為AsyncOS 13.0+配置郵箱自動補救

問題

本文檔介紹如何在AsyncOS 13.0及更高版本中為Exchange Online、Exchange內部部署、混合部署和多租戶部署配置郵箱自動補救(MAR)功能。

MAR是在AsyncOS 10.0中引入的，僅支援Microsoft Office 365 Online。

AsyncOS 13.0和更新功能包括：

• Microsoft Exchange Online — 託管在Microsoft Office 365上的郵箱
• Microsoft Exchange內部部署 — 本地Microsoft Exchange伺服器
• 混合和多租戶配置 — 跨Microsoft Exchange Online和Microsoft Exchange內部部署配置的郵箱組合

Microsoft Office 365的原始MAR安裝指南中提供了初始安裝步驟，另外還有一個說明在AsyncOS 13.0及更新版本中更改的附錄。

原始文章仍然有效，並包含對該功能的說明，以及為Microsoft Office 365 Azure實施、ESA設定和常規故障排除生成證書的步驟。

如何為ESA配置Azure AD和Office 365郵箱設定

對13.0的Azure API許可權的新更改

當前的使用手冊提供了有關自動修正功能的更多詳細資訊。

請參閱標題為「自動修正郵箱中的郵件」一章。

環境

• 適用於ESA的AsyncOS 13.0或更高版本
• 用於檔案信譽和檔案分析的許可證金鑰
• Microsoft Office 365或Microsoft Exchange內部部署

解析

1. 對於Exchange Online帳戶配置檔案，請先使用以下Azure配置文章建立AsyncOS 13.0及更新版本所需的Azure應用程式、證書和API許可權：
   • 如何為ESA配置Azure AD和Office 365郵箱設定
2. 在ESA中建立所需的帳戶配置檔案。
3. 為每個配置檔案配置域對映。
4. 如果部署是混合或多租戶，請配置鏈結配置檔案。
5. 測試每個帳戶配置檔案。

ESA 13.0和更新版本支援使用Exchange Online、Exchange內部部署或同時使用兩者建立多個帳戶配置檔案：

• 如果域被隔離並駐留在不同的部署中，具有複雜設定的組織可以使用多個帳戶配置檔案。
• 接受新收購的企業可以在MAR功能中包括收購的域。
  • 與以前的ESA功能相比，建立多個帳戶配置檔案可提供更大的靈活性。

配置Exchange Online Microsoft Office 365配置檔案

有關在Azure中為Microsoft Office 365建立帳戶配置檔案的說明包含在「問題」部分的引用文章中。

選擇Office 365混合圖形API以配置在Exchange Online上部署的郵箱，並輸入以下詳細資訊：

• 在Azure管理門戶中註冊的應用程式的客戶端ID和租戶ID。
• 證書指紋（$base64Thumbprint的值）。
• 按一下「Choose File」，然後選擇.pem檔案以上傳憑證的私密金鑰。
  連線到O365的示例配置檔案Exchange Online帳戶配置檔案示例

配置Exchange內部部署配置檔案

為Exchange內部部署例項建立帳戶配置檔案需要具有ApplicationImpersonation角色和有效主機值的使用者帳戶。

此方法需要具有ApplicationImpersonation角色的指定Exchange內部部署服務帳戶。

1. 在瀏覽器中，開啟Exchange本地環境的Exchange Admin Center URL。舉例來說：https://mail.example.com/ecp/。
2. 登入後，導航到許可權>管理員角色。
3. 按一下Add以建立新的角色組。
4. 如果角色組已存在，請將指定的使用者帳戶新增為成員。
5. 輸入role group name和description。
6. 在Roles下，按一下Add。
7. 選擇ApplicationImpersonation，然後按一下Add。
8. 按一下「OK」（確定）。
9. 返回新建立的角色組，按一下Members:+，找到指定的使用者帳戶，並將其新增以在ESA上使用。
10. 提交Exchange中的所有更改。有關詳細資訊，請參閱Microsoft支援文檔。
11. 在ESA Web介面中，導航到System Administration > Account Settings。
12. 建立account profile，然後輸入profile name和description。
13. 在「Profile Type」下拉式清單中選擇Exchange On-Premise。
14. 輸入username、password和Host值。
15. 為Host值輸入有效的Exchange server host名稱。
16. 按一下Submit，然後按一下Commit Changes。
    Exchange內部部署配置檔案示例Exchange內部部署帳戶配置檔案示例
    MAR帳戶配置檔案示例MAR帳戶配置檔案示例

配置域對映

域對映是將一個或多個域分配給帳戶配置檔案。

每個實現至少需要一個域對映：

1. 在ESA Web介面中，導航到系統管理>帳戶設定>建立域對映。
2. 輸入域名，用逗號分隔。圖中顯示了可接受的域格式。
3. 如果配置中只有一個帳戶配置檔案，請在域名欄位中輸入ALL。
4. 一個域只能使用一次。
   域對映示例域對映示例
   圖1.可接受的域格式可接受的域格式
   域對映示例域對映示例

配置鏈結配置檔案

僅當補救屬於混合部署或多租戶部署的郵箱中的郵件時，才配置鏈結配置檔案。

按優先順序順序新增配置檔案，首先使用最頻繁的域配置檔案。

1. 在ESA Web介面中，導航至系統管理>帳戶設定>建立鏈結配置檔案。
2. 輸入設定檔名稱和說明。
3. 從MAR Profile 下拉選單中選擇域。
4. 按一下Add Account Profile 新增另一個域配置檔案，直到新增所有必需的配置檔案。
5. 按一下Submit，然後按一下Commit Changes。
   建立鏈配置檔案。連結配置檔案建立

