Poradników „jak przenieść pocztę do Microsoft 365” jest w internecie kilkaset. Klikasz kreatora migracji, czekasz, gotowe. W praktyce projekt wysadzają rzeczy, o których żaden z tych poradników nie wspomina, bo dzieją się poza kreatorem — w DNS, na drukarce w korytarzu i w regule przekierowania, którą ktoś ustawił sześć lat temu.
Poniżej lista tego, co realnie sprawia problemy, w kolejności, w jakiej wychodzi podczas wdrożenia.
DNS i kolejność zmian
Rekord MX przełącza się jako ostatni, nie jako pierwszy. Zanim to zrobisz, muszą być gotowe skrzynki, zsynchronizowane dane i przygotowane rekordy uwierzytelniające. Przepięcie MX na początku oznacza, że poczta zaczyna wpadać do pustych skrzynek, a stara zostaje na starym serwerze.
Na kilka dni przed migracją skracam czas życia rekordów (TTL) do kilkuset sekund. Domyślne 24 godziny oznaczają, że część świata przez dobę wysyła pocztę pod stary adres, a wycofanie zmiany trwa tak samo długo. To jedna z tych czynności, które kosztują pięć minut i ratują cały weekend.
Sprawdź też, kto faktycznie panuje nad strefą DNS. W małych firmach zdarza się, że domenę zarejestrował dziesięć lat temu znajomy informatyk, a hasło do panelu odeszło razem z nim. Ustalenie tego w piątek wieczorem jest bardzo złym momentem.
SPF, DKIM i DMARC — najczęstszy powód wizyty w spamie
Po migracji poczta wychodzi z innych serwerów niż wcześniej. Jeśli rekord SPF nadal wskazuje starego dostawcę, odbiorcy zaczynają traktować firmowe maile jako podejrzane. Objaw jest klasyczny: „klienci przestali odpowiadać na oferty”, zgłoszony dwa tygodnie po migracji.
SPF musi zawierać nowego dostawcę i wszystko inne, co wysyła w imieniu domeny — system do newsletterów, program do faktur, formularz na stronie. DKIM trzeba włączyć osobno, bo nie aktywuje się sam. DMARC ustawiam najpierw w trybie samego raportowania, patrzę tydzień na raporty i dopiero potem zaostrzam politykę. Odwrotna kolejność kończy się blokowaniem własnej poczty.
Okres współistnienia
Przez kilka dni część ludzi ma pocztę w nowym miejscu, część w starym. To normalne i do opanowania, pod warunkiem, że ktoś to zaplanował, a nie odkrył w trakcie. Największy ból sprawia wewnętrzna korespondencja między dwiema grupami i kalendarze, które w tym okresie nie widzą swojej dostępności.
W firmie do dwudziestu skrzynek najprościej przenieść wszystkich naraz w jeden weekend i skrócić ten okres do zera. Powyżej pięćdziesięciu skrzynek dzielę na grupy — ale grupuję według działów, nie alfabetycznie, żeby ludzie pracujący razem trafili na tę samą stronę w tym samym momencie.
Skrzynki większe niż limit i pliki PST po dyskach
Zanim cokolwiek ruszy, sprawdzam rozmiary skrzynek — Get-MailboxStatistics na starym serwerze daje pełny obraz w minutę. Zawsze znajdzie się ktoś z archiwum na kilkadziesiąt gigabajtów, kto nigdy w życiu nie skasował żadnej wiadomości.
Osobna kategoria to pliki PST. Rozsiane po dyskach lokalnych, pulpitach, pendrive w szufladzie i udziale sieciowym o nazwie „stare”. Nie migrują się same, nikt o nich nie pamięta, a przypominają o sobie, gdy ktoś potrzebuje korespondencji sprzed czterech lat do sprawy sądowej. Skan dysków pod kątem plików PST robię na etapie inwentaryzacji, nie po migracji.
Kalendarze współdzielone i zasoby
Sala konferencyjna, samochód służbowy, rzutnik — w starym systemie były skrzynkami zasobów z własnymi regułami rezerwacji. W nowym trzeba je odtworzyć jako zasoby, a nie jako zwykłe konta. Uprawnienia do cudzych kalendarzy to drugi punkt, który znika po migracji, jeśli nikt ich wcześniej nie wyeksportował.
Robię to prosto: przed migracją zrzucam listę uprawnień do folderów kalendarza dla każdej skrzynki i traktuję ją jako listę kontrolną po przeniesieniu. Bez tego asystentka zarządu w poniedziałek rano nie widzi kalendarza prezesa, co jest najszybszym sposobem na uznanie całej migracji za nieudaną.
Aliasy i skrzynki współdzielone to nie konta użytkowników
Adresy typu biuro, kontakt, faktury czy serwis to zwykle aliasy albo skrzynki współdzielone. Nie potrzebują osobnej licencji ani osobnego hasła. Ludzie dostają do nich uprawnienia ze swoich kont i widzą je w kliencie pocztowym obok własnej skrzynki.
Regularnie widzę firmy płacące za pięć czy sześć pełnych licencji dla adresów, przy których nie siedzi żaden człowiek. Przy migracji to najprostsza oszczędność do wychwycenia i najczęściej przegapiana, bo stary system miał je jako zwykłe konta i przeniesiono je jeden do jednego. Przy okazji porządkuję, kto do której skrzynki ma dostęp — to ta sama praca, co przy porządkowaniu kont pracowników, tylko wykonana raz i od razu na czysto.
