Configura monitoraggio e aggiornamento automatici delle cassette postali per AsyncOS 13.0+

Problema

In questo documento viene descritto come configurare le funzionalità di risoluzione automatica delle cassette postali in AsyncOS 13.0 e versioni successive per le distribuzioni Exchange Online, Exchange on-premises, ibrida e multi-tenant.

Il formato MAR è stato introdotto in AsyncOS 10.0 e supporta solo Microsoft Office 365 Online.

AsyncOS 13.0 e versioni successive includono:

• Microsoft Exchange Online - cassetta postale ospitata in Microsoft Office 365
• Microsoft Exchange in locale - un server locale di Microsoft Exchange
• Configurazioni ibride e multi-tenant: una combinazione di caselle di posta configurate nelle installazioni Microsoft Exchange Online e Microsoft Exchange in locale

Le fasi iniziali di installazione sono disponibili nella guida originale di installazione di AMX per Microsoft Office 365, insieme a un addendum che descrive le modifiche in AsyncOS 13.0 e versioni successive.

L'articolo originale rimane valido e descrive la funzionalità, la procedura per generare certificati per l'implementazione di Microsoft Office 365 Azure, le impostazioni ESA e la risoluzione dei problemi generale.

Come configurare le impostazioni delle cassette postali di Azure AD e Office 365 per ESA

Nuove modifiche alle autorizzazioni API di Azure per 13.0

La Guida per l'utente corrente fornisce informazioni più dettagliate sulla funzione di risoluzione automatica.

Vedere il capitolo intitolato, Correzione automatica dei messaggi nelle cassette postali.

Ambiente

• AsyncOS 13.0 o versione successiva per ESA
• Codici di licenza per la reputazione e l'analisi dei file
• Installazione locale di Microsoft Office 365 o Microsoft Exchange

Risoluzione

1. Per i profili account di Exchange Online, utilizzare prima gli articoli di configurazione di Azure per creare l'applicazione di Azure, i certificati e le autorizzazioni API richieste da AsyncOS 13.0 e versioni successive:
   • Come configurare le impostazioni delle cassette postali di Azure AD e Office 365 per ESA
2. Creare i profili di conto richiesti nel SEC.
3. Configurare il mapping del dominio per ogni profilo.
4. Se la distribuzione è ibrida o multi-tenant, configurare i profili concatenati.
5. Verificare ogni profilo account.

ESA 13.0 e versioni successive supportano più profili di account creati con Exchange Online, Exchange on-premises o entrambi:

• Le organizzazioni con impostazioni complesse possono utilizzare più profili di account quando i domini vengono separati e risiedono in distribuzioni diverse.
• Le organizzazioni che assorbono una nuova acquisizione possono includere il dominio acquisito nella funzione MAR.
  • La creazione di più profili di conto offre una maggiore flessibilità rispetto alle funzionalità ESA precedenti.

Configura profilo Microsoft Office 365 di Exchange Online

Le istruzioni per creare un profilo account per Microsoft Office 365 in Azure sono incluse negli articoli a cui si fa riferimento nella sezione Problema.

Selezionare Office 365 Hybrid Graph API per configurare una cassetta postale distribuita in Exchange Online e immettere i seguenti dettagli:

• ID client e ID tenant per l'applicazione registrata nel portale di gestione di Azure.
• Identificazione personale del certificato (il valore di $base64Thumbprint).
• Fare clic su Choose File (Scegli file) e selezionare il file con estensione pem per caricare la chiave privata per il certificato.
  Profilo di esempio per la connessione a O365Esempio di profilo account di Exchange Online

Configura profilo locale di Exchange

La creazione di un profilo account per un'istanza locale di Exchange richiede un account utente con il ruolo ApplicationImpersonation e un valore host valido.

Questo metodo richiede l'account del servizio locale di Exchange designato con il ruolo ApplicationImpersonation.

