Implementación de una aplicación híbrida de Exchange dedicada

2025-04-21

Información general

Cuando Exchange Server se implementa en una configuración híbrida, características como Disponibilidad, Información sobre correo y Fotos están disponibles entre Exchange Server y Exchange Online, lo que proporciona una experiencia perfecta para los usuarios. Estas características se configuran automáticamente al ejecutar el Asistente para configuración híbrida (HCW) por primera vez.

Para habilitar el uso de características híbridas, Exchange Server usa una entidad de servicio compartida con Exchange Online para una comunicación segura. HCW carga el certificado de autenticación actual de la organización de Exchange en la entidad de servicio compartida para facilitar este proceso.

Como se anunció en la publicación de blog Retirada de los servicios web de Exchange en Exchange Online, Exchange Web Services (EWS) está establecido en desuso en Exchange Online en octubre de 2026 para aplicaciones y servicios que no son de Microsoft (terceros). En la Novedades relacionada con la seguridad de Exchange Online entrada de blog, anunciamos que también vamos a quitar las dependencias de EWS de nuestras propias aplicaciones y servicios (de primera persona), y este cambio se espera antes de octubre de 2026.

Exchange Server, que se usa en una configuración híbrida, se ve afectada por este cambio, ya que usa la entidad de servicio compartida de Exchange Online (de primera persona). Para adaptarse a este cambio, Exchange Server reemplaza las llamadas API de EWS por llamadas Graph API basadas en REST en escenarios híbridos a finales de este año. Este cambio de diseño implica varios pasos, siendo el primer paso el uso de una aplicación independiente en Microsoft Entra ID en lugar de la entidad de servicio compartida.

En esta documentación se describen los pasos necesarios para crear una aplicación de Exchange dedicada en Entra ID para configuraciones híbridas de Exchange como parte del diseño actualizado. Exchange Server sigue usando EWS después de crear y configurar la aplicación de Exchange dedicada. El cambio a Graph API basado en REST como reemplazo de EWS se realizará con una actualización que se espera que se publique a finales de este año.

Requisitos previos

Antes de configurar y usar la aplicación híbrida de Exchange dedicada, primero debe configurar híbrido completo clásico o completo moderno mediante el Asistente para configuración híbrida.

La característica de aplicación híbrida de Exchange dedicada se admite a partir de las siguientes compilaciones de Exchange Server:

Versión	Número de compilación
Exchange Server SE RTM	15.2.2562.17
Exchange Server 2019 CU15 con hu de abril de 2025	15.2.1748.24
Exchange Server 2019 CU14 con hu de abril de 2025	15.2.1544.25
Exchange Server 2016 CU23 con hu de abril de 2025	15.1.2507.55

Microsoft proporciona un script para crear la aplicación híbrida de Exchange dedicada en Entra ID y configurar la característica. Hay dos escenarios distintos en los que se puede ejecutar el script, cada uno con su propio conjunto de requisitos previos. Los modos se explican en la sección Configuración de esta documentación.

Modo de configuración todo en uno:

Este modo está diseñado para simplificar y es adecuado para la mayoría de los clientes. Permite un proceso de configuración optimizado, por lo que es ideal para entornos en los que la facilidad de configuración es una prioridad.

Modo de configuración de ejecución dividida:

Este modo está pensado para escenarios más avanzados. Resulta útil si el servidor de Exchange no tiene conectividad saliente con los puntos de conexión de Graph API o Entra ID, o si el administrador de Exchange Server no tiene permisos suficientes para crear y configurar la aplicación en Entra ID.

Si realiza cualquiera de los pasos en un Exchange Server, asegúrese de que el equipo está unido al mismo bosque donde reside la organización de Exchange.

Conectividad

El script utiliza la Graph API de Microsoft para crear y administrar aplicaciones en Microsoft Entra ID. Al ejecutar el script en All-in-one Configuration Mode, el sistema que ejecuta el script requiere conectividad saliente con los puntos de conexión especificados. En Split Execution Configuration Mode, el sistema usado para crear o administrar la aplicación en Entra ID necesita acceso saliente a estos puntos de conexión. Debe elegir el punto de conexión donde reside el inquilino, como Global. Para obtener más información, consulte la documentación de puntos de conexión nacionales de Microsoft Entra ID y puntos de conexión nacionales de Microsoft Graph.

