Symptome
In einer dedizierten oder International Traffic in Arms Regulations (ITAR) Microsoft Office 365-Umgebung wird ein Benutzer durch ein Sicherheitswarnungsdialogfeld aufgefordert, das die folgende Fehlermeldung enthält:
Hinweis
Der Name auf dem Sicherheitszertifikat ist ungültig oder stimmt nicht mit dem Namen der Website überein.
Das Dialogfeld "Sicherheitshinweis" sieht beispielsweise wie folgt aus:
Dieses Problem kann unter den folgenden Umständen auftreten:
- Der Benutzer versucht, in Microsoft Office Outlook ein neues Profil zu erstellen.
- Der Benutzer versucht, einen Outlook-Client zu starten.
- Das Problem tritt zeitweise auf, wenn der Outlook-Client ausgeführt wird.
Wenn der Benutzer auf "Ja" klickt, kann der Benutzer den Vorgang fortsetzen. Klickt der Benutzer jedoch auf Nein, schlägt die AutoErmittlungssuche fehl. Der Fehler bei der AutoErmittlungssuche verhindert, dass die folgenden Features wie erwartet funktionieren:
- Automatische Erstellung eines Outlook-Profils mit Hilfe von AutoErmittlung
- Abwesenheitsassistent
- Informationen zu Frei/Gebucht
Ursache
Im Allgemeinen tritt dieses Problem auf, wenn die URL, auf die Sie zuzugreifen versuchen, weder im Antragsteller noch im SAN (Subject Alternative Name) des SSL-Zertifikats (Secure Sockets Layer) für die Website aufgeführt ist. Obwohl sich die Konfigurationen verschiedener Organisationen geringfügig unterscheiden können, tritt dieses Problem in der Regel auf, weil die DNS-Einträge (Domain Name System) der AutoErmittlung der organization falsch konfiguriert sind.
Lösung
Um dieses Problem zu beheben, müssen Sie möglicherweise Ihre AutoErmittlungs-DNS-Einträge (intern, extern oder beides) ändern. Diese Änderungen sollten jedoch nicht auf die leichte Schulter genommen werden, da die AutoErmittlungsfunktion möglicherweise nicht funktioniert, wenn DNS-Einträge falsch konfiguriert sind.
Bevor Sie die AutoErmittlungs-DNS-Einträge ändern, sollten Sie verstehen, wie der Outlook-Client versucht, den AutoErmittlungsdienst zu finden. Der Outlook-Client versucht, den AutoErmittlungsdienst mithilfe der folgenden grundlegenden Reihenfolge der Vorgänge zu finden. Der Schritt, in dem sich der AutoErmittlungsdienst befindet, variiert jedoch von Bereitstellung zu Bereitstellung. Dieser Speicherort hängt davon ab, ob eine lokale Lösung nebeneinander vorhanden ist und wie die spezifische lokale E-Mail-Umgebung aussieht (z. B. ein lokaler Microsoft Exchange Server, ein lokaler Lotus Notes oder eine andere Umgebung).
In der folgenden Tabelle ist die grundlegende Reihenfolge der Vorgänge dargestellt, wie der Outlook-Client den AutoErmittlungsdienst findet:
| 1 |
|
|---|---|
| 2 |
|
| 3 |
|
| 4 |
|
| 5 | Ergebnis Wenn der AutoErmittlungsdienst von keiner dieser Methoden gefunden wird, schlägt die AutoErmittlung fehl. |
Zusammengefasst lässt sich sagen, dass der AutoErmittlungsdienst mithilfe eines A-Eintrags, eines CNAME-Eintrags oder eines SRV-Eintrags aufgelöst werden kann. Führen Sie die folgenden Befehle an einer Eingabeaufforderung oder in Windows PowerShell aus, um zu bestimmen, welche Datensätze derzeit verwendet werden:
- Um einen A-Eintrag zu suchen, führen Sie die folgenden Befehle aus. Stellen Sie sicher, dass Sie SMTPDomain.com unten durch die Domäne mit dem Wert oben in Ihrem Zertifikatsfehler ersetzen.
nslookup
set type=A
Autodiscover.SMTPDomain.com
- Führen Sie zum Suchen eines SRV-Eintrags die folgenden Befehle aus:
nslookup
set type=SRV
_autodiscover._tcp.SMTPDomain.com
Im folgenden Beispiel kann der Outlook-Client den AutoErmittlungsdienst mithilfe des A-Eintrags für die AutoErmittlungs-URL finden, wie in Schritt 3 in der vorherigen Tabelle beschrieben:
autodiscover.proseware.com Wie im Abschnitt "Ursache" erwähnt, ist diese URL jedoch nicht im SAN des SSL-Zertifikats aufgeführt, das vom AutoErmittlungsdienst verwendet wird. Sehen Sie sich beispielsweise den folgenden Screenshot an:
Gehen Sie wie folgt vor, um das Problem zu beheben.
Ersetzen Sie den vorhandenen A-Eintrag durch einen SRV-Eintrag, der auf einen Namespace verweist, der sich bereits im SAN des SSL-Zertifikats befindet
Dies ist die bevorzugte Auflösungsmethode im aktuellen Dienstdesign, da das vorhandene SSL-Zertifikat nicht aktualisiert und bereitgestellt werden muss. Entsprechend der grundlegenden Reihenfolge der Vorgänge, die weiter oben in diesem Abschnitt aufgeführt sind, kann die organization den neuen Eintrag mithilfe einer kontrollierten und getesteten Methode implementieren, um Ausfälle des AutoErmittlungsdiensts zu verhindern.
Gehen Sie folgendermaßen vor, um dieses Problem zu beheben:
Erstellen Sie einen neuen SRV-Eintrag.
Der SRV-Eintrag sollte in der DNS-Zone erstellt werden, die der SMTP-Domäne des Benutzers entspricht. Der SRV-Eintrag sollte die folgenden Eigenschaften aufweisen:
- Dienst: _autodiscover
- Protokoll: _tcp
- Port: 443
- Host: URL für die Umleitung. Bei dieser URL kann es sich um die OWA-URL (Outlook Web Access) handeln, da die aufgelöste IP-Adresse mit der des AutoErmittlungsdiensts identisch sein sollte. Darüber hinaus kann dies von Bereitstellung zu Bereitstellung variieren.
Bevor Sie den vorhandenen A-Eintrag entfernen, sollte der neue SRV-Eintrag getestet werden, indem Sie die Hostdatei eines Benutzers so ändern, dass der aktuelle A-Eintrag zu einer ungültigen IP umgeleitet wird. Mit diesem Test kann überprüft werden, ob der neue SRV-Eintrag wie erwartet funktioniert, bevor Sie die neuen DNS-Einträge für die gesamte organization bereitstellen.
Hinweis Wenn der SRV-Eintrag von einem Outlook-Client verwendet wird, erhält der Benutzer möglicherweise die folgende Nachricht, die ihn über die bevorstehende Umleitung informiert. Wir empfehlen dem Benutzer, das Kontrollkästchen Diese Meldung nicht mehr anzuzeigen, damit die Nachricht nicht erneut angezeigt wird.
Wenn der SRV-Eintrag wie erwartet funktioniert, können Sie den vorhandenen A-Eintrag aus DNS entfernen.
Weitere Informationen
Weitere Informationen zum AutoErmittlungsdienst finden Sie auf der folgenden Microsoft TechNet-Website: