Déploiement des équipements Windows Mobile 6 avec Microsoft Exchange Server 2007

Transcription

1 Déploiement des équipements Windows Mobile 6 avec Microsoft Exchange Server 2007 Introduction Ce guide décrit les pratiques recommandées et les procédures nécessaires à l installation d un système de messagerie mobile avec des équipements Microsoft Windows Mobile 6 et Microsoft Exchange Server Organisation du document Ce guide se divise en deux sections principales : La première section, Déploiement de la messagerie mobile, présente les nouvelles fonctionnalités et pratiques recommandées en matière de déploiement, propose des alternatives et des recommandations sur l architecture de messagerie mobile, et introduit la technologie Direct Push. La seconde section, Procédures de déploiement d Exchange Server 2007 et de Windows Mobile 6, fournit les étapes et les procédures à suivre pour installer un système de messagerie mobile. Elle décrit notamment la mise en place d Exchange Server 2007, la création d un environnement de communication protégé, la configuration de Microsoft Internet Security and Acceleration (ISA) Server 2006 ou d un pare-feu tiers, et l administration et la configuration des équipements mobiles.

2 Les informations contenues dans ce document représentent l'opinion actuelle de Microsoft Corporation sur les points cités à la date de publication. Microsoft s'adapte aux conditions fluctuantes du marché et cette opinion ne doit pas être interprétée comme un engagement de la part de Microsoft ; de plus, Microsoft ne peut pas garantir la véracité de toute information présentée après la date de publication. Ce livre blanc est fourni uniquement à titre indicatif. MICROSOFT EXCLUT TOUTE GARANTIE, EXPRESSE, IMPLICITE OU STATUTAIRE, EN CE QUI CONCERNE CE DOCUMENT. L'utilisateur est tenu d'observer la réglementation relative aux droits d'auteur applicable dans son pays. Aucune partie de ce document ne peut être reproduite, stockée ou introduite dans un système de restitution, ou transmise à quelque fin ou par quelque moyen que ce soit (électronique, mécanique, photocopie, enregistrement ou autre) sans la permission expresse et écrite de Microsoft Corporation. Microsoft peut détenir des brevets, avoir déposé des demandes d enregistrement de brevets ou être titulaire de marques, droits d auteur ou autres droits de propriété intellectuelle portant sur tout ou partie des éléments qui font l objet du présent document. Sauf stipulation expresse contraire d'un contrat de licence écrit de Microsoft, la fourniture de ce document n'a pas pour effet de vous concéder une licence sur ces brevets, marques, droits d'auteur ou autres droits de propriété intellectuelle Microsoft Corporation. Tous droits réservés. Microsoft, Active Directory, ActiveSync, Internet Explorer, MSDN, Outlook, SharePoint, Windows, Windows Mobile et Windows Server sont soit des marques de Microsoft Corporation, soit des marques déposées de Microsoft Corporation aux États-Unis d'amérique et/ou dans d'autres pays. Les noms des produits et des entreprises mentionnés dans ce document peuvent être des marques déposées par leurs propriétaires respectifs. ii

3 Table des matières DÉPLOIEMENT D UN SYSTÈME DE MESSAGERIE MOBILE... 1 Hypothèses... 1 Configuration logicielle... 1 Éléments opérationnels... 2 Présentation du déploiement... 2 Ressources de planification... 3 NOUVELLES FONCTIONNALITÉS D ENTREPRISE POUR WINDOWS MOBILE 6 ET EXCHANGE SERVER Nouvelles fonctionnalités dans Windows Mobile Nouvelles fonctionnalités dans Exchange Server PRATIQUES RECOMMANDÉES POUR LE DÉPLOIEMENT D UN SYSTÈME DE MESSAGERIE MOBILE Configuration réseau Fonctionnalités de sécurité : Authentification et certification SCÉNARIOS D ARCHITECTURE RÉSEAU Options de déploiement L authentification dans ISA Server COMPRENDRE LA TECHNOLOGIE DIRECT PUSH La technologie Direct Push PROCÉDURES DE DÉPLOIEMENT WINDOWS MOBILE 6 ET EXCHANGE SERVER ÉTAPE 1 : INSTALLATION D EXCHANGE SERVER 2007 AVEC LE RÔLE SERVEUR D ACCÈS CLIENT.. 33 ÉTAPE 2 : MISE À JOUR DES SERVEURS AVEC LES CORRECTIFS DE SÉCURITÉ ÉTAPE 3 : PROTECTION DES COMMUNICATIONS ENTRE EXCHANGE SERVER 2007 ET LES DISPOSITIFS WINDOWS MOBILE Déploiement de SSL pour chiffrer le trafic de messagerie Activation de SSL sur le site Web par défaut Configuration de l authentification de base Protection d IIS par réduction de la surface des attaques potentielles ÉTAPE 4 : INSTALLATION ET CONFIGURATION D ISA SERVER 2006 OU D UN AUTRE PARE-FEU Procédures Installation d ISA Server Installation d un certificat serveur sur l ordinateur ISA Server Mise à jour du DNS public Création de la règle de publication Exchange ActiveSync Configuration d ISA Server 2006 pour l authentification LDAP Réglage du délai d inactivité de session sur 1800 secondes pour les pare-feu et les équipements réseau iii

4 Test de la règle de publication Exchange ÉTAPE 5 : CONFIGURATION ET ADMINISTRATION DE L ACCÈS DES ÉQUIPEMENTS MOBILES SUR LE SERVEUR EXCHANGE Création de stratégies de boîtes aux lettres Exchange ActiveSync Configuration des paramètres de sécurité des équipements mobiles via une stratégie de boîte aux lettres Application d une stratégie de boîte aux lettres à un utilisateur Effacement à distance du contenu d un équipement Désactivation d Exchange ActiveSync ÉTAPE 6 : INSCRIPTION DU CERTIFICAT ET MISE À JOUR DES ÉQUIPEMENTS MOBILES Certificats sur les équipements Windows Mobile Authentification de base Authentification fondée sur les certificats Administration des certificats des équipements Stratégies de sécurité Windows Mobile et mise à jour des équipements ÉTAPE 7 : ADMINISTRATION ET CONFIGURATION DES ÉQUIPEMENTS WINDOWS MOBILE Initialisation d une connexion entre un équipement mobile et Exchange Server iv

