Automatische Mailbox Remediation voor AsyncOS 13.0+ configureren

uitgifte

In dit document wordt beschreven hoe de MAR-functies (Mailbox Auto Remediation) in AsyncOS 13.0 en hoger kunnen worden geconfigureerd voor Exchange Online, Exchange on-premises, hybride en multi-tenant implementaties.

MAR werd geïntroduceerd in AsyncOS 10.0 en ondersteunde alleen Microsoft Office 365 Online.

AsyncOS 13.0 en nieuwere mogelijkheden omvatten:

• Microsoft Exchange Online – postvak gehost op Microsoft Office 365
• Microsoft Exchange on-premises – een lokale Microsoft Exchange-server
• Hybride en multi-tenant configuraties – een combinatie van mailboxen geconfigureerd voor Microsoft Exchange Online en Microsoft Exchange on-premises implementaties

De eerste installatiestappen zijn beschikbaar in de originele MAR-installatiehandleiding voor Microsoft Office 365, samen met een addendum dat wijzigingen in AsyncOS 13.0 en nieuwer beschrijft.

Het originele artikel blijft geldig en bevat een uitleg van de functie, evenals stappen om certificaten te genereren voor de Microsoft Office 365 Azure-implementatie, ESA-instellingen en algemene probleemoplossing.

Azure AD en Office 365 Mailbox Settings voor ESA configureren

Nieuwe wijzigingen in Azure API-machtigingen voor 13.0

De huidige gebruikershandleiding biedt meer gedetailleerde informatie over de functie Automatische probleemoplossing.

Zie het hoofdstuk getiteld Berichten automatisch herstellen in postvakken.

milieu

• AsyncOS 13.0 of nieuwer voor ESA
• Licentiesleutels voor bestandsreputatie en bestandsanalyse
• Microsoft Office 365 of Microsoft Exchange on-premises implementatie

resolutie

1. Gebruik voor Exchange Online-accountprofielen eerst deze Azure-configuratieartikelen om de Azure-toepassing, -certificaten en API-machtigingen te maken die vereist zijn door AsyncOS 13.0 en nieuwer:
   • Azure AD en Office 365 Mailbox Settings voor ESA configureren
2. Maak de vereiste accountprofielen aan in de ESA.
3. Configureer domeintoewijzing voor elk profiel.
4. Als de implementatie hybride of multi-tenant is, configureert u geketende profielen.
5. Test elk accountprofiel.

ESA 13.0 en nieuwer ondersteunen meerdere accountprofielen die zijn gemaakt met Exchange Online, Exchange on-premises of beide:

• Organisaties met complexe setups kunnen meerdere accountprofielen gebruiken wanneer domeinen worden gescheiden en op verschillende implementaties staan.
• Organisaties die een nieuwe acquisitie absorberen, kunnen het verworven domein opnemen in de MAR-functie.
  • Het aanmaken van meerdere accountprofielen biedt meer flexibiliteit dan eerdere ESA-mogelijkheden.

Exchange Online Microsoft Office 365-profiel configureren

Instructies voor het aanmaken van een accountprofiel voor Microsoft Office 365 in Azure zijn opgenomen in de artikelen waarnaar wordt verwezen in de sectie Probleem.

Selecteer Office 365 Hybrid Graph API om een postvak te configureren dat op Exchange Online is geïmplementeerd en voer de volgende gegevens in:

• Client-ID en Tenant-ID voor de toepassing die is geregistreerd in het Azure Management Portal.
• De certificaatduimafdruk (de waarde van $ base64Thumbprint).
• Klik op Bestand kiezen en selecteer het .pem-bestand om de privésleutel voor het certificaat te uploaden.
  Voorbeeldprofiel voor aansluiting op O365Voorbeeld van Exchange Online-accountprofiel

Exchange On-premises profiel configureren

Voor het maken van een accountprofiel voor een Exchange-installatie op locatie is een gebruikersaccount met de rol ApplicationImpersonation en een geldige hostwaarde vereist.

Voor deze methode is het aangewezen Exchange on-premises serviceaccount met de rol ApplicationImpersonation vereist.

