Als je al eens met Exchange 2007 en Outlook Web Access hebt gespeeld dan heb je kunnen zien dat er aardig wat verschillen zijn t.o.v. Outlook Web Access in Exchange 2003. Zo is het o.a. mogelijk geworden om koppelingen naar een file-server/sharepoint-server beschikbaar te maken via OWA, is het mogelijk restricties te zetten op wat voor soort bestanden er geopend kunnen worden en kan bepaald worden of het bestand als een soort “web” pagina wordt geopend of dat er een lokale applicatie wordt geopend.
Gebruikers kunnen alleen profiteren van deze features indien de mailbox van deze gebruiker is gehost op een Exchange 2007 mailbox server. De gebruikers welke namelijk nog een mailbox hebben op een Exchange 2003 server zullen gebruik maken van de OWA voor 2003.
De OWA functionaliteit wordt aangeboden door de Client Access Server (CAS) mocht je een Exchange 2003 omgeving hebben draaien met de Frontend server dan kan de CAS server deze vervangen indien gewenst. Wanneer je in de Exchange Management Console kijkt en dan specifiek inzoomt op de server configuration zie je dat wanneer je de CAS server selecteert er diverse websites gedefinieerd zijn:
De drie die voor Outlook Web Access van belang zijn zijn:
- owa, dit is de 2007 versie van de OWA
- exchange, dit is de 2003 versie van de OWA
- exchweb, deze website bevat de meeste OWA functionaliteiten
Nu vraag je je natuurlijk af wat zijn al die andere directories dan:
- exadmin, deze map wordt gebruikt om vanuit de Management Console Public Folders te beheren
- public, deze map wordt gebruikt om via de OWA public folder te openen
We beperken ons tot de OWA 2007 versie en vragen dan ook de eigenschappen op van de website met de naam owa.
De eerste tab die we tegenkomen is de tab general:
Je ziet dat je op de tab niet heel veel in kan vullen maar wel wat informatie kan achterhalen:
- de server welke waar OWA wordt gehost
- de website waar de OWA wordt ondergebracht
- voor welke Exchange versie is de OWA geschikt
- wanneer is de website voor het laatst gewijzigd
Verder zijn er 2 invulvelden:
- internal url, hierin wordt de url ingevuld welke gebruikt wordt door gebruikers op het interne netwerk om de OWA te benaderen
- external url, hierin wordt de url ingevuld welke gebruikt wordt door gebruikers vanaf het internet om de OWA te benaderen
Indien je gebruik gaat maken van certificaten dien je dus goed te controleren dat je deze voor de goede url’s aanvraagd.
De volgende tab is authentication op deze tab stellen we in hoe de gebruiker zich kan aanmelden bij OWA. Standaard is dit Use form-based authentication onder deze optie kan er gekozen worden tussen drie manieren om de gebruikersnaam in te vullen:
- Domain\username, de gebruiker logt in met test.local\johan
- User Principale Name, de gebruiker logt in met johan@test.local
- User Name Only, de gebruiker logt in met alleen zijn gebruikersnaam, in dit geval dient in het veld logon domain de domeinnaam opgegeven te worden waar de gebruiker zich moet aanmelden.
De volgende tab is segmentation hiermee kun je bepalen welke opties beschikbaar zijn voor eind gebruikers. Zo kun je bijvoorbeeld de integratie van ActiveSync uitzetten en voorkomen dat gebruikers hun wachtwoord via OWA kunnen wijzigen.
Op de tab Public Computer File Access kan bepaald worden hoe OWA moet reageren als attachments vanaf publieke computers worden geopend:
- OWA moet het bestand omzetten via de Web ready functionaliteit
- OWA moet het openen/downloaden van het bestand blokkeren
- OWA moet het openen/downloaden van het bestand toestaan
Zoals je kunt zien is dit een stuk uitgebreider als in OWA 2003. Als eerst de optie enable direct file access hiermee kunnen we configureren dat een gebruiker een bestand mag openen zonder eventueel de Web ready functionaliteit te gebruiken. Wanneer op de knop customise wordt gedrukt kan dit echter gelimiteerd worden. Zo kan het volgende ingesteld worden:
- allow, welke bestanden met een bepaalde extensie/mime-code mogen geopend worden
- block, welke bestanden met een bepaalde extensie/mime-code mogen niet geopend worden
- force save, welke bestanden met een bepaalde extensie/mime-code moeten eerst opgeslagen worden alvorens het bestand te openen.
- unknown files, hoe moet OWA omgaan met “onbekende” bestanden
Je ziet dat hier redelijk veel mogelijkheden in zijn en dat je dus redelijk eenvoudig bestanden kunt toestaan of blokkeren. De standaard instellingen zijn in principe goed, wil je echter voorkomen dat mp3′s via OWA worden geopend dan zal je deze uit de allow list moeten verwijderen. De optie unknown files zal gebruikt worden indien een extensie/mime-code niet is gedefinieerd in een van de andere drie lijsten. Deze staat standaard ingesteld op Force Save wat inhoudt dat het bestand eerst opgeslagen moet worden alvorens men het bestand kan openen.
Een andere nieuwe feature in de OWA is WebReady Document Viewing, dit houdt in dat het document wordt omgezet via de converters welke ingebouwd zitten in de OWA naar een webpagina. Normaliter zal dit niet gebeuren tenzij de optie Force WebReady Document viewing when a converter is available ingeschakeld staat. OWA bevat converters voor de volgende bestandstypen:
- Excel bestanden
- Word bestanden
- Powerpoint bestanden
- PDF bestanden
Op zich zijn dit denk ik ook wel de meest gebruikte bestanden die je zou willen openen via deze nieuwe functionaliteit. Je hebt dus lokaal op de pc/laptop de applicatie niet nodig.