5 Déploiement d un système de messagerie mobile Ce guide s adresse aux administrateurs informatiques chargés de la planification et du déploiement d un système de messagerie mobile avec Microsoft Exchange Server 2007 et Windows Mobile 6. Hypothèses Ce guide suppose que vous disposez d une connaissance générale des opérations de déploiement et d administration de Microsoft Exchange Server 2007, et des concepts liés à Microsoft Office Outlook Web Access, Exchange ActiveSync, Hypertext Transfer Protocol (HTTP) et Microsoft Internet Information Services (IIS). Exchange Server 2007 introduit le déploiement du rôle de serveur distribué ainsi que des fonctionnalités supplémentaires qui n étaient pas fournies avec les versions précédentes d Exchange Server. Microsoft vous recommande vivement de lire la documentation technique sur Exchange Server 2007 dans la bibliothèque Microsoft TechNet avant de commencer l installation de votre solution de messagerie mobile Windows Mobile 6 et Exchange Server Pour des informations plus détaillées sur les fonctionnalités, les rôles de serveur, l architecture et la planification Exchange Server 2007, et sur Exchange ActiveSync, consultez le chapitre «Getting Started» (Pour commencer) sur Microsoft Exchange Server 2007 à l adresse Configuration logicielle Le tableau suivant présente les systèmes d'exploitation et applications nécessaires au déploiement d un serveur Exchange Server Emplacement Serveur Active Directory Protocole LDAP (Lightweight Directory Access Protocol) Serveur Exchange Configuration logicielle Microsoft Windows Server 2003 ou Microsoft Windows Server 2000 (Windows Server 2003 avec Service Pack 1 recommandé) Microsoft Exchange Server 2007 Windows Server 2003 ou Windows Server 2003 R2 version 64 bits Rôle serveur d accès client installé 1

6 Équipements mobiles Microsoft Windows Server 2003 avec Service Pack 1 (SP1) Internet Information Services (IIS) 6.0 Équipements Windows Mobile 6 Une installation Microsoft Exchange Server 2007 nécessite un matériel et un système d'exploitation 64 bits. Ces derniers sont indispensables pour prendre en charge l augmentation des capacités de la mémoire et du stockage, et les améliorations de la sécurité. Pour les déploiements Exchange à plus grande échelle dans lesquels le serveur d accès client se situe sur un système séparé de celui des boîtes aux lettres Exchange, nous vous recommandons vivement de déployer Exchange Server 2007 sur un serveur membre et non sur un contrôleur de domaine. Pour plus d informations sur les prérequis matériels et logiciels pour Exchange Server 2007, consultez la section «Preparing to Deploy Exchange 2007» (Préparation au déploiement d Exchange 2007) sous la rubrique Deployment (Déploiement) à la page Éléments opérationnels Les composants optionnels suivants peuvent être installés pour des fonctionnalités de sécurité et l administration des équipements : Microsoft Internet Security and Acceleration Server 2006 Autorité de certification Windows RSA Authentication Manager 6.0 de RSA Security RSA Authentication Agent pour Microsoft Windows de RSA Security RSA SecurID Authenticator de RSA Security Pour des informations complémentaires, consultez les Scénarios d architecture réseau dans ce document. Présentation du déploiement Étant donné que les infrastructures réseau et les stratégies de sécurité varient d une entreprise à l autre, le processus de déploiement de chaque installation de messagerie mobile diffère. Il existe des étapes obligatoires et recommandées pour le déploiement d une solution de messagerie avec Microsoft Exchange Server 2007 et des équipements Windows Mobile 6. Le déploiement se déroule en sept étapes : Étape 1 : Installation d Exchange Server 2007 avec le rôle serveur d accès client Étape 2 : Mise à jour des serveurs avec les correctifs de sécurité Étape 3 : Protection des communications entre Exchange Server 2007 et les dispositifs Windows Mobile 6 Étape 4 : Installation et configuration d ISA Server 2006 ou d un autre pare-feu 2

7 Étape 5 : Configuration et administration de l accès des équipements mobiles sur le serveur Exchange Étape 6 : Inscription du certificat et mise à jour des équipements Étape 7 : Administration et configuration des équipements Windows Mobile 6 Ressources de planification Les sites Web et articles techniques Microsoft suivants fournissent des informations de fond pour la planification et le déploiement de votre solution de messagerie mobile : Exchange Server 2007/Windows Server 2003/ISA Server 2006/IIS 6.0 Guide de déploiement Exchange Server Guide de déploiement Windows Server Publication d Exchange Server 2007 avec ISA Server Guide de référence technique Windows Server Guide de déploiement IIS TechCenter Microsoft Exchange Server Prise en charge des équipements Windows Mobile dans l entreprise : Consignes pour chaque étape du cycle de vie de l équipement (livre blanc) 3

