Automatische Mailbox-Bereinigung für AsyncOS 13.0+ konfigurieren

Problem

In diesem Dokument wird beschrieben, wie die Funktionen zur automatischen Mailbox-Bereinigung (MAR) in AsyncOS 13.0 und höher für Exchange Online-, Exchange On-Premises-, Hybrid- und Multi-Tenant-Bereitstellungen konfiguriert werden.

MAR wurde in AsyncOS 10.0 eingeführt und unterstützte nur Microsoft Office 365 Online.

Zu den Funktionen von AsyncOS 13.0 und neueren Versionen gehören:

• Microsoft Exchange Online - auf Microsoft Office 365 gehostete Mailbox
• Microsoft Exchange vor Ort - ein lokaler Microsoft Exchange Server
• Hybrid- und Multi-Tenant-Konfigurationen - eine Kombination aus Postfächern, die in Microsoft Exchange Online- und Microsoft Exchange-Bereitstellungen vor Ort konfiguriert sind

Die ersten Einrichtungsschritte finden Sie im ursprünglichen MAR-Einrichtungshandbuch für Microsoft Office 365 sowie in einem Addendum, in dem die Änderungen in AsyncOS 13.0 und höher beschrieben werden.

Der ursprüngliche Artikel ist weiterhin gültig und enthält eine Erläuterung der Funktion sowie Schritte zum Generieren von Zertifikaten für die Microsoft Office 365 Azure-Implementierung, ESA-Einstellungen und allgemeine Fehlerbehebung.

So konfigurieren Sie Azure AD- und Office 365-Postfacheinstellungen für die ESA

Neue Änderungen an Azure API-Berechtigungen für 13.0

Im aktuellen Benutzerhandbuch finden Sie ausführlichere Informationen zur Funktion zur automatischen Problembehebung.

Weitere Informationen finden Sie im Kapitel Automatische Beseitigung von Nachrichten in Postfächern.

Umwelt

• AsyncOS 13.0 oder höher für ESA
• Lizenzschlüssel für Dateireputation und Dateianalyse
• Bereitstellung vor Ort mit Microsoft Office 365 oder Microsoft Exchange

Auflösung

1. Verwenden Sie für Exchange Online-Kontoprofile zunächst diese Azure-Konfigurationsartikel, um die Azure-Anwendung, die Zertifikate und die API-Berechtigungen zu erstellen, die für AsyncOS 13.0 und höher erforderlich sind:
   • So konfigurieren Sie Azure AD- und Office 365-Postfacheinstellungen für die ESA
2. Erstellen Sie die erforderlichen Kontenprofile in der ESA.
3. Konfigurieren Sie die Domänenzuordnung für jedes Profil.
4. Wenn es sich um eine Hybrid- oder Multi-Tenant-Bereitstellung handelt, konfigurieren Sie verkettete Profile.
5. Testen Sie jedes Kontoprofil.

ESA 13.0 und neuere Versionen unterstützen mehrere Kontoprofile, die mit Exchange Online, Exchange vor Ort oder mit beiden erstellt wurden:

• Unternehmen mit komplexen Konfigurationen können mehrere Kontoprofile verwenden, wenn Domänen voneinander getrennt sind und sich in unterschiedlichen Bereitstellungen befinden.
• Organisationen, die eine neue Übernahme übernehmen, können die erworbene Domäne in die MAR-Funktion integrieren.
  • Das Erstellen mehrerer Kontoprofile bietet mehr Flexibilität als bisherige ESA-Funktionen.

Konfigurieren des Exchange Online Microsoft Office 365-Profils

Anweisungen zum Erstellen eines Kontoprofils für Microsoft Office 365 in Azure finden Sie in den Artikeln, auf die im Abschnitt "Problem" verwiesen wird.

