Exchange-Postfächer (lokaler Server)
Einen eigenen Exchange Server an den Outpost anbinden: Konto und Rechte in Exchange einrichten, im Outpost freigeben und in einem Assistenten nutzen.
Betreibst Du Exchange Server im eigenen Haus, kann ein Outpost E-Mails und Termine dort live lesen und an Assistenten weiterreichen. Es wird nichts kopiert oder vorab indexiert: Der Outpost fragt Deinen Server im Moment der Frage ab, und jede Person erreicht dabei nur ihr eigenes Postfach.
Der Outpost nutzt dafür die Exchange Web Services (EWS) und ist gegen Exchange Server Subscription Edition und Exchange Server 2019 geprüft. Exchange Online (Microsoft 365) ist ein anderer Weg und hier nicht gemeint — dafür gibt es den Konnektor Microsoft 365.
Dienste sind nicht allgemein freigeschaltet
Wie alle Dienste erscheint auch der Exchange-Zugang nur, wenn die kontrollierte Dienste-Vorschau für Deinen Workspace aktiviert ist. Den Ablauf in drei Stationen (Outpost, MeinGPT, Assistent) beschreibt Dienste. Diese Seite ergänzt, was für Exchange gilt.
Was Assistenten damit können
Du legst fest, welche der fünf Funktionen ein Assistent nutzen darf:
| Funktion | Was sie liefert |
|---|---|
| Ordner auflisten | Die Mailordner des Postfachs |
| E-Mails suchen | Treffer in einem Ordner, neueste zuerst, mit kurzer Vorschau (Standard 25, höchstens 250) |
| Eine E-Mail lesen | Den Text einer Mail; Anhänge werden nur mit Name und Größe aufgelistet, nie geöffnet |
| Termine auflisten | Kalendertermine eines Zeitraums von höchstens 92 Tagen, Serientermine aufgelöst |
| Einen Termin lesen | Einen Termin mit Teilnehmenden und Beschreibung |
Der Zugriff ist nur lesend. Der Outpost kann keine Mails senden, verschieben oder löschen und keine Termine anlegen. Langer Text wird gekürzt (E-Mail-Text nach 20.000 Zeichen).
E-Mails sind Fremdtext
Mails und Termine stammen von Dritten. Der Outpost kennzeichnet sie gegenüber dem Modell als nicht vertrauenswürdig, damit darin enthaltene Anweisungen nicht befolgt werden. Das ist eine Schutzschicht, kein Freibrief: Gib Assistenten mit Postfachzugriff keine Werkzeuge, die auf eigene Faust Dinge verändern.
Wer welches Postfach sieht
Der Outpost meldet sich mit einem Dienstkonto bei Exchange an und arbeitet im Namen der fragenden Person. Welches Postfach das ist, bestimmt die E-Mail-Adresse des MeinGPT-Kontos: Sie muss mit der Hauptadresse des Postfachs in Exchange übereinstimmen. Eine andere Adresse kann niemand anfordern — weder der Assistent noch die Person selbst.
Hat ein MeinGPT-Konto keine passende Adresse, bekommt die Person keinen Zugriff, statt ein falsches Postfach zu sehen.
In Exchange: Konto und Rechte einrichten
Dies erledigt Deine Exchange-Administration, einmalig, in der Exchange Management Shell. Das Dienstkonto braucht die Rolle ApplicationImpersonation — und diese eingeschränkt auf die Postfächer, die der Outpost lesen soll. Ohne Einschränkung gilt sie für jedes Postfach der Organisation.
Dienstkonto anlegen
Lege ein eigenes Konto mit Postfach an, das nur für den Outpost gilt, mit einem langen, zufälligen Passwort, das nicht abläuft. Verwende kein persönliches Konto.
Postfächer abgrenzen
Der Bereich (Management Scope) legt fest, welche Postfächer der Outpost erreichen darf. Ein einfacher Weg ist ein Attribut, das Du den betroffenen Postfächern setzt, hier Department:
New-ManagementScope -Name OutpostMailboxes `
-RecipientRestrictionFilter { Department -eq 'MeinGPT' }Setze den Wert bei jedem Postfach, das der Outpost lesen soll (Set-User anna.beispiel -Department MeinGPT). Jedes andere Postfach bleibt unerreichbar.
Rolle zuweisen
New-ManagementRoleAssignment -Name OutpostImpersonation `
-Role ApplicationImpersonation -User svc-outpost `
-CustomRecipientWriteScope OutpostMailboxesErsetze svc-outpost durch den Namen Deines Dienstkontos. Die Zuweisung kann einige Minuten brauchen, bis Exchange sie anwendet.
EWS und Anmeldung prüfen
EWS muss für das Konto erlaubt sein (Get-CASMailbox svc-outpost | Format-List EwsEnabled). Die Adresse lautet https://<Servername>/EWS/Exchange.asmx. Der Outpost meldet sich mit NTLM an, alternativ mit Basic, wenn Du es auf dem Server aktiviert hast. Erweiterter Schutz der Authentifizierung (Extended Protection) auf dem Server ist unterstützt.