8 Nouvelles fonctionnalités d entreprise pour Windows Mobile 6 et Exchange Server 2007 Ce chapitre décrit les nouvelles fonctionnalités fournies par Windows Mobile 6 et Microsoft Exchange Server Les fonctions qui ne sont pas directement liées au déploiement d un service de messagerie mobile ne sont pas présentées ici. Toutefois, nous fournissons des liens vers ces rubriques. Nouvelles fonctionnalités dans Windows Mobile 6 Windows Mobile 6 constitue une évolution majeure pour les équipements Windows Mobile après Windows Mobile 5.0. Voici quelques-unes de ses nouvelles fonctionnalités : Fonctions natives étendues de sécurité et d administration des équipements Fonctionnalité améliorée d inscription et d administration des certificats Recherches dans les messages faites par Exchange Accès aux documents Microsoft SharePoint et aux partages de fichiers Windows Prise en charge de HTML dans les messages électroniques Fonctions natives étendues de sécurité et d administration des équipements Les dispositifs Windows Mobile 6 renforcent l interopérabilité avec Exchange Server L architecture logicielle de Windows Mobile 6 améliore les fonctions de sécurité et d administration des équipements, et renforce l intégration avec Exchange Server 2007 et d autres outils de productivité. Ainsi, les entreprises sont plus à même de déployer, d administrer et de sécuriser efficacement leurs solutions Windows Mobile. La fonctionnalité d administration des stratégies, plus souple dans Exchange Server 2007, et les fonctions renforcées de contrôle et de sécurité des équipements améliorent les performances de l utilisation des mobiles. Ces nouvelles fonctions simplifient la création d applications métier à la sécurité renforcée. Windows Mobile 6 a été conçu pour fournir le standard le plus élevé en matière de développement et de déploiement d applications métiers. Fonctionnalité améliorée d inscription et d administration des certificats WM6 permet nativement l enregistrement de différents types de certificats. Coté poste de travail, Activesync 4.5 permet lui aussi de réaliser cette opération. Il est alors possible d utiliser l infrastructure Active Directory pour distribuer ces certificats, de manière sécurisée en s appuyant sur les mécanismes d authentification du domaine Active Diractory. Le renforcement de la sécurité dans Windows Mobile 6 permet l enregistrement de certificats via des méthodes avancées telles que l utilisation de cartes à puces et la gestion du renouvellement des certificats arrivés à expiration. 4

9 Ces fonctionnalités : fournissent une authentification fondée sur les certificats, qui peut remplacer l authentification classique par nom d utilisateur et mot de passe ; favorisent l inscription des certificats de plateforme, paramétrable sur l équipement ; permettent aux applications d appeler par programmation le processus d inscription des certificats pour initier une inscription ; prennent en charge le renouvellement des certificats ; permettent d installer des certificats supplémentaires sur l équipement mobile sans avoir à créer de fichier.cab. Recherche dans les messages via Exchange Exchange est capable d effectuer des recherches dans les courriers électroniques. Ainsi, les utilisateurs de Windows Mobile 6 peuvent parcourir leurs messages à la recherche d éléments qui correspondent à des critères spécifiques. Les résultats sont ensuite téléchargés dans le mobile et affichés dans un dossier. Cette fonctionnalité permet à un utilisateur mobile de rechercher des informations stockées dans sa boite au lettres Exchange, et non synchronisées sur son terminal mobile. Il accède ainsi à toutes ses informations pendant ses déplacements. Parmi les fonctionnalités innovantes prises en charge : Recherche d informations dans les messages électroniques non stockés sur l équipement mobile. Les résultats de recherche sont affichés dans une vue classique de dossier de messagerie. L utilisateur précise les champs et les dossiers à parcourir et limite la recherche à une période donnée. L utilisateur extrait le contenu des messages et les pièces jointes à partir des résultats de recherche. Les résultats restent dans le dossier de recherche jusqu à la prochaine recherche ou jusqu à leur suppression manuelle par l utilisateur. L utilisateur voit le nombre maximal de résultats de recherche disponibles. Accès aux documents Microsoft SharePoint et aux documents des partages de fichiers Windows Exchange 2007 permet de fournir de manière sécurisée l accès aux documents stockés dans l intranet, sur des site Sharepoint ou via des UNC (Universal Naming Convention). Cela peut servir d alternative aux pièces jointes des messages qui sont coûteuses en termes de bande passante et de stockage. Grâce à cette approche, le destinataire sait qu il consulte la version la plus récente d un document. Généralement, les utilisateurs n ont pas accès aux documents lorsqu ils sont à l extérieur du pare-feu d entreprise. Or, ce problème est résolu avec Microsoft Exchange Server 2007 qui sait jouer le rôle de mandataire (proxy) ou d outil de redirection pour le document. Ainsi, les 5

10 messages électroniques en HTML peuvent comporter des liens vers les documents SharePoint tout comme les pièces jointes classiques. Windows Mobile 6 fournit un accès en lecture seule aux éléments stockés dans les partages SharePoint et UNC. Prise en charge HTML dans les messages électroniques La prise en charge HTML dans les messages électroniques est une amélioration de Microsoft Outlook Mobile qui permet aux utilisateurs de recevoir, visualiser, rédiger et transmettre des messages électroniques au format HTML. Les transports de messagerie suivants sont pris en charge : ActiveSync, POP, IMAP et Exchange Server La fonctionnalité HTML inclut les listes à puces, les tableaux, les liens hypertexte, le texte formaté et les images inline. Parmi les nouvelles fonctionnalités HTML pour Windows Mobile 6 : Les messages électroniques synchronisés avec Exchange Server 2007 peuvent afficher le formatage HTML d origine. Les fonctions HTML Smart Reply (réponse conservant la présentation HTML), Inline Smart Forward (transfert d un message sans perte de présentation), Compose (Rédiger) et Fetch Mail (téléchargement d un message sans synchronisation totale de la boîte aux lettres) sont prises en charge. Les messages transférés ne sont pas affichés en ligne comme ils le sont dans la version poste de travail d Outlook. Les messages conservent les liens hypertextes vers le contenu Web. Options de stratégies et utilisateurs : Contrôle de la charge utile HTML par compte via le Fournisseur du service de configuration et des options utilisateur. Windows Mobile 6 fournit d autres fonctionnalités innovantes qui ne sont pas évoquées dans ce chapitre, telles que le verrouillage de l équipement, un code PIN moins trivial et le chiffrement de la carte mémoire. Pour en savoir plus sur ces fonctionnalités, consultez le «Windows Mobile 6 Product Reference Guide» (Guide de référence produit Windows Mobile 6) sur Nouvelles fonctionnalités dans Exchange Server 2007 Microsoft Exchange Server 2007 présente plusieurs fonctionnalités innovantes qui renforcent la performance et simplifient l administration de votre solution de messagerie Windows Mobile 6. La plupart des tâches administratives sont réalisées à partir de la console d administration Exchange, ce qui supprime le besoin en outils d administration supplémentaires. Parmi les nouvelles fonctions Exchange Server : La nouvelle fonctionnalité Exchange ActiveSync Server 2007 Les stratégies de boîte aux lettres Exchange ActiveSync Les rôles de serveur distribués 6

