Considérations d'infrastructure

Réseau

Éviter les proxies

Le déploiement initial nécessite un accès direct à Internet. Aucun proxy serait idéal, mais un proxy transparent devrait fonctionner correctement (s'il est réellement transparent). Si un proxy est inévitable, comme exigence minimale les services/adresses suivants doivent être directement accessibles :

Pour obtenir la liste des plages d'IP correspondantes, cliquez sur le lien suivant :

Plages d'adresses IP et balises de service Azure – Cloud public

Ce fichier contient les plages d'adresses IP de calcul (y compris les plages SQL) utilisées par les centres de données Microsoft Azure. Un nouveau fichier XML sera téléchargé chaque mercredi (heure du Pacifique) avec les nouvelles plages d'adresses IP prévues. Les nouvelles plages d'adresses IP prendront effet le lundi suivant (heure du Pacifique). Téléchargez le nouveau fichier XML et effectuez les modifications nécessaires sur votre site avant le lundi.

URL et plages d'adresses IP d'Office 365

Cet article relie un fichier qui contient les plages d'adresses IP de calcul que vous devez inclure dans vos listes d'autorisation sortantes afin de garantir que vos ordinateurs peuvent utiliser Office 365 avec succès.

Le filtrage uniquement par adresses IP n'est pas une solution complète en raison des dépendances vis-à-vis de services basés sur Internet tels que les services de noms de domaine (DNS), les réseaux de distribution de contenu (CDN), les listes de révocation de certificats et d'autres services tiers ou dynamiques. Ces dépendances incluent des dépendances à d'autres services Microsoft tels que le réseau de distribution de contenu Azure et se traduiront par des traces réseau ou des journaux de pare-feu indiquant des connexions vers des adresses IP appartenant à des tiers ou à Microsoft mais non répertoriées sur cette page. Ces adresses IP non répertoriées, qu'elles proviennent de CDN et de services DNS appartenant à des tiers ou à Microsoft, sont attribuées dynamiquement et peuvent changer à tout moment.

BranchCache et isolation des appareils

BranchCache est une technologie Windows conçue pour réduire le trafic WAN et accélérer la distribution de contenu au sein des réseaux d'entreprise. Elle le fait en permettant aux clients Windows de partager les données téléchargées entre eux, au lieu que chaque appareil récupère sans cesse le même contenu depuis le cloud.

Pour RealmJoin, BranchCache est activé par défaut côté CDN et client.

Pourquoi ne pas utiliser Delivery Optimization ? Ce mécanisme ne prend pas en charge les sources de packages tierces. Il fonctionne uniquement avec des points de terminaison contrôlés par Microsoft (par ex. : Windows Update, Store, M365 Apps ou Intune).

Ainsi, au sein de RealmJoin, nous nous appuyons sur BranchCache car c'est un mécanisme de peering intégré à Windows qui fonctionne pour du contenu tiers :

• Côté CDN : Il est activé par défaut. Si demandé, nous pouvons désactiver complètement BranchCache côté CDN (par locataire), ce qui rend la configuration côté client sans effet.

• Côté client, la fonctionnalité est également activée par défaut. En définissant BranchCache.Mode = "Undefined" (voir Paramètres d'utilisateur et de groupe), ce comportement par défaut peut être modifié. Cependant, pour les clients existants, la fonctionnalité ne sera pas désactivée activement une fois qu'elle aura été activée auparavant. Pour la désactiver, exécutez Disable-BC sur les appareils souhaités.

Pour que BranchCache soit efficace, les clients doivent pouvoir communiquer directement entre eux. Ils ne doivent donc pas être séparés par différents VLAN, sous-réseaux ou avoir la communication bloquée via l'isolation des appareils. Nous utilisons BranchCache en mode de cache distribué, où chaque client maintient un cache local et récupère des données mises en cache depuis des pairs. L'option Mode de cache hébergé, qui nécessite un serveur Windows dédié et est configurée sur les clients via la stratégie « Configurer les serveurs de cache hébergés », n'est pas pris en charge par RealmJoin.

Lorsqu'un appareil client télécharge des packages logiciels pour la première fois, les fichiers sont divisés en morceaux nettement plus petits que le contenu original et mis en cache sur l'appareil. Si le même package est ensuite demandé par un autre appareil client sur le même réseau, il télécharge des informations de contenu au lieu du contenu complet depuis le serveur. Les informations de contenu sont utilisées pour localiser le contenu souhaité sur d'autres appareils du réseau. Découverte des pairs clients en « mode de cache distribué » fonctionne comme suit :

• Un client envoie une requête multicast telle que « Quelqu'un a-t-il l'ID de contenu XYZ ? »

• Tout pair qui détient le segment demandé répond directement via unicast.

Au lieu de télécharger les packages depuis le serveur, le contenu sous forme de morceaux découpés est transféré vers l'appareil client. Si le logiciel demandé est disponible sur plusieurs appareils, la charge est répartie entre eux.

Pour plus de détails, voir Microsoft Learn : BranchCache

Points de terminaison de connexion RealmJoin

RealmJoin se connecte aux hôtes suivants (en utilisant HTTPS) qui pourraient être pris en compte dans vos paramètres de pare-feu :

• cdn.realmjoin.com

• x1.c.lencr.org

• client-api.realmjoin.com

• client-api-staging.realmjoin.com

• realmjoin-backend.azurewebsites.net

• realmjoin-backend-staging.azurewebsites.net

• nuget.realmjoin.com

• enterpriseregistration.windows.net

• gkrealmjoin.s3.amazonaws.com

• login.microsoftonline.com

• graph.microsoft.com

• realmjoinstaticcdn.azureedge.net (Notifier)