Exchange Über Tmg Veröffentlicht - Geräteadministrator Bei Android-Geräten?

[Roscoe 10]

Hallo zusammen,

 

wir haben unseren Exchange 2010 über einen TMG im Internet veröffentlicht, damit unsere Mitarbeiter mit Smartphones ( Android-Geräten ) ihre Emails, Kalender ect. synchronisieren können.

 

Nachdem der TMG veröffentlicht wurde, war die erste Neuerung die mir aufgefallen ist, dass die Android-Geräte eine Zertifikatsmeldung erhalten haben, dass zum erfolgreichen Synchronisieren mit dem Exchange Geräterichtlinien akzeptiert werden müssen.

Wenn man das bestätigt hatte, wurde die Exchange-Synchronisierung und das Zertifikat am Android-Gerät als Geräte-Administrator eingetragen.

 

Diese Benachrichtigung ist aber nicht direkt nach dem Einrichten erschienen, sondern nach ner undefinierbaren Zeit.

Bei mir warens nur Minuten, bei anderen Geräten mit der gleichen Firmware auch mal ne Stunde oder mehr

 

Nun frage ich mich woher diese Benachrichtigung kommt. Wohl von seitens des TMGs? Da unser alter Exchange 2003 ebenfalls veröffentlicht war (zwar ohne TMG ), aber ich so eine Sicherheitsbenachrichtigung nicht erhalten habe?

 

Ich würde diese Benachrichtigung bei Clients die ich für unsere Anwender einrichte, gerne bewusst auslösen, damit ich beim Ausgeben von neuen Geräten auch gleich prüfen kann ob die Synchronisierung funktioniert.

 

 

Habt ihr hier Ahnung wie ich das machen kann? Bzw. wie diese Sicherheitsbenachrichtigung ausgelöst werden kann?

 

Vielen Dank für eure Hilfe.

 

 

Gruß

 

Roscoe

 

[RobertWi 81]

Moin,

 

je nach Konfiguration, verschlüsselt das TMG alleine (Offloading oder Bridging) oder reicht die Daten nur 1:1 durch (Tunneling).

 

Bei Offloading oder Bridging muss das TMG ein gültiges Zertifikat haben. Am einfachsten - und wenn TMG nur für Exchange benutzt wird - ist es, das Exchang Zertifikat mit privatem Schlüssel zu exportieren und dann beim TMG das gleiche Zertifikat zu benutzen.

[NeMiX 76]

Lass doch mal https://testexchangeconnectivity.com/ drüberlaufen und poste hier evtl. vorhandene Fehlermeldungen.

 

Was für ein Zertifikat setzt du genau und wo ein?

[Roscoe 10]

Hallo und guten Morgen zusammen,

 

alle anderen Mitarbeiter mit Smartphones können einwandfrei synchronisieren. Der TMG verschlüsselt alleine ( Bridging ).

 

Das Zertifikat hat der TMG, das kann ich sicherstellen. Mir kommts so vor als wenn das Smartphone ( Samsung Galaxy S Plus, Android 2.3.6 ) ein Problem mit dem Annehmen des Zertifikats hat.

 

Dass unter den Sicherheitseinstellungen des Android-Geräts "kein Geräteadministrator verfügbar ist" wundert mich schon stark, bei allen anderen Androidlern wird die Anwendung "Email" darin aufgeführt. Leider lässt sich da aber manuell nichts hinzufügen.

 

Im Netz finde ich keine wirkliche Lösung dafür, evtl. kann mir jemand hier weiterhelfen, werde wohl nicht der Einzige sein, der Android-Smartphones über nen Exchange 2010 und TMG laufen lässt.

Konfiguriert habe ich das Ganze nicht selber, war unser Systemhaus, deswegen kann ich manches auch erst nach kurzer Recherche beantworten.

 

Aber über Hilfe bei meinem Problem wäre ich seeeeeeeehr dankbar ;-)

 

 

Gruß

Roscoe

[NeMiX 76]

Was für ein Zertifikat ist den dort im Einsatz auf dem TMG? Von einer eigenen CA oder von einer öffentlichen?

[Roscoe 10]

Hallo,

 

soweit ichs verstanden habe ( ich troubleshoote es, habe es aber nicht konfiguriert ):

 

Das Zertifikat wurde bei Thawte beantragt, im Zuge der Installation des TMG hat unser Systemhaus dann eine eigene CA konfiguriert ).

Diese CA "hostet" dann das Zertifikat wenn ichs richtig versteh?

 

Hilft das weiter?

Ne, sorry, falsche Info meinerseits.

 

Die eigene CA ist für den OWA-Zugriff intern, für Active-Sync von extern haben wir ein öffentliches Zertifikat gekauft, sorum ists richtig.

[Roscoe 10]

Urache habe ich nun gefunden, nur nicht wie ich den Fehler behebe....

 

Über ADSIEdit kann ich meinem User entnehmen dass es bei mir eine CN=ExchangeActiveSyncDevices gibt..

 

Beim "Problem-User" aber nicht. Ein Test meiner Anmeldedaten bei testmyexchangeconnectivity ergibt keine Fehler, bei ihm aber schon. ( Fehler HTTP 500 ).

Dieser Test wird als CN unter meinem User angelegt, bei ihm wird aber nichts reingeschrieben.

 

Woran kanns liegen?

[RobertWi 81]

Moin,

 

im Normalfall sollte dieser Untercontainer bei der ersten Sync automatisch angelegt werden.

 

Handelt es sich bei dem Problemuser um einen Admin oder User, der sonstwie in einer Super-Gruppe ist oder war?

 

Wenn ja, dann wird EAS mit dem nie richtig funktionieren (Stichwort: adminSDHolder) und es ist auch nicht vorgesehen, mit administrativen Konten zu arbeiten.

 

Wenn nein, dann prüfe bitte, ob bei dem AD-Objekt des User die Vererbung der übergeordneten Sicherheitsberechtigungen aktiv ist.

[Roscoe 10]

Ja, der war in einer Super-Gruppe.

 

Kannst du mir erklären, wieso es nie richtig funktioniern wird?

[RobertWi 81]

Sorry, unglücklich ausgedrückt, der Satz bezieht sich auf "er IST in einer Super-Gruppe", nicht auf er WAR.

 

Wenn er da mal war, musst Du manuell eingreifen und die Berechtigungen wieder gerade ziehen. Dann wird es auch wieder funktionieren:

http://www.msxfaq.net/konzepte/adminsdholder.htm