Microsoft Exchange Server: SSL-certifikat via ACME

Q: Vilka tjänster aktiveras för det nya certifikatet?

Som standard IIS,SMTP,IMAP,POP . Det täcker OWA, EWS, ActiveSync, autodiscover (alla via IIS) samt SMTP, IMAP och POP om de är aktiverade. Justera listan i --scriptparameters om du inte använder en viss tjänst.

SSL-certifikatet på Exchange Server 2013, 2016, 2019 och Subscription Edition kan hanteras automatiskt med simple-acme. Certifikatet installeras i Windows Certificate Store, binds till IIS för OWA och EWS, och aktiveras för SMTP, IMAP och POP via ImportExchange.v3.ps1. Befintliga interna Exchange-certifikat lämnas orörda.

Versioner som stöds

Plattform	Versioner	Körs på	ACME-klient
Exchange Server	Versioner2013, 2016, 2019 och Subscription Edition	Körs påWindows Server 2012 eller senare	ACME-klientsimple-acme 2.4.0+ (FairSSL-utgåvan, .NET 10 ingår) + ImportExchange.v3.ps1

Uppsättning

Steg 1: Installera simple-acme

Hämta FairSSL-utgåvan av simple-acme (förkonfigurerad med ACME-adressen och med ImportExchange.v3.ps1 i mappen Scripts). Packa upp den till C:\simple-acme på Exchange-servern.

Steg 2: Förbered miljön

Alla berörda domäner är konfigurerade för FairSSL AutoDNS.
Exemplet förutsätter en Exchange-server med OWA på IIS. Anpassa listan i --host efter din server.
Kör Exchange Management Shell som administratör och gå till C:\simple-acme.

Steg 3: Utfärda och aktivera

Kör kommandot i Exchange Management Shell som administratör. simple-acme utfärdar certifikatet, installerar det och ger Network Service och Administrators full behörighet i ACL:en (så att Exchange kan läsa den privata nyckeln), binder det till IIS och anropar ImportExchange.v3.ps1, som aktiverar det för de angivna tjänsterna.

wacs.exe --verbose --baseuri "https://fairssl.dk/acme" `
  --eab-key-identifier DIN_EAB_KID --eab-key DIN_EAB_HMAC --accepttos `
  --source manual --csr rsa `
  --certificatestore My --acl-fullcontrol "network service,administrators" `
  --validation none `
  --installation iis,script --script "./Scripts/ImportExchange.v3.ps1" `
  --scriptparameters "'{CertThumbprint}' 'IIS,SMTP,IMAP,POP' 1 '{CacheFile}' '{CachePassword}' '{CertFriendlyName}'" `
  --host "mail.exempel.se,autodiscover.exempel.se" `
  --friendlyname "fairssl-acme-mail.exempel.se"

Steg 4: Verifiera tjänster

Kör följande i Exchange Management Shell och kontrollera att Exchange har aktiverat certifikatet för rätt tjänster (det nya certifikatet ska visa tjänsteflaggor som IPWS):

Get-ExchangeCertificate
Get-WebBinding

Steg 5: Kontrollera IIS-bindningar

Default Website ska använda det nya certifikatet.
Exchange Back End ska fortsätta att använda det interna certifikatet (som vanligen heter "Microsoft Exchange").
Testa utifrån med FairSSLs SSL-skanner.

Steg 6: Ställ in förnyelsefönstret i simple-acme

Använder du FairSSL-utgåvan av simple-acme är det redan inställt. Annars ändrar du i settings.json: ScheduledTask → RenewalDays = 365 och ScheduledTask → RenewalMinimumValidDays = 7. Då låter simple-acme ARI styra förnyelsen, men förnyar alltid senast 7 dagar före utgångsdatum.

Att tänka på

Det interna "Microsoft Exchange"-certifikatet måste fortfarande förnyas

Exchange Server använder sitt eget interna certifikat för IIS-webbplatsen Exchange Back End och för andra interna tjänster. ACME-flödet byter inte ut det. Bevaka utgångsdatumet och förnya det med Exchange-verktygen.

