Exchange hybride aujourd'hui : à quoi sert encore le serveur sur site et comment s'en passer
Toutes les boîtes aux lettres sont dans Exchange Online depuis longtemps, mais un ou deux serveurs Exchange tournent toujours sur site. Personne ne sait vraiment s'ils servent encore. Ces serveurs exposés, très privilégiés dans Active Directory et parfois mal mis à jour, comptent parmi les risques que nous relevons le plus souvent.
Pourquoi le serveur est resté
Lorsque les utilisateurs sont synchronisés depuis Active Directory, leurs attributs de messagerie (adresses, alias, proxys) sont gérés dans AD et non dans Exchange Online. Pendant des années, Microsoft n'a pris en charge leur modification que par les outils d'un serveur Exchange sur site. D'où la consigne largement répandue : « gardez un serveur Exchange pour la gestion des destinataires ».
D'autres usages s'y sont greffés : relais SMTP pour les imprimantes, applications et scanners, coexistence pendant la migration, dossiers publics, voire flux de messagerie entrants qui transitent encore par le site. Il faut les identifier un par un avant toute décision.
Un serveur à haut risque
Un serveur Exchange sur site cumule plusieurs facteurs de risque :
- exposition : il est souvent publié sur Internet, et Exchange a été la cible de vulnérabilités critiques largement exploitées ces dernières années ;
- privilèges dans AD : l'installation d'Exchange accorde des droits étendus sur l'annuaire ; selon le modèle de permissions et les mises à jour appliquées, la compromission du serveur peut mener au contrôle du domaine ;
- lien avec le cloud : la configuration hybride établit une relation de confiance avec Exchange Online, qui doit être correctement configurée ;
- cycle de vie : les versions anciennes ne reçoivent plus de correctifs ; vérifiez la version installée et son statut de support.
Configuration hybride. Microsoft a modifié l'architecture de la relation hybride, notamment en demandant le passage à une application dédiée dans Entra ID plutôt qu'au principal de service partagé. Si votre configuration date de plusieurs années, vérifiez qu'elle suit les recommandations actuelles.
Gérer les destinataires sans serveur Exchange
Microsoft prend désormais en charge un scénario dans lequel, une fois toutes les boîtes migrées, la gestion des destinataires se fait à l'aide des outils de gestion Exchange et de leur module PowerShell, installés sur un poste ou un serveur d'administration, sans serveur Exchange en fonctionnement. Les conditions sont précises : version des outils, extension du schéma, droits nécessaires, et procédure documentée pour arrêter le dernier serveur, qui diffère d'une simple désinstallation. Suivez la documentation officielle à jour, car une désinstallation classique peut retirer des éléments de configuration dont vous avez encore besoin.
Le poste qui porte ces outils écrit dans AD : il doit être traité comme un poste d'administration, et les rôles de gestion des destinataires délégués avec parcimonie.
Le chemin pour retirer le serveur
- Inventorier les flux : analyser les journaux de transport et de connexion pour identifier tout ce qui utilise encore le serveur.
- Remplacer le relais SMTP : envoi authentifié vers Exchange Online, connecteur dédié pour les équipements, ou service de relais distinct.
- Vérifier le DNS : enregistrements MX et Autodiscover pointant vers Exchange Online, SPF à jour.
- Traiter les cas résiduels : dossiers publics, boîtes restées sur site, applications utilisant les services web d'Exchange.
- Basculer la gestion vers les outils de gestion, puis arrêter le serveur selon la procédure officielle.
- Nettoyer : publications Internet, règles de pare-feu, certificats, comptes de service, et revue des permissions accordées dans AD.
Si le serveur doit rester
Certaines organisations conservent un serveur pour des raisons légitimes. Il doit alors être une version prise en charge, mis à jour sans retard, non publié sur Internet s'il n'en a pas besoin, protégé par un EDR, durci, et traité comme un système de niveau 0 tant que ses droits dans AD n'ont pas été réduits.
Ce qu'un audit vérifie
- La version des serveurs Exchange et leur niveau de correctifs.
- Leur exposition sur Internet et les services publiés.
- Les permissions accordées à Exchange dans AD et le modèle de permissions en place.
- La conformité de la configuration hybride aux recommandations actuelles.
- Les flux réellement traités par le serveur et la faisabilité de son retrait.
- La protection du poste qui porte les outils de gestion des destinataires.