Informazioni sulla delega federata

Si applica a: Exchange Server 2010 SP2, Exchange Server 2010 SP3

Ultima modifica dell'argomento: 2016-11-28

Gli Information Worker spesso devono collaborare con partner, clienti, fornitori o altri contatti esterni all'organizzazione di Exchange. Per una efficace collaborazione tra le organizzazioni, gli utenti devono condividere le proprie informazioni relative alla disponibilità (note anche come calendario disponibilità) per la pianificazione degli incontri. In base alla natura delle collaborazioni, gli utenti potrebbero dover condividere informazioni di disponibilità più dettagliate. Analogamente, gli utenti devono condividere anche i contatti con questi destinatari esterni. In Microsoft Exchange Server 2010, la delega federata consente di raggiungere questi obiettivi.

Per informazioni sulle attività di gestione relative alla delega federata, vedere Gestione di Condivisione federata.

Sommario

Collaborazione prima di Exchange 2010 e delega federata

Delega federata

Considerazioni sui firewall per la delega federata

Coesistenza con Exchange 2007

Coesistenza con Exchange 2003

Creazione di una relazione organizzativa e di un criterio di condivisione

Collaborazione prima di Exchange 2010 e delega federata

Le versioni precedenti di Exchange disponevano di limitate capacità di condivisione e richiedevano una complessa configurazione e una continua manutenzione. Ad esempio, per condividere le informazioni sulla disponibilità con gli utenti in un'altra organizzazione Exchange, era necessario utilizzare lo strumento di replica tra organizzazioni per replicare le cartelle pubbliche tra le organizzazioni Exchange. Questo processo richiedeva la creazione dei trust di Active Directory tra le due organizzazioni, nonché la gestione delle credenziali dell'account di servizio.

Per rendere visibili i destinatari negli elenchi indirizzi di Exchange, molte organizzazioni utilizzavano diversi strumenti, quali GALSync, per sincronizzare i destinatari di un'organizzazione con un'altra organizzazione. La configurazione dei trust, la gestione delle credenziali e la replica con più organizzazioni esterne costituivano operazioni difficili e complesse. La creazione dei trust tra foreste o domini di Active Directory e la gestione delle credenziali avevano anche implicazioni per la sicurezza. Inoltre, era necessario aprire altre porte sui firewall tra le due organizzazioni o stabilire una rete privata virtuale (VPN).

Con l'introduzione dei servizi Web di Exchange, del servizio Disponibilità e del ruolo del server Accesso client in Exchange Server 2007, la replica dei dati sulla disponibilità delle cartelle pubbliche non era necessaria. Le informazioni sui trust o sulle credenziali e la sincronizzazione elenco indirizzi globale (GAL) erano comunque necessarie per rendere disponibili le informazioni sulla disponibilità per le organizzazioni esterne.

La condivisione di una cartella Calendario o Contatti richiedeva anche l'assegnazione delle autorizzazioni per l'accesso alla cartella da parte degli utenti delle organizzazioni attendibili. L'unico modo per ottenere questo risultato era la creazione dei trust di Active Directory tra le due organizzazioni, con ulteriori implicazioni sulla sicurezza.

Per ulteriori informazioni, vedere Come configurare il servizio Disponibilità per topologie con più foreste.

Collaborazione prima di Exchange 2010 e delega federata

Delega federata

Utilizzando la delega federata in Exchange 2010, gli utenti possono condividere le informazioni con i destinatari delle organizzazioni federative esterne stabilendo una relazione di trust federativa e creando relazioni di organizzazione tra le organizzazioni di Exchange 2010. Le organizzazioni possono utilizzare anche i criteri di condivisione per consentire agli utenti la creazione delle singole relazioni di condivisione con i destinatari di altre organizzazioni. La delega federata utilizza Microsoft Federation Gateway, un servizio basato su cloud di Microsoft, come trust broker tra due organizzazioni federative. Per abilitare la delega federata, le organizzazioni tra le quali si desidera condividere le informazioni devono stabilire solo una volta la relazione di trust federativa con Microsoft Federation Gateway e configurare reciprocamente una relazione di organizzazione o i criteri di condivisione.

