Comment mettre en place un cloud hybride Exchange, Lync/Skype avec Office 365

Le but de l’hybridation SAAS entre un cloud privé et un cloud public est d’offrir le meilleur des deux mondes à savoir :

• La personnalisation sans limite via la flexibilité du modèle privé
• Le redimensionnent ainsi que les réductions de coûts pour le modèle public

Pour ce faire le cloud hybride apporte un alignement des technologies et des standards avec une capacité d’orchestration entre les deux plateformes.

Le pilotage d’un cloud hybride s’aborde via une interface commune afin de porter entre le privé et le public les services ou les objets SAAS comme des sites SharePoint, boites aux lettres utilisateurs, etc. L’hybridation permet de répartir les charges de travail entre cloud publics et privés au gré de l’évolution des besoins business et de l’évolution des coûts des clouds publics et privés. L’hybride offre une flexibilité accrue et d’avantage de possibilités qu’un cloud uniquement public ou privé.

Suite à la fin du « Safe Harbor » ; la partie privée d’un cloud hybride permet d’apporter la haute disponibilité et la sécurité des données sensibles mais d’assurer la conformité aux exigences légales de stockage des données. Aucune entreprise ne devrait risquer de porter au Zénith dans les médias un problème lié à une fuite de données critiques. Cela est encore plus vrai pour des données qui se trouveraient dans une juridiction différente de celle de leurs propriétaires. 

Un cloud privé doit permettre différents modèles d’hybridation. Il est important de prendre le bon bord d’attaque et de garder une flexibilité sur le choix du modèle d’hybridation tout au long de l’utilisation de la solution.  Et ainsi pouvoir toujours rester au plus près de ses besoins qui changent au fil du temps.

• Hybridation entre applicatifs collaboratifs :

Il est possible d’avoir la messagerie Exchange et son site intranet en cloud privé mais Lync/Skype for Business en cloud public. Cela permet d’avoir les suites applicatives utilisant des données sensibles au sein d’un cloud privé et la partie audio et vidéoconférence sur un cloud public. Un autre besoin peut-être d’interconnecter la téléphonie traditionnelle avec Lync/Skype for Business il est alors nécessaire d’utiliser Skype/Lync en cloud privé. D’autant plus qu’Office 365 ne permet pas l’interconnexion avec la téléphonie.

• Hybridation au sein du même applicatif collaboratif

Au sein de la même brique applicative notamment pour SharePoint et Exchange il est possible d’avoir une partie de son intranet ou de ses boites aux lettres en cloud privé pour des raisons légales d’emplacement des données. Et une autre partie peut être placée en cloud public pour bénéficier de meilleurs prix ou de plus d’élasticité. Un cas d’utilisation est un cloud hybride Exchange avec les boites aux lettres des utilisateurs critiques (comme les VIPs,  services financiers, légaux etc.) en cloud privé et les utilisateurs non-critiques en cloud public.

Afin d’éviter les récifs, il est important de choisir une solution disposant d’un ensemble de possibilités d’interconnexion des annuaires et de gestion/fédération des identités. En d’autres termes, la conception porte à la fois sur l’identité (synchronisation des informations sur les utilisateurs) et le contrôle d’accès (authentification via la fédération)

• Synchronisation :

Afin d’utiliser Office 365 il est nécessaire d’avoir une copie des comptes utilisateurs dans Azure Active Directory. Cet annuaire est utilisé par Office 365. Cette copie ne comprend que les informations nécessaires à l’utilisation d’Office 365. En mettant en place la fédération décrite ci-dessous, les hash de mots de passe n’ont pas besoin d’être synchronisé et restent uniquement dans l’annuaire Active Directory Domain Services.

Azure Active Directory Connect permet d’assurer cette synchronisation entre le cloud privé et Office 365. Le côté permanent de la synchronisation permet que les modifications comme une suppression d’un compte utilisateur soient bien répliquées dans le cloud public Office 365.

La synchronisation des mots de passe n’est pas recommandée dans un scénario hybride. Il est fortement recommandé de conserver ses mots de passes en cloud privé ou dans son annuaire d’entreprise. Cela permet de rester dans un scénario de gestion d’accès à authentification unique

• Fédération

La fédération en général est mise en place avec ADFS même s’il existe d’autres solutions pour des besoins particuliers. La fédération crée un lien de confiance entre le cloud privé et le cloud public permettant à l’identité des utilisateurs d’être conservée en cloud privé ou dans son annuaire d’entreprise. L’annuaire d’entreprise reste alors maitre des comptes et de l’authentification. Les mots de passe ne sont pas transmis à un cloud public.

ADFS porte la fédération d’identité et permet notamment le Single Sign-On (SSO) entre les différents services clouds même avec de multiples clouds. Via ADFS les tickets (Microsoft) / jetons (Autres solutions) utilisés pour l’authentification sont passés depuis Office 365 vers l’infrastructure Active Directory du client en cloud Privé. Lors de l’authentification depuis son périphérique, l’utilisateur est redirigé vers le service d’authentification exposé par ADFS quelques soit le service utilisant la fédération. Vu de l’utilisateur ce mécanisme est transparent.

En Conclusion : Un modèle hybride pour ses besoins d’outils collaboratifs Exchange, Lync/Skype for Business et/ou SharePoint apporte de nombreux avantages à partir du moment où la fédération et la gestion d’identité ont bien été prises en compte. En fonction des l’évolution de ses besoins et de l’évolution des prix il permet de ne pas être contraint par un seul fournisseur que ce soit pour des questions de fonctionnalités que pour des questions de coûts. L’actualité légale changeante notamment avec l’abandon du «  Safe Harbour » ainsi que l’augmentation de 10% des prix d’Office 365 décidée au mois d’août dernier vont dans le sens de l’hybridation. 

Guillaume Anfroy est Deal Solution Manager chez T-Systems France. Il a particulièrement travaillé ces 10 dernières années autour des technologies d’infrastructure et de postes de travail Microsoft, avec la prise en charge de différents projets de gestion d’environnements de travail d'entreprises plus de 100 000 utilisateurs. Il a évolué au sein d’Avanade France & Norvège (Joint Venture Accenture & Microsoft). Depuis 2008, Guillaume travaillait au sein d’Atos France en tant qu’architecte et sur des avant-ventes. Pour la filiale Cloud Canopy d’Atos, il a contribué à la conception d’une solution Cloud SaaS de communication et collaboration à base de technologies Microsoft. Il a rejoint T-Systems France en 2015.