11 La console d administration Exchange Le pack d administration Microsoft Exchange Server 2007 pour Microsoft Operations Manager (MOM) 2005 Nouvelle fonctionnalité Exchange ActiveSync Server 2007 La fonctionnalité Exchange ActiveSync est activée par défaut sur le serveur Exchange Server 2007 avec le rôle serveur d accès client installé. Exchange ActiveSync a été amélioré dans Exchange Server Parmi ses nouvelles fonctions : Prise en charge des messages HTML Prise en charge des indicateurs de suivi Prise en charge de l extraction rapide de messages (Fetch Mail) Informations sur les participants à une réunion Recherche étendue via Exchange Accès aux documents Windows SharePoint Services et UNC Réinitialisation du code PIN Fonctions de sécurité renforcées pour l équipement mobile via des stratégies sur le mot de passe Prise en charge de la configuration Absence du bureau Stratégies de boîte aux lettres Exchange ActiveSync À l aide des stratégies de boîte aux lettres Exchange ActiveSync, l administrateur applique un ensemble commun de paramètres de stratégie et de sécurité sur un groupe d utilisateurs. Plusieurs stratégies supplémentaires ont été introduites dans Exchange Server 2007 pour renforcer le contrôle de l administration sur votre environnement de messagerie mobile. 7

12 Les options de stratégie mobile suivantes sont implémentées par le biais de la console d administration Exchange : Option de sécurité Mot de passe alphanumérique requis Activer la restauration du mot de passe Exiger le chiffrement sur l équipement mobile Autoriser un mot de passe simple Description Utilisez cette option pour obliger les utilisateurs à choisir un mot de passe qui comporte des chiffres et des lettres. Cette option n est pas paramétrée par défaut. L administrateur peut obtenir un mot de passe de restauration via la console d administration Exchange. Requiert le chiffrement sur l équipement mobile pour les cartes SD (Smart Device). Autorise ou interdit l utilisation d un mot de passe 8

13 Longueur minimale du mot de passe Délai d'inactivité autorisé avant de redemander le mot de passe Expiration du mot de passe Pièces jointes activées Autoriser les équipements non déclarés simple comme Définit la longueur minimale du mot de passe. Détermine si l utilisateur doit ouvrir une nouvelle session sur son système mobile après un délai défini d inactivité (en minutes). Cette option n est pas sélectionnée par défaut. Le délai par défaut est établi à 5 minutes. Permet à l administrateur de configurer une période après laquelle le mot de passe d un équipement mobile doit être modifié. Autorise le téléchargement des pièces jointes sur l équipement mobile. Autorise la connexion de matériels anciens sur Exchange Server 2007 via ActiveSync. Pour une présentation détaillée des stratégies de boîte aux lettres Exchange Server 2007, consultez «Understanding ActiveSync Mailbox Policies» (Comprendre les stratégies de boîte aux lettres ActiveSync) sur Rôles de serveur distribués Vous avez le choix entre deux options d installation dans le cadre d un déploiement Exchange Server 2007 : classique et personnalisée. Dans une installation classique, plusieurs composants de service (rôles de serveur) sont ajoutés à une plateforme de serveur. Un rôle de serveur est une unité qui réunit de manière logique les fonctionnalités et composants nécessaires à la réalisation d une fonction spécifique dans l environnement de messagerie. La condition requise pour un rôle de serveur est que le serveur puisse fonctionner comme une entité indivisible sur le plan de la capacité à monter en charge. Les rôles de serveur représentent les entités principales d un déploiement. Ils permettent aux administrateurs de choisir facilement les fonctionnalités qui sont installées sur un serveur Exchange. Le regroupement logique des fonctions dans les rôles de serveur apporte les avantages suivants : La surface d attaque est réduite sur un serveur Exchange. L administrateur peut ajouter des serveurs centraux sans interrompre le fonctionnement du serveur des accès client ni exposer les serveurs en dehors du réseau local de l entreprise. L installation est simple et un serveur peut être intégralement personnalisé pour prendre en charge vos objectifs et besoins métier. La performance serveur augmente grâce à la répartition de la charge globale (utilisation du processeur et de la mémoire) sur des serveurs supplémentaires. Les rôles de serveur Exchange Server 2007 suivants sont indispensables dans le déploiement d un système de messagerie mobile : Serveur d accès client. Ce rôle prend en charge les applications client Microsoft Exchange ActiveSync, les protocoles POP3 (Post Office Protocol version 3) et IMAP4 (Message Access 9

14 Protocol version 4rev1). Il s agit du composant serveur principal de votre système de messagerie mobile. Le serveur d accès client se comporte comme un serveur frontal vis-à-vis du serveur des boîte aux lettres dans une topologie distribuée. Serveur de boîte aux lettres. Il s agit d un serveur principal qui héberge les boîtes aux lettres et les dossiers publics. Les autres rôles de serveur qui ne sont pas mentionnés ou qui sont brièvement présentés dans ce document incluent le transport Edge, le transport Hub, et la messagerie unifiée. Le rôle serveur d accès client se charge des communications entre ActiveSync et un équipement Windows Mobile, et constitue un élément indispensable dans le déploiement d un système de messagerie mobile. Reportez-vous à la section Scénarios d architecture réseau dans ce document. Pour des informations plus détaillées sur les rôles de serveur Microsoft Exchange Server 2007, consultez la feuille de route des rôles de serveur sous Microsoft Exchange Server 2007, sur Console d administration Exchange - Présentation Dans Exchange Server 2007, la console d administration Exchange remplace le Gestionnaire système Exchange de la version précédente Exchange Server Cette console vous permet d administrer l ensemble des serveurs, destinataires et composants de votre infrastructure informatique. 10

