Kennwortbox

Extended Protection

Seit Exchange 2019 CU14 wird von Microsoft die Exchange Extended Protection eingeschaltet. Primär um MITM-Attacken zu unterbinden. Siehe CVE-2024-21410 Dazu ist es aber erforderlich, dass Exchange Frontend Server und die dem Client zugewandten Web Application Firewalls, Reverse Proxy-Server u.a. das identische Zertifikat verwenden. Wurde vielleicht vor Kurzem nach 1 Jahr das Zertifikat wieder getauscht und nicht überall ausgerollt?

Das Problem trifft sie, wenn die Clients z.B. nicht Domain-Mitglied sind oder aus anderen Gründen nicht an den KDC kommen und damit Kerberos ausscheidet

Konto gesperrt

Es mag Sie Überraschen, aber wenn Outlook auf die HTTP-Anfragen mehrfach 401 bekommt, dann geht es davon aus, dass das Kennwort falsch ist und fragt nach. Outlook kann dabei aber nicht unterscheiden, was der reale Grund war. Ein gesperrtes Konto ist ebenso möglich.

Kennwort Speichern = Tresor

Das erste Problem ist schon Windows selbst. Starten sie auf dem Client mal "Tresor"  (also den Benutzerkennworttresor) hat vielleicht mal jemand bei so einer Anfrage schon Benutzername/Kennwort eingegeben und dann "bitte speichern" gedrückt? Wenn der User dann sein AD-Kennwort ändert, dann kommt dieser Fehler. (und in der Regel wird das Konto auch ab und an gesperrt)

Wenn ein Client Mitglied der Domäne ist und der Anwender sich an der Domäne anmeldet, sollten alle Anmeldungen "integriert" funktionieren. Dennoch kann es früher ja schon mal gewesen sein, dass der Anwender unterwegs gearbeitet hat und eine frühere Kennwortbox ausgefüllt und das Kennwort gespeichert hat. Prüfen Sie daher den "Tresor" von Windows auf falsche gespeicherte Credentials.

Falscher UPN

Mit einem Update im Npv 2019 hat Microsoft die Bestimmung des Anmeldenamens geändert. Outlook nutzt nicht mehr die Mailadresse sondern den UPN. Das ist im Prinzip auch richtig, denn eine Anmeldung mit der "Mailadresse" funktioniert nur, wenn Sie dem UPN entspricht. Problematisch wird es, wenn z.B. ein Loadbalancer o.ä. mit Preauthentication nicht damit umgehen kann.

Das können Sie per Registrierung oder Gruppenrichtlinie wieder anpassen.

• November 5, 2019, update for Outlook 2016 (KB4484139)
  https://support.microsoft.com/en-us/topic/november-5-2019-update-for-outlook-2016-kb4484139-9f986a96-8075-7ded-ccf4-d4ba69e8efeb
• Outlook prompts for credentials for on premise users with Office 365 client
  https://support.microsoft.com/en-us/topic/outlook-prompts-for-credentials-for-on-premise-users-with-office-365-client-4b223d3c-0c12-444c-bace-4364b31a7d2b
• Prefer the provided account email in AutoDiscover auth prompts.
  https://admx.help/?Category=Office2016&Policy=outlk16.Office.Microsoft.Policies.Windows::L_PreferProvidedEmailInAutoDiscoverAuthPrompts

Office 365 / Exchange Online

Outlook prüft mittlerweile auch immer Office 365/Exchange Online als mögliche Gegenstelle. Wenn Sie ihre Domain schon in Office 365 registriert haben, dann sollten Sie sicherstellen, dass alle Identitäten auch in der Cloud bekannt sind. Auch hier kommt der UPN zu tragen.

• Unexpected Autodiscover behavior when you have registry settings under the \Autodiscover key
  https://docs.microsoft.com/en-us/outlook/troubleshoot/profiles-and-accounts/unexpected-autodiscover-behavior
  Schlüssel "ExcludeExplicitO365Endpoint" ab Outlook 2016 version 16.0.6741.2017 and later
• Outlook And The Never-Ending Password Prompt
  https://www.bruceb.com/2017/08/outlook-and-the-never-ending-password-prompt/

Rund um Kerberos/NTLM

Seit Exchange 2010 SP2 ist es sehr einfach auch "Kerberos" für das CAS-Array zu nutzen. Kerberos wird intern auch gerne für die Anmeldung an Webseiten genutzt. Wenn die InternalURL aber auf einen Alias verweist, dann gibt es vielleicht keinen passenden SPN dafür. Oder es gibt von früheren Altinstallationen noch einen alten Server, der noch Reste hat und so Kerberos verhindert. Der Fallback zu NTLM funktionieren am Anfang gut aber je mehr Anwender auf den Server verlagert werden, desto eher kann es zu Kennwortboxen kommen. Kommen die Meldungen gehäuft am Morgen, wenn sich viele Benutzer gleichzeitig anmelden ?

