Einrichten des lokalen Intune Exchange Connectors in Microsoft Intune in AzureSet up the Intune on-premises Exchange connector in Microsoft Intune Azure

In einer lokalen Exchange Server-Umgebung kann der bedingte Zugriff für Intune verwendet werden, um Zugriff auf lokale Exchange-Postfächer zu erlauben oder zu blockieren.In an on-premises Exchange Server environment, Intune conditional access can be used to allow or block access to Exchange on-premises mailboxes. Verwenden Sie lokale Exchange Active Sync-Connectors, um Intune mit Ihren Exchange-Organisationen zu verbinden und um den bedingten Zugriff für Intune zusammen mit Richtlinien für die Gerätekonformität einzurichten.Use Exchange Active Sync on-premises connectors to connect Intune to your Exchange organizations, and set up Intune conditional access along with device compliance policies. Wenn dann ein Gerät versucht, eine Verbindung mit Exchange herzustellen, bestimmt Intune, ob das Gerät in Intune registriert wird und konform ist.Then, when a device attempts to connect to Exchange, Intune determines if the device is enrolled in Intune and is compliant. Um zu bestimmen, welche Geräte in Intune registriert werden können, ordnet der lokale Exchange Connector die Exchange Active Sync-Datensätze (EAS) in Exchange Server den Intune-Datensätzen zu.To determine which devices are enrolled in Intune, the on-premises Exchange connector maps Exchange Active Sync (EAS) records in Exchange Server to Intune records. Weitere Informationen zu dieser Vorgehensweise finden Sie unter Welche gängigen Möglichkeiten gibt es für die Verwendung des bedingten Zugriffs in Intune?For more about how this works, see What are common ways to use conditional access with Intune?

Wichtig

Intune unterstützt jetzt mehrere lokale Exchange Connectors pro Abonnement.Intune now supports multiple on-premises Exchange connectors per subscription. Wenn Sie über mehr als eine lokale Exchange-Organisation verfügen, können Sie einen separaten Connector für jede Exchange-Organisation einrichten.If you have more than one on-premises Exchange organization, you can set up a separate connector for each Exchange organization.

Folgende Schritte helfen Ihnen, eine Verbindung einzurichten, die Microsoft Intune die Kommunikation mit der lokalen Exchange Server-Instanz ermöglicht:To set up a connection that enables Microsoft Intune to communicate with the on-premises Exchange Server, here are the general steps:

  1. Laden Sie den lokalen Intune Exchange Connector aus dem Azure-Portal herunter.Download the Intune on-premises Exchange connector from the Azure portal.
  2. Installieren und konfigurieren Sie den Exchange Connector auf einem Computer in der lokalen Exchange-Organisation.Install and configure the Exchange connector on a computer in the on-premises Exchange organization.
  3. Überprüfen Sie die Exchange-Verbindung.Validate the Exchange connection.
  4. Wiederholen Sie diese Schritte für jede Exchange-Organisation, die Sie mit Intune verbinden möchten.Repeat these steps for each Exchange organization you want to connect to Intune.

Anforderungen des lokalen Intune Exchange ConnectorsIntune on-premises Exchange connector requirements

In der folgenden Tabelle finden Sie die Anforderungen an den Computer, auf dem Sie den lokalen Exchange Connector installieren.The following table lists the requirements for the computer on which you install the on-premises Exchange connector.

AnforderungenRequirement Weitere InformationenMore information
BetriebssystemeOperating systems Intune unterstützt den lokalen Exchange Connector auf Computern, auf denen eine beliebige Edition von Windows Server 2008 SP2 (64 Bit), Windows Server 2008 R2, Windows Server 2012, Windows Server 2012 R2 oder Windows Server 2016 ausgeführt wird.Intune supports the on-premises Exchange connector on a computer that runs any edition of Windows Server 2008 SP2 64-bit, Windows Server 2008 R2, Windows Server 2012, Windows Server 2012 R2, or Windows Server 2016.

Auf Server Core-Installationen wird der Connector nicht unterstützt.The connector is not supported on any Server Core installation.
Microsoft ExchangeMicrosoft Exchange Für lokale Connectors ist Microsoft Exchange 2010 SP1 oder höher oder die veraltete Exchange Online Dedicated-Umgebung erforderlich.On-premises connectors require Microsoft Exchange 2010 SP1 or later or legacy Exchange Online Dedicated. Wenn Sie herausfinden möchten, ob es sich bei Ihrer Exchange Online Dedicated-Umgebung um die neue oder die ältere Konfiguration handelt, wenden Sie sich an Ihren Kundenbetreuer.To determine if your Exchange Online Dedicated environment is in the new or legacy configuration, contact your account manager.
Autorität für die Verwaltung mobiler GeräteMobile device management authority Festlegen von Intune als Autorität für die Verwaltung mobiler Geräte.Set the mobile device management authority to Intune.
HardwareHardware Der Computer, auf dem Sie den Connector installieren, erfordert eine CPU mit 1,6 GHz und 2 GB RAM sowie mindestens 10 GB freien Speicherplatz.The computer on which you install the connector requires a 1.6 GHz CPU with 2 GB of RAM and 10 GB of free disk space.
Active Directory-SynchronisierungActive Directory synchronization Bevor Sie den Connector für die Verbindung von Intune mit Exchange Server verwenden können, müssen Sie die Active Directory-Synchronisierung einrichten, damit Ihre lokalen Benutzer und Sicherheitsgruppen mit Ihrer Instanz von Azure Active Directory synchronisiert werden.Before you can use the connector to connect Intune to your Exchange Server, you must set up Active Directory synchronization so that your local users and security groups are synchronized with your instance of Azure Active Directory.
Zusätzliche SoftwareAdditional software Eine vollständige Installation von Microsoft .NET Framework 4.5 und Windows PowerShell 2.0 muss auf dem Computer installiert sein, auf dem der Connector gehostet wird.A full installation of Microsoft .NET Framework 4.5 and Windows PowerShell 2.0 must be installed on the computer that hosts the connector.
NetzwerkNetwork Der Computer, auf dem Sie den Connector installieren, muss sich in einer Domäne befinden, die sich mit der Domäne, in der Exchange Server gehostet wird, in einer Vertrauensstellung befindet.The computer on which you install the connector must be in a domain that has a trust relationship to the domain that hosts your Exchange Server.

Der Computer erfordert Konfigurationen, die es ihm ermöglichen, über Firewalls und Proxyserver über Port 80 und 443 auf den Intune-Dienst zuzugreifen.The computer requires configurations to enable it to access the Intune service through firewalls and proxy servers over Ports 80 and 443. Von Intune verwendete Domänen sind manage.microsoft.com, *manage.microsoft.com und *.manage.microsoft.com.Domains that are used by Intune include manage.microsoft.com, *manage.microsoft.com, and *.manage.microsoft.com.

Anforderungen an Exchange-CmdletsExchange cmdlet requirements

Sie müssen in Active Directory ein Benutzerkonto erstellen, das vom lokalen Exchange Connector verwendet wird.You must create an Active Directory user account that is used by the on-premises Exchange connector. Das Konto muss über die Berechtigung zum Ausführen der folgenden erforderlichen Windows PowerShell-Exchange-Cmdlets verfügen:The account must have permission to run the following required Windows PowerShell Exchange cmdlets:

  • Get-ActiveSyncOrganizationSettings, Set-ActiveSyncOrganizationSettingsGet-ActiveSyncOrganizationSettings, Set-ActiveSyncOrganizationSettings
  • Get-CasMailbox, Set-CasMailboxGet-CasMailbox, Set-CasMailbox
  • Get-ActiveSyncMailboxPolicy, Set-ActiveSyncMailboxPolicy, New-ActiveSyncMailboxPolicy, Remove-ActiveSyncMailboxPolicyGet-ActiveSyncMailboxPolicy, Set-ActiveSyncMailboxPolicy, New-ActiveSyncMailboxPolicy, Remove-ActiveSyncMailboxPolicy
  • Get-ActiveSyncDeviceAccessRule, Set-ActiveSyncDeviceAccessRule, New-ActiveSyncDeviceAccessRule, Remove-ActiveSyncDeviceAccessRuleGet-ActiveSyncDeviceAccessRule, Set-ActiveSyncDeviceAccessRule, New-ActiveSyncDeviceAccessRule, Remove-ActiveSyncDeviceAccessRule
  • Get-ActiveSyncDeviceStatisticsGet-ActiveSyncDeviceStatistics
  • Get-ActiveSyncDeviceGet-ActiveSyncDevice
  • Get-ExchangeServerGet-ExchangeServer
  • Get-ActiveSyncDeviceClassGet-ActiveSyncDeviceClass
  • Get-RecipientGet-Recipient
  • Clear-ActiveSyncDevice, Remove-ActiveSyncDeviceClear-ActiveSyncDevice, Remove-ActiveSyncDevice
  • Set-ADServerSettingsSet-ADServerSettings
  • Get-CommandGet-Command

