Eine wirklich wichtige Sicherheitsfunktion in Office 365 ist die Multifaktor Authentifizierung (MFA) von Admin Konten. Mittlerweile ist die schon einige Monate verfügbar und sehr einfach zu aktivieren. Das Interessante dabei ist, dass diese sowohl für reine “Cloud Identities” (also Admin Konten bei denen das Passwort in Office 365 verwaltet wird), als auch für “Federated Identites” (also Konten die am lokalen Active Directory per ADFS authentifiziert werden) benutzt werden kann -  ohne das man etwas an seinem ADFS Server ändern muss.

Die Einrichtung ist dabei sehr einfach und die folgenden Screenshots zeigen alle Schritte:

	Zur Aktivierung zunächst im Office 365 Admin Portal auf “Benutzer und Gruppen” gehen und im oberen Teil des Dialog für “Aktive Benutzer” die Mehrstufige Authentifizierung einrichten
	Die folgende Seite ist Teil des Azure Active Directory (was man auch an der URL erkennt). Um die Funktion für einen Konto zu aktiveren bitte die Checkbox aktivieren und dann rechts in den dann angezeigten “quick steps” Aktivieren anklicken. In diesem Dialog bitte NICHT auf den Benutzername klicken. Das führt einen aktuell zurück in die Office 365 Benutzeradministration.
	Es folgt ein Popup bei dem man die Bestätigung nochmal klickt…
	… und der dann die Aktivierung quittiert.
Bei der nächsten Anmeldung des Benutzer/Admins wird nun zu Einrichtung der MFA aufgefordert.
Die Überprüfung des Telefon kann per Anruf oder SMS erfolgen – oder man wählt die “Mobile App” aus,  die es  für Windows Phone, Android und IPhone gibt
In der App scannt man einfach den QRCode oder gibt manuell die URL und den Code ein. Sobald man den Code gescannt hat wird man aufgefordert die mobile App zu Verifizierung. Hier fehlen zwei Screenshots – aber die Anweisung auf dem Smartphone und den Browser sind eindeutig
	Spätere Änderungen kann der Benutzer selber durchführen, wenn er im Portal die “Office 365-Einstellungen” aufruft
	Dort finden man dann einen Link für die “zusätzliche Sicherheitsprüfung.
	Das Active Sync und Outlook leider nicht direkt mit MFA zurecht kommen, kann man dort zusätzliche “App-Kennwörter” einrichten.
	Falls man viele Geräte verwendet (was bei Admins häufiger vorkommt), dann ist es ratsam hier neben dem Anwendungsnamen ggf. auch noch den Gerätenamen einzutragen. Somit ist es später einfacher die Übersicht zu behalten.
	Wichtig ist: Das App-Kennwort wird nur kurz in diesem Dialog angezeigt und man kann es in die Zwischenablage kopieren – später kann man es sich nicht mehr anzeigen lassen. Falls man es vergessen hat –einfach löschen und ein neues App Kennwort einrichten.

Neben dieser - in der Office 365 schon eingebauten und für Administratoren kostenlosen Multifaktor Authentifizierung - kann man in der Windows Azure auch die Vorschau für die “Windows Azure Active Directory Premium” Funktionen aktivieren. Damit bekommt neben Branding der Anmeldeseite von Office 365, Password Self-Reset auch die MFA Funktionen für nicht Admin-Benutzer sowie die Möglichkeit die MFA Software für den eigenen Server runterzuladen. Diese kann benutzt um neben ADFS auch Radius Server mit MFA zu erweitern. Ein sehr gutes Übersichtsvideo dazu findet man hier: https://channel9.msdn.com/Blogs/Windows-Azure/Windows-Azure-Multi-Factor-Authentication-Server

(TB 21.1.2014): Wichtiger Nachtrag : Das Windows Azure Active Directory Module für Windows PowerShell unterstützt aktuell weder Multifaktor Authentifizierung noch die App-Passwörter.

