Exchange Online /O365 migratie met IMAP werkt niet

[True]

Ik heb sinds jaren een eigen domein welke ik onder een Exchange Online (c.q. Office 365) dienst heb hangen rechtstreeks afgenomen bij Microsoft om te mailen met [e-mail] en nog wat niet relevante aliassen. Ik mail op mijn Android device met de Outlook app en op mijn workstations via de webGUI op https://outlook.office.com/mail/ , bij beiden log ik simpel in met [e-mail], mijn wachtwoord en MFA.

Nu wil ik eigenlijk over naar een andere maildienst hier kan ik een import doen van mail, contacten en agenda-items. Dit kan met IMAP dienst onafhankelijk. Voor zover ik weet/kan zien/kan vinden heb ik IMAP actief staan in mijn EO admin panel: https://admin.exchange.mi...ailboxes/:/MailboxDetails .¹
Maar de kennis ontbreekt mij om te stellen dat dit ook daadwerkelijk het geval is. Ik ben inmiddels iets meer dan vier jaar bezig met enkel Linux en Microsoft Producten raak ik al jaren amper aan _{met een stok op afstand} .

Wanneer ik probeer om in te loggen via de nieuwe dienstverlener en gebruik maak van een app password welke ik gemaakt heb onder mijn account via: https://myaccount.microsoft.com/?ref=MeControl >> Security info >> UPDATE INFO >> (https://mysignins.microsoft.com/security-info) >> Add sign-in method >> app password lukt dit niet.

Om dit verder te testen heb ik het volgende ook geprobeerd:

• meermaals nieuwe app passwords aangemaakt;
• app passwords aangemaakt en een inlogpoging doen zonder het scherm weg te klikken MS zegt namelijk vrij ambigu: "Copy the password to clipboard and paste into your app. Then return here and choose 'Done'" waarbij ik mij kan indenken dat je een inlogpoging moet doen met dit scherm open;
• een tijdje (zowel 10 minuten als 24 uur) gewacht na het aanmaken van een app password;
• handmatig IMAP² inloggen via Outlook 2016 met app password;
• handmatig POP² inloggen via Outlook 2016 met app password;
• handmatig IMAP² inloggen via Thunderbird 102.2.0 met app password;
• handmatig POP² inloggen via Thunderbird 102.2.0 met app password;
• in weer een ander EO admin panel gekeken naar mail instellingen: https://docs.microsoft.co...ccess-to-a-single-mailbox ook hier alles enabled . ³

Waarbij geen van bovenstaande pogingen resulteerde in een werkende inlogpoging of migratiepoging.

Nu kom ik uit bij het feit dat ik ooit wat aangepast heb met PowerShell omdat er destijds (als ik het mij goed herinner) een vulnerability in zat welke op dat moment het gemakkelijkste met een workaround (disable) van bepaalde zaken werkte. Nu heb ik geen idee meer wat dat was, hoe ik dat precies deed (behalve met PS) en of dat op dit moment nog enige invloed heeft.
De vervolgstappen die ik kan vinden zijn voor mij vaag, onduidelijk en gaan lekker verder met PS. Enige kennis lijkt hier nodig te zijn omdat het hier verder lijkt in te gaan op policies (om bepaalde rechten te verlenen of te beperken buiten het EO admin panel om.⁴
Nu is voor mij het moment om even een stapje terug te doen en gewoon even te vragen, wat moet ik doen om dit weer aan de praat te krijgen zodat ik IMAP weer werkend heb én ik kan migreren.

Zijn er zaken die ik over het hoofd zie? Doe ik wat fout? En willen jullie dat ik specifieke zaken laat zien of test om hier een beter beeld bij te krijgen?

1.

2.

Ik gebruik netjes deze servers, poorten en encryptie methodieken: https://docs.microsoft.co...-and-imap4/pop3-and-imap4

3.

4.

