An encrypted connection to your mail services is not available

Fui chamado para analisar um problema de um usuário em especifico que trocou de PC e não conseguia mais configurar seu perfil no Outlook, com a seguinte mensagem de erro An encrypted connection to your mail services is not available. O cenário era hibrido com Exchange 2016 e Exchange Online. Ocorria que ao tentar criar o seu perfil de Outlook, aparecia o erro no meio da busca do autodiscover:

Ao tentar acessar através do OWA – do ambiente On-Premise – que em teoria deveria dizer: “Utilize o seguinte endereço para abrir esta caixa de correio com os melhores resultados: http://outlook.com/owa/XXXXXX.onmicrosoft.com”, porém isso não ocorria. Ao invés disso, dizia o seguinte erro:

X-OWA-Error Microsoft.Exchange.Clients.Owa2.Server.Core.OwaUserHasNoMailboxAndNoLicenseAssignedException

Em paralelo realizei um teste através do ExRCA que me dizia o seguinte erro:

Checking for account settings after domain redirection We were unable to get account settings after a domain redirection.

Troubleshooting:

Realizei alguns testes para excluir que o problema poderia ser no Outlook. Testei a criação do perfil com outras contas, mas todas as outras funcionavam. Realizei também o teste de criar um perfil daquele usuário em outro PC, entretanto o problema permanecia.

Havendo certeza que o problema era com aquele usuário especifico, e analisando a mensagem de erro fornecida pelo ExRCA “Checking for account settings after domain redirection”, resolvi focar o troubleshooting em um possível looping de autodiscover. Verifiquei que os registros no DNS – internos e externos – apontavam para o Exchange On-Premises, que de fato é o correto.

Como parte do fluxo de Autodiscover, verifiquei também o atributo targetAddress do usuário, e bingo!

Causa:

O problema era no atributo targetAddress, que é o responsável por “dizer” as requisições que o usuário não está ali, e sim no seguinte endereço “SMTP:XXXXX@XXXXX.mail.onmicrosoft.com”.

Por algum motivo, esse atributo estava populado de forma errônea. Em teoria quando uma mailbox é migrada ao Exchange Online, o move-request faz aos 99% a inserção do novo endereço do usuário em seu atributo targetAddress, mas por algum motivo o atributo estava errado.

Resolução:

A resolução para o problema é buscar qual o valor SMTP do usuário no Exchange Online. Em teoria a mail policy cria esse valor de modo automático e acrescenta como aliás SMTP, portanto basta checar esse valor. Em poucas palavras, o atributo deverá ser SMTP:samaccountname@dominio.mail.onmicrosoft.com

Após alterar o valor o problema deve ser sanado. No entanto é preciso esperar a replicaçao todos os DCs.

Abraços!