SourceOne Email Management: Kyselyt Microsoft LDAP -palvelimiin epäonnistuvat, kun tietoturvan parantaminen estää selväkielisen LDAP-sidokset

Kyselyt Microsoft LDAP -palvelimiin saattavat epäonnistua, kun tietoturvan parantaminen estää selväkielisen LDAP-sidonnan. Tämä voi vaikuttaa uuden aktiviteetin määrittelyyn tai olemassa oleviin toimintoihin, joissa käytetään suojaamattomia LDAP-todennusmenetelmiä.  

Esimerkki 1: Uutta aktiviteettia ei voi määrittää LDAP:n avulla:
Aktiviteetin määrittämisen aikana; Kun LDAP-kyselyä testataan Valitse tietolähteet -määrityssivulla, Execute-painikkeen painamisen jälkeen näyttöön tulee seuraava:

Kytkeminen...
Yhdistetty.
Kyselyn <suorittaminen LDAP-kyselyssä tässä>
LDAP-kysely epäonnistui

Huomautus: Tämä virhe on yleinen ja voi myös osoittaa, että kysely epäonnistui, koska kyselyn syntaksi on virheellinen eikä johdu todennusongelmasta.

Jos kysely epäonnistuu, ExMMCAdmin.dll.log tallentaa myös seuraavan virheen, joka ilmaisee todennusvirheen:
CoExLDAPClient::TestConnection|VIRHE|Vahva todennus vaaditaan Järjestelmäkutsu epäonnistui. (0x86040100)|CoExLDAPClient.cpp(256)


Esimerkki 2: Aiemmin luotujen toimintojen suorittaminen
epäonnistuiAktiviteetit voivat luoda toistuvia töitä, jotka suoritetaan valittuna ajankohtana. Kun se suoritetaan, siihen liittyvä JBS-työ epäonnistuu. Ennen tietoturvan koventamista sekä JBS- että JBC-työt onnistuvat.  

Esimerkki: Archive Historical -työn suorittaminen epäonnistuu. Liittyvä ExArchiveJBS.exe.log kirjaa seuraavat virheet jokaisen vian jälkeen:

CoExDirObjLookup::ExecuteLDAPSearch|VIRHE|Seuraava LDAP-kysely epäonnistui: <LDAP-kysely täällä>. (0x86041806)|CoExDirObjLookup_LDAP.cpp(1324)
CExJBSMailbox::Suorita|VIRHELOKIIN|Seuraava LDAP-kysely epäonnistui: <LDAP-kysely täällä>. (0x86041806) [ExArchiveJBS.exe, CoExDirObjLookup_LDAP.cpp(1324). CoExDirObjLookup::ExecuteLDAPSearch] |CExJBSMailbox.cpp(370)

Koska ExArchiveJBS.exe ei valmistunut, ei luotu töitä, joiden tehtävä olisi tyyppiä "Archive JBC". Tämän seurauksena postilaatikoita ei käsitellä. 

 

Tämä ongelma voi ilmetä, jos Active Directoryn käyttöä LDAP:n kautta on kovennettu eikä se enää tue suojaamatonta yhteyttä. LDAP-kanavasidonnan ja LDAP-allekirjoituksen pakotus ei enää tue suojaamatonta pääsyä LDAP:iin portin 389 kautta.  Viite: Microsoftin tietoturvatiedote ADV190023. 
Microsoft toteaa: "10. maaliskuuta 2020 ja lähitulevaisuuden päivitykset eivät tee muutoksia LDAP-allekirjoitus- tai LDAP-kanavan sidontakäytäntöihin tai niiden rekisterivastineisiin uusissa tai olemassa olevissa toimialueen ohjauskoneissa."
Näiden suojausasetusten käyttöönotto on valinnaista, mutta jotkut järjestelmänvalvojat voivat halutessaan pakottaa suojatut yhteydet parhaaksi käytännöksi. Tämä pakotus voi aiheuttaa suojaamattomien yhteyksien epäonnistumisen. 

Toiminnot voidaan päivittää tai määrittää käyttämään Active Directory -palvelurajapintoja (ADSI) tai LDAP:tä SSL:n kautta.

Active Directory -palveluliittymien (ADSI) ottaminen käyttöön:

• Muokkaa aiemmin luotuja aktiviteetteja tai siirry Valitse tietolähteet -määrityssivulle luodessasi aktiviteetteja.
• Valitse Käytä Microsoft ADSI -valintaruutua. Jos valintaruutu on poistettu käytöstä, napsauta Muokkaa-painiketta ja valitse Palvelin tukee Microsoft ADSI -hakua. 
• Paina OK ja Käytä Microsoft ADSI -ruutua voidaan nyt valita.
• Kyselyä voi nyt testata käyttämällä kyselyikkunaa ja Suorita-painiketta.
• Vahvista, että kysely suoritetaan ja palauttaa odotetut tulokset.
• Viimeistele aktiviteetin päivitys jatkamalla ohjatun määritystoiminnon kautta.

LDAP over SSL:n ottaminen käyttöön:
Ennen LDAP-palvelimen määrittämistä Windowsin varmennesäilössä on oltava luotettu varmenne, joka sallii LDAP:n SSL-yhteyksien kautta yhteen tai useampaan aktiviteettihakemistopalvelimeen. 

• Muokkaa aiemmin luotuja aktiviteetteja tai luo uusia aktiviteetteja Siirry Valitse tietolähteet -määrityssivulle.
• Napsauta Muokkaa-painiketta ja valitse Palvelin vaatii suojatun yhteyden 
• Paina Server Port -kohdan vieressä Use Default, joka päivittää portin versioon 636.  
•   Huomautus: Jos LDAP over SSL käyttää muokattua porttia, syötä muokatun portin numero.
• Päivitä palvelinkokoonpanoon tehdyt muutokset painamalla OK.
• Kyselyä voi nyt testata käyttämällä kyselyikkunaa ja Suorita-painiketta.
• Vahvista, että kysely suoritetaan ja palauttaa odotetut tulokset.
• Viimeistele aktiviteetin päivitys jatkamalla ohjatun määritystoiminnon kautta.