Vervolgstappen zoals ik het zie zijn: https://docs.microsoft.co...minCSH_M365SecurityCenter
Maar ik zie dan bijv.:

PowerShell:

PS C:\WINDOWS\system32> Get-OrganizationConfig | Select DefaultAuthenticationPolicy
>>

DefaultAuthenticationPolicy
---------------------------



PS C:\WINDOWS\system32>

En dan het vervolg waar ik afhaak:

PowerShell:

PS C:\WINDOWS\system32> Set-AuthenticationPolicy -Identity DefaultAuthenticationPolicy -AllowBasicAuthPop -AllowBasicAuthImap -AllowBasicAuthSmtp
The operation couldn't be performed because object 'DefaultAuthenticationPolicy' couldn't be found on
'AM6PR10A01DC003.EURPR10A001.PROD.OUTLOOK.COM'.
    + CategoryInfo          : NotSpecified: (:) [Set-AuthenticationPolicy], ManagementObjectNotFoundException
    + FullyQualifiedErrorId : [Server=PAXPR10MB5159,RequestId=e532349f-d249-42b5-9e20-7d475e726800,TimeStamp=8/31/2022
    7:52:30 PM] [FailureCategory=Cmdlet-ManagementObjectNotFoundException] C9B8507F,Microsoft.Exchange.Management.Sys
  temConfigurationTasks.AuthPolicy.SetAuthPolicy
    + PSComputerName        : outlook.office365.com

PS C:\WINDOWS\system32>

[Yeebo]

Microsoft is erg moeilijk aan het doen met IMAP, twee settings die je even kan checken:
- Aad.Portal.azure.com (als Admim). Klik op Azure Active Directory, Dan op eigenschappen en op “Manage Security Defaults”, deze moet uitstaan.
- In het Admin-center, kies voor Help en toets: EXO: Legacy Auth, als het goed is komt er een probleemwizard. Voer deze uit, hierna zou de optie moeten komen om IMAP in te schakelen.

Als laatste, voor je authentication policy, moet je hetzelfde commando runnen met New-AuthenticationPolicy. Hierna kan je een Get-User | Set-AuthenticationPolicy -Identity (policynaam) doen om deze toe te passen.

[True]

Yeebo schreef op woensdag 31 augustus 2022 @ 22:36:
Microsoft is erg moeilijk aan het doen met IMAP, twee settings die je even kan checken:
- Aad.Portal.azure.com (als Admim). Klik op Azure Active Directory, Dan op eigenschappen en op “Manage Security Defaults”, deze moet uitstaan.

Geen soelaas.

- In het Admin-center, kies voor Help en toets: EXO: Legacy Auth, als het goed is komt er een probleemwizard. Voer deze uit, hierna zou de optie moeten komen om IMAP in te schakelen.

Ik volg niet waar ik dit precies moet doen. Als ik het hier: https://admin.microsoft.com/#/homepage probeer in de zoekbalk bovenin krijg ik de volgende resultaten:

Als laatste, voor je authentication policy, moet je hetzelfde commando runnen met New-AuthenticationPolicy. Hierna kan je een Get-User | Set-AuthenticationPolicy -Identity (policynaam) doen om deze toe te passen.

Deze heb ik nog even niet geprobeerd.

[Yeebo]

True schreef op woensdag 31 augustus 2022 @ 23:02:
[...]

Geen soelaas.
[Afbeelding]


[...]

Ik volg niet waar ik dit precies moet doen. Als ik het hier: https://admin.microsoft.com/#/homepage probeer in de zoekbalk bovenin krijg ik de volgende resultaten:
[Afbeelding]


[...]

Deze heb ik nog even niet geprobeerd.

Als het goed is, kan je op een Help knop klikken rechtsboven. Anders links in het menu onder “ondersteuning”. Er komt een pop-up met een zoekbalk waarin dit zou moeten staan.

[True]

Yeebo schreef op woensdag 31 augustus 2022 @ 23:21:
[...]


Als het goed is, kan je op een Help knop klikken rechtsboven. Anders links in het menu onder “ondersteuning”. Er komt een pop-up met een zoekbalk waarin dit zou moeten staan.

Ja dat geeft weer wat anders weer ja.


Via link 1: https://docs.microsoft.co...65AdminCSH_SupportCentral kom ik uit op "Re-enabling and opting out of Proactive Protection" wat weer verwijst naar: https://techcommunity.mic...-2021-update/ba-p/2454827 waar ik uitkom bij: "Self-Service Re-Enablement" die weer verwijst naar het zoeken op: 'Diag: Enable Basic Auth in EXO' wat weer in de EO admin portal het volgende geeft: (let niet op MS die even niet dark mode snapt)


Helaas resulteert dat niet in een aanpassing:


Ik moet wel eerlijk zeggen dat de comments onder die blog post: https://techcommunity.mic...-2021-update/ba-p/2454827 wel ietwat verontrustend zijn. Meerdere mensen klagen dat ze zomaar dicht gezet zijn zonder een bericht en blijkbaar is een app password dus basic authentication (ik zou dit niet onder basic scharen enfin).

Helaas nog geen werkende oplossing

Kun je mij nog helpen met je powershell stap of is die (nog) niet relevant? Ik kan er namelijk geen chocola van maken.

edit:
Ik zie in mijn message center wel de berichten over de 1 okt 2022 wijziging van basic authentication, maar ik heb geen 'non-usage' melding dat mijn Exchange Online eerder zonder basic authentication komt te zitten.

[Voor 6% gewijzigd door True op 31-08-2022 23:39]

[Yeebo]

True schreef op woensdag 31 augustus 2022 @ 23:36:
[...]


Ja dat geeft weer wat anders weer ja.
[Afbeelding]

Via link 1: https://docs.microsoft.co...65AdminCSH_SupportCentral kom ik uit op "Re-enabling and opting out of Proactive Protection" wat weer verwijst naar: https://techcommunity.mic...-2021-update/ba-p/2454827 waar ik uitkom bij: "Self-Service Re-Enablement" die weer verwijst naar het zoeken op: 'Diag: Enable Basic Auth in EXO' wat weer in de EO admin portal het volgende geeft: (let niet op MS die even niet dark mode snapt)
[Afbeelding]

Helaas resulteert dat niet in een aanpassing:
[Afbeelding]

Ik moet wel eerlijk zeggen dat de comments onder die blog post: https://techcommunity.mic...-2021-update/ba-p/2454827 wel ietwat verontrustend zijn. Meerdere mensen klagen dat ze zomaar dicht gezet zijn zonder een bericht en blijkbaar is een app password dus basic authentication (ik zou dit niet onder basic scharen enfin).

Helaas nog geen werkende oplossing

Kun je mij nog helpen met je powershell stap of is die (nog) niet relevant? Ik kan er namelijk geen chocola van maken.

Hmm, tjaa, zeg me er maar niets van. Zijn al een jaar bezig bij ons op het werk om dit hele zootje over te zetten

Voor het Powershell gedeelte kan je het volgende uitvoeren, je zet hem dan wel volledig open maar aangezien je de tenant toch gaat uitfaseren…
- New-AuthenticationPolicy -Identity AllowIMAP -AllowBasicAuthImap
- Get-User | Set-AuthenticationPolicy AllowIMAP
- Set-OrganizationConfig -DefaultAuthenticationPolicy AllowIMAP

(mocht je nog een oude cliënt e.d. gebruiken om te verbinden met O365 die bijvoorbeeld nog Basic Auth Active Sync doet, sloop je dat wel hiermee).

Daarnaast heb je nog Conditional Access Policies, ik verwacht het niet, maar misschien staat daar nog wat. Je vind deze onder Aad.portal.azure.com —> Azure Active Directory —> Security —> Conditional Access Policies. Deze kan je dan even disablen om te zien of hier het probleem zit.

[True]

Yeebo schreef op woensdag 31 augustus 2022 @ 23:47:
[...]


