Austausch unter IT-Professionals - Erfahrungen, Tipps, Fachsimpelei

[Mac_Leod]

Fang bitte mal an die Doku zu lesen oder hol dir jemanden der sein Geld damit verdient und somit auch greifbar bei Problemen ist.
Es gibt viele Möglichkeiten, das Thema anzugehen.

 

[WhiteHelix]

Das war grade auch mein erster Gedanke, hol dir im Zweifelsfall auf jeden Fall n Dienstleister mit dazu. Das ganze M365 Thema ist auch sehr viel komplexer als der erste Eindruck vermittelt, da falsch einzusteigen kann zukünftig echt ein Problem sein.

 

[xexex]

Der "NewMailboxImportRequest" bricht leider nach ca 15h (fühlt sich wie eine Race Condition an) ab, das war mein erster, zweiter und dritter Versuch.

Ist es nicht, man muss allerdings davor die Anzahl möglicher Fehler erhöhen, sonst bricht es gerne irgendwann ab.

New-MailboxImportRequest -Mailbox username -FilePath "\\Server\Share\Path\To\ImportFile.pst" -AcceptLargeDataLoss -LargeItemLimit Unlimited -BadItemLimit Unlimited -ConflictResolutionOption ForceCopy -Name JoeUserImport1 -Priority High

Ergänzung (9. Januar 2025)

Die 2 GB großen Postfächer, waren 2010 evtl. Standard aber nicht heutzutage. Ich kenn nicht eine einzige Firma wo sie so klein gehalten werden.

Dann kennst du jetzt mehrere. Es ist eigentlich ein Unding riesige Postfächer als "Abfallabwurf" zu sammeln und spätestens dann wenn bei einigen Mitarbeitern die Datei zerschossen ist und sie alle Mails verlieren, hört jede Kritik auf.

Größere PST Dateien sind überhaupt erst mit Office 64Bit vernünftig nutzbar. Das ist heute kein Ding mehr, vor ein paar Jahren jedoch noch ein NoGo, da praktisch alle Plugins und Zusatzsoftware ein 32bit Office voraussetzten. Wer unbedingt meint Mails ewig aufbewahren zu müssen, für den gibt es entsprechende Archivierungslösungen.

 

[holdes]

Bei uns auch Max 2GB für alle User. Die müssen entsprechend alles löschen was sie nicht brauchen was dank Mailstore aber auch gar kein Thema ist .

 

[c-mate]

@Mad_Leod
So, der erste Importauftrag läuft, Probleme gab es eigentlich keine, die Anleitung ist recht detailiert Schritt für Schritt und mit Beispielen geschrieben.
PST Import
Wie gesagt, mir stehen halt 1.000 Mbit synchron zur Verfügung, dh der Upload der 16 GB ging sehr flott.

Jetzt gilt es abzuwarten wie lange MS braucht, um die *.pst in Exchange Online zu importieren, aber das lässt sich ja nicht beeinflussen.

 

[Skysnake]

Was für Postfachgrößen bist du gewohnt

Also ich habe mir da noch nie Gedanken drüber gemacht, da ich bis jetzt noch nie an ein Postfachlimit gestoßen bin.

Nach 2 Jahre. Habe ich aktuell 4.5GB von 100GB belegt. Ich schreibe und bekomme aber recht wenige Mails. Also da geht noch deutlich mehr und die ersten Monate war natürlich viel weniger los als jetzt nach 2 Jahren.

So 5GB pro Jahr sehe ich also definitiv als ganz normal an.

An sich finde ich aber auch 100GB eher als ein Management Limit an und keins das technisch bedingt sein sollte.

Software die nicht mit TB an Daten klar kommt sollte man als disfunktional aussondern.

Jetzt meine bescheidene Meinung.

 

[charmin]

Wir haben auch nur das Limit durch die MS Lizenz. Kommt aber nicht zum tragen da alles was älter als ein Jahr ist sowieso vom Archiv gelöscht wird und nur noch dort abrufbar ist.

 

[c-mate]

@Mc_Leod
Der Importauftrag wurde gestern um 22.22 Uhr erfolgreich beendet, dh der Import ins Exchange Online Archiv hat ca. 9 Stunden gedauert.

 

[Mac_Leod]

Mensch das ging ja fix, danke für die Info.

Korrektur,
Wobei, 16GB bei 1 GB Upload in 9h, ist genau das Gegenteil von fix ^^
Im Schnitt 4 Mbit/s wenn ich mich nicht verrechnet hab.

