Exchange 2010 SP2 – 2019 og Subscription Edition (SE). Data & More-scanserveren opretter forbindelse via HTTPS til https://<host>/EWS/Exchange.asmx, godkender sig som én servicekonto og repræsenterer de postkasser, der er omfattet af scanningen. Ingen Autodiscover, ingen MAPI/RPC, ingen agent installeret på Deres Exchange-servere.
Vælg hostingmodel
Exchange-konfigurationen (§1–§5) er den samme i begge tilfælde. Kun netværksdelen (§6) og enkelte felter i returfomularen (§7) adskiller sig.
A – Hostet af Data & More | B – Selvhostet toolbox | |
|---|---|---|
Hvor scanserveren kører | Data & More-infrastruktur (Hetzner, EU) | Jeres netværk (VM eller server, som De stiller til rådighed) |
Hvem opretter forbindelse til EWS | Data & More, via internettet | Toolboxen, inden for Jeres netværk |
EWS publiceret til internettet | Ja | Nej – intern URL er tilstrækkelig |
Firewallregel | TCP 443 fra Data & More's udgående IP-adresser | TCP 443 fra toolboxens IP-adresse |
Værtsnavn | Skal kunne opløses offentligt (eller angiv værtsnavn → IP til os) | Skal kunne opløses fra toolboxen (intern DNS er tilstrækkelig) |
Pre-auth omvendt proxy (WAP, F5 APM, NetScaler) | Skal videresende servicekontoen | Normalt ikke involveret – opret forbindelse direkte til Exchange-serveren eller intern load balancer |
Forudsætninger
Exchange Server 2010 SP2, 2013, 2016, 2019 eller Subscription Edition (SE), on-premise
En postkasseaktiveret AD-servicekonto, som scanserveren godkender sig som (§1)
Rollerne ApplicationImpersonation og Mailbox Search tildelt den pågældende konto (§2)
EWS-den virtuelle mappe med Basic- eller NTLM-godkendelse aktiveret (§3, §4)
En throttling-politik for kontoen, som en fuld scanning ikke udtømmer (§5)
Netværksforbindelse fra scanserveren til EWS på TCP 443, gyldigt TLS-certifikat (§6)
A – Hostet: EWS skal være tilgængeligt fra internettet for vores udgående IP-adresser
B – Selvhostet: EWS skal være tilgængeligt fra toolboxen; ingen eksponering mod internettet
Afsnit 1–6 beskriver opsætningen. Afsnit 7 er formularen, der skal returneres.
1. Servicekonto
Én dedikeret AD-konto, postkasseaktiveret (den godkender sig som sig selv, inden den repræsenterer andre), med adgangskode indstillet til aldrig at udløbe. Ingen lokal administrator, ingen interaktiv logon.
powershell
New-Mailbox -Name "svc-dataandmore" `
-UserPrincipalName "svc-dataandmore@example.com" `
-Password (Read-Host "Password" -AsSecureString)2. Roller
Repræsentation (Impersonation) – én tildeling dækker samtlige postkasser:
powershell
New-ManagementRoleAssignment -Name "DataAndMore-Impersonation" `
-Role "ApplicationImpersonation" `
-User "svc-dataandmore@example.com"Afgræns omfanget, hvis kun en del af organisationen er inkluderet:
powershell
New-ManagementScope -Name "DataAndMore-Scope" `
-RecipientRoot "example.com/Company Users" `
-RecipientRestrictionFilter { RecipientType -eq "UserMailbox" }
New-ManagementRoleAssignment -Name "DataAndMore-Impersonation" `
-Role "ApplicationImpersonation" `
-User "svc-dataandmore@example.com" `
-CustomRecipientWriteScope "DataAndMore-Scope"Postkasseopdagelse – postkasser opregnes via EWS-operationen GetSearchableMailboxes, som kræver rollen Mailbox Search:
powershell
New-ManagementRoleAssignment -Name "DataAndMore-MailboxSearch" `
-Role "Mailbox Search" `
-User "svc-dataandmore@example.com"Foretræk dette frem for rollegruppen Discovery Management, som også tildeler Legal Hold. Ønsker De ikke at tildele rollen, kan De i stedet sende os en postkasseliste – det er kun automatisk opdagelse, der mistes.
Rolleændringer gemmes i cache; vent en time, eller genstart MSExchangeServicesAppPool.
Uden repræsentation: Add-MailboxPermission -AccessRights FullAccess -AutoMapping:$false pr. postkasse fungerer også, men skal køres på ny for hver ny postkasse.
3. EWS-slutpunkt
powershell
Get-WebServicesVirtualDirectory | fl Server,InternalUrl,ExternalUrl,BasicAuthentication,WindowsAuthenticationHvilken URL skal De sende os:
A – Hostet:
ExternalUrl(eksternt tilgængeligt).B – Selvhostet:
InternalUrl, eller et internt værtsnavn, som giver adgang til EWS-den virtuelle mappe fra toolboxen (f.eks. det interne load balancer-navn).