• Prüfen Sie z.B. mit DumpSPN, dass die SPNs eindeutig und dem korrekten Konto zugewiesen sind.
• Prüfen Sie, ob die Anmeldung per Kerberos erfolgt (Security Eventlog)
• You are intermittently prompted for credentials or experience time-outs when you connect to Authenticated Services
  https://support.microsoft.com/en-us/topic/you-are-intermittently-prompted-for-credentials-or-experience-time-outs-when-you-connect-to-authenticated-services-4e36c631-cbfd-2958-9f42-1cd90a77a9b5
• 2688798 How to do performance tuning for NTLM authentication by using the MaxConcurrentApi setting 
  http://support.microsoft.com/help/2688798

OAB und Kerberos

Wenn Sie Exchange 2010 mit einem CAS-Array einsetzen, dann könnten Sie der Empfehlung gefolgt sein und Kerberos aktiviert haben (Siehe auch CAS und Kerberos). Dabei wird gerne übersehen, dass das Skript leider vergisst das "OAB"-Verzeichnis zu konvertieren. Meist startet Outlook sauber und es können alle Funktionen genutzt werden nur dass OAB aktualisiert sich nicht und manchmal kommt eben beim Versuch eine Kennwortbox.

ModernAuth/Outh

Neben den Anmeldungen per NTFS/Kerberos und dem Fallback auf "Basic" gibt es in der Cloud natürlich OAUTH. Gerade im "Mischbetrieb/Hybrid" kann es passieren, dass ein Anwender z.B. per NTLM sich am On-Premises Skype for Business Server anmeldet aber das Postfach in Exchange Online eine "Bearer" Auth erwartet. Das können die Clients auch aber einige brauchen etwas Hilfe. Das betrifft insbesondere die MSI-Versionen von Office und weniger die Click to run (MSO)-Version. Oft wällt es erst auf, wenn Sie "BasicAuth" in der Cloud auch tatsächlich verbieten. Suchen Sie mal nach "AllowAdalForNonLyncIndependentOfLync"

• Authentifizierung im Wandel der Zeit
• Exchange Online Authentifizierung
• Skype for Business topologies supported with Modern Authentication
  https://docs.microsoft.com/en-us/skypeforbusiness/plan-your-deployment/modern-authentication/topologies-supported
• Info about AllowAdalForNonLyncIndependentOfLync setting in Skype for Business, Lync 2013, and Exchange Online
  https://docs.microsoft.com/en-us/skypeforbusiness/troubleshoot/hybrid-exchange-integration/allowadalfornonlyncindependentoflync-setting
• Using OAuth authentication to support Archiving in an Exchange hybrid deployment
  https://docs.microsoft.com/en-us/exchange/using-oauth-authentication-to-support-archiving-in-an-exchange-hybrid-deployment-exchange-2013-help

Proxy-Server

Gerade wenn Sie Outlook über HTTP betreiben (RPC/HTTP oder MAPI/HTTP) und dabei über einen Proxy gehen, kann ein Proxy-Wechsel (Hochverfügbar, Loadbalancer) zwischendurch eine erneute Anmeldung erfordern. Das ist meist nicht der Fall, wenn Sie an einem Hotspot sind, der sie rauswirft und eben auf jede HTTP-Anfrage die Portalseite/Anmeldeseite liefert. Wenn die Anmeldung aber über einen normalen 403.1 geht, fragt Outlook nach.

Im Gegensatz zum MAPI/RPC Zugriff sind die Zugriffe auf OAB/EWS etc. Natürlich http Zugriffe (InternalURL). Ein Client sollte diese Dienste "direkt" erreichen, also nicht über einen Proxy gehen, der im IE eingetragen wurde. Oder per WPAD o.ä. hinterlegt wurde. Denn ein Proxy zerstört meist die NTLM Anmeldung

Es wäre auch nicht das erste mal dass lokale Firewalls in Form von Virenscannern oder IE Add-ons, die in den Transport reinschauen, eine Anmeldung behindern.

