Outlook ต้องใช้รหัสผ่านหลังจากใช้งาน Hybrid Modern Authentication

Hybrid Modern Authentication (HMA) ถูกนำมาใช้ในองค์กรภายในองค์กร ด้วยวิธีนี้ ผู้ใช้ที่มีกล่องจดหมายภายในองค์กรจะใช้การรับรองความถูกต้องแบบสมัยใหม่แทนการรับรองความถูกต้องขั้นพื้นฐาน เป็นเรื่องดีเพราะจากนี้ไปพวกเขาจะใช้นโยบาย Microsoft Entra Conditional Access หนึ่งในนโยบายเหล่านี้คือการรับรองความถูกต้องด้วยหลายปัจจัย (MFA)

หลังจากใช้งาน HMA ผู้ใช้จะไม่สามารถเชื่อมต่อกับ Outlook ได้ ผู้ใช้บางรายเห็นว่า Outlook ถามรหัสผ่าน และผู้ใช้บางรายได้รับพร้อมท์การลงชื่อเข้าใช้การรับรองความถูกต้องแบบสมัยใหม่ หลังจากที่พวกเขาลงชื่อเข้าใช้ด้วยข้อมูลประจำตัวแล้ว ข้อผิดพลาดจะปรากฏขึ้น ในบทความนี้ คุณจะได้เรียนรู้ว่าเหตุใดจึงเกิดเหตุการณ์เช่นนี้ และโซลูชันสำหรับ Outlook จะถามรหัสผ่านหลังจากกำหนดค่าการรับรองความถูกต้องแบบไฮบริดสมัยใหม่

เกิดอะไรขึ้น?

เรามีผู้ใช้ Amanda ซึ่งมีกล่องจดหมายภายในองค์กร เธอสามารถลงชื่อเข้าใช้ Outlook ได้ และอีเมลจะปรากฏขึ้น ทุกอย่างใช้งานได้ดีด้วยการรับรองความถูกต้องขั้นพื้นฐาน อย่างไรก็ตาม หลังจากกำหนดค่าการตรวจสอบสิทธิ์แบบไฮบริดสมัยใหม่และรีสตาร์ท Outlook แล้ว Outlook จะแสดงว่า ต้องใช้รหัสผ่าน

มาลบและสร้างโปรไฟล์ Outlook ใหม่สำหรับ Amanda กัน หลังจากทำเช่นนั้น เราได้รับข้อผิดพลาด: CAA2000B

มีข้อผิดพลาดเกิดขึ้น
เราไม่สามารถลงชื่อเข้าใช้ให้คุณได้ หากข้อผิดพลาดนี้ยังคงอยู่ โปรดติดต่อผู้ดูแลระบบของคุณและแจ้งรหัสข้อผิดพลาด CAA2000B

ข้อมูลปัญหาเพิ่มเติม

รหัสข้อผิดพลาด: CAA200B< br>รหัสความสัมพันธ์: 54cba1ee-6cf8-4382-8e24-b8d7028182a4
การประทับเวลา: 2021-07-10T17:45:57Z
ข้อมูลเพิ่มเติม: https://www.microsoft.com/wamerrors
ข้อความเซิร์ฟเวอร์ : AADSTS500011: ไม่พบทรัพยากรหลักชื่อ http://autodiscover.exoip.com/ ในผู้เช่าชื่อ exoip.com กรณีนี้อาจเกิดขึ้นได้หากผู้ดูแลระบบของผู้เช่าไม่ได้ติดตั้งแอปพลิเคชันหรือได้รับความยินยอมจากผู้ใช้ในผู้เช่า คุณอาจส่งคำขอการรับรองความถูกต้องของคุณไปยังผู้เช่าผิด

เหตุใดเราจึงเห็นรหัสข้อผิดพลาด CAA2000B และเหตุใดจึงแสดงว่า Outlook ต้องใช้รหัสผ่าน วิธีแก้ไขปัญหาเหล่านี้หลังจากกำหนดค่า Hybrid Modern Authentication คืออะไร

