ค้นหาเว็บไซต์

กำหนดค่าการรับรองความถูกต้องแบบไฮบริดสมัยใหม่ใน Exchange ภายในองค์กร

วิธีเปิดใช้งาน Hybrid Modern Authentication (HMA) ใน Exchange Server ภายในองค์กร เราต้องการรักษาความปลอดภัยให้กับองค์กร Exchange ภายในองค์กรด้วยการรับรองความถูกต้องที่ทันสมัย แทนการรับรองความถูกต้องขั้นพื้นฐาน ด้วยวิธีนี้ เราสามารถใช้ MFA สำหรับกล่องจดหมายของผู้ใช้ภายในองค์กร และไม่เพียงแต่สำหรับกล่องจดหมายของผู้ใช้ในระบบคลาวด์เท่านั้น ในบทความนี้ คุณจะได้เรียนรู้วิธีกำหนดค่า Hybrid Modern Authentication ทีละขั้นตอนใน Exchange ภายในองค์กร

การแนะนำ

เรามีการปรับใช้ Exchange Hybrid กล่องจดหมายส่วนใหญ่อยู่ใน Exchange Online แต่เรามีกล่องจดหมายภายในองค์กร เป็นเพราะนโยบายของบริษัท ขณะนี้เรามีกล่องจดหมายภายในองค์กรแล้ว เราต้องการให้ผู้ใช้รับรองความถูกต้องด้วยการรับรองความถูกต้องสมัยใหม่ แทนที่จะเป็นการรับรองความถูกต้องพื้นฐานเริ่มต้น

หมายเหตุ: Hybrid Modern Authentication ใช้งานได้ดีกับ Exchange Server หรือ Exchange Server เดียวที่มีความพร้อมใช้งานสูง (โหลดบาลานซ์)

ข้อกำหนดเบื้องต้นของการรับรองความถูกต้องแบบสมัยใหม่แบบไฮบริด

ก่อนที่คุณจะเริ่มกำหนดค่า Hybrid Modern Authentication ตรวจสอบให้แน่ใจว่าคุณได้ทำตามขั้นตอนเหล่านี้แล้ว:

  1. ตัวช่วยสร้างการกำหนดค่า Exchange Hybrid*
  2. ติดตั้งและกำหนดค่า Microsoft Entra Connect
  3. Exchange Server 2010 ไม่ได้ทำงานในองค์กร
  4. Exchange Server 2013/2016/2019 พร้อมการติดตั้งการอัปเดตสะสมล่าสุด

*Hybrid Modern Authentication ไม่รองรับ Hybrid Agent คุณจะต้องใช้ประโยชน์จาก Classic Exchange Hybrid Topology และเผยแพร่ตำแหน่งข้อมูล AutoDiscover, EWS, ActiveSync, MAPI และ OAB สำหรับ Hybrid Modern Authentication เพื่อทำงานกับไคลเอนต์ Outlook ต่างๆ

หมายเหตุ: Exchange OWA (Outlook Web Access) และ ECP (แผงควบคุม Exchange) ทำงานร่วมกับการรับรองความถูกต้องสมัยใหม่ อย่างไรก็ตาม คุณต้องมี Exchange Server 2019 CU14 ที่มีการอัปเดตโปรแกรมแก้ไขด่วน Exchange Server เดือนเมษายน 2024 หรือติดตั้งใหม่กว่า

เราขอแนะนำให้คุณเปิดใช้งานการรับรองความถูกต้องสมัยใหม่ในองค์กร Exchange Server ภายในองค์กรของคุณเพื่อปกป้องไคลเอ็นต์ Outlook, Exchange OWA และ Exchange ECP ซึ่งหมายความว่าคุณต้องติดตั้ง Exchange Server 2019 และเป็นเวอร์ชันล่าสุด

แผนภาพการรับรองความถูกต้องแบบไฮบริดสมัยใหม่

ในแผนภาพด้านล่าง คุณจะเห็นว่าขั้นตอนการตรวจสอบสิทธิ์แบบไฮบริดสมัยใหม่มีลักษณะอย่างไรหลังการใช้งาน

  1. ผู้ใช้ที่มีกล่องจดหมายภายในองค์กรจะเริ่มต้น Outlook และเชื่อมต่อกับการค้นหาอัตโนมัติไปยัง Exchange Server การเชื่อมต่อจะเปลี่ยนเส้นทางไปยัง evoSTS URL ที่คุณตั้งไว้
  2. ไคลเอนต์ Outlook ติดต่อ Microsoft Entra ID และพร้อมท์การลงชื่อเข้าใช้การรับรองความถูกต้องสมัยใหม่จะปรากฏขึ้น ผู้ใช้จะตรวจสอบสิทธิ์ด้วยนโยบายการเข้าถึงแบบมีเงื่อนไขเดียวกันกับที่กำหนดไว้สำหรับแอปพลิเคชัน Exchange Online (แอประบบคลาวด์)
  3. หลังจากการตรวจสอบสิทธิ์สำเร็จ ผู้ใช้จะได้รับโทเค็นการเข้าถึงและโทเค็นการรีเฟรช
  4. ผู้ใช้มอบโทเค็นการเข้าถึงให้กับ Exchange Server ภายในองค์กรและรับสิทธิ์เข้าถึงกล่องจดหมาย

ข้อดีของการรับรองความถูกต้องสมัยใหม่

ข้อดีของการกำหนดค่าการรับรองความถูกต้องสมัยใหม่ใน Exchange Server ภายในองค์กรคือ:

  • ปลอดภัยกว่าการรับรองความถูกต้องขั้นพื้นฐาน (ชื่อผู้ใช้และรหัสผ่านแบบคลาสสิก)
  • กำหนดค่านโยบายจาก Microsoft Entra ID (ตำแหน่งศูนย์กลาง)
  • รูปลักษณ์ที่ทันสมัยสำหรับประสบการณ์ผู้ใช้ปลายทาง

วิธีกำหนดค่าการรับรองความถูกต้องแบบไฮบริดสมัยใหม่

Amanda มีกล่องจดหมายในองค์กร และเราสามารถตรวจสอบได้ว่าเธอกำลังเชื่อมต่อกับการรับรองความถูกต้องขั้นพื้นฐานในแอปพลิเคชัน Outlook บนเดสก์ท็อปด้วยขั้นตอนด้านล่าง:

  1. เริ่ม Outlook
  2. กด ปุ่ม CTRL ค้างไว้ และ คลิกขวา บนไคลเอ็นต์ Outlook ในถาดระบบ Windows
  3. คลิกสถานะการเชื่อมต่อ

ในคอลัมน์ Authn (การรับรองความถูกต้อง) คุณจะเห็น Nego* เป็นรูปแบบการตรวจสอบสิทธิ์ หมายความว่าคุณใช้การรับรองความถูกต้องขั้นพื้นฐาน

คอลัมน์ Authn จะต้องแสดงเป็น ผู้ถือ* เมื่อคุณทราบว่ามีการใช้ การรับรองความถูกต้องสมัยใหม่

เราจะทำตามขั้นตอนด้านล่างและตรวจสอบให้แน่ใจว่าทุกอย่างเข้าที่ก่อนที่เราจะเปิดใช้งานการรับรองความถูกต้องแบบไฮบริดสมัยใหม่สำหรับองค์กร Exchange ภายในองค์กร

โปรดดูให้ดีทุกครั้งที่คุณจะเรียกใช้ cmdlets นั่นเป็นเพราะคุณต้องดำเนินงานด้านการดูแลระบบใน:

  • Exchange Management Shell (เซิร์ฟเวอร์ Exchange ภายในองค์กร)
  • PowerShell (ไมโครซอฟต์กราฟ PowerShell)

ขั้นตอนที่ 1 เปิดใช้งานการรับรองความถูกต้องสมัยใหม่ใน Exchange Online

อ่านเพิ่มเติมในบทความเปิดใช้งานการรับรองความถูกต้องสมัยใหม่ใน Microsoft 365

เมื่อต้องการเปิดใช้งานการรับรองความถูกต้องสมัยใหม่ใน Exchange Online ให้ทำตามขั้นตอนเหล่านี้:

  1. ลงชื่อเข้าใช้ศูนย์การจัดการ Microsoft 365
  2. ขยาย การตั้งค่า และคลิกที่ การตั้งค่าองค์กร
  3. คลิก บริการ ในแถบด้านบน
  4. เลือกการรับรองความถูกต้องสมัยใหม่จากรายการ
  5. ทำเครื่องหมายที่ช่อง เปิดการตรวจสอบสิทธิ์สมัยใหม่สำหรับ Outlook 2013 สำหรับ Windows และใหม่กว่า (แนะนำ)
  6. คลิกที่ บันทึก

หมายเหตุ: สำหรับผู้เช่าที่สร้างขึ้นก่อนวันที่ 1 สิงหาคม 2017 การรับรองความถูกต้องสมัยใหม่จะถูกปิดตามค่าเริ่มต้นสำหรับ Exchange Online และ Skype for Business Online

ขั้นตอนที่ 2 รับ URL ไดเรกทอรีเสมือน

เริ่ม Exchange Management Shell ในฐานะผู้ดูแลระบบบน Exchange Server ภายในองค์กร เรียกใช้ สี่ cmdlets เพื่อดึงข้อมูล URL ของไดเรกทอรีเสมือน

Get-MapiVirtualDirectory | fl server,*url*
Get-WebServicesVirtualDirectory | fl server,*url*
Get-ClientAccessServer | fl Name, AutodiscoverServiceInternalUri
Get-OABVirtualDirectory | fl server,*url*

ผลลัพธ์จะปรากฏในเอาต์พุตด้านล่างหลังจากรันทุกคำสั่ง จดบันทึก URL ภายในและภายนอกทั้งหมด เนื่องจากคุณจะต้องเพิ่ม URL เหล่านี้ในขั้นตอนใดขั้นตอนหนึ่งถัดไป

ในตัวอย่างของเรา เรามีชื่อเดียวกันสำหรับ URL ภายในและภายนอก เราขอแนะนำให้กำหนดค่าเช่นนี้เนื่องจากจะทำให้ง่ายขึ้นมาก หากคุณไม่ทำ คุณจะเห็นที่อยู่ภายในที่ลงท้ายด้วย .local หรือ .lan ในเอาต์พุต

# Get-MapiVirtualDirectory | fl server,*url*

Server      : EX01-2019
InternalUrl : https://mail.exoip.com/mapi
ExternalUrl : https://mail.exoip.com/mapi

Server      : EX02-2019
InternalUrl : https://mail.exoip.com/mapi
ExternalUrl : https://mail.exoip.com/mapi

# Get-WebServicesVirtualDirectory | fl server,*url*

Server               : EX01-2019
InternalNLBBypassUrl :
InternalUrl          : https://mail.exoip.com/EWS/Exchange.asmx
ExternalUrl          : https://mail.exoip.com/EWS/Exchange.asmx

Server               : EX02-2019
InternalNLBBypassUrl :
InternalUrl          : https://mail.exoip.com/EWS/Exchange.asmx
ExternalUrl          : https://mail.exoip.com/EWS/Exchange.asmx

# Get-ClientAccessServer | fl Name, AutodiscoverServiceInternalUri

WARNING:  The Get-ClientAccessServer cmdlet will be removed in a future version of Exchange. Use the
Get-ClientAccessService cmdlet instead. If you have any scripts that use the Get-ClientAccessServer cmdlet, update them
to use the Get-ClientAccessService cmdlet.  For more information, see http://go.microsoft.com/fwlink/p/?LinkId=254711.