Para comprobar la capacidad del servidor para conectarse a los puntos de conexión de Graph y Entra ID, puede usar el cmdlet de PowerShell Test-NetConnection. En este ejemplo se muestra cómo validar la conexión a estos puntos de conexión mediante los Global puntos de conexión:

Test-NetConnection -ComputerName login.microsoftonline.com -Port 443
Test-NetConnection -ComputerName graph.microsoft.com -Port 443

Permissions

La cuenta usada para crear la aplicación en Microsoft Entra ID debe tener los permisos siguientes:

Permisos con privilegios mínimos	Permisos con privilegios más altos
`Application Administrator`	`Global Administrator`

Para obtener más información sobre los roles de Entra ID, consulte la documentación Microsoft Entra roles integrados.

La cuenta usada para configurar el objeto Auth Server y crear la invalidación de configuración para habilitar la característica en Exchange Server debe tener los siguientes permisos dentro de la organización local:

Permisos con privilegios mínimos	Permisos con privilegios más altos
`View-Only Configuration` y `Organization Client Access` y `Organization Configuration`	`Organization Management`

Para obtener información detallada sobre los distintos roles de Exchange Server, consulte la documentación de Administración de la organización.

Para configurar el servidor de autenticación y crear la invalidación de configuración, asegúrese de que el script se ejecuta en un servidor con el rol Buzón instalado y una compilación que admita esta característica.

Para usar el script para restablecer el keyCredentials de la entidad de servicio compartida, como se detalla en la sección Modo de Clean-Up entidad de servicio , asegúrese de que la cuenta que ejecuta el script tiene los permisos siguientes:

Permisos con privilegios mínimos	Permisos con privilegios más altos
`N/A`	`Global Administrator`

Certificado de autenticación

El certificado de autenticación es un componente clave en Microsoft Exchange Server, que admite varios escenarios de seguridad y autenticación. La administración adecuada del certificado de autenticación es esencial para mantener la seguridad y confiabilidad de las operaciones de Exchange Server.

En el caso de uso de la aplicación híbrida de Exchange dedicada, facilita la autenticación basada en aserciones de JSON Web Token (JWT) para la comunicación de servidor a servidor (S2S). Esto permite que un Exchange Server se autentique mediante la presentación de un JWT firmado en lugar de confiar en una contraseña o un inicio de sesión interactivo. El JWT, emitido y firmado por una entidad de confianza, contiene notificaciones que comprueban la identidad y los permisos del Exchange Server, lo que permite el acceso seguro basado en tokens a los recursos.

Sugerencia

Puede usar el script MonitorExchangeAuthCertificate para validar el certificado de OAuth. Si necesita actualizar el certificado de OAuth, siga los pasos descritos en la documentación del certificado de Exchange Server OAuth.

En algunos escenarios descritos en esta documentación, debe exportar el certificado de autenticación. Asegúrese de no exportar la clave privada del certificado. Para exportar la clave pública del certificado, puede usar el siguiente script de PowerShell.

En este ejemplo, el certificado se exporta a C:\AuthCertExport. Si desea exportar el certificado a otra ubicación, modifique la variable a la $exportFilePath ruta de acceso deseada. Asegúrese de ejecutar el script desde un Shell de administración de Exchange (EMS) con privilegios elevados:

# Change the path if you want to export the certificates to a different location
$exportFilePath = "C:\AuthCertExport"

$authConfig = Get-AuthConfig

New-Item -Type Directory -Path C:\AuthCertExport -Force | Out-Null

if (-not([System.String]::IsNullOrEmpty($authConfig.CurrentCertificateThumbprint))) {
    $thumbprint = $authConfig.CurrentCertificateThumbprint
    Write-Host "[+] Auth Certificate thumbprint: $thumbprint"

    try {
        $currentAuthCertificate = Get-ChildItem -Path Cert:\LocalMachine\My\$thumbprint
        Export-Certificate -Cert $currentAuthCertificate -FilePath "$exportFilePath\$thumbprint.cer" -Type CERT | Out-Null
        Write-Host "[+] Certificate was successfully exported to: $exportFilePath"
    } catch {
        Write-Host "[+] We hit the following exception: $_" -ForegroundColor Red
    }
}