Per ulteriori informazioni su Microsoft Federation Gateway e sulle relazioni di trust federative, vedere:

• Microsoft Federation Gateway

• Informazioni sulla federazione

• Creazione di una relazione di trust federativa

• Gestisci la federazione.

La delega federata offre due modalità per consentire agli utenti di condividere le informazioni sul calendario e sui contatti con i destinatari esterni: le relazioni organizzative e i criteri di condivisione.

Relazioni organizzative

Le relazioni di organizzazione consentono di abilitare la delega federata con un'altra organizzazione federativa per condividere le informazioni sulla disponibilità del calendario tra gli utenti di entrambe le organizzazioni. Le relazioni organizzative indicano relazioni uno-a-uno tra due organizzazioni. Invece di una complessa configurazione dei trust tra foreste o domini di Active Directory tra le due organizzazioni (che richiederebbe anche l'apertura di più porte sui firewall di entrambe le organizzazioni o la creazione di una rete privata virtuale), entrambe le organizzazioni devono stabilire solo una relazione di trust federativa con Microsoft Federation Gateway e configurare l'identificatore di organizzazione federativa prima di configurare reciprocamente la relazione di organizzazione.

Requisiti per le relazioni organizzative

Per le relazioni organizzative è necessario che:

• Un server Accesso client di Exchange 2010 sia presente in ogni organizzazione di Exchange.

• Ogni organizzazione di Exchange abbia creato una relazione di trust federativa con Microsoft Federation Gateway.

• Ogni organizzazione di Exchange abbia configurato un identificatore di organizzazione federativa. I domini utilizzati per la generazione degli indirizzi di posta elettronica degli utenti siano stati aggiunti agli identificatori di organizzazione.

• Una relazione organizzativa sia presente in ogni organizzazione corrispondente.

• I server Cassette postali che ospitano cassette postali degli utenti possono raggiungere i server Microsoft Federation Gateway e i server Accesso client delle organizzazioni partner federate.

Creazione delle relazioni organizzative

Quando si crea una relazione organizzativa con un'organizzazione esterna, gli utenti dell'organizzazione esterna possono accedere alle informazioni sulla disponibilità degli utenti. Non è necessaria alcuna replica delle informazioni GAL. Con questa configurazione, gli utenti di Outlook 2010 e Office Outlook Web App possono semplicemente immettere l'indirizzo SMTP di un destinatario esterno durante la pianificazione delle riunioni.

Quando si crea una relazione organizzativa, è possibile specificare uno dei seguenti tre livelli di accesso alla disponibilità del calendario:

• Nessun accesso di disponibilità

• Accesso disponibilità solo con l'ora    

• Accesso disponibilità con ora, oggetto e luogo

Affinché gli utenti dell'organizzazione abbiano accesso alle informazioni sulla disponibilità degli utenti esterni o per consentire la condivisione unidirezionale delle informazioni sulla disponibilità con l'organizzazione esterna, l'amministratore dell'organizzazione esterna deve creare anche una relazione organizzativa con l'organizzazione dell'utente. Comunque, l'amministratore esterno può specificare un livello di accesso per gli utenti diverso dal livello specificato. In un esempio di condivisione unidirezionale, l'amministratore esterno deve configurare la relazione organizzativa in modo da non condividere le informazioni sulla disponibilità degli utenti con quelli dell'organizzazione, ma le informazioni sulla disponibilità per gli utenti saranno visibili agli utenti dell'organizzazione esterna in base alle impostazioni della relazione organizzativa.

Quando si crea una relazione organizzativa, Exchange 2010 si connette al servizio Web di individuazione automatica pubblicato dall'organizzazione esterna per ottenere l'endpoint del servizio Disponibilità. Inoltre, è possibile specificare manualmente l'endpoint del servizio Disponibilità dell'organizzazione esterna durante la creazione della relazione.

Per creare una relazione organizzativa con un'organizzazione esterna, è possibile utilizzare la procedura guidata Nuova relazione organizzativa di Exchange Management Console (EMC) o il cmdlet New-OrganizationRelationship di Exchange Management Shell.

