Noções básicas sobre Delegação Federada

Aplica-se a: Exchange Server 2010 SP2, Exchange Server 2010 SP3

Tópico modificado em: 2016-11-28

Profissionais da área de informação frequentemente têm que colaborar com parceiros, clientes, fornecedores ou outros contatos fora da organização do Exchange. Para uma colaboração eficiente entre organizações, os seus usuários podem ter que compartilhar suas informações de disponibilidade (também conhecidas como disponibilidade de calendário) para agendar reuniões. Dependendo da natureza da relação comercial, os usuários podem ter que compartilhar informações de calendário mais detalhadas. Da mesma forma, os usuários também podem ter que compartilhar seus contatos com esses destinatários externos. No Microsoft Exchange Server 2010, a delegação federada ajuda a atingir essas metas.

Procurando outras tarefas de gerenciamento relacionadas a delegação federada? Consulte Gerenciando Compartilhamento Federado.

Sumário

Colaboração antes do Exchange 2010 e da delegação federada

Delegação Federada

Considerações de firewall para delegação federada

Coexistência com o Exchange 2007

Coexistência com o Exchange 2003

Estabelecer uma relação de organização e uma política de compartilhamento

Colaboração antes do Exchange 2010 e da delegação federada

Versões anteriores do Exchange tinham limitações de compartilhamento e exigiam configurações complexas e manutenção contínua. Por exemplo, para compartilhar informações de disponibilidade com usuários em outra organização do Exchange, você teria que usar uma ferramenta de Replicação Entre Organizações para replicar as pastas públicas entre as organizações do Exchange. Esse processo exigia que você criasse relações de confiança de Active Directory entre ambas as organizações e gerenciasse credenciais de contas.

Para que os destinatários ficassem visíveis nas listas de endereços do Exchange, muitas organizações usavam ferramentas diferentes, como o GALSync, para sincronizar os destinatários de uma organização com outra organização. Configurar relações de confiança, gerenciar credenciais e replicar com várias organizações externas era problemático e difícil. Criar gerenciamento de credenciais e relações de confiança de floresta ou domínio do Active Directory também tinha implicações de segurança. Também era necessário abrir mais portas nos firewalls entre as duas organizações ou estabelecer uma rede privada virtual (VPN).

Com a introdução dos Serviços Web do Exchange, do serviço de Disponibilidade e da função de servidor Acesso para Cliente no Exchange Server 2007, a replicação de dados de disponibilidade de pasta pública deixou de ser necessária. No entanto, a sincronização de informações de credenciais e confiança e da lista de endereços globais (GAL) ainda era necessária para disponibilizar as informações de disponibilidade para organizações externas.

Compartilhar uma pasta de Calendários ou Contatos também envolvia atribuir permissões de acesso à pasta para usuários em organizações confiáveis. O único modo de conseguir isso era criar relações de confiança do Active Directory entre as duas organizações, o que tinha implicações de segurança adicionais.

Para mais informações, consulte Como configurar o serviço de Disponibilidade para topologias entre florestas.

Colaboração antes do Exchange 2010 e da delegação federada

Delegação Federada

Usando a delegação federada no Exchange 2010, os usuários podem compartilhar informações com destinatários em organizações federadas externas estabelecendo uma relação de confiança de federação e criando relações de organização entre organizações do Exchange 2010. As organizações podem também usar políticas de compartilhamento para permitir que os usuários criem relações de compartilhamento individuais com destinatários de outras organizações. A delegação federada usa o Microsoft Federation Gateway, um servidor em nuvem oferecido pela Microsoft, como mediador das relações de confiança entre as duas organizações federadas. Para habilitar a delegação federada, as organizações entre as quais você quer compartilhar informações somente precisam estabelecer uma relação de confiança de federação única com o Microsoft Federation Gateway e configurar uma relação de organização ou políticas de compartilhamento entre elas.

Para saber mais sobre o Microsoft Federation Gateway e as relações de confiança de federação, consulte o seguinte:

• Microsoft Federation Gateway

• Noções Básicas Sobre Federação

• Criar uma Confiança de Federação

• Gerenciar Federação.

A delegação federada oferece duas formas para os usuários compartilharem informações de calendário e contatos com destinatários externos: Relações de organização e compartilhamento de políticas.

Relações de Organização

As relações de organização permitem habilitar a delegação federada com outra organização federada com a finalidade de compartilhar informações de disponibilidade de calendário entre usuários de ambas as organizações. Relações de organização são relações um-para-um entre duas organizações. Em vez de precisar de uma configuração complexa de relação de confiança de domínio ou floresta do Active Directory entre as duas organizações (o que também pode exigir que se abram várias portas em firewalls nas duas organizações ou que se estabeleça uma VPN), elas precisam apenas estabelecer uma relação de confiança de federação com o Microsoft Federation Gateway e configurar o identificador da organização federada antes de configurar a relação de organização entre elas.