Herunterladen des Softwareinstallationspakets für den lokalen Exchange ConnectorDownload the on-premises Exchange connector software installation package

  1. Öffnen Sie auf einem vom lokalen Exchange Connector unterstützten Windows Server-Betriebssystem das Azure-Portal mit einem Benutzerkonto, das ein Administrator in der lokalen Exchange Server-Instanz ist und über eine Exchange Server-Lizenz verfügt.On a supported Windows Server operating system for the on-premises Exchange connector, open the Azure portal and sign in with a user account that is an administrator in the on-premises Exchange server, and that has a license to use Exchange Server.

  2. Klicken Sie im Menü links auf Alle Dienste, und geben Sie in das Filtertextfeld Intune ein.Choose All services from the left menu, then type Intune in the text box filter.

  3. Wählen Sie Intune aus. Wenn das Intune-Dashboard geöffnet wird, wählen Sie Lokaler Zugriff aus.Choose Intune, and when the Intune Dashboard opens, choose On-premises access.

  4. Klicken Sie unter Setup auf Exchange ActiveSync-Connector und dann auf Download the on-premises connector (Lokalen Connector herunterladen).Under Setup, choose Exchange ActiveSync connectors, and then choose Download the on-premises connector.

  5. Der lokale Exchange Connector ist in einem komprimierten Ordner (ZIP-Archiv) enthalten, der geöffnet oder gespeichert werden kann.The on-premises Exchange connector is contained in a compressed (.zip) folder that can be opened or saved. Wählen Sie im Dialogfeld Dateidownload die Option Speichern aus, um den komprimierten Ordner an einem sicheren Speicherort zu speichern.In the File Download dialog box, choose Save to store the compressed folder to a secure location.

    Wichtig

    Die Dateien im Ordner des lokalen Exchange Connectors dürfen nicht umbenannt oder verschoben werden.Do not rename or move the files that are in the on-premises Exchange connector folder. Bei Verschieben oder Umbenennen der Inhalte des Ordners ist die Exchange Connector-Installation nicht mehr funktionsfähig.Moving or renaming the folder's contents will cause the Exchange connector installation to fail.

Installieren und Konfigurieren des lokalen Intune Exchange ConnectorsInstall and configure the Intune on-premises Exchange connector

Führen Sie die folgenden Schritte aus, um den lokalen Intune Exchange Connector zu installieren.Perform the following steps to install the Intune on-premises Exchange connector. Wenn Sie über mehrere Exchange-Organisationen verfügen, wiederholen Sie diese Schritte für jeden zusätzlichen Exchange Connector, den Sie einrichten möchten.If you have multiple Exchange organizations, repeat these steps for each additional Exchange connector you want to set up.

  1. Extrahieren Sie unter einem für den lokalen Exchange Connector unterstützten Betriebssystem die Dateien in Exchange_Connector_Setup.zip an einen sicheren Speicherort.On a supported operating system for the on-premises Exchange connector, extract the files in Exchange_Connector_Setup.zip to a secure location.

  2. Nachdem die Dateien extrahiert wurden, öffnen Sie den extrahierten Ordner, und doppelklicken Sie auf Exchange_Connector_Setup.exe, um den lokalen Exchange Connector zu installieren.After the files are extracted, open the extracted folder and double-click Exchange_Connector_Setup.exe to install the on-premises Exchange connector.

    Wichtig

    Wenn der Speicherort nicht sicher ist, sollten Sie die Zertifikatdatei MicrosoftIntune.accountcert nach Abschluss der Installation des lokalen Connectors unbedingt löschen.If the destination folder is not a secure location, you should delete the certificate file MicrosoftIntune.accountcert when you are finished installing your on-premises connectors.