Hmm, tjaa, zeg me er maar niets van. Zijn al een jaar bezig bij ons op het werk om dit hele zootje over te zetten

Voor het Powershell gedeelte kan je het volgende uitvoeren, je zet hem dan wel volledig open maar aangezien je de tenant toch gaat uitfaseren…
- New-AuthenticationPolicy -Identity AllowIMAP -AllowBasicAuthImap
- Get-User | Set-AuthenticationPolicy AllowIMAP
- Set-OrganizationConfig -DefaultAuthenticationPolicy AllowIMAP

De 'New-AuthenticationPolicy -Identity AllowIMAP -AllowBasicAuthImap' moet volgens mij met -Name zijn i.p.v. -Identity, anders werkt die namelijk niet.

Ook doet Get-User | Set-AuthenticationPolicy AllowIMAP niet wat, ik neem aan dat je hiermee wilt dat het AuthenticationPolicy voor de user/users (er staan er twee, de 2e is een DiscoverySearchMailbox) ingesteld wordt voor de info mailbox?

PowerShell:

PS C:\WINDOWS\system32> Get-User | Set-AuthenticationPolicy AllowIMAP
The input object cannot be bound to any parameters for the command either because the command does not take pipeline
input or the input and its properties do not match any of the parameters that take pipeline input.
    + CategoryInfo          : InvalidArgument: (DiscoverySearch...D-7E09334BB852}:PSObject) [Set-AuthenticationPolicy]
   , ParameterBindingException
    + FullyQualifiedErrorId : InputObjectNotBound,Set-AuthenticationPolicy
    + PSComputerName        : outlook.office365.com

The input object cannot be bound to any parameters for the command either because the command does not take pipeline
input or the input and its properties do not match any of the parameters that take pipeline input.
    + CategoryInfo          : InvalidArgument: (info:PSObject) [Set-AuthenticationPolicy], ParameterBindingException
    + FullyQualifiedErrorId : InputObjectNotBound,Set-AuthenticationPolicy
    + PSComputerName        : outlook.office365.com

De 'Set-OrganizationConfig -DefaultAuthenticationPolicy AllowIMAP' werkt wel.

(mocht je nog een oude cliënt e.d. gebruiken om te verbinden met O365 die bijvoorbeeld nog Basic Auth Active Sync doet, sloop je dat wel hiermee).

Daarnaast heb je nog Conditional Access Policies, ik verwacht het niet, maar misschien staat daar nog wat. Je vind deze onder Aad.portal.azure.com —> Azure Active Directory —> Security —> Conditional Access Policies. Deze kan je dan even disablen om te zien of hier het probleem zit.

Hier heb ik niets staan, helemaal leeg.

[Yeebo]

True schreef op donderdag 1 september 2022 @ 00:02:
[...]

De 'New-AuthenticationPolicy -Identity AllowIMAP -AllowBasicAuthImap' moet volgens mij met -Name zijn i.p.v. -Identity, anders werkt die namelijk niet.

Ook doet Get-User | Set-AuthenticationPolicy AllowIMAP niet wat, ik neem aan dat je hiermee wilt dat het AuthenticationPolicy voor de user/users (er staan er twee, de 2e is een DiscoverySearchMailbox) ingesteld wordt voor de info mailbox?

PowerShell:

PS C:\WINDOWS\system32> Get-User | Set-AuthenticationPolicy AllowIMAP
The input object cannot be bound to any parameters for the command either because the command does not take pipeline
input or the input and its properties do not match any of the parameters that take pipeline input.
    + CategoryInfo          : InvalidArgument: (DiscoverySearch...D-7E09334BB852}:PSObject) [Set-AuthenticationPolicy]
   , ParameterBindingException
    + FullyQualifiedErrorId : InputObjectNotBound,Set-AuthenticationPolicy
    + PSComputerName        : outlook.office365.com

The input object cannot be bound to any parameters for the command either because the command does not take pipeline
input or the input and its properties do not match any of the parameters that take pipeline input.
    + CategoryInfo          : InvalidArgument: (info:PSObject) [Set-AuthenticationPolicy], ParameterBindingException
    + FullyQualifiedErrorId : InputObjectNotBound,Set-AuthenticationPolicy
    + PSComputerName        : outlook.office365.com

De 'Set-OrganizationConfig -DefaultAuthenticationPolicy AllowIMAP' werkt wel.