Nur Kerberos reicht noch nicht
Ein Server, der NTLM abweist und ausschließlich Kerberos zulässt, wird von diesem Zugang noch nicht bedient. Lasse NTLM für EWS zu, solange das so ist.
Im Outpost: Postfächer freigeben
Diensttyp wählen
Reiter Freigaben → Freigeben → Exchange-Postfächer (lokal).
Verbindung eintragen
Im Dialog Exchange-Mail teilen steht oben eine Kurzfassung der Voraussetzungen, mit Link zu dieser Anleitung und den beiden PowerShell-Befehlen zum Kopieren. Dann gibst Du an:
- EWS-Adresse — der Name Deines Exchange Servers genügt, z. B.
mail.example.com. Den Rest (/EWS/Exchange.asmx) ergänzt der Outpost. Eine Adresse mit eigenem Pfad bleibt, wie Du sie eingibst. - Anmeldung — NTLM oder Basic.
- Domäne und Dienstkonto sowie das Passwort. Das Passwort wird nur auf diesem Rechner gespeichert, in MeinGPT landet es nie und wird nach dem Speichern nirgends wieder angezeigt.
- Serverzertifikat (optional) — nur nötig, wenn dieser Rechner dem Zertifikat Deines Servers nicht schon vertraut, etwa bei einer internen Zertifizierungsstelle. Füge es im PEM-Format ein. Mehr dazu unter Eigenes Stammzertifikat.
Verbindung testen
Testen probiert die noch nicht gespeicherten Angaben aus und nennt die Stufe, an der es scheitert. Trage bei Postfach testen (optional) ein Postfach ein, das das Konto lesen dürfen soll: Nur dieser Test belegt, dass die Rolle ApplicationImpersonation richtig greift. Ohne Postfach wird nur die Anmeldung geprüft.
| Meldung | Bedeutung und nächster Schritt |
|---|---|
| Angemeldet, Postfach gelesen. | Alles in Ordnung. |
| Angemeldet, kein Postfach geprüft | Die Anmeldung stimmt; Rechte auf Postfächer sind noch ungeprüft. |
| Anmeldung fehlgeschlagen. Konto, Domäne, Passwort prüfen | Eingaben prüfen. Bei Basic: Ist es auf dem Server aktiviert? |
| Angemeldet, aber das Konto darf das Postfach nicht lesen. | Bereich der Rolle ApplicationImpersonation prüfen: Liegt das Postfach darin? |
| Angemeldet, aber Exchange kennt das Postfach nicht. | Adresse prüfen. |
| Serverzertifikat nicht vertraut. Oben hinzufügen. | Zertifikat der ausstellenden Stelle einfügen oder auf dem Rechner einspielen. |
| Servername nicht gefunden. / Der Server lehnt ab. / Keine Antwort vom Server. | Adresse, Namensauflösung und Firewall zwischen Outpost-Rechner und Exchange. |
| Exchange sperrt EWS hier per Richtlinie. | EWS für das Konto erlauben. |
| Exchange begrenzt gerade Anfragen. | Kurz warten und erneut testen. |
Funktionen auswählen
Unter Freigegebene Funktionen hakst Du an, was Assistenten nutzen dürfen. Mindestens eine Funktion ist nötig. Auf der letzten Seite fasst die Übersicht alles zusammen, ohne das Passwort zu zeigen.
Danach geht es in MeinGPT weiter:
- Einstellungen → Outposts → Verwalten → Freigaben: den Zugriff für Personen oder Teams freigeben — auch für Dich selbst. Ein Dienst, der Dir nicht freigegeben ist, steht Dir im Assistenten nicht zur Verfügung, auch nicht als Admin.
- Einstellungen → Konnektoren: den Dienst für den Workspace einschalten. Er steht dort bei den Konnektoren, neben E-Mail- und Kalenderdiensten.
- Assistenten-Editor → Werkzeuge → Konnektoren: den Dienst für den Assistenten aktivieren (Zusatz „via Outpost“).
Ändern und entfernen
Eine bestehende Verbindung lässt sich noch nicht bearbeiten. Um Adresse, Konto oder Passwort zu ändern, entferne den Dienst in der Liste der Freigaben und lege ihn neu an.
Wenn es nicht funktioniert
„Registriert“ und „erreichbar“ sind auch hier zwei Zustände. Verbindung prüfen in der Outpost-Konsole zeigt, ob der Server antwortet und die gewählte Anmeldung anbietet; das Passwort prüft diese Anzeige nicht, das tut nur Testen im Dialog. Weiteres unter Datenbank, MCP oder HTTP prüfen.
Bei vielen gleichzeitigen Anfragen begrenzt Exchange selbst die Last (bei Standardeinstellungen ab etwa 27 gleichzeitigen EWS-Verbindungen je Konto). Der Outpost hält höchstens vier Verbindungen offen und wartet bei einer Bremse ab.