  3. Wählen Sie im Dialogfeld Microsoft Intune Exchange Connector entweder Lokaler Microsoft Exchange-Server oder Gehosteter Microsoft Exchange-Server aus.In the Microsoft Intune Exchange Connector dialog box, select either On-premises Microsoft Exchange Server or Hosted Microsoft Exchange Server.

    Abbildung, die darstellt, wo der Exchange Server-Typ ausgewählt wird

    Geben Sie bei einem lokalen Exchange-Server entweder den Servernamen oder den vollqualifizierten Domänennamen des Exchange-Servers an, auf dem die Rolle Clientzugriffsserver gehostet wird.For an on-premises Exchange server, provide either the server name or the fully-qualified domain name of the Exchange server that hosts the Client Access Server role.

    Bei einem gehosteten Exchange-Server geben Sie die Adresse des Exchange-Servers an.For a hosted Exchange server, provide the Exchange server address. So ermitteln Sie die URL des gehosteten Exchange-Servers:To find the hosted Exchange server URL:

    1. Öffnen Sie Outlook im Web für Office 365.Open Outlook on the web for Office 365.

    2. Wählen Sie das ?Choose the ? links oben und anschließend Info aus.icon at the upper left, and then select About.

    3. Suchen Sie den Wert Externer POP-Server.Locate the POP External Server value.

    4. Wählen Sie Proxyserver aus, um die Proxyservereinstellungen für Ihren gehosteten Exchange-Server anzugeben.Choose Proxy Server to specify proxy server settings for your hosted Exchange server.

      1. Wählen Sie Beim Synchronisieren von Informationen für mobile Geräte einen Proxyserver verwendenaus.Select Use a proxy server when synchronizing mobile device information.

      2. Geben Sie den Proxyservernamen und die für den Zugriff auf den Server zu verwendende Portnummer ein.Enter the proxy server name and the port number to be used to access the server.

      3. Ist für den Zugriff auf den Proxyserver die Angabe von Benutzeranmeldeinformationen erforderlich, wählen Sie Mithilfe von Anmeldeinformationen eine Verbindung mit dem Proxyserver herstellen aus.If it's necessary to provide user credentials to access the proxy server, select Use credentials to connect to the proxy server. Geben Sie dann Domäne\Benutzer und das Kennwort ein.Then enter the domain\user and the password.

      4. Wählen Sie OK aus.Choose OK.

    5. Geben Sie in den Feldern Benutzer (Domäne\Benutzer) und Kennwort die für die Verbindung mit Ihrem Exchange-Server erforderlichen Anmeldeinformationen an.In the User (Domain\user) and Password fields, enter the credentials that are necessary to connect to your Exchange server.

    6. Geben Sie die zum Senden von Benachrichtigungen an das Exchange Server-Postfach eines Benutzers erforderlichen Anmeldeinformationen ein.Provide the necessary credentials to send notifications to a user’s Exchange Server mailbox. Dieser Benutzer ist nur für Benachrichtigungen reserviert.This user can be dedicated to just notifications. Der Benutzer für Benachrichtigungen benötigt ein Exchange-Postfach, um Benachrichtigungen per Mail senden zu können.The notifications user needs an Exchange mailbox to be able to send notifications by email. Sie können diese Benachrichtigungen über Richtlinien für den bedingten Zugriff in Intune konfigurieren.You can configure these notifications with conditional access policies in Intune.

      Stellen Sie sicher, dass die AutoErmittlungs- und Exchange-Webdienste auf dem Exchange-Clientzugriffsserver konfiguriert sind.Ensure that the Autodiscover service and Exchange Web Services are configured on the Exchange Client Access Server. Weitere Informationen finden Sie unter Clientzugriffsserver.For more information, see Client Access server.

    7. Geben Sie im Feld Kennwort das Kennwort für dieses Konto an, damit Intune auf Exchange Server zugreifen kann.In the Password field, provide the password for this account to enable Intune to access the Exchange Server.

    8. Wählen Sie Verbinden aus.Choose Connect.

    Hinweis

    Das Konfigurieren der Verbindung kann möglicherweise einige Minuten in Anspruch nehmen.It might take a few minutes for the connection to be configured.

