Configurer une approbation de fédération

S’applique à : Exchange Server 2013

Une approbation de fédération établit une relation d’approbation entre un organization Microsoft Exchange 2013 et le système d’authentification Microsoft Entra. En configurant une approbation de fédération, vous pouvez configurer le partage fédéré avec d'autres organisations Exchange fédérées, afin de permettre le partage d'informations de disponibilité de calendrier entre les destinataires. Le partage fédéré peut être configuré entre deux organisations Exchange 2013 fédérées ou entre une organisation Exchange 2013 fédérée et des organisations Exchange 2010 fédérées. Vous pouvez également configurer le partage avec microsoft 365 ou Office 365 organization.

Pour obtenir des tâches de gestion supplémentaires liées à la fédération, consultez Procédures de fédération.

Ce qu'il faut savoir avant de commencer

• Durée d'exécution estimée : 30 minutes.

• Des autorisations doivent vous être attribuées avant de pouvoir exécuter cette procédure. Pour voir les autorisations qui vous sont nécessaires, consultez Entrée d'autorisations de « Fédération et certificats » dans la rubrique Autorisations d'infrastructure Exchange et Shell.

• Le domaine utilisé pour établir une approbation de fédération doit pouvoir être résolu depuis Internet. Il faut donc que le domaine soit inscrit au bureau d'enregistrement de domaines et que la zone DNS (Domain Name System) pour le domaine soit hébergée sur un serveur DNS accessible depuis Internet. Si l'organisation reçoit du courrier Internet pour le domaine, ces critères sont déjà satisfaits.

• Vous devrez ajouter un enregistrement TXT à votre DNS public. Passez en revue les exigences pour l'ajout d'un enregistrement TXT avec l'organisation qui héberge vos enregistrements DNS publics.

• Pour des informations sur les raccourcis clavier applicables aux procédures de cette rubrique, voir Raccourcis clavier dans Exchange 2013Raccourcis clavier dans le Centre d'administration Exchange.

• Les deux organisations Exchange dans une relation de partage fédéré doivent utiliser le même système d’authentification Microsoft Entra pour leurs approbations de fédération. Cette exigence s’applique lors de la configuration du partage fédéré entre deux organisations Exchange locales ou entre un organization Exchange local et un organization Exchange hébergé par Microsoft 365 ou Office 365.

• Lorsque vous créez une approbation de fédération avec le système d’authentification Microsoft Entra pour votre organization Exchange 2013, l’approbation de fédération utilise les instance métier du système d’authentification Microsoft Entra. Toutefois, d’autres organisations Exchange fédérées avec des versions antérieures d’Exchange et des approbations de fédération existantes peuvent utiliser le instance professionnel ou consommateur du système d’authentification Microsoft Entra.

  Les organisations Exchange suivantes utilisent les instance métier du système d’authentification Microsoft Entra par défaut :

  • Les organisations Exchange 2013 via l'Assistant Activer l'approbation de fédération et les certificats auto-signés pour une approbation de fédération.
  • Les organisations Exchange 2010 SP1 ou version ultérieure via l'Assistant Nouvelle approbation de fédération et les certificats auto-signés pour une approbation de fédération.
  • Organisations Exchange hébergées par Microsoft 365 et Office 365.

  Les organisations Exchange suivantes utilisent le instance consommateur du système d’authentification Microsoft Entra par défaut :

  • La version finalisée (RTM) des organisations Exchange 2010 via les certificats émis par des autorités de certification tierces.

  Nous recommandons à toutes les organisations Exchange d’utiliser les instance métier du système d’authentification Microsoft Entra pour les approbations de fédération. Avant de configurer le partage fédéré entre les deux organisations Exchange, vous devez vérifier quel système d’authentification Microsoft Entra instance chaque organization Exchange utilise pour les approbations de fédération existantes. Pour déterminer quel système d’authentification Microsoft Entra instance un organization Exchange utilise pour une approbation de fédération existante, exécutez la commande Shell suivante.

  Get-FederationInformation -DomainName <hosted Exchange domain namespace>
  

  Le instance d’entreprise retourne la valeur pour <uri:federation:MicrosoftOnline> le paramètre TokenIssuerURIs.

  Le consommateur instance retourne la valeur pour <uri:WindowsLiveID> le paramètre TokenIssuerURIs.

  Pour configurer le partage fédéré avec un organization Exchange disposant d’une approbation de fédération existante qui utilise les instance métier du système d’authentification Microsoft Entra, suivez les étapes décrites dans cette rubrique. Ces étapes sont tout ce que vous devez effectuer pour créer des approbations de fédération qui peuvent être utilisées pour activer le partage fédéré entre deux organisations Exchange 2013 ou entre un organization Exchange 2013 et un organization Exchange 2010 qui utilise déjà le instance métier du système d’authentification Microsoft Entra.