Requisitos para relações de organização

As relações de organização exigem o seguinte:

• Que exista um servidor de Acesso para Cliente do Exchange 2010 em cada organização do Exchange.

• Que cada organização do Exchange tenha criado uma relação de confiança de federação com o Microsoft Federation Gateway.

• Que cada organização do Exchange tenha configurado um identificador de organização federada. Que os domínios usados para gerar endereços de email de usuários já tenham sido adicionados aos identificadores da organização.

• Que exista uma relação de organização em cada organização correspondente.

• Que os servidores de Caixa de Correio que estejam hospedando caixas de correio de usuários possam comunicar com os servidores do Microsoft Federation Gateway e os servidores CAS das organizações parceiras federadas.

Criando relações de organização

Quando você cria uma relação de organização com uma organização externa, os usuários na organização externa podem acessar as informações de disponibilidade dos seus usuários. Nenhuma replicação das informações da GAL é necessária. Com esta configuração feita, os usuários do Outlook 2010 e do OfficeOutlook Web App podem simplesmente inserir o endereço SMTP de um destinatário externo ao agendar reuniões.

Ao criar uma relação de organização, você pode especificar um dos três seguintes níveis de acesso de disponibilidade de calendário:

• Sem disponibilidade

• Disponibilidade somente com horário

• Disponibilidade com horário, além de assunto e local

Para que os usuários na sua organização tenham acesso às informações de disponibilidade de usuários externos ou para permitir o compartilhamento unilateral de suas informações de disponibilidade com uma organização externa, o administrador na organização externa também deve criar uma relação de organização com a sua organização. No entanto, o administrador externo pode especificar um nível de acesso para seus usuários diferente do nível que você especificou. Num exemplo de compartilhamento unidirecional, o administrador externo configuraria a relação da organização externa para que as informações de disponibilidade dos seus usuários não seja compartilhada com usuários na sua organização, mas as informações de disponibilidade dos seus usuários seriam visíveis para os usuários da organização externa com base nas configurações de relação da sua organização.

Quando você cria uma relação de organização, o Exchange 2010 se conecta ao serviço da Web Descoberta Automática publicado pela organização externa, para obter o ponto de extremidade do serviço de Disponibilidade. Você também pode especificar o terminal do serviço de Disponibilidade da organização externa manualmente ao criar a relação.

Para criar uma relação de organização com uma organização externa, você pode usar o assistente para Nova Relação de Organização, no Console de Gerenciamento do Exchange (EMC), ou o cmdlet New-OrganizationRelationship, no Shell de Gerenciamento do Exchange.

Para instruções detalhadas sobre como criar uma relação de organização, veja Criar um Relacionamento de organização.

Políticas de Compartilhamento

Ao contrário das relações de organização, que apenas permitem o compartilhamento de informações de disponibilidade com destinatários de outras organizações federadas do Exchange, as políticas de compartilhamento permitem o compartilhamento entre pessoas estabelecido pelo usuário de informações de calendário e contato com diferentes tipos de usuários externos. As políticas de compartilhamento permitem que os usuários compartilhem suas informações de contato e disponibilidade (incluindo as pastas Calendário e Contatos) com destinatários em outras organizações federadas externas. Para destinatários que não estão em uma organização federada externa ou estão em organizações que não sejam do Exchange, as políticas de compartilhamento permitem o compartilhamento pessoal de informações de calendário com usuários anônimos usando a Publicação de Calendário na Internet.

Com as políticas de compartilhamento, você não precisa gerenciar os relacionamentos de colaboração dos seus usuários. Em vez disso, eles decidem quais são os destinatários externos com os quais desejam colaborar. Usando o Outlook 2010 ou o Outlook Web App, os usuários podem convidar destinatários externos em outros domínios federados para acessar suas pastas de Calendário e de Contatos e também solicitar que estes destinatários compartilhem as pastas deles. Os usuários também podem garantir acesso anônimo às informações do calendário para qualquer indivíduo que tenha acesso à internet. Com as políticas de compartilhamento, você pode controlar somente com que tipos de usuários eles podem compartilhar informações e a quantidade de informações que pode ser compartilhada. Se necessário, você também pode desabilitar uma política de compartilhamento do grupo ou do usuário.

