Jak skonfigurować SMTP z Microsoft OAuth2.0?

W tym przewodniku wyjaśniono, jak skonfigurować bramę do wysyłania wiadomości e-mail przy użyciu protokołu SMTP z uwierzytelnianiem Microsoft OAuth 2.0 za pośrednictwem konta Microsoft 365. OAuth 2.0 zapewnia bezpieczne uwierzytelnianie oparte na tokenach, zastępując mniej bezpieczne podstawowe metody uwierzytelniania. Aby zarejestrować aplikację na platformie Microsoft Azure i skonfigurować bramę dla protokołu SMTP, należy wykonać poniższe kroki. Ta funkcja jest obsługiwana w systemie uOS w wersji 1.35 i nowszych. Uwaga: SMTP z Microsoft OAuth 2.0 jest obsługiwany w serii USG Flex H. Ten przykład został przetestowany przy użyciu USG FLEX 200HP (wersja oprogramowania układowego: uOS 1.35).

Wymagania wstępne

• Konto Microsoft 365 z licencjonowaną skrzynką pocztową Exchange Online.
• Dostęp administracyjny do Microsoft Azure Portal (https://portal.azure.com).
• SMTP AUTH jest włączone dla skrzynki pocztowej (patrz krok 3 poniżej).
• Urządzenie bramy z dostępem do konfiguracji SMTP (wersja oprogramowania układowego uOS1.35 lub nowsza).

Instrukcje krok po kroku

Krok 1: Zarejestruj aplikację w Azure Portal

1.Zaloguj się do Azure Portal:

• Przejdź do https://portal.azure.com i zaloguj się za pomocą konta z uprawnieniami administracyjnymi dla Microsoft Entra ID.

2. przejdź do Rejestracje aplikacji:

• W menu po lewej stronie wybierz Microsoft Entra ID > App registrations > New registration.

3.Skonfiguruj aplikację:

• Name: Wprowadź opisową nazwę (np. "Gateway SMTP App").
• Obsługiwane typy kont: W większości przypadków należy wybrać opcję Accounts in this organizational directory only (Single tenant).
• Redirect URI: Identyfikator URI przekierowania określa, gdzie serwer autoryzacji powinien odesłać użytkownika po pomyślnym uwierzytelnieniu, aby zwrócić token dostępu do jego konta e-mail.
• Typ: Wybierz"Web".
• URI: Wpisz https://[devicefqdn lub ip]/cgi-bin/msoauth2.cgi. Zastąp [Device FQDN lub IP] rzeczywistą w pełni kwalifikowaną nazwą domeny lub adresem IP wewnętrznego interfejsu, z którym może połączyć się komputer administratora. (Uwaga: Identyfikator URI przekierowania musi zaczynać się od schematu https).
• Kliknij przycisk Zarejestruj.

4.Kopiowanie identyfikatorów aplikacji:

• Na stronie Przegląd aplikacji skopiuj identyfikator aplikacji (klienta) i identyfikator katalogu (dzierżawcy). Są one wymagane do konfiguracji bramy.

5.Utwórz klucz tajny klienta:

• Przejdź do Certyfikaty i sekrety > Sekrety klienta > Nowy sekret klienta.
• Dodaj opis (np. "SMTP Secret") i wybierz okres ważności (np. 24 miesiące).
• Kliknij przycisk Dodaj, a następnie natychmiast skopiuj wartość klucza tajnego klienta. Uwaga: Ta wartość jest wyświetlana tylko raz i nie będzie można jej odzyskać po opuszczeniu tej strony. Jeśli ją zgubisz, będziesz musiał wygenerować nową. To jest twój "ClientSecret".
• Przechowuj go bezpiecznie, ponieważ zapewnia on dostęp do aplikacji.

Krok 2: Przyznanie uprawnień API

1.Dodaj uprawnienia:

• W nawigacji po lewej stronie strony przeglądu aplikacji kliknij Uprawnienia API > +Dodaj uprawnienie.
• Wybierz Microsoft Graph
• Wybierz Delegowane uprawnienia > Wyszukaj dostęp offline
• Kliknij Dodaj uprawnienia.
• Dodaj 2. uprawnienie. Kliknij +Dodajuprawnienie
• Wybierz Microsoft Graph
• Wybierz Delegowane uprawnienia > wybierz SMTP.Send
• Kliknij Dodaj uprawnienia.

