550 5.4.1 Recipient address rejected i Microsoft 365

En kunde ringer og siger, at deres mail til jer kommer retur. I returmailen står der noget i stil med:

Remote Server returned '550 5.4.1 Recipient address rejected: Access denied. AS(201806281)'

Andre mails til jeres domæne kommer fint igennem. Det er kun én bestemt adresse, der bliver afvist, eller også er det alle adresser på et domæne, I lige har flyttet til Microsoft 365.

Fejlen ligger næsten aldrig hos afsenderen. Det er jeres Microsoft 365, der siger: "Den modtager kender jeg ikke."

Hvorfor sker det?

Microsoft 365 bruger en funktion, der hedder Directory-Based Edge Blocking (DBEB). Når en mail ankommer til et domæne, som er sat op som Authoritative (autoritativt), slår Microsoft modtageradressen op i jeres katalog med det samme. Findes adressen ikke på en postkasse, delt postkasse, gruppe, mailkontakt eller anden modtager, bliver mailen afvist allerede ved indgangen med 550 5.4.1 Recipient address rejected: Access denied.

Det er en god ting, for det holder spam til ikke-eksisterende adresser ude. Men det betyder også, at en adresse, der mangler i Microsoft 365, giver præcis denne fejl. De typiske årsager er:

Adressen er stavet forkert af afsenderen.
Brugeren er fratrådt og slettet, så adressen ikke længere findes.
Adressen var et alias, som forsvandt, da en postkasse blev ændret eller slettet.
Domænet er delt mellem Microsoft 365 og et andet mailsystem (fx under en migrering eller i et hybridmiljø), men står som Authoritative, så Microsoft afviser de modtagere, der kun findes i det andet system.

Trin 1: Tjek at adressen er rigtig

Start med det simple. Få den præcise adresse fra returmailen, og sammenlign den tegn for tegn med den adresse, der burde virke. Punktummer, bindestreger og bogstavombytninger er de hyppigste syndere.

At andre kolleger på samme domæne får mails, beviser ikke, at netop denne adresse findes.

Trin 2: Find ud af, om adressen findes i Microsoft 365

Det hurtigste er Exchange Online PowerShell. Har du ikke forbindelsen sat op, så se Sådan forbinder du sikkert til Exchange Online PowerShell.

Connect-ExchangeOnline

# Findes adressen på en modtager, og hvilken type er det?
Get-Recipient -Identity "info@firma.dk" | Format-List DisplayName,RecipientTypeDetails,EmailAddresses

Får du et resultat, findes adressen, og du kan se, hvilken postkasse eller gruppe den tilhører. Gå til trin 4.
Får du en fejl om, at objektet ikke findes, mangler adressen i Microsoft 365. Gå til trin 3.

Trin 3: Giv adressen et hjem

Hvad du gør, afhænger af, hvorfor adressen mangler.

Brugeren er fratrådt og slettet

En slettet bruger kan gendannes i 30 dage i Microsoft 365 Admin Center under Brugere > Slettede brugere. Vælg brugeren og klik Gendan.

Skal postkassen bare blive ved med at modtage mails, uden at nogen logger ind på den, er en delt postkasse som regel det rigtige. Se Konvertér en brugerpostkasse til delt postkasse i Microsoft 365.

Adressen skal bare lande hos en kollega

Tilføj adressen som et ekstra alias på kollegaens postkasse. I Admin Center: Brugere > Aktive brugere > vælg brugeren > Administrer brugernavn og mail > tilføj aliasset og gem.

Eller med PowerShell:

Set-Mailbox -Identity "kollega@firma.dk" -EmailAddresses @{Add="gammel.adresse@firma.dk"}

Opret aldrig en ekstra postkasse eller et dubleret alias bare for at få fejlen væk, hvis adressen allerede findes et andet sted. Det giver konflikter.

Det er en ny bruger

Er brugeren lige oprettet, eller synkroniseres brugerne fra et lokalt Active Directory med Entra Connect, kan der gå lidt tid, før adressen er kendt i hele Microsoft 365. Kontrollér, at adressen faktisk står på brugeren, og prøv igen senere.

Trin 4: Tjek domænetypen

Hvis det ikke er én adresse, men mange, så kig på domænets type. Det er især relevant, hvis I er midt i en flytning til Microsoft 365, eller hvis nogle postkasser stadig ligger på en lokal Exchange-server eller hos et andet mailsystem.

Get-AcceptedDomain | Format-Table Name,DomainName,DomainType

Du finder det samme i Exchange Admin Center under Mail flow > Accepted domains.

Authoritative: Microsoft 365 er eneste sted, modtagerne findes. Ukendte adresser afvises med 5.4.1.
InternalRelay: Microsoft 365 modtager mailen, men sender mails til ukendte modtagere videre til et andet mailsystem via en connector.

Ligger alle jeres postkasser i Microsoft 365, skal domænet være Authoritative, og så er det helt korrekt, at ukendte adresser afvises. Så er løsningen trin 3.

Har I derimod modtagere, der stadig bor i et andet system, skal domænet stå som InternalRelay, indtil alle modtagere er flyttet eller synkroniseret til Microsoft 365, og der skal være en udgående connector til det andet system:

Set-AcceptedDomain -Identity "firma.dk" -DomainType InternalRelay

Skift ikke domænetype som en hurtig nødløsning. Med InternalRelay og ingen connector har mails til ukendte adresser ingen steder at gå hen.

Problemer?

Fejlen kommer fra en anden server end Microsoft: Tjek domænets MX-record. Peger den ikke på Microsoft 365, er det det andet mailsystem, der afviser, og så er det dér, adressen mangler.
Det er en dynamisk distributionsgruppe fra lokal Exchange: Dynamiske grupper oprettet on-premises synkroniseres ikke til Exchange Online og bliver derfor afvist. Microsoft anbefaler som løsning at oprette en mailkontakt i Exchange Online med gruppens adresse.
Adressen findes, men fejlen fortsætter: Kør en meddelelsessporing i Exchange Admin Center under Mail flow > Message trace med afsenderens adresse og se, hvad der sker med mailen.

Kort sagt

550 5.4.1 Recipient address rejected: Access denied betyder, at Microsoft 365 ikke kender modtageradressen. Tjek stavningen, find adressen med Get-Recipient, og giv den et hjem som bruger, delt postkasse eller alias. Er domænet delt med et andet mailsystem, så tjek, at det står som InternalRelay med en connector.

Driller mailflowet efter en flytning, hjælper Todo-IT gerne med at finde ud af, hvor mailen bliver væk.