Symptômes
Les certificats EvoSTS sont gérés par Azure Active Directory (Azure AD) et régulièrement mis à jour de manière individuelle par client, ce qui se produit plus fréquemment pour certains utilisateurs. Le substitution du certificat ou son planning n’est pas transparent pour l’utilisateur. Il s’avère qu’une telle substitution consiste à créer des périodes de service pour les utilisateurs exécutant l’authentification moderne hybride (HMA). Le problème se produit lorsqu’un processus de travail est démarré ou recyclé ou qu’un ordinateur est retiré de la maintenance et que le matériel de clé divergent est présent dans AD. Lors de l’initialisation de tout processus de travail, la première requête contenant les données d’authentification du porteur charge les bibliothèques OAuth et démarre le matériel de clé en lisant les informations de l’objet AuthServer dans AD. Après cela, le processus de travail peut authentifier la requête contenant les données d’authentification du porteur. Toutefois, si le matériel de clé d’Azure AD (EvoSTS) a été déployé, il ne peut pas authentifier les demandes en raison de la sécurité de messages non valides (le matériel de clé ne correspond pas) comme la signature est divergente. Après un intervalle aléatoire (temporisateur maximal de 30 minutes), le processus de travail recherche et récupère le matériel de clé en ligne via le point de terminaison de métadonnées publié.
S’il existe des touches nouvelles ou divergentes, celles-ci sont ajoutées et chargées dans le processus (instance) de la durée de vie du processus de travail et l’authentification fonctionne désormais. Dans la mesure où les nouvelles données clés ne sont jamais réécrites dans AD, la même itération redémarre pour tout processus de travail qui génère une nouvelle instance.
Résolution
Pour résoudre ce problème, installez l’une des mises à jour suivantes :
Pour Exchange Server 2019, installez la mise à jour cumulative 6 pour exchange Server 2019 ou une mise à jour cumulative ultérieure pour Exchange Server 2019.
Pour Exchange Server 2016, installez la mise à jour cumulative 17 pour exchange Server 2016ou une mise à jour cumulative ultérieure pour Exchange Server 2016.
Références
En savoir plus sur le terminologie utilisée par Microsoft pour décrire les mises à jour logicielles.
