Symptome
EvoSTS-Zertifikate werden von Azure Active Directory (Azure AD) verwaltet und regelmäßig pro Mandant aktualisiert, was bei einigen Benutzern häufiger vorkommt. Der Zertifikatrollover oder sein Zeitplan ist für den Benutzer nicht transparent. Es stellt sich heraus, dass ein solcher Rollover Dienstausfälle für Benutzer verursacht, die Hybrid Modern Authentication (HMA) verwenden. Das Problem tritt auf, wenn ein Arbeitsprozess gestartet oder recycelt wird oder wenn eine Maschine von der Wartung zurückgebracht wird und divergierendes Schlüsselmaterial in AD vorhanden ist. Bei der Initialisierung eines Arbeitsprozesses lädt die erste Anforderung, die Bearer-Authentifizierungsdaten enthält, die OAuth-Bibliotheken und initiiert das Schlüsselmaterial durch Lesen der Informationen aus dem AuthServer-Objekt in AD. Danach kann der Arbeitsprozess die Anforderung authentifizieren, die Bearerauthentifizierungsdaten enthält. Wenn jedoch ein Rollover für das Schlüsselmaterial in Azure AD (EvoSTS) durchgeführt wurde, können diese Anforderungen aufgrund ungültiger Nachrichtensicherheit (Schlüsselmaterial stimmt nicht überein) nicht authentifiziert werden, da die Signatur abweicht. Nach einem zufälligen Intervall (Timer maximal 30 Minuten) sucht der Arbeitsprozess das Schlüsselmaterial und ruft es online über den veröffentlichten Metadatenendpunkt ab.
Wenn neue oder abweichende Schlüssel gefunden werden, werden diese hinzugefügt und für die Lebensdauer des Arbeitsprozesses in den Prozess (die instance) geladen, und die Authentifizierung funktioniert von nun an. Da die neuen Schlüsseldaten nie in AD zurückgeschrieben werden, beginnt dieselbe Iteration für jeden Arbeitsprozess, der eine neue Instance erzeugt, erneut.
Lösung
Installieren Sie zur Behebung des Problems eines der folgenden Updates:
Installieren Sie für Exchange Server 2019 das kumulative Update 6 für Exchange Server 2019 oder ein späteres kumulatives Update für Exchange Server 2019.
Installieren Sie für Exchange Server 2016 das kumulative Update 17 für Exchange Server 2016 oder ein späteres kumulatives Update für Exchange Server 2016.
Referenzmaterial
Informieren Sie sich über die Terminologie, die Microsoft zum Beschreiben von Softwareupdates verwendet.