[...]


Hier heb ik niets staan, helemaal leeg.

Sorry, zat het onderweg op mobiel te tikken dus had niet de juiste syntax bij de hand. Die eerste klopt (dat moet Name zijn I.p.v. Identity). Voor het koppelen aan de user kan je dit command gebruiken:

- Set-User -Identity ([e-mail]) -AuthenticationPolicy (policy)

[Jazzy]

True schreef op woensdag 31 augustus 2022 @ 21:55:
• handmatig IMAP² inloggen via Outlook 2016 met app password;

[...]

Waarbij geen van bovenstaande pogingen resulteerde in een werkende inlogpoging of migratiepoging.

Wat is de foutmelding in Outlook? Zie je de poging in de Azure AD Sign-in Logs? Zo ja, wat is de foutmelding daar?

[True]

Yeebo schreef op donderdag 1 september 2022 @ 10:55:
[...]


Sorry, zat het onderweg op mobiel te tikken dus had niet de juiste syntax bij de hand. Die eerste klopt (dat moet Name zijn I.p.v. Identity). Voor het koppelen aan de user kan je dit command gebruiken:

- Set-User -Identity ([e-mail]) -AuthenticationPolicy (policy)

Bedankt, maar ook hier nog geen oplossing mee.

[True]

Jazzy schreef op donderdag 1 september 2022 @ 12:02:
[...]
Wat is de foutmelding in Outlook? Zie je de poging in de Azure AD Sign-in Logs? Zo ja, wat is de foutmelding daar?

Als je deze logs bedoelt:


Ik zie inlogpogingen met een app password er niet tussen staan die ik gedaan heb (heb de tijd voor het idee even gefilterd naar enkel dit uur 2200 - heden.

Onder 'User sign-ins (non-interactive)' zie ik overigens enkel meerdere entries welk dagelijks om 0200u terugkomen, dat lijkt mij ook niet het juiste scherm te zijn.

edit:
De melding in Thunderbird (iets meer vertrouwen in dat IMAP gewoon nog lekker werkt dan de krakkemikkige versie van 2016 die ik hier bij de hand heb is:

[Voor 14% gewijzigd door True op 01-09-2022 23:06]

[Jazzy]

Even out of the box denken, heb je overwogen om even een support ticket in te schieten? Is bij de prijs inbegrepen en de kwaliteit van support is doorgaans prima.

[True]

Jazzy schreef op vrijdag 2 september 2022 @ 12:14:
Even out of the box denken, heb je overwogen om even een support ticket in te schieten? Is bij de prijs inbegrepen en de kwaliteit van support is doorgaans prima.

Heb ik eerlijk gezegd niet overwogen omdat ik uitging van een PEBCAK.

[Jazzy]

True schreef op vrijdag 2 september 2022 @ 13:49:
[...]

Heb ik eerlijk gezegd niet overwogen omdat ik uitging van een PEBCAK.

Het enige wat ik in je posts niet teruglees is of je de juiste hostnaam gebruikt om met IMAP te connecten, maar verder lijkt het me aannemelijk dat er iets in de configuratie is wat voorkomt dat je een IMAP verbinding op kunt zetten. Denk dat een Exchange Online support engineer misschien beter geëquipeerd is om snel te identificeren waar het issue is. De blokkade kan op verschillende plekken zitten, afhankelijk van hoe oud je tenant is en wat er in het verleden al aan geprutst is. Bijvoorbeeld in Azure AD Conditional Access, de Exchange Authentication policy, etc.