Per le istruzioni dettagliate sulla creazione di una relazione organizzativa, vedere Creazione di una relazione dell'organizzazione.

Criteri di condivisione

A differenza delle relazioni di organizzazione, che abilitano solo la condivisione delle informazioni sulla disponibilità con i destinatari di altre organizzazioni federative di Exchange, i criteri di condivisione abilitano la condivisione stabilita dall'utente delle informazioni sul calendario e i contatti con diversi tipi di utenti esterni. I criteri di condivisione consentono agli utenti di condividere le informazioni sulla disponibilità e i contatti (comprese le cartelle Calendario e Contatti) con i destinatari di altre organizzazioni federative esterne. Per i destinatari che non si trovano in un'organizzazione federativa esterna o si trovano in organizzazioni non di Exchange, i criteri di condivisione consentono la condivisione tra utenti delle informazioni sul calendario con utenti anonimi tramite l'utilizzo della pubblicazione del calendario Internet.

Con i criteri di condivisione, non sarà necessario gestire le relazioni di collaborazione degli utenti. Gli utenti stabiliscono con quali destinatari esterni desiderano collaborare. Utilizzando Outlook 2010 o Outlook Web App, gli utenti possono invitare i destinatari esterni di altri domini federati ad accedere alla cartella Calendario o Contatti e richiedere in cambio anche la condivisione della loro cartella. Gli utenti possono anche garantire l'accesso anonimo alle informazioni sul calendario a chiunque abbia accesso a Internet. Con i criteri di condivisione, è possibile controllare solo con quali tipi di utenti possono essere condivise le informazioni e quante informazioni possono essere condivise. Se necessario, è inoltre possibile disabilitare il criterio di condivisione di un utente o un gruppo.

I criteri di condivisione vengono assegnati agli utenti delle cassette postali. Il criterio di condivisione predefinito applicato agli utenti consente la condivisione delle informazioni sulla disponibilità con tutti i domini federati esterni. Una volta creata una relazione di trust federativa con Microsoft Federation Gateway e configurato l'identificatore di organizzazione federativa, gli utenti possono invitare altri utenti di qualsiasi organizzazione federativa esterna a condividere le informazioni sul calendario e i contatti.

Per consentire l'accesso ai calendari dell'utente da parte dei destinatari di organizzazioni dei domini non federati, come familiari, amici o utenti di organizzazioni non di Exchange, deve essere creato un criterio di condivisione diverso che permetta l'accesso anonimo al calendario tramite l'utilizzo della pubblicazione del calendario Internet. Per i dettagli, vedere Abilitazione della pubblicazione del calendario Internet.

I criteri di condivisione possono contenere coppie dei nomi di dominio e le azioni di condivisione consentite per gli utenti di tali domini. Come mostrato nella figura, è possibile specificare le seguenti azioni che si applicano al dominio esterno specificato in un criterio di condivisione:

• Condivisione del calendario solo con informazioni sulla disponibilità

• Condivisione del calendario con informazioni sulla disponibilità, oggetto e percorso

• Condivisione del calendario con informazioni sulla disponibilità, oggetto, percorso e corpo

• Condivisione dei contatti

• Condivisione del calendario solo con informazioni sulla disponibilità, Condivisione dei contatti

• Condivisione del calendario con informazioni sulla disponibilità, oggetto e percorso, Condivisione dei contatti

• Condivisione del calendario con informazioni sulla disponibilità, oggetto, percorso e corpo, Condivisione dei contatti

Azioni di condivisione del calendario

Durante la creazione di un invito alla condivisione, gli utenti possono selezionare le informazioni che desiderano condividere, a condizione che l'azione sia consentita dal criterio di condivisione dell'utente. Ad esempio, si supponga di creare un criterio di condivisione con le seguenti impostazioni per Fabrikam e altre organizzazioni di domini federati:

• Condivisione del calendario con informazioni sulla disponibilità, oggetto e percorso per gli utenti esterni di Fabrikam.com

• Condivisione del calendario solo con informazioni sulla disponibilità per gli utenti esterni di tutte le altre organizzazioni di domini federati (rappresentate dall'asterisco [*])

Gli utenti che dispongono di questo criterio applicato possono condividere le informazioni sulla disponibilità del calendario con altre organizzazioni di domini federati o possono condividere anche ulteriori dettagli limitati se invitano gli utenti da Fabrikam.com.