Name                           : EX01-2019
AutoDiscoverServiceInternalUri : https://autodiscover.exoip.com/Autodiscover/Autodiscover.xml

Name                           : EX02-2019
AutoDiscoverServiceInternalUri : https://autodiscover.exoip.com/Autodiscover/Autodiscover.xml

# Get-OABVirtualDirectory | fl server,*url*

Server      : EX01-2019
InternalUrl : https://mail.exoip.com/OAB
ExternalUrl : https://mail.exoip.com/OAB

Server      : EX02-2019
InternalUrl : https://mail.exoip.com/OAB
ExternalUrl : https://mail.exoip.com/OAB

ขั้นตอนที่ 3 รับ SPN ที่เกี่ยวข้องกับ Exchange

เรียกใช้ PowerShell ในฐานะผู้ดูแลระบบและเชื่อมต่อกับ Microsoft Graph PowerShell ลงชื่อเข้าใช้ด้วยข้อมูลประจำตัวผู้ดูแลระบบส่วนกลางของ Microsoft 365 ของคุณ

Connect-MgGraph -Scopes "Application.Read.All", "Application.ReadWrite.All"

เรียกใช้ Get-MgServicePrincipal cmdlet เพื่อรับ URL ที่เกี่ยวข้องกับ Exchange ในระบบคลาวด์สำหรับ แอปพลิเคชัน 00000002-0000-0ff1-ce00-000000000000

Get-MgServicePrincipal -Filter "AppId eq '00000002-0000-0ff1-ce00-000000000000'" | select -ExpandProperty ServicePrincipalNames

จดบันทึก (และจับภาพหน้าจอเพื่อการเปรียบเทียบในภายหลัง) ผลลัพธ์ของคำสั่งนี้ ซึ่งควรมี URL https://autodiscover.yourdomain.com และ https://mail.yourdomain.com แต่ส่วนใหญ่ประกอบด้วย SPN ที่ขึ้นต้นด้วย 00000002 -0000-0ff1-ce00-000000000000/.

00000002-0000-0ff1-ce00-000000000000/mail.exoip.com
00000002-0000-0ff1-ce00-000000000000/autodiscover.exoip365.mail.onmicrosoft.com
00000002-0000-0ff1-ce00-000000000000/exoip365.mail.onmicrosoft.com
00000002-0000-0ff1-ce00-000000000000/autodiscover.exoip.com
00000002-0000-0ff1-ce00-000000000000/exoip.com
00000002-0000-0ff1-ce00-000000000000/autodiscover.exoip.local
00000002-0000-0ff1-ce00-000000000000/exoip.local
00000002-0000-0ff1-ce00-000000000000/outlook.office365.com
00000002-0000-0ff1-ce00-000000000000/mail.office365.com
00000002-0000-0ff1-ce00-000000000000/outlook.com
00000002-0000-0ff1-ce00-000000000000/*.outlook.com
00000002-0000-0ff1-ce00-000000000000
https://ps.compliance.protection.outlook.com
https://outlook-sdf.office.com/
https://outlook-sdf.office365.com/
https://outlook.office365.com:443/
https://outlook.office.com/
https://outlook.office365.com/
https://outlook.com/
https://ps.protection.outlook.com/
https://outlook-tdf.office.com/
https://outlook-tdf-2.office.com/
https://ps.outlook.com

เป็นไปได้มากว่า https:// URL จากภายในองค์กรของคุณ (ขั้นตอนที่ 2) หายไป ดังนั้นเราจะต้องเพิ่มบันทึกเฉพาะเหล่านั้นลงในรายการนี้ในขั้นตอนถัดไป

ขั้นตอนที่ 4 เพิ่ม URL บริการเว็บภายในองค์กรเป็น SPN

หากคุณไม่เห็นระเบียน MAPI/HTTP, EWS, ActiveSync, OAB และการค้นหาอัตโนมัติภายในและภายนอกในรายการนี้ คุณต้องเพิ่มโดยใช้คำสั่งด้านล่างใน Microsoft Graph PowerShell

ในตัวอย่างนี้ URL คือ https://mail.exoip.com/ และ https://autodiscover.exoip.com/ แทนที่ URL ด้วย URL ของคุณเอง

$x = Get-MgServicePrincipal -Filter "AppId eq '00000002-0000-0ff1-ce00-000000000000'"
$x.ServicePrincipalNames += "https://mail.exoip.com/"
$x.ServicePrincipalNames += "https://autodiscover.exoip.com/"
Update-MgServicePrincipal -ServicePrincipalId $x.Id -ServicePrincipalNames $x.ServicePrincipalNames

ขั้นตอนที่ 5 ตรวจสอบ SPN ที่เกี่ยวข้องกับ Exchange

ตรวจสอบว่าคุณเพิ่มระเบียนใหม่โดยการเรียกใช้ Get-MgServicePrincipal cmdlet ใน Microsoft Graph PowerShell

