SourceOne Eメール管理：セキュリティ強化によりクリア テキストのLDAPバインドが防止された後、Microsoft LDAPサーバーへのクエリーが失敗する

セキュリティ強化によってクリア テキストのLDAPバインドが防止された後、Microsoft LDAPサーバーへのクエリーが失敗することがあります。これは、新しいアクティビティの定義、またはセキュリティで保護されていないLDAP認証方法を使用する既存のアクティビティに影響する可能性があります。

例 1：LDAPを使用して新しいアクティビティーを定義できません:
アクティビティのセットアップ中。[データソースの選択]設定ページでLDAPクエリをテストすると、[実行]ボタンを押すと次のように表示されます。

接続中...
Connected.
クエリーの実行 <LDAP Query Here>
LDAP Query failed」

注：このエラーは一般的なものであり、認証の問題が原因ではなく、クエリ構文が正しくないためにクエリーが失敗したことを示している場合もあります。

クエリが失敗した場合、ExMMCAdmin.dll.logは認証エラーを示す次のエラーも記録します:
CoExLDAPClient::TestConnection|エラー |強力な認証が必要です システム コールに失敗しました。(0x86040100)|CoExLDAPClient.cpp(256)


例2: 既存のアクティビティーの実行に失敗します
アクティビティは、選択した時間に実行するように定義された定期的なジョブを生成する場合があります。実行すると、関連するJBSジョブは失敗します。セキュリティーが強化される前は、JBS ジョブと JBC ジョブの両方が成功します。  

例:「履歴のアーカイブ」ジョブの実行に失敗します。関連づけられているExArchiveJBS.exe.logは、各障害の後に次のエラーをログに記録します。

CoExDirObjLookup::ExecuteLDAPSearch|エラー |次のLDAPクエリーが失敗しました。<LDAPクエリー>。(0x86041806)|CoExDirObjLookup_LDAP.cpp(1324)
CExJBSMailbox::Run|エラーログ |次のLDAPクエリーが失敗しました。<LDAPクエリー>。(0x86041806) [ExArchiveJBS.exe, CoExDirObjLookup_LDAP.cpp(1324).CoExDirObjLookup::ExecuteLDAPSearch] |CExJBSMailbox.cpp(370)

ExArchiveJBS.exeが完了しなかったため、「アーカイブ JBC」タイプのタスクを持つジョブは生成されませんでした。その結果、メールボックスは処理されません。 

 

この問題は、LDAPを介したActive Directoryへのアクセスが強化され、セキュリティで保護されていない接続がサポートされなくなった場合に発生する可能性があります。LDAPチャネル バインディングとLDAP署名の適用により、ポート389経由のLDAPへのセキュリティで保護されていないアクセスはサポートされなくなります。  「Microsoftセキュリティ アドバイザリ ADV190023」を参照してください。
Microsoftは、「2020年3月10日および予見可能な将来のアップデートでは、新規または既存のドメインコントローラー上のLDAP署名またはLDAPチャネルバインディングポリシー、またはそれらに相当するレジストリーに変更は行われません」と述べています
これらのセキュリティ設定の適用はオプションですが、一部の管理者は、ベスト プラクティスとして安全な接続の強制を選択する場合があります。この強制により、セキュリティで保護されていない接続が失敗する可能性があります。 

アクティビティーは、Active Directoryサービス インターフェイス(ADSI)またはSSL経由のLDAPを使用するように更新または定義できます

ADSI(Active Directoryサービス インターフェイス)を有効にするには、次の手順を実行します。

• 既存のアクティビティを編集するか、アクティビティを作成するときに [データソースの選択] 構成ページに移動します。
• Use Microsoft ADSI チェックボックスを選択します。チェック ボックスが無効になっている場合は、[編集]ボタンをクリックして、[サーバーはMicrosoft ADSI検索をサポート]を選択します。 
• [OK]を押すと、[Microsoft ADSIを使用する]ボックスを選択できます。
• これで、クエリ ダイアログと [実行] ボタンを使用してクエリをテストできます。
• クエリの実行を検証し、期待される結果を返します。
• 構成ウィザードを続行して、アクティビティの更新を完了します。

LDAP over SSLを有効にするには、次の手順を実行します
LDAPサーバーを構成する前に、1つ以上のアクティビティ ディレクトリー サーバーへのLDAP over SSL接続を許可する信頼できる証明書がWindows証明書ストアにある必要があります。 

• 既存のアクティビティを編集するか、新しいアクティビティを作成する場合は、[データソースの選択] 構成ページに移動します。
• [Edit]ボタンをクリックし、[Server requires secure connection]を選択します 
• [Server Port]の横にある[Use Default]を押すと、ポートが636に更新されます。  
•   注：LDAP over SSLでカスタム ポートを使用する場合は、カスタム ポート番号を入力します。
• [OK]を押して、サーバー構成の変更を更新します。
• これで、クエリ ダイアログと [実行] ボタンを使用してクエリをテストできます。
• クエリの実行を検証し、期待される結果を返します。
• 構成ウィザードを続行して、アクティビティの更新を完了します。