Jak nastavit SMTP s Microsoft OAuth2.0 ?

Tato příručka vysvětluje, jak nakonfigurovat bránu pro odesílání e-mailů pomocí protokolu SMTP s ověřením Microsoft OAuth 2.0 prostřednictvím účtu Microsoft 365. OAuth 2.0 poskytuje bezpečné ověřování založené na tokenech a nahrazuje méně bezpečné základní metody ověřování. Podle těchto kroků můžete zaregistrovat aplikaci v Microsoft Azure a nakonfigurovat bránu pro SMTP. Tato funkce je podporována v systému uOS verze 1.35 a novější. Poznámka: Protokol SMTP s technologií Microsoft OAuth 2.0 je podporován v zařízeních řady USG Flex H. Tento příklad byl testován na zařízení USG FLEX 200HP (verze firmwaru: uOS 1.35).

Předpoklady

• Účet Microsoft 365 s licencovanou poštovní schránkou Exchange Online.
• Správcovský přístup k portálu Microsoft Azure Portal (https://portal.azure.com).
• Pro poštovní schránku je povolena funkce SMTP AUTH (viz krok 3 níže).
• Vaše zařízení brány s přístupem ke konfiguraci SMTP (verze firmwaru uOS1.35 nebo vyšší).

Pokyny krok za krokem

Krok1: Registrace aplikace na portálu Azure Portal

1. Přihlaste se do portálu Azure Portal:

• Přejděte na stránku https://portal.azure.com a přihlaste se pomocí účtu, který má oprávnění správce pro Microsoft Entra ID.

2. Přejděte na položku Registrace aplikací:

• V levé nabídce vyberte Microsoft Entra ID > Registrace aplikací > Nová registrace.

3. Proveďte konfiguraci aplikace:

• Nastavtenázev: Zadejte popisný název (např. "Gateway SMTP App").
• Podporované typy účtů: Pro většinu případů vyberte možnost Accounts in this organizational directory only (Účty pouze v tomto organizačním adresáři) (Single tenant)- (Jeden nájemce).
• Přesměrování URI: URI přesměrování určuje, kam má autorizační server odeslat uživatele po úspěšném ověření, aby vrátil přístupový znak k jeho e-mailovému účtu.
• Typ: Uveďte, zda chcete, aby byl tento typ použit: Vyberte možnost"Web".
• URI: Zadejte https://[devicefqdn nebo ip]/cgi-bin/msoauth2.cgi. Nahraďte [Device FQDN nebo IP] skutečným plně kvalifikovaným názvem domény nebo IP adresou interního rozhraní, ke kterému se může počítač správce připojit. (Poznámka: URI přesměrování musí začínat schématem https.)
• Klikněte na tlačítko Registrovat.

4. Zkopírujte ID aplikace:

• Na stránce Přehled aplikace zkopírujte ID aplikace (klienta) a ID adresáře (nájemce). Tyto údaje jsou nutné pro konfiguraci brány.

5. Vytvořte klientské tajemství:

• Přejděte do nabídky Certifikáty a tajemství > Tajemství klienta > Nové tajemství klienta.
• Přidejte popis (např. "SMTP Secret") a vyberte dobu platnosti(např. 24 měsíců).
• Klikněte na tlačítko Přidat a ihned zkopírujte hodnotu klientského tajemství. Poznámka: Tato hodnota se zobrazí pouze jednou a po opuštění této stránky ji již nebude možné obnovit. Pokud ji ztratíte, budete muset vygenerovat novou. Jedná se o váš "ClientSecret".
• Bezpečně ji uložte, protože poskytuje přístup k vaší aplikaci.

Krok 2: Udělení oprávnění API

1.Přidejte oprávnění:

• Na levé navigační stránce přehledu vaší aplikace klikněte na Oprávnění API > +Přidat oprávnění.
• Vyberte možnost Microsoft Graph
• Zvolte možnost Delegovaná oprávnění > Vyhledat offline přístup.
• Klikněte na tlačítko Přidat oprávnění.
• Přidejte 2. oprávnění. Klikněte na tlačítko +Přidatoprávnění
• Vyberte možnost Microsoft Graph
• Vyberte možnost Delegovaná oprávnění > vyberte možnost SMTP.Send
• Klikněte na tlačítko Přidat oprávnění.