Get-MgServicePrincipal -Filter "AppId eq '00000002-0000-0ff1-ce00-000000000000'" | select -ExpandProperty ServicePrincipalNames

มองผ่านเอาท์พุต เปรียบเทียบรายการก่อนหน้า/ภาพหน้าจอกับรายการ SPN ใหม่ คุณอาจจับภาพหน้าจอของรายการใหม่เพื่อบันทึกไว้ด้วย หากคุณทำสำเร็จ คุณจะเห็น URL ใหม่สองรายการในรายการ

จากตัวอย่างของเรา ขณะนี้รายการ SPN มี URL เฉพาะ https://mail.exoip.com/ และ https://autodiscover.exoip.com/ ดูที่ด้านบนของรายการ

https://autodiscover.exoip.com/
https://mail.exoip.com/
00000002-0000-0ff1-ce00-000000000000/mail.exoip.com
00000002-0000-0ff1-ce00-000000000000/autodiscover.exoip365.mail.onmicrosoft.com
00000002-0000-0ff1-ce00-000000000000/exoip365.mail.onmicrosoft.com
00000002-0000-0ff1-ce00-000000000000/autodiscover.exoip.com
00000002-0000-0ff1-ce00-000000000000/exoip.com
00000002-0000-0ff1-ce00-000000000000/autodiscover.exoip.local
00000002-0000-0ff1-ce00-000000000000/exoip.local
00000002-0000-0ff1-ce00-000000000000/outlook.office365.com
00000002-0000-0ff1-ce00-000000000000/mail.office365.com
00000002-0000-0ff1-ce00-000000000000/outlook.com
00000002-0000-0ff1-ce00-000000000000/*.outlook.com
00000002-0000-0ff1-ce00-000000000000
https://ps.compliance.protection.outlook.com
https://outlook-sdf.office.com/
https://outlook-sdf.office365.com/
https://outlook.office365.com:443/
https://outlook.office.com/
https://outlook.office365.com/
https://outlook.com/
https://ps.protection.outlook.com/
https://outlook-tdf.office.com/
https://outlook-tdf-2.office.com/
https://ps.outlook.com

ขั้นตอนที่ 6 ตรวจสอบไดเรกทอรีเสมือนของ OAuth

ตอนนี้ตรวจสอบว่า OAuth (การรับรองความถูกต้องสมัยใหม่) เปิดใช้งานอย่างถูกต้องใน Exchange ภายในองค์กรบนไดเร็กทอรีเสมือนทั้งหมดที่ Outlook อาจใช้ เรียกใช้ cmdlets ใน Exchange Management Shell

Get-MapiVirtualDirectory | fl server,*url*,*auth*
Get-WebServicesVirtualDirectory | fl server,*url*,*oauth*
Get-OABVirtualDirectory | fl server,*url*,*oauth*
Get-AutoDiscoverVirtualDirectory | fl server,*oauth*

ผลลัพธ์จะปรากฏในเอาต์พุตด้านล่างหลังจากรันทุกคำสั่ง

# Get-MapiVirtualDirectory | fl server,*url*,*auth*

Server                        : EX01-2019
InternalUrl                   : https://mail.exoip.com/mapi
ExternalUrl                   : https://mail.exoip.com/mapi
IISAuthenticationMethods      : {Ntlm, OAuth, Negotiate}
InternalAuthenticationMethods : {Ntlm, OAuth, Negotiate}
ExternalAuthenticationMethods : {Ntlm, OAuth, Negotiate}

Server                        : EX02-2019
InternalUrl                   : https://mail.exoip.com/mapi
ExternalUrl                   : https://mail.exoip.com/mapi
IISAuthenticationMethods      : {Ntlm, OAuth, Negotiate}
InternalAuthenticationMethods : {Ntlm, OAuth, Negotiate}
ExternalAuthenticationMethods : {Ntlm, OAuth, Negotiate}

# Get-WebServicesVirtualDirectory | fl server,*url*,*oauth*

Server               : EX01-2019
InternalNLBBypassUrl :
InternalUrl          : https://mail.exoip.com/EWS/Exchange.asmx
ExternalUrl          : https://mail.exoip.com/EWS/Exchange.asmx
OAuthAuthentication  : True

Server               : EX02-2019
InternalNLBBypassUrl :
InternalUrl          : https://mail.exoip.com/EWS/Exchange.asmx
ExternalUrl          : https://mail.exoip.com/EWS/Exchange.asmx
OAuthAuthentication  : True

# Get-OABVirtualDirectory | fl server,*url*,*oauth*

Server              : EX01-2019
InternalUrl         : https://mail.exoip.com/OAB
ExternalUrl         : https://mail.exoip.com/OAB
OAuthAuthentication : True

Server              : EX02-2019
InternalUrl         : https://mail.exoip.com/OAB
ExternalUrl         : https://mail.exoip.com/OAB
OAuthAuthentication : True

# Get-AutoDiscoverVirtualDirectory | fl server,*oauth*

Server              : EX01-2019
OAuthAuthentication : True

Server              : EX02-2019
OAuthAuthentication : True

หาก OAuth หายไปจากเซิร์ฟเวอร์ใดๆ และไดเร็กทอรีเสมือนใดๆ ในสี่ไดเร็กทอรี คุณจะต้องเพิ่ม OAuth โดยใช้คำสั่งที่เกี่ยวข้องก่อนดำเนินการต่อ:

  • ชุด MapiVirtualDirectory
  • ชุด WebServicesVirtualDirectory
  • ชุด-OABVirtualDirectory
  • ตั้งค่า AutodiscoverVirtualDirectory

