Configurar la corrección automática de buzones para AsyncOS 13.0+

Problema

Este documento describe cómo configurar las funciones de Remediación automática de buzones de correo (MAR) en AsyncOS 13.0 y versiones posteriores para implementaciones de Exchange Online, Exchange in situ, híbridas y de varios arrendatarios.

MAR se introdujo en AsyncOS 10.0 y sólo es compatible con Microsoft Office 365 Online.

AsyncOS 13.0 y las funciones más recientes incluyen:

• Microsoft Exchange Online: buzón alojado en Microsoft Office 365
• Microsoft Exchange local: un servidor local de Microsoft Exchange
• Configuraciones híbridas y de varios arrendatarios: una combinación de buzones de correo configurados en implementaciones in situ de Microsoft Exchange Online y Microsoft Exchange.

Los pasos de configuración iniciales están disponibles en la guía de configuración de MAR original para Microsoft Office 365, junto con un apéndice que describe los cambios en AsyncOS 13.0 y versiones posteriores.

El artículo original sigue siendo válido y abarca una explicación de la característica, así como los pasos para generar certificados para la implementación de Microsoft Office 365 Azure, la configuración de ESA y la solución general de problemas.

Cómo configurar las opciones de casilla de correo de Azure AD y Office 365 para ESA

Nuevos cambios en los permisos de la API de Azure para 13.0

La Guía del usuario actual proporciona información más detallada sobre la función de remediación automática.

Consulte el capítulo Remediación automática de mensajes en buzones de correo.

Entorno

• AsyncOS 13.0 o posterior para ESA
• Claves de licencia para Reputación y análisis de archivos
• Implementación in situ de Microsoft Office 365 o Microsoft Exchange

Resolución

1. Para los perfiles de cuenta de Exchange Online, utilice primero estos artículos de configuración de Azure para crear la aplicación de Azure, los certificados y los permisos de API requeridos por AsyncOS 13.0 y versiones posteriores:
   • Cómo configurar las opciones de casilla de correo de Azure AD y Office 365 para ESA
2. Cree los perfiles de cuenta necesarios en el ESA.
3. Configure la asignación de dominios para cada perfil.
4. Si la implementación es híbrida o de varios arrendatarios, configure perfiles en cadena.
5. Pruebe cada perfil de cuenta.

ESA 13.0 y las versiones más recientes admiten múltiples perfiles de cuenta creados con Exchange Online, Exchange in situ o ambos:

• Las organizaciones con configuraciones complejas pueden utilizar varios perfiles de cuenta cuando los dominios están separados y residen en implementaciones diferentes.
• Las organizaciones que absorben una nueva adquisición pueden incluir el dominio adquirido en la función MAR.
  • La creación de varios perfiles de cuenta proporciona más flexibilidad que las capacidades de ESA anteriores.

Configurar el perfil de Microsoft Office 365 de Exchange Online

Las instrucciones para crear un perfil de cuenta para Microsoft Office 365 en Azure se incluyen en los artículos a los que se hace referencia en la sección Problema.

Seleccione Office 365 Hybrid Graph API para configurar un buzón implementado en Exchange Online e introduzca estos detalles:

• ID de cliente e ID de arrendatario para la aplicación registrada en Azure Management Portal.
• La huella digital del certificado (el valor de $base64Thumbprint).
• Haga clic en Choose File y seleccione el archivo .pem para cargar la clave privada para el certificado.
  Perfil de muestra conectándose a O365Ejemplo de perfil de cuenta de Exchange Online

Configurar perfil local de Exchange

La creación de un perfil de cuenta para una instancia local de Exchange requiere una cuenta de usuario con el rol ApplicationImpersonation y un valor de host válido.

Este método requiere la cuenta de servicio local de Exchange designada con la función ApplicationImpersonation.

