miroir de
https://github.com/PAPAMICA/Wiki-Tech.io.git
synchronisé 2024-11-09 11:10:26 +01:00
214 lignes
14 Kio
HTML
214 lignes
14 Kio
HTML
<!--
|
|
title: Configuration des accès clients
|
|
description: Configuration CAS
|
|
published: true
|
|
date: 2021-05-23T08:21:47.106Z
|
|
tags:
|
|
editor: ckeditor
|
|
dateCreated: 2021-05-23T08:11:06.349Z
|
|
-->
|
|
|
|
<figure class="image image_resized" style="width:22.66%;"><img src="/images/exchange2016_logo.png"></figure>
|
|
<h1>Configuration de la partie accès clients Exchange 2016 </h1>
|
|
<h2>Vue d’ensemble</h2>
|
|
<h3> Les méthodes d’accès</h3>
|
|
<p>Il est possible d’accéder aux boites aux lettres de plusieurs manières :</p>
|
|
<ul>
|
|
<li>Outlook client lourd</li>
|
|
<li>Outlook client web</li>
|
|
<li>Accès mobile (via ActiveSync)</li>
|
|
<li>Accès via POP et IMAP</li>
|
|
</ul>
|
|
<h3>Schéma global</h3>
|
|
<p>Le schéma suivant montre les différents types d’accès et de protocoles utilisés lors des connexions effectuées par les clients.</p>
|
|
<figure class="image"><img src="/images/schema_protocoles.png"></figure>
|
|
<p>Service d’accès au client : Front-End<br>Services Principaux : Back-End</p>
|
|
<h3>Les services liés à la partie accès client</h3>
|
|
<ul>
|
|
<li>Gestion des connexions clientes</li>
|
|
<li>Gestion de l’accès au centre d’administration Exchange (EAC)</li>
|
|
<li>Gestion de la découverte automatique du profile utilisateur (Autodiscover)</li>
|
|
<li>Gestion des fonctions Outlook MAPI et Outlook AnyWhere (pour le client lourd de Outlook)</li>
|
|
<li>Gestion de la distribution du carnet d’adresses en mode hors ligne (OAB)</li>
|
|
<li>Gestion des accès à la vision des disponibilités du calendrier des boites aux lettres (via EWS)</li>
|
|
<li>Gestion des infos-Courrier (TIPS en anglais)</li>
|
|
<li>Gestion des services Web Exchange (EWS Exchange Web Services)</li>
|
|
</ul>
|
|
<h3>Les bases</h3>
|
|
<p>La partie accès client de Exchange 2016 se base sur les éléments suivants : </p>
|
|
<ul>
|
|
<li>Les sites Active Directory (namespaces) afin de gérer les connexion</li>
|
|
<li>Les DNS</li>
|
|
<li>Un certificat qui gère :<ul>
|
|
<li>Il doit correspondre aux noms DNS et URLs configurées par service (dans le certificat)</li>
|
|
<li>L’authentification et le chiffrement (SSL doit être activé).</li>
|
|
</ul>
|
|
</li>
|
|
<li>Sur l’authentification <ul>
|
|
<li>Authentification intégrée à Windows</li>
|
|
<li>Authentification « Digest »</li>
|
|
<li>Authentification de base (nom et mot de passe)</li>
|
|
<li>Authentification basée sur les formulaires</li>
|
|
</ul>
|
|
</li>
|
|
</ul>
|
|
<p><i><mark class="pen-red"><strong>Attention</strong> : il est important de penser à mettre en place une redondance des serveurs qui font office d’accès client, les protéger et avoir une communication avec Active Directory.</mark></i></p>
|
|
<h3>Les services de disponibilité de calendrier</h3>
|
|
<p>Ce service est disponible et utilisable pour les clients Outlook et OWA. Disponible via « l’assistant de planification »</p>
|
|
<p>Il est déployé par défaut sur tous les serveurs et n’a besoin d’aucune configuration.</p>
|
|
<p>Il permet au client de réaliser les actions suivantes :</p>
|
|
<ul>
|
|
<li>Récupération des informations de disponibilité dans le calendrier des boites aux lettres</li>
|
|
<li>Affichage des heures de travail des boites aux lettres</li>
|
|
<li>Afficher des suggestions d’heures de réunion en proposant les taux de participation des utilisateurs en fonction du créneau horaire choisi.</li>
|
|
</ul>
|
|