1. In un browser, aprire l'URL dell'interfaccia di amministrazione di Exchange per l'ambiente locale di Exchange. Ad esempio: https://mail.example.com/ecp/.
2. Dopo aver eseguito l'accesso, passare a Autorizzazioni > Ruoli amministrativi.
3. Fare clic su Aggiungi per creare un nuovo gruppo di ruoli.
4. Se esiste già un gruppo di ruoli, aggiungere l'account utente designato come membro.
5. Immettere il nome e la descrizione del gruppo di ruoli.
6. In Ruoli fare clic su Aggiungi.
7. Selezionare ApplicationImpersonation, quindi fare clic su Aggiungi.
8. Fare clic su OK.
9. Tornare al gruppo di ruoli appena creato, fare clic su Membri: +, individuare l'account utente designato e aggiungerlo per l'uso sull'ESA.
10. Eseguire il commit di tutte le modifiche in Exchange. Per ulteriori informazioni, consultare la documentazione del supporto tecnico Microsoft.
11. Nell'interfaccia Web ESA, selezionare System Administration > Account Settings (Amministrazione sistema > Impostazioni account).
12. Creare il profilo account, quindi immettere il nome del profilo e la descrizione.
13. Dall'elenco a discesa Tipo di profilo, selezionare Exchange On-Premise.
14. Immettere il nome utente, la password e il valore Host.
15. Immettere un nome host del server Exchange valido per il valore Host.
16. Fare clic su Invia, quindi su Conferma modifiche.
    Profilo Exchange locale di esempioEsempio di profilo di account locale di Exchange
    Esempi di profili di conto MAREsempi di profili di account MAR

Configura mapping domini

Il mapping dei domini è l'assegnazione di uno o più domini a un profilo account.

Ogni implementazione richiede almeno un mapping di dominio:

1. Nell'interfaccia Web ESA, selezionare Amministrazione di sistema > Impostazioni account > Crea mapping di dominio.
2. Immettere i nomi di dominio separati da virgole. Nell'immagine sono mostrati formati di dominio accettabili.
3. Se nella configurazione è presente un solo profilo account, immettere ALL nel campo Nome dominio.
4. Un dominio può essere utilizzato una sola volta.
   Esempio di mapping dei dominiEsempio di mapping di dominio
   Immagine 1. Formati di dominio accettabiliFormati di dominio accettati
   Esempio di mapping dei dominiEsempio di mapping di dominio

Configura profili concatenati

Configurare i profili concatenati solo quando si correggono i messaggi nelle cassette postali che fanno parte di una distribuzione ibrida o multi-tenant.

Aggiungere i profili in ordine di priorità, partendo dal profilo di dominio più utilizzato.

1. Nell'interfaccia Web dell'ESA, selezionare Amministrazione sistema > Impostazioni account > Crea profili concatenati.
2. Immettere il nome e la descrizione del profilo.
3. Selezionare un dominio dall'elenco a discesa MAR Profile.
4. Fare clic su Add Account Profile (Aggiungi profilo account) per aggiungere un altro profilo di dominio finché non vengono aggiunti tutti i profili richiesti.
5. Fare clic su Invia, quindi su Conferma modifiche.
   Creazione di profili in serie.Creazione di profili concatenati

Verifica di ogni profilo account

Confermare ciascun profilo di account facendo clic sul pulsante Test connessione nel singolo profilo.

1. Nell'interfaccia Web ESA, selezionare System Administration > Account Settings (Amministrazione sistema), quindi scegliere uno dei profili di account.
2. Fare clic sul pulsante Test connessione nell'angolo inferiore sinistro.
3. Immettere l'indirizzo di posta elettronica nel campo Email Address e fare clic su Test connessione.
   Verificare la corretta connettività con ciascun profiloVerifica connessione per un profilo account

Risoluzione dei problemi

I registri contengono:

• log_posta: Azione correttiva finale e riepilogo
• mar_log: Sequenza in cui è stata eseguita la correzione
• Opzione Test connessione nell'interfaccia utente: utilizzato per verificare la connettività e le autorizzazioni

Molte informazioni possono essere determinate dal test e-mail da Impostazioni account.

Risoluzione dei problemi con Test connessione

Nessuna cassetta postale associata all'indirizzo SMTP.

La cassetta postale dell'utente in uso non esiste.

Accesso negato. Controllare le credenziali e riprovare.

L'applicazione configurata in Microsoft Azure non dispone delle autorizzazioni API necessarie per accedere alla cassetta postale di Microsoft Office 365.

Impossibile trovare l'applicazione con identificatore <id_client> nella directory <id_tenant>.

ID client non valido nella pagina Impostazioni profilo account.

Nessuno spazio dei nomi del servizio denominato <tenant_id> trovato nell'archivio dati.

L'ID tenant nella pagina Impostazioni profilo account non è valido.

Errore durante la convalida delle credenziali. Convalida credenziali non riuscita.

• L'identificazione personale del certificato nella pagina Profilo account non è valida.
• Il tipo di profilo utilizzato per accedere alla cassetta postale può essere errato. Ad esempio, una cassetta postale locale è accessibile utilizzando un profilo di Microsoft Office 365.
• È possibile che manchino le autorizzazioni necessarie per accedere alla cassetta postale.