Per informazioni dettagliate sulla creazione di un criterio di condivisione, vedere Creazione di un criterio di condivisione.

Per informazioni dettagliate sull'applicazione di un criterio di condivisione agli utenti, vedere Applicazione dei criteri di condivisione alle cassette postali.

Requisiti per i criteri di condivisione federata

Per i criteri di condivisione tra organizzazioni di domini federati, è necessario che:

• Un server Accesso client di Exchange 2010 sia presente in ogni organizzazione di Exchange.

• Ogni organizzazione di Exchange abbia creato una relazione di trust federativa con Microsoft Federation Gateway.

• Ogni organizzazione di Exchange abbia configurato un identificatore di organizzazione federativa. I domini utilizzati per la generazione degli indirizzi di posta elettronica degli utenti siano stati aggiunti agli identificatori di organizzazione.

• Le cassette postali degli utenti si trovino sui server Cassette postali di Exchange 2010 in ogni organizzazione di Exchange.

• Solo gli utenti di Outlook 2010 e Outlook Web App possano creare inviti alla condivisione.

Requisiti per i criteri di condivisione non federata

Per i criteri di condivisione con organizzazioni di domini non federati o con un unico accesso anonimo, è necessario che:

• Un server Accesso client di Exchange 2010 sia presente nell'organizzazione di Exchange che utilizza la condivisione delle informazioni sul calendario dell'utente.

• Le cassette postali degli utenti si trovino sui server Cassette postali di Exchange 2010 nell'organizzazione di Exchange che utilizza la condivisione delle informazioni sul calendario dell'utente.

• Il server Accesso client sia abilitato per l'accesso a Outlook Web App.

Confronto tra le relazioni organizzative e i criteri di condivisione

Anche se consentono la condivisione delle informazioni sulla disponibilità con gli utenti esterni, le relazioni organizzative e i criteri di condivisione vengono utilizzati per scenari diversi. Le relazioni organizzative vengono create per collaborare con le organizzazioni federative esterne e si limitano alla condivisione delle informazioni sulla disponibilità. I criteri di condivisione determinano le informazioni sul calendario e i contatti condivisibili con gli utenti di organizzazioni federative esterne, di organizzazioni non federative di Exchange, di organizzazioni non di Exchange e con utenti anonimi.

Nella seguente tabella vengono elencate le differenze tra le relazioni di organizzazione e i criteri di condivisione.

Relazioni di organizzazione e criteri di condivisione

Collaborazione prima di Exchange 2010 e delega federata

Considerazioni sui firewall per la delega federata

Le funzionalità di delega federata richiedono l'accesso in uscita a Internet tramite HTTPS da parte dei server Cassette postali e Accesso client. È necessario consentire l'accesso HTTPS in uscita (porta 443 per TCP) da tutti i server Cassette postali e Accesso client di Exchange 2010 dell'organizzazione.

Affinché un'organizzazione esterna possa avere accesso alle informazioni sulla disponibilità dell'organizzazione, è necessario pubblicare un server Accesso client su Internet. Ciò richiede l'accesso HTTPS in ingresso da Internet al server Accesso client. I server Accesso client dei siti di Active Directory che non dispongono di un server Accesso client pubblicato su Internet possono utilizzare i server Accesso client di altri siti di Active Directory accessibili da Internet. I server Accesso client non pubblicati su Internet devono disporre dell'URL esterno della directory virtuale dei servizi Web impostata con l'URL visibile alle organizzazioni esterne.

Collaborazione prima di Exchange 2010 e delega federata

Coesistenza con Exchange 2007

Nelle organizzazioni contenenti i server Exchange 2010 ed Exchange 2007, gli utenti che dispongono di una cassetta postale su un server Cassette postali di Exchange 2007 possono utilizzare le relazioni organizzative per condividere le informazioni sulla disponibilità con i destinatari delle organizzazioni esterne di domini federati. Sul server Cassette postali deve essere in esecuzione Exchange 2007 SP2 o versioni successive ed è necessario disporre di almeno un server Accesso client di Exchange 2010 nell'organizzazione di Exchange. È possibile utilizzare le relazioni organizzative introducendo un unico server Accesso client di Exchange 2010 nell'organizzazione, fornendo una soluzione più efficace rispetto alle soluzioni che sincronizzano le informazioni sulla disponibilità e che richiedono la sincronizzazione GAL.

