الملخص
بدءا من تحديث الأمان لشهر يناير 2023 (SU) Microsoft Exchange Server، قدمنا ميزة جديدة تمكن المسؤولين من تكوين توقيع حمولات تسلسل PowerShell المستندة إلى الشهادة. يجب تمكين هذه الميزة يدويا بواسطة مسؤول Exchange Server بعد تثبيت SU على جميع الخوادم المستندة إلى Exchange. توفر هذه المقالة الخطوات لتمكين التوقيع المستند إلى الشهادة لبيانات تسلسل PowerShell في Exchange Server.
المتطلبات الأساسية
