Postfix+Dovecot+Thunderbirdの構成で、クライアント認証を使用したメール送受信について教えてください。

Question

前提・実現したいこと

Postfix+Dovecot+Thunderbirdの構成で、クライアント認証を使用した接続制限を実施したいと考えています。
Dovecotへ以下の設定を実施し、
ssl_ca = </etc/pki/CA/cacert_crl.pem
ssl_verify_client_cert = yes
auth_ssl_require_client_cert=yes
Thunderbirdへクライアント証明書をインストールすることにより、メールの受信ができることまではできています。
ただ、メールを送信すると「ログインに失敗しました。」と表示され、「新しいパスワードを入力」ボタンが表示されるため該当ユーザのパスワードを入力しても同様にログインができない状態となります。
パスワードに関してはあっていることは確認済みとなります。

発生している問題・エラーメッセージ

/var/log/maillog
Aug 27 10:57:00 MailServer01 postfix/smtpd[11476]: warning: unknown[XXX.XXX.XXX.XXX]: SASL PLAIN authentication failed: Client didn't present valid SSL certificate
Aug 27 10:57:00 MailServer01 postfix/smtpd[11476]: warning: unknown[XXX.XXX.XXX.XXX]: SASL LOGIN authentication failed: Client didn't present valid SSL certificate

補足情報（FW/ツールのバージョンなど）

OS：CentOS Linux release 7.9.2009 (Core)
Postfix：2.10.1
DoveCot：v2.2.36

Answer 1

SMTP Auth の認証を dovecot で行なうよう設定していて、postfix から dovecot にクライアント証明書が渡らないのだと思います。
SMTP Auth のときは auth_ssl_require_client_cert=yes が効かないようにするといいと思います。

Dovecot SSL configuration に以下の記載があります。

If you need Dovecot to provide SASL authentication to an MTA without requiring client certificates and simultaneously provide IMAP service to clients while requiring client certificates, you can put auth_ssl_require_client_cert=yes inside of a protocol block as shown below to make an exemption for SMTP SASL clients (such as Postfix).

protocol !smtp {
  auth_ssl_require_client_cert=yes
}

なお、postfix 側で、別途、クライアント証明書認証の設定が必要です。