Office 365 (Exchange in Cloud): disabilitare l’Autodiscover (HTTPS)

Scenario: Office 365, tutti gli utenti in cloud, l’Active Directory di Exchange non è in alcun modo legata a quella che abbiamo sui nostri domain controller. Per questo motivo, il tentativo operato da Outlook ogni volta che si configura un account per la prima volta, impiega troppo tempo prima di presentare la classica finestra di richiesta credenziali da specificare manualmente (con possibilità di salvataggio per evitare di doverle reinserire ogni volta). Sia chiaro: non è un problema bloccante, è più un fastidio fortunatamente risolvibile tramite GPO sulle macchine dell’azienda (e non solo). Vediamo insieme come.

Tutto è nato dall’ennesima attesa troppo lunga per la configurazione di Outlook, durante la quale ho deciso di lanciare un test di connettività che chiunque può a sua volta lanciare, passando dal sito web testconnectivity.microsoft.com.

Questo è il risultato parziale ottenuto:

Analizzatore connettività di Microsoft sta testando Exchange ActiveSync.
Il test di Exchange ActiveSync è stato superato.
Tempo trascorso: 55313 ms.

Sto tentando di eseguire un test del servizio di individuazione automatica e di Exchange ActiveSync (se richiesto).
Il servizio di individuazione automatica ha superato il test per Exchange ActiveSync.
Tempo trascorso: 49965 ms.

Sto tentando di contattare il servizio di individuazione automatica con ciascun metodo disponibile.
Il servizio di individuazione automatica ha superato il test.
Tempo trascorso: 49962 ms.

Sto tentando di testare il possibile URL del servizio di individuazione automatica https://contoso.com:443/Autodiscover/Autodiscover.xml
Il test di questo potenziale URL del servizio di individuazione automatica non è stato superato.
Tempo trascorso: 23744 ms

Sto tentando di risolvere il nome host contoso.com in DNS.
Sono riuscito a risolvere il nome dell’host.
Indirizzi IP restituiti: XXX.XX.XXX.XXX
Tempo trascorso: 1259 ms.

Sto testando la porta TCP 443 sull’host meli.it per controllare che sia aperta e in ascolto.
La porta specificata è bloccata, non è in ascolto o non produce la risposta prevista.
Ho rilevato un errore di rete durante la comunicazione con l’host remoto.
Tempo trascorso: 22484 ms.

Sto tentando di testare il possibile URL del servizio di individuazione automatica https://autodiscover.contoso.com:443/Autodiscover/Autodiscover.xml
Il test di questo potenziale URL del servizio di individuazione automatica non è stato superato.
Tempo trascorso: 24570 ms.

Solo al termine riuscirà finalmente a dialogare con outlook.com (Exchange in Cloud) tramite reindirizzamento HTTP:

Sto tentando di contattare il servizio di individuazione automatica tramite il metodo di reindirizzamento HTTP.
Ho contattato il servizio di individuazione automatica usando il metodo di reindirizzamento HTTP.
Tempo trascorso: 1647 ms.

Sto tentando di risolvere il nome host autodiscover.meli.it in DNS.
Sono riuscito a risolvere il nome dell’host.
Indirizzi IP restituiti: XXX.XX.XXX.XXX eccetera (la sfilza degli indirizzi IPv4 e IPv6 risolti direttamente dal DNS)
Tempo trascorso: 6 ms.

Sto testando la porta TCP 80 sull’host autodiscover.meli.it per controllare che sia aperta e in ascolto.
La porta è stata aperta correttamente.
Tempo trascorso: 24 ms.

Analizzatore connettività di Microsoft sta verificando l’individuazione automatica dell’host. meli.it per un reindirizzamento HTTP al servizio di individuazione automatica.
Ho ricevuto la risposta di reindirizzamento (HTTP 301/302).
URL di reindirizzamento: https://autodiscover-s.outlook.com/Autodiscover/Autodiscover.xml Intestazioni risposte HTTP: Pragma: no-cache X-FEServer: CY1XXXX,CY1ZZZZ X-RequestId: XXXXYYYYZZZ Connection: close Content-Length: 0 Cache-Control: no-cache Date: Wed, 28 Oct 2015 08:43:24 GMT Location: https://autodiscover-s.outlook.com/Autodiscover/Autodiscover.xml Server: Microsoft-IIS/8.0 X-Powered-By: ASP.NET
Tempo trascorso: 32 ms.