As políticas de compartilhamento são atribuídas aos usuários da caixa de correio. A política de compartilhamento padrão aplicada aos usuários permite que as informações de disponibilidade sejam compartilhadas com todos os domínios federados externos. Após criar uma relação de confiança de federação com o Gateway de Federação da Microsoft e configurar o identificador de organização federada, os usuários podem convidar outros usuários em qualquer organização federada externa para compartilhar suas informações de calendário e de contato.

Para permitir que os destinatários de domínios não federados acessem os calendários do usuário, tais como membros da família, amigos ou usuários em organizações que não são do Exchange, deverá ser criado um comparitlhamento separado que permita o acesso anônimo ao calendário através do uso da Publicação do Calendário na Internet. Para obter detalhes, consulte Ativar a Publicação de Calendário da Internet.

As políticas de compartilhamento podem conter pares de nomes de domínio e as ações de compartilhamento permitidas para usuários destes domínios. Conforme a figura abaixo, você pode especificar as seguintes ações para aplicar ao domínio externo especificado em uma política de compartilhamento:

• Compartilhamento de calendário somente com informações de disponibilidade

• Compartilhamento de calendário com informações de disponibilidade, além de assunto e local

• Compartilhamento de calendário com informações de disponibilidade, além de assunto, local e corpo

• Compartilhamento de contatos

• Compartilhamento de calendário somente com as informações de disponibilidade, Compartilhamento de contatos

• Compartilhamento de calendário com as informações de disponibilidade, além de assunto e local, Compartilhamento de contatos


• Compartilhamento de calendário com as informações de disponibilidade, além de assunto, local e corpo, Compartilhamento de contatos

Ações de compartilhamento de calendário

Ao criar um convite de compartilhamento, os seus usuários escolhem as informações que desejam compartilhar, de modo que a ação seja permitida pela política de compartilhamento do usuário. Por exemplo, digamos que você crie uma política de compartilhamento com as seguintes configurações para Fabrikam e outras organizações de domínio federado:

• Compartilhamento de calendário com informações de disponibilidade, além de assunto e local para usuários externos em Fabrikam.com

• Compartilhamento de calendário somente com informações de disponibilidade para usuários externos em todas as outras organizações de domínio federado (representadas por um asterisco [*])

Os usuários que possuam esta política aplicada podem compartilhar suas informações de disponibilidade no calendário com outras organizações de domínio federado ou podem também compartilhar mais detalhes limitados se eles convidarem usuários da Fabrikam.com.

Para detalhes sobre como criar uma política de compartilhamento, veja Criar uma Diretiva de Compartilhamento.

Para detalhes sobre como aplicar uma política de compartilhamento aos usuários, veja Aplicar uma diretiva de compartilhamento para caixas de correio.

Requisitos para políticas de compartilhamento federadas

Estes são os requisitos para compartilhar políticas entre organizações de domínio federado:

• Que exista um servidor de Acesso para Cliente do Exchange 2010 em cada organização do Exchange.

• Que cada organização do Exchange tenha criado uma relação de confiança de federação com o Microsoft Federation Gateway.

• Que cada organização do Exchange tenha configurado um identificador de organização federada. Que os domínios usados para gerar endereços de email de usuários já tenham sido adicionados aos identificadores da organização.

• Que as caixas de correio dos usuários estejam localizadas nos servidores de Caixa de Correio do Exchange 2010 em cada organização do Exchange.

• Apenas os usuários do Outlook 2010 e do Outlook Web App podem criar convites de compartilhamento.

Requisitos para as políticas de compartilhamento não federadas

Estes são os requisitos para as políticas de compartilhamento com organizações de domínio federado ou acesso anônimo individual:

• Que exista um servidor de Acesso para Cliente do Exchange 2010 na organização do Exchange que está compartilhando as informações de calendário do usuário.

• Que as caixas de correio do usuário estejam localizadas nos servidores de Caixa de Correio do Exchange 2010 da organização do Exchange que está compartilhando as informações de calendário do usuário.

• O servidor de Acesso para Cliente deve estar habilitado para acesso do Outlook Web App.

Comparando relações de organização e políticas de compartilhamento

Apesar de relações de organização e políticas de compartilhamento permitirem o compartilhamento das informações de disponibilidade com usuários externos, elas se destinam a vários cenários. Os relacionamentos de organização são criados para colaboração com organizações federadas externas e estão limitados apenas ao compartilhamento das informações de disponibilidade. As políticas de compartilhamento controlam quais informações de calendário e contato seus usuários podem compartilhar com usuários em organizações federadas externas, organizações do Exchange não federadas, organização não Exchange e usuários anônimos.

A tabela a seguir lista as diferenças entre os relacionamentos da organização e as políticas de compartilhamento.