<p><i><mark class="pen-red"><strong>Attention</strong> : Dans le cas d’une coexistence entre forêt Active Directory ou mode Hybride avec Office365, cela nécessite une configuration particulière avec des droits et des flux réseaux.</mark></i></p>
|
|
<h3>Les infos-courrier</h3>
|
|
<p>Il s’agit d’une fonction Exchange permettant de fournir des informations sur l’état de remise d’un email avant même que celui-ci ne soit envoyé au destinataire.</p>
|
|
<p>Il existe deux types d’infos-courrier :</p>
|
|
<ul>
|
|
<li>Des infos-courrier « par défaut » (par exemple un pop-up de message d’absence qui est visible lors d’une recherche d’utilisateur pour lui envoyer un e-mail)</li>
|
|
<li>Des infos-courrier « personnalisées »</li>
|
|
</ul>
|
|
<h2>Enregistrements DNS pour Exchange</h2>
|
|
<h3>Présentation</h3>
|
|
<p>Tout comme l’Active Directory, les enregistrements DNS sont essentiels au fonctionnement de Exchange notamment pour les parties suivantes : </p>
|
|
<ul>
|
|
<li>Le service de découverte automatique (Autodiscover)</li>
|
|
<li>Le routage des messages via les MX</li>
|
|
<li>La connexion des clients (enregistrements SRV)</li>
|
|
<li>La sécurisation du nom de domaine externe (SPF)</li>
|
|
</ul>
|
|
<h3>Les différents types d’enregistrements DNS</h3>
|
|
<ul>
|
|
<li>Type « A »</li>
|
|
</ul>
|
|
<p>Les enregistrements DNS de type A permettent de relier un nom d’hôte à l’adresse IPv4 d’un serveur, nom de domaine ou d’un périphérique.</p>
|
|
<ul>
|
|
<li>Type « AAAA »</li>
|
|
</ul>
|
|
<p>Les enregistrements DNS de type AAAA permettent de relier un nom d’hôte à l’adresse IPv6 d’un serveur, nom de domaine ou d’un périphérique.</p>
|
|
<ul>
|
|
<li>Type « SOA »</li>
|
|
</ul>
|
|
<p>Les enregistrements DNS de type SOA indiquent <strong>quels sont les serveurs qui vont héberger et gérer la zone DNS.</strong><br>Ils font autorité sur cette dernière et sont « maître du domaine ».</p>
|
|
<ul>
|
|
<li>Type « NS »</li>
|
|
</ul>
|
|
<p>Les enregistrements DNS de type NS indiquent <strong>quels sont les serveurs qui vont héberger et gérer la zone DNS.</strong><br>Ils ne font pas autorité sur cette dernière et ne sont pas « maître du domaine ».</p>
|
|
<ul>
|
|
<li>Type « CNAME »</li>
|
|
</ul>
|
|
<p>Les enregistrements DNS de type CNAME permet de relier un nom d’hôte vers l’enregistrement DNS d’un autre nom d’hôte.<br>Il fonctionne de la même manière qu’un Alias.</p>
|
|
<ul>
|
|
<li>Type « MX »</li>
|
|
</ul>
|
|
<p>MX est l’abréviation de Mail Exchange. Ces enregistrements DNS sont différents des autres enregistrements.<br>Ils définissent quel est ou quels sont les serveurs qui gèrent les services e-mails reliés à un nom de domaine. La mise en place d’enregistrements MX sur un nom de domaine concerne les utilisateurs qui souhaitent utiliser un service e-mail dédié (sur serveur dédié ou encore sur un serveur de messagerie en interne )</p>
|
|
<ul>
|
|
<li>Type « TXT »</li>
|
|
</ul>
|
|
<p>Les enregistrements DNS de type TXT permet d’intégrer une zone DNS en texte libre.</p>
|
|
<ul>
|
|
<li>Type « SPF »</li>
|
|
</ul>
|
|
<p>Les enregistrements DNS de type permettent aux destinataires de vérifier que les e-mails envoyés sont légitimes</p>
|
|
<ul>
|
|
<li>Type « SRV »</li>
|
|
</ul>
|
|
<p>Les enregistrements DNS de type SRV servent à indiquer quel est le serveur qui gère un service spécifique.</p>
|
|
<h3>L’enregistrement de sécurité SPF</h3>
|
|
<p>L’enregistrement SPF (Sender Policy Framework) va permettre de « sécuriser » un minimum le nom de domaine public.<br>Il définit la liste des serveurs de messagerie autorisés ou non à envoyer et recevoir des emails pour un nom de domaine spécifique.</p>
|
|
