkipUserConversion $true

Fontos, hogy ne olyan felhasználóval jelentkezzünk be, aki a federált tartományban van. Ha nem felhős felhasználóval lépünk be, a következő hibaüzenetet kapjuk:

Convert-MSOLDomainToStandard : When converting domains, please sign in using the initial company administrator credentials (user name and password).

A tartomány átállítása után ADFS-infrastruktúra nélkül, a helyi AD-jelszóval be tudunk jelentkezni az Office 365-be. Amikor kipróbáltam, nálam azonnali volt, de elképzelhető, hogy akár két óráig is eltart az átállás. Erre ne alapozzon senki, de ha mégis baj van, jól jöhet.

Az átállítás után ne módosítsuk a következő AD-attribútumokat:

• UserPrincipalName
• ImmutableId

Miután megjavítottuk az ADFS-infrastruktúrát, a tartományt visszaállíthatjuk federált állapotba, és minden megy tovább a régiben.