Outlook necesita una contraseña después de la implementación de la autenticación moderna híbrida
La autenticación moderna híbrida (HMA) se implementa en la organización local. De esta manera, los usuarios con un buzón local utilizarán la autenticación moderna en lugar de la autenticación básica. Es genial porque a partir de ahora utilizarán las políticas de acceso condicional de Microsoft Entra. Una de estas políticas es la autenticación multifactor (MFA).
Después de la implementación de HMA, los usuarios no pueden conectarse a Outlook. Algunos usuarios ven que Outlook les solicita su contraseña y otros reciben el mensaje de inicio de sesión de autenticación moderna. Después de iniciar sesión con sus credenciales, aparece un error. En este artículo, aprenderá por qué sucede esto y la solución para Outlook solicita la contraseña después de configurar la autenticación moderna híbrida.
¿Lo que está sucediendo?
Tenemos la usuaria Amanda, que tiene un buzón local. Puede iniciar sesión en Outlook y aparece el correo. Todo funciona muy bien con la autenticación básica. Sin embargo, después de configurar la autenticación moderna híbrida y reiniciar Outlook, Outlook muestra que necesita una contraseña.
Eliminemos y creemos un nuevo perfil de Outlook para Amanda. Después de hacer eso, aparece el error: CAA2000B.
Algo salió mal
No pudimos iniciar sesión. Si este error persiste, comuníquese con el administrador del sistema y proporcione el código de error CAA2000B.
Información adicional sobre el problema
Código de error: CAA200B< br>ID de correlación: 54cba1ee-6cf8-4382-8e24-b8d7028182a4
Marca de tiempo: 2021-07-10T17:45:57Z
Más información: https://www.microsoft.com/wamerrors
Mensaje del servidor : AADSTS500011: La entidad principal de recurso denominada http://autodiscover.exoip.com/ no se encontró en el inquilino denominado exoip.com. Esto puede suceder si la aplicación no ha sido instalada por el administrador del inquilino ni si ningún usuario del inquilino la ha autorizado. Es posible que haya enviado su solicitud de autenticación al inquilino equivocado.
¿Por qué vemos el código de error CAA2000B y por qué muestra que Outlook necesita una contraseña? ¿Cuál es la solución para estos problemas después de configurar la autenticación moderna híbrida?
La solución para Outlook necesita una contraseña después de la implementación de la autenticación moderna híbrida
La solución es obtener las URL del directorio virtual de Exchange. Después de eso, agregue las URL del servicio web local como SPN (nombre principal del servicio). Echemos un vistazo a cómo hacerlo.
Paso 1. Obtenga las URL del directorio virtual
Inicie Exchange Management Shell como administrador en su Exchange Server local. Ejecute los cuatro cmdlets para recuperar las URL del directorio virtual.
Get-MapiVirtualDirectory | fl server,*url*
Get-WebServicesVirtualDirectory | fl server,*url*
Get-ClientAccessServer | fl Name, AutodiscoverServiceInternalUri
Get-OABVirtualDirectory | fl server,*url*Los resultados aparecen en el resultado siguiente después de ejecutar cada comando. Tome nota de todas las URL internas y externas porque deberá agregarlas en uno de los siguientes pasos.
En nuestro ejemplo, tenemos el mismo nombre para las URL internas y externas. Recomendamos configurarlo así ya que simplificará mucho. Si no lo hizo, verá direcciones internas que terminan en .local o .lan en el resultado.