if (-not([System.String]::IsNullOrEmpty($authConfig.NextCertificateThumbprint))) {
    $thumbprint = $authConfig.NextCertificateThumbprint
    Write-Host "[+] Next Auth Certificate thumbprint: $thumbprint"

    try {
        $currentAuthCertificate = Get-ChildItem -Path Cert:\LocalMachine\My\$thumbprint
        Export-Certificate -Cert $currentAuthCertificate -FilePath "$exportFilePath\$thumbprint.cer" -Type CERT | Out-Null
        Write-Host "[+] Certificate was successfully exported to: $exportFilePath"
    } catch {
        Write-Host "[+] We hit the following exception: $_" -ForegroundColor Red
    }
}

Cambios realizados por el script

El ConfigureExchangeHybridApplication.ps1 script realiza varias operaciones en función de la opción seleccionada. Estas operaciones incluyen la configuración y habilitación de la característica de aplicación híbrida de Exchange dedicada, o la eliminación o modificación de la entidad de servicio Exchange Online existente. En esta sección se describen las operaciones específicas ejecutadas por el script.

CreateApplication

Cree una nueva aplicación con el nombre ExchangeServerApp-{Guid of the organization} en Entra ID
Asigne al usuario que se usó para ejecutar el script como propietario de la aplicación en Entra ID
Asignar los permisos de la full_access_as_app API de EWS (que se reemplazarán por Graph API permiso en un futuro próximo)
Concesión de consentimiento de administrador para todo el inquilino
- Esto debe confirmarse durante el tiempo de ejecución del script.
- El script no habilita la característica a través de la invalidación de configuración si no se ha concedido el consentimiento del administrador en todo el inquilino.

UpdateCertificate

Cargue el certificado de autenticación actual en la aplicación en Entra ID
Cargue el nuevo certificado de autenticación siguiente (si existe) en la aplicación en Entra ID
Eliminación de cualquier certificado de la aplicación que haya expirado

ConfigureAuthServer

Actualizar el EvoSTS objeto de servidor de autenticación o EvoSTS - {Guid}
- Establezca en ApplicationIdentifier de appId la aplicación en Entra ID
- Agregar el dominio de enrutamiento remoto SMTP a la DomainName propiedad

ConfigureTargetSharingEpr

Identificar los habilitados OrganizationRelationship configurados entre Exchange Server y Exchange Online
Uso de detección automática para consultar el punto de Exchange Web Services (EWS) conexión
Establezca en TargetSharingEpr el punto de conexión de EWS devuelto por detección automática.

EnableExchangeHybridApplicationOverride

Si el script se ejecuta en modo de configuración todo en uno
- Valide si la aplicación de Entra ID tiene los permisos de API correctos y el consentimiento del administrador de todo el inquilino concedidos
Cree una nueva invalidación de configuración para habilitar la característica local mediante los siguientes parámetros o valores:
- Nombre: EnableExchangeHybrid3PAppFeature
- Componente: Global
- Sección: ExchangeOnpremAsThirdPartyAppId
- Parámetros: Enabled=true
- Razón: "Created by {Name of the Script} on {timestamp}"

DeleteApplication

Eliminar la aplicación de Exchange dedicada en Entra ID

ResetFirstPartyServicePrincipalKeyCredentials

Quitar todos los existentes keyCredentials de la Office 365 Exchange Online entidad de servicio de la aplicación de primera entidad de servicio
Si se proporcionó una huella digital a través de CertificateInformation un parámetro, purgue solo el certificado que coincida con la huella digital y todos los certificados que ya hayan expirado.

Configuración mediante el script

Microsoft proporciona el ConfigureExchangeHybridApplication.ps1 script para configurar la característica de aplicación híbrida de Exchange dedicada. En esta sección se explican los escenarios más comunes cubiertos por el script. La documentación detallada del script y sus parámetros se puede encontrar en la documentación deConfigureExchangeHybridApplication.ps1 script.

Si la organización local tiene relaciones híbridas con varios inquilinos (1:N), debe ejecutar el script varias veces. Cada vez, use una cuenta del inquilino para el que desea configurar la característica de aplicación híbrida de Exchange dedicada. Esto garantiza que el script crea y configura la aplicación en cada uno de los inquilinos.

