Wie man Outlook Anywhere für spezifische externe Nutzer konfiguriert

Outlook Anywhere – auch als RPC over HTTP bekannt – ist die Standardmethode, mit der sich alle Outlook-Clients mit ihren Postfächern auf dem Exchange Server 2013 verbinden.

Der Exchange Server 2013 bietet keine Möglichkeit, um den externen Zugriff auf Outlook Anywhere selektiv zu deaktivieren, sondern erlaubt dies nur intern. Es ist allerdings kein unvernünftiges Ansinnen, dass alle Benutzer Outlook Anywhere intern nutzen können, während man gleichzeitig für einige Benutzer verhindern möchte, dass sie von außerhalb des Unternehmensnetzwerks auf Outlook Anywhere zugreifen können.

Wenn Sie nur für einige Benutzer verhindern wollen, auf Outlook Anywhere zuzugreifen, dann könnten Sie es auch einfach so konfigurieren, dass es für diese Benutzer deaktiviert ist. Der folgende Befehl würde Outlook Anywhere für alle Postfächer der Benutzer in einer bestimmten Organisationseinheit im Active Directory deaktivieren:

Get-Mailbox -OrganizationalUnit "OrganizationUnitName" | Set-CASMailbox " -MAPIBlockOutlookRPCHttp $True

Dies ist allerdings nur eine Teillösung – sie würde Outlook Anywhere intern und extern für diese eingeschränkten Benutzer blockieren.

Eine weitere Teilantwort ist, wenn Sie einen Reverse-Proxy verwenden. Diese besteht darin, den Pfad zum RPC-Verzeichnis für externe Benutzer zu sperren. Dies ist zugegebenermaßen ein wenig komplexer. Es kann erforderlich sein, dass Sie einen Namespace für Outlook Anywhere konfigurieren müssen, der von den anderen öffentlichen Diensten getrennt ist. Verwenden Sie Reverse-Proxy-Einstellungen, um Verbindungsversuche von Outlook Anywhere zu blockieren oder zu verweigern.

Um die aktuellen internen und externen Host-Namen von Outlook Anywhere zu erfahren, führen Sie den folgenden Befehl in der Exchange-Verwaltungsshell aus:

Get-OutlookAnywhere | Format-List server, *hostname

Diese provisorische Lösung ermöglicht es allen Clients, Outlook Anywhere intern zu verwenden, verfehlt aber auch ihr Ziel, weil es alle Benutzer von außen blockiert.

Zu den weiteren Optionen, die man heranziehen kann, gehören Vorauthentifizierungs-Tools wie Unified Access Gateway oder Web Application Proxy ebenso wie Zertifikat-Authentifizierungs-Tools, bei denen bestimmten Benutzergruppen der externe Zugriff nicht erlaubt ist.

Wenn keine der oben genannten Möglichkeiten anwendbar ist, gibt es trotzdem noch Hoffnung. Die gute Nachricht ist, dass in Exchange Server 2016 für das Set-CASMailbox cmdlet ein neuer Parameter für dieses Szenario entworfen wurde:

Set-CASMailbox -Identity MailboxIdParameter -MAPIBlockOutlookExternalConnectivity $True

Wenn diese Option aktiviert ist, können externe Outlook-Clients Outlook Anywhere oder MAPI nicht über HTTP verwenden. Diese Option wird vollständig unterstützt und ist einfacher zu konfigurieren als die vorgestellten Workarounds. Vielleicht ist dies für Sie ein entscheidendes Motiv, auf Exchange Server 2016 zu migrieren.

In der Zwischenzeit sollten Sie das Risiko abschätzen, wenn Sie provisorischen Lösungen in Ihrer Exchange-2013-Umgebung verwenden. Sie könnten weniger bringen als gewünscht oder sogar zu unvorhersehbaren Ergebnissen bei anderen Aspekten der Client-Konnektivität und Funktionalität führen.

Wenn Sie planen, Outlook Anywhere für den externen Gebrauch zu konfigurieren, seien Sie vorsichtig und testen Sie alle Änderungen in einer nicht-produktiven Umgebung, bevor Sie Änderungen im Produktivbetrieb vornehmen.

Folgen Sie SearchEnterpriseSoftware.de auch auf Twitter, Google+ und Facebook!