1. En un navegador, abra la URL Exchange Admin Center para su entorno local de Exchange. Por ejemplo: https://mail.example.com/ecp/.
2. Después de iniciar sesión, navegue hasta Permisos > Roles de administrador.
3. Haga clic en Agregar para crear un nuevo grupo de funciones.
4. Si ya existe un grupo de funciones, agregue la cuenta de usuario designada como miembro.
5. Introduzca el nombre y la descripción del grupo de funciones.
6. En Roles, haga clic en Agregar.
7. Seleccione ApplicationImpersonation y, a continuación, haga clic en Agregar.
8. Click OK.
9. Vuelva al grupo de funciones recién creado y haga clic en Miembros: +, busque la cuenta de usuario designada y agréguela para utilizarla en el ESA.
10. Registrar todos los cambios en Exchange. Para obtener más información, consulte la documentación de Soporte técnico de Microsoft.
11. En la interfaz web de ESA, navegue hasta Administración del sistema > Configuración de la cuenta.
12. Cree el perfil de cuenta y, a continuación, introduzca el nombre y la descripción del perfil.
13. En la lista desplegable Profile Type, seleccione Exchange On-Premisse.
14. Ingrese el valor username, password y Host.
15. Especifique un nombre de host del servidor Exchange válido para el valor Host.
16. Haga clic en Enviar, luego en Registrar cambios.
    Ejemplo de perfil local de ExchangeEjemplo de perfil de cuenta local de Exchange
    Ejemplos de perfiles de cuenta MAREjemplos de perfiles de cuenta MAR

Configurar asignación de dominio

La asignación de dominios es la asignación de uno o más dominios a un perfil de cuenta.

Cada implementación requiere al menos una asignación de dominio:

1. En la interfaz web de ESA, navegue hasta Administración del sistema > Configuración de la cuenta > Crear asignación de dominio.
2. Introduzca los nombres de dominio separados por comas. En la imagen se muestran los formatos de dominio aceptables.
3. Si sólo hay un perfil de cuenta en la configuración, introduzca ALL en el campo Domain Name.
4. Un dominio sólo se puede utilizar una vez.
   Ejemplo Domain MappingEjemplo de asignación de dominio
   Imagen 1. Formatos de dominio aceptablesFormatos de dominio aceptables
   Ejemplo Domain MappingEjemplo de asignación de dominio

Configurar perfiles en cadena

Configure los perfiles en cadena sólo cuando solucione mensajes en buzones que formen parte de una implementación híbrida o de varios arrendatarios.

Agregue los perfiles en orden de prioridad, con el perfil de dominio más utilizado en primer lugar.

1. En la interfaz web de ESA, navegue hasta Administración del sistema > Configuración de la cuenta > Crear perfiles en cadena.
2. Ingrese el Profile Name y la Description.
3. Seleccione un dominio de la lista desplegable MAR Profile.
4. Haga clic en Add Account Profile para agregar otro perfil de dominio hasta que se agreguen todos los perfiles requeridos.
5. Haga clic en Enviar, luego en Registrar cambios.
   Creación de perfiles de cadena.Creación de perfil en cadena

Probar cada perfil de cuenta

Confirme cada perfil de cuenta haciendo clic en el botón Test Connection en el perfil individual.

1. En la interfaz web ESA, navegue hasta Administración del sistema > Configuración de la cuenta, y luego elija uno de los perfiles de cuenta.
2. Haga clic en el botón Test Connection en la esquina inferior izquierda.
3. Ingrese la dirección de correo electrónico en el campo Email Address y luego haga clic en Test Connection .
   Pruebe cada perfil para verificar la conectividad correctaProbar conexión para un perfil de cuenta

Resolución de problemas

Los registros contienen:

• mail_logs: Resumen y acción de remediación final
• mar_logs: Secuencia en la que se realizó la remediación
• Probar conexión en la interfaz de usuario: se utiliza para comprobar la conectividad y los permisos

Se puede determinar mucha información mediante la prueba de correo electrónico de Configuración de la cuenta.

Solución de problemas mediante Probar conexión

La dirección SMTP no tiene ningún buzón asociado.

El buzón de usuario que se está utilizando no existe.

El acceso es denegado. Compruebe las credenciales e inténtelo de nuevo.

La aplicación configurada en Microsoft Azure no tiene los permisos de API necesarios para obtener acceso al buzón de correo de Microsoft Office 365.

No se encontró la aplicación con el identificador <client_id> en el directorio <tenant_id>.

La ID de cliente de la página de configuración del perfil de cuenta no es válida.

No se encontró ningún espacio de nombres de servicio denominado <tenant_id> en el almacén de datos.

La ID de arrendatario de la página de configuración del perfil de cuenta no es válida.

Error al validar las credenciales. Error de validación de credenciales.

• La huella digital del certificado en la página Perfil de cuenta no es válida.
• El tipo de perfil utilizado para acceder al buzón puede ser incorrecto. Por ejemplo, se tiene acceso a un buzón en las instalaciones mediante un perfil de Microsoft Office 365.
• Pueden faltar los permisos necesarios para acceder al buzón.