En función del tamaño de la organización, los procesos de Exchange Server responsables pueden tardar hasta 60 minutos en reconocer la configuración de la aplicación híbrida de Exchange dedicada. Durante este tiempo, es posible que observe que características como Disponibilidad, Sugerencias de correo y Fotos no están disponibles temporalmente.

Modo de configuración todo en uno

Para la mayoría de los All-in-one Configuration Mode clientes, es la manera recomendada de configurar esta característica. Para usar este modo, ejecute el script en un servidor de buzones con conectividad saliente, como se describe en la sección Conectividad . El servidor debe ejecutar una compilación de Exchange Server que admita la característica de aplicación híbrida de Exchange dedicada. Además, asegúrese de que tiene los permisos necesarios.

Importante

El modo de configuración todo en uno no es compatible con Windows Server Core. Si usa Windows Server Core, siga las instrucciones de la sección Split Execution Configuration Mode (Dividir modo de configuración de ejecución).

.\ConfigureExchangeHybridApplication.ps1 -FullyConfigureExchangeHybridApplication

De forma predeterminada, el script se ejecuta en la Microsoft 365 Worldwide nube. Si el inquilino de Microsoft 365 está en otra nube, use el AzureEnvironment parámetro . En el ejemplo siguiente, la aplicación se crea en la Microsoft 365 operated by 21Vianet nube:

.\ConfigureExchangeHybridApplication.ps1 -FullyConfigureExchangeHybridApplication -AzureEnvironment "ChinaCloud"

Modo de configuración de ejecución dividida

Si el servidor de buzón de correo, por ejemplo, no tiene conectividad saliente con Microsoft Graph o Entra ID, puede ejecutar el script en varios pasos. No es necesario realizar algunos de estos pasos en un servidor exchange.

En primer lugar, exporte el certificado de autenticación (y, si está disponible, el siguiente certificado de autenticación) con su clave pública. Use el script proporcionado en la sección Certificado de autenticación para realizar la exportación. No exporte la clave privada del certificado.

A continuación, copie los certificados exportados en una máquina con conectividad saliente, como se describe en la sección Conectividad . En esa máquina, ejecute el script para crear la aplicación en Entra ID. El script muestra el Tenant ID y el appId de la aplicación recién creada. Asegúrese de anotar ambos valores, ya que serán necesarios en un paso posterior:

.\ConfigureExchangeHybridApplication.ps1 -CreateApplication -UpdateCertificate -CertificateMethod "File" -CertificateInformation "C:\Certificates\CurrentAuthCertificate.cer"

Si se exportaron varios certificados de autenticación en el paso anterior, debe ejecutar el script dos veces. El CreateApplication paso no es necesario para la segunda ejecución:

.\ConfigureExchangeHybridApplication.ps1 -UpdateCertificate -CertificateMethod "File" -CertificateInformation "C:\Certificates\NewNextAuthCertificate.cer"

Este paso debe realizarse en un servidor de buzones de correo. Durante este proceso, se configura el servidor de autenticación, se actualizan las relaciones de organización existentes entre Exchange Server y Exchange Online y se habilita la característica de aplicación híbrida de Exchange dedicada. Debe proporcionar el identificador del inquilino, el appId de la aplicación recién creada en Entra ID y el dominio de enrutamiento remoto:

.\ConfigureExchangeHybridApplication.ps1 -ConfigureAuthServer -ConfigureTargetSharingEpr -EnableExchangeHybridApplicationOverride -CustomAppId "<appId>" -TenantId "<tenantId>" -RemoteRoutingDomain "<organization>.mail.onmicrosoft.com"

Actualizar modo de certificado

Los pasos de esta sección no son necesarios al configurar y habilitar la característica de aplicación híbrida de Exchange dedicada por primera vez. Los pasos se pueden usar para actualizar el certificado si el certificado de autenticación expiró o se reemplazó. Para obtener más información sobre cómo mantener el certificado de autenticación, consulte la documentación del certificado Exchange Server OAuth.