Krok 3: Włącz SMTP AUTH dla skrzynki pocztowej

1.Zaloguj się do centrum administracyjnego Microsoft 365 - przejdź do Użytkownicy > Aktywni użytkownicy > kliknij skrzynkę pocztową użytkownika > wybierz kartę Poczta.

2.Upewnij się, że opcja pola wyboru "Uwierzytelniony SMTP" jest zaznaczona....

Krok 4: Skonfiguruj SMTP w swojej bramce

1.Uzyskaj dostęp do interfejsu GUI bramy:

• Zaloguj się do interfejsu konfiguracyjnego urządzenia z interfejsu wewnętrznego (strona LAN).
• Przejdź do System > Powiadomienia > Serwer poczty

2.Wprowadź ustawienia SMTP:

• Serwer poczty: smtp.office365.com
• Port: 587 (zalecany, obsługuje STARTTLS).
• Szyfrowanie: Włącz STARTTLS
• Metoda uwierzytelniania: Wybierz Microsoft OAuth2.0.
• Adres e-mail nadawcy: Wprowadź adres e-mail Microsoft 365 (np. sender@yourdomain.com).
• Client ID: Wklej identyfikator aplikacji (klienta) z kroku 1-4.
• Client Secret: wklej wartość klucza tajnego klienta z kroku 1-5.
• Tenant ID: Wklej identyfikator katalogu (dzierżawcy) z kroku 1-4.

3.Zastosuj konfigurację:

• ! Przed zażądaniem tokena należy kliknąć przycisk Apply .
• Kliknij Zastosuj , aby zapisać konfigurację w bramie.

4.Uzyskaj token OAuth 2.0

• Po zastosowaniu konfiguracji kliknij przycisk"Get New Token".
• Spowoduje to otwarcie nowej karty przeglądarki na stronie logowania Microsoft Azure.
• Zaloguj się za pomocą konta Microsoft 365 powiązanego z adresem e-mail nadawcy (np. sender@yourdomain .com).
• Przyznaj uprawnienia po wyświetleniu monitu
• Przeglądarka zostanie automatycznie zamknięta po pomyślnym uwierzytelnieniu, a brama bezpiecznie uzyska token uwierzytelniania od firmy Microsoft.
• Pole Token Status zostanie zaktualizowane. (np. "Ważny").
• Jeśli przeglądarka się nie otworzy: Kliknij przycisk "Refresh Token Status", aby sprawdzić, czy token został pomyślnie uzyskany lub ponowić proces pobierania tokena.

Weryfikacja funkcji SMTP z Microsoft OAuth2.0

1. Upewnij się, że token został pomyślnie pozyskany.

Wpisz adres e-mail odbiorcy i wyślij testową wiadomość e-mail.

Przejdź do Log & Report>Log/Events>System i sprawdź komunikat dziennika o pomyślnym pobraniu tokena.

2. Przejdź do Log & Report > Email Daily Report > Send Report Now , aby wysłać wiadomość e-mail przez zaporę.

Upewnij się, że wiadomość e-mail została pomyślnie odebrana w skrzynce pocztowej.

Rozwiązywanie problemów

Uwierzytelnianie nie powiodło się:

• Sprawdź dwukrotnie dane uwierzytelniające: Upewnij się, że Client ID, Tenant ID i Client Secret zostały dokładnie skopiowane bez żadnych dodatkowych spacji.
• Upewnij się, że zgoda administratora została udzielona dla uprawnień API
• Sprawdź, czy adres e-mail nadawcy istnieje w dzierżawie Microsoft 365.

Odmowa uprawnień:

• Potwierdź, że uprawnienie API zostało przyznane (Krok 2-1).
• Sprawdź, czy aplikacja ma zgodę administratora
• Sprawdź, czy konto e-mail nadawcy jest aktywne

Klucz tajny klienta wygasł:

• Wygeneruj nowy klucz tajny klienta w Azure Portal i zaktualizuj go w ustawieniach bramy.