Bei der Konfiguration werden vom Exchange Connector Ihre Proxyeinstellungen gespeichert, um den Zugriff auf das Internet zu ermöglichen.During configuration, the Exchange connector stores your proxy settings to enable access to the Internet. Wenn sich Ihre Proxyeinstellungen ändern, müssen Sie den Exchange Connector neu konfigurieren, damit für ihn die aktualisierten Proxyeinstellungen verwendet werden.If your proxy settings change, you will have to reconfigure the Exchange connector to apply the updated proxy settings to the Exchange connector.

Nach Einrichtung der Verbindung durch den Exchange Connector werden mobile Geräte, die von Exchange verwalteten Benutzern zugeordnet sind, automatisch synchronisiert und dem Exchange Connector hinzugefügt.After the Exchange connector sets up the connection, mobile devices that are associated with users that are managed in Exchange are automatically synchronized and added to the Exchange connector. Diese Synchronisation kann einige Zeit in Anspruch nehmen.This synchronization might take some time to complete.

Hinweis

Wenn Sie den lokalen Exchange Connector installiert haben und zu einem späteren Zeitpunkt die Exchange-Verbindung löschen, müssen Sie den lokalen Exchange Connector von dem Computer löschen, auf dem er installiert wurde.If you have installed the on-premises Exchange connector, and if at some point you delete the Exchange connection, you must uninstall the on-premises Exchange connector from the computer onto which it was installed.

Installieren von Connectors für mehrere Exchange-OrganisationenInstall connectors for multiple Exchange organizations

Intune unterstützt mehrere lokale Exchange Connectors pro Abonnement.Intune supports multiple on-premises Exchange connectors per subscription. Für einen Mandanten mit mehreren Exchange-Organisationen können Sie einen Connector für jede Exchange-Organisation einrichten.For a tenant with multiple Exchange organizations, you can set up one connector for each Exchange organization. Laden Sie den ZIP-Ordner einmal herunter, und befolgen Sie dann für jede Exchange-Organisation die Schritte im vorherigen Abschnitt, um das Setupprogramm auf einem Server in der Organisation zu extrahieren und auszuführen.Download the .zip folder once, and then for each Exchange organization, follow the steps in the previous section to extract and run the setup program on a server in the organization.

Die Features zu Hochverfügbarkeit, Überwachung und manueller Synchronisierung, die in den folgenden Abschnitten beschrieben werden, werden für jede Exchange-Organisation unterstützt, die mit Intune verbunden ist.The high availability, monitoring, and manual sync features described in the following sections are supported for each Exchange organization connected to Intune.

Hochverfügbarkeitsunterstützung für lokalen Exchange ConnectorOn-premises Exchange connector high availability support

Nachdem der Exchange Connector über den angegebenen CAS eine Verbindung mit Exchange hergestellt hat, kann der Connector andere CAS erkennen.After the Exchange connector creates a connection to Exchange using the specified CAS, the connector has the ability to discovery other CASs. Wenn der primäre CAS nicht mehr verfügbar ist, wird für den Connector ggf. ein Failover auf einen anderen CAS durchgeführt, bis der primäre CAS verfügbar wird.If the primary CAS becomes unavailable, the connector will failover to another CAS, if available, until the primary CAS becomes available. Dieses Feature ist standardmäßig aktiviert.This feature is on by default. Sie können diese Feature mithilfe des folgenden Verfahrens deaktivieren:You can turn this feature off by using the following procedure:

  1. Navigieren Sie auf dem Server, auf dem der Exchange Connector installiert ist, zu „%ProgramData%\Microsoft\Microsoft Intune Exchange Connector“.On the server where the Exchange Connector is installed, go to %ProgramData%\Microsoft\Windows Intune Exchange Connector.
  2. Öffnen Sie mit einem Text-Editor OnPremisesExchangeConnectorServiceConfiguration.xml.Using a text editor, open OnPremisesExchangeConnectorServiceConfiguration.xml.
  3. Um die Feature zu deaktivieren, ändern Sie <IsCasFailoverEnabled>true</IsCasFailoverEnabled> in <IsCasFailoverEnabled>false</IsCasFailoverEnabled>.Change <IsCasFailoverEnabled>true</IsCasFailoverEnabled> to <IsCasFailoverEnabled>false</IsCasFailoverEnabled> to disable the feature.

