Probleemoplossing voor ECE OAUTH2-verificatie met Office 365

Inleiding

Dit document beschrijft de stappen voor het oplossen van Enterprise Chat en Email (ECE) integratie met Microsoft Office 365 (O365) e-mail.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Enterprise Chat en e-mail (ECE) 12.6
• Microsoft Office 365 (O365)
• Microsoft Azure Active Directory (Azure AD)

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende softwareversies:

• ECE 12.6(1)
• Azure AD
• O365

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrond

Microsoft heeft de basisauthenticatie formeel afgekeurd met O365 e-mailaccounts. Dit werd aangekondigd in 2019, maar werd uitgesteld tot oktober 2022 vanwege COVID-19. Zelfs na de deadline van oktober 2022 stond Microsoft toe dat basisauthenticatie een laatste keer opnieuw werd ingeschakeld. Deze laatste uitzondering eindigde op 31 december 2022. Na deze datum maakt Microsoft geen basisverificatie meer mogelijk voor klanten. 

De items in deze controlelijst zijn afkomstig van serviceaanvragen waarbij TAC heeft gewerkt met klanten om deze optie te configureren. Vanwege hoe O365 en Azure AD zijn gelicentieerd, heeft TAC niet de mogelijkheid om deze items opnieuw te maken of te controleren in een lab. Als u hulp nodig hebt bij een van deze problemen, neemt u contact op met Microsoft ondersteuning of uw interne IT-ondersteuningsteam.

Items controleren

Minimale versie

OAuth-ondersteuning voor ECE met O365 werd geïntroduceerd in technische specials voor ECE als reactie op Cisco bug ID CSCvr86493 . U moet ervoor zorgen dat ECE het juiste ES heeft geïnstalleerd en dat de juiste documentatie wordt gebruikt.

• ECE 11.6(1) - Vereist ES12 EN ES12_ET1
• ECE 12.0(1) - Vereist ES6
• ECE 12.5(1) - Vereist ES3
• ECE 12.6(1) - Vereist ES1

Best practice is om de nieuwste ES beschikbaar voor uw versie te installeren.

Systeemconfiguratie

De URL van het web moet correct worden geconfigureerd. De specifieke instelling verandert op basis van de versie van ECE. Dit moet zo worden geconfigureerd dat de URL die agenten en beheerders gebruiken om in te loggen op ECE en in het formaat van, https://ece.example.com.

Naam instellen in elke versie:

  11.5 - 12.5: Instelling partitieniveau, "URL webserver of URL taakverdeling"

  12.6 + : Partitie > Apps > Algemene instellingen > "Externe URL van de toepassing"

Deze instelling wordt ook gebruikt voor Single Sign-On (SSO) en voor de standaard HTML voor chat entry point. In versies voor de release van OAuth voor O365 was deze instelling niet verplicht, tenzij agent SSO werd gebruikt. In alle implementaties die OAuth gebruiken, moet dit worden geconfigureerd. Daarnaast moet dit overeenkomen met de FQDN gebruikt om in te loggen op de beheerdersconsole. 

Azure AD-toepassing

Zorg ervoor dat u de documentatie precies volgt wanneer u de Azure AD-toepassing configureert. 

Specifieke opmerkingen:

1. Redirect URL - De FQDN moet overeenkomen met de externe URL van de Application-instelling in ECE en moet worden gebruikt wanneer u de admin-console opent.
2. Access Token - het vernieuwingtoken moet 60 minuten duren. 

Token Generation

Het token-generatieproces is een van de belangrijkste stappen in het configuratieproces. De beste praktijk is om ervoor te zorgen dat de browser is geopend in incognito of privé modus voordat u probeert om het token uit te geven. Dit vraagt de gebruiker om referenties. Zorg ervoor dat de gebruiker voor wie het token is gemaakt, de volledige controle heeft over het postvak.

De verklaring hiervoor is dat de meeste klanten ook Azure AD gebruiken voor gebruikersverificatie. Wanneer een gebruiker een browser opent, worden hun referenties doorgegeven via Kerberos aan de login.microsoft.com sites. Dit, beurtelings, veroorzaakt dat het teken wordt uitgegeven voor de gebruiker die in het werkstation of de server in plaats van een rekening wordt geregistreerd die tot de brievenbus kan toegang hebben. 