# Get-MapiVirtualDirectory | fl server,*url*
Server : EX01-2016
InternalUrl : https://mail.exoip.com/mapi
ExternalUrl : https://mail.exoip.com/mapi
Server : EX02-2016
InternalUrl : https://mail.exoip.com/mapi
ExternalUrl : https://mail.exoip.com/mapi
# Get-WebServicesVirtualDirectory | fl server,*url*
Server : EX01-2016
InternalNLBBypassUrl :
InternalUrl : https://mail.exoip.com/EWS/Exchange.asmx
ExternalUrl : https://mail.exoip.com/EWS/Exchange.asmx
Server : EX02-2016
InternalNLBBypassUrl :
InternalUrl : https://mail.exoip.com/EWS/Exchange.asmx
ExternalUrl : https://mail.exoip.com/EWS/Exchange.asmx
# Get-ClientAccessServer | fl Name, AutodiscoverServiceInternalUri
WARNING: The Get-ClientAccessServer cmdlet will be removed in a future version of Exchange. Use the
Get-ClientAccessService cmdlet instead. If you have any scripts that use the Get-ClientAccessServer cmdlet, update them
to use the Get-ClientAccessService cmdlet. For more information, see http://go.microsoft.com/fwlink/p/?LinkId=254711.
Name : EX01-2016
AutoDiscoverServiceInternalUri : https://autodiscover.exoip.com/Autodiscover/Autodiscover.xml
Name : EX02-2016
AutoDiscoverServiceInternalUri : https://autodiscover.exoip.com/Autodiscover/Autodiscover.xml
# Get-OABVirtualDirectory | fl server,*url*
Server : EX01-2016
InternalUrl : https://mail.exoip.com/OAB
ExternalUrl : https://mail.exoip.com/OAB
Server : EX02-2016
InternalUrl : https://mail.exoip.com/OAB
ExternalUrl : https://mail.exoip.com/OABPaso 2. Obtenga SPN relacionados con Exchange
Ejecute PowerShell como administrador y conéctese a Microsoft Graph PowerShell. Inicie sesión con sus credenciales de administrador global de Microsoft 365.
Connect-MgGraph -Scopes "Application.Read.All", "Application.ReadWrite.All"Ejecute el cmdlet Get-MgServicePrincipal para obtener las URL relacionadas con Exchange en la nube para la aplicación 00000002-0000-0ff1-ce00-000000000000.
Get-MgServicePrincipal -Filter "AppId eq '00000002-0000-0ff1-ce00-000000000000'" | select -ExpandProperty ServicePrincipalNamesTome nota (y una captura de pantalla para una comparación posterior) del resultado de este comando, que debe incluir una URL https://autodiscover.yourdomain.com y https://mail.yourdomain.com, pero en su mayoría consiste en SPN que comienzan con 00000002. -0000-0ff1-ce00-000000000000/.
00000002-0000-0ff1-ce00-000000000000/mail.exoip.com
00000002-0000-0ff1-ce00-000000000000/autodiscover.M365x877334.mail.onmicrosoft.com
00000002-0000-0ff1-ce00-000000000000/M365x877334.mail.onmicrosoft.com
00000002-0000-0ff1-ce00-000000000000/autodiscover.exoip.com
00000002-0000-0ff1-ce00-000000000000/exoip.com
00000002-0000-0ff1-ce00-000000000000/autodiscover.exoip.local
00000002-0000-0ff1-ce00-000000000000/exoip.local
00000002-0000-0ff1-ce00-000000000000/outlook.office365.com
00000002-0000-0ff1-ce00-000000000000/mail.office365.com
00000002-0000-0ff1-ce00-000000000000/outlook.com
00000002-0000-0ff1-ce00-000000000000/*.outlook.com
00000002-0000-0ff1-ce00-000000000000
https://ps.compliance.protection.outlook.com
https://outlook-sdf.office.com/
https://outlook-sdf.office365.com/
https://outlook.office365.com:443/
https://outlook.office.com/
https://outlook.office365.com/
https://outlook.com/
https://ps.protection.outlook.com/
https://outlook-tdf.office.com/
https://outlook-tdf-2.office.com/
https://ps.outlook.comLo más probable es que falten las URL https:// de su sistema local. Por lo tanto, necesitaremos agregar esos registros específicos a esta lista en el siguiente paso.