 

[crashbandicot]

Wobei, 16GB bei 1 GB Upload in 9h, ist genau das Gegenteil von fix ^^
Im Schnitt 4 Mbit/s wenn ich mich nicht verrechnet hab.

Upload ≠ Importvorgang

Der Upload der 16GB sollte nur wenige Minuten (wenn überhaupt) gedauert haben, anschließend müssen ja aber die MS Services loslaufen und den Import durchführen. Das wird dauern.

 

[Rickmer]

Ich habe schon ein paar mal das PST Import zu ExO gemacht. Solange man wie xexex schreibt die Limits hoch setzt geht das eigentlich OK.

Bezüglich großen Mailboxen... ich habe da schon so manche im Bereich von 50-100GB gesehen. Oberhalb dessen ist etwas ungewöhnlicher.
Bei onpremise Exchange mit Terminal Server ohne Outlook Caching macht das normalerweise auch keine Probleme. Für mobile Geräte (Notebooks) die auch schonmal offline sein sollen muss man die PST Datei natürlich auf ein paar Monate bis maximal 2 Jahre begrenzen.

User dazu zwingen, ihre Postfächer manuell zu bereinigen halte ich für Unfug. Wenn die klein gehalten werden müssen, dann nimmt man eine Archiv-Lösung wie Mailstore, die das im Backend ohne User-Input erledigen können.

Es ist eigentlich ein Unding riesige Postfächer als "Abfallabwurf" zu sammeln und spätestens dann wenn bei einigen Mitarbeitern die Datei zerschossen ist und sie alle Mails verlieren, hört jede Kritik auf.

Wer die einzige Kopie seiner Mails in einer PST Datei hat, hat den Datenverlust praktisch vorprogrammiert...

Die müssen entsprechend alles löschen was sie nicht brauchen was dank Mailstore aber auch gar kein Thema ist

Lass doch Mailstore einfach archivierte Mails älter als z.B. 1 Jahr automatisch aus dem Exchange löschen und behellige die MA nicht?...

Was leider selten erwähnt wird, wenn mal eine Lizenz aus läuft, das es mehrere Stunden dauert nach dem renewal, bis Mail wieder eintrudeln.

Das hat sogar MS eingesehen mittlerweile...
https://techcommunity.microsoft.com...iliency-to-protect-against-unintended/4082759

Wobei das erstmal nur für Tenants mit >10k Lizenzen verfügbar ist und unklar ist ob das nur für aktive Delizenzierung gilt, oder auch für ausgelaufene Lizenzen.

 

[holdes]

Lass doch Mailstore einfach archivierte Mails älter als z.B. 1 Jahr automatisch aus dem Exchange löschen und behellige die MA nicht?...https://techcommunity.microsoft.com...iliency-to-protect-against-unintended/4082759

Ist so von oben gewollt, mir und den DBs wär es im Grunde egal weil genug Storage vorhanden ist . Soll wohl so eine Art Erziehungsmaßnahme sein aber ich hatte das nicht weiter hinterfragt. Mailstore sichert bei uns allerdings nicht Ordnerweise auf Postfachebene, sondern nur übers Journal. Da sind zu viele Leute die Ordnerhierarchien haben mit denen sie selbst nicht klarkommen und wenn dort die gelöschten weiterhin drin liegen auweia . Meiner Kenntnis nach kommen zumindest mit dem Kompromiss alle am besten aus.

 

[konkretor]

Wir haben hier doch so einige AD Admins. Wie macht ihr das Security Tiering in einem klassichen AD sieht das ja so aus. Ganz klassisch ist ja der Admin sitzt an seiner Office Workstation und verbindet sich per MMC oder RDP auf den DC So soll es eben nicht sein

Wie habt ihr den Zugriff geregelt. Habt ihr 3 PAW für jedes Tier oder nutzt ihr eine Art Software. Wenn ja welche. Wäre nett wenn ihr mir da ein paar Hinweise geben könnt.

Franky beschreibt ja hier den Weg mit Boardmitteln
https://www.frankysweb.de/active-directory-einfache-manahmen-fr-mehr-sicherheit-teil-1/

Edit: so stell sich das M$ vor in Tier 0
https://techcommunity.microsoft.com...blog/protecting-tier-0-the-modern-way/4052851

 

[charmin]

Wie habt ihr den Zugriff geregelt

Aktuell so wie man es nicht macht. Tiering ist in Planung / teilweise Umsetzung (Kappa Thema, jetzt kommt erstmal Microsegmentation), wobei wir aktuell mit einem Jumphost planen auf dem dann Password Secure (Netwrix) läuft und dann von da aus über die integrierte RDP/SSH/whatever Lösung weiter. So das man quasi keine Kennwörter zu kennen braucht.

 

[Rickmer]

Das Security Tiering ist sowieso nicht absolut, weil wenn man sich ganz strikt dran hält hat man keinen Account mehr, mit dem man einen Exchange Server installieren/updaten kann...

Und eine Domain Controller Migration wird auch erheblich nerviger.

Spaß machen auch Service Accounts (oder auch MSOL), z.B. Citrix muss in mindestens einer OU im AD Maschinen-Accounts registrieren können.

Habt ihr 3 PAW für jedes Tier oder nutzt ihr eine Art Software.

Als Systemhaus mit Remote-Zugriff von außen gefriert die Hölle bevor man drei verschiedene Systeme implementiert nur um verwalten zu können. Zumindest bei KMU Kunden - wirklich große Firmen haben üblicherweise eh eigene IT die den Ton vorgibt.


Meiner Erfahrung nach ist sowieso der erste, einfachste und wirksamste Schritt ggü. eine Ransomware, den Backup-Server aus der Domäne zu entfernen und offline/immutable Backups zu haben.

 

[charmin]

weil wenn man sich ganz strikt dran hält hat man keinen Account mehr, mit dem man einen Exchange Server

Exchange wäre imo eh Tier 0, allerdings auch wieder hinfällig da in On Prem Exchange ja ausstirbt (außer dieses Echange SE, aber da kann man auch gleich Azure machen bzgl. Kosten). Aber der Punkt trifft auch auf SQL Server zu, die ja als Domänenadmin installiert werden sollen wenn ich das noch richtig im Kopf habe.

Citrix muss in mindestens einer OU im AD Maschinen-Accounts registrieren können.

Das geht auch ohne Domänenadmin. Baut man sich einfach eine Rolle die das darf und die bekommt dann der Citrix Service Account.

Meiner Erfahrung nach ist sowieso der erste, einfachste und wirksamste Schritt ggü. eine Ransomware, den Backup-Server aus der Domäne zu entfernen und offline/immutable Backups zu haben.

Da stimme ich zu 100% zu. Backup raus aus der AD und immutable in einem eigenenen Netz hinter der Firewall. Auch Tape find ich nach wie vor wichtig für ein sauberes Backupkonzept.

 

[Rickmer]

außer dieses Echange SE, aber da kann man auch gleich Azure machen bzgl. Kosten

Och, es gibt durchaus Gründe onprem zu bleiben - insbesondere falls man seinen Exchange 2019 eh schon mit SA lizenziert haben sollte und daher keine Kosten hat.

Aber auch sonst kann man auf den Gedanken kommen onprem zu bleiben wegen Gründen wie

• Datenhoheit (insbesondere wenn bei großen Firmen auch noch compliance dazu kommt)
• Datenlokalität (Performance - mit ExO kann man Outlook Caching nicht vermeiden weil sonst die Performance absolut mies ist. Da manche Standorte noch immer echt mies angebunden sind...)
• Die Uptime der Dienste von Microsoft war das vergangene Jahr eher bescheiden...

That said mache ich aktuell regelmäßig Migrationen von onpremise zu Exchange Online und bisher noch keine einzige in die andere Richtung.
Point - ich habe vor ein paar Stunden bei einem Kunden den MX Record von onprem auf ExO umgestellt

Baut man sich einfach eine Rolle die das darf und die bekommt dann der Citrix Service Account.

Das ist was ich dann gemacht hatte...

 

[crashbandicot]

Wie habt ihr den Zugriff geregelt.

Wir haben ein Tiering Modell mit drei Tiers und für jedes Tier gibt es eine eigene vPAW.

Exchange wäre imo eh Tier 0

Man kann Exchange auch wunderbar im Tier1 betreiben. Dann bleibt die Anzahl der Domain Admins noch etwas geringer.

 

[Rickmer]

Man kann Exchange auch wunderbar im Tier1 betreiben.

Betreiben ja
Updaten nein

Ist halt schon ein wenig blöd

bzw. spontan das gefunden:

We have it in t1, but always run the setup.exe prepareAD/prepareSchema/prepareDomain commands on our domain controllers, before running the install on our exchange server.

Then you do not need DA/EA privileges when installing exchange server. Just local admin on the exchange server.

Aber auch das wird bei Installation und Deinstallation nicht reichen, dabei werden signifikante Änderungen ins AD geschrieben

 

[crashbandicot]

Betreiben ja
Updaten nein

Klar geht das. Einige Tätigkeiten müssen nur von den Tier0 Kollegen ausgeführt werden. Aber das ist ja kein Beinbruch.