SourceOne Email Management: Spørringer til Microsoft LDAP-servere mislykkes etter at sikkerhetsforsterkning hindrer klartekst LDAP-bindinger

Spørringer til Microsoft LDAP-servere kan mislykkes etter at sikkerhetsforsterkning hindrer LDAP-bindinger i klartekst. Dette kan påvirke definisjonen av en ny aktivitet, eller eksisterende aktiviteter som bruker usikre LDAP-godkjenningsmetoder.  

Eksempel 1: Kan ikke definere en ny aktivitet ved hjelp av LDAP:
Under oppsett av en aktivitet; Når du tester en LDAP-spørring på konfigurasjonssiden Velg datakilder, vises følgende etter at du har trykket på Utfør-knappen:

Koble...
Tilkoblet.
Kjøring av LDAP-spørring <her>
LDAP-spørring mislyktes

Merk: Denne feilen er generisk og kan også indikere at spørringen mislyktes fordi spørringssyntaksen er dårlig og ikke på grunn av et godkjenningsproblem.

Hvis spørringen mislykkes, registrerer ExMMCAdmin.dll.log også følgende feil som angir en godkjenningsfeil:
CoExLDAPClient::TestConnection|FEIL|Krever sterk autentisering Systemkallet mislyktes. (0x86040100)|CoExLDAPClient.cpp(256)


Eksempel 2: Eksisterende aktiviteter kan ikke kjøres
Aktiviteter kan generere regelmessige jobber som defineres kjørt på et valgt tidspunkt. Når den kjøres, mislykkes den tilknyttede JBS-jobben. Før sikkerhetsherding lykkes både JBS- og JBC-jobbene.  

Eksempel: En "Arkiv historisk" jobb mislykkes i å kjøre. Den tilknyttede ExArchiveJBS.exe.log logger følgende feil etter hver feil:

CoExDirObjLookup::ExecuteLDAPSearch|FEIL|Følgende LDAP-spørring mislyktes: <LDAP-spørring her>. (0x86041806)|CoExDirObjLookup_LDAP.cpp(1324)
CExJBSMailbox::Kjør|FEIL-LOGD|Følgende LDAP-spørring mislyktes: <LDAP-spørring her>. (0x86041806) [ExArchiveJBS.exe, CoExDirObjLookup_LDAP.cpp(1324). CoExDirObjLookup::ExecuteLDAPSearch] |CExJBSMailbox.cpp(370)

Siden ExArchiveJBS.exe ikke ble fullført, ble det ikke generert noen jobber med en oppgave av typen "Archive JBC". Postbokser behandles derfor ikke. 

 

Dette problemet kan oppstå hvis tilgangen til Active Directory via LDAP er forsterket og ikke lenger støtter en usikret tilkobling. Håndhevelse av LDAP-kanalbinding og LDAP-signering vil ikke lenger støtte usikret tilgang til LDAP over port 389.  Se Microsofts sikkerhetsveiledning ADV190023. 
Microsoft uttaler "10. mars 2020 og oppdateringer i overskuelig fremtid vil ikke gjøre endringer i LDAP-signering eller LDAP-kanalbindingspolicyer eller tilsvarende register på nye eller eksisterende domenekontrollere."
Håndhevelse av disse sikkerhetsinnstillingene er valgfritt, men noen administratorer kan velge å fremtvinge sikre tilkoblinger som anbefalt fremgangsmåte. Denne håndhevelsen kan føre til at usikre tilkoblinger mislykkes. 

Aktiviteter kan oppdateres eller defineres til å bruke Active Directory Service Interfaces (ADSI) eller LDAP over SSL.

Slik aktiverer du Active Directory Service Interfaces (ADSI):

• Rediger eksisterende aktiviteter, eller når du oppretter aktiviteter, går du til konfigurasjonssiden Velg datakilder.
• Merk av for Bruk Microsoft ADSI. Hvis avmerkingsboksen er deaktivert, klikker du Rediger-knappen og velger Server støtter Microsoft ADSI-søk. 
• Trykk OK og Bruk Microsoft ADSI-boksen kan nå velges.
• Spørringen kan nå testes ved hjelp av spørringsdialogboksen og Utfør-knappen.
• Valider spørringskjøringene og returnerer de forventede resultatene.
• Fortsett gjennom konfigurasjonsveiviseren for å fullføre oppdateringen av aktiviteten.

Slik aktiverer du LDAP over SSL:
Før konfigurering må LDAP-tjeneren ha et klarert sertifikat i Windows-sertifikatlageret som tillater LDAP over SSL-tilkoblinger til én eller flere Activity Directory-tjenere. 

• Rediger eksisterende aktiviteter, eller når du oppretter nye aktiviteter, gå til konfigurasjonssiden Velg datakilder.
• Klikk på Rediger-knappen, og velg Server krever sikker tilkobling 
• Ved siden av Server Port trykker du på Use Default, som oppdaterer porten til 636.  
•   Merk: Hvis LDAP over SSL bruker en egendefinert port, angir du det egendefinerte portnummeret.
• Trykk på OK for å oppdatere endringene i serverkonfigurasjonen.
• Spørringen kan nå testes ved hjelp av spørringsdialogboksen og Utfør-knappen.
• Valider spørringskjøringene og returnerer de forventede resultatene.
• Fortsett gjennom konfigurasjonsveiviseren for å fullføre oppdateringen av aktiviteten.