1. Open in een browser de URL van Exchange Admin Center voor uw Exchange-on-premises omgeving. Bijvoorbeeld: https://mail.example.com/ecp/.
2. Nadat u zich hebt aangemeld, navigeert u naar Machtigingen > Beheerdersrollen.
3. Klik op Toevoegen om een nieuwe rolgroep te maken.
4. Als er al een rolgroep bestaat, voegt u de aangewezen gebruikersaccount als lid toe.
5. Voer de naam en de beschrijving van de rolgroep in.
6. Klik onder Rollen op Toevoegen.
7. Selecteer ApplicationImpersonation en klik vervolgens op Add.
8. Klik op OK.
9. Ga terug naar de nieuw gemaakte rolgroep, klik op Leden: +, zoek de aangewezen gebruikersaccount en voeg deze toe voor gebruik op de ESA.
10. Alle wijzigingen in Exchange vastleggen. Raadpleeg de documentatie bij Microsoft Support voor meer informatie.
11. Navigeer in de ESA-webinterface naar Systeembeheer > Accountinstellingen.
12. Maak het accountprofiel, en voer vervolgens de profielnaam in en beschrijving.
13. Selecteer Exchange On-Premise in de vervolgkeuzelijst Profieltype.
14. Voer de gebruikersnaam, het wachtwoord en de Host-waarde in.
15. Voer een geldige Exchange-server-hostnaam in voor de hostwaarde.
16. Klik op Verzenden en Wijzigen vastleggen.
    Voorbeeld van Exchange On-Premise-profielVoorbeeld van een Exchange-profiel op locatie
    Voorbeelden van MAR-profielenVoorbeelden van MAR-profielen

Domeintoewijzing configureren

Domeintoewijzing is de toewijzing van een of meer domeinen aan een accountprofiel.

Elke implementatie vereist ten minste één domeintoewijzing:

1. Navigeer in de ESA-webinterface naar Systeembeheer > Accountinstellingen > Domeintoewijzing maken.
2. Voer de domeinnamen in gescheiden door komma's. Aanvaardbare domeinformaten worden in de afbeelding weergegeven.
3. Als er slechts één accountprofiel in de configuratie is, voert u ALL in het veld Domeinnaam in.
4. Een domein kan maar één keer gebruikt worden.
   Voorbeeld van domeintoewijzingVoorbeeld van domeintoewijzing
   Afbeelding 1. Acceptabele domeinindelingenAcceptabele domeinformaten
   Voorbeeld van domeintoewijzingVoorbeeld van domeintoewijzing

Kettingprofielen configureren

Configureer alleen geketende profielen wanneer u berichten corrigeert in postvakken die deel uitmaken van een hybride of multi-tenant implementatie.

Voeg de profielen toe in volgorde van prioriteit, met eerst het meest gebruikte domeinprofiel.

1. Navigeer in de ESA-webinterface naar Systeembeheer > Accountinstellingen > Geketende profielen maken.
2. Voer de naam en de beschrijving van het profiel in.
3. Selecteer een domein in de vervolgkeuzelijst MAR Profile.
4. Klik op Accountprofiel toevoegen om een ander domeinprofiel toe te voegen totdat alle vereiste profielen zijn toegevoegd.
5. Klik op Verzenden en Wijzigen vastleggen.
   Ketenprofiel maken.Aanmaken van geketend profiel

Test elk accountprofiel

Bevestig elk accountprofiel door op de knop Verbinding testen in het individuele profiel te klikken.

1. Ga in de ESA-webinterface naar Systeembeheer > Accountinstellingen en kies vervolgens een van de accountprofielen.
2. Klik op de knop Verbinding testen linksonder.
3. Voer het e-mailadres in het veld E-mailadres in en klik op Verbinding testen.
   Test elk profiel om de geslaagde verbinding te controlerenVerbinding testen voor een accountprofiel

Probleemoplossing

Logs bevatten:

• mail_logs: Laatste herstelactie en samenvatting
• mar_logs: De volgorde waarin de sanering is uitgevoerd
• Verbindingsoptie testen in de gebruikersinterface: gebruikt om connectiviteit en machtigingen te verifiëren

Veel informatie kan worden bepaald door de e-mailtest vanuit accountinstellingen.

Problemen oplossen met behulp van testverbinding

Aan het SMTP-adres is geen postvak gekoppeld.

Het gebruikerspostvak dat wordt gebruikt, bestaat niet.

Toegang wordt geweigerd. Controleer de referenties en probeer het opnieuw.

De toepassing die in Microsoft Azure is geconfigureerd, beschikt niet over de vereiste API-machtigingen om toegang te krijgen tot het Microsoft Office 365-postvak.

Toepassing met id <client_id> is niet gevonden in de directory <tenant_id>.

De client-id op de pagina Accountprofielinstellingen is ongeldig.

Er is geen servicenaamruimte met de naam <tenant_id> gevonden in de gegevensopslag.

De gebruikersnaam van de huurder op de pagina Accountprofielinstellingen is ongeldig.

Fout bij valideren van referenties. Geloofsvalidatie is mislukt.

• Certificaat-vingerafdruk op de pagina Accountprofiel is ongeldig.
• Het profieltype dat wordt gebruikt om toegang te krijgen tot het postvak, kan onjuist zijn. Een on-premises mailbox wordt bijvoorbeeld geopend met behulp van een Microsoft Office 365-profiel.
• De vereiste machtigingen voor toegang tot het postvak kunnen ontbreken.