โซลูชันสำหรับ Outlook ต้องใช้รหัสผ่านหลังจากใช้งาน Hybrid Modern Authentication

วิธีแก้ไขคือรับ URL ไดเรกทอรีเสมือนของ Exchange หลังจากนั้น เพิ่ม URL บริการเว็บภายในองค์กรเป็น SPN (ชื่อหลักของบริการ) เรามาดูวิธีการทำเช่นนั้นกันดีกว่า

ขั้นตอนที่ 1 รับ URL ไดเรกทอรีเสมือน

เริ่ม Exchange Management Shell ในฐานะผู้ดูแลระบบบน Exchange Server ภายในองค์กรของคุณ เรียกใช้ สี่ cmdlets เพื่อดึงข้อมูล URL ของไดเรกทอรีเสมือน

Get-MapiVirtualDirectory | fl server,*url*
Get-WebServicesVirtualDirectory | fl server,*url*
Get-ClientAccessServer | fl Name, AutodiscoverServiceInternalUri
Get-OABVirtualDirectory | fl server,*url*

ผลลัพธ์จะปรากฏในเอาต์พุตด้านล่างหลังจากรันทุกคำสั่ง จดบันทึก URL ภายในและภายนอกทั้งหมด เนื่องจากคุณจะต้องเพิ่ม URL เหล่านี้ในขั้นตอนใดขั้นตอนหนึ่งถัดไป

ในตัวอย่างของเรา เรามีชื่อเดียวกันสำหรับ URL ภายในและภายนอก เราขอแนะนำให้กำหนดค่าเช่นนี้เนื่องจากจะทำให้ง่ายขึ้นมาก หากคุณไม่ทำ คุณจะเห็นที่อยู่ภายในที่ลงท้ายด้วย .local หรือ .lan ในเอาต์พุต

# Get-MapiVirtualDirectory | fl server,*url*

Server      : EX01-2016
InternalUrl : https://mail.exoip.com/mapi
ExternalUrl : https://mail.exoip.com/mapi

Server      : EX02-2016
InternalUrl : https://mail.exoip.com/mapi
ExternalUrl : https://mail.exoip.com/mapi

# Get-WebServicesVirtualDirectory | fl server,*url*

Server               : EX01-2016
InternalNLBBypassUrl :
InternalUrl          : https://mail.exoip.com/EWS/Exchange.asmx
ExternalUrl          : https://mail.exoip.com/EWS/Exchange.asmx

Server               : EX02-2016
InternalNLBBypassUrl :
InternalUrl          : https://mail.exoip.com/EWS/Exchange.asmx
ExternalUrl          : https://mail.exoip.com/EWS/Exchange.asmx

# Get-ClientAccessServer | fl Name, AutodiscoverServiceInternalUri

WARNING:  The Get-ClientAccessServer cmdlet will be removed in a future version of Exchange. Use the
Get-ClientAccessService cmdlet instead. If you have any scripts that use the Get-ClientAccessServer cmdlet, update them
to use the Get-ClientAccessService cmdlet.  For more information, see http://go.microsoft.com/fwlink/p/?LinkId=254711.

Name                           : EX01-2016
AutoDiscoverServiceInternalUri : https://autodiscover.exoip.com/Autodiscover/Autodiscover.xml

Name                           : EX02-2016
AutoDiscoverServiceInternalUri : https://autodiscover.exoip.com/Autodiscover/Autodiscover.xml

# Get-OABVirtualDirectory | fl server,*url*

Server      : EX01-2016
InternalUrl : https://mail.exoip.com/OAB
ExternalUrl : https://mail.exoip.com/OAB

Server      : EX02-2016
InternalUrl : https://mail.exoip.com/OAB
ExternalUrl : https://mail.exoip.com/OAB

