Einrichtung von Active Directory Federation Services

MailStore Server kann so konfiguriert werden, dass die Benutzer gegen Active Directory Federation Services (AD FS) authentifiziert werden, wenn entweder Active Directory oder LDAP Generic als Verzeichnisdienst verwendet wird.

Voraussetzungen, Empfehlungen und Einschränkungen

Dieses Dokument geht davon aus, dass Sie die Active Directory Federation Services bereits installiert und konfiguriert haben und beschreibt nur noch den Teil, der für MailStore Server spezifisch ist.
Dieses Dokument verwendet die Begriffe eines Windows Servers mit deutschen Spracheinstellungen. Wenn Sie die englischen Begriffe bevorzugen, öffnen Sie dieses Dokument in der englischen Version.
Für eine bestmögliche Benutzererfahrung sollte dem von MailStore Server benutzten Zertifikat von allen Clients und Webbrowsern vertraut werden. Es wird empfohlen, ein von einer vertrauenswürdigen Zertifizierungsstelle signiertes Zertifikat oder Let's Encrypt Zertifikate zu verwenden.
Wenn sich Benutzer von außerhalb des Firmennetzwerks ohne VPN über den MailStore Client, das MailStore Outlook-Addin oder den Web Access an MailStore Server anmelden sollen, müssen die in diesem Artikel beschriebenen URIs auch im Internet per DNS aufgelöst werden können und gegebenenfalls Port-Weiterleitungsregeln zum MailStore Server-Computer auf der Firewall oder dem Router eingerichtet werden.
Erfolgt die Anmeldung an MailStore Server über AD FS, ist der Zugriff auf das Archiv mittels IMAP aus technischen Gründen nicht möglich.

AD FS-Anwendungsgruppe erstellen

Damit MailStore Server OpenID Connect Token von den AD FS anfordern kann, müssen sie in den AD FS eine Anwendungsgruppe erstellen. Diese Anwendungsgruppe muss dann in MailStore Server angegeben werden, um eine Vertrauensstellung zwischen den beiden Systemen herzustellen.

Melden Sie sich an Ihrem AD FS Server an.
Öffnen Sie die AD FS Verwaltung.
Navigieren Sie zu den Anwendungsgruppen.
Klicken Sie mit der rechten Maustaste auf Anwendungsgruppen und dann auf Anwendungsgruppe hinzufügen... oder klicken Sie auf Anwendungsgruppe hinzufügen... im Aktionen-Panel.
Vergeben Sie einen Name, z.B. MailStore, und wählen Sie die Vorlage Systemeigene Anwendung mit Zugriff auf eine Web-API aus.

Klicken Sie auf Weiter.
Die Client-ID dieser Anwendung wird angezeigt. Notieren Sie diesen Wert, da er später für die Konfiguration in MailStore Server benötigt wird.
Tragen Sie in das Feld Umleitungs-URI einen URI im Format (ohne die Klammern)
https://<fqdn>[:<port>]/oidc/signin

aus folgenden Bestandteilen ein:

https://
Die Angabe des Protokolls muss verpflichtend https:// lauten. Damit bei der Benutzeranmeldung später keine Zertifikatswarnungen erscheinen, muss dem von MailStore Server verwendeten Zertifikat von den Webbrowsern auf den Client-Geräten vertraut werden.

FQDN
Der vollständige DNS-Name, engl. Fully Qualified Domain Name (FQDN), Ihres MailStore Servers, bestehend aus dem Rechnernamen und der DNS-Domäne, z.B. mailstore.example.com. Dieser muss von allen Clients, von denen aus sich Benutzer an MailStore Server anmelden sollen, auflösbar sein.

Port
Der TCP-Port des MailStore Web Access (standardmäßig 8462). Dieser muss mit dem in der MailStore Server Dienst-Konfiguration in der Sektion Basiskonfiguration > Netzwerkeinstellungen > Dienste > MailStore Web Access / Outlook Add-in (HTTPS) konfigurierten Port übereinstimmen. Der TCP-Port muss nur angegeben werden, wenn dieser vom Standardport des HTTPS-Protokolls (443) abweicht.

/oidc/signin
An diesem Endpunkt erwartet MailStore Server die Authentifizierungsantworten von den AD FS. Dieser Pfad muss exakt so am Ende des Umleitungs-URIs stehen.