Wählen Sie Office 365 Hybrid Graph API, um ein auf Exchange Online bereitgestelltes Postfach zu konfigurieren, und geben Sie folgende Details ein:

• Client-ID und Tenant-ID für die im Azure-Verwaltungsportal registrierte Anwendung.
• Der Zertifikatfingerabdruck (der Wert von $base64Thumbprint).
• Klicken Sie auf Choose File (Datei auswählen), und wählen Sie die Datei .pem aus, um den privaten Schlüssel für das Zertifikat hochzuladen.
  Beispielprofil für die Verbindung mit O365Exchange Online-Kontoprofil - Beispiel

Konfiguration des Exchange-Profils vor Ort

Zum Erstellen eines Kontoprofils für eine standortbasierte Exchange-Instanz ist ein Benutzerkonto mit der Rolle "ApplicationImpersonation" und einem gültigen Hostwert erforderlich.

Für diese Methode ist das festgelegte lokale Exchange-Dienstkonto mit der Rolle "ApplicationImpersonation" erforderlich.

1. Öffnen Sie in einem Browser die URL des Exchange Admin Centers für Ihre Exchange-Umgebung vor Ort. Beispiele: https://mail.example.com/ecp/
2. Navigieren Sie nach der Anmeldung zu Berechtigungen > Admin-Rollen.
3. Klicken Sie auf Hinzufügen, um eine neue Rollengruppe zu erstellen.
4. Wenn bereits eine Rollengruppe vorhanden ist, fügen Sie das angegebene Benutzerkonto als Mitglied hinzu.
5. Geben Sie den Namen und die Beschreibung der Rollengruppe ein.
6. Klicken Sie unter Rollen auf Hinzufügen.
7. Wählen Sie ApplicationImpersonation aus, und klicken Sie dann auf Hinzufügen.
8. Klicken Sie auf OK.
9. Kehren Sie zur neu erstellten Rollengruppe zurück, und klicken Sie auf Mitglieder: +, suchen Sie das entsprechende Benutzerkonto, und fügen Sie es zur Verwendung auf der ESA hinzu.
10. Übernehmen Sie alle Änderungen in Exchange. Weitere Informationen finden Sie in der Microsoft Support-Dokumentation.
11. Navigieren Sie in der ESA-Webschnittstelle zu Systemverwaltung > Kontoeinstellungen.
12. Erstellen Sie das Kontoprofil, und geben Sie dann den Namen und die Beschreibung des Profils ein.
13. Wählen Sie in der Dropdown-Liste Profile Type (Profiltyp) die Option Exchange On-Premise (Exchange am Standort) aus.
14. Geben Sie den Benutzernamen, das Kennwort und den Host-Wert ein.
15. Geben Sie einen gültigen Exchange Server-Hostnamen für den Host-Wert ein.
16. Klicken Sie auf Senden und dann auf Änderungen bestätigen.
    Beispiel für ein standortbasiertes Exchange-ProfilExchange-Kundenprofil vor Ort
    Beispiele für MAR-KontoprofileBeispiele für MAR-Kontoprofile

Domänenzuordnung konfigurieren

Domänenzuordnung ist die Zuweisung einer oder mehrerer Domänen zu einem Kontoprofil.

Für jede Implementierung ist mindestens eine Domänenzuordnung erforderlich:

1. Navigieren Sie in der ESA-Webschnittstelle zu Systemverwaltung > Kontoeinstellungen > Domänenzuordnung erstellen.
2. Geben Sie die Domänennamen durch Kommas getrennt ein. Im Bild werden akzeptable Domänenformate angezeigt.
3. Wenn die Konfiguration nur ein Kontoprofil enthält, geben Sie ALL (ALLE) in das Feld Domain Name (Domänenname) ein.
4. Eine Domäne kann nur einmal verwendet werden.
   Beispiel für DomänenzuordnungBeispiel für Domänenzuordnung
   Bild 1. Akzeptable DomänenformateAkzeptable Domänenformate
   Beispiel für DomänenzuordnungBeispiel für Domänenzuordnung

Verkettete Profile konfigurieren

Konfigurieren Sie verkettete Profile nur, wenn Sie Nachrichten in Mailboxen beseitigen, die Teil einer Hybrid- oder Multi-Tenant-Bereitstellung sind.