Doch nicht immer hat die eingeladene Person eine Internetverbindung und möchte/kann nur über Telefon teilnehmen. Die Standardeinladung von Lync Online hat aber keine Informationen zu Einwahl per Telefon: 

Eine der etwas weniger bekannten Funktionen in Lync Online ist die Möglichkeit einen “Audio Conferencing Partner” – (im Microsoft Akronym Nachschlagewerk unter ACP zu finden ) für seine Benutzer zu hinterlegen.  Zur Zeit gibt es in Europa drei Anbieter für diesen Dienst:

• Intercall
• PGI
• BT

Das Produkt bei Intercall für die ACP Funktion heißt “Reservationless-Plus” und nachdem man sich auf dem Online Portal angemeldet hat, sollte man unter dem Punkt “View Product Details” (in der rechten Navigation) einige Punkte einstellen.

Dies wären der “Conference Code” und "Leader Pin” – andere Dinge wie der Entry und Exit Modus (also Ansagen wenn jemand in die Konferenz kommt) sowie die Sprache sind eine Sache der persönlichen Präferenz.

Bei PGi ist die Konfiguration ebenfalls kinderleicht. Nach erfolgreicher Anmeldung am “GlobalMeet”  Portal kann man unter Manage neue Benutzer hinzufügen und viele Konferenz Optionen einstellen.

Wenn man den Conference Code hat, kann mit der Lync Online Konfiguration beginnen.

Dazu sollte als erstes die “Externe Kommunikation” erlaubt werden, denn ansonsten kommt die Audiobrücke zwischen dem Provider und Lync Online nicht in alle Situationen zustande. Mehr dazu auch im Support Artikel 2460853

Danach hinterlegt man den Conference Code und die jeweiligen Provider in den Benutzereigenschaften. Hier sollte die Gebührenpflichtige Nummer OHNE Punkte, Leerzeichen und Klammern eingegene werden. Dieses und andere potentielle Probleme werden im Support Artikel 2693118 beschrieben. Die Empfehlung E.123 gibt vor ein “+” zur Kennzeichnung von internationalen Telefonnummern anzugeben und das funktioniert auch in Lync Online:

Wenn man das für eine ganze Reihe von Benutzern durchführen möchte, dann muss man auf der ACP Anbieter Seite für jeden Benutzer eine eigene Konferenz Kennung anlegen. Diese können dann über eine CSV Datei importiert werden. Näheres dazu findet man in der Office 365 Online Hilfe

Nachdem die Konfiguration in Lync Online erfolgt ist, dauert ein einige Minuten und wenn man dann ein Lync Online Meeting plant – dann sieht das ganze so aus:

Mit dem März 2013 Update für Office 365 ist es nun auch möglich die Lync Besprechung über Outlook Web Access (OWA) zu planen:

Mit der ACP Funktion funktioniert auch das “Dial-out” in Konferenzen, d.h. Sie können externe Gesprächspartner aus dem Lync Client heraus für eine Konferenz anrufen. Dazu ist es allerdings ebenfalls wieder wichtig, die Rufnummer im E.123 Format einzugeben – sonst bekommt man eine Fehlermeldung.

Eine wichtige Information für die Besprechungsorganisatoren:

Wenn ein Teilnehmer über die ACP Funktion/Telefon in die Konferenz kommt, dann bekommt er durch den Anbieter eine Ansage. Diese dauert (je nach Konfiguration von Exit und Entry Modus beim Anbieter s.o.) zwischen 5 und 20 Sekunden. In dieser Zeit wird er zwar schon als Konferenzteilnehmer in Lync angezeigt – man hört sich gegenseitig aber noch nicht.  Also: kurz warten und Rücksicht nehmen auf Teilnehmer im “nicht Online Zeitalter”

Während der Transfer von Daten und Web-Anwendungen bei der Umstellung auf Office 365 über einen Zeitraum von 48 Stunden vollständig von Microsoft durchgeführt wird, bedarf es auf Kundenseite im Vorfeld der Sicherstellung  nforderungsgerechter Software & Hardware, die den neuen Clientversionen der Office-Suite entspricht, sowie einiger weiterer Schritte, wie etwa der Erneuerung von Kennwörtern oder der Erstellung serverseitiger DNS-Einträge für Lync Online. Ein deutschsprachiges Handbuch für den Übergang schildert die Einzelheiten. An Administratoren wendet sich das Microsoft Assessment and Planning Toolkit zur wertvollen Unterstützung bei der Prüfung für den Übergang in den komplexen Umgebungen ihres Verantwortungsbereichs.

