SourceOne Email Management: Forespørgsler til Microsoft LDAP-servere mislykkes, når sikkerhedshærdning forhindrer klar tekst LDAP-bindinger

Forespørgsler til Microsoft LDAP-servere mislykkes muligvis, når sikkerhedshærdning forhindrer LDAP-bindinger i klar tekst. Dette kan påvirke definitionen af en ny aktivitet eller eksisterende aktiviteter, der bruger usikre LDAP-godkendelsesmetoder.  

Eksempel 1: Kan ikke definere en ny aktivitet ved hjælp af LDAP:
Under opsætningen af en aktivitet; Når du tester en LDAP-forespørgsel på konfigurationssiden Vælg datakilder, vises følgende, når du har trykket på knappen "Udfør":

Forbinder...
Sammenhængende.
Kørsel af LDAP-forespørgsel <her LDAP-forespørgsel mislykkedes>

Bemærk: Denne fejl er generisk og kan også indikere, at forespørgslen mislykkedes, fordi forespørgselssyntaksen er dårlig og ikke skyldes et godkendelsesproblem.

Hvis forespørgslen mislykkes, registrerer ExMMCAdmin.dll.log også følgende fejl, som angiver en godkendelsesfejl:
CoExLDAPClient::TestConnection|FEJL|Stærk godkendelse påkrævet Systemkald mislykkedes. (0x86040100)|CoExLDAPClient.cpp(256)


Eksempel 2: Eksisterende aktiviteter kan ikke køre
Aktiviteter kan generere tilbagevendende job, der defineres som kørsel på et valgt tidspunkt. Når det køres, mislykkes det tilknyttede JBS-job. Før sikkerhedshærdning lykkes både JBS- og JBC-job.  

Eksempel: Et "Arkiv historisk"-job kan ikke køre. Den tilknyttede ExArchiveJBS.exe.log logfører følgende fejl efter hver fejl:

CoExDirObjLookup::ExecuteLDAPSearch|FEJL|Følgende LDAP-forespørgsel mislykkedes: <LDAP-forespørgsel her>. (0x86041806)|CoExDirObjLookup_LDAP.cpp(1324)
CExJBSMailbox::Kør|FEJL-LOGD|Følgende LDAP-forespørgsel mislykkedes: <LDAP-forespørgsel her>. (0x86041806) [ExArchiveJBS.exe, CoExDirObjLookup_LDAP.cpp(1324). CoExDirObjLookup::ExecuteLDAPSearch] |CExJBSMailbox.cpp(370)

Da ExArchiveJBS.exe ikke blev fuldført, blev der ikke genereret job med en opgave af typen "Archive JBC". Som følge heraf behandles postkasser ikke. 

 

Dette problem kan opstå, hvis adgangen til Active Directory via LDAP er blevet deaktiveret og ikke længere understøtter en usikker forbindelse. Håndhævelse af LDAP-kanalbinding og LDAP-signering understøtter ikke længere usikker adgang til LDAP via port 389.  Se Microsoft Security Advisory ADV190023. 
Microsoft udtaler: "Den 10. marts 2020 og opdateringer inden for en overskuelig fremtid vil ikke foretage ændringer i LDAP-signerings- eller LDAP-kanalbindingspolitikker eller deres tilsvarende registreringsdatabase på nye eller eksisterende domænecontrollere."
Gennemtvingelsen af disse sikkerhedsindstillinger er valgfri, men nogle administratorer kan vælge at gennemtvinge sikre forbindelser som bedste praksis. Denne håndhævelse kan medføre, at usikre forbindelser mislykkes. 

Aktiviteter kan opdateres eller defineres til at bruge Active Directory Service Interfaces (ADSI) eller LDAP via SSL.

Sådan aktiveres Active Directory Service Interfaces (ADSI):

• Rediger eksisterende aktiviteter, eller når du opretter aktiviteter, skal du gå til konfigurationssiden Vælg datakilder.
• Markér afkrydsningsfeltet Brug Microsoft ADSI. Hvis afkrydsningsfeltet er deaktiveret, skal du klikke på knappen Rediger og vælge, at Server understøtter Microsoft ADSI-søgning. 
• Tryk på OK, hvorefter feltet Brug Microsoft ADSI nu kan vælges.
• Forespørgslen kan nu testes ved hjælp af forespørgselsdialogen og knappen Udfør.
• Godkend forespørgslerne, og returner de forventede resultater.
• Fortsæt gennem konfigurationsguiden for at fuldføre opdateringen af aktiviteten.

Du aktiverer LDAP via SSL på følgende måde:
Før du konfigurerer LDAP-serveren, skal du have et godkendt certifikat i Windows-certifikatlageret, som tillader LDAP over SSL-forbindelser til en eller flere Activity Directory-servere. 

• Rediger eksisterende aktiviteter, eller når du opretter nye aktiviteter, skal du gå til konfigurationssiden Vælg datakilder.
• Klik på knappen Rediger, og vælg Server kræver sikker forbindelse 
• Ved siden af Serverport skal du trykke på Brug standard, som opdaterer porten til 636.  
•   Bemærk: Hvis LDAP over SSL bruger en speciel port, skal du indtaste det specielle portnummer.
• Tryk på OK for at opdatere ændringerne af serverkonfigurationen.
• Forespørgslen kan nu testes ved hjælp af forespørgselsdialogen og knappen Udfør.
• Godkend forespørgslerne, og returner de forventede resultater.
• Fortsæt gennem konfigurationsguiden for at fuldføre opdateringen af aktiviteten.