15 À présent, un volet Action répertorie les actions accessibles aux administrateurs en fonction des éléments sélectionnés dans l arborescence de la console ou dans le volet Résultats. Du point de vue d un système de messagerie mobile, le volet Action apparaît lorsqu une nouvelle stratégie de boîte aux lettres peut être créée ou lorsqu une tâche d effacement des données peut être lancée sur un équipement mobile. L outil Web d administration des mobiles Exchange ActiveSync n est plus inclus dans Exchange Server Cet outil était utilisé pour gérer le processus d effacement à distance des équipements mobiles perdus, volés, ou compromis dans un environnement Exchange Server Cette fonctionnalité a été intégrée à la console d administration Exchange afin de réunir l ensemble des tâches d administration dans une seule interface. Pack d administration Microsoft Exchange Server 2007 pour Microsoft Operations Manager (MOM) 2005 Le pack d administration Exchange Server 2007 inclut les règles et les scripts utilisés pour superviser et créer des rapports sur la performance, la disponibilité et la fiabilité de tous les rôles 11

16 de serveur Exchange Server 2007, y compris la boîte aux lettres, l accès client, le transport Hub, le transport Edge et la messagerie unifiée. Les rubriques consacrées au pack d administration Exchange Server 2007 pour MOM 2005 expliquent comment superviser et assurer la maintenance des ressources de messagerie. Ces rubriques sont accessibles en ligne sous «Monitoring Exchange 2007 with Microsoft Operations Manager 2005 SP1» (Superviser Exchange 2007 avec Microsoft Operations Manager 2005 SP1) sur la page Les logiciels requis pour utiliser le pack d administration Microsoft Exchange Server 2007 sont MOM 2005 et Microsoft Exchange Server

17 Pratiques recommandées pour le déploiement d un système de messagerie mobile Cette section décrit les pratiques recommandées pour le déploiement d un système de messagerie mobile Microsoft de façon à répondre aux exigences de votre entreprise en matière de sécurité. Configuration réseau Quelle que soit la configuration réseau que vous choisissez, plusieurs pratiques recommandées contribueront à renforcer la sécurité de votre solution de messagerie mobile. Rôles de serveur distribués dans Exchange 2007 Nouveauté avec Exchange Server 2007 : vous pouvez créer des rôles de serveur Exchange afin de sélectionner les composants Exchange que vous souhaitez installer sur chaque serveur. Pour Exchange ActiveSync (composant Exchange qui communique avec l équipement mobile), le rôle à jouer est celui de serveur d accès client. Conformément à une pratique recommandée, le rôle serveur d accès client devrait être joint au domaine et situé sur le même site Active Directory que le rôle de boîte aux lettres Exchange. Une autre pratique recommandée consiste à router le trafic Internet par le biais d un mandataire (proxy) inverse ou un pare-feu, tel qu ISA En effet, ISA 2006 intègre des fonctionnalités de sécurité, comme le pontage SSL, l authentification utilisateur et l inspection des paquets. 13

18 Dans le schéma ci-dessus, le serveur d accès client, chargé des communications Exchange ActiveSync Server 2007, est un serveur frontal pour le serveur de boîte aux lettres (principal). ISA Server 2006 est placé dans le réseau de périmètre et filtre les requêtes entrantes, destinées au serveur d accès client. L un des avantages d une architecture distribuée est qu elle allège le processeur et la mémoire d un serveur unique en répartissant la charge sur plusieurs serveurs. En fonction de la taille de votre entreprise, cette topologie peut améliorer la performance globale de votre système de messagerie mobile. Dans les installations plus petites, les rôles du serveur d accès client et du serveur de boîte aux lettres peuvent être déployés sur le même système. Pour des informations plus détaillées sur les rôles de serveur et la planification d un déploiement distribué Exchange Server 2007, consultez «Planning and Architecture under Microsoft Exchange Server 2007» (Planification et architecture sous Microsoft Exchange Server 2007), sur la page Pratique recommandée : Configuration du pare-feu en vue d optimiser la performance de la technologie Direct Push Pour optimiser la bande passante du client mobile, il faut comprendre l impact qu ont les paramètres de délai d attente HTTP sur vos pare-feu et autres dispositifs en ligne avec votre serveur d accès client Exchange. Lorsqu un équipement mobile utilise Direct Push, il établit une connexion HTTPS à longue durée de vie avec Exchange ActiveSync. Il existe deux cas seulement où la connexion est annulée. Dans le premier cas, lorsqu un changement a lieu sur la boîte aux lettres de l utilisateur, Exchange ActiveSync renvoie une réponse à l équipement mobile, lui demandant de se synchroniser avec le serveur Exchange. Dans le second cas, lorsque l intervalle de pulsation de la connexion Direct Push arrive à échéance, Exchange ActiveSync demande à l équipement mobile d envoyer une nouvelle requête Direct Push. Si le délai d attente HTTP de votre pare-feu est plus court que l intervalle de pulsation Direct Push, la connexion sera rompue trop souvent et l équipement mobile devra envoyer régulièrement une nouvelle requête. À long terme, cela augmentera l utilisation de la bande passante. Ainsi, Microsoft vous recommande de paramétrer le délai d attente de votre pare-feu sur 30 minutes. Plus le délai d attente du pare-feu est long, moins les connexions seront rompues, ce qui optimisera l utilisation de la bande passante, les équipements mobiles émettant moins de nouvelles requêtes Direct Push. L image suivante illustre les paramètres recommandés de pare-feu. 14

19 Pour une présentation technique de la technologie Direct Push, consultez la rubrique Comprendre la technologie Direct Push dans ce document. Fonctionnalités de sécurité : Authentification et certification Microsoft vous conseille vivement d utiliser le protocole SSL pour chiffrer la communication entre l équipement mobile et Exchange ActiveSync. Cette étape de déploiement concerne les entreprises de toute taille. Les certificats racines de certains fournisseurs SSL, qui proposent des certificats SSL moins onéreux, sont déjà installés sur les équipements Windows Mobile. Dans ce cas, vous n aurez pas à «intervenir» sur chaque dispositif. Une autre pratique recommandée consiste à faire transiter l ensemble du trafic Internet pour Exchange ActiveSync via un serveur mandataire inverse et un pare-feu, comme ISA

20 Pratique recommandée : Utilisation du protocole SSL pour le chiffrement et l authentification de serveur Afin de protéger les données entrantes et sortantes, déployez le protocole SSL pour chiffrer l ensemble du trafic. Vous pouvez configurer les fonctions de sécurité SSL sur un serveur Exchange pour vous protéger de certaines attaques Internet telles que l interception par un intermédiaire et les usurpations de serveur. Comme tout autre serveur Web, le serveur Exchange requiert un certificat valide pour établir des communications SSL. Les équipements Windows Mobile 6 sont diffusés avec des certificats racines de confiance. Adressez-vous à votre fournisseur de matériel pour la liste des autorités de certificats incluses dans vos équipements. Si vous obtenez un certificat racine auprès de l un de ces services de confiance, vos équipements mobiles devraient être en mesure d établir directement des communications SSL sans aucune configuration supplémentaire. Si vous créez vos propres certificats, ajoutez-les au magasin racine de chaque équipement. Certains certificats de serveur sont émis par des autorités intermédiaires dans la chaîne de certification. Si IIS n a pas été configuré pour transmettre tous les certificats de la chaîne vers l équipement mobile pendant la négociation SSL, ce dernier ne fera pas confiance au certificat intermédiaire car il ne prend pas en charge la récupération dynamique d autres certificats. Pour plus d informations sur Windows Mobile 6 et les certificats, consultez l Étape 6 : Inscription du certificat et mise à jour des équipements mobiles Pratique recommandée : Définir et déployer une stratégie de mot de passe sur l équipement mobile Exchange Server 2007 dispose de fonctions de sécurité additionnelles, telles que l expiration et l historique du mot de passe, qui peuvent être appliquées aux équipements Windows Mobile 6. Ces paramètres sont administrés à l aide de la console d administration Exchange. Pour des informations détaillées sur le paramétrage des stratégies de sécurité, consultez l Étape 5 : Configuration et administration de l accès des équipements mobiles sur le serveur Exchange. Pratique recommandée : Utilisation de la publication Web avec l authentification de base Nombre d entreprises exploitent une authentification de base sur un canal chiffré (SSL). Ces entreprises peuvent renforcer la sécurité de leur déploiement mobile en utilisant ISA 2006 pour publier sur le Web le serveur Exchange Server ISA Server dispose en effet d une logique intégrée qui identifie les requêtes correctement formées, comme les requêtes Exchange ActiveSync, ce qui renforce la protection du serveur d accès client Exchange face aux attaques malveillantes. Nous conseillons d utiliser la publication Web car cette technique est plus simple à implémenter et fournit un plus haut degré de sécurité que la publication de serveur. 16

21 Scénarios d architecture réseau Cette section décrit la topologie réseau de votre déploiement Exchange Server 2007 et Windows Mobile 6. Nous présentons les scénarios suivants : ISA Server 2006 en tant que pare-feu avancé (derrière un pare-feu tiers) Utilisation d un pare-feu tiers Coexistence Exchange Server 2003 et Exchange Server 2007 Options de déploiement Les scénarios suivants présentent quelques options d installation d une solution de messagerie mobile avec Exchange Server 2007, ISA Server 2006, des pare-feu tiers, et des équipements Windows Mobile 6. Ces scénarios ne sont fournis dans aucun ordre particulier. Important : Ces options constituent des stratégies de déploiement possibles pour votre réseau. La topologie choisie au final doit prendre compte des spécificités de votre réseau, y compris les matériels et logiciels disponibles, les considérations de sécurité, l utilisation prévue, et la performance recherchée. Microsoft vous conseille d étudier de manière approfondie l ensemble des facteurs de sécurité pour votre réseau avant l installation. Pour les documents de référence ISA Server, consultez l Étape 4 : Installation et configuration d ISA Server 2006 ou d un autre pare-feu. Pour les pare-feu tiers, consultez la documentation du fabricant pour les problèmes de sécurité connexes. Option 1 : ISA Server 2006 en tant que pare-feu avancé dans un réseau de périmètre La première option consiste à implémenter ISA Server 2006 en tant que passerelle de sécurité. ISA Server 2006 et Exchange Server 2007 renforcent la sécurité par l inspection du protocole en plus du pontage SSL et de l authentification utilisateur. 17

22 Le serveur ISA est utilisé en guise de pare-feu avancé dans le réseau de périmètre qui est exposé au trafic Internet. Il communique directement avec les serveurs LDAP et le ou les serveurs Exchange internes. Pour une sécurité renforcée, le serveur ISA intercepte toutes les requêtes clients SSL et joue le rôle de mandataire pour ces requêtes par rapport aux serveurs Exchange principaux. Dans le cadre de cette configuration, les serveurs Exchange sont à l intérieur du réseau d entreprise et le serveur ISA sert de pare-feu avancé dans le réseau de périmètre. Ainsi, vous disposez d une couche de sécurité supplémentaire pour votre réseau. L ensemble du trafic Internet entrant sur le port 443 est intercepté par le serveur ISA Celuici met fin à la connexion SSL, authentifie l utilisateur et inspecte la requête. Si cette dernière est correctement formée, le serveur ISA la transmet vers le serveur d accès client Exchange pour son traitement. Pour des informations complémentaires sur l accès client Exchange, consultez «Configuring ISA Server 2006 for Exchange 2007 Client Access» (Configuration d ISA Server 2006 pour l accès client Exchange 2007) sur TechNet (en anglais). Le tableau ci-dessous répertorie les facteurs à prendre en compte lors du déploiement d ISA Server 2006 en tant que pare-feu avancé dans un réseau de périmètre, joint au domaine, et pour d autres topologies ISA possibles. Type d installation Pare-feu de groupe de Description Tous les serveurs Exchange sont sur le réseau 18 Observation L ensemble du trafic Exchange est authentifié au préalable, ce qui réduit