ขั้นตอนที่ 7 ยืนยันว่ามีออบเจ็กต์เซิร์ฟเวอร์การตรวจสอบสิทธิ์ EvoSTS อยู่

กลับไปที่ Exchange Management Shell ภายในองค์กร เรียกใช้ cmdlet และตรวจสอบว่าภายในองค์กรของคุณมีรายการสำหรับผู้ให้บริการการรับรองความถูกต้อง evoSTS (บริการโทเค็นความปลอดภัยที่ใช้โดย Microsoft Entra ID)

Get-AuthServer | where {$_.Name -like "EvoSts*"} | fl Name,DomainName,IssuerIdentifier,Realm,TokenIssuingEndpoint,Enabled,IsDefault*

ผลลัพธ์ของคุณควรแสดง AuthServer ด้วย ชื่อ ที่ขึ้นต้นด้วย EvoSts และค่าสถานะ เปิดใช้งาน ควรเป็น จริง . หากคุณไม่เห็นสิ่งนี้ คุณควรดาวน์โหลดและเรียกใช้ Hybrid Configuration Wizard เวอร์ชันล่าสุด

ในผลลัพธ์ของเรา เรามีเซิร์ฟเวอร์การตรวจสอบความถูกต้อง evoSts สองเซิร์ฟเวอร์ นั่นเป็นเพราะว่าเรามีการกำหนดค่าภายในองค์กรโดยมีผู้เช่าสองคน

Name                           : EvoSts - 5af53ad5-4ce1-4406-bf3f-b8c796cf17b8
DomainName                     : {exoip365.onmicrosoft.com}
IssuerIdentifier               : https://sts.windows.net/fe15bfe6-36b2-4c9d-bf42-51b995f8e9af/
Realm                          : fe15bfe6-36b2-4c9d-bf42-51b995f8e9af
TokenIssuingEndpoint           : https://login.windows.net/common/oauth2/token
Enabled                        : True
IsDefaultAuthorizationEndpoint : False

Name                           : EvoSts - d1c9beac-0655-48e7-9949-5e497af1d38d
DomainName                     : {exoip.com}
IssuerIdentifier               : https://sts.windows.net/d032a20d-16c9-4e5b-87c3-30b055ded8cc/
Realm                          : d032a20d-16c9-4e5b-87c3-30b055ded8cc
TokenIssuingEndpoint           : https://login.windows.net/common/oauth2/token
Enabled                        : True
IsDefaultAuthorizationEndpoint : False

ขั้นตอนที่ 8 เปิดใช้งานการรับรองความถูกต้องแบบไฮบริดสมัยใหม่

หากคุณมีเซิร์ฟเวอร์การตรวจสอบความถูกต้อง evoSts มากกว่าหนึ่งเซิร์ฟเวอร์ คุณจำเป็นต้องทราบว่าเซิร์ฟเวอร์ใดที่คุณต้องการตั้งค่าเป็นค่าเริ่มต้น ใน Microsoft Graph PowerShell ให้เรียกใช้ cmdlet เพื่อดึงรหัสองค์กร

Get-MgOrganization | select DisplayName, Id

ในตัวอย่างของเรา รหัสองค์กรลงท้ายด้วย d8cc เราจำเป็นต้องตั้งค่า EvoSts - d1c9beac-0655-48e7-9949-5e497af1d38d เป็นจุดสิ้นสุดการอนุญาตเริ่มต้น

DisplayName Id
----------- --
EXOIP       d032a20d-16c9-4e5b-87c3-30b055ded8cc

ใน Exchange Management Shell ให้เรียกใช้ cmdlet ทั้งสองเพื่อเปิดใช้งานการรับรองความถูกต้องสมัยใหม่บนองค์กร Exchange ภายในองค์กร

Set-AuthServer -Identity "EvoSts - d1c9beac-0655-48e7-9949-5e497af1d38d" -IsDefaultAuthorizationEndpoint $true
Set-OrganizationConfig -OAuth2ClientProfileEnabled $true

หากเวอร์ชัน Exchange ภายในองค์กรคือ Exchange 2016 (CU18 หรือสูงกว่า) หรือ Exchange 2019 (CU7 หรือสูงกว่า) และแบบไฮบริดได้รับการกำหนดค่าด้วย HCW ที่ดาวน์โหลดหลังเดือนกันยายน 2020 ให้เรียกใช้คำสั่งต่อไปนี้ใน Exchange Management Shell ภายในองค์กร

เปลี่ยน ข้อมูลประจำตัว (คัดลอกจากขั้นตอนที่ 7) และ ชื่อโดเมน เป็นของคุณเอง

Set-AuthServer -Identity "EvoSts - d1c9beac-0655-48e7-9949-5e497af1d38d" -DomainName "exoip.com" -IsDefaultAuthorizationEndpoint $true
Set-OrganizationConfig -OAuth2ClientProfileEnabled $true

ขั้นตอนที่ 9 เริ่มบริการข้อมูลทางอินเทอร์เน็ตใหม่

คุณสามารถรีสตาร์ท Internet Information Services (IIS) บน Exchange Servers เพื่อเร่งกระบวนการให้เร็วขึ้น

iisreset

ขั้นตอนที่ 10 ข้อกำหนดรีจิสทรีของ Outlook

ตรวจสอบให้แน่ใจว่าคุณมีไคลเอนต์ Outlook ตัวใดตัวหนึ่งด้านล่างที่ทำงานอยู่ซึ่งรองรับการรับรองความถูกต้องสมัยใหม่ ไม่รองรับ Outlook 2010 และจะไม่ทำงาน อัปเกรดไคลเอนต์ Outlook ของคุณเป็นเวอร์ชันที่รองรับการรับรองความถูกต้องสมัยใหม่

Outlook versionModern auth supportEnableADAL reg key requiredAlwaysUseMSOAuthForAutodiscover reg key required
Outlook 2010NoNot availableNot available
Outlook 2013YesYesYes
Outlook 2016YesNoYes
Outlook 2019YesNoYes
Outlook 365YesNoYes

Microsoft แนะนำให้ผู้ใช้บังคับให้ Outlook ใช้การรับรองความถูกต้องสมัยใหม่โดยตั้งค่า DWORD ของคีย์รีจิสทรีต่อไปนี้เป็น 1

HKEY_CURRENT_USER\Software\Microsoft\Exchange\AlwaysUseMSOAuthForAutoDiscover

หากคุณมี Outlook 2013 คุณจะต้องเพิ่มค่า DWORD อีกสองค่า เพิ่มค่า DWORD เป็น 1 ในคีย์ย่อยของรีจิสทรีต่อไปนี้:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\15.0\Common\Identity\EnableADAL
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\15.0\Common\Identity\Version

ขั้นตอนที่ 11 ตรวจสอบงานของคุณ

เมื่อคุณเปิดใช้งาน Hybrid Modern Authentication การเข้าสู่ระบบครั้งถัดไปของไคลเอ็นต์จะใช้ขั้นตอนการตรวจสอบสิทธิ์ใหม่ โปรดทราบว่าการเปิดการรับรองความถูกต้องแบบสมัยใหม่แบบไฮบริดจะไม่ทำให้เกิดการตรวจสอบสิทธิ์ซ้ำสำหรับไคลเอ็นต์ใดๆ และอาจต้องใช้เวลาสักครู่เพื่อให้ Exchange รับการตั้งค่าใหม่ นั่นเป็นสาเหตุที่ iisreset บน Exchange Server ในขั้นตอนก่อนหน้าจะทำให้ความเร็วเร็วขึ้น

คุณสามารถกด ปุ่ม CTRL ค้างไว้ และ คลิกขวา ที่ไคลเอนต์ Outlook ในถาดระบบ Windows คลิกสถานะการเชื่อมต่อ ค้นหาที่อยู่ SMTP ของไคลเอ็นต์เทียบกับประเภท Authn ของ ผู้ถือ* ซึ่งแสดงถึงโทเค็นผู้ถือที่ใช้ใน OAuth

คุณกำหนดค่าการรับรองความถูกต้องแบบไฮบริดสมัยใหม่ในองค์กร Exchange ภายในองค์กรได้สำเร็จ

วิธีกำหนดค่าการรับรองความถูกต้องแบบไฮบริดสมัยใหม่สำหรับ OWA และ ECP

สิ่งสำคัญคือคุณต้องผ่านขั้นตอนก่อนหน้านี้และทุกอย่างทำงานได้ก่อนที่คุณจะเริ่มกำหนดค่า Hybrid Modern Authentication สำหรับ OWA และ ECP

ข้อสำคัญ: Exchange OWA (Outlook Web Access) และ ECP (แผงควบคุม Exchange) ทำงานร่วมกับการรับรองความถูกต้องสมัยใหม่ อย่างไรก็ตาม คุณต้องมี Exchange Server 2019 CU14 ที่มีการอัปเดตโปรแกรมแก้ไขด่วน Exchange Server เดือนเมษายน 2024 หรือติดตั้งใหม่กว่า

นี่คือลักษณะที่ปรากฏเมื่อนำทางไปยัง Exchange OWA ภายในองค์กร หมายความว่าไม่ได้กำหนดค่า HMA สำหรับ OWA และ ECP

หน้า OWA และ ECP จำเป็นต้องแสดงการลงชื่อเข้าใช้ Microsoft ในหน้าจอ Outlook เมื่อคุณรู้ว่ามีการใช้ Modern Authentication

เราจะทำตามขั้นตอนด้านล่างและตรวจสอบให้แน่ใจว่าทุกอย่างเรียบร้อยก่อนที่เราจะเปิดใช้งาน Hybrid Modern Authentication สำหรับ OWA และ ECP

โปรดดูให้ดีทุกครั้งที่คุณจะเรียกใช้ cmdlets นั่นเป็นเพราะคุณต้องดำเนินงานด้านการดูแลระบบใน:

  • Exchange Management Shell (เซิร์ฟเวอร์ Exchange ภายในองค์กร)
  • PowerShell (ไมโครซอฟต์กราฟ PowerShell)

ขั้นตอนที่ 1 รับ OWA และ ECP URL

เริ่ม Exchange Management Shell ในฐานะผู้ดูแลระบบบน Exchange Server ภายในองค์กร เรียกใช้ cmdlet ทั้งสองเพื่อดึงข้อมูล URL ไดเรกทอรีเสมือนของ OWA และ ECP

Get-OwaVirtualDirectory -ADPropertiesOnly | fl server, name, *url*
Get-EcpVirtualDirectory -ADPropertiesOnly | fl server, name, *url*

ผลลัพธ์จะปรากฏในเอาต์พุตด้านล่างหลังจากรันทุกคำสั่ง จดบันทึก URL ภายในและภายนอกทั้งหมด เนื่องจากคุณจะต้องเพิ่ม URL เหล่านี้ในขั้นตอนใดขั้นตอนหนึ่งถัดไป

ในตัวอย่างของเรา เรามีชื่อเดียวกันสำหรับ URL ภายในและภายนอก เราขอแนะนำให้กำหนดค่าเช่นนี้เนื่องจากจะทำให้ง่ายขึ้นมาก หากคุณไม่ทำ คุณจะเห็นที่อยู่ภายในที่ลงท้ายด้วย .local หรือ .lan ในเอาต์พุต

# Get-OwaVirtualDirectory -ADPropertiesOnly | fl server, name, *url*

Server                  : EX01-2019
Name                    : owa (Default Web Site)
Url                     : {}
InternalSPMySiteHostURL :
ExternalSPMySiteHostURL :
SetPhotoURL             :
Exchange2003Url         :
FailbackUrl             :
InternalUrl             : https://mail.exoip.com/owa
ExternalUrl             : https://mail.exoip.com/owa

Server                  : EX02-2019
Name                    : owa (Default Web Site)
Url                     : {}
InternalSPMySiteHostURL :
ExternalSPMySiteHostURL :
SetPhotoURL             :
Exchange2003Url         :
FailbackUrl             :
InternalUrl             : https://mail.exoip.com/owa
ExternalUrl             : https://mail.exoip.com/owa

# Get-EcpVirtualDirectory -ADPropertiesOnly | fl server, name, *url*

Server      : EX01-2019
Name        : ecp (Default Web Site)
InternalUrl : https://mail.exoip.com/ecp
ExternalUrl : https://mail.exoip.com/ecp

Server      : EX02-2019
Name        : ecp (Default Web Site)
InternalUrl : https://mail.exoip.com/ecp
ExternalUrl : https://mail.exoip.com/ecp

ขั้นตอนที่ 2 เพิ่ม OWA และ ECP URL ภายในองค์กรเป็น URL ตอบกลับ

เรียกใช้ PowerShell ในฐานะผู้ดูแลระบบและเชื่อมต่อกับ Microsoft Graph PowerShell ลงชื่อเข้าใช้ด้วยข้อมูลประจำตัวผู้ดูแลระบบส่วนกลางของ Microsoft 365 ของคุณ

Connect-MgGraph -Scopes "User.Read", "Application.ReadWrite.All"

เพิ่ม Exchange Server OWA และ ECP URL ภายในองค์กรของคุณไปยัง URL ตอบกลับของแอปพลิเคชันโดยใช้คำสั่งด้านล่างใน Microsoft Graph PowerShell

ในตัวอย่างนี้ URL คือ https://mail.exoip.com/owa และ https://mail.exoip.com/ecp แทนที่ URL ด้วย URL ของคุณเอง

$servicePrincipal = Get-MgServicePrincipal -Filter "AppId eq '00000002-0000-0ff1-ce00-000000000000'"
$replyUrlsToBeAdded = @(
    "https://mail.exoip.com/owa",
    "https://mail.exoip.com/ecp"
)
$servicePrincipal.ReplyUrls += $replyUrlsToBeAdded
Update-MgServicePrincipal -ServicePrincipalId $servicePrincipal.Id -AppId "00000002-0000-0ff1-ce00-000000000000" -ReplyUrls $servicePrincipal.ReplyUrls

ขั้นตอนที่ 3 ตรวจสอบ URL ตอบกลับของ Exchange

ตรวจสอบว่าคุณเพิ่ม Exchange Server OWA และ ECP URL ไปยัง URL ตอบกลับของแอปพลิเคชัน เรียกใช้ Get-MgServicePrincipal cmdlet ใน Microsoft Graph PowerShell

(Get-MgServicePrincipal -Filter "AppId eq '00000002-0000-0ff1-ce00-000000000000'").ReplyUrls

จากตัวอย่างของเรา ตอนนี้รายการ URL มี URL เฉพาะ https://mail.exoip.com/owa และ https://mail.exoip.com/ecp >. ดูที่ด้านบนของรายการ

https://mail.exoip.com/ecp
https://mail.exoip.com/owa
https://outlook.cloud.microsoft
https://outlook-sdf.cloud.microsoft
https://sdfpilot.outlook.com/owa

ขั้นตอนที่ 4 ตั้งค่าการแทนที่ส่วนกลางสำหรับโดเมนการดาวน์โหลด

หากคุณได้กำหนดค่าการดาวน์โหลดโดเมนบน Exchange Server ให้เรียกใช้ด้านล่างใน Exchange Management Shell บน Exchange Server เดียวเท่านั้น ถ้าไม่ ให้ข้ามขั้นตอนนี้

New-SettingOverride -Name "OWA HMA Download Domain Support" -Component "OAuth" -Section "OAuthIdentityCacheFixForDownloadDomains" -Parameters ("Enabled=true") -Reason "Enable support for OWA HMA when Download Domains are in use"
Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
Restart-Service -Name W3SVC, WAS -Force

ขั้นตอนที่ 5 รับสถานะวิธีการตรวจสอบความถูกต้องของไดเรกทอรีเสมือน

เรียกใช้ cmdlet ของ Exchange Management Shell เพื่อดึงข้อมูลสถานะวิธีการรับรองความถูกต้องของไดเรกทอรีเสมือน OWA และ ECP

Get-OwaVirtualDirectory -Server "EX01-2019" | fl server, *auth*
Get-EcpVirtualDirectory -Server "EX02-2019" | fl server, *auth*

ผลลัพธ์จะปรากฏในเอาต์พุตด้านล่างหลังจากรันทุกคำสั่ง

# Get-OwaVirtualDirectory -Server "EX01-2019" | fl server, *auth*

Server                        : EX01-2019
ClientAuthCleanupLevel        : High
InternalAuthenticationMethods : {Basic, Fba, Adfs}
BasicAuthentication           : True
WindowsAuthentication         : False
DigestAuthentication          : False
FormsAuthentication           : True
LiveIdAuthentication          : False
AdfsAuthentication            : False
OAuthAuthentication           : False
ExternalAuthenticationMethods : {Fba}

# Get-EcpVirtualDirectory -Server "EX01-2019" | fl server, *auth*

Server                        : EX01-2019
InternalAuthenticationMethods : {Basic, Fba, Adfs}
BasicAuthentication           : True
WindowsAuthentication         : False
DigestAuthentication          : False
FormsAuthentication           : True
LiveIdAuthentication          : False
AdfsAuthentication            : True
OAuthAuthentication           : False
ExternalAuthenticationMethods : {Fba}

ขั้นตอนที่ 6 ปิดใช้งานวิธีการรับรองความถูกต้องบน OWA และ ECP

ปิดใช้งานวิธีการรับรองความถูกต้องอื่น ๆ สำหรับไดเร็กทอรีเสมือน OWA และ ECP บน Exchange Server แต่ละรายการ เรียกใช้คำสั่งใน Exchange Management Shell

Get-OwaVirtualDirectory -Server "EX01-2019" | Set-OwaVirtualDirectory -AdfsAuthentication $false -BasicAuthentication $false -FormsAuthentication $false -DigestAuthentication $false
Get-EcpVirtualDirectory -Server "EX01-2019" | Set-EcpVirtualDirectory -AdfsAuthentication $false -BasicAuthentication $false -FormsAuthentication $false -DigestAuthentication $false
Get-OwaVirtualDirectory -Server "EX02-2019" | Set-OwaVirtualDirectory -AdfsAuthentication $false -BasicAuthentication $false -FormsAuthentication $false -DigestAuthentication $false
Get-EcpVirtualDirectory -Server "EX02-2019" | Set-EcpVirtualDirectory -AdfsAuthentication $false -BasicAuthentication $false -FormsAuthentication $false -DigestAuthentication $false

ขั้นตอนที่ 7 เปิดใช้งานการรับรองความถูกต้องแบบไฮบริดสมัยใหม่สำหรับ OWA และ ECP

เปิดใช้งาน OAuth สำหรับไดเรกทอรีเสมือน OWA และ ECP บน Exchange Server แต่ละรายการ เรียกใช้คำสั่งใน Exchange Management Shell

Get-EcpVirtualDirectory -Server "EX01-2019" | Set-EcpVirtualDirectory -OAuthAuthentication $true
Get-OwaVirtualDirectory -Server "EX01-2019" | Set-OwaVirtualDirectory -OAuthAuthentication $true
Get-EcpVirtualDirectory -Server "EX02-2019" | Set-EcpVirtualDirectory -OAuthAuthentication $true
Get-OwaVirtualDirectory -Server "EX02-2019" | Set-OwaVirtualDirectory -OAuthAuthentication $true

ขั้นตอนที่ 8 ตรวจสอบงานของคุณ

หลังจากใช้การกำหนดค่าข้างต้นแล้ว คุณไม่จำเป็นต้องรีสตาร์ท IIS หรือ Exchange Server เพื่อให้การเปลี่ยนแปลงมีผล

หมายเหตุ: ตรวจสอบให้แน่ใจว่าบัญชีผู้ดูแลระบบของคุณซิงค์กับ Microsoft Entra ID มิฉะนั้น คุณจะไม่สามารถลงชื่อเข้าใช้ ECP ได้ บัญชีผู้ดูแลระบบเริ่มต้นจะไม่ซิงค์กับ Microsoft Entra ID และคุณไม่สามารถใช้เพื่อเข้าสู่ระบบได้ ไม่ว่าในกรณีใด คุณควรปิดการใช้งานบัญชีผู้ดูแลระบบเริ่มต้นในสภาพแวดล้อมการใช้งานจริงเพื่อลดพื้นที่การโจมตี

เปิดเว็บเบราว์เซอร์แล้วกรอก Exchange Server OWA หรือ ECP URL คุณจะเห็นหน้าจอลงชื่อเข้าใช้ Microsoft Outlook ทันที

หลังจากกรอกข้อมูลประจำตัวแล้ว คุณจะถูกเปลี่ยนเส้นทางไปยัง Exchange Server OWA หรือ ECP URL ภายในองค์กร

คุณกำหนดค่าการรับรองความถูกต้องแบบไฮบริดสมัยใหม่สำหรับ OWA และ ECP ในองค์กร Exchange ภายในองค์กรได้สำเร็จ

แค่นั้นแหละ!

อ่านเพิ่มเติม: ตัวช่วยสร้างการกำหนดค่าไฮบริดไม่สามารถเชื่อมต่อได้ »

บทสรุป

คุณได้เรียนรู้วิธีกำหนดค่า Hybrid Modern Authentication ใน Exchange ภายในองค์กร ทำตามขั้นตอนเพื่อกำหนดค่า OAuth ระหว่าง Exchange Online และ Exchange ภายในองค์กร เมื่อตั้งค่าแล้ว ทั้งไคลเอ็นต์ Outlook และ OWA/ECP จะได้รับการป้องกัน

คุณสนุกกับบทความนี้หรือไม่? คุณอาจต้องการให้ Outlook ให้ใส่รหัสผ่านหลังจากย้ายไปยัง Office 365 อย่าลืมติดตามเราและแบ่งปันบทความนี้

บทความที่เกี่ยวข้อง