Ist die Umstellung abgeschlossen, hilft Anwendern und Administratoren das Microsoft Office 365 Begrüßungskit bei den nächsten Schritten, denen auch die Online-Hilfe zur Seite steht. Die Exchange Online-Verbindung zum Mobilgerät der Wahl wird  mit dem Einrichtungs-Assistenten zum Kinderspiel. Um die lokale Softwareinstallation kümmert sich ein einmalig auszuführendes Online-Desktopsetup, auf Wunsch können Installation und Konfiguration jedoch auch manuell bewerkstelligt werden.

Flankiert wird das überarbeitete Informationsportal durch ein englischsprachiges Forum, das Microsoft Online Services Team-Blog sowie ein umfassendes Hilfeangebot im Web und den technischen Support.

Sie erreichen das Übergangscenter von Microsoft Online Services unter der
Adresse https://www.microsoft.com/online/de-de/transition-center.aspx.

Partner Computacenter AG & Co. oHG - KONFORT– Webseminare (das nächste Webinar am 10.10.2011)

https://www.computacenter.de/webseminare/

Partner Rachfahl IT-Solutions GmbH & Co. KG - Videocasts (die letzte Aufzeichnung immer von der Woche zuvor)

https://www.himmlische-it.de/

Partner utilitas GmbH (das nächste Webinar am 24.10.2011)

https://www.utilitas.net/webinare_sharepoint_dynamics_crm_microsoft_online_services.html

Eine Liste aller Partner die Microsoft Office 365, Windows Intune in Deutschland anbieten finden sie stets aktuell hier.

Die (alleinigen) offiziellen Informationen zu der Veranstaltung finden sich hier.

Unter dem Link findet sich dann auch der Livestream des Webcasts den man am 28.06.2011 um 16:00 deutscher Zeit ansehen kann.

Diese Funktion ist nicht neu und war schon in BPOS möglich. Bisher wurde dazu ein DNS CNAME Eintrag verwendet. Falls man diesen Eintrag nicht machen konnte, wurde aber auch ein HOST bzw. A Eintrag mit einer bestimmten BPOS IP Adresse für die Domänenverifikation akzeptiert.  Office 365 hat diese Funktion übernommen – allerdings mit einer - in manchen Situation unangenehmen - Einschränkung: Es ist bzw. war zwingend ein CNAME Eintrag der auf “ps.microsoftonline.com” verweist notwendig. Der A Eintrag geht nicht mehr.

Eine Neuerung innerhalb der Beta sind nun zwei weitere Möglichkeiten der Domänenverifikation – per TXT oder alternativ über MX Eintrag im DNS. Das hört sich unspektakulär an – eröffnet aber nun endlich die Möglichkeit die Domäne auch in Office 365 zu registrieren, auch wenn ggf. der DNS Provider keine CNAME Einträge akzeptiert.

Der TXT Eintrag ist standardmäßig ausgewählt und unterscheidet sich im kaum von der CNAME Überprüfung. Viele Weboberflächen der DNS Provider schränken die Einstellungsmöglichkeiten der Kunden stark ein. Damit ist der TXT Eintrag nicht immer hilfreich und man muss auf die MX Eintrag Methode ausweichen.

Allerdings muss man natürlich bei einem MX DNS Eintrag vorsichtig sein, denn dieser regelt die Email Zustellung. Aus diesem Grund ist es empfehlenswert die niedrigste TTL (Time-To-Live) einzustellen, damit die Änderungen im DNS nur so kurz wie eben nötig von anderen Servern zwischengespeichert werden. Wichtiger ist aber die Priorität des Servers für die Verifikation so niedrig wie möglich einzustellen – was im DNS mit einem möglichst hohem Zahlenwert regelt wird. (Siehe auch RFC 974) Nach erfolgreicher Verifikation sollte man den Wert umgehend wieder entfernen.

