Pazīmes
Apsveriet šādu scenāriju:
- Exchange Server vidē Outlook Web App vai Exchange vadības paneļa (ECP) tīmekļa vietne ir konfigurēta autentifikācijai, kuras pamatā ir veidlapas (FBA).
- Lietotājs ievada derīgu pastkastes lietotājvārdu un paroli.
Kad lietotājs piesakās programmā Outlook Web App vai ECP šajā scenārijā, viņš tiek novirzīts uz FBA lapu. Nav kļūdas ziņojuma.
Turklāt žurnālā HttpProxy\Owa ieraksti "/owa" rāda, ka "CorrelationID=<empty>; NoCookies=302" tika atgriezts par neizdevušos pieprasījumu. Iepriekš žurnālā ieraksti "/owa/auth.owa" norāda, ka lietotājs tika autentificēts sekmīgi.
Iemesls
Šī problēma var rasties, ja tīmekļa vietne ir aizsargāta ar sertifikātu, kas izmanto atslēgu krātuves nodrošinātāju (KSP) privātai atslēgu glabāšanai, izmantojot nākamās paaudzes kriptogrāfijas (Cryptography Next Generation — CNG) tehnoloģiju.
Exchange Server neatbalsta CNG/KSP sertifikātus Outlook Web App vai ECP aizsardzībai. Tā vietā jāizmanto šifrēšanas pakalpojumu sniedzējs (CSP). Varat noteikt, vai privātā atslēga tiek glabāta KSP no servera, kurā tiek viesota ietekmētā tīmekļa vietne. Varat arī pārbaudīt, vai jums ir sertifikāta fails, kas satur privāto atslēgu (pfx, p12).
Kā izmantot CertUtil, lai noteiktu privāto atslēgu krātuvi
Ja sertifikāts jau ir instalēts serverī, izpildiet šādu komandu:
certutil -store my <CertificateSerialNumber>Ja sertifikāts tiek glabāts PFX/P12 failā, izpildiet šādu komandu:
certutil <CertificateFileName>Abos gadījumos attiecīgā sertifikāta izvade parāda šādu informāciju:
Provider = Microsoft Storage Key Provider
Risinājums
Lai novērstu šo problēmu, migrējiet sertifikātu uz CSP vai pieprasiet CSP sertifikātu savam sertifikātu nodrošinātājam.
Piezīme. Ja izmantojat cita programmatūras vai aparatūras piegādātāja nodrošināto CSP vai KSP, sazinieties ar attiecīgo piegādātāju, lai saņemtu atbilstošus norādījumus. Piemēram, tas ir jādara, ja izmantojat Microsoft RSA drošības šifrēšanas nodrošinātāju un ja sertifikāts nav bloķēts KSP.
Dublējiet esošo sertifikātu, ieskaitot privāto atslēgu. Papildinformāciju par to, kā to izdarīt, skatiet sadaļā Export-ExchangeCertificate.
Izpildiet Get-ExchangeCertificate komandu, lai noteiktu, kuri pakalpojumi pašlaik ir saistīti ar sertifikātu.
Importējiet jauno sertifikātu CSP, izpildot šādu komandu:
certutil -csp "Microsoft RSA SChannel Cryptographic Provider" -importpfx <CertificateFilename>
Palaidiet Get-ExchangeCertificate, lai pārliecinātos, vai sertifikāts joprojām ir saistīts ar tiem pašiem pakalpojumiem.
Restartējiet serveri.
Izpildiet tālāk norādīto komandu, lai pārbaudītu, vai sertifikāta privātā atslēga tagad ir saglabāta pie CSP:
certutil -store my <CertificateSerialNumber>
Tagad izvadei vajadzētu rādīt sekojošo:
Provider = Microsoft RSA SChannel Cryptographic Provider