Secondo il documento di Microsoft “Unexpected Autodiscover behavior when you have registry settings under the \Autodiscover key ” disponibile all’indirizzo support.microsoft.com/en-us/kb/2212902, è possibile utilizzare un paio di valori di registro per poter modificare il comportamento di Outlook, forzandolo così a saltare a piè pari la fase di verifica in HTTPS e passare direttamente a quella in HTTP, dove “incontrerà” la risposta dei server di Microsoft Exchange in Cloud e quindi del nostro account che gestisce i domini di posta elettronica aziendale (o personale, ricordo che Office 365 è aperto a tutti).

Nello specifico, qui di seguito vi propongo un file di registro completo che modifica il comportamento di Outlook 2013 (Office 15.0) e Outlook 2016 (Office 16.0):

[HKEY_CURRENT_USER\Software\Microsoft\Office\15.0\Outlook\AutoDiscover]
"ExcludeHttpsRootDomain"=dword:00000001
"ExcludeHttpsAutoDiscoverDomain"=dword:00000001

[HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\15.0\Outlook\AutoDiscover]
"ExcludeHttpsRootDomain"=dword:00000001
"ExcludeHttpsAutoDiscoverDomain"=dword:00000001

[HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Outlook\AutoDiscover]
"ExcludeHttpsRootDomain"=dword:00000001
"ExcludeHttpsAutoDiscoverDomain"=dword:00000001

[HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\16.0\Outlook\AutoDiscover]
"ExcludeHttpsRootDomain"=dword:00000001
"ExcludeHttpsAutoDiscoverDomain"=dword:00000001

Potete scaricare il file di registro da applicare alla vostra macchina direttamente prelevandolo qui: app.box.com/s/sg7haq3lqgw5kwf0t4djlojc33yn230c.

Una questione di GPO

Se invece la modifica deve impattare più macchine (di dominio, per esempio), sarà necessario passare da Group Policy Management di Windows. Quanto fatto sopra però andrà tradotto in XML, così da poterlo facilmente copiare e incollare all’interno di una nuova GPO (sempre consigliato: una GPO, una modifica, mai continuare a utilizzarne una più complessa e potenzialmente ingestibile in futuro). Il lavoro è stato eseguito, come al solito, con Reg2Gpo (disponibile per tutti all’indirizzo public.gfsolone.com/tools/reg2gpo), questo è il risultato:

<?xml version="1.0" encoding="UTF-8"?>
<Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="AutoDiscover_OFF"><Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="HKEY_CURRENT_USER"><Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="Software"><Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="Microsoft"><Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="Office"><Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="15.0"><Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="Outlook"><Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="AutoDiscover"><Registry clsid="{9CD4B2F4-923D-47f5-A062-E897DD1DAD50}" name="ExcludeHttpsRootDomain" status="ExcludeHttpsRootDomain" image="12" changed="2015-11-16 11:25:02" uid="{9E57A7C4-8C7B-746B-9015-CD9C6FA01224}"><Properties action="U" displayDecimal="0" default="0" hive="HKEY_CURRENT_USER" key="Software\Microsoft\Office\15.0\Outlook\AutoDiscover" name="ExcludeHttpsRootDomain" type="REG_DWORD" value="00000001"/><Filters/></Registry><Registry clsid="{9CD4B2F4-923D-47f5-A062-E897DD1DAD50}" name="ExcludeHttpsAutoDiscoverDomain" status="ExcludeHttpsAutoDiscoverDomain" image="12" changed="2015-11-16 11:25:02" uid="{09AA4871-48AC-8FC9-74BB-F83A80BA988F}"><Properties action="U" displayDecimal="0" default="0" hive="HKEY_CURRENT_USER" key="Software\Microsoft\Office\15.0\Outlook\AutoDiscover" name="ExcludeHttpsAutoDiscoverDomain" type="REG_DWORD" value="00000001"/><Filters/></Registry></Collection></Collection></Collection><Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="16.0"><Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="Outlook"><Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="AutoDiscover"><Registry clsid="{9CD4B2F4-923D-47f5-A062-E897DD1DAD50}" name="ExcludeHttpsRootDomain" status="ExcludeHttpsRootDomain" image="12" changed="2015-11-16 11:25:02" uid="{5BC7DCB5-71C3-449C-6AB2-AF3FCE355496}"><Properties action="U" displayDecimal="0" default="0" hive="HKEY_CURRENT_USER" key="Software\Microsoft\Office\16.0\Outlook\AutoDiscover" name="ExcludeHttpsRootDomain" type="REG_DWORD" value="00000001"/><Filters/></Registry><Registry clsid="{9CD4B2F4-923D-47f5-A062-E897DD1DAD50}" name="ExcludeHttpsAutoDiscoverDomain" status="ExcludeHttpsAutoDiscoverDomain" image="12" changed="2015-11-16 11:25:02" uid="{FED56706-04B5-C522-132C-855BC105F5EE}"><Properties action="U" displayDecimal="0" default="0" hive="HKEY_CURRENT_USER" key="Software\Microsoft\Office\16.0\Outlook\AutoDiscover" name="ExcludeHttpsAutoDiscoverDomain" type="REG_DWORD" value="00000001"/><Filters/></Registry></Collection></Collection></Collection></Collection></Collection><Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="Policies"><Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="Microsoft"><Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="Office"><Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="15.0"><Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="Outlook"><Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="AutoDiscover"><Registry clsid="{9CD4B2F4-923D-47f5-A062-E897DD1DAD50}" name="ExcludeHttpsRootDomain" status="ExcludeHttpsRootDomain" image="12" changed="2015-11-16 11:25:02" uid="{17D389E5-BB11-4911-BFE4-8D068DF81A7B}"><Properties action="U" displayDecimal="0" default="0" hive="HKEY_CURRENT_USER" key="Software\Policies\Microsoft\Office\15.0\Outlook\AutoDiscover" name="ExcludeHttpsRootDomain" type="REG_DWORD" value="00000001"/><Filters/></Registry><Registry clsid="{9CD4B2F4-923D-47f5-A062-E897DD1DAD50}" name="ExcludeHttpsAutoDiscoverDomain" status="ExcludeHttpsAutoDiscoverDomain" image="12" changed="2015-11-16 11:25:02" uid="{1172FF58-D3BE-1650-7B93-9436042B3E32}"><Properties action="U" displayDecimal="0" default="0" hive="HKEY_CURRENT_USER" key="Software\Policies\Microsoft\Office\15.0\Outlook\AutoDiscover" name="ExcludeHttpsAutoDiscoverDomain" type="REG_DWORD" value="00000001"/><Filters/></Registry></Collection></Collection></Collection><Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="16.0"><Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="Outlook"><Collection clsid="{53B533F5-224C-47e3-B01B-CA3B3F3FF4BF}" name="AutoDiscover"><Registry clsid="{9CD4B2F4-923D-47f5-A062-E897DD1DAD50}" name="ExcludeHttpsRootDomain" status="ExcludeHttpsRootDomain" image="12" changed="2015-11-16 11:25:02" uid="{F73218DC-D3FC-9AE8-4BB0-13787A78E3CC}"><Properties action="U" displayDecimal="0" default="0" hive="HKEY_CURRENT_USER" key="Software\Policies\Microsoft\Office\16.0\Outlook\AutoDiscover" name="ExcludeHttpsRootDomain" type="REG_DWORD" value="00000001"/><Filters/></Registry><Registry clsid="{9CD4B2F4-923D-47f5-A062-E897DD1DAD50}" name="ExcludeHttpsAutoDiscoverDomain" status="ExcludeHttpsAutoDiscoverDomain" image="12" changed="2015-11-16 11:25:02" uid="{F833E244-92FF-113B-C2B6-18DE8FE1A94A}"><Properties action="U" displayDecimal="0" default="0" hive="HKEY_CURRENT_USER" key="Software\Policies\Microsoft\Office\16.0\Outlook\AutoDiscover" name="ExcludeHttpsAutoDiscoverDomain" type="REG_DWORD" value="00000001"/><Filters/></Registry></Collection></Collection></Collection></Collection></Collection></Collection></Collection></Collection></Collection>

Che trovate anche già convertito all’indirizzo app.box.com/s/c5bkq66rlupiouejo4d3baop2yanhuze. Non venitemi a parlare di indentazione, limitatevi al “Seleziona tutto, CTRL+C“, vi basterà copiarlo direttamente nella schermata di Group Policy Management per ottenere un risultato molto simile a questo:

Inutile dirlo (si vede anche dall’immagine): dovrete incollarlo sotto User Configuration / Preferences / Windows Settings / Registry. Una volta terminata la modifica, “linkate” la GPO al dominio e applicatela a ogni utente autenticato:

Il gioco è fatto. Entro i tempi di propagazione, ogni Outlook smetterà di puntare all’Autodiscover in HTTPS. La differenza è tanta, lo noterete con i vostri stessi occhi alla prima occasione ;-)

Buon lavoro.