Fügen Sie die Profile in der Prioritätsreihenfolge hinzu, wobei das am häufigsten verwendete Domänenprofil zuerst angezeigt wird.

1. Navigieren Sie in der ESA-Webschnittstelle zu Systemverwaltung > Kontoeinstellungen > Verkettete Profile erstellen.
2. Geben Sie den Profilnamen und die Beschreibung ein.
3. Wählen Sie eine Domäne aus der Dropdown-Liste MAR Profile (MAR-Profil) aus.
4. Klicken Sie auf Add Account Profile (Kontoprofil hinzufügen), um ein weiteres Domänenprofil hinzuzufügen, bis alle erforderlichen Profile hinzugefügt wurden.
5. Klicken Sie auf Senden und dann auf Änderungen bestätigen.
   Erstellen von Kettenprofilen.Erstellung verketteter Profile

Testen jedes Kontoprofils

Bestätigen Sie jedes Kontoprofil, indem Sie im jeweiligen Profil auf die Schaltfläche Verbindung testen klicken.

1. Navigieren Sie in der ESA-Webschnittstelle zu Systemverwaltung > Kontoeinstellungen, und wählen Sie dann eines der Kontoprofile aus.
2. Klicken Sie in der linken unteren Ecke auf die Schaltfläche Verbindung testen.
3. Geben Sie die E-Mail-Adresse in das Feld E-Mail-Adresse ein, und klicken Sie dann auf Verbindung testen.
   Testen der einzelnen Profile zur Überprüfung der erfolgreichen VerbindungTesten der Verbindung für ein Kontoprofil

Fehlerbehebung

Protokolle enthalten:

• Mail-Protokolle: Abschließende Sanierungsmaßnahme und Zusammenfassung
• mar_logs: Die Reihenfolge, in der die Sanierung durchgeführt wurde
• Option "Verbindung testen" in der Benutzeroberfläche: zur Überprüfung von Verbindungen und Berechtigungen

Viele Informationen können durch den E-Mail-Test aus den Kontoeinstellungen ermittelt werden.

Fehlerbehebung mit Testverbindung

Der SMTP-Adresse ist kein Postfach zugeordnet.

Das verwendete Benutzerpostfach ist nicht vorhanden.

Der Zugriff wird verweigert. Überprüfen Sie die Anmeldeinformationen, und versuchen Sie es erneut.

Die in Microsoft Azure konfigurierte Anwendung verfügt nicht über die erforderlichen API-Berechtigungen für den Zugriff auf das Microsoft Office 365-Postfach.

Die Anwendung mit der ID <client_id> wurde im Verzeichnis <tenant_id> nicht gefunden.

Die Client-ID auf der Seite Kontoprofileinstellungen ist ungültig.

Im Datenspeicher wurde kein Dienstnamespace mit dem Namen <tenant_id> gefunden.

Die Mandanten-ID auf der Seite Kontoprofileinstellungen ist ungültig.

Fehler beim Überprüfen der Anmeldeinformationen. Fehler bei der Überprüfung der Anmeldeinformationen.

• Der Zertifikatfingerabdruck auf der Kontoprofilseite ist ungültig.
• Der Profiltyp für den Zugriff auf die Mailbox kann falsch sein. Beispielsweise wird mithilfe eines Microsoft Office 365-Profils auf eine Mailbox vor Ort zugegriffen.
• Die erforderlichen Berechtigungen für den Zugriff auf das Postfach können fehlen.

Für den Exchange-Server wurde ein ungültiger Benutzername oder ein ungültiges Kennwort eingegeben.

Der im Profil eingegebene Benutzername und das Passwort für das Konto des Impersonators sind ungültig.

Das Konto verfügt nicht über die Berechtigung, die Identität des angeforderten Benutzers anzunehmen.

Dem im Profil konfigurierten Benutzerkonto wurden keine Berechtigungen für die Identitätswechselrolle zugewiesen.

Überprüfen Sie, ob Host <Hostname> eine gültige Exchange-Serveradresse ist.

Der im Profil eingegebene Hostname des lokalen Exchange-Servers ist ungültig.

