Как обновить сертификат почтового сервера microsoft exchange?

Question

[Евгений Иванов]

Много гуглил. Так до конца и не понял где это делается.
1) https://docs.microsoft.com/ru-ru/exchange/architec...
Get-ExchangeCertificate.... и далее по тексту мануала...
PowerShell пишет ошибку, не находит такую команду (??)

2) https://vmblog.ru/obnovit-ssl-sertifikat-exchange/
Exchange Admin Center, адреса вида https://msk-mail1/ecp/ нет. По подобному адресу располагается веб почта microsoft exchange.

3) Пробовал и так
https://blog.bissquit.com/mail-servers/exchange-se...
Диспетчер служб IIS — Сертификаты сервера:

Там есть старый, истекший сертификат, который надо обновить. Нажатие на кнопку обновить у просроченного сертификата открывает диалог выбора сервера (центр сертификации), выбираю сервер и - ошибка, запрос получен, но не может быть обработан. Вообщем сервер отказывает (сервер "локальный" в этой же сети).

Новый сертификат создается без проблем, сервер его "выдает". Но его надо как то установить на клиенты, добавить в outlook у пользователей. Экспортом не реально, компов много. Где это делать в групповых политиках пока непонятно.

Как обновить сертификат почтового сервера microsoft exchange?

Answer 1

[Роман Безруков]

Так до конца и не понял где это делается.

Кнопками в Exchange Admin Center (тот самый https://msk-mail1/ecp - ибо OWA и ECP ходят парами, а если запускать локально на сервере Exchange, то будет что-то типа https://localhost/ecp) или PowerShell в Exchange Management Shell.
Устанавливаемый сертификат должен быть PFX.

его надо как то установить на клиенты

На клиенты его устанавливать не надо, это серверный сертификат. На клиентах уже должны быть корневой сертификат ЦС и, возможно, сертификат(ы) промежуточного(ых) ЦС, которыми подписывается сертификат Exchange

Comments

[Евгений Иванов]

Роман Безруков, Exchange Admin Center - у меня его нет.
Где находится Exchange Admin Center?

[Роман Безруков]

Евгений Иванов, откуда вы пытаетесь все это запускать? Прямо на сервере Exchange или с какой-то рабочей станции?
В первом случае все инструменты доступны в меню Start. Во втором - так же при установленных Exchange Management Tools

[Евгений Иванов]

Роман Безруков, прямо на сервере с exchange. Не могу там найти Exchange Admin Center.

[Роман Безруков]

[Евгений Иванов]

Роман Безруков, спасибо, поищу.

[Евгений Иванов]

Роман Безруков, у меня нет EAC

[Роман Безруков]

Евгений Иванов, Exchange Management Console это называется в вашем случае

[Евгений Иванов]

Роман Безруков, там нет сертификатов. Нет в раскрывающемся списке этого раздела.

[Роман Безруков]

Евгений Иванов, его там и не должно быть - это Exchange 2010. Все действия - справа, в панели действий
https://docs.microsoft.com/en-us/exchange/mailbox-...
https://practical365.com/configure-an-ssl-certific...
https://wiseindy.com/amp/blog/windows/how-to-insta...

[Евгений Иванов]

Роман Безруков, как видно из рисунка выше, у меня нет пункта конфигурация сервера.
Я посмотрел все пункты справа - ничего о сертификатах там нет (наверно потому что нет конфигурации сервера, где и есть данный пункт).

Конфигурация организации - недостаточно прав для просмотра этих данных.

[Роман Безруков]

Евгений Иванов, так у вас, по ходу, прав не хватает на выполнение соответствующих операций, а именно роли Organization Management и/или Server Management

[Дмитрий Шумов]

Товарищи, стоп! А никого не смущает, что на скрине только сервер с одной ролью - Транспортная?
Евгений Иванов у вас сколько почтовых серверов? Из скриншота вижу, что как минимум 2 сервера должно быть:
1-й сервер - Роли клиент-аксес и майл бокс
2-й сервер - Транспртный сервер
Так вот, если мне не изменяет память на 2010 Exchange серт устанавливается на сервере с Ролями клиент-аксес и майл бокс

[Роман Безруков]

Дмитрий Шумов, вполне возможно (чо-то упустил из вида), хотя административные роли все же не мешает проверить

[Роман Безруков]

Дмитрий Шумов, щас припоминаю, что в Exchange 2010 часто совмещали CAS/HT на одном сервере, а MBX жили на отдельных серверах

[Евгений Иванов]

Дмитрий Шумов, "у вас сколько почтовых серверов?" - один.
И скорее всего, сертификаты ставились там. т.к. на нем есть и папка с сертификатом (экспортированным) и текстовый файлик с командами консоли (Get-ExchangeCertificate и т.д.) от предыдущих разработчиков.
То есть явно все работы велись там.