• MAPI over HTTP – Outlook Password Prompt on Domain joined External Users
  https://www.stephenwagner.com/2017/11/05/mapi-over-http-outlook-password-prompt-external-users/

Netzwerk-Wackler"

In vielen Fällen ist es auch ein Loadbalancer, ein Adapter-Teaming o.ä., was dafür sorgt, dass der Client die Verbindung verliert und dann davon ausgeht, dass er "extern" ist. Über diesen Weg spricht er aber oft andere URLs mit anderen Authentifizierungsverfahren an, die er von intern gar nicht erreichen soll. Dazu zählen auch "Mehrfachverbindungen", also wenn ihr Notebook per LAN und WLAN im Netzwerk ist und eine Verbindung mal "wackelt". Sie können bei einigen Notebooks einstellen, dass bei einer aktiven LAN-Verbindung das WLAN nicht aktiv ist.

Office 365/ADFS-Token

Office 365 kommt immer häufiger zum Einsatz und es kann durchaus sein, dass sie per ADFS schon ein anderes Token bekommen haben. Das passiert gerne, wenn Sie Office 365 ProPlus über Office 365 lizenzieren aber ihr Postfach woanders liegt. Es hilft nicht, wenn Outlook dann das ADFS-Token der Office 365 ProPlus-Verbindung zum Exchange sendet.

Shared Mailbox gelöscht

Als Anwender können Sie in Outlook zusätzliche Postfächer öffnen, indem Sie diese im Profil hinzufügen.

Wird so ein Postfach dann später wieder gelöscht, dann bleibt es im Outlook Profil natürlich erhalten.

Public Folder/Öffentliche Ordner

Ein weitere Punkt sind Zugriffe auf öffentliche Ordner, die gerade bei einer Migration gerne Probleme verursachen, entweder weil Sie die öffentlichen Ordner "unsauber" zurückgebaut haben oder auf den Postfächern und Datenbanken noch auf Public Folder-Datenbanken verwiesen wird, die es nicht mehr gibt. Kontrollieren Sie den Default Public Folder Store auf den Postfachdatenbanken und ggfls. hilft es auch das Profil einmal "frisch" zu machen.

Kann es sein, dass der Client auf einen Server in einem anderen Standort zugreift, weil der Ordner lokal nicht vorhanden ist ?. Das passiert gerne mit "EForms", die von einem Admin vielleicht lokal angelegt werden aber damit in der gesamten Organisation "nutzbar" wird. Dummer nur, wenn dann Siteübergreifend oder Domainübergreifend die Anmeldung fehlt schlägt.

Internet Zoneneinstellungen IE, Internetzonen und Outlook

Wenn eine Applikation wie Outlook per RPC/HTTP, MAPI/HTTP kommuniziert oder die Exchange Web Services nutzt, ist WinHTTP der Unterbau und damit auch der HTTP-Proxy und die Authentifizierung relevant. Wenn die Ziel-URL nicht als "Intranet-Zone" definiert ist, werden die verschiedenen Clients weder NTLM noch Kerberos versuchen und stattdessen "Basic Auth" anbieten.

Die Einstellung im IE steuert, ob die URL (InternalURL) als "Trusted" angesehen wird, um überhaupt eine automatische Anmeldung zu unterstützen. Aber dann sollte zumindest eine manuelle Eingabe funktionieren. Da das bei ihnen wohl nicht geht, ist das auch kein Problem.

IIS Einstellungen

Natürlich kann es auch eine Einstellung auf dem Server sein. Falsche Einstellungen bei der Authentifizierung oder z.B. ein SSL-Zwang bei Autodiscover können den Client blockieren.

Outlook Anywhere

Lync nutzt Exchange und wenn die Messagebox einen "MAPI-COM.Server" als Titel hat, dann dürfte Outlook Anywhere nicht auf NTLM stehen. Prüfen Sie dann auf Exchange schnell mal die Einstellungen. Besonders gemeint sind unterschiedliche Einstellungen auf verschiedenen CAS-Servern.

[PS] C:\>Get-ExchangeServer |get-outlookanywhere |ft server, iisauth*
 
Server            IISAuthenticationMethods
------            ------------------------
CAS01             {Basic, Ntlm}
CAS02             {Basic, Ntlm}
CAS03             {Basic}

Bug in Outlook mit RPC/HTTP

Im April 2019 Update für Outlook hat Microsoft eine Schleife gefixt, bei der Outlook wohl immer wieder nach Anmelddaten gefragt hat.