Krok 3: Povolit SMTP AUTH pro poštovní schránku.

1. Přihlaste se do centra správy Microsoft 365 - Přejděte do Uživatelé > Aktivní uživatelé > klikněte na poštovní schránku uživatele > vyberte kartu Pošta.

2.Ujistěte se, že je zaškrtnuta možnost "Authenticated SMTP" (Ověřeno SMTP).

Krok 4:Konfigurace protokolu SMTP v bráně

1.Přistupte do grafického rozhraní brány:

• Přihlaste se do konfiguračního rozhraní zařízení z interního rozhraní (strana LAN).
• Přejděte do nabídky Systém > Oznámení > Poštovní server.

2. Zadejte nastavení SMTP: 1. Zadejte nastavení SMTP, abyste mohli odeslat e-mailovou zprávu. 2. Zadejte nastavení SMTP:

• Poštovní server: smtp.office365.com
• Port: 587 (doporučený, podporuje STARTTLS).
• Šifrování: Šifrovací kód: 1: Povolte STARTTLS
• Metoda ověřování: Nastavte STARTFLE: Zvolte Microsoft OAuth2.0.
• E-mailová adresa odesílatele: Zadejte e-mailovou adresu Microsoft 365 (např. sender@yourdomain.com).
• ID klienta: Zadejte ID klienta: Vložte ID aplikace (klienta) z kroku 1-4.
• Client Secret: Vložte hodnotu klientského tajemství z kroku 1-5.
• ID nájemce: Vložte ID adresáře (nájemce) z kroku 1-4.

3. Použijte konfiguraci:

• ! Před vyžádáním tokenu musíte kliknout na tlačítko Apply .
• Kliknutím na Apply uložíte konfiguraci na bráně.

4. Získat token OAuth 2.0

• Po použití konfigurace klikněte na tlačítko"Get New Token".
• Tím se otevře nová karta prohlížeče s přihlašovací stránkou Microsoft Azure.
• Přihlaste se pomocí účtu Microsoft 365 přiřazeného k e-mailové adrese odesílatele (např. sender@yourdomain .com).
• Po výzvě udělte oprávnění
• Po úspěšném ověření se prohlížeč automaticky zavře a vaše brána bezpečně získá ověřovací token od společnosti Microsoft.
• Pole Stav tokenu se aktualizuje. (např. "Valid").
• Pokud se prohlížeč neotevře: Kliknutím na tlačítko "Obnovit stav tokenu" zkontrolujte, zda byl token úspěšně získán, nebo zkuste proces získání tokenu opakovat.

Ověření SMTP pomocí funkce Microsoft OAuth2.0

1. Zkontrolujte, zda byl token úspěšně získán.

Vyplňte e-mailovou adresu příjemce a odešlete zkušební e-mail.

Přejděte do sekce Protokol a hlášení>Protokoly/Události>Systém a zkontrolujte, zda se objevila zpráva protokolu o úspěšném získání tokenu.

2. Přejděte do Log & Report > Email Daily Report > Send Report Now a odešlete e-mail přes firewall.

Zkontrolujte, zda byl e-mail úspěšně přijat do poštovní schránky.

Řešení problémů

Ověření pravosti se nezdařilo:

• Překontrolujte přihlašovací údaje: Ujistěte se, že ID klienta, ID nájemce a Client Secret jsou přesně opsány bez dalších mezer.
• Ujistěte se, že byl udělen souhlas správce pro oprávnění API.
• Zkontrolujte, zda e-mailová adresa odesílatele existuje ve vašem nájemci služby Microsoft 365.

