Exchange 2013 - Outlook 2013 Logon Prompt

- 30.05.2015
von Thomas Windscheif / Microlinc



Exchange 2013 CU8
Outlook 2013 seit KB2986204
Authentifizierungs-Popup bei Autodiscover

MAPI over HTTP in der Organisationskonfiguration aktiviert
Kerberos als Authentifizierung mittels ASA in Verwendung
NTLM als Authentifizierungsmethode durch Gruppenrichtlinien deaktiviert

Symptom:
Neu einzurichtende Outlook-Profile mittels Autodiscover verlangen die Eingabe eines Benutzernamens und Passworts (Prompt) während des Einrichtungsprozesses wenn der Client über das Update KB2986204 oder neuer verfügt.

Teilweise wird auch bei jedem Outlook-Start nach Benutzernamen und -Passwort gefragt.

Lösung:
Setzen des DWORD MSOAuthDisabled mit dem Wert 1 im Key HKEY_CURRENT_USER\Software\Microsoft\Exchange.
Nach Neustart von Outlook ist die Einstellung direkt wirksam.

Wegen der neuen Entwicklungsstrategie "Cloud First" werden scheinbar primär die Office 365-Funktionen bei der Entwicklung berücksichtigt. Hier wird häufig OAuth als Authentifizierungsprotokoll verwendet. In Exchange 2013 ist für die virtuellen Verzeichnisse EWS & Autodiscover standardmäßig auch das Authentifizierungsprotokoll OAuth aktiviert (siehe http://www.logicspot.net/index.php?id=37). Outlook scheint in der Reihenfolge der Anbieter wohl vor Kerberos OAuth zu bevorzugen, aus irgendeinem Grund scheitert dieser Vorgang aber und der Benutzer wird zur Eingabe eines Passworts gezwungen.

Interessanterweise wird aber trotzdem ein Kerberos-Ticket erstellt, da man mittels klist einen entsprechenden Eintrag sieht.

Durch Deaktivierung der OAuth-Authentifizierung für Outlook wird Kerberos wieder zur Authentifizierung verwendet. Wenn man OAuth deaktiviert, kann man im Verbindungsstatus des Outlook-Client in der Spalte "Authn" auch sehen, dass dort nun wieder "Nego" statt "Nego*" steht. In einem alten ungepatchten Outlook SP1 steht dort ebenfalls nur "Nego". Bei einem gepatchten Outlook mit dem K2986204 oder neuer erscheint dort stattdessen "Nego*".

Von einer Deaktivierung der Authentifizierungsschnittstelle OAuth für die virtuellen Services auf Seiten des Exchange-Servers ist abzuraten insbesondere bei hybriden Exchange-Lösungen.

In heterogenen Outlook 2010/2010-Umgebungen scheint das Setzen des Keys bisher meiner Erfahrung nach keine Probleme in Verbindung mit den Outlook 2010-Clients zu verursachen.

Quelle:
https://social.technet.microsoft.com/Forums/office/en-US/c27a152b-6266-4ee9-ad46-601c68d76571/kb2986204-after-installing-users-being-prompted-for-a-username-and-password?forum=officeitpro
MICROL!NC - URL zum Artikel: http://microlinc.homeip.net/index.php?lev1=25&lev2=5&id=277 - Ausdruck vom 28.03.2024