Configuratie van postvak

Zorg ervoor dat het postvak de vereiste protocollen heeft ingeschakeld. In ieder geval moet SMTP in staat worden gesteld om de verzending van post mogelijk te maken. U moet ook IMAP of POP3 inschakelen op basis van het ontwerp.

Exchange-licentie 

Zorg ervoor dat ten minste een E3-licentie is toegewezen aan de mailbox in Exchange Online. 

Mailboxrechten

ECE ondersteunt twee typen gebruikersaccounts voor postvaktoegang. 

 1. Mailbox-account - Deze methode vereist dat u een account- en toegangstoken maakt voor elk postvak dat u wenst te laten controleren door ECE. Als je bijvoorbeeld twee mailboxen hebt, sales@example.com en support@example.com, dan moet je twee e-mailaccounts maken in de afdeling. Voor één account moet u een token maken en inloggen met de gebruikersnaam en het wachtwoord sales@example.com. Het tweede accounttoken moet worden aangemaakt met de support@example.com gebruikersnaam en wachtwoord.

 2. Gedeelde account - Met deze methode kunt u één mailaccount gebruiken die toegang heeft tot meerdere postvakken. Om het gebruik van de verkoop- en ondersteuningsmailboxen voort te zetten, creëer je hier één account, maar maak je een token met een gebruikersnaam en wachtwoord voor een Azure AD-account die de volledige controle over de mailboxen heeft. 

Beide toegangsmethoden hebben voor- en nadelen, maar het is aan u om te beslissen wat het beste is voor uw specifieke omgeving. 

Netwerkverbinding

ECE vereist dat de serviceserver en alle applicatieservers toegang hebben tot de O365-domeinen en tot de login.microsoft.com-domeinen. De initiële token-aanmaak vindt plaats vanaf de toepassingsserver terwijl alle daaropvolgende token-updates op de servicesserver plaatsvinden. De servicesserver heeft de processen voor ophalen en verzenden, dus de IMAP/POP3- en SMTP-poorten moeten voor deze server geopend zijn. Daarnaast moet de applicatieserver in staat zijn e-mails te versturen voor alarmmeldingen om te werken. Controleer of alle poorten die in de installatiegids zijn opgeroepen, zijn geopend voordat u probeert de O365-integraties in te stellen of te gebruiken.

URL’s

Zowel de servicesserver als de toepassingsserver moet minimaal toegang kunnen krijgen tot deze URL’s.

 - *.office365.com

 -login.microsoftonline.com

Er kunnen extra URL's zijn die vereist zijn voor uw specifieke implementatie. 

Poorten

Zowel de servicesserver als de toepassingsserver moet minimaal toegang tot deze poorten hebben.

 - TCP 443 - (HTTPS) Gebruikt om de toegang te genereren en bij te werken en verversen tokens

 - TCP 587 - (SMTP via STARTTLS) Gebruikt door verzender proces en alarmmelding proces

 - TCP 993 - (IMAP via SSL/TLS) Gebruikt door retriever-proces

 - TCP 995 - (POP3 via SSL/TLS) Gebruikt door retriever-proces

Referentie: POP-, IMAP- en SMTP-instellingen

Connectiviteitstest

Microsoft heeft een website gemaakt die kan worden gebruikt om connectiviteit te testen. Dit is geen door Cisco of Gain geboden tool en TAC kan geen ondersteuning bieden voor het gebruik ervan. U kunt dit van de toepassing en de dienstenserver gebruiken om uw configuratie en connectiviteit te testen. ECE ondersteunt alleen SMTP voor uitgaand en ofwel IMAP of POP3 voor inbound. Gebruik de uitgaande SMTP e-mailtest samen met de POP Email en IMAP Email tests van de Microsoft website.

https://testconnectivity.microsoft.com/tests/o365

Documentatie links

11.6(1)

• UCS/PCE - Beheerdershandleiding voor e-mailbronnen

12.0(1)

• UCS - beheerdershandleiding voor e-mailbronnen (UCCE)
• PCCE - Beheerdershandleiding voor chatten en e-mailbronnen (PCCE)

12.5(1)

• UCS - beheerdershandleiding voor e-mailbronnen (UCCE)
• PCCE - Beheerdershandleiding voor chatten en e-mailbronnen (PCCE)

12.6(1)

• UCS/PCE - Beheerdershandleiding voor e-mail- en routingbronnen