Tünetek
Vegyük például a következő esetet:
- Exchange Server-környezetben az Outlook Web App vagy az Exchange Vezérlőpult webhelye űrlapalapú hitelesítés (FBA) használatára van konfigurálva.
- Egy felhasználó érvényes postaláda-felhasználónevet és jelszót ad meg.
Amikor a felhasználó ilyen helyzetben bejelentkezik az Outlook Web App vagy az Exchange Online App alkalmazásba, a rendszer átirányítja az FBA-lapra. Nincs hibaüzenet.
Továbbá a HttpProxy\Owa naplóban a "/owa" bejegyzései a következőt mutatják: "CorrelationID=<empty>; NoCookies=302" visszaadott a sikertelen kérésekhez. A napló korábbi részében az "/owa/auth.owa" bejegyzés azt jelzi, hogy a felhasználó hitelesítése sikeres volt.
Ok
Ez a probléma akkor fordulhat elő, ha a webhelyet olyan tanúsítvány védi, amely kulcstároló-szolgáltatót (KSP) használ a titkos kulcsok tárolására a következő generációs titkosítással (CNG).
Az Exchange Server nem támogatja a CNG-/KSP-tanúsítványokat az Outlook Web App vagy az ECP védelmének biztosításához. Helyette kriptográfiai szolgáltatót (CSP) kell használni. Megállapíthatja, hogy a titkos kulcs meg van-e adva a fontos hálózatnak (KSP) az érintett webhelyet üzemeltető kiszolgálójáról. Ezt akkor is ellenőrizheti, ha a számítógépén van a titkos kulcsot tartalmazó tanúsítványfájl (pfx, p12).
A titkoskulcs-tároló meghatározása a CertUtil használatával
Ha a tanúsítvány már telepítve van a kiszolgálón, futtassa az alábbi parancsot:
certutil -store my <CertificateSerialNumber>Ha a tanúsítvány pfx/p12-fájlban van tárolva, futtassa a következő parancsot:
certutil <CertificateFileName>A tanúsítvány kimenete mindkét esetben a következőt jeleníti meg:
Szolgáltató = Microsoft Storage kulcsszolgáltatója
Megoldás
A probléma megoldásához telepítse át a tanúsítványt egy felhőszolgáltatóra, vagy kérjen CSP-tanúsítványt a tanúsítványszolgáltatótól.
Megjegyzés: Ha más szoftver- vagy hardverszállítótól származó felhőszolgáltatót vagy KSP-t használ, a megfelelő útmutatásért forduljon a megfelelő szállítóhoz. Ezt akkor kell elvégeznie, ha Microsoft RSA SChannel kriptográfiai szolgáltatót használ, és a tanúsítvány nincs KSP-hez zárva.
Készítsen biztonsági másolatot a meglévő tanúsítványról, a titkos kulccsal együtt. Ennek módjáról további információt az Export-ExchangeCertificate című témakörben talál.
A Get-ExchangeCertificate parancs futtatásával állapítsa meg, hogy mely szolgáltatások vannak jelenleg a tanúsítványhoz kötve.
A következő parancs futtatásával importálja az új tanúsítványt egy felhőszolgáltatóba:
certutil -csp "Microsoft RSA SChannel kriptográfiai szolgáltató" -importpfx <tanúsítványfájlnév>
A Get-ExchangeCertificate futtatásával győződjön meg arról, hogy a tanúsítvány továbbra is ugyanazokhoz a szolgáltatásokhoz van kötve.
Indítsa újra a kiszolgálót.
A következő paranccsal ellenőrizze, hogy a tanúsítvány titkos kulcsa most már egy felhőszolgáltatónál van-e tárolva:
certutil -store my <CertificateSerialNumber>
A kimenetben most a következőknek kell megjelennie:
Provider = Microsoft RSA SChannel Cryptographic Provider