Nachdem die Domäne erfolgreich der Office 365 Umgebung hinzugefügt wurde, kann man anfangen Benutzern die neue Domäne als Teil des Anmeldename (Domain Suffix des UserPrincipalNames) oder als Emailadressen zu konfigurieren. Je nach gewünschter Konfiguration editiert man nun die DNS Einträge für die Dienste die man nutzen möchte – alle notwendigen Informationen findet man in den “DNS-Einstellungen” der Domäne im Office 365 Portal.

Besonderheit in Office 365 Small Business

Noch einfacher wird die Konfiguration der Microsoft Online Services bei der Office 365 Small Business. Bei dieser Variante kann man nach der erfolgreichen Domänenverifikation auch den Microsoft DNS Server verwenden. Dies ist eine Alternative zu dem eigenen DNS Server und es müssen nur die NS (NameServer) Einträge beim Provider umgestellt werden. Dadurch muss man keine weiteren Einträge für Exchange-, Sharepoint- oder Lync Online vornehmen. Die Oberfläche erlaubt zur Zeit nur die Eingabe und Pflege weiterer A und CNAME Records – was aber in den meisten Fällen dann auch ausreichen sollte. Feedback sollte über die Community Seite erfolgen. falls das nicht reicht.

Die aktuelle Versionsnummer für den Lync Client lautet nun 4.0.7577.280. Man findet diese unter dem Menupunkt “Infos zu Microsoft Lync 2010”

Unter den Office 365 Downloads bekommt man nun ein aktualisiertes Setup Paket – alternativ kann man das Update aus dem KB Artikel verteilen.

Dabei gilt für Office 365 genau wie für es für BPOS der Fall war, dass für eine Weiterleitung von Emails an externe Empfänger nur authentifizierte und über TLS gesicherte Verbindungen auf Port 587 erlaubt sind. Für BPOS findet man eine die notwendigen Infos hier: https://blogs.technet.com/b/msonline_deutschland/archive/2009/09/03/smtp-relay-mit-exchange-online.aspx bzw. hier: https://technet.microsoft.com/en-us/library/ff535993.aspx
Für Office 365 folgt die offizielle Dokumentation noch, aber mit diesem Artikel bekommt man auch die notwendigen Informationen.

Die meisten Produkte und Geräte unterstützen heute TLS und SMTP Authentication. Es gibt aber eine Reihe von Gründen, warum man vielleicht doch noch einen SMTP Relay Server in seinem Netzwerk vorhalten möchte. Dazu gehören zum Beispiel:

• wenn Softwareprodukte und Geräte betrieben werden, die eben nicht TLS und/oder SMTP Authentifizierung unterstützen
• wenn man eine große Anzahl von diesen Geräte/Produkten konfigurieren muss
• wenn Emails auch von diesen Geräten/Produkten empfangen werden sollen
• wenn Massenemailversand gemacht werden soll (z.B. ein Newsletter mehrere tausend Empfänger)
• wenn man aus Netzwerktechnischen Gründen die Emails über einen zentralen Punkt leiten will

Office 365 beinhaltet immer die Microsoft Forefront Online Protection für Exchange – kurz FOPE. Dies ist ein AntiSpam und AntiVirus Dienst der einzeln bezogen werden kann um beliebige selbstbetriebene Mailsysteme zu schützen. Mehr Informationen über das Produkt findet man hier: https://www.microsoft.com/germany/forefront/serversecurity/exchange-online/default.mspx 

Was in diesem Artikel nicht weiter betrachtet wird, ist die Möglichkeit in Office 365 Enterprise einen SMTP Relay mit einer statische Absender IP Adresse und entsprechenden DNS Einträgen als “Incoming Connection” in FOPE zu konfigurieren. Wenn Emails nur an interne Empfänger gesendet werden sollen, dann ist dies auch eine Option. Die meisten Multifunktionsscanner erlauben aber auch eine manuelle Adresseingabe und man kommt schnell zu dem Punkt an dem man über Exchange Online die Weiterleitung machen möchte. In der Office 365 Small Business Variante geht das prinzipiell auch – man hat aber keinen Zugriff auf FOPE und muss (eigentlich wie immer) darauf achten, dass der eigene Relay nicht auf einer Spam Blacklist landet.