[Дмитрий Шумов]

Роман Безруков, Так то и на одном все роли можно установит. Но если говорить про фэньшуй (хотя бы приблизительный) то HT лучше выносить на отдельный сервер. Авот CAS и MBX на одном вполне могут быть.
Евгений Иванов, про 2010 струдом вспоминаю, но (по-моему) ДАЖЕ при отсутствии прав Organization Management и/или Server Management вы могли видеть все роли на сервере и CAS/HT и MBX. Здесь же я вижу, что видна только одна роль HT, что и наталкивает что серверов несколько. Но раз вы задались такими вопросами, то ранее вы эту структуру не обслуживали. Так что проверьте точнее количество Exchange серверов.

[Евгений Иванов]

Дмитрий Шумов, Так что проверьте точнее количество Exchange серверов.
Вроде один.

[Роман Безруков]

Евгений Иванов, а можете со стороны AD проверить состав групп безопасности "Exchange Servers" и "Organization Management"?
если уж EMC прямо на сервере Exchange ругается на Get-ExchangeServer - тут явно прав не хватает...

[Евгений Иванов]

На контроллере домена AD пользователи и компьютеры:
Группа Microsoft Exchange Security Group в которую входят админы, а в группу админов я.
Группа Exchange Servers, в которую входит компьютер EXSRV (сервер exchange) и MAILSRV

Нашел MAILSRV (2й сервер), там стоит exchange 2016 \там есть EAC.

При входе в EAC (окно ) открывает outlook web app....

[Роман Безруков]

Евгений Иванов, ООО - все чудесатее и чудесатее
Я так понимаю, что была попытка мигрировать на Exchange 2016 либо она в процессе, а что там с настройками Exchange 2016 не очень понятно. Они у вас совместно работают (coexistence mode) или как?
OWA, кстати, от Exchange 2010...

[Евгений Иванов]

Роман Безруков,

Я так понимаю, что была попытка мигрировать на Exchange 2016 либо она в процессе

Никому неизвестно...что там было и есть. "Наследство"
Но на 1м сервере есть вот это

Первый сертификат просрочен, второй создан недавно - но он не применяется, не подгружается к клиентам outlook.

Вся суть в том, что при открытии почты на компе, выскакивает вот это

Это тот самый сертификат, что на картинке выше (просроченный - имена, даты и отпечаток совпадают).
По идее его надо или обновить (что не выходит) или как то отключить т.к. создан новый сертификат.
Хз как указать новый сертификат, чтобы он автоматом подгружался на 1000+ компов, вместо старого.

Есть идея удалить старый сертификат - но хз что будет.
Возможно, стоит попробовать создать ещё один новый сертификат с именем старого (перезапишет старый или не даст?)

[Роман Безруков]

Евгений Иванов,

Группа Exchange Servers, в которую входит компьютер EXSRV (сервер exchange) и MAILSRV

я не вижу тут сервера с именем EXMF или EXMFC

чтобы он автоматом подгружался на 1000+ компов, вместо старого.

его не надо подгружать на клиентов, все делается на серверной стороне.

его надо или обновить (что не выходит) или как то отключить т.к. создан новый сертификат.

смотрите привязки (bindings) Default Web site и каталогов внутри

[Евгений Иванов]

Роман Безруков, дал себе права в Microsoft Exchange Security Group, на сервере появилась опция где можно обновить сертификаты и т.д.
Как тут
https://docs.microsoft.com/en-us/exchange/mailbox-...
В общем обновил, новый сертификат применился, но теперь имя сертификата не совпадает с именем сайта.
Новый сертификат - опции, имя организации и т.д. полностью совпадает со старым (когда создавал, копировал эти данные со старого).