  Pour configurer le partage fédéré entre votre organization Exchange 2013 et un organization Exchange disposant d’une approbation de fédération existante qui utilise le instance consommateur du système d’authentification Microsoft Entra , exchange organization à l’aide du consommateur instance devez installer Exchange 2010 SP2 ou version ultérieure, ou effectuer une mise à niveau vers Exchange 2013. Si vous décidez d'installer Exchange 2010 SP2 ou version ultérieure, utilisez l'Assistant Nouvelle approbation de fédération pour supprimer et recréer les domaines fédérés et les approbations de fédération existants. Lorsque les approbations de fédération sont recréations, les instance métier du système d’authentification Microsoft Entra sont utilisées.

Utiliser le Centre d’administration Exchange (EAC) pour créer et configurer une approbation de fédération

1. Sur un serveur Exchange 2013 dans votre organization local, accédez àPartaged’organisation>.

2. Cliquez sur Activer pour démarrer l'Assistant Activer l'approbation de fédération.

3. Une fois l'Assistant terminé, cliquez sur Fermer.

4. Dans la section Approbation de fédération de l'onglet Partage, cliquez sur Modifier.

5. Dans Domaines activés pour le partage, en regard de Étape 1, cliquez sur Parcourir.

6. Dans Sélectionner les domaines acceptés, sélectionnez dans la liste le domaine partagé principal, puis cliquez sur OK.

   Remarque

   Le domaine que vous sélectionnez sera utilisé pour configurer l'identificateur d'organisation pour l'approbation fédérée. Pour plus d'informations sur l'identificateur d'organisation, voir Fédération.

7. Notez la preuve de domaine fédéré qui est générée pour le domaine partagé principal. Vous utiliserez cette chaîne pour créer un enregistrement TXT sur votre serveur DNS public.

   Importante

   La preuve de domaine fédéré est une chaîne de caractères alphanumériques. Pour éviter les erreurs d’entrée, nous vous recommandons de copier la chaîne à partir du CAE et de la coller dans un éditeur de texte tel que le Bloc-notes. Vous pouvez alors la copier de l'éditeur de texte vers le Presse-papiers, puis la coller dans le champ Texte lors de la création de l'enregistrement TXT. Si l’enregistrement TXT est créé à l’aide d’une chaîne de preuve de domaine fédéré incorrecte, le système d’authentification Microsoft Entra ne pourra pas vérifier la preuve de propriété du domaine et vous ne pourrez pas l’ajouter à l’identificateur de organization fédéré.

8. À l’étape 2, cliquez sur Ajouter pour ajouter des domaines supplémentaires à l’approbation fédérée pour les adresses de messagerie qui seront utilisées par les utilisateurs de votre organization qui nécessitent des fonctionnalités de partage fédéré. Par exemple, si vous avez des utilisateurs qui utilisent un sous-domaine dans leur adresse e-mail, comme sales.contoso.com, vous devez ajouter le domaine sales.contoso.com à l’approbation de fédération.

   Remarque

   Une chaîne de preuve de domaine fédéré sera créée pour chaque domaine supplémentaire sélectionné. Vous devez créer des enregistrements TXT distincts sur votre DNS public pour chaque domaine supplémentaire.

9. À l'aide des chaînes de preuve de domaine fédéré créées pour chaque domaine, créez des enregistrements TXT pour chacun de ces domaines sur votre serveur DNS public. En fonction de la planification des mises à jour de votre hôte DNS public, la réplication des modifications DNS peut prendre au moins 15 minutes.

10. Une fois les enregistrements TXT créés et répliqués, cliquez sur Mettre à jour.

Utiliser l’environnement de ligne de commande Exchange Management Shell pour créer et configurer une approbation de fédération

1. Exécutez cette commande pour créer un identificateur de clé d’objet unique pour le certificat d’approbation de fédération :

   $ski = [System.Guid]::NewGuid().ToString("N")
   

2. Utilisez cette syntaxe pour créer un certificat auto-signé pour l’approbation de fédération :

   New-ExchangeCertificate -FriendlyName "<Descriptive Name>" -DomainName <domain> -Services Federation -KeySize 2048 -PrivateKeyExportable $true -SubjectKeyIdentifier $ski
   

   Cet exemple crée un certificat auto-signé pour l’approbation de fédération avec le système d’authentification Microsoft Entra. Le certificat utilise la valeur de nom convivial Partage fédéré Exchange, et la valeur de domaine est récupérée à partir de la variable d’environnement USERDNSDOMAIN .

   New-ExchangeCertificate -FriendlyName "Exchange Federated Sharing" -DomainName $env:USERDNSDOMAIN -Services Federation -KeySize 2048 -PrivateKeyExportable $true -SubjectKeyIdentifier $ski
   

3. Pour créer l’approbation de fédération et déployer automatiquement le certificat auto-signé que vous avez créé à l’étape précédente sur les serveurs Exchange de votre organization, utilisez la syntaxe suivante :

   Get-ExchangeCertificate | ?{$_.FriendlyName -eq "<FriendlyName>"} | New-FederationTrust -Name "<Descriptive Name>"
   

   Cet exemple crée l’approbation de fédération nommée Microsoft Entra authentification et déploie le certificat auto-signé nommé Partage fédéré Exchange.