Wildcardcertifikat täcker inte SMTP, IMAP och POP fullt ut

Exchange använder bara ett wildcardcertifikat för OWA, EWS och ActiveSync. För SMTP, IMAP och POP måste det exakta värdnamnet (FQDN) finnas i SAN. Saknas det använder Exchange det interna certifikatet för de tjänsterna. Beställ ett SAN-certifikat med alla värdnamn för att undvika det.

Certifikat på många servrar och appliances

Ett offentligt SSL-certifikat får vara giltigt i högst 199 dagar nu, 99 dagar senast 2027-03-15 och 46 dagar senast 2029-03-15. Varje certifikat måste då bytas minst två gånger om året nu och minst åtta gånger om året från 2029, på varje server, brandvägg och lastbalanserare där det används. sslbrain från FairSSL körs som en appliance i ert eget nätverk och förnyar och installerar certifikaten från ett ställe, även på utrustning utan agent.

Så förnyar och installerar sslbrain certifikat på Exchange

Vanliga frågor

Hitta svar på de vanligaste frågorna om SSL-certifikat och FairSSL.

Vilka Exchange-versioner stöds?

Exchange Server 2013, 2016, 2019 och Subscription Edition, på Windows Server 2012 eller senare. ImportExchange.v3.ps1 använder cmdleten Enable-ExchangeCertificate i Exchange Management Shell för att aktivera det nya certifikatet för de berörda tjänsterna (IIS, SMTP, IMAP, POP). Installationen i Windows Certificate Store och bindningen i IIS sköter simple-acme själv.

Ska jag låta Exchange behålla sitt interna "Microsoft Exchange"-certifikat?

Ja. Exchange Server kräver ett giltigt internt certifikat för IIS-webbplatsen Exchange Back End och för andra interna tjänster. Det heter vanligen Microsoft Exchange och skapas vid installationen. Vårt ACME-flöde byter bara ut certifikatet för OWA, EWS, ActiveSync, SMTP, IMAP och POP, aldrig det interna. Kom ihåg att förnya det interna certifikatet separat med Exchange-verktygen innan det går ut.

Fungerar wildcardcertifikat för Exchange?

Delvis. Exchange accepterar ett wildcardcertifikat för OWA, EWS och ActiveSync, men SMTP, IMAP och POP använder det bara om det exakta värdnamnet (FQDN) finns i certifikatets SAN. Finns värdnamnet inte i något annat certifikat använder Exchange det interna certifikatet för de tjänsterna. Vi rekommenderar ett SAN-certifikat med alla berörda värdnamn (mail.example.com, autodiscover.example.com, smtp.example.com).

Ska jag använda Exchange Management Shell eller vanlig PowerShell?

Exchange Management Shell. Skriptet anropar Exchange-specifika cmdlets som inte finns i vanlig PowerShell. Starta EMS som administratör och gå till C:\simple-acme innan du kör kommandot.

Vilka tjänster aktiveras för det nya certifikatet?

Som standard IIS,SMTP,IMAP,POP. Det täcker OWA, EWS, ActiveSync, autodiscover (alla via IIS) samt SMTP, IMAP och POP om de är aktiverade. Justera listan i --scriptparameters om du inte använder en viss tjänst.

Vad händer vid förnyelse?

simple-acme lägger upp en schemalagd aktivitet som körs dagligen. När ARI, eller gränsen på 7 dagar före utgångsdatum, utlöser förnyelsen installeras det nya certifikatet i Windows Certificate Store, IIS-bindningen uppdateras och ImportExchange.v3.ps1 körs igen och aktiverar det för samma Exchange-tjänster. Det gamla certifikatet ligger kvar i certifikatlagret tills det går ut.

Redo att automatisera Exchange-certifikat?

Skapa ett gratis konto och beställ ditt första certifikat. Ett DV-certifikat utfärdas på under 2 minuter.

Skapa gratis konto Jämför certifikat