Nome utente o password non validi immessi per il server Exchange.

Il nome utente e la password dell'account di rappresentazione immessi nel profilo non sono validi.

L'account non dispone dell'autorizzazione per rappresentare l'utente richiesto.

I privilegi del ruolo di rappresentazione non sono assegnati all'account utente configurato nel profilo.

Verificare che l'host <hostname> sia un indirizzo di server Exchange valido.

Il nome host del server Exchange locale immesso nel profilo non è valido.

Impossibile accedere alla cassetta postale utilizzando questo profilo oppure le autorizzazioni necessarie potrebbero non essere disponibili.

È in corso l'accesso a una cassetta postale valida utilizzando il tipo di profilo errato. Ad esempio, una cassetta postale locale è accessibile utilizzando un profilo di Microsoft Office 365.

Esempio di risoluzione riuscita per un singolo profilo:

Fri Aug 30 11:57:30 2019 Info: Process ready for Mailbox Remediation
Fri Aug 30 12:29:54 2019 Info: MID: 782107 Attempting to remediate using `o365-profile-1` profile for recipient user@example.com. Attempt number : 1
Fri Aug 30 12:29:54 2019 Info: MID: 782107 Trying to perform the forward and delete action on Office 365 or Hybrid exchange for SHA256: 
1e6f324982d4eb71ad967e79261a6435aef928b57bc523dbb3e7de4ed65941ab recipient's (user@example.com) mailbox.
Fri Aug 30 12:29:58 2019 Info: MID: 782107 Message forwarded successfully to admin@example.com.
Fri Aug 30 12:29:58 2019 Info: MID: 782107 Message deleted successfully from user@example.com mailbox.
Fri Aug 30 12:29:58 2019 Info: MID: 782107 Remediation succeeded with `o365-profile-1` profile for recipient user@example.com.

Esempio di correzione riuscita per un profilo concatenato:

Mon Oct 14 15:01:01 2019 Info: MID: 24 Attempting to remediate using 'o365-profile-1' profile for recipient user@example.com. Attempt number : 1
Mon Oct 14 15:01:01 2019 Info: MID: 24 Trying to perform the delete action on Office 365 or Hybrid exchange for SHA256: 1e6f324982d4eb71ad967e79261a6435aef928b57bc523dbb3e7de4ed65941ab
recipient's (user@example.com) mailbox
Mon Oct 14 15:01:09 2019 Info: MID: 24 Unable to read message(s) from the recipient's (user@example.com) mailbox. Error: The mailbox cannot be accessed using this profile or the required
permissions can be missing
Mon Oct 14 15:01:09 2019 Info: MID: 24 Attempting to remediate using 'exchange-profile-1' profile for recipient user@example.com. Attempt number : 1
Mon Oct 14 15:01:09 2019 Info: MID: 24 Trying to perform the delete action on Exchange on-premises for SHA256: 1e6f324982d4eb71ad967e79261a6435aef928b57bc523dbb3e7de4ed65941ab
recipient's (user@example.com) mailbox.
Mon Oct 14 15:01:16 2019 Info: MID: 24 Message deleted successfully from user@example.com mailbox.
Mon Oct 14 15:01:16 2019 Info: MID: 24 Remediation succeeded with 'exchange-profile-1' profile for recipient user@example.com. Not trying further profile.

Causa

AsyncOS 13.0 e versioni successive introducono il supporto esteso per la distribuzione di AMAR. Questo supporto esteso richiede un profilo account, un mapping di dominio e una configurazione di profilo concatenato aggiuntivi a seconda che la distribuzione di Exchange sia Exchange Online, Exchange locale, ibrida o multi-tenant.

Contenuto correlato

• Come configurare le impostazioni delle cassette postali di Azure AD e Office 365 per ESA
• Documentazione e supporto tecnico Cisco
• Cisco Email Security Appliance - Supporto dei prodotti
• Cisco Email Security Appliance - Note di rilascio
• Cisco Email Security Appliance - Guide per l'utente
• Cisco Content Security Management Appliance - Supporto dei prodotti
• Cisco Content Security Management Appliance - Note sulla release
• Cisco Content Security Management Appliance - Guide per l'utente

Cronologia delle revisioni

Revisione	Data di pubblicazione	Commenti
2.0	30-Sep-2026	Certificazione: SEO, testo alternativo, requisiti di stile e formattazione aggiornati.
1.0	17-Feb-2020	Versione iniziale