Relacionamentos de organização versus políticas de compartilhamento

Colaboração antes do Exchange 2010 e da delegação federada

Considerações de firewall para delegação federada

Os recursos de delegação federada exigem que a Caixa de Correio e os servidores de Acesso para Cliente na sua organização tenham acesso de saída para a Internet via HTTPS. Você deve permitir o acesso HTTPS de saída (porta 443 para TCP) para todas as Caixas de Correio e servidores de Acesso para Cliente do Exchange 2010 na organização.

Para uma organização externa acessar as informações de disponibilidade da sua organização, você deve publicar um servidor de Acesso para Cliente na Internet. Isso requer acesso HTTPS de entrada da Internet para o servidor de Acesso para Cliente. Os servidores de Acesso para Cliente nos sites do Active Directory que não tenham um servidor de Acesso para Cliente publicado na Internet podem usar os servidores de Acesso para Cliente em outros sites do Active Directory que possam ser acessados da Internet. Os servidores de Acesso para Cliente que não são publicados na Internet devem ter a URL externa do diretório virtual de serviços da Web definida com a URL que é visível para organizações externas.

Colaboração antes do Exchange 2010 e da delegação federada

Coexistência com o Exchange 2007

Em organizações que tenham tanto servidores Exchange 2010 quanto Exchange 2007, os usuários que tenham uma caixa de correio em um servidor de Caixa de Correio do Exchange 2007 podem usar relacionamentos de organização para compartilhar informações de disponibilidade com destinatários em organizações de domínio federado externas. O servidor de Caixa de Correio deve ter o Exchange 2007 SP2 ou mais recente, e você deve ter pelo menos um servidor de Acesso para Cliente do Exchange 2010 na organização do Exchange. Você pode usar os relacionamentos de organização introduzindo um único servidor de Acesso para Cliente do Exchange 2010 na organização, o que oferece uma solução mais robusta que as soluções que sincronizam as informações de disponibilidade e exigem a sincronização da GAL.

Ao usar o Outlook 2010 ou o Outlook Web App para agendar uma reunião em um servidor Exchange 2007, o usuário que tem uma caixa de correio em um servidor Exchange 2007 pode ver as informações de disponibilidade de um usuário na organização externa. As informações de disponibilidade de caixas de correio do Exchange 2007 estão visíveis para os destinatários na organização externa.

As políticas de compartilhamento são atribuídas aos usuários da caixa de correio do Exchange 2010. Para usar políticas de compartilhamento, uma caixa de correio deve estar localizada em um servidor de Caixa de Correio do Exchange 2010. Somente clientes do Outlook 2010 e do Outlook Web App podem ser usados para gerar ou responder a convites de compartilhamento.

Colaboração antes do Exchange 2010 e da delegação federada

Coexistência com o Exchange 2003

Em organizações que tenham tanto servidores Exchange 2010 quanto Exchange 2003, os usuários que tenham uma caixa de correio em um servidor Exchange 2003 podem usar relações de organização para compartilhar informações de disponibilidade com destinatários em organizações de domínio federado externas. O servidor de Caixa de Correio deve ter o Exchange Server 2003 SP2 ou mais recente, e você deve ter pelo menos um servidor de Acesso para Cliente do Exchange 2010 e um servidor de pasta pública na organização do Exchange 2003. O servidor de Acesso para Cliente atua como um proxy para todas as solicitações de disponibilidade de entrada e saída e é usado para configurar as propriedades de relação de organização. O servidor de pasta pública contém e gerencia uma réplica dos dados de pasta pública do Exchange 2003 para acesso a informações de disponibilidade por outras organizações federadas do Exchange 2010.

Os usuários internos e externos de caixa de correio do Exchange podem exibir as informações de disponibilidade na organização do Exchange 2003 usando o Outlook 2003, o Outlook 2007, o Outlook 2010 ou o Outlook Web App. As políticas de compartilhamento são atribuídas apenas aos usuários de caixa de correio do Exchange 2010. Para usar políticas de compartilhamento, as caixas de correio devem estar localizadas em um servidor de Caixa de Correio do Exchange 2010. Você não pode aplicar políticas de compartilhamento a caixas de correio localizadas em servidores Exchange 2003.

Colaboração antes do Exchange 2010 e da delegação federada

Estabelecer uma relação de organização e uma política de compartilhamento

Neste exemplo, você é o administrador da Contoso, Ltd. Sua organização fez um acordo com a Fabrikam, Inc. para desenvolver um produto que será anunciado e vendido em conjunto pelas duas organizações. Para habilitar a colaboração entre as duas organizações, os usuários dos departamentos de Marketing e Engenharia das duas organizações precisam acessar as informações de disponibilidade da outra. A colaboração deve ocorrer com o mínimo ou nenhum esforço dos usuários.