Over snel gesproken, over een maand schakelt Microsoft basic authentication uit voor alle clientprotocollen, waaronder dus IMAP en POP. Wat dat betreft kun je je ook nog richten tot de andere partij en vragen waarom zij geen moderne Oauth2 authenticatie ondersteunen voor hun importfunctie. Ondersteunt Thunderbird ook gewoon trouwens, zou je ook nog even mee kunnen proberen om IMAP verbinding te maken zonder app password maar met gewone Modern Authentication. Weet je in ieder geval dat het protocol werkt maar je authenticatie niet.

[True]

Jazzy schreef op vrijdag 2 september 2022 @ 14:57:
[...]
Het enige wat ik in je posts niet teruglees is of je de juiste hostnaam gebruikt om met IMAP te connecten, maar verder lijkt het me aannemelijk dat er iets in de configuratie is wat voorkomt dat je een IMAP verbinding op kunt zetten. Denk dat een Exchange Online support engineer misschien beter geëquipeerd is om snel te identificeren waar het issue is. De blokkade kan op verschillende plekken zitten, afhankelijk van hoe oud je tenant is en wat er in het verleden al aan geprutst is. Bijvoorbeeld in Azure AD Conditional Access, de Exchange Authentication policy, etc.

Over snel gesproken, over een maand schakelt Microsoft basic authentication uit voor alle clientprotocollen, waaronder dus IMAP en POP. Wat dat betreft kun je je ook nog richten tot de andere partij en vragen waarom zij geen moderne Oauth2 authenticatie ondersteunen voor hun importfunctie. Ondersteunt Thunderbird ook gewoon trouwens, zou je ook nog even mee kunnen proberen om IMAP verbinding te maken zonder app password maar met gewone Modern Authentication. Weet je in ieder geval dat het protocol werkt maar je authenticatie niet.

Ik denk van wel, ik gebruik deze: https://docs.microsoft.co...-and-imap4/pop3-and-imap4 staat ook in mijn TS overigens

---

Support is tot nu toe snel, maar niet toereikend. We zijn inmiddels uitgekomen op het uitschakelen van MFA en dus moet ik blijkbaar mijn Office/Exchange/Mail wachtwoord maar in gaan vullen bij de migratietool van de nieuwe maildienstverlener niet dat we daar uitgekomen zijn, want IMAP via Thunderbird werkt nog steeds niet ..

[True]

De supportmedewerker bedoelde enkel MFA uitschakelen om basic authentication te testen via: https://testconnectivity.microsoft.com/tests/o365 dus inmiddels weer ingeschakeld, maar nu kan ik geen app passwords maken .. ? edit: moest ook enforcen en niet alleen enablen.

Supportmedewerker stelde een callback voor maar snapt tijdzones niet, dus dat wordt 'm ook niet vandaag. Ik had 0900-1000 aangegeven.

---

Ze reageren wel snel per mail, iemand anders belde om 0906 op om het verder na te kijken. Helaas zijn we inmiddels een uur verder en hebben nog geen oplossing.
Uiteindelijk zijn we na 50 minuten uitgekomen bij: True in "Exchange Online /O365 migratie met IMAP werkt niet" met de EXO diag, deze kon nu wel gedraaid worden en we hebben IMAP ge-'opt-out'. Nu is het tot 1 uur wachten (volgens de supportmedewerker) en dan opnieuw testen.
Ik moet eerlijk zeggen dat ik niet geheel tevreden ben over de support ..

[True]

Ik wil er geen woorden meer aan vuil maken. Wat een troep.
Na meerdere calls (totaal iets van 1,5u!) en 23 mails heen en weer! Zei een support engineer: "please reraise this case on the correct tenant" waar ik 1 account heb met @achternaam.onmicrosoft.com én [e-mail] met één Exchange Online/Office365 licentie. Ik maak dus een nieuwe aan komt de aanbeveling na enkel mails en weer twee calls: Ja, als je nu MFA uitschakelt en modern authentication aan zet en die opt-out draait dan kun je wel gewoon je mail migreren zonder app password.

Ja goh? Ik ben er klaar mee wat een uitermate treurige ervaring, ik mag toch hopen de mensen die hier daadwerkelijk mee werken een betere ervaring hebben dan ik hierin.

Prutsers.