Единственное отличие, старый сертификат не был применен для IIS, а новый применен (случайно поставил там галку). Снять галку с IIS теперь не могу - в мастере снимается, всё ок, но в конце галка снова стоит на IIS. Можно конечно выпустить ещё сертификат..вообщем не знаю.

[Роман Безруков]

Евгений Иванов, у нового сертифика в поле "Дополнительное имя субъекта" (Subject Alternative Name) что указано?

[Евгений Иванов]

Роман Безруков, не нашел поля Дополнительное имя субъекта (и не помню чтобы было).
Есть субъект и понятное имя.
В субъект указано тоже, что и в старом сертификате CN = 10.10.0.3 (айпишник этого сервера).
В понятное имя - просто имя сертификата exchnge_mf

[Роман Безруков]

Евгений Иванов, Настройка SSL сертификата в ExchangeServer 2010

Answer 2

[Евгений]

Get-ExchangeCertificate.... и далее по тексту мануала...
PowerShell пишет ошибку, не находит такую команд

Вероятнее всего, вы запускали команды не из Exchange PowerShell, а из Windows. Поэтому ошибку и выдавало. Если вы всё-таки решили идти по тернистому пути PowerShell, а не GUI, как советовал уважаемый Роман Безруков , то попробуйте в том же окне PowerShell запустить Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn
Ну и далее по документации.

Comments

[Евгений Иванов]

Евгений, Да из Windows PowerShell.
Хочется конечно делать всё из GUI, но Exchange Admin Center я найти не смог.

Exchange Admin Center, адреса вида https://msk-mail1/ecp/ нет. По подобному адресу располагается веб почта microsoft exchange.

[Роман Безруков]

Насчёт тернистого пути я бы поспорил...

в том же окне PowerShell запустить Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn

это сработает, если у вас установлены Exchange Management Tools или запуск выполняется непосредственно на сервере Exchange. Иначе поднимать удалённую PS-сессию

[Евгений]

Евгений Иванов, Хорошо, а вы запускаете все с того сервера, где установлен Exchange? Зайдите в Services и убедитесь, что там есть такой сервис как Microsoft Exchange Information Store. Если есть - пробуйте то, что я рекомендовал, нет - ищите сервер где установлен Exchange. Это можно сделать в ADUC, правой кнопкой на домене - Find - Computers и в строку поиска введите msk-mail1

[Евгений Иванов]

Евгений, да с сервера где установлен Exchange.

[Евгений]

Евгений Иванов Хорошо, и что вы попробовали сделать, что вышло и на чем остановились?
EAC у вас не запустился, верно?
PowerShell выдает ошибки при запуске команд, так? Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn делали и что вышло? Какая ошибка?
Тогда, когда вы меняли сертификат на IIS, что происходило? Какую ошибку выдавало?
Вы же понимаете, что все ясновидящие, которые видели ваши ошибки дистанционно, срулили отсюда на битву экстрасенсов, остальным нужно четко рассказывать какая была ошибка и что делали для решения.

Нажатие на кнопку обновить у просроченного сертификата открывает диалог выбора сервера (центр сертификации), выбираю сервер и - ошибка, запрос получен, но не может быть обработан

Что пишет Event log?

[Евгений Иванов]

Евгений, EAC нет. Нет "сайта".


Решил сделать всё через консоль
Запустил Exchange managment shell от админа
выполнил
Get-ExchangeCertificate -Thumbprint B031C4B7D64BA4436F4F3164DBA50F8CB0D6AE7G | New-ExchangeCertificate -GenerateRequest -RequestFile C:\temp\query.req
Имя Get-ExchangeCertificate не распознано как имя сервлета, команды...

[Евгений]

Евгений Иванов, теперь все стало намного понятнее. У вас Exchange 2010, а применяете решения вы для более высоких версий (2013, 2016 или 2019), Майкрософт не поддерживает 2010 уже достаточно давно.
В вашем случае смотрите сюда или сюда

[bassoon48]

Евгений, дак и чё как обновлять то? попроще инструкция есть?

Бабки там платить надо или куда?

Сервер сертификации разворачивать?))