Как решить ошибку с обновлением сертификата Центр сертификации отклоняет запрос?

Question

[Виталий Бирзниекс]

Добрый день, на почтовом сервере закончился сертификат безопасности:

Полез на сервер Exchange, открыл диспетчер служб lls, выбрал вкладку "Сертификаты сервера", нашел сертификат, который закончился, нажал "Обновить", выбрал локальный сервер сертификации, тот который на DC, но этот центр сертификации отклоняет запрос:


Захожу на сервер DC посмотреть, что пишет:

Шаблон сервера веб-сервера на месте, диспетчер служб lls запускал от админа. Может кто сталкивался с подобной проблемой, как это решить?

Answer 1

[Роман Безруков]

обновление сертификата Exchange правильнее делать средствами Exchange, а не IIS
Renew an Exchange Server certificate

Comments

[Виталий Бирзниекс]

Спасибо за ответ. Скажите пожалуйста по данной инструкции, какую кодировку лучше или нужно выбрать?

[Роман Безруков]

Bugedig, кодировку чего?

[Виталий Бирзниекс]

Роман Безруков, даже имею эту инструкцию под рукой, не совсем понимаю, что нужно в powershell, т.к. никогда с ним не работал. Понятно, что нужно отправить запрос,

$txtrequest = Get-ExchangeCertificate -Thumbprint 5DB9879E38E36BCB60B761E29794392B23D1C054 | New-ExchangeCertificate -GenerateRequest
[System.IO.File]::WriteAllBytes('\\FileServer01\Data\ContosoCertRenewal.req', [System.Text.Encoding]::Unicode.GetBytes($txtrequest))

Thumbprint - это отпечаток просроченного сертификата, который нужно продлить?
WriteAllBytes - у меня файлик .req лежит на C:\файл.req, в данном случае как правильно внести данные?
Простите, что хлебушек

[Роман Безруков]

Bugedig,

$txtrequest = Get-ExchangeCertificate -Thumbprint "отпечаток просроченного серта" | New-ExchangeCertificate -GenerateRequest [System.IO.File]::WriteAllBytes('C:\файл.req', [System.Text.Encoding]::Unicode.GetBytes($txtrequest))

[MaxKozlov]

Bugedig, Thumbprint - отпечаток нужного сертификата, просроченного в вашем случае
а вариант с [System.Text.Encoding]::Unicode.GetBytes
Несколько странен, его можно смело заменить на

$txtrequest = Get-ExchangeCertificate -Thumbprint 5DB9879E38E36BCB60B761E29794392B23D1C054 | New-ExchangeCertificate -GenerateRequest
$txtrequest | Set-Content C:\файл.req

Раз там просто текст. Тем более что запрос всегда ASCII, а не юникод. там не бывает символов за пределами 32..127

[Виталий Бирзниекс]

MaxKozlov, вроде как команды прошли без ошибок, но запрос на подтверждение сертификаты так и не появился, может где-нибудь ошибка

$txtrequest = Get-ExchangeCertificate -Thumbprint ‎3DCE6E09EF84BB752BFB7F91380976E576A778C2 | New-ExchangeCertificate -GenerateRequest
$txtrequest | Set-Content C:\smr-srv-000008.req

В отпечатке видно появляется какой-то знак вопроса впереди, хотя я его не вводу, может в этом дело?

[MaxKozlov]

Bugedig, а где вы ожидаете запрос на подтверждение ?
он у вас находится в файле. файл нужно отнести на CA и там этот запрос импортировать и подтвердить. Потом сохранённый в результате сертификат отнести обратно на сервер, и импортировать его. после этого назначить для использования

пройдитесь по соседним ссылочкам, там где import/assign

[Роман Безруков]

Bugedig, если файл запроса готов, то можно выполнить в командной строке прямо на Exchange:

certreq -config "Сервер\Имя выпускающего ЦС" -submit -attrib "CertificateTemplate:WebServer"

и указать файл с запросом

[Виталий Бирзниекс]

Роман Безруков, файл с запросом это который файл.req, правильно же?

[Роман Безруков]

Bugedig, да, правильно...
для ускорения решения - создайте новый запрос и пульните его в сторону ЦС

Answer 2

[MaxKozlov]

Ну раз сертификат уже истёк, обновить его автоматически никто не даст, о чём вам и пишут.
Или обновлять вручную или новый делать, опять же вручную. и по ссылке от Роман Безруков