Problemy z połączeniem

• Zweryfikuj ustawienia serwera SMTP (smtp.office365. com:587). Upewnij się, że port 587 jest odblokowany.
• Upewnij się, że szyfrowanie STARTTLS jest włączone.
• Sprawdź zaporę sieciową/łączność sieciową.

Problemy z przeglądarką

• Przeglądarka nie otwiera się: Sprawdź, czy blokady wyskakujących okienek są włączone i zezwól na wyskakujące okienka dla bramy.
• Przeglądarka otwiera się, ale wyświetla błąd: Sprawdź konfigurację URI przekierowania aplikacji Azure. I upewnij się, że komputer administratora znajduje się w sieci, która może uzyskać dostęp do URI (zalecane jest zlokalizowanie po stronie LAN bramy).
• Token nie został uzyskany po zalogowaniu: Kliknij przycisk"Odśwież status tokena", aby sprawdzić status tokena.
• Otwarto wiele kart przeglądarki: Zamknij dodatkowe karty i spróbuj ponownie
• Przeglądarka nie zamyka się automatycznie: Ręcznie zamknij kartę po pomyślnym zalogowaniu

Problemy z tokenem:

• Pozyskanie tokena nie powiodło się: Sprawdź łączność z Internetem i spróbuj ponownie kliknąć"Pobierz nowy token ".
• Token szybko wygasa: To normalne - brama automatycznie odświeży tokeny.
• Przycisk "Odśwież status tokena" nie pokazuje tokena: Powtórz proces"Pobierz nowy token".
• Status tokena nie aktualizuje się: Odczekaj 10-15 sekund, a następnie ponownie kliknij przycisk"Odśwież status tokena".

Najlepsze praktyki bezpieczeństwa

Zarządzanie kluczami tajnymi

• Bezpiecznie przechowuj sekrety klienta
• Rotacja sekretów przed wygaśnięciem
• Używaj różnych aplikacji do różnych celów

Kontrola dostępu

• Przyznawaj tylko minimalne wymagane uprawnienia
• Regularnie sprawdzaj uprawnienia aplikacji
• Monitorowanie użycia aplikacji za pośrednictwem dzienników platformy Azure

Monitorowanie

• Włączanie rejestrowania inspekcji w Microsoft Entra ID
• Monitorowanie nietypowych wzorców uwierzytelniania
• Konfigurowanie alertów dotyczących nieudanych prób uwierzytelnienia

Dodatkowe informacje

Cykl życia tokenu

• Tokeny dostępu wygasają po 1 godzinie
• Brama automatycznie obsługuje odświeżanie tokenów
• Początkowy token musi zostać pozyskany poprzez logowanie w przeglądarce.
• Kolejne odnowienia tokenu odbywają się automatycznie w tle.
• Odnowienie tokenu po początkowej konfiguracji nie wymaga interakcji użytkownika.

Obsługiwane typy wiadomości e-mail

• Wiadomości e-mail w postaci zwykłego tekstu
• Wiadomości e-mail w formacie HTML
• Wiadomości e-mail z załącznikami
• Masowe wysyłanie wiadomości e-mail (w ramach limitów Microsoft)

Limity stawek

• Microsoft nakłada limity wysyłania:
• 30 wiadomości na minutę
• 10 000 wiadomości dziennie (domyślnie)
• Wyższe limity są dostępne za pośrednictwem pomocy technicznej Microsoft

Wsparcie

W przypadku wystąpienia problemów:

1. Sprawdź, czy wszystkie kroki zostały wykonane poprawnie
2. Sprawdź dzienniki audytu Microsoft Entra ID pod kątem błędów uwierzytelniania.
3. Skontaktuj się z administratorem systemu w sprawie problemów z dostępem do platformy Azure
4. Zapoznaj się z oficjalną dokumentacją OAuth 2.0 firmy Microsoft.

Aby uzyskać pomoc techniczną dotyczącą urządzenia bramy, skontaktuj się z naszym zespołem pomocy technicznej, podając szczegóły konfiguracji (nigdy nie udostępniaj tajemnic klienta).