Durante l'utilizzo di Outlook 2010 o Outlook Web App per pianificare una riunione su un server Exchange 2007, un utente che dispone di una cassetta postale su un server Exchange 2007 può visualizzare le informazioni sulla disponibilità per un utente dell'organizzazione esterna. Le informazioni sulla disponibilità per le cassette postali di Exchange 2007 sono visibili ai destinatari dell'organizzazione esterna.

I criteri di condivisione vengono assegnati agli utenti delle cassette postali di Exchange 2010. Per utilizzare i criteri di condivisione, una cassetta postale deve trovarsi su un server Cassette postali di Exchange 2010. Per generare o rispondere agli inviti di condivisione, si possono utilizzare solo i client Outlook 2010 e Outlook Web App.

Collaborazione prima di Exchange 2010 e delega federata

Coesistenza con Exchange 2003

Nelle organizzazioni contenenti i server Exchange 2010 ed Exchange 2003, gli utenti che dispongono di una cassetta postale su un server Exchange 2003 possono utilizzare le relazioni di organizzazione per condividere le informazioni sulla disponibilità con i destinatari delle organizzazioni esterne di domini federati. Sul server Cassette postali deve essere in esecuzione Exchange Server 2003 SP2 o versioni successive ed è necessario disporre di almeno un server Accesso client e delle cartelle pubbliche di Exchange 2010 nell'organizzazione di Exchange 2003. Il server Accesso client agisce come proxy per tutte le richieste di disponibilità in entrata e in uscita e viene utilizzato per configurare le proprietà della relazione di organizzazione. Il server delle cartelle pubbliche contiene e gestisce una replica dei dati sulle cartelle pubbliche di Exchange 2003 per l'accesso alle informazioni sulla disponibilità da parte di altre organizzazioni federative di Exchange 2010.

Gli utenti interni ed esterni delle cassette postali di Exchange possono visualizzare le informazioni sulla disponibilità nell'organizzazione di Exchange 2003 utilizzando Outlook 2003, Outlook 2007, Outlook 2010 o Outlook Web App. I criteri di condivisione vengono assegnati solo agli utenti delle cassette postali di Exchange 2010. Per utilizzare i criteri di condivisione, le cassette postali devono trovarsi su un server Cassette postali di Exchange 2010. Non è possibile applicare i criteri di condivisione alle cassette postali che si trovano sui server Exchange 2003.

Collaborazione prima di Exchange 2010 e delega federata

Creazione di una relazione organizzativa e di un criterio di condivisione

In questo esempio, l'utente è l'amministratore di Contoso, Ltd. L'organizzazione ha stipulato un accordo con Fabrikam, Inc. per sviluppare un prodotto che verrà commercializzato e venduto da entrambe le organizzazioni. Per consentire la collaborazione tra le due organizzazioni, gli utenti dei reparti Marketing ed Engineering di entrambe le organizzazioni devono avere accesso reciproco alle informazioni sulla disponibilità. Questa collaborazione deve avvenire con un impegno minimo o nullo da parte degli utenti.

Contoso collabora anche con Litware, Inc. Questa collaborazione è limitata a un piccolo sottogruppo di utenti. Gli utenti di entrambe le organizzazioni devono essere in grado di stabilire relazioni reciproche di condivisione. Deve essere consentita la condivisione delle informazioni sulla disponibilità e i contatti. Nessuna ulteriore informazione sul calendario deve essere condivisa.

Inoltre, gli utenti di Contoso desiderano condividere le informazioni sul calendario con i familiari per consentire il coordinamento delle attività esterne gestite in Outlook.

Infine, la condivisione deve avvenire senza la necessità di:

• Creare trust tra foreste o domini di Active Directory.

• Scambiare le credenziali tra le organizzazioni o gli utenti.