測試每個帳戶配置檔案

通過按一下各個配置檔案中的Test Connection按鈕確認每個帳戶配置檔案。

1. 在ESA Web介面中，導航到系統管理 > 帳戶設定，然後選擇其中一個帳戶配置檔案。
2. 按一下左下角的Test Connection按鈕。
3. 在「Email Address 」欄位中輸入email 位址，然後按一下Test Connection。
   測試每個配置檔案以驗證連線是否成功測試帳戶配置檔案的連線

疑難排解

日誌包含：

• mail_logs:最終補救行動和摘要
• mar_logs:執行補救的順序
• UI中的「測試連線」選項：用於驗證連線和許可權

許多資訊都可以通過「Account Settings（帳戶設定）」中的電子郵件測試確定。

使用測試連線進行故障排除

SMTP地址沒有與之關聯的郵箱。

正在使用的使用者郵箱不存在。

訪問被拒絕。請檢查憑據並重試。

在Microsoft Azure中配置的應用程式沒有訪問Microsoft Office 365郵箱所需的API許可權。

在目錄<tenant_id>中找不到識別符號為<client_id>的應用程式。

帳戶配置檔案設定頁面上的客戶端ID無效。

在資料儲存中找不到名為<tenant_id>的服務名稱空間。

帳戶配置檔案設定頁面上的租戶ID無效。

驗證憑據時出錯。憑據驗證失敗。

• 帳戶配置檔案頁上的證書指紋無效。
• 用於訪問郵箱的配置檔案型別可能不正確。例如，通過使用Microsoft Office 365配置檔案訪問本地郵箱。
• 可能缺少訪問郵箱所需的許可權。

為Exchange伺服器輸入的使用者名稱或密碼無效。

在配置檔案中輸入的模擬者帳戶使用者名稱和密碼無效。

該帳戶沒有模擬所請求使用者的許可權。

未向配置檔案中配置的使用者帳戶分配模擬器角色許可權。

請檢查主機<hostname>是有效的exchange server地址。

在配置檔案中輸入的本地Exchange伺服器主機名無效。

無法使用此配置檔案訪問郵箱，或者可能缺少所需的許可權。

使用錯誤型別的配置檔案正在訪問有效的郵箱。例如，通過使用Microsoft Office 365配置檔案訪問本地郵箱。

單個配置檔案的成功補救示例：

Fri Aug 30 11:57:30 2019 Info: Process ready for Mailbox Remediation
Fri Aug 30 12:29:54 2019 Info: MID: 782107 Attempting to remediate using `o365-profile-1` profile for recipient user@example.com. Attempt number : 1
Fri Aug 30 12:29:54 2019 Info: MID: 782107 Trying to perform the forward and delete action on Office 365 or Hybrid exchange for SHA256: 
1e6f324982d4eb71ad967e79261a6435aef928b57bc523dbb3e7de4ed65941ab recipient's (user@example.com) mailbox.
Fri Aug 30 12:29:58 2019 Info: MID: 782107 Message forwarded successfully to admin@example.com.
Fri Aug 30 12:29:58 2019 Info: MID: 782107 Message deleted successfully from user@example.com mailbox.
Fri Aug 30 12:29:58 2019 Info: MID: 782107 Remediation succeeded with `o365-profile-1` profile for recipient user@example.com.

鏈結配置檔案的成功修復示例：

Mon Oct 14 15:01:01 2019 Info: MID: 24 Attempting to remediate using 'o365-profile-1' profile for recipient user@example.com. Attempt number : 1
Mon Oct 14 15:01:01 2019 Info: MID: 24 Trying to perform the delete action on Office 365 or Hybrid exchange for SHA256: 1e6f324982d4eb71ad967e79261a6435aef928b57bc523dbb3e7de4ed65941ab
recipient's (user@example.com) mailbox
Mon Oct 14 15:01:09 2019 Info: MID: 24 Unable to read message(s) from the recipient's (user@example.com) mailbox. Error: The mailbox cannot be accessed using this profile or the required
permissions can be missing
Mon Oct 14 15:01:09 2019 Info: MID: 24 Attempting to remediate using 'exchange-profile-1' profile for recipient user@example.com. Attempt number : 1
Mon Oct 14 15:01:09 2019 Info: MID: 24 Trying to perform the delete action on Exchange on-premises for SHA256: 1e6f324982d4eb71ad967e79261a6435aef928b57bc523dbb3e7de4ed65941ab
recipient's (user@example.com) mailbox.
Mon Oct 14 15:01:16 2019 Info: MID: 24 Message deleted successfully from user@example.com mailbox.
Mon Oct 14 15:01:16 2019 Info: MID: 24 Remediation succeeded with 'exchange-profile-1' profile for recipient user@example.com. Not trying further profile.

原因

AsyncOS 13.0和更新版本引入了擴展的MAR部署支援。此擴展支援需要其他帳戶配置檔案、域對映和鏈結配置檔案配置，具體取決於Exchange部署是Exchange Online、Exchange內部部署、混合部署還是多租戶。

相關內容

• 如何為ESA配置Azure AD和Office 365郵箱設定
• 思科技術支援與檔案
• 思科電子郵件安全裝置 — 產品支援
• 思科電子郵件安全裝置 — 版本說明
• Cisco Email Security Appliance - 一般使用者指南
• 思科內容安全管理裝置 — 產品支援
• 思科內容安全管理裝置 — 版本說明
• 思科內容安全管理裝置 — 最終使用手冊

修訂記錄

修訂	發佈日期	意見
2.0	30-Sep-2026	重新認證 — 更新的SEO、Alt文本、樣式要求和格式。
1.0	17-Feb-2020	初始版本