Überwachen der Exchange-ConnectoraktivitätMonitor the Exchange connector activity

Nachdem Sie Exchange Connectors erfolgreich konfiguriert haben, können Sie den Status der Verbindung und den letzten erfolgreichen Synchronisierungsversuch anzeigen.After you have successfully configured Exchange connectors, you can view the status of the connections and the last successful synchronization attempt. So überprüfen Sie die Exchange Connector-Verbindung:To validate the Exchange connector connections:

  1. Wählen Sie auf dem Intune-Dashboard Lokaler Zugriff aus.On the Intune Dashboard, choose On-premises access.
  2. Wählen Sie unter Setup Exchange ActiveSync-Connectors aus, um den Verbindungsstatus für jeden Exchange Connector zu überprüfen.Under Setup, select Exchange ActiveSync connectors to verify the connection status for each Exchange connector.

Sie können auch die Uhrzeit und das Datum des letzten erfolgreichen Synchronisationsversuchs überprüfen.You can also check the time and date of the last successful synchronization attempt.

System Center Operations Manager (SCOM) Management PackSystem Center Operations Manager (SCOM) management pack

Ab der Intune-Version 1710 können Sie das SCOM Management Pack für Exchange-Connector und Intune verwenden.Beginning with the Intune 1710 release, you can use the SCOM management pack for Exchange connector and Intune. Es bietet Ihnen verschiedene Möglichkeiten zur Überwachung des Exchange-Connectors bei der Problembehandlung.This gives you different ways of monitoring the Exchange connector when you need to troubleshoot issues.

Manuelle Erzwingung einer schnellen oder vollständigen SynchronisierungManually force a quick sync or full sync

Ein lokaler Exchange Connector synchronisiert regelmäßig automatisch EAS und Datensätze für Intune-Geräte.An on-premises Exchange connector automatically synchronizes EAS and Intune device records on a regular basis. Wenn sich der Konformitätsstatus eines Geräts verändert, aktualisiert der automatische Synchronisierungsprozess regelmäßig Datensätze, damit der Gerätezugriff entsprechend blockiert und erlaubt werden kann.If the compliance status of a device changes, the automatic sync process regularly updates records so that device access can be blocked or allowed accordingly.

  • Die Schnellsynchronisierung wird regelmäßig mehrmals täglich ausgeführt.Quick sync occurs regularly, several times a day. Eine schnelle Synchronisierung ruft Geräteinformationen für die Benutzer ab, die über Intune-Lizenzen und bedingten Zugriff mit lokalem Exchange verfügen, die sich seit der letzten Synchronisierung geändert haben.A quick sync retrieves device information for Intune-licensed and on-premises Exchange conditional access-targeted users that have changed since the last sync.

  • Die vollständige Synchronisierung wird standardmäßig einmal pro Tag durchgeführt.Full sync occurs once per day by default. Eine vollständige Synchronisierung ruft Geräteinformationen für alle Benutzer ab, die über Intune-Lizenzen und bedingten Zugriff mit lokalem Exchange verfügen.A full sync retrieves device information for all Intune-licensed and on-premises Exchange conditional access-targeted users. Eine vollständige Synchronisierung ruft ebenso die Exchange-Serverinformationen ab und stellt sicher, dass die von Intune im Azure-Portal angegebene Konfiguration auf dem Exchange-Server aktualisiert wird.A full sync also retrieves Exchange server information and ensures that the configuration specified by Intune in the Azure portal is updated on the Exchange server.

Sie können erzwingen, dass ein Connector eine Synchronisierung ausführt, indem Sie die Optionen Schnellsynchronisierung oder Vollständige Synchronisierung auf dem Intune-Dashboard mit den folgenden Schritten verwenden:You can force a connector to run a sync by using the Quick Sync or Full Sync options on the Intune dashboard with the following steps:

  1. Wählen Sie auf dem Intune-Dashboard Lokaler Zugriff aus.On the Intune dashboard, choose On-premises access.
  2. Wählen Sie unter Setup die Option Exchange Active Sync-Connectors aus.Under Setup, choose Exchange Active Sync Connectors.
  3. Wählen Sie den Connector aus, den Sie synchronisieren möchten, wählen Sie anschließend Schnellsynchronisierung oder Vollständige Synchronisierung aus.Select the connector you want to sync, and then choose Quick Sync or Full Sync.

Nächste SchritteNext steps

Erstellen einer Richtlinie für bedingten Zugriff für lokales ExchangeCreate a conditional access policy for Exchange on-premises