Si el servidor de buzón de correo tiene conectividad saliente, como se describe en la sección Conectividad , ejecute el script de la siguiente manera:

.\ConfigureExchangeHybridApplication.ps1 -UpdateCertificate

Si el servidor de buzón de correo no tiene conectividad saliente con Microsoft Graph y Entra ID, siga las instrucciones de la sección Split Execution Configuration Mode (Dividir modo de configuración de ejecución) para exportar el nuevo certificado de autenticación. Copie el certificado en una máquina con conectividad saliente (que no tiene que ser un servidor exchange), como se describe en la sección Conectividad . A continuación, ejecute el script de la siguiente manera:

.\ConfigureExchangeHybridApplication.ps1 -UpdateCertificate -CertificateMethod "File" -CertificateInformation "C:\Certificates\NewAuthCertificate.cer"

Eliminar modo de aplicación

Este paso no es necesario al configurar y habilitar la característica de aplicación híbrida de Exchange dedicada. Sin embargo, si es necesario, puede usar el siguiente comando para eliminar la aplicación creada en Entra ID. Este comando se puede ejecutar en un servidor que no sea de Exchange.

La eliminación de la aplicación mediante el ConfigureExchangeHybridApplication.ps1 script no revierte la configuración de la aplicación híbrida de Exchange en su entorno. Si necesita volver atrás, siga los pasos de la sección Cómo revertir desde una aplicación híbrida de Exchange dedicada de esta documentación.

Para eliminar la aplicación en Entra ID (solo lo haría al revertir el cambio o solucionar problemas de creación de una nueva aplicación en Entra ID), ejecute el script de la siguiente manera:

.\ConfigureExchangeHybridApplication.ps1 -DeleteApplication

Modo de Clean-Up de entidad de servicio

Los comandos de esta sección no son necesarios cuando se realiza la configuración inicial para crear y habilitar la característica de aplicación híbrida de Exchange dedicada.

Advertencia

No purgue el keyCredentials de la entidad de servicio de primera entidad de servicio si todavía tiene servidores exchange que ejecutan una compilación de Exchange anterior a las versiones mencionadas en la compilación de Exchange que admite esta sección de características . Si lo hace, se interrumpirán las características híbridas de coexistencia enriquecidas para estos servidores.

Como parte del diseño híbrido de Exchange anterior, el Asistente para configuración híbrida (HCW) cargó el certificado de autenticación actual de la organización de Exchange en una entidad de servicio compartida. Este paso ya no es necesario porque el certificado de autenticación ahora se carga en la aplicación híbrida de Exchange dedicada en su lugar.

Después de habilitar la característica de aplicación híbrida de Exchange dedicada y asegurarse de que todos los servidores exchange ejecutan una compilación de Exchange que admite esta característica, se recomienda limpiar los certificados que se cargaron anteriormente en la entidad de servicio compartida. Los comandos se pueden ejecutar en un servidor que no sea de Exchange.

Tenga en cuenta que si ejecuta HCW después de configurar la característica de aplicación híbrida de Exchange dedicada y selecciona la opción de configuración Oauth, Intra Organization Connector y Organization Relationship , el certificado de autenticación se cargará de nuevo en la entidad de servicio compartida.

Para purgar toda keyCredentials la entidad de servicio de primera entidad de servicio, ejecute el script de la siguiente manera:

.\ConfigureExchangeHybridApplication.ps1 -ResetFirstPartyServicePrincipalKeyCredentials

Para purgar un certificado específico y todos los certificados expirados de keyCredentials, ejecute el script como se indica a continuación y proporcione la huella digital del certificado que se va a eliminar:

.\ConfigureExchangeHybridApplication.ps1 -ResetFirstPartyServicePrincipalKeyCredentials -CertificateInformation "1234567890ABCDEF1234567890ABCDEF12345678"

Validación del estado de conectividad de OAuth

Para comprobar que la autenticación de OAuth funciona correctamente entre Exchange Server y Exchange Online, use el cmdlet Test-OAuthConnectivity:

Test-OAuthConnectivity -Service EWS -TargetUri https://outlook.office365.com -Mailbox "<OnPremisesMailboxSmtpAddress>" | Format-List

Si es ResultTypeSuccess y la Detail sección incluye el de la appId aplicación híbrida de Exchange dedicada, indica que Exchange Server ha adquirido correctamente un token de OAuth. Tenga en cuenta que el servidor en el que se ejecuta la sesión del Shell de administración de Exchange (EMS) inicia la solicitud de OAuth. Si el buzón especificado a través del -Mailbox parámetro reside en un servidor diferente que no admite la aplicación híbrida de Exchange dedicada, pero el servidor host ems lo hace, ResultType seguirá mostrando Success. Este comportamiento es una característica del diseño de la aplicación.

