Kerberos, Exchange Server’da Outlook Anywhere için kullanılabilecek kimlik doğrulama yöntemlerinden birisidir. Daha önce Exchange Server Kimlik doğrulama yöntemleri konusunda Outlook Anywhere için kullanılabilecek kimlik doğrulama yöntemlerinden bahsetmiştim. Bu makaleye aşağıdaki bağlantıdan ulaşabilirsiniz.
Exchange Server Kimlik Doğrulama Yöntemleri
Exchange Server’da Outlook Anywhere için Kerberos kimlik doğrulama yapılandırmaları aşağıdaki şekildedir.
Active Directory’de Alternate Service Account (ASA) hizmetini verecek bilgisayar hesabı oluşturulur.
PowerShell yönetici haklarıyla çalıştırılır ve aşağıdaki komut çalıştırılır.
Set-ADComputer EXC2016ASA$ -add @{"msDS-SupportedEncryptionTypes"="28"}
Exchange Management Shell yönetici haklarıyla çalıştırılır ve aşağıdaki komutlar çalıştırılır. Bu komutlar ile ASA şifresi ortamdaki Exchange Server sunucularından birine aktarılır. Burada yapılan işlem ASA için kullanılan bilgisayar hesabı için yeni bir parola oluşturulmasıdır.
cd $exscripts
.\RollAlternateServiceAccountPassword.ps1 -ToSpecificServers EXC201601 -GenerateNewPasswordFor EMRES\EXC2016ASA$
Komutun başarıyla çalıştığı görüntülenir ve parolanın değiştirilmesinin istenilip istenilmediğini sorar. Y ile parola değiştirme işlemi başarıyla tamamlanır.
Yapılandırılmış ilk sunucu olan EXC201601’in Alternate Service Account (ASA) kimlik bilgisinin kontrolü için
Get-ClientAccessService EXC201601 -IncludeAlternateServiceAccountCredentialPassword | fl name,alternate*
Aynı parolanın diğer Exchange Server sunucularında da geçerli olması için aşağıdaki komut girilir. Eğer sunucu sayısı birden fazla ise komutta -ToSpecificServers parametresindeki sunucu isimleri virgülle ayrılarak yazılabilir (EXC201602,EXC201603,EXC201604 şeklinde)
.\RollAlternateServiceAccountPassword.ps1 -ToSpecificServers EXC201602 -CopyFrom EXC201601
Service Principal Name (SPN)’lerin bu bilgisayar hesabına eklenmesi gerekir. Gerekli olan SPN adları istemci erişim adlarıdır. Bu alan adlarının eklenmesi için
setspn -a http/mail.emres.com EMRES\EXC2016ASA$
setspn -a http/autodiscover.emres.com EMRES\EXC2016ASA$
Son olarak Exchange Server sunucularında Outlook Anywhere’in Kerberos kimlik doğrulamasını iç istemci kimlik doğrulamasında kullanacak şekilde yapılandırılması gerekir. Bu yapılandırma için
Get-OutlookAnywhere | Set-OutlookAnywhere -InternalClientAuthenticationMethod Negotiate
Böylece Exchange Server’da Kerberos kimlik doğrulama yapılandırmaları tamamlanmış olur.
Faydalı olması dileğiyle…