Oprávnění odepřeno:

• Zkontrolujte, zda je povolení API uděleno (krok2-1).
• Ověřte, zda má aplikace souhlas správce
• Zkontrolujte, zda je e-mailový účet odesílatele aktivní

Klientské tajemství vypršelo:

• Vygenerujte nové klientské tajemství v Azure Portal a aktualizujte ho v nastavení brány.

Problémy s připojením

• Ověřte nastavení serveru SMTP (smtp.office365. com:587). Zkontrolujte, zda je port 587 odblokován.
• Zkontrolujte, zda je povoleno šifrování STARTTLS.
• Zkontrolujte bránu firewall/síťové připojení

Problémy s prohlížečem

• Prohlížeč se neotevře: Zkontrolujte, zda jsou povoleny blokátory vyskakovacích oken a povolte vyskakovací okna pro bránu.
• Prohlížeč se otevře, ale zobrazí se chyba: Ověřte konfiguraci URI přesměrování aplikace Azure. A ujistěte se, že se počítač správce nachází v síti, která má přístup k URI (doporučujeme umístit na straně LAN brány).
• Token nebyl po přihlášení získán: Kliknutím na tlačítko"Obnovit stav tokenu" zkontrolujte stav tokenu.
• Otevřeno více karet prohlížeče: Zavřete další karty a zkuste to znovu
• Prohlížeč se automaticky nezavírá: Po úspěšném přihlášení kartu ručně zavřete

Problémy s tokenem:

• Získání tokenu se nezdařilo: Ověřte připojení k internetu a zkuste znovu kliknout na"Get New Token ".
• Token rychle vyprší: To je normální - brána automaticky obnovuje tokeny.
• Tlačítko "Obnovit stav tokenu" nezobrazuje žádný token: Zopakujte proces"Získat nový token".
• Stav tokenu se neaktualizuje: Počkejte 10-15 sekund a poté znovu klikněte na tlačítko"Obnovit stav tokenu".

Doporučené bezpečnostní postupy

Správa tajemství

• Bezpečně ukládejte tajemství klientů
• Rotujte tajemství před vypršením platnosti
• Používejte různé aplikace pro různé účely

Řízení přístupu

• Udělujte pouze minimální požadovaná oprávnění
• Pravidelně kontrolujte oprávnění aplikací
• Monitorujte používání aplikací prostřednictvím protokolů Azure

Monitorování

• Povolte protokolování auditu v aplikaci Microsoft Entra ID
• Sledování neobvyklých vzorů ověřování
• Nastavení upozornění na neúspěšné pokusy o ověření

Další informace

Životní cyklus tokenu

• Platnost přístupových tokenů vyprší po 1 hodině
• Vaše brána automaticky zpracovává obnovení tokenu
• Počáteční token musí být získán prostřednictvím přihlášení v prohlížeči
• Následná obnova tokenu probíhá automaticky na pozadí
• Po počátečním nastavení není pro obnovení tokenu nutná žádná interakce uživatele

Podporované typy e-mailů

• Obyčejné textové e-maily
• E-maily ve formátu HTML
• E-maily s přílohami
• Hromadné odesílání e-mailů (v rámci limitů společnosti Microsoft)

Limity rychlosti

• Společnost Microsoft ukládá limity pro odesílání:
• 30 zpráv za minutu
• 10 000 zpráv za den (výchozí nastavení)
• Vyšší limity jsou k dispozici prostřednictvím podpory společnosti Microsoft

Podpora

Pokud narazíte na problémy:

1. Zkontrolujte, zda byly všechny kroky provedeny správně
2. Zkontrolujte, zda protokoly auditu Microsoft Entra ID neobsahují chyby při ověřování.
3. V případě problémů s přístupem do Azure kontaktujte správce systému
4. Nahlédněte do oficiální dokumentace OAuth 2.0 společnosti Microsoft.

Pro technickou podporu s vaším zařízením brány kontaktujte náš tým podpory a uveďte podrobnosti o konfiguraci (nikdy nesdělujte tajemství klienta).