Auditoría del uso de aplicaciones híbridas de Exchange en Entra ID

Después de configurar la aplicación híbrida de Exchange dedicada y habilitar la característica en el Exchange Server, puede auditar su uso mediante el Entra ID Sign-in logs. Siga estos pasos:

Inicie sesión en el portal de Entra ID:

Vaya al portal de Entra ID e inicie sesión con sus credenciales.
Acceso Microsoft Entra ID:

En el portal, seleccione o busque Microsoft Entra ID.
Vaya a Registros de inicio de sesión:

En el panel de navegación, vaya a Monitoring y seleccione Sign-in logs.
Ver inicios de sesión de entidad de servicio:

A continuación, seleccione esta opción Service principal sign-ins para ver los registros detallados.

En la siguiente imagen se muestra una solicitud de inicio de sesión correcta:

Al hacer clic en la entrada, se abre el Activity Details: Sign-ins control flotante, lo que proporciona más información sobre la actividad de inicio de sesión:

Restricción del acceso a la entidad de servicio de aplicación híbrida de Exchange dedicada

Es posible que algunas organizaciones quieran restringir el acceso a la entidad de servicio de aplicaciones híbridas de Exchange dedicada a un subconjunto de intervalos IP públicos conocidos utilizados por Exchange Server. Esto se puede lograr mediante el uso del acceso condicional para las identidades de carga de trabajo. Esta característica amplía la compatibilidad con las directivas de acceso condicional a las entidades de servicio propiedad de la organización. Tenga en cuenta que las licencias premium de identidades de carga de trabajo son necesarias para crear o modificar directivas de acceso condicional con ámbito de entidades de servicio. Para obtener más información, visite Id. de carga de trabajo de Microsoft Entra.

Cómo revertir desde una aplicación híbrida de Exchange dedicada

Hasta que la aplicación híbrida de Exchange dedicada se convierta en el valor predeterminado en HCW y EWS esté en desuso para las aplicaciones de primera entidad, puede revertir la configuración aplicada por el ConfigureExchangeHybridApplication.ps1 script. Solo se debe realizar una reversión si se producen problemas después de configurar la característica.

Como primer paso, ejecute HCW para volver a configurar la entidad de servicio de primera entidad de servicio. Asegúrese de seleccionar la opción Oauth, Intra Organization Connector y Organization Relationship , ya que esta configuración ejecuta los pasos necesarios para volver a configurar la entidad de servicio de primera persona.

A continuación, quite la invalidación de configuración que habilita la característica de aplicación híbrida de Exchange dedicada. Para ello, ejecute el siguiente comando desde un Shell de administración de Exchange (EMS) con privilegios elevados:

Get-SettingOverride | Where-Object {$_.ComponentName -eq "Global" -and $_.SectionName -eq "ExchangeOnpremAsThirdPartyAppId"} | Remove-SettingOverride
Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh

Para revertir el cambio de servidor de autenticación aplicado por el script, ejecute el siguiente comando desde un Shell de administración de Exchange (EMS) con privilegios elevados:

# Replace this id with the id of your tenant
$tenantId = "123e4567-e89b-12d3-a456-426614174000"

(Get-AuthServer | Where-Object {$_.Name -like "*evoSTS*" -and $_.Realm -eq $tenantId}) | Set-AuthServer -ApplicationIdentifier $null -DomainName $null

Como paso final, puede usar el ConfigureExchangeHybridApplication.ps1 script para eliminar la aplicación que se creó en Entra ID:

.\ConfigureExchangeHybridApplication.ps1 -DeleteApplication

preguntas más frecuentes

Puede encontrar una lista de preguntas más frecuentes (P+F) en la entrada de blog cambios de seguridad de Exchange Server para implementaciones híbridas. Las preguntas más frecuentes se moverán a esta documentación una vez que se hayan respondido las preguntas más importantes.

Compartir a través de