توقيع شهادة حمولة تسلسل PowerShell في Exchange Server

ينطبق على
Exchange Server 2019 Exchange Server 2016 Exchange Server 2013

الملخص

بدءا من تحديث الأمان (SU) لشهر يناير 2023 ل Microsoft Exchange Server، قدمنا ميزة جديدة تمكن المسؤولين من تكوين التوقيع المستند إلى شهادة لحمولات تسلسل PowerShell. يجب تمكين هذه الميزة يدويا من قبل مسؤول Exchange Server بعد تثبيت SU على جميع الخوادم المستندة إلى Exchange. توفر هذه المقالة الخطوات اللازمة لتمكين التوقيع المستند إلى شهادة لبيانات تسلسل PowerShell في Exchange Server.

المتطلبات الأساسية

المتطلبات الأساسية لتمكين هذه الميزة:

  • تأكد من تثبيت SU لشهر يناير 2023 أو أحدث من تثبيت جميع الخوادم المستندة إلى Exchange في بيئتك. إذا قمت بتمكين هذه الميزة قبل تحديث جميع الخوادم، فقد تحدث حالات فشل إلغاء التسلسل وتتسبب في حدوث مشكلات أخرى.
  • تأكد من تكوين شهادة مصادقة Exchange Server صالحة وتوفرها على كل الخوادم المستندة إلى Exchange (باستثناء خوادم Edge Transport) قبل تمكين توقيع الشهادة وبعدها.

يمكنك تشغيل البرنامج MonitorExchangeAuthCertificate.ps1 النصي للتحقق من وجود شهادة مصادقة صالحة على الخوادم المستندة إلى Exchange في بيئتك. يتحقق البرنامج النصي أيضا مما إذا كانت شهادة المصادقة ستنتهي صلاحيتها خلال أقل من 60 يوما، وبإمكانه أن يساعدك على تدوير الشهادة. لمزيد من المعلومات حول MonitorExchangeAuthCertificate.ps1، راجع مراقبة Exchange AuthCertificate

للتحقق يدويا من توفر شهادة المصادقة وصلاحيتها، راجع توفر شهادة المصادقة وصلاحيتها.

نوصي بشدة باستخدام البرنامج النصي MonitorExchangeAuthCertificate.ps1 (أو إنشاء واحد جديد، إذا لزم الأمر). وهذا لأن البرنامج النصي يمكنه أيضا تجديد شهادة مصادقة منتهية الصلاحية. يتضمن البرنامج النصي وضع تنفيذ يدوي (تحقق من توفر شهادة المصادقة أو تحقق من الإجراء واتخذ إجراء إذا لزم الأمر). يتضمن البرنامج النصي أيضا وضع التشغيل التلقائي الذي يعمل باستخدام Windows Task Scheduler.

الدقة

بالنسبة للخوادم التي تعمل بنظام التشغيل Exchange Server 2019 أو Exchange Server 2016 (تم تحديثها إلى يناير 2023 SU أو إصدار أحدث)

  1. شغل الأمر cmdlet التالي في Exchange Management Shell (EMS) على خادم يقوم بتشغيل Exchange Server في بيئتك:

    New-SettingOverride -Name "EnableSigningVerification" -Component Data -Section EnableSerializationDataSigning -Parameters @("Enabled=true") -Reason "Enabling Signing Verification"

    يتيح أمر cmdlet هذا لكل الخوادم التي تقوم بتشغيل Exchange Server 2019 أو 2016 أو 2013 في بيئتك توقيع شهادة حمولة تسلسل PowerShell. لا يتعين عليك تشغيل الأمر cmdlet على كل خادم.

  2. قم بتحديث الوسيطة VariantConfiguration بتشغيل أمر cmdlet التالي:
      
    Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh 

  3. لتطبيق الإعدادات الجديدة، أعد تشغيل خدمة النشر على شبكة الإنترنت العالمية وخدمة تنشيط عملية Windows (WAS). للقيام بذلك، شغل أمر cmdlet التالي:

    Restart-Service -Name W3SVC, WAS -Force 

    ملاحظة

    أعد تشغيل هذه الخدمات على الخادم المستند إلى Exchange Server الذي يتم تشغيل أمر cmdlet تجاوز الإعدادات عليه.

بالنسبة للخوادم التي تقوم بتشغيل Exchange Server 2013

إذا كانت لديك خوادم تقوم بتشغيل Microsoft Exchange Server 2013 في بيئتك، فيجب تكوين مفتاح تسجيل على كل خادم. حدد الإعدادات التالية.

مفتاح التسجيل:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ExchangeServer\v15\Diagnostics

القيمة: EnableSerializationDataSigning

اكتب: سلسلة

البيانات: 1

لإنشاء قيمة التسجيل على خادم يستند إلى Exchange Server 2013، شغل أمر cmdlet التالي:

  • New-ItemProperty -Path HKLM:\SOFTWARE\Microsoft\ExchangeServer\v15\Diagnostics -Name "EnableSerializationDataSigning" -Value 1 -Type String

لتطبيق الإعدادات الجديدة، أعد تشغيل خدمة النشر على شبكة الإنترنت العالمية وخدمة تنشيط عملية Windows (WAS). للقيام بذلك، شغل أمر cmdlet التالي:

  • Restart-Service -Name W3SVC, WAS -Force

ملاحظة

أعد تشغيل هذه الخدمات على كل الخوادم المستندة إلى Exchange Server 2013 في بيئتك حيث يتم إجراء تغييرات على السجل.

المشاكل المعروفة

  • إذا تم تمكين القدرة على توقيع بيانات التسلسل، فإن شهادة مصادقة منتهية الصلاحية تمنع Get-ExchangeCertificate cmdlet من إرجاع تفاصيل الشهادة.

  • بعد تثبيت تحديث الأمان لشهر يناير 2023 أو فبراير 2023 ل Microsoft Exchange Server 2019 أو 2016 أو 2013، وتمكين توقيع شهادة حمولة تسلسل PowerShell، لا يبدأ تشغيل صندوق أدوات Exchange وعارض قائمة الانتظار. لمزيد من المعلومات، راجع فشل "مربع أدوات Exchange" و"عارض قائمة الانتظار" بعد تمكين توقيع شهادة "حمولة تسلسل PowerShell" (KB5023352).

  • إذا تم تمكين القدرة على توقيع بيانات التسلسل فلن يرجع Get-ExchangeCertificate cmdlet قيمة مرئية عند تشغيله على كمبيوتر تم تثبيت "أدوات إدارة Exchange" عليه، لكن ليس له دور آخر في Exchange Server. يحدث ذلك بغض النظر عما إذا كانت شهادة المصادقة صالحة.

  • لا تعمل بعض البرامج النصية المضمنة مع Exchange Server (على سبيل المثال، RedistributeActiveDatabases.ps1) بشكل صحيح إذا تحقق الشروط التالية:

    • تم تمكين ميزة توقيع حمولة تسلسل PowerShell.
    • لا تستخدم مجموعات الأمان الافتراضية التي يوفرها Exchange RBAC.
    • المستخدم الذي يقوم بتشغيل البرنامج النصي ليس عضوا في مجموعة أدوار "إدارة المؤسسة".