<p>Il permet également à certaines organisations de messagerie d’accepter ou non la réception de mail en provenance d’un nom de domaine spécifique. Par exemple une organisation Exchange très restrictive utilisant SPF pourra refuser les emails d’une organisation moins restrictive n’utilisant pas SPF.</p>
|
|
<h2>Configuration d'un certificat exchange</h2>
|
|
<h3>Présentation</h3>
|
|
<p>Le certificat Exchange est nécessaire pour authentifier et chiffrer les connexions clients.<br>Il doit obligatoirement comporter le ou les noms DNS et être configuré sur les serveurs.</p>
|
|
<p><i><mark class="pen-red"><strong>Attention</strong> : un certificat peut avoir un réel impact sur les connexions clients</mark></i></p>
|
|
<h3>Les types de certificats Exchange</h3>
|
|
<p>Plusieurs types de certificats sont possibles dans Exchange :</p>
|
|
<ul>
|
|
<li>Certificats auto-signés</li>
|
|
</ul>
|
|
<p>Ce type de certificat peut être utilisé dans le cadre d’une maquette en LAB. Il est configuré par défaut et ne doit pas être utilisé en production.<br>Il nécessite une configuration sur tous les clients et d’être validé (autorisé) par les clients pour éviter d’avoir des avertissements d’erreur de certificat de la part des navigateurs web ou des clients de messagerie.</p>
|
|
<ul>
|
|
<li>Certificats délivrés par une autorité de certification PKI <u>Interne</u></li>
|
|
</ul>
|
|
<p>Ce type de certificat est utilisé par les entreprises et est généralement de type « SAN » pour permettre l’utilisation de noms DNS alternatifs. Il nécessite d’être validé (autorisé) par les clients pour éviter d’avoir des avertissements d’erreur de certificat de la part des navigateurs web ou des clients de messagerie.<br>Il s’agit d’un certificat INTERNE à l’organisation et émis par une autorité INTERNE (ADCS - Active Directory Certificate Services) non destiné à être utilisé sur Internet.<br>Il nécessite également une configuration sur les postes clients <strong>non joints au domaine</strong> pour ne pas non plus avoir d’avertissement lors de la connexion à l’environnement de l’entreprise.</p>
|
|
<ul>
|
|
<li>Certificats délivrés par une autorité de certification PKI <u>Externe</u> </li>
|
|
</ul>
|
|
<p>Ce type de certificat est payant.<br>Il est généralement de type « Wildcard » c’est à dire qu’il est créé et validé pour un nom de domaine ET ses sous-domaines (ex : mondomaine.com et xxxxx.mondomaine.com)<br>Il aura l’avantage de ne pas émettre d’avertissements par les clients de messagerie et les navigateur web car il est généré par une <strong><u>autorité publique reconnue et de confiance</u></strong>. Il sera principalement utilisé pour les accès externe vers Internet.<br>Il ne nécessite aucune configuration des clients.</p>
|
|
<h3>Les services Exchange utilisant un certificat</h3>
|
|
<ul>
|
|
<li>SMTP</li>
|
|
<li>IMAP</li>
|
|
<li>POP</li>
|
|
<li>IIS</li>
|
|
<li>UM </li>
|
|
<li>UM Call Router</li>
|
|
</ul>
|
|
<h3>Les étapes de configuration</h3>
|
|
<p>Afin d’obtenir un certificat il faut effectuer plusieurs étapes :</p>
|
|
<ul>
|
|
<li>Création d’une demande de signature de certificat (CSR pour Certificate Signing Request) depuis un serveur Exchange par émission d’une clé publique (c’est-à-dire qu’une clé publique sera émise par le serveur et utilisée pour la demande de signature)</li>
|
|
<li>Signature et validation de la demande de certificat par l’autorité de certification interne ou externe. L’autorité de certification retournera un certificat d’identité signé par sa propre clé publique </li>
|
|
<li>Importation du certificat signé dans Exchange</li>
|
|
<li>Activation du certificat pour les serveur Exchange souhaités</li>
|
|
<li>Redémarrage des services Exchange précédemment configurés.</li>
|
|
</ul>
|
|