Nombre de usuario o contraseña no válidos introducidos para el servidor de Exchange.

El nombre de usuario y la contraseña de la cuenta de suplantador introducidos en el perfil no son válidos.

La cuenta no tiene permiso para suplantar al usuario solicitado.

Los privilegios de rol de suplantador no están asignados a la cuenta de usuario configurada en el perfil.

Verifique que el host <hostname> sea una dirección de servidor Exchange válida.

El nombre de host del servidor Exchange local introducido en el perfil no es válido.

No se puede acceder al buzón mediante este perfil o pueden faltar los permisos necesarios.

Se está accediendo a un buzón válido utilizando el tipo de perfil incorrecto. Por ejemplo, se tiene acceso a un buzón en las instalaciones mediante un perfil de Microsoft Office 365.

Ejemplo de remediación correcta para un único perfil:

Fri Aug 30 11:57:30 2019 Info: Process ready for Mailbox Remediation
Fri Aug 30 12:29:54 2019 Info: MID: 782107 Attempting to remediate using `o365-profile-1` profile for recipient user@example.com. Attempt number : 1
Fri Aug 30 12:29:54 2019 Info: MID: 782107 Trying to perform the forward and delete action on Office 365 or Hybrid exchange for SHA256: 
1e6f324982d4eb71ad967e79261a6435aef928b57bc523dbb3e7de4ed65941ab recipient's (user@example.com) mailbox.
Fri Aug 30 12:29:58 2019 Info: MID: 782107 Message forwarded successfully to admin@example.com.
Fri Aug 30 12:29:58 2019 Info: MID: 782107 Message deleted successfully from user@example.com mailbox.
Fri Aug 30 12:29:58 2019 Info: MID: 782107 Remediation succeeded with `o365-profile-1` profile for recipient user@example.com.

Ejemplo de remediación correcta para un perfil en cadena:

Mon Oct 14 15:01:01 2019 Info: MID: 24 Attempting to remediate using 'o365-profile-1' profile for recipient user@example.com. Attempt number : 1
Mon Oct 14 15:01:01 2019 Info: MID: 24 Trying to perform the delete action on Office 365 or Hybrid exchange for SHA256: 1e6f324982d4eb71ad967e79261a6435aef928b57bc523dbb3e7de4ed65941ab
recipient's (user@example.com) mailbox
Mon Oct 14 15:01:09 2019 Info: MID: 24 Unable to read message(s) from the recipient's (user@example.com) mailbox. Error: The mailbox cannot be accessed using this profile or the required
permissions can be missing
Mon Oct 14 15:01:09 2019 Info: MID: 24 Attempting to remediate using 'exchange-profile-1' profile for recipient user@example.com. Attempt number : 1
Mon Oct 14 15:01:09 2019 Info: MID: 24 Trying to perform the delete action on Exchange on-premises for SHA256: 1e6f324982d4eb71ad967e79261a6435aef928b57bc523dbb3e7de4ed65941ab
recipient's (user@example.com) mailbox.
Mon Oct 14 15:01:16 2019 Info: MID: 24 Message deleted successfully from user@example.com mailbox.
Mon Oct 14 15:01:16 2019 Info: MID: 24 Remediation succeeded with 'exchange-profile-1' profile for recipient user@example.com. Not trying further profile.

Causa

AsyncOS 13.0 y versiones más recientes presentan compatibilidad ampliada con la implementación de MAR. Esta compatibilidad ampliada requiere un perfil de cuenta, una asignación de dominios y una configuración de perfil en cadena adicionales en función de si la implementación de Exchange es Exchange Online, Exchange in situ, híbrida o de varios arrendatarios.

Contenido relacionado

• Cómo configurar las opciones del buzón de Azure AD y Office 365 para ESA
• Documentación y soporte técnico de Cisco
• Dispositivo de seguridad Cisco Email Security Appliance - Asistencia para productos
• Cisco Email Security Appliance: notas de la versión
• Dispositivo de seguridad Cisco Email Security Appliance: guías del usuario final
• Cisco Content Security Management Appliance - Asistencia para productos
• Cisco Content Security Management Appliance: notas de la versión
• Cisco Content Security Management Appliance: Guías para el usuario final

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
2.0	30-Sep-2026	Recertificación: Actualización de SEO, texto alternativo, requisitos de estilo y formato.
1.0	17-Feb-2020	Versión inicial