ขั้นตอนที่ 2 รับ SPN ที่เกี่ยวข้องกับ Exchange

เรียกใช้ PowerShell ในฐานะผู้ดูแลระบบและเชื่อมต่อกับ Microsoft Graph PowerShell ลงชื่อเข้าใช้ด้วยข้อมูลประจำตัวผู้ดูแลระบบส่วนกลางของ Microsoft 365 ของคุณ

Connect-MgGraph -Scopes "Application.Read.All", "Application.ReadWrite.All"

เรียกใช้ Get-MgServicePrincipal cmdlet เพื่อรับ URL ที่เกี่ยวข้องกับ Exchange ในระบบคลาวด์สำหรับ แอปพลิเคชัน 00000002-0000-0ff1-ce00-000000000000

Get-MgServicePrincipal -Filter "AppId eq '00000002-0000-0ff1-ce00-000000000000'" | select -ExpandProperty ServicePrincipalNames

จดบันทึก (และจับภาพหน้าจอเพื่อการเปรียบเทียบในภายหลัง) ผลลัพธ์ของคำสั่งนี้ ซึ่งควรมี URL https://autodiscover.yourdomain.com และ https://mail.yourdomain.com แต่ส่วนใหญ่ประกอบด้วย SPN ที่ขึ้นต้นด้วย 00000002 -0000-0ff1-ce00-000000000000/.

00000002-0000-0ff1-ce00-000000000000/mail.exoip.com
00000002-0000-0ff1-ce00-000000000000/autodiscover.M365x877334.mail.onmicrosoft.com
00000002-0000-0ff1-ce00-000000000000/M365x877334.mail.onmicrosoft.com
00000002-0000-0ff1-ce00-000000000000/autodiscover.exoip.com
00000002-0000-0ff1-ce00-000000000000/exoip.com
00000002-0000-0ff1-ce00-000000000000/autodiscover.exoip.local
00000002-0000-0ff1-ce00-000000000000/exoip.local
00000002-0000-0ff1-ce00-000000000000/outlook.office365.com
00000002-0000-0ff1-ce00-000000000000/mail.office365.com
00000002-0000-0ff1-ce00-000000000000/outlook.com
00000002-0000-0ff1-ce00-000000000000/*.outlook.com
00000002-0000-0ff1-ce00-000000000000
https://ps.compliance.protection.outlook.com
https://outlook-sdf.office.com/
https://outlook-sdf.office365.com/
https://outlook.office365.com:443/
https://outlook.office.com/
https://outlook.office365.com/
https://outlook.com/
https://ps.protection.outlook.com/
https://outlook-tdf.office.com/
https://outlook-tdf-2.office.com/
https://ps.outlook.com

เป็นไปได้มากว่า https:// URL จากภายในองค์กรของคุณหายไป ดังนั้นเราจะต้องเพิ่มบันทึกเฉพาะเหล่านั้นลงในรายการนี้ในขั้นตอนถัดไป

ขั้นตอนที่ 3 เพิ่ม URL บริการเว็บภายในองค์กรเป็น SPN

หากคุณไม่เห็นระเบียน MAPI/HTTP, EWS, ActiveSync, OAB และการค้นหาอัตโนมัติภายในและภายนอกในรายการนี้ คุณต้องเพิ่มโดยใช้คำสั่งด้านล่างใน Microsoft Graph PowerShell

ในตัวอย่างนี้ URL คือ https://mail.exoip.com/ และ https://autodiscover.exoip.com/ แทนที่ URL ด้วย URL ของคุณเอง

$x = Get-MgServicePrincipal -Filter "AppId eq '00000002-0000-0ff1-ce00-000000000000'"
$x.ServicePrincipalNames += "https://mail.exoip.com/"
$x.ServicePrincipalNames += "https://autodiscover.exoip.com/"
Update-MgServicePrincipal -ServicePrincipalId $x.Id -ServicePrincipalNames $x.ServicePrincipalNames

ขั้นตอนที่ 4 ตรวจสอบ SPN ที่เกี่ยวข้องกับ Exchange

ตรวจสอบว่าคุณเพิ่มระเบียนใหม่โดยการเรียกใช้ Get-MgServicePrincipal cmdlet ใน Microsoft Graph PowerShell