Beispiele für gültige Umleitungs-URIs
Produkt	Rechnername	DNS-Domäne	TCP-Port	Resultierender Umleitungs-URI
MailStore Server	mailstore	example.com	8462	`https://mailstore.example.com:8462/oidc/signin` Umleitungs-URI mit vollständigem DNS-Namen und MailStore Web Access Standardport
MailStore Server	mailstore	example.com	443	`https://mailstore.example.com/oidc/signin` Wird der HTTPS-Standardport 443 für den MailStore Web Access oder als Quellport einer Firewall-Port-Weiterleitungsregel verwendet, kann die Portangabe im Umleitungs-URI entfallen.
MailStore SPE	archive	example.com	443	`https://archive.example.com/<instanceid>/oidc/signin` Die instanceid der Instanz ist Teil des Umleitungs-URI.

Kopieren Sie den Umleitungs-URI in die Zwischenablage und notieren Sie diesen Wert ebenfalls, da auch er später für die Konfiguration in MailStore Server benötigt wird.
Klicken Sie auf Hinzufügen, um den Umleitungs-URI in die Liste der erlaubten URIs aufzunehmen.
Klicken Sie auf Weiter.

Fügen Sie den Umleitungs-URI aus der Zwischenablage in das Bezeichner-Feld der Web-API-Konfiguration ein.
Klicken Sie auf Hinzufügen.
Klicken Sie auf Weiter.

Wählen Sie eine Zugriffssteuerungsrichtlinie für diese Anwendungsgruppe aus.
Klicken Sie auf Weiter.

Wählen Sie die Bereiche allatclaims, openid und profile aus.
Klicken Sie auf Weiter.

Eine Zusammenfassung der Einstellungen der Anwendungsgruppe wird angezeigt.
Klicken Sie auf Weiter, um die Anwendungsgruppe zu erstellen.

Eine Erfolgsmeldung wird angezeigt.

Schließen sie den Dialog.

Wenn in MailStore Server als Benutzername der User Principal Name (UPN) oder dessen lokaler Teil verwendet werden soll, ist die Konfiguration nun AD FS-seitig abgeschlossen und Sie können die zuvor notierte Client-ID und den Umleitungs-URI aufseiten von MailStore Server in die Active Directory- oder LDAP Generic-Verzeichnisdienstkonfiguration eintragen.

Soll in MailStore Server hingegen der sAMAccountName als Benutzername verwendet werden, fahren Sie mit dem nächsten Abschnitt fort.

sAMAccountName als Benutzername hinzufügen

Die von den AD FS ausgestellten Token enthalten standardmäßig nicht die sAMAccountName-Eigenschaft der Benutzer. Wenn in MailStore Server der sAMAccountName als Benutzername verwendet werden soll, muss die AD FS-Anwendungsgruppe so konfiguriert werden, dass diese Eigenschaft im Token enthalten ist. Andernfalls kann MailStore Server keine Zuordnung von Token zu Benutzer herstellen und die Benutzer können sich nicht anmelden.

Klicken Sie mit der rechten Maustaste auf die neu erstellte Anwendungsgruppe und öffnen sie die Eigenschaften.

Wählen Sie die Web-API-Anwendung aus und klicken Sie auf Bearbeiten....
Öffnen Sie den Reiter Ausstellungstransformationsregeln.

Klicken Sie auf Regel hinzufügen....
Wählen Sie LDAP-Attribute als Ansprüche senden aus dem Anspruchsregelvorlage-Menü aus.
Klicken Sie auf Weiter.

Vergeben Sie einen Anspruchsregelnamen.
Wählen Sie Active Directory aus dem Attributspeicher-Menü aus.
Wählen Sie SAM-Account-Name aus der LDAP-Attribute-Spalte der Zuordnungstabelle aus.
Geben Sie sAMAccountName in der Ausgehender Anspruchstyp-Spalte ein.
Klicken Sie auf Fertig stellen.
Schließen Sie den Dialog mit OK.

Damit ist die Konfiguration AD FS-seitig abgeschlossen und Sie können die zuvor notierte Client-ID und den Umleitungs-URI aufseiten von MailStore Server in die Active Directory- oder LDAP Generic-Verzeichnisdienstkonfiguration eintragen.