Paso 3. Agregar URL de servicios web locales como SPN
Si no ve sus registros MAPI/HTTP, EWS, ActiveSync, OAB y Autodiscover internos y externos en esta lista, debe agregarlos usando el siguiente comando en Microsoft Graph PowerShell.
En este ejemplo, las URL son https://mail.exoip.com/ y https://autodiscover.exoip.com/. Reemplace las URL con las suyas propias.
$x = Get-MgServicePrincipal -Filter "AppId eq '00000002-0000-0ff1-ce00-000000000000'"
$x.ServicePrincipalNames += "https://mail.exoip.com/"
$x.ServicePrincipalNames += "https://autodiscover.exoip.com/"
Update-MgServicePrincipal -ServicePrincipalId $x.Id -ServicePrincipalNames $x.ServicePrincipalNamesPaso 4. Verificar los SPN relacionados con Exchange
Verifique que haya agregado los nuevos registros ejecutando el cmdlet Get-MgServicePrincipal en Microsoft Graph PowerShell.
Get-MgServicePrincipal -Filter "AppId eq '00000002-0000-0ff1-ce00-000000000000'" | select -ExpandProperty ServicePrincipalNamesMire la salida. Compare la lista/captura de pantalla anterior con la nueva lista de SPN. También puedes tomar una captura de pantalla de la nueva lista para tus registros. Si tuvo éxito, verá las dos nuevas URL en la lista.
Siguiendo nuestro ejemplo, la lista de SPN ahora incluirá las URL específicas https://mail.exoip.com/ y https://autodiscover.exoip.com/ . Véalo en la parte superior de la lista.
https://autodiscover.exoip.com/
https://mail.exoip.com/
00000002-0000-0ff1-ce00-000000000000/mail.exoip.com
00000002-0000-0ff1-ce00-000000000000/autodiscover.M365x877334.mail.onmicrosoft.com
00000002-0000-0ff1-ce00-000000000000/M365x877334.mail.onmicrosoft.com
00000002-0000-0ff1-ce00-000000000000/autodiscover.exoip.com
00000002-0000-0ff1-ce00-000000000000/exoip.com
00000002-0000-0ff1-ce00-000000000000/autodiscover.exoip.local
00000002-0000-0ff1-ce00-000000000000/exoip.local
00000002-0000-0ff1-ce00-000000000000/outlook.office365.com
00000002-0000-0ff1-ce00-000000000000/mail.office365.com
00000002-0000-0ff1-ce00-000000000000/outlook.com
00000002-0000-0ff1-ce00-000000000000/*.outlook.com
00000002-0000-0ff1-ce00-000000000000
https://ps.compliance.protection.outlook.com
https://outlook-sdf.office.com/
https://outlook-sdf.office365.com/
https://outlook.office365.com:443/
https://outlook.office.com/
https://outlook.office365.com/
https://outlook.com/
https://ps.protection.outlook.com/
https://outlook-tdf.office.com/
https://outlook-tdf-2.office.com/
https://ps.outlook.comVerifica tu trabajo
Reinicie Outlook y verá en la barra inferior que está conectado a: Microsoft Exchange.
¡Eso es todo!
Si eso no funcionó para usted, es posible que tenga otras configuraciones que no configuró correctamente al configurar la autenticación moderna híbrida. Le recomendamos leer el artículo Configurar la autenticación moderna híbrida en Exchange local. Explica cada detalle paso a paso sobre cómo implementar la autenticación moderna híbrida.
Conclusión
Descubrió por qué Outlook muestra el mensaje Necesita contraseña después de la implementación de la autenticación moderna híbrida. Primero, obtenga las URL del directorio virtual local de Exchange. Después de eso, agregue las URL del directorio virtual como SPN. Finalmente, reinicie Outlook y mostrará que está conectado a Microsoft Exchange.
¿Disfrutaste este artículo? También te pueden gustar las solicitudes de contraseña de Outlook después de la migración a Office 365. No olvides seguirnos y compartir este artículo.