Basic- eller NTLM-godkendelse skal være aktiveret – kun Kerberos, kun certifikat og kun OAuth/ADFS understøttes ikke. Hvis en pre-auth omvendt proxy (WAP, F5 APM, NetScaler) befinder sig i forbindelsesstien, skal den videresende servicekontoen. I en selvhostet opsætning bør toolboxen, hvor det er muligt, forbindes forbi proxyen.
powershell
Set-WebServicesVirtualDirectory -Identity "EXCH01\EWS (Default Web Site)" -BasicAuthentication $true
iisreset /noforceVersionsheaderværdier, vi accepterer: EXCHANGE_2007 … EXCHANGE_2013_SP1, EXCHANGE_2016. Exchange 2019 og SE anvender EXCHANGE_2016 – der findes ingen separat værdi.
4. EWS-adgangspolitik
powershell
Get-OrganizationConfig | fl EwsEnabled,EwsApplicationAccessPolicy,EwsAllowList,EwsBlockList
Get-CASMailbox svc-dataandmore | fl EwsEnabled,EwsApplicationAccessPolicyEwsEnabled må ikke være $false. Hvis politikken er EnforceAllowList, skal vores klient tilføjes – dens User-Agent er JWebServices for Exchange 2.2.140, www.independentsoft.com:
powershell
Set-OrganizationConfig -EwsAllowList @{Add="JWebServices*"}5. Throttling
Standardbudgetterne for EWS er dimensioneret til interaktive klienter og vil bremse en fuld postkassescanning. Tildel en politik udelukkende til servicekontoen (2013+):
powershell
New-ThrottlingPolicy -Name "DataAndMore-EWS" -ThrottlingPolicyScope Regular `
-EwsMaxConcurrency Unlimited -EwsMaxBurst Unlimited `
-EwsRechargeRate Unlimited -EwsCutoffBalance Unlimited
Set-ThrottlingPolicyAssociation -Identity "svc-dataandmore@example.com" `
-ThrottlingPolicy "DataAndMore-EWS"Begrænset alternativ: EwsMaxConcurrency 50, EwsMaxBurst 300000, EwsRechargeRate 900000, EwsCutoffBalance 600000. Angiv venligst, hvilken indstilling De har valgt – vi tilpasser vores samtidighed herefter. På 2010 SP2 hedder parametrene EWSMaxConcurrency, EWSPercentTimeInAD, EWSPercentTimeInCAS, EWSPercentTimeInMailboxRPC; sæt dem til $null.
Scanserveren kører 3–8 parallelle forbindelser pr. kilde, nedsætter automatisk tempoet ved 429 / "serveren kan ikke behandle denne anmodning lige nu" og kan throttles i et tidsvindue for arbejdstid efter Deres valg.
6. Netværk og TLS
Gælder begge modeller
Scanserveren opretter udelukkende forbindelse til EWS. Ingen forbindelse etableres fra Exchange ind til scanserveren.
Læse-/forbindelsestimeout er 300 s – ingen firewall, proxy eller load balancer mellem scanserveren og EWS må afbryde inaktive forbindelser tidligere.
TLS 1.2 eller nyere; certifikatet skal være gyldigt for det værtsnavn, scanserveren opretter forbindelse til.
A – Hostet af Data & More
TCP 443 indgående til EWS-slutpunktet fra vores udgående IP-adresser (leveres separat).
EWS-værtsnavnet skal kunne opløses offentligt, eller angiv værtsnavn → IP, så vi kan kortlægge det i vores runtime.
Certifikat fra intern CA: send os kæden som PEM.
B – Selvhostet toolbox
EWS behøver ikke at være eksponeret mod internettet. Toolboxen skal blot have adgang til Deres Exchange-server (eller intern load balancer) på TCP 443.
Tillad TCP 443 fra toolboxens IP-adresse til EWS-værten på eventuelle interne firewalls eller segmentgrænser imellem.
Toolboxen skal kunne opløse EWS-værtsnavnet – via Jeres interne DNS, eller angiv værtsnavn → IP, så vi kan kortlægge det på toolboxen.
Anvender toolboxen en udgående HTTP-proxy, skal EWS-værten undtages herfra (direkte forbindelse).
Certifikat fra intern CA (almindeligt for interne URL'er): send os kæden som PEM, så den kan gøres pålidelig på toolboxen. Værtsnavnet i URL'en skal stemme overens med certifikatet – brug det navn, der fremgår af certifikatet, ikke en IP-adresse.
7. Returformular
Legitimationsoplysninger sendes via password vault eller en anden sikker kanal – ikke som klartekst i e-mail.
