21Vianet和Global Office 365的GalSync

如何实现 由21世纪互联 （Office365 operate by 21Vianet）和全球版Office 365之间的GalSync --global address list sync（全球目录同步）

背景介绍：
由于法律规定，微软的数据中心无法进入中国，所以中国版的Office365所属的数据中心和全球版是分开来的，而且很多功能遭到了阉割。也由于这些规定，很多跨国公司在中国的分公司只能购买21世纪互联版（后面简称21V）。

这就造成了一个问题，这个家公司的内部通讯–21V的用户无法查看全球版O365用户的在线状态（free/busy），而且他们也不属于同一个租户（tenant）下面。

唯一实现的方式就是使用Azure Active Directory Connect 进行双向同步，将本地域的人员同步到对方的Office 365 当中。但是这种方式在AADC的拓扑中是明令禁止的。可参考： https://docs.microsoft.com/en-us/azure/active-directory/hybrid/plan-connect-topologies
中的这两张图：


那么不论怎么设置，IT再牛，这都是无法完成的。所以这里如果碰到同样需求，首先请联系微软的FastTrack Center部门，没法直接联系的话就联系微软的sales，他们来做桥梁。这个部门可以帮助实现。

FastTrack Center会让后台的工程师去修改，也就是：允许同一个域名可以在两个不同的Office365 tenant中进行认证。
这样做之后，本地环境也需要做一些配置，首先是AADC上的配置，需要添加一个AD：

1. 在两个tenant中互相添加认证对方的域名
2. 所有需要的域名提供给FastTrack，他们后台的工程师会在48小时内去更改，客户这边会在72小时内看到效果
3. 两个AD之间，准确的说是两台加域的，在公司网络内可以连通域控的专用的同步服务器添加一个点到点的VPN
4. 把双方的DNS host文件添加到对方的DNS服务器里，确保可以互相ping通
5. 在中国这边的AADC，运行PowerShell来暂停同步：Set-ADSyncScheduler -SyncCycleEnabled $false
6. 按照下图的指示添加对方的AD到AADC中：
   7.
   其他的按照AADC后面的步骤一样，选择OU什么的，建议选择个小的OU来做测试。
   8.更改现有的AADC的内部连接器
   
   9.添加一个过滤器
   
   10.更改transformation type，让所有用户都使用下面标出的值：
   
   11.重新启用AADC同步，可用PowerShell:Set-ADSyncScheduler -SyncCycleEnabled $true
   这里的同步是full sync而不是delta sync

然后就是在Office 365中的操作：
A. 在两边的office 365 中创建一个service account
B.
C.
D. 在两边都启用availability configuration：Enable-OrganizationCustomization New-AvailabilityConfig -OrgWideAccount <fbsvc 这里替换成你自己上面设置的账户名称>
E.连接global版本的powershell : $cred = get-credential fbsvc@tangodemo.onmicrosoft.com Add-AvailabilityAddressSpace -ForestName ww.tomxu1983.cn -AccessMethod OrgWideFB Credentials $cred -TargetAutodiscoverEpr https://autodiscovers.outlook.com/Autodiscover/Autodiscover.xml

链接21V的powershell
$cred = get-credential fbsvc@tangodemo.partner.onmschina.cn Add-AvailabilityAddressSpace -ForestName cn.tomxu1983.cn -AccessMethod OrgWideFB Credentials $cred -TargetAutodiscoverEpr https://autodiscovers.partner.outlook.cn/autodiscover/autodiscover.xml

完成后结果如图：