Wie konfiguriert man nun einen Relay mit Authentifizierung? Dazu kann ein bereits existierendes Benutzerkonto in der Online Services benutzt werden, ratsam ist aber ein separates Konto anzulegen, damit der Absendername in Exchange Online eindeutig ist und damit man ein separates Kennwort für dieses Konto benutzt. Dieses Konto benötigt nur eine Exchange Online Kiosk Lizenz.

	1. Schritt – Neuen Benutzer anlegen Auch wenn man DirSync und ADFS benutzt – es ist besser hierfür ein Konto mit Microsoft Online Service ID zu benutzen. Der Anzeigename des Benutzers wird dabei für alle internen Exchange Online Empfänger benutzt. Externe Empfänger bekommen den Namen angezeigt, der in der SMTP Konfiguration des Geräts/des Programms hinterlegt ist. Dieses Konto braucht keinerlei Berechtigungen und minimal eine Exchange Online Kiosk Lizenz. Wenn in der Testphase nur E3 und P1 Lizenzen zu Verfügungen stehen, dann kann man diese benutzen und später die Lizenz wechseln. Nachdem man dann das temporäre Passwort bekommen hat, muss man sich einmal unter dem neuen Konto anmelden und ein Passwort vergeben. Zur Zeit können die Passwortrichtlinien in Office 365 noch nicht angepasst werden – sobald die Powershell Schnittstelle für Office 365 verfügbar ist, kann man hier einige Einstellungen vornehmen.
	2. Schritt – SMTP Einstellungen ermitteln. Die für den SMTP Relay wichtige Smarthost Adresse findet man über Outlook Web Access. Dazu einfach die Optionen aufrufen und “Alle Optionen anzeigen…” lassen.
	In der Übersicht Seite von “Meinem Konto” findet man relativ in der Mitte die “Einstellungen für POP-, IMAP- und SMTP Zugriff….”
	Damit kommt man dann an die wichtige Information für den jeweiligen SMTP Benutzer. Dabei bitte beachten: Diese kann je nach Relay User unterschiedlich sein. Die Serveradresse in diesem Beispiel wird also
	3. Schritt – SMTP Server installieren Die Installation des Windows SMTP Dienst ist je nach Windows Server Version etwas unterschiedlich. Ab Windows Server 2008 kann man den Dienst als “Feature” wählen. Die weiteren Screenshots für die notwendigen IIS Komponenten fehle an dieser Stelle – sie sind aber selbsterklärend. Auch ein Windows Server 2003 R2 könnte für diese Aufgabe herhalten. In kleineren und mittleren Netzwerkumgebungen bieten sich der Dirsync Server oder der ADFS Server bzw. die NLB Farm für ADFS an.
	Wer nun auch einem Windows Server 2008 oder Windows Server 2008 R2 Server verzweifelt nach der Konsole sucht: Die Konfiguration des Windows SMTP Server erfolgt immer noch über den IIS 6.0 Manager!
	In diesem Artikel geht es um eine einfache Konfiguration. Der Dienst bietet noch einige weitere Möglichkeiten und man sollte sich den SMTP Mailflow vorher sicherlich genau überlegen. Der Dienst sollte nie ohne sorgfältige Planung und Prüfung aus dem Internet erreichbar gemacht werden. Falsch konfiguriert kann man schnell einen Open-Relay haben und dann wird der Server von Spam Versendern ausgenutzt. Im weiteren wird angenommen, dass der Server NICHT aus dem Internet erreichbar ist.
	Aber auch intern gilt es vorsichtig zu sein, denn schnell kann ein ungeschützter PC Viren und Würmer ins Netz einschleppen. Aus diesem Grund zunächst die Punkte “Connection” und “Relay” so einstellen, dass nur die Scanner und Rechner von denen Emails versendet werdet sollen angeben. Im Tab “Messages” sollte die Emailadresse des Mailadministrator für NDR Berichte hinterlegt werden. Hier ist es am Anfang ratsam eine Emailadresse mit der Domäne @<NameIhrerOffice365Umgebung>.onmicrosoft.com anzugeben, falls man irgendwo einen Fehler bei der Konfiguration macht.
	Die wichtigen Konfigurationsdialoge findet man unter “Delivery”
	Zunächst stellt man die “Basic Authentication” ein und gibt die K ontoinformationen aus Schritt 1 ein. Wichtig ist das die “TLS encryption” aktiviert ist.
	Wie in Schritt 2 ermittelt, muss TCP Port 587 benutzt werden. Diesen stellt man unter “Outbound Connections” ein.
	Der letzte Schritt ist die Eingabe des Smart Host. Der SMTP Servername aus Schritt 2 wird hier benötigt.
	Danach sollte man den Mailflow testen. Dazu muss der Testrechner in die Relayliste aufgenommen werden und dann kurz per Telnet, Script oder beliebigen SMTP Test Tool eine Email gesendet werden. Bei dem Test sollte man interne und externe Empfänger testen und prüfen, dass die Weiterleitung geht und die benutzen Emailadressen wie gewünscht konfiguriert sind. .