23 travail dans le réseau de périmètre d entreprise. Authentification FBA ou de base SSL configuré pour Exchange ActiveSync pour chiffrer l ensemble du trafic de messagerie. Le serveur ISA agit en tant que pare-feu avancé dans le réseau de périmètre qui est exposé au trafic Internet. ISA Server 2006 communique directement avec les serveurs LDAP et RADIUS. Authentification LDAP Les protocoles LDAP, LDAPS, LDAP-GC et LDAPS-GC sont pris en charge. Parce que chaque contrôleur de domaine authentifie uniquement les utilisateurs sur son domaine, le serveur ISA interroge par défaut le catalogue global à la recherche d une forêt pour valider les informations d identification de l utilisateur. Authentification RADIUS RADIUS valide les informations d identification. Le serveur ISA est le client RADIUS, en fonction de la réponse d authentification RADIUS. Les changements de mot de passe ne sont pas autorisés. 19 la surface d attaque et les risques. L authentification client sur Exchange est possible avec Windows, Kerberos, LDAP, LDAPS, RADIUS ou RSA SecurID. L authentification client sur ISA se limite à l authentification FBA, de base, LDAP et RADIUS. Nécessite l ouverture du port 443 sur le pare-feu pour le trafic Internet entrant et sortant. Requiert un certificat numérique pour se connecter au serveur de stockage de la configuration. Se limite à un serveur de stockage de configuration (limitation ADAM). Les administrateurs de domaine n ont pas accès au groupe de pare-feu. Les clients du groupe de travail ne peuvent pas utiliser l authentification Windows. Nécessite l administration de comptes en miroir pour la supervision des groupes. Pour des informations complémentaires sur l authentification ISA : 068&clcid=0x409 (en anglais).

24 ISA Server 2006 joint au domaine dans le réseau de périmètre ISA Server 2006 joint au domaine dans la forêt d entreprise Serveur d accès client Exchange (SAC dans la forêt d entreprise) En tant que membre du domaine, ISA Server 2006 fonctionne avec Active Directory. Exchange FE dans la forêt d entreprise En tant que membre du domaine d entreprise, ISA agit comme un membre de confiance du domaine, et suit également les stratégies de domaine. Renforce la protection du déploiement CSS. Des ports supplémentaires sont ouverts sur le pare-feu interne pour favoriser les communications entre les membres du domaine et Active Directory. IPSec peut être configuré entre le serveur ISA et le serveur Exchange pour supprimer le besoin de ports additionnels ouverts. Certaines entreprises peuvent décider de ne pas déployer des ressources de domaine en dehors du réseau local de confiance, ce qui peut constituer un risque de sécurité pour certaines topologies de réseau. Ne nécessite aucun port de pare-feu ni aucun tunnel IPSec spécial. KCD fonctionne mieux. Option 2 : Utilisation d un pare-feu tiers La seconde option consiste à déployer votre solution de messagerie mobile avec un pare-feu tiers. Les conditions suivantes doivent être respectées pour créer une architecture efficace et mieux sécurisée : Utilisez SSL pour chiffrer l ensemble du trafic entre l équipement mobile et Exchange Server Ouvrez un port 443 entrant sur chaque pare-feu entre l équipement mobile et Exchange Server. Paramétrez le délai d attente de session inactive sur 30 minutes pour tous les pare-feu et dispositifs réseau qui se situent entre l équipement mobile et le serveur Exchange afin d optimiser la bande passante pour la technologie Direct Push. 20

25 Consultez la documentation du fournisseur de pare-feu pour les instructions sur l ouverture du port 443 entrant et pour paramétrer le délai d attente de session inactive. Pour des informations détaillées et des conseils sur la technologie Direct Push, reportez-vous à la section Comprendre la technologie Direct Push. Type d installation Description Observation Pare-feu tiers Port 443 entrant ouvert sur le ou les pare-feu tiers. Configuration de l accès Direct Push pour les équipements mobiles. Ne nécessite aucun matériel ni aucun logiciel supplémentaire pour le déploiement de la solution de messagerie mobile. Option 3 : Coexistence Exchange Server 2007 et Exchange Server 2003 En phase de migration, il est possible de faire coexister temporairement un serveur frontal Exchange 2007 afin d accéder à certaines fonctions pour les clients mobiles. Même s il s agit ici d une topologie possible pour votre infrastructure, Microsoft vous recommande vivement d exploiter la même version de Microsoft Exchange sur tous les serveurs d un même site. 21

26 La version Exchange ActiveSync utilisée par les clients dépend également de la version de serveur qui héberge la boîte aux lettres de l utilisateur. Lorsqu un client se connecte au serveur d accès client Exchange Server 2007, le système vérifie l emplacement de l utilisateur. S il se trouve sur un serveur de boîte aux lettres version 2003, le système utilise la version Exchange Server 2003 du protocole ActiveSync. Si le client utilise une boîte aux lettres Exchange Server 2007, le système passe la connexion au serveur de boîte aux lettres doté de la nouvelle version d ActiveSync. Ainsi, un utilisateur dont la boîte aux lettres est sur une version de serveur antérieure ne pourra pas utiliser les nouvelles fonctions, telles que l accès SharePoint/UNC et la recherche Exchange, car la version ancienne du protocole ActiveSync ne prend pas en charge ces requêtes. Pour fonctionner, la recherche Exchange et les autres fonctions et stratégies doivent être prises en charge par l équipement mobile. À ce jour, Windows Mobile 5.0 ne prend pas en charge ces fonctionnalités car elles n étaient pas fournies dans Exchange 2003 SP2. Voici quelques-uns des avantages supplémentaires liés à l utilisation du serveur d accès client Exchange dans le réseau de périmètre : Nouvelles fonctionnalités d administration Exchange. Nouvelles fonctions d administration mobile Exchange. Ouverture de session Exchange perfectionnée (exportation vers SQL et Excel). Permet d autoriser uniquement la connexion des équipements configurés. Important : Les fonctionnalités ci-dessous nécessitent l utilisation d un serveur d accès client Exchange Server 2007 et d un serveur de boîte aux lettres Exchange Server Elles ne sont pas disponibles lorsque d autres technologies coexistent : Paramétrage de l absence du bureau à distance. Accès SharePoint et UNC. 22