Ongeldige gebruikersnaam of wachtwoord ingevoerd voor de Exchange-server.

Gebruikersnaam en wachtwoord voor Impersonator-account die in het profiel zijn ingevoerd, zijn niet geldig.

Het account heeft geen toestemming om zich voor te doen als de gevraagde gebruiker.

Impersonator Rolrechten worden niet toegewezen aan de gebruikersaccount die in het profiel is geconfigureerd.

Controleer of host <hostname> een geldig Exchange-serveradres is.

De hostnaam van de Exchange-server die in het profiel is ingevoerd, is ongeldig.

Het postvak kan niet worden geopend met dit profiel of de vereiste machtigingen kunnen ontbreken.

Een geldig postvak wordt geopend met het verkeerde type profiel. Een on-premises mailbox wordt bijvoorbeeld geopend met behulp van een Microsoft Office 365-profiel.

Voorbeeld van succesvolle sanering voor één profiel:

Fri Aug 30 11:57:30 2019 Info: Process ready for Mailbox Remediation
Fri Aug 30 12:29:54 2019 Info: MID: 782107 Attempting to remediate using `o365-profile-1` profile for recipient user@example.com. Attempt number : 1
Fri Aug 30 12:29:54 2019 Info: MID: 782107 Trying to perform the forward and delete action on Office 365 or Hybrid exchange for SHA256: 
1e6f324982d4eb71ad967e79261a6435aef928b57bc523dbb3e7de4ed65941ab recipient's (user@example.com) mailbox.
Fri Aug 30 12:29:58 2019 Info: MID: 782107 Message forwarded successfully to admin@example.com.
Fri Aug 30 12:29:58 2019 Info: MID: 782107 Message deleted successfully from user@example.com mailbox.
Fri Aug 30 12:29:58 2019 Info: MID: 782107 Remediation succeeded with `o365-profile-1` profile for recipient user@example.com.

Voorbeeld van succesvolle sanering voor een geketend profiel:

Mon Oct 14 15:01:01 2019 Info: MID: 24 Attempting to remediate using 'o365-profile-1' profile for recipient user@example.com. Attempt number : 1
Mon Oct 14 15:01:01 2019 Info: MID: 24 Trying to perform the delete action on Office 365 or Hybrid exchange for SHA256: 1e6f324982d4eb71ad967e79261a6435aef928b57bc523dbb3e7de4ed65941ab
recipient's (user@example.com) mailbox
Mon Oct 14 15:01:09 2019 Info: MID: 24 Unable to read message(s) from the recipient's (user@example.com) mailbox. Error: The mailbox cannot be accessed using this profile or the required
permissions can be missing
Mon Oct 14 15:01:09 2019 Info: MID: 24 Attempting to remediate using 'exchange-profile-1' profile for recipient user@example.com. Attempt number : 1
Mon Oct 14 15:01:09 2019 Info: MID: 24 Trying to perform the delete action on Exchange on-premises for SHA256: 1e6f324982d4eb71ad967e79261a6435aef928b57bc523dbb3e7de4ed65941ab
recipient's (user@example.com) mailbox.
Mon Oct 14 15:01:16 2019 Info: MID: 24 Message deleted successfully from user@example.com mailbox.
Mon Oct 14 15:01:16 2019 Info: MID: 24 Remediation succeeded with 'exchange-profile-1' profile for recipient user@example.com. Not trying further profile.

Oorzaak

AsyncOS 13.0 en nieuwer introduceren uitgebreide MAR-implementatieondersteuning. Deze uitgebreide ondersteuning vereist extra accountprofielen, domeintoewijzing en configuratie van gekoppelde profielen, afhankelijk van het feit of de Exchange-implementatie Exchange Online, Exchange on-premises, hybride of multi-tenant is.

Gerelateerde inhoud

• Hoe Azure AD- en Office 365-mailboxinstellingen voor ESA te configureren
• Cisco technische ondersteuning en documentatie
• Cisco Email Security Appliance - Productondersteuning
• Cisco Email Security Appliance - Releaseopmerkingen
• Cisco e-mail security applicatie – eindgebruikershandleiding
• Cisco Content Security Management Appliance - Productondersteuning
• Cisco Content Security Management Appliance - Releaseopmerkingen
• Cisco Content Security Management Appliance - Handleidingen voor eindgebruikers

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
2.0	30-Sep-2026	Hercertificering - bijgewerkte SEO, Alt Text, Style Requirements en Formatting.
1.0	17-Feb-2020	Eerste vrijgave