   Get-ExchangeCertificate | ?{$_.FriendlyName -eq "Exchange Federated Sharing"} | New-FederationTrust -Name "Azure AD Authentication"
   

4. Utilisez cette syntaxe pour renvoyer l’enregistrement TXT de preuve de propriété de domaine requis pour tout domaine que vous allez configurer pour l’approbation de fédération.

   Get-FederatedDomainProof -DomainName <domain>
   

   Cet exemple retourne l’enregistrement TXT de preuve de propriété de domaine requis pour le domaine partagé principal contoso.com.

   Get-FederatedDomainProof -DomainName contoso.com
   

   Remarques :

   • Chaque domaine ou sous-domaine configuré pour l’approbation de fédération nécessite une preuve d’enregistrement TXT de propriété de domaine. Vous devrez peut-être exécuter cette commande plusieurs fois à l’aide de différentes valeurs DomainName .

   • Nous vous recommandons de copier la chaîne de preuve de domaine en cliquant avec le bouton droit dans l’interpréteur de commandes, en sélectionnant Marquer, en sélectionnant la valeur Preuve , puis en appuyant sur Entrée pour pouvoir l’utiliser lorsque vous créez l’enregistrement TXT. Si vous créez l’enregistrement TXT avec une chaîne de preuve de domaine fédéré incorrecte, le système d’authentification Microsoft Entra ne peut pas vérifier votre propriété du domaine et vous ne pourrez pas l’ajouter à l’identificateur de organization fédéré.

5. À l’aide des informations de l’étape précédente, créez des enregistrements TXT sur votre serveur DNS public dans chaque domaine qui sera inclus dans l’approbation de fédération. En fonction de la planification des mises à jour de votre hôte DNS public, la réplication des modifications DNS peut prendre au moins 15 minutes. Continuez une fois que vous avez vérifié que les nouveaux enregistrements TXT sont disponibles.

   Importante

   L’enregistrement TXT doit être créé pour chaque domaine fédéré/partagé. S’il s’agit d’un environnement hybride, tous les domaines acceptés qui sont validés dans Exchange Online doivent avoir des enregistrements TXT créés.

6. Exécutez cette commande pour récupérer les métadonnées et le certificat à partir de Microsoft Entra’ID :

   Set-FederationTrust -RefreshMetadata -Identity "Azure AD authentication"
   

7. Utilisez cette syntaxe pour configurer le domaine partagé principal pour l’approbation de fédération que vous avez créée à l’étape 3. Le domaine que vous spécifiez sera utilisé pour configurer l’identificateur de organization (OrgID) pour l’approbation de fédération. Pour plus d’informations sur l’Id d’organisation, consultez Identificateur de organization fédéré.

   Set-FederatedOrganizationIdentifier -DelegationFederationTrust "<Federation Trust Name>" -AccountNamespace <Accepted Domain> -Enabled $true
   

   Cet exemple configure le domaine accepté contoso.com comme domaine partagé principal pour l’approbation de fédération nommée Microsoft Entra authentification.

   Set-FederatedOrganizationIdentifier -DelegationFederationTrust "Azure AD authentication" -AccountNamespace contoso.com -Enabled $true
   

8. Pour ajouter d’autres domaines à l’approbation de fédération, utilisez la syntaxe suivante :

   Add-FederatedDomain -DomainName <AdditionalDomain>
   

   Cet exemple ajoute le sous-domaine sales.contoso.com à l’approbation fédérée, car les utilisateurs avec des adresses e-mail dans le domaine sales.contoso.com nécessitent des fonctionnalités de partage fédéré.

   Add-FederatedDomain -DomainName sales.contoso.com
   

   N’oubliez pas que tout domaine ou sous-domaine que vous ajoutez à l’approbation de fédération nécessite une preuve d’enregistrement TXT de propriété de domaine,

Pour obtenir des informations détaillées sur la syntaxe et les paramètres, consultez New-ExchangeCertificate, New-FederationTrust, Get-FederatedDomainProof, Set-FederationTrust, Set-FederatedOrganizationIdentifier et Add-FederatedDomain.

Comment savoir si cela a fonctionné ?

L’exécution réussie des Assistants Activer l’approbation de fédération et Domaines activés pour le partage constitue la première indication que l’approbation de fédération a été configurée comme prévu.

Pour vérifier que vous avez correctement créé et configuré l'approbation de fédération, procédez comme suit :

1. Exécutez la commande de l'environnement de ligne de commande suivante pour vérifier les informations d'approbation de la fédération.

   Get-FederationTrust | Format-List
   

2. Remplacez PrimarySharedDomain> par< votre domaine partagé principal et exécutez la commande Shell suivante pour vérifier que les informations de fédération peuvent être récupérées à partir de votre organization.

   Get-FederationInformation -DomainName <PrimarySharedDomain>
   

Pour des informations détaillées sur la syntaxe et les paramètres, consultez les rubriques Get-FederationTrust et Get-FederationInformation.