De laatste twee opties op dit tabblad maken het mogelijk bestanden van remote file servers te openen. Met remote file servers is het mogelijk bestanden te openen op
- Windows File Shares
- Windows SharePoint Services
De remote file servers zelf worden op een andere tab gedefinieerd remote servers deze wordt later besproken.
De volgende tab is Private Computer Access hier wordt hetzelfde gedefinieerd als voor Public Computer Access alleen dan voor vertrouwde computers/laptops. Deze tab bevat exact dezelfde functionaliteiten als de vorige tab die is besproken. Standaard staan hier echter wat meer opties aan zoals bijvoorbeeld de toegang doe Windows File Shares en Windows SharePoint Services.
Op de laatste tab remote file servers kan ingesteld worden welke servers via de OWA benaderd mogen worden en welke niet. Dit kan eenvoudig door de server aan een van de twee lijsten toe te voegen. Nu zou het natuurlijk ontzettend veel werk zijn om dit te configureren als je meerdere file servers hebt, je zou dan een aardige block list moeten maken als je maar toegang tot 1 server wil toelaten. Vandaar de optie unknown servers de actie die hier wordt gedefinieerd wordt gebruikt als een server zowel niet op de allow als op de block list staat. Standaard is de actie dan block.
Zoals je ziet is er nog een knop te bespreken en dat is de knop configure onderaan de tab. Hiermee dienen we de domeinen te specificeren welke als intern domein gezien moeten worden. Wanneer er een server wordt toegevoegd uit een domein dat hier niet is gedefinieerd dan zal deze server niet als een interne server gezien worden en zal men geen toegang krijgen tot de server.
We hebben nu alle tab-bladen besproken die je kunt gebruiken om OWA te configureren. De overige configuratie zoals certificaten toewijzen gebeurt via de IIS admin MMC.
Wanneer je de OWA functie ook via internet aan gaat bieden kan het handig zijn om bij een 3rd party een certificaat aan te vragen, bijvoorbeeld bij VeriSign. De OWA van 2007 maakt standaard gebruik van https and form/based authentication. Hierbij wordt gebruik gemaakt van een self/signed certificate, dit kan wat waarschuwingen opleveren met diverse web/browsers.
Om dit te voorkomen dient een copy van het het self signed certificaat toegevoegd te worden aan vertrouwde basiscertificeringsinstanties. Je kan dit certificaat op 2 manieren verkrijgen:
- via de website zelf en vervolgens te importeren in de juiste store
- door het te exporteren via Powershell en vervolgens te importeren in de juiste store
Als eerst via de website zelf:
- ga naar de betreffende website
- klik op doorgaan indien de waarschuwing weergeven wordt
- klik op de knop certificaatfout in de adresbalk
- klik op certificaatweergeven
- klik op certificaat installeren
- kies in de wizard voor alle certificaten in onderstaand archief opslaan
- selecteer via browse de vertrouwde basiscertificeringsinstanties
- klik op volgende en voltooien
- er wordt een waarschuwing weergeven accepteer deze
- er verschijnt een melding dat het certificaat is geinstalleerd
Bovenstaande stappen kunnen vanaf een client uitgevoerd worden. Onderstaande dient op de CAS server zelf uitgevoerd te worden:
- voer eerst het volgende commando uit: Get-ExchangeCertificate -DomainName mail.test.local
- er zal nu een overzicht worden weergeven van alle certificaten die geinstalleerd zijn en geschikt zijn voor het domein mail.test.local
- vervolgens moeten we het certificaat-exporteren: Export-ExchangeCertificate -Thumbprint 5113ae0233a72fccb75b1d0198628675333d010e -BinaryEncoded:$true -Path c:\certificates\export.pfx -Password:(Get-Credential).password
- wanneer het command wordt uitgevoerd zal dit om een gebruikersnaam en wachtwoord vragen. Dit wachtwoord is nodig om het certificaat te exporteren en te importeren.
- vervolgens kan het aangemaakte bestand geimporteerd worden in de vertrouwde basiscertificeringsinstanties van de client, eventueel kan dit ook via een Group Policy gedaan worden.
Beide stappen zal tot gevolg hebben dat de waarschuwing niet meer wordt weergeven. Wanneer er een 3rd party certificaat wordt geinstalleerd zijn bovenstaande stappen niet nodig. Het enige wat noodzakelijk kan zijn is het root certificaat te installeren van de 3rd party indien dit niet is geinstalleerd.
Indien je kiest voor een 3rd party certificaat aanvraagt dienen we eerst een CSR aan te maken en vervolgens het ontvangen bestand van de 3rd party te installeren:
- start de Powershell op
- voer het volgende commando uit: New-ExchangeCertificate -DomainName test.ocal -Force -FriendlyName OWA -GenerateRequest:$True -Keysize 2048 -Path c:\owa.req -privatekeyExportable:$true -SubjectName “C=NL, O=Test, L=Utrecht, S=Utrecht, CN=owa.test.local”
- dit commando genereerd een CSR om het certificaat aan te vragen
- wanneer je het certificaat hebt ontvangen van de 3rd party dien je dit te importeren.
- het importeren hiervan kan met het volgende commando: Import-ExchangeCertificate -Path c:\certificaat.crt | Enable-ExchangeCertificate -Services “IIS”
- je ziet dat we de parameter -Services meegeven, hiermee stellen we in voor welke services het certificaat gebruikt mag worden, in dit geval alleen IIS. Andere opties zijn SMTP, IMAP en POP3
Indien alles is geconfigureerd kun je controleren of de OWA werkt, dit kan op 2 manieren:
Zelf gebruik ik OWA 2007 al een tijdje en ik moet zeggen dat ik er erg over te spreken ben. Ik hoop dat je wat aan deze tutorial hebt gehad.