Reguły przekierowań, o których nikt nie pamięta
Prawie w każdej firmie działa co najmniej jedno zapomniane przekierowanie. Kopia całej korespondencji na prywatną skrzynkę byłego pracownika. Automatyczna odpowiedź włączona w 2021 roku. Reguła przerzucająca faktury do folderu, którego już nie ma.
Wypisuję reguły serwerowe przed migracją i przeglądam je z właścicielem. Ta rozmowa regularnie kończy się odkryciem, które ma mniej wspólnego z migracją, a więcej z bezpieczeństwem — i dobrze, że wychodzi wtedy, a nie przy kontroli.
Urządzenia, które wysyłają maile
To jest miejsce, gdzie migracje przewracają się najczęściej. Skaner wysyłający dokumenty na maila, drukarka wielofunkcyjna, system alarmowy raportujący zdarzenia, program magazynowy wysyłający zamówienia, serwer z powiadomieniami z monitoringu. Wszystkie one wysyłały pocztę przez stary serwer, zwykle bez żadnego hasła, bo „były w tej samej sieci”.
Nowy dostawca tak nie działa. Każde takie urządzenie musi zostać przepięte na uwierzytelnione wysyłanie — z własnym kontem albo przez skonfigurowany łącznik dla konkretnych adresów IP. Starsze skanery bywają uparte i nie obsługują nowoczesnego szyfrowania; wtedy zostaje przekaźnik pocztowy po stronie firmy albo wymiana urządzenia.
Lista tych urządzeń powstaje przez obchód biura, nie przez pytanie zespołu. Nikt nie pamięta o skanerze, dopóki nie przestanie działać.
Drugi składnik i stare klienty pocztowe
Włączenie uwierzytelniania dwuskładnikowego jest obowiązkowe, jeśli poczta ma być realnie zabezpieczona. Ma jednak skutek uboczny: starsze programy pocztowe i telefony z prehistoryczną konfiguracją przestają się logować, bo nie umieją obsłużyć nowoczesnego mechanizmu logowania.
Dlatego inwentaryzuję, kto na czym czyta pocztę, zanim włączę wymóg. Trzy osoby z dziesięcioletnim Outlookiem i jeden telefon z wbudowaną aplikacją poczty potrafią wygenerować cały wtorek zgłoszeń. Uprzedzone i przygotowane z wyprzedzeniem zajmują pół godziny.
Chmura to nie backup
Dostawca chmury dba o dostępność swojej usługi, a nie o to, żeby odzyskać wiadomości, które pracownik skasował trzy miesiące temu, albo całą skrzynkę usuniętą wraz z kontem. Domyślne okresy przechowywania usuniętych elementów są krótkie i liczone w dniach.
Do każdej migracji dokładam osobne rozwiązanie kopii poczty, niezależne od dostawcy — z własnym harmonogramem i możliwością odtworzenia pojedynczej wiadomości. Ta sama zasada, co w każdym innym systemie: kopia bez przetestowanego odtworzenia nie jest kopią.
Harmonogram: co w weekend, co w dzień roboczy
Większość pracy da się zrobić przy pracującej firmie. Wyłączenia wymaga tylko sam moment przełączenia.
- Dwa do czterech tygodni wcześniej, w dni robocze: inwentaryzacja skrzynek, urządzeń wysyłających maile, reguł i uprawnień. Ustalenie dostępu do panelu DNS. Zakup licencji.
- Tydzień wcześniej, w dni robocze: utworzenie kont i skrzynek współdzielonych, pierwsza synchronizacja danych, migracja próbna dwóch skrzynek testowych.
- Dwa dni wcześniej: skrócenie TTL rekordów DNS, przygotowanie rekordów SPF i DKIM, informacja dla zespołu z jednym zdaniem o tym, co zobaczą w poniedziałek.
- Weekend: synchronizacja końcowa, przełączenie MX, przepięcie urządzeń wysyłających, testy wysyłki i odbioru w obie strony.
- Poniedziałek, na miejscu: obecność w biurze przez pierwsze godziny. Zawsze znajdzie się telefon, którego nikt nie zgłosił, i jedna reguła, która nie przeszła.
Jak wygląda dobra migracja z perspektywy pracownika
Włącza komputer w poniedziałek. Poczta jest. Cała historia jest. Kalendarz się zgadza, skrzynka wspólna działa, podpis wygląda tak samo. Ktoś prosi o jednorazowe potwierdzenie logowania w telefonie i to jest jedyna nowa rzecz, jaką zauważa.
Nikt nie mówi „ale fajnie zmigrowaliście pocztę”. Sukces jest tu niewidoczny z definicji, a cała robota, która o nim decyduje, dzieje się w dwa tygodnie przed weekendem przełączenia. Migracje, które idą źle, prawie nigdy nie psują się na etapie kopiowania wiadomości — psują się na skanerze, rekordzie SPF i kalendarzu zarządu.
Kopiowanie skrzynek to najmniejszy problem migracji poczty. Problemem jest wszystko, co wysyła maile, a nie jest człowiekiem.
Jeśli w firmie nie ma kto zrobić inwentaryzacji przed przełączeniem, to jest właśnie ten moment, żeby umówić rozmowę przed migracją, a nie po niej. Odkręcanie źle przepiętej poczty kosztuje wielokrotnie więcej niż zaplanowanie jej raz porządnie.