Exchange Troubleshooting – Fall 4: Passwortabfrage beim Start von Outlook

Vor einiger Zeit habe ich eine Serie von Artikeln über Troubleshooting-Fälle begonnen und Probleme im Zusammenhang mit Netzwerk und Storage beschrieben. Hier möchte ich ein weiteres interessantes Ticket bei einem Kunden ausführen und an die Serie anschliessen.

Die Umgebung des Kunden besteht aus nur einem Exchange 2016 CU4 Server. Normalerweise bin ich kein Befürworter von 1-Server-Lösungen, aber es hat die Fehlersuche doch erleichtert, da nicht die Logs von mehreren Lokationen überprüft werden mussten.

Die fast 300 Mailboxen werden hauptsächlich mit Outlook 2016 über Citrix XenApp verwendet. Alle Namen und IP-Adressen sind geändert oder unkenntlich gemacht.

Passwortabfrage beim Start von Outlook

In diesem Fall wurde ich von einem unserer eigenen Supporter um Unterstützung angefragt. Der Kunde habe festgestellt, dass seit einiger Zeit beim Start von Outlook eine Passwortabfrage erscheine.

Outlook startete aber normal und hatte eine Verbindung zur Mailbox, auch wenn Benutzername und Passwort nicht eingegeben wurden. Somit kamen eigentlich nur die zusätzlichen Dienste Autodiscover, Exchange Web Services oder Offline Address Book in Frage. Insbesondere Letzteres schien im ersten Moment naheliegend, da der Kunde meinte, das Verhalten trete erst auf, seit Outlook im Cached Mode betrieben werden. Wie wir aber im ersten Fall schon gesehen haben, können Vermutungen ziemlich in die Irre führen.

Um sicherzugehen, klickte ich die Abfrage weg und versuchte, den Verursacher mittels Trial and Error zu finden.

Microsoft Exchange Trainings Für mehr Informationen zu Exchange 2013 und 2016 besuchen Sie einen der folgenden Kurse. Zu allen Exchange-Server-Trainings

Für mehr Informationen zu Exchange 2013 und 2016 besuchen Sie einen der folgenden Kurse.

Zu allen Exchange-Server-Trainings

Obschon Outlook offensichtlich etwas vermisste …

… konnte weder manueller OAB-Download noch Autodiscover-Test oder Abfrage von Free/Busy den Passwort-Prompt auslösen. Ein Klick auf Need Password führte sogar dazu, dass der Status auf Connected änderte.

Da oftmals Probleme mit Autodiscover auftreten, versuchte ich mein Glück mit Failed Request Tracing für das Autodiscover Verzeichnis in IIS.

Nach einiger Sucherei in den Ergebnissen stiess ich auf dies:

Der Auslöser war offensichtlich das Modul OAuth. Diese Art der Authentifizierung ist in neueren Exchange-Versionen standardmässig aktiv und hatte bislang keine Probleme verursacht. Ich suchte also im Internet nach Informationen zur Unterstützung für OAuth auf der Clientseite und fand den Artikel «Exchange Online Identity Models & Authentication Demystified» von Henrik Walther.

Darin wird erklärt, dass Modern Authentication für Office 2013 explizit aktiviert werden muss, für Office 2016 aber standardmässig verwendet wird. Ich fügte den Registrierungsschlüssel für die Deaktivierung versuchshalber ein:

… und die Passwortabfragen waren verschwunden. Sicherheitshalber schloss und öffnete ich Outlook noch ein paar Mal, entfernte den Registry-Eintrag wieder und verifizierte, dass danach das Problem wieder auftrat. Um dann die Änderung für alle Benutzer auf den XenApp Servern zu implementieren, fügte ich den Schlüssel in einer bestehenden Gruppenrichtlinie für Office 2016 in den Preferences ein.

Fazit

Fehlersuche im Messaging-Umfeld ist nicht immer gradlinig. Symptome können täuschen und das Verhalten der Systeme aus Benutzersicht auch. Wichtig ist es, alle möglichen Troubleshooting-Tools zu kennen, um sich selbst ein Bild der Situation machen zu können.