<h3>La réalisation depuis Exchange</h3>
|
|
<p>Comme toujours il est possible de faire cette manipulation de deux manières :</p>
|
|
<ul>
|
|
<li>Depuis l’EAC</li>
|
|
</ul>
|
|
<p>Se connecter sur le serveur puis aller dans la section « serveurs » puis cliquer sur « certificats »</p>
|
|
<figure class="image"><img src="/images/eac-33.png"></figure>
|
|
<p>Pour créer un nouveau certificat cliquer sur le bouton <span class="text-huge"><strong>+ </strong></span>et sélectionner le type de certificat souhaité</p>
|
|
<figure class="image"><img src="/images/eac-34.png"></figure>
|
|
<p>Remplir les informations demandées</p>
|
|
<ul>
|
|
<li>Depuis l’EMS</li>
|
|
</ul>
|
|
<p><u>Création de la demande </u></p>
|
|
<pre><code class="language-plaintext">New-ExchangeCertificate -GenerateRequest -RequestFile «\\chemin_réseau_du_fichier.req» -FriendlyName «nom_souhaité_du_certificat» -SubjectName «type_de_certificat»</code></pre>
|
|
<p>Ex : SubjectName «C=FR,CN=*.nomdedomaine.com» Attention à laisser les « »</p>
|
|
<p><u>Import du certificat </u></p>
|
|
<pre><code class="language-plaintext">Import-ExchangeCertificate -Path «chemin_du_fichier.p7b ou .cer»</code></pre>
|
|
<p>Récupérer les informations du certificat</p>
|
|
<pre><code class="language-plaintext">Get-ExchangeCertificate -DomainName «nom de domaine» | fl</code></pre>
|
|
<p>Activer le certificat pour les services voulus </p>
|
|
<pre><code class="language-plaintext">Enable-ExchangeCertificate -Thumbprint «N°_du_certificat» -Services «POP,IMAP,SMTP,IIS»</code></pre>
|
|
<h2>Le service de decouverte automatique (AutoDiscover).</h2>
|
|
<h3>A quoi sert l’autodiscover </h3>
|
|
<p>Cette fonction permet de configurer automatiquement les profils de comptes de boites aux lettres Outlook ou d’autres clients de messagerie des services Web Exchange (EWS) et permet un gain de temps pour les utilisateurs mais surtout pour les administrateurs. <br>L’Autodiscover peut fonctionner à la fois en interne et en externe selon la configuration et les autorisations effectuées. <br>Il est possible d’utiliser l’Autodiscover en mode hybrid, dans une forêt unique ou avec de multiples forêts.</p>
|
|
<h3>Les principales phases de la découverte automatique</h3>
|
|
<ul>
|
|
<li>Phase 1 </li>
|
|
</ul>
|
|
<p>Le client Outlook va essayer d’identifier les serveurs de découverte automatique puis établir une liste à l’aide : </p>
|
|
<ol>
|
|
<li>Des objets SCP dans l’Active Directory (en interne, dans la partition de configuration)</li>
|
|
<li>Du domaine extrait de l’adresse de messagerie à configurer</li>
|
|
</ol>
|
|
<ul>
|
|
<li>Phase 2</li>
|
|
</ul>
|
|
<p>Si cela ne fonctionne pas le client fera une tentative de connexion en suivant la liste établie des points de terminaison de découverte automatique en HTTPS</p>
|
|
<ul>
|
|
<li>Phase 3</li>
|
|
</ul>
|
|
<p>Si la tentative de connexion ne fonctionne toujours pas, le client effectuera d’autres tentatives de connexions via </p>
|
|
<ol>
|
|
<li>Une demande « Get » non authentifiée sur l’URL de type « http://autodiscover.nomdedomaine/autodiscover/autodiscover.xml »</li>
|
|
<li>Requête DNS sur l’enregistrement SRV de type _autodiscover._tcp.«nomdedomaine.com»</li>
|
|
</ol>
|
|
<p>Lorsque les serveurs seront identifiés, le client effectuera après que la connexion soit établie, une récupération en local du fichier XML puis la lecture des informations du client de messagerie.</p>
|
|
<h3>Schéma des différentes phases</h3>
|
|
<figure class="image image_resized" style="width:49.47%;"><img src="/images/schema_phases.png"></figure>
|
|
<p> </p>
|
|
<p> </p>
|
|
<p> </p>
|
|
<p> </p>
|
|
<p> </p>
|
|
<p> </p>
|
|
<p> </p>
|
|
<p> </p>
|