Auf das Postfach kann mit diesem Profil nicht zugegriffen werden, oder die erforderlichen Berechtigungen fehlen.

Auf ein gültiges Postfach wird mit dem falschen Profiltyp zugegriffen. Beispielsweise wird mithilfe eines Microsoft Office 365-Profils auf eine Mailbox vor Ort zugegriffen.

Beispiel für eine erfolgreiche Problembehebung für ein einzelnes Profil:

Fri Aug 30 11:57:30 2019 Info: Process ready for Mailbox Remediation
Fri Aug 30 12:29:54 2019 Info: MID: 782107 Attempting to remediate using `o365-profile-1` profile for recipient user@example.com. Attempt number : 1
Fri Aug 30 12:29:54 2019 Info: MID: 782107 Trying to perform the forward and delete action on Office 365 or Hybrid exchange for SHA256: 
1e6f324982d4eb71ad967e79261a6435aef928b57bc523dbb3e7de4ed65941ab recipient's (user@example.com) mailbox.
Fri Aug 30 12:29:58 2019 Info: MID: 782107 Message forwarded successfully to admin@example.com.
Fri Aug 30 12:29:58 2019 Info: MID: 782107 Message deleted successfully from user@example.com mailbox.
Fri Aug 30 12:29:58 2019 Info: MID: 782107 Remediation succeeded with `o365-profile-1` profile for recipient user@example.com.

Beispiel für eine erfolgreiche Problembehebung für ein verkettetes Profil:

Mon Oct 14 15:01:01 2019 Info: MID: 24 Attempting to remediate using 'o365-profile-1' profile for recipient user@example.com. Attempt number : 1
Mon Oct 14 15:01:01 2019 Info: MID: 24 Trying to perform the delete action on Office 365 or Hybrid exchange for SHA256: 1e6f324982d4eb71ad967e79261a6435aef928b57bc523dbb3e7de4ed65941ab
recipient's (user@example.com) mailbox
Mon Oct 14 15:01:09 2019 Info: MID: 24 Unable to read message(s) from the recipient's (user@example.com) mailbox. Error: The mailbox cannot be accessed using this profile or the required
permissions can be missing
Mon Oct 14 15:01:09 2019 Info: MID: 24 Attempting to remediate using 'exchange-profile-1' profile for recipient user@example.com. Attempt number : 1
Mon Oct 14 15:01:09 2019 Info: MID: 24 Trying to perform the delete action on Exchange on-premises for SHA256: 1e6f324982d4eb71ad967e79261a6435aef928b57bc523dbb3e7de4ed65941ab
recipient's (user@example.com) mailbox.
Mon Oct 14 15:01:16 2019 Info: MID: 24 Message deleted successfully from user@example.com mailbox.
Mon Oct 14 15:01:16 2019 Info: MID: 24 Remediation succeeded with 'exchange-profile-1' profile for recipient user@example.com. Not trying further profile.

Ursache

AsyncOS 13.0 und neuere Versionen bieten erweiterte Unterstützung für die MAR-Bereitstellung. Diese erweiterte Unterstützung erfordert zusätzliche Kontoprofile, Domänenzuordnung und verkettete Profilkonfiguration, je nachdem, ob es sich bei der Exchange-Bereitstellung um Exchange Online, Exchange on-Premises, Hybrid oder Multi-Tenant handelt.

Verwandte Inhalte

• So konfigurieren Sie Azure AD- und Office 365-Postfacheinstellungen für die ESA
• Technischer Support und Dokumentation von Cisco
• Cisco Email Security Appliance - Produkt-Support
• Cisco Email Security Appliance - Versionshinweise
• Cisco Email Security Appliance – Endbenutzerhandbücher
• Cisco Content Security Management Appliance - Produkt-Support
• Cisco Content Security Management Appliance - Versionshinweise
• Cisco Content Security Management Appliance - Benutzerhandbücher

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
2.0	30-Sep-2026	Rezertifizierung - Aktualisierte SEO, Alternativer Text, Stilanforderungen und Formatierung.
1.0	17-Feb-2020	Erstveröffentlichung