Symptomer
Vurder følgende scenario:
-
I et Exchange Server-miljø er et Outlook Web App eller Exchange (ECP)-nettsted konfigurert til å bruke skjemabasert godkjenning (FBA).
-
En bruker angir et gyldig brukernavn og passord for postboksen.
Når brukeren logger på Outlook Web App eller ECP i dette scenarioet, omdirigeres han eller hun til FBA-siden. Det finnes ingen feilmelding.
I tillegg viser oppføringene for «/owa» i HttpProxy\Owa-loggen at «CorrelationID=<tom>; NoCookies=302" ble returnert for mislykkede forespørsler. Tidligere i loggen angir oppføringer for «/owa/auth.owa» at brukeren ble godkjent.
Årsak
Dette problemet kan oppstå hvis nettstedet er sikret av et sertifikat som bruker en Nøkkelleverandør Storage (KSP) for privat nøkkellagring gjennom neste generasjons kryptografi (CNG).
Exchange Server støtter ikke CNG/KSP-sertifikater for å sikre Outlook Web App eller ECP. En kryptografitjenesteleverandør (CSP) må brukes i stedet. Du kan finne ut om den private nøkkelen er lagret i KSP fra serveren som er vert for det berørte nettstedet. Du kan også kontrollere dette hvis du har sertifikatfilen som inneholder den private nøkkelen (pfx, p12).
Slik bruker du CertUtil til å bestemme lagringsplass for privat nøkkel
Hvis sertifikatet allerede er installert på serveren, kjører du følgende kommando:
certutil -store my <CertificateSerialNumber>Hvis sertifikatet er lagret i en pfx/p12-fil, kjører du følgende kommando:
certutil <CertificateFileName>I begge tilfeller viser utdataene for det aktuelle sertifikatet følgende:
Leverandør = Microsoft Storage nøkkelleverandør
Løsning
Du kan løse dette problemet ved å overføre sertifikatet til en CSP eller be om et CSP-sertifikat fra sertifikatleverandøren.
Obs! Hvis du bruker en CSP eller KSP fra en annen programvare- eller maskinvareleverandør, kontakter du den relevante leverandøren for å få de aktuelle instruksjonene. Du bør for eksempel gjøre dette hvis du bruker en Microsoft RSA SChannel Cryptographic Provider og hvis sertifikatet ikke er låst til en KSP.
-
Sikkerhetskopier det eksisterende sertifikatet, inkludert den private nøkkelen. Hvis du vil ha mer informasjon om hvordan du gjør dette, kan du se Export-ExchangeCertificate.
-
Kjør kommandoen Get-ExchangeCertificate for å finne ut hvilke tjenester som er bundet til sertifikatet.
-
Importer det nye sertifikatet til en CSP ved å kjøre følgende kommando:
certutil -csp "Microsoft RSA SChannel Cryptographic Provider" -importpfx <CertificateFilename> -
Kjør Get-ExchangeCertificate for å sikre at sertifikatet fremdeles er bundet til de samme tjenestene.
-
Start serveren på nytt.
-
Kjør følgende kommando for å bekrefte at sertifikatet nå har sin private nøkkel lagret med en CSP:
certutil -store my <CertificateSerialNumber>
Utdataene skal nå vise følgende:
Provider = Microsoft RSA SChannel Cryptographic Provider
