SMTP unter O365 mit MFA

[xrated2 15]

Hallo

mir ist aufgefallen das SMTP nicht funktioniert. Liegt das an MFA oder Basic authentication? 

SMTP Authentication habe ich via PS abgefragt, ist aktiv. Ist bei jedem User auch an.

Somit fällt das schon mal weg (unter Option 2,3): https://learn.microsoft.com/de-de/exchange/mail-flow-best-practices/how-to-set-up-a-multifunction-device-or-application-to-send-email-using-microsoft-365-or-office-365

 

Wenn ich aus Lizenzgründen kein conditional access für MFA machen kann, ist dann ein sog. App passwort die Lösung wie hier beschrieben?

https://j0rt3g4.medium.com/how-to-send-emails-using-office-365-smtp-auth-help-part-2-smtp-auth-with-mfa-opc2-52ed3ca4fa5e

bearbeitet 31. Mai 2023 von xrated2

[NorbertFe 2.065]

Mfa geht nicht für smtp afaik. Aber basic könnte evtl. Abgeschaltet worden sein. Das kannst du dann aber wieder aktivieren.

https://learn.microsoft.com/en-us/exchange/clients-and-mobile-in-exchange-online/authenticated-client-smtp-submission

[xrated2 15]

Get-TransportConfig | Format-List SmtpClientAuthenticationDisabled

SmtpClientAuthenticationDisabled : False

 

Get-OrganizationConfig | Format-Table DefaultAuthenticationPolicy

DefaultAuthenticationPolicy
---------------------------

 

Get-AuthenticationPolicy | Format-Table Name -Auto

 

Also ich find hier nix was blockieren würde, nicht mal Basic Auth.

[xrated2 15]

Also wegen MFA geht kein SMTP oder?

[cj_berlin 1.329]

vor 2 Minuten schrieb xrated2:

Also wegen MFA geht kein SMTP oder?

Nein, für SMTP wird MFA nicht angewandt.

[Nobbyaushb 1.479]

An @xrated2 - was ist denn das eigentliche Problem?

Was hat SMTP mit einzelnen Usern zu tun?

So ganz bin ich leider noch nicht dahinter gekommen - oder überlesen...

[xrated2 15]

"für" nicht, aber dann macht doch kein MFA (zumindest für Mail) keinen Sinn mehr wenn man es über SMTP einfach aushebeln kann.

 

Es ist wirklich sehr unübersichtlich wenn es soviele Mechanismen gibt (Basic, SMTP Auth, App password) und man nicht weiß welcher davon bei SMTP blockiert. Laut den Commands oben müsste es ja am App Passwort liegen?

 

Da steht wieder was das es wegen MFA nicht geht:

https://blog.icewolf.ch/archive/2020/10/19/exchange-online-send-mail-with-smtp-auth-from-a-shared/

vor 19 Minuten schrieb Nobbyaushb:

An @xrated2 - was ist denn das eigentliche Problem?

Was hat SMTP mit einzelnen Usern zu tun?

 

Ich möchte Mails über Wordpress, Backup, Drucker etc. versenden und das geht anscheinend nicht wegen MFA oder App Password, was auch immer. Ich hab auch keine Lizenzen um MFA für bestimmte Konten mit conditional access auszumachen.

bearbeitet 12. Juni 2023 von xrated2

[testperson 1.711]

Hi,

 

für Drucker und Backup wäre dann Option 2 und für Wordpress Option 3 oder ggfs. auch 2 aus How to set up a multifunction device or application to send email using Microsoft 365 or Office 365 | Microsoft Learn ein Weg.

 

Gruß

Jan

[xrated2 15]

das kenne ich aber da kommt ein Fehler wegen Authentifizierung. Bei Wordpress konnte ich es mittlerweile mit einem spez. Plugin (oauth2) lösen 

[xrated2 15]

sobald die Security Defaults in Azure aktiv sind, ist scheinbar auch

BasicAuthSmtp

deaktiviert.

https://www.msxfaq.de/cloud/authentifizierung/security_defaults.htm

 

Ich weiß nicht ob man mit einer zusätzlichen Userpolicy das ganze wieder aktivieren kann:

https://vanbrenk.blogspot.com/2019/04/enable-basic-authentication-for-one.html

bearbeitet 19. Juli 2023 von xrated2

[testperson 1.711]

Hi,

 

seit kurzem ist auch modern Auth für SMTP verfügbar: Authenticate an IMAP, POP or SMTP connection using OAuth | Microsoft Learn

 

Gruß

Jan

[xrated2 15]

Nicht immer kann man Oauth2 nutzen z.b. bei Druckern, BackupSoftware

[testperson 1.711]

Dann siehe: https://www.mcseboard.de/topic/223030-smtp-unter-o365-mit-mfa/?do=findComment&comment=1445962

 

 

Ich gehe allerdings davon aus, dass die meisten Hersteller früher oder später etwas in diese Richtung anbieten werden. Alternativ derzeit dann evtl. etwas aus dieser Richtung: GitHub - simonrob/email-oauth2-proxy: An IMAP/POP/SMTP proxy that transparently adds OAuth 2.0 authentication for email clients that don't support this method.

[xrated2 15]

Ja da steht aber auch nirgends das man die Azure Security Defaults deaktivieren muss das es geht. Habe endlos Zeit vergeudet bis ich das entdeckt habe. Aber dann funktioniert es.

 

Ich muss mir jetzt erstmal einen Test Tenant machen, nochmal ohne trifftigen Grund schalte ich die nicht wieder an. Hatte heute 5 Leute die sich nicht mehr einloggen konnten wegen MFA.

[testperson 1.711]

In meinem Beitrag da oben erwähnte ich Option 2 oder 3 aus dem Link und nicht unbedingt Option 1). ;)

 

Je nachdem auch "einfach" ein eigenes SMTP Relay (oder den kostenlosen Exchange Server*, der in "Exchange online" enthalten ist,) zum Annehmen und Weiterleiten der Mails in Betrieb nehmen.

 

*) Wobei ich mir nicht sicher bin, ob das den Lizenzbestimmungen entspricht. AFAIK darf der nur keine Postfächer hosten und ein Relay ist i.O.