Diese Anleitung ist die Grundlage für weitere Lösungen mit Office 365.  Office 365 Enterprise bietet mit FOPE erweiterte Möglichkeiten.  Die Möglichkeiten für den SMTP Mailflow sollten bei einem Test von Office 365 bzw. Exchange Online erkundet werden, denn häufig kann man signifikante Verbesserungen der bisherigen Infrastruktur durch Exchange Online und FOPE erreichen.

Sie wollen Entwicklungen für Ihre Kunden mit Sharepoint Online starten und benötigen Deep Dive Informationen über das was an Anpassungen usw. möglich ist.

hier finden sie sicherlich die gesuchten Informationen:

Office365 Sharepoint Online Developer Guide
https://www.microsoft.com/downloads/en/details.aspx?FamilyID=4387e030-73dc-48e7-ac95-abc043b9335a

Office365 Developer Trainingskit
https://www.microsoft.com/downloads/en/details.aspx?FamilyID=e731bf34-ff5c-444e-9ad8-962d804b4d6a

SharePoint Online Developer Resource Center on MSDN
https://msdn.microsoft.com/sharepointonline

Auszug daraus:

• SharePoint Online: Übersicht für Entwickler
  Informieren Sie sich über kommende Entwicklerfunktionen in SharePoint Online, Strategien und Muster für eine erfolgreiche Entwicklung auf SharePoint Online sowie Links zu weiteren Ressourcen für Entwickler, mit denen Sie ihr Verständnis dieser Funktionen zur Erweiterung vertiefen können.
• SharePoint Online-Entwicklung: Verstehen der Grenzen
  In diesem Video von der Tech Ed Nordamerika 2010 gibt Developer Evangelist Chris Mayo einen Überblick über die Möglichkeiten, die SharePoint Online bietet, um ein Verständnis der Grenzen zu vermitteln.
• Übersichtsposter für die Entwicklung von SharePoint Online-Lösungen
  Verschaffen Sie sich eine grundlegende Übersicht über die Entwicklungsfunktionen und -muster, die Entwickler für die Erstellung benutzerdefinierter SharePoint Online-Lösungen verwenden können.
  

Remote Authentication in Sharepoint Online
https://msdn.microsoft.com/en-us/library/hh147177.aspx 
mit entsprechendem Code Beispiel:
https://code.msdn.microsoft.com/Remote-Authentication-in-b7b6f43c

Viele Grüße

Volker Moessinger
Partner Technology Advisor – Office365

https://www.microsoftcloudpartner.com

Nach der Anmeldung als Microsoft Partner können sie im Bereich “Leistungen aktivieren” Office 365 effizient nutzen. z.B.:

• Zugriff auf eine Office 365 Partner Umgebung beantragen (erster Pfeil)
• Eine bestehende Office 365 Umgebung mit ihrer Cloudpartnerschaft verknüpfen (zweiter Pfeil)

• Personalisierte Test und Kauf Einladungen für Office 365 als Partner an Kunden verschicken (dritter Pfeil)