Location: HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Outlook\Security
Value Name: AllowRequestsInNeedPasswordBehavior
Type: DWORD

0= Verhindere den Versand von Anfragen, solange ein Kennwort erwartet wird
1= Legacy Provider können weiter Anfragen senden aber MAPI/HTTP sendet nicht
2= Legacy Provider können keine Anfragen senden aber MAPI/HTTP darf senden.
3= Beide können weiterhin Anfragen senden. Es könnte aber das Konto aussperren

Es ist natürlich immer eine gute Idee erst mal nach Updates zu forschen. Gerade bei Office Click2Run kann das schon sehr schnell eine Lösung bringen, da Microsoft anhand der Telemetrie-Daten wohl gut mitbekommt, wenn irgendwo Probleme zunehmen.

• An account locks out when you use an incorrect credential in Outlook 2016
  https://support.microsoft.com/en-us/help/4464517/an-account-locks-out-when-you-use-an-incorrect-credential-in-outlook-2
• Outlook will start a disconnect/trying to connect loop
  https://social.technet.microsoft.com/Forums/en-US/09f4b835-cf46-4361-a649-f014f945dce8/outlook-will-start-a-disconnecttrying-to-connect-loop?forum=outlook

Anmeldeverfahren

Wenn Sie interne Server erreichen wollen und eine Anmeldung erforderlich ist, dann kann es natürlich daran liegen, dass der Server keine integrierte Anmeldung erlaubt. Es kann aber auch sein, dass Sie sich sehr wohl anmelden könnten aber der Server die Anmeldung nicht "verstanden" hat und ihnen dann als Fallback nur noch "Basic" anbietet. So etwas finden Sie wirklich nur, wenn Sie sich den HTTP-Header anschauen, z.B.: mit Fiddler.

Trust und RemoteServer

Ich hatte schon mit einem Supportfall zu tun, bei dem die Anmeldung über Trusts erfolgen musste. Das ist z.B.: bei Ressourceforest schnell mal der Fall. Prüfen Sie den Trust, z.B.: indem Sie eine Ressource (Webseite, Dateishare, Drucker) mit Authentifizierung ansprechen.

Uhrzeit

Eigentlich sollten alle Server im Unternehmen die gleiche korrekte Uhrzeit haben und auch die Zeitzone sollte "passen". Das ist besonders beim Einsatz von Kerberos schon erforderlich, da die Tokens eine Verfallszeit hat.

Direct Access

Es kann sein, dass hier ein Problem ist, wenn die Exchange 2010 Server per IPv6 auflösbar aber nicht erreichbar wären. Wenn der Client auf IPv4 zurück fällt, und UAG das nicht umsetzt, dann erreicht der Clients nichts. Das dürfte aber bei ihnen auch nicht zutreffen, da ja ein Anmeldedialog kommt.

Loadbalancer/Firewall

Auch ein Loadbalancer "könnte" Ursache sein, nämlich wenn Authentifizierungen nicht sauber durchgereicht werden, (weil der Clients z.B. NTLM statt Kerberos/Basic) verwendet und der Loadbalancer mit Source-NAT arbeiten muss. NTLM hat so seine Probleme mit Proxies, wenn diese den HTTP-Header verändern.

Auch TCP-Timeout-Einstellungen sollten immer so eingestellt sein, dass vom Client zum Server der Timeout immer kürzer wird. Eine vorgeschaltete Firewall und muss einen längeren Session-Timeout nutzen als ein zwischengeschalteter Proxy und der Exchange Server am Ende

• Checklist for troubleshooting Outlook connectivity in Exchange 2013 and 2016 (On-Premises)
  https://blogs.technet.microsoft.com/exchange/2016/05/31/checklist-for-troubleshooting-outlook-connectivity-in-exchange-2013-and-2016-On-Premises/

Performance

Es kann natürlich auch ein Problem im Backend mit den Domain Controllern oder Exchange generelle sein. Microsoft hat dazu eine nette Seite veröffentlich.

• You are intermittently prompted for credentials or experience time-outs when you connect to Authenticated Services
  https://support.microsoft.com/en-us/topic/you-are-intermittently-prompted-for-credentials-or-experience-time-outs-when-you-connect-to-authenticated-services-4e36c631-cbfd-2958-9f42-1cd90a77a9b5

Add-Ons

Zuletzt kann es natürlich auch ein Add-On sein, welches in Outlook geladen ist und für den Anmeldedialog verantwortlich sein. Auf die Schnelle können Sie Outlook einfach mal mit gedrückter "STRG"-Taste in den abgesicherten Mode starten.