A Contoso também colabora com a Litware, Inc. Esta colaboração é limitada a um pequeno subconjunto de usuários. Os usuários das duas organizações devem poder estabelecer relações de compartilhamento entre eles. O compartilhamento de contatos e informações de disponibilidade do calendário deve ser permitido. Nenhuma informação de calendário adicional deve ser compartilhada.

Além disso, os usuários da Contoso querem compartilhar suas informações de calendário com membros da família para ajudar a coordenar atividades externas que eles gerenciam no Outlook.

Por fim, o compartilhamento deve ocorrer sem a necessidade de:

• Criar quaisquer relações de confiança de floresta ou domínio do Active Directory.

• Trocar credenciais entre as organizações ou as pessoas.

• Estabelecer uma VPN entre as organizações ou as pessoas.

Para conseguir isso, siga as próximas etapas:

1. Para configurar uma delegação federada com Fabrikam e Litware, crie uma relação de confiança de federação com o Microsoft Federation Gateway (se já não tiver sido criada). Isso não é necessário para o compartilhamento de informações com membros da família dos usuários da Contoso. Esse procedimento único é necessário para usar os recursos de federação do Exchange 2010. O processo requer que um certificado X.509 seja emitido por uma autoridade de certificado confiável do Microsoft Federation Gateway. Para obter detalhes, consulte Criar uma Confiança de Federação.

2. Configure o identificador de organização federada (se já não estiver configurado). Esse processo requer que você adicione os domínios aceitos da organização para os quais você deseja habilitar a federação ao identificador da organização. Esse procedimento único é necessário para usar os recursos de federação do Exchange 2010. Para obter detalhes, consulte Gerenciar Federação.

3. Crie uma relação de organização com a Fabrikam, Inc. Para detalhes, consulte Criar um Relacionamento de organização. Faça o seguinte:

   • Para determinar se a organização da Fabrikam já teve a federação estabelecida, use o cmdlet Get-FederationInformation.

   • Selecione um grupo de distribuição que inclua membros dos departamentos de Marketing e Engenharia. As informações de disponibilidade para esses usuários ficarão visíveis aos usuários da Fabrikam.

4. Para permitir que os usuários das duas organizações vejam as informações de disponibilidade da outra, o administrador da Fabrikam, Inc. também deve criar uma relação de organização com a sua organização.

5. Crie uma política de compartilhamento para os usuários que precisem colaborar com os usuários do domínio Litware.com. Para obter detalhes, consulte Criar uma Diretiva de Compartilhamento. Crie a política de compartilhamento com as seguintes especificações:

   • Para determinar se a organização da Litware já teve a federação estabelecida, use o cmdlet Get-FederationInformation.

   • Adicione o domínio Litware.com à política de compartilhamento.

   • Selecione a ação Compartilhamento de calendário somente com informações de livre/ocupado, Compartilhamento de contatos da política.

   • Atribua a política aos usuários da sua organização que precisem colaborar com usuários da Litware. Para obter detalhes, consulte Aplicar uma diretiva de compartilhamento para caixas de correio.

6. Crie uma política de compartilhamento anônima para usuários da Contoso que precisem colaborar com os membros da sua família. Para obter detalhes, consulte Criar uma Diretiva de Compartilhamento. Crie a política de compartilhamento com as seguintes especificações:

   • Defina o diretório virtual de publicação no servidor de Acesso para Cliente. Para obter detalhes, consulte Set-OwaVirtualDirectory

   • Defina a URL de WebProxy para o servidor de Caixa de Correio. Para fazer isso, use o cmdlet set-ExchangeServer com o parâmetro InternetWebProxy.

   • Habilite o diretório virtual do servidor de Acesso para Cliente para publicação anônima.

Depois que você criar a relação de organização com a Fabrikam, Inc. e a política de compartilhamento para os usuários da Litware, Inc. e da Contoso, as seguintes funcionalidades estarão disponíveis:

• Todos os usuários poderão ver as informações de disponibilidade dos usuários dos departamentos de Marketing e Engenharia da Fabrikam.

• Os usuários de sua organização que tiverem a nova política de compartilhamento aplicada poderão enviar convites de compartilhamento individuais a usuários da Litware, Inc.

• Os usuários da Contoso podem convidar seus amigos e a família para ver as informações de seu calendário fornecendo um link para seu calendário publicado. Os membros da família não precisarão de credenciais especiais para acessar as informações.

Colaboração antes do Exchange 2010 e da delegação federada

 © 2010 Microsoft Corporation. Todos os direitos reservados.