• Stabilire una rete privata virtuale tra le organizzazioni o gli utenti.

Per realizzare questo scenario, attenersi alla seguente procedura:

1. Per configurare la delega federata con Fabrikam e Litware, creare una relazione di trust federativa con Microsoft Federation Gateway (se non ancora creata). Questa operazione non è necessaria per la condivisione delle informazioni con i familiari degli utenti di Contoso. Questa procedura da eseguire una sola volta è necessaria per utilizzare le funzionalità di federazione di Exchange 2010. Il processo richiede il rilascio di un certificato X.509 da parte di un'autorità di certificazione ritenuta attendibile da Microsoft Federation Gateway. Per i dettagli, vedere Creazione di una relazione di trust federativa.

2. Configurare l'identificatore di organizzazione federativa (se non ancora configurato). Questo processo richiede l'aggiunta dei domini accettati dell'organizzazione per i quali si desidera abilitare la federazione per l'identificatore di organizzazione. Questa procedura da eseguire una sola volta è necessaria per utilizzare le funzionalità di federazione di Exchange 2010. Per i dettagli, vedere Gestisci la federazione.

3. Creare una relazione organizzativa con Fabrikam, Inc. Per i dettagli, vedere Creazione di una relazione dell'organizzazione. Effettuare quanto segue:

   • Per determinare se l'organizzazione Fabrikam abbia già stabilito la federazione, utilizzare il cmdlet Get-FederationInformation.

   • Selezionare un gruppo di distribuzione che comprenda i membri dei reparti Marketing ed Engineering. Le informazioni sulla disponibilità per questi utenti saranno visibili agli utenti di Fabrikam.

4. Per consentire agli utenti di entrambe le organizzazioni di visualizzare le reciproche informazioni sulla disponibilità, l'amministratore di Fabrikam, Inc. deve creare anche una relazione organizzativa con l'organizzazione.

5. Creare un criterio di condivisione per gli utenti che devono collaborare con gli utenti del dominio Litware.com. Per i dettagli, vedere Creazione di un criterio di condivisione. Creare il criterio di condivisione con le seguenti specifiche:

   • Per determinare se l'organizzazione di Litware ha già stabilito la federazione, utilizzare il cmdlet Get-FederationInformation.

   • Aggiungere il dominio Litware.com al criterio di condivisione.

   • Selezionare per il criterio l'azione Condivisione del calendario solo con informazioni sulla disponibilità, Condivisione dei contatti.

   • Assegnare il criterio agli utenti dell'organizzazione che devono collaborare con gli utenti di Litware. Per i dettagli, vedere Applicazione dei criteri di condivisione alle cassette postali.

6. Creare un criterio di condivisione anonimo per gli utenti di Contoso che devono collaborare con i familiari. Per i dettagli, vedere Creazione di un criterio di condivisione. Creare il criterio di condivisione con le seguenti specifiche:

   • Impostare la directory virtuale di pubblicazione sul server Accesso client. Per i dettagli, vedere Set-OwaVirtualDirectory

   • Impostare l'URL Webproxy per il server Cassette postali. A tale scopo, utilizzare il cmdlet set-ExchangeServer con il parametro InternetWebProxy.

   • Abilitare la directory virtuale del server Accesso client per la pubblicazione anonima.

Una volta creata la relazione di organizzazione con Fabrikam, Inc., il criterio di condivisione per Litware, Inc. e gli utenti di Contoso, sarà disponibile la seguente funzionalità:

• Tutti gli utenti saranno in grado di visualizzare le informazioni sulla disponibilità per gli utenti dei reparti Marketing ed Engineering di Fabrikam.

• Gli utenti dell'organizzazione a cui è stato applicato il nuovo criterio di condivisione potranno inviare singoli inviti di condivisione agli utenti di Litware, Inc.

• Gli utenti di Contoso possono invitare amici e parenti a visualizzare le informazioni sul calendario fornendo un collegamento al calendario pubblicato. I familiari non necessiteranno di credenziali particolari per accedere alle informazioni.

Collaborazione prima di Exchange 2010 e delega federata

 ©2010 Microsoft Corporation. Tutti i diritti riservati.