Felt | Værdi |
|---|---|
Hostingmodel | A – Hostet af Data & More / B – Selvhostet toolbox |
EWS-URL |
|
Exchange-version |
|
Godkendelsesmetode | Basic / NTLM (+ NetBIOS-domæne hvis NTLM) |
Servicekonto |
|
Adgangsmodel | Repræsentation (Impersonation) / Fuld adgang |
Mailbox Search tildelt | ja / nej – hvis nej, vedlæg postkasseliste |
Arkiver inkluderet | ja / nej |
Testpostkasse til vores adgangskontrol |
|
Throttling-politikværdier | |
Throttling-vindue for arbejdstid | f.eks. 07:00–18:00 CET |
Intern CA-kæde vedlagt | ja / nej / n/a |
Værtsnavn → IP-kortlægning påkrævet | nej / ja: |
A: Firewall åbnet for vores udgående IP-adresser | ja / nej / n/a |
B: Toolbox-IP og firewall åbnet til EWS | toolbox-IP + ja / nej / n/a |
Teknisk kontaktperson | navn, e-mail, telefon |
Kontrollér inden afsendelse
På Exchange-serveren:
powershell
Test-WebServicesConnectivity -ClientAccessServer EXCH01 `
-MailboxCredential (Get-Credential example\svc-dataandmore) -TrustAnySSLCertificateDernæst fra det sted, hvorfra scanserveren vil oprette forbindelse – A: en maskine uden for Jeres netværk; B: toolboxen selv:
bash
curl -sS -o /dev/null -w '%{http_code}\n' -u 'svc-dataandmore@example.com' \
https://mail.example.com/EWS/Exchange.asmx # 200 = ok, 401 = forkert godkendelseVed NTLM tilføjes --ntlm og DOMAIN\svc-dataandmore anvendes. En timeout betyder, at netværksforbindelsen er blokeret (§6); en certifikatfejl betyder, at CA-kæden eller værtsnavnet er forkert (§6).
Repræsentationen verificeres vi fra vores side mod testpostkassen.
Arkiver
In-place-arkiver kræver ingen ekstra tilladelse – repræsentation dækker dem. Bekræft, hvilke postkasser der har et arkiv (Get-Mailbox -Archive), og at de er hostet on-premise; et cloudarkiv tilknyttet en on-premise-postkasse er en separat kilde. Postkasser uden arkiv springes automatisk over.
Håndhævelse (kun hvis aftalt)
Med aktiveret opbevaringshåndhævelse sletter scanserveren elementer, der matcher en sletningspolitik, som De definerer og aktiverer. Intet flyttes, kopieres eller skrives til postkassen. Repræsentation giver allerede sletterettighed; der kræves ingen yderligere konfiguration. Angiv venligst, hvis De ønsker udelukkende indlæsning.
Anvendte EWS-operationer
Operation | Formål | Type |
|---|---|---|
| opregning af postkasser | læsning |
| gennemgang af mappestruktur, inkl. arkivrod | læsning |
| visning af elementer, hentning af besked med indhold | læsning |
| hentning af vedhæftning til analyse | læsning |
| sletning af element i henhold til en opbevaringspolitik | skrivning – kun ved håndhævelse |
Ingen abonnementer, ingen SendItem, ingen UpdateItem, ingen MoveItem, ingen mapper oprettes i postkassen, og ingen adgang uden for det konfigurerede omfang.
Fejl
Meddelelse | Årsag | Løsning |
|---|---|---|
401 Unauthorized | forkert adgangskode, Basic/NTLM deaktiveret, pre-auth proxy | §3 |
The account does not have permission to impersonate the requested user. | rolle mangler, er cachet, eller postkasse er uden for omfanget | §2 |
Access is denied on discovery | Mailbox Search mangler | §2 |
429 / The server cannot service this request right now / Too many concurrent connections opened | throttling-budget udtømt | §5 |
Read timed out / Connect timed out / Socket closed | inaktiv timeout under 300 s, firewall blokerer scanserveren (A: udgående IP'er, B: toolbox-IP), eller slutpunkt er utilgængeligt | §6 |
UnknownHostException / name not resolved | værtsnavnet kan ikke opløses fra scanserveren (B: toolboxen anvender ikke intern DNS) | §6 |
PKIX / certifikatfejl | intern CA er ikke pålidelig, eller værtsnavn stemmer ikke overens med certifikatet | §6 |
The SMTP address has no mailbox associated with it. / Mailbox does not exist. | mailaktiveret bruger, eller postkasse er flyttet til cloud | forventet, springes over |
The defaultFolder cannot be created by XSO | arkiv anmodet, postkassen har intet | forventet, springes over |
The message exceeds the maximum supported size. | element overskrider behandlingsgrænsen | forventet, registreres som sprunget over |