27 Suivi des messages. Recherche dans la boîte aux lettres. Affichage amélioré des participants de réunion. Nouvelles fonctionnalités de stratégie de sécurité pour le chiffrement de la carte SD (Smart Device). Stratégies fondées sur les groupes. Toute autre fonctionnalité qui dépend de la nouvelle version d ActiveSync ou de la boîte aux lettres de l utilisateur. Généralement, lors de la migration d Exchange Server 2003 vers Exchange Server 2007, vous faites migrer simultanément tous les serveurs Exchange d un groupe de routage ou d un site Active Directory donné vers Exchange 2007, vous paramétrez la coexistence, puis vous faites migrer le site suivant. Important : Avant de configurer vos serveurs d accès client et de retirer vos serveurs frontaux Exchange 2003, décidez si vous souhaitez ou non conserver certains paramètres ou configurations personnalisés, correctifs de sécurité, thèmes et configurations de personnalisation Outlook Web Access à partir de vos serveurs frontaux Exchange Server L installation d Exchange Server 2007 se fait sur des matériels 64 bits, et aucun paramètre ni aucune configuration personnalisée Exchange Server 2003 n est conservée. Ainsi, avant de retirer vos serveurs frontaux et d installer les serveurs d accès client, veillez à ce que les paramètres et configurations personnalisées Outlook Web Access sur vos serveurs centraux Exchange Server 2003 correspondent aux configurations de vos serveurs frontaux Exchange Server Si vous installez les rôles de serveur sur des systèmes séparés, Microsoft vous conseille de déployer les rôles de serveur dans l ordre suivant : 1. Dans un premier temps, installez le rôle serveur d accès client pour remplacer tous les serveurs frontaux. 2. Déployez le rôle serveur de transport Hub et configurez les connecteurs du groupe de routage, les connecteurs d envoi et les connecteurs de réception. 3. Déployez le rôle de serveur de boîte aux lettres et déplacez les boîtes aux lettres utilisateur sur le nouveau serveur. Remarque L installation d Exchange Server 2007 dans l entreprise est décrite plus en détail à l Étape 1 : Installation d Exchange Server 2007 avec le rôle serveur d accès client. Type d installation Description Observation Serveur d accès client Exchange Server 2007 et réseau Exchange Server 2003 Utilisation d Exchange 2007/2003 en tant que serveur frontal et Microsoft vous conseille d utiliser la même version Exchange pour tous les 23

28 dans le réseau d entreprise. principal. Possibilité d utiliser les fonctionnalités d administration d Exchange Server serveurs fonctionnant sur un même site. L authentification dans ISA Server 2006 Les utilisateurs peuvent être authentifiés par le biais des fonctionnalités d authentification intégrées Windows, LDAP, RADIUS ou RSA SecurID. Les opérations de configuration des systèmes frontaux et des systèmes centraux ont été séparées pour plus de flexibilité et de précision. L ouverture de session unique est prise en charge pour l authentification sur les sites Web. Les règles peuvent être appliquées aux utilisateurs ou groupes d utilisateurs de tout espace de noms. Pour la plupart des installations d entreprise, Microsoft recommande l utilisation d ISA Server 2006 avec l authentification LDAP. ISA Server 2006 permet l authentification fondée sur les certificats avec la publication Web. Pour des informations complémentaires, consultez l article «Authentication in ISA Server 2006» (Authentification avec ISA Server 2006) sur le site Web Microsoft TechNet (en anglais). Le tableau ci-dessous résume certaines fonctionnalités d ISA Server 2006 : Fonctionnalité Prise en charge de l authentification LDAP Délégation de l authentification Authentification SecurID pour les clients de mandataire Web Prise en charge RADIUS pour l authentification du client de mandataire Web 24 Description Avec l authentification LDAP, ISA Server peut s authentifier sur Active Directory sans être membre du domaine. Pour plus d informations : id=0x409 (en anglais). Les sites Web publiés se protègent contre les accès non authentifiés en demandant au pare-feu ISA Server 2006 d identifier l utilisateur avant de transmettre la connexion sur le site Web publié. Cela empêche les attaques en provenance d utilisateurs non authentifiés d atteindre le serveur Web publié. Cette fonctionnalité est décrite en détail dans Authentication in ISA Server 2006 (en anglais). ISA Server 2006 authentifie les connexions à distance via l authentification SecurID à deux facteurs. Ainsi, vous disposez d un haut degré de sécurité : l utilisateur doit connaître et fournir une information pour accéder au serveur Web publié. Avec ISA Server 2006, vous authentifiez les utilisateurs dans Active Directory et dans d autres

29 bases de données d authentification à l aide de RADIUS qui interroge Active Directory. Les règles de publication Web peuvent également utiliser RADIUS pour authentifier les connexions d accès à distance. Authentification fondée sur les formulaires avec mot de passe et phrase associée Administration de session Administration des certificats Avec ISA Server 2006, vous pouvez réaliser une authentification à deux facteurs à l aide d un nom d utilisateur / mot de passe associé à une phrase (SecurID/RADIUS à mot de passe unique). ISA Server 2006 inclut une fonction améliorée de contrôle des sessions fondées sur les cookies pour renforcer la sécurité et l ouverture de session unique pour les clients Web tels qu Outlook Web Access. ISA Server 2006 simplifie les tâches d administration des certificats. Vous pouvez utilisez plusieurs certificats par port d écoute Web et différents certificats par membre de groupe. Pour des informations complémentaires sur la configuration d ISA Server 2006 pour Exchange Server 2007, consultez l article TechNet «Configuring ISA Server 2006 for Exchange Client Access» (Configurer ISA Server 2006 pour les accès client Exchange) (en anglais). 25