mercredi 18 décembre 2013

Microsoft Forefront, 2nd refonte de la Roadmap : fin de Forefront UAG



Nous attendions avec impatience les nouvelles Roadmap des solutions qui composent la gamme Forefront. Il est important de comprendre que Forefront, n’est pas un nom de produit mais un terme marketing lancé par Microsoft il y a maintenant 10 ans. Forefront n’est donc pas un produit, ni une équipe. Ainsi, les équipes de Forefront UAG ne sont pas les mêmes que Forefront FIM par exemple, même si parfois elles peuvent bien entendu collaborer ensemble.



L’année dernière, il a été annoncé l’arrêt de l’évolution majeure de la solution TMG. A cette même occasion, on y apprend que les solutions anti-malwares prenaient une nouvelle orientation. Pour rappel voici l’annonce officielle : http://blogs.technet.com/b/server-cloud/archive/2012/09/12/important-changes-to-forefront-product-roadmaps.aspx

Sur cette fin d’année 2013, Microsoft nous annonce un nouveau changement majeur dans la gamme de produit Forefront : http://blogs.technet.com/b/server-cloud/archive/2013/12/17/important-changes-to-the-forefront-product-line.aspx. Le terme marketing Forefront est donc amené à disparaître.

Concernant Microsoft Forefront Identity Manager 2010
Microsoft maintient son investissement dans le produit Identity Manager (FIM) avec l’annonce d’une prochaine version majeure, courant 2015. Les premières informations disponible à son sujet font état de :

  • La prise en charge des scénarios de type Hybride avec l’intégration avec Windows Azure Active Directory.
  • La gestion des accès et des utilisateurs
  • L’audit et la conformité
  • D’autres nouvelles fonctionnalités, notamment avec Azure, sont à venir
Il est à noter que le composant « DirSync » de FIM, est incontournable dans tous les projets Office 365 et autres scénarios Azure. Il permet de mettre en œuvre une synchronisation d’annuaire On-Premise vers Azure Active Directory (AAD) nécessaire pour Office 365. FIM est donc juste incontournable pour tous les projets nécessitant des synchronisations d’annuaire et de gestion des identités. Dans un contexte de sécurité, les principales attaques/vol d’identités viennent de la non-gestion (utilisateurs, groupes, permissions) des identités dans AD.

Ainsi la prochaine version de la solution de gestion des identités changera très certainement de nom, et perdra tout naturellement la dénomination « Forefront » dans son appellation marketing. Nous le découvrirons sous peu, et vous le partagerons dès que possible.

Concernant Microsoft Forefront UAG 2010
Microsoft a pris la décision d’arrêter ses investissements dans le produit Forefront Unified Access Gateway 2010. Le produit restera supporté par Microsoft jusqu’au 14 Avril 2015 pour la phase de support standard et s’arrêtera le 14 Avril 2020 pour la phase de support étendue. Les clients disposant d’un contrat de type « Software Assurance » à la date du 1er décembre 2013 seront en mesure de déployer de nouveaux serveurs et prendre en charge de nouveaux utilisateurs sans coût de licence additionnel.

Néanmoins, le produit peut continuer de publier des ressources de manière sécurisée et s’assurer que seuls les utilisateurs autorisés puissent y accéder. Microsoft a récemment mis à disposition le Service Pack 4. Ce dernier Service Pack, prend en charge la publication de services tel que SharePoint 2013 ou Exchange 2013. Il prend en compte les dernières versions des clients (Windows 8.x & Internet Explorer 11).  En plus de quelques autres améliorations mineures, le SP4 permet aussi la prise en charge de RemoteApp et les autres services RDS de Windows 2012/2012R2.

Pour les clients disposant déjà d’une solution UAG dans votre SI, il n’est pas obligatoire de migrer rapidement vers une autre solution comme WAP. La flexibilité d’UAG, la mise à jour récente du SP4 et un support jusqu’en 2020 doit permettre de répondre encore longtemps à vos besoins actuels.

Il y a toujours une forte communauté autour de la solution UAG, animée par la présence de nombreux MVP et experts communautaires. Cela  permet d’apporter un support continu à la solution UAG, même au-delà de 2020. Le forum à consulter est sur le site de Technet : http://social.technet.microsoft.com/Forums/forefront/en-US/home?forum=forefrontedgeiag

Rappel au sujet des accès VPN et DirectAccess dans UAG :
Cela a déjà été évoqué il y a un peu moins de deux ans, depuis la sortie de Windows 2012, Microsoft recommande de privilégier le rôle Unified Remote Access de Windows Server 2012/2012 R2 en lieu et place d’UAG pour implémenter DirectAccess. Microsoft n’apportera plus d’évolution à l’implémentation DirectAccess au sein de Foreront UAG 2010.

Les implémentations de DirectAccess réalisées sur  UAG devront donc être migrées vers Windows 2012 R2. Avec la solution Unified Remote Access, il est également possible de faire du VPN PPTP, L2TP et SSTP tout en ayant DirectAccess.

Scenario de publication :
Windows 2012 R2 apporte un nouveau rôle nommé WAP (Web Application Proxy). Ce celui-ci permet de prendre en charge certains scénarios jusqu’alors assurés par Forefront UAG 2010. Le tableau-ci-dessous synthétise les fonctionnalités offertes par les deux solutions:


Scenario
Solution possible
Publication simple d’Exchange
WAP ou Forefront UAG
Publication simple de SharePoint
WAP ou Forefront UAG
Publication de Lync WebServices
WAP ou Forefront UAG
Publication Web simple
WAP ou Forefront UAG
Publication d’Exchange avec customisation
Forefront UAG
Publication de SharePoint avec customisation
Forefront UAG
Publication Web avancée
Forefront UAG
Prise en charge de la conformité des postes
Forefront UAG
Mise en œuvre d’un portail
Forefront UAG
Single-sign-on entre les applications publiées
Forefront UAG
Personnalisation avancée
Forefront UAG
BYOD
WAP
Fédération
WAP
 

Si la solution Forefront UAG est déjà existante dans un réseau il n’est pas nécessaire de migrer vers la solution WAP pour le moment, en effet cette dernière est une solution encore jeune avec certaines limite :

  • Ne propose à ce jour que des scénarios de mise en œuvre « Basiques »
  • Principalement basé sur une pré-authentification AD FS ou pass-through
  • La haute disponibilité se base que sur des répartiteurs de charge matérielle
  • La configuration se trouve stockée dans l’infrastructure AD FS
  • La translation d’URL possède des limitations

Voici quelques articles qui présentent comment réaliser la publication des services les plus courants :

En conclusion, la majorité des scénarios de publication courants que nous avions à disposition avec Forefront UAG sont aussi disponibles avec la fonctionnalité Web Application Proxy de Windows Server 2012 R2. A ce jour, la migration de Forefront UAG 2010 vers WAP ne peut être envisagée que pour les scénarios pour lesquels WAP propose le même niveau de fonctionnalité d’UAG.

Auteurs :

Aucun commentaire:

Publier un commentaire