Get-MgServicePrincipal -Filter "AppId eq '00000002-0000-0ff1-ce00-000000000000'" | select -ExpandProperty ServicePrincipalNames

มองผ่านเอาท์พุต เปรียบเทียบรายการก่อนหน้า/ภาพหน้าจอกับรายการ SPN ใหม่ คุณอาจจับภาพหน้าจอของรายการใหม่เพื่อบันทึกไว้ด้วย หากคุณทำสำเร็จ คุณจะเห็น URL ใหม่สองรายการในรายการ

จากตัวอย่างของเรา ตอนนี้รายการ SPN จะรวม URL เฉพาะ https://mail.exoip.com/ และ https://autodiscover.exoip.com/ . ดูที่ด้านบนของรายการ

https://autodiscover.exoip.com/
https://mail.exoip.com/
00000002-0000-0ff1-ce00-000000000000/mail.exoip.com
00000002-0000-0ff1-ce00-000000000000/autodiscover.M365x877334.mail.onmicrosoft.com
00000002-0000-0ff1-ce00-000000000000/M365x877334.mail.onmicrosoft.com
00000002-0000-0ff1-ce00-000000000000/autodiscover.exoip.com
00000002-0000-0ff1-ce00-000000000000/exoip.com
00000002-0000-0ff1-ce00-000000000000/autodiscover.exoip.local
00000002-0000-0ff1-ce00-000000000000/exoip.local
00000002-0000-0ff1-ce00-000000000000/outlook.office365.com
00000002-0000-0ff1-ce00-000000000000/mail.office365.com
00000002-0000-0ff1-ce00-000000000000/outlook.com
00000002-0000-0ff1-ce00-000000000000/*.outlook.com
00000002-0000-0ff1-ce00-000000000000
https://ps.compliance.protection.outlook.com
https://outlook-sdf.office.com/
https://outlook-sdf.office365.com/
https://outlook.office365.com:443/
https://outlook.office.com/
https://outlook.office365.com/
https://outlook.com/
https://ps.protection.outlook.com/
https://outlook-tdf.office.com/
https://outlook-tdf-2.office.com/
https://ps.outlook.com

ตรวจสอบงานของคุณ

รีสตาร์ท Outlook และคุณจะเห็นในแถบด้านล่างว่า เชื่อมต่อกับ: Microsoft Exchange

แค่นั้นแหละ!

หากไม่ได้ผลสำหรับคุณ คุณอาจมีการกำหนดค่าอื่นๆ ที่คุณไม่ได้ตั้งค่าอย่างถูกต้องเมื่อกำหนดค่าการตรวจสอบสิทธิ์แบบไฮบริดสมัยใหม่ เราขอแนะนำให้คุณอ่านบทความกำหนดค่าการรับรองความถูกต้องแบบไฮบริดสมัยใหม่ใน Exchange ภายในองค์กร โดยจะอธิบายทุกรายละเอียดทีละขั้นตอนเกี่ยวกับวิธีการใช้งาน Hybrid Modern Authentication

บทสรุป

คุณได้เรียนรู้ว่าเหตุใด Outlook จึงแสดงข้อความ ต้องการรหัสผ่าน หลังจากใช้งาน Hybrid Modern Authentication ขั้นแรก ให้รับ URL ไดเรกทอรีเสมือนภายในองค์กรของ Exchange หลังจากนั้น เพิ่ม URL ไดเรกทอรีเสมือนเป็น SPN สุดท้าย ให้รีสตาร์ท Outlook และจะแสดงว่าเชื่อมต่อกับ Microsoft Exchange แล้ว

คุณสนุกกับบทความนี้หรือไม่? คุณอาจต้องการให้ Outlook ให้ใส่รหัสผ่านหลังจากย้ายไปยัง Office 365 อย่าลืมติดตามเราและแบ่งปันบทความนี้