Oppsummert

Etter overgangen til Exchange Online vil brukere av e-postsystemet ha opplevd en endring fra slik det var tidligere. De vil umiddelbart miste tilgang til e-post så snart de mister tilhørighet til UiO. Tidligere har man heller på dette tidspunktet mottatt et e-postvarsel om at det ikke finnes noen gyldig tilhørighet til UiO, med beskjed om å kontakte studiekonsulent/personalkonsulent dersom dette er en feil, og kontoen ble sperret etter ca 30 dager. Denne endringen skaper mye støy mot førstelinje og er sårbar for midlertidige opphold i tilknytning som kan skje ved endring av kontrakt i DFØ eller lignende.

Postmaster ønsker at det skal besluttes at brukere som er synkronsiert til Entra ID ikke skal slettes når brukerkontoen mister tilknytninger, men heller når brukerkontoen slettes.

Alternativt at brukere skal synkroniseres til Entra ID i en måned etter at de mistet tilknytningene. Hovedsakelig for at e-postkontoen til brukerne skal være tilgjengelig i denne perioden.

Antallet prosesser for brukerstyring på UiO er mange og komplekse, og avhengighetene er ikke alltid tydelige. Beslutningen forutsetter at endringen ettergås, da spesielt med hensyn til innlogging i andre systemer og om det må gjøres endring på lisenstildelingen mht. å bruke MFA.

Problemstillingen

I Exchange on-prem var e-postkontoen tett knyttet til AD-brukerne i UiO-AD. Etter flyttingen til Exchange Online er tilgangen til e-postkontoen avhengig av to ting; en gyldig Exchange Online-lisens [1] og en Entra ID-bruker. I motsetning til lokale AD-brukere er Entra ID-brukere knyttet til gruppemedlemskap. Dette fordi ikke alle AD-brukere synkroniseres til MS365.

Manuell oppfølging av tilganger har vist seg å fungere dårlig, så på et tidspunkt ble Cerebrum-automatikken endret slik at når noen mister den registrerte tilknytningen sin til UiO så fjernes alle gruppemedlemskap. Dette er fornuftig, og f.eks. overføringen fra en kontrakt til en ny, eller mellom to jobber på UiO hadde gått sømløst så ville vi hatt færre utfordringer knyttet til dette. Både tildelingen av lisenser og synkronisering til MS365 gjøres basert på gruppemedlemskap.

For organisasjoner som har over 10 tusen aktive lisenser, så har Microsoft gjort det mulig å skru på funksjonalitet som gir en 30 dager «grace period» fra man mister en Exchange Online-lisens til e-postkontoen fjernes. Vi vi har skrudd på Delicensing Resiliency på UiO. Dette gir brukere som kun mister lisensen sin, men ikke Entra ID-brukeren, tilgang til e-posten sin som normalt i et par uker, deretter har man tilgang, men med varsler om at tilgangen vil forsvinne i løpet av N-dager.

Hvis Entra ID-brukerkontoen slettes så overstyrer det den midlertidige tilgangen til e-postkontoen. Det medfører følgende utfordringer:

• All e-post til e-postkontoen vil avvises («bounce»). Dette skaper støy for administratorer på e-postlister og alle som sender til e-postkontoen.
• Brukeren mister tilgangen til å kommunisere med UiO fra en e-postkonto vi vet tilhører vedkommende. Det vil heller ikke være mulig for nærmeste leder eller personal å sende e-post til brukeren. Når brukere kontakter brukerstøtte fra en privat e-postkonto vil det kreve ekstra arbeid å verifisere, så langt det er mulig, at vedkommender er den de sier de er.
• En e-postkonto som slettes i Exchange Online kan gjenopprettes i løpet av 30 dager. Når slettingen skjer øyeblikkelig, istedenfor etter at de 30 dagene som «Delicensing Resiliency» gir oss, så mister vi 30 dager på å f.eks. fikse en feil kontrakt eller lignende. Altså, all e-post slettes permanent etter 30 dager istedenfor 60 dager. Det er ingen sikkerhetskopi.
• Sletting i Entra ID er ikke likt som for Cerebrum-brukere [2], samt AD/LDAP som oppdaters av Cerebrum. Brukere forventer lik oppførsel.
• At e-posttilgangen forsvinner øyeblikkelig gjør at det underliggende problemet ved at endringer i DFØ ikke er sømløse tydeligere enn tidligere, noe som resulterer i flere saker til brukerstøtte.

Disse negative konsekvensene tilsier at UiO bør endre på hvor lenge brukere synkroniseres til Entra ID. Det er alltid en risiko knyttet til endring, men vi mener det er verd å endre dette. For å minimiere risikoen bør det informeres bredt om endringen så vi kan få innspill og innvendinger.

Forslag til teknisk løsning

MS365-gruppen jobber med en utmerket oversikt over komponentene knyttet til bruker- og gruppesynkronisering - anbefales å se igjennom for å få en forståelse av de ulike stedene man kan endre for å påvirke brukere i Entra ID. Fra DFØ/FS, Cerebrum, AD eller Entra ID Connect-automatikken.

Etter en diskusjon med MS365-gruppen og OPS, så virker det som det å innføre en gruppe med alle brukere som har e-postkonto i Exchange Online, og hvor gruppemedlemskapet ikke fjernes når tilknytningne fjernes kan være en god løsning. Denne gruppen må legges inn i skriptet som gjør MS365-utplukk.

Ulempen ved å innføre en ny gruppe er at det må på plass automatikk for gruppen. Dette må avtales med Cerebrum. På den andre siden så vil det være behov for å skille på hvem som bruker Exchange på bakken og i sky helt fram til Exchange on-prem er avviklet, så dette må uansett gjøres.