Συμπτώματα
Εξετάστε το ακόλουθο σενάριο:
-
Σε ένα περιβάλλον Exchange Server, μια τοποθεσία Web Outlook Web App ή Exchange Πίνακας Ελέγχου (ECP) έχει ρυθμιστεί ώστε να χρησιμοποιεί έλεγχο ταυτότητας βάσει φορμών (FBA).
-
Ένας χρήστης εισάγει ένα έγκυρο όνομα χρήστη και κωδικό πρόσβασης γραμματοκιβωτίου.
Όταν ο χρήστης συνδέεται σε Outlook Web App ή ECP σε αυτό το σενάριο, ανακατευθύνεται στη σελίδα της FBA. Δεν υπάρχει μήνυμα σφάλματος. Επιπλέον, στο αρχείο καταγραφής HttpProxy\Owa, οι καταχωρήσεις για το "/owa" δείχνουν ότι "Αναγνωριστικό συσχέτισης=<κενό>. NoCookies=302" επιστράφηκε για τις αποτυχημένες αιτήσεις. Νωρίτερα στο αρχείο καταγραφής, οι καταχωρήσεις για "/owa/auth.owa" υποδεικνύουν ότι ο χρήστης έχει ελεγχθεί με επιτυχία.
Αιτία
Αυτό το πρόβλημα μπορεί να παρουσιαστεί, αν η τοποθεσία Web προστατεύεται από ένα πιστοποιητικό που χρησιμοποιεί μια υπηρεσία παροχής χώρου αποθήκευσης κλειδιών (KSP) για τον ιδιωτικό χώρο αποθήκευσης κλειδιών μέσω cryptography επόμενης γενιάς (CNG). Exchange Server δεν υποστηρίζει πιστοποιητικά CNG/KSP για τη διασφάλιση Outlook Web App ή ECP. Πρέπει να χρησιμοποιηθεί μια υπηρεσία παροχής κρυπτογράφησης (CSP). Μπορείτε να προσδιορίσετε εάν το ιδιωτικό κλειδί είναι αποθηκευμένο στο KSP από το διακομιστή που φιλοξενεί την τοποθεσία Web που επηρεάζεται. Μπορείτε επίσης να το επαληθεύσετε, εάν έχετε το αρχείο πιστοποιητικού που περιέχει το ιδιωτικό κλειδί (pfx, p12).
Τρόπος χρήσης του CertUtil για τον προσδιορισμό του χώρου αποθήκευσης ιδιωτικών κλειδιών
Εάν το πιστοποιητικό είναι ήδη εγκατεστημένο στο διακομιστή, εκτελέστε την ακόλουθη εντολή:
certutil -store my <CertificateSerialNumber>Εάν το πιστοποιητικό είναι αποθηκευμένο σε αρχείο pfx/p12, εκτελέστε την ακόλουθη εντολή:
certutil <CertificateFileName>Σε κάθε περίπτωση, το αποτέλεσμα για το εν λόγω πιστοποιητικό εμφανίζει τα εξής:
Υπηρεσία παροχής = Υπηρεσία παροχής κλειδιού χώρου αποθήκευσης της Microsoft
Επίλυση
Για να επιλύσετε αυτό το πρόβλημα, μετεγκαταστήστε το πιστοποιητικό σε μια CSP ή ζητήστε ένα πιστοποιητικό CSP από την υπηρεσία παροχής πιστοποιητικού.Σημείωση Αν χρησιμοποιείτε CSP ή KSP από άλλο προμηθευτή λογισμικού ή υλικού, επικοινωνήστε με τον σχετικό προμηθευτή για τις κατάλληλες οδηγίες. Για παράδειγμα, αυτό θα πρέπει να το κάνετε εάν χρησιμοποιείτε μια υπηρεσία παροχής κρυπτογράφησης Microsoft RSA SChannel και εάν το πιστοποιητικό δεν είναι κλειδωμένο σε μια υπηρεσία παροχής KSP.
-
Δημιουργήστε αντίγραφα ασφαλείας του υπάρχοντος πιστοποιητικού, συμπεριλαμβανομένου του ιδιωτικού κλειδιού. Για περισσότερες πληροφορίες σχετικά με το πώς μπορείτε να το κάνετε αυτό, ανατρέξτε στο θέμα Εξαγωγή-ExchangeCertificate.
-
Εκτελέστε την εντολή Get-ExchangeCertificate για να προσδιορίσετε ποιες υπηρεσίες είναι συνδεδεμένες τη συγκεκριμένη στιγμή με το πιστοποιητικό.
-
Εισαγάγετε το νέο πιστοποιητικό σε μια CSP, εκτελώντας την ακόλουθη εντολή: certutil -csp "Microsoft RSA SChannel Cryptographic Provider" -importpfx <CertificateFilename>
-
Εκτελέστε Get-ExchangeCertificate για να βεβαιωθείτε ότι το πιστοποιητικό εξακολουθεί να είναι δεσμευμένο στις ίδιες υπηρεσίες.
-
Επανεκκινήστε το διακομιστή.
-
Εκτελέστε την ακόλουθη εντολή για να βεβαιωθείτε ότι το πιστοποιητικό έχει πλέον το ιδιωτικό κλειδί του αποθηκευμένο με μια CSP: certutil -store my <CertificateSerialNumber>
Το αποτέλεσμα θα πρέπει τώρα να εμφανίζει τα εξής:
Υπηρεσία παροχής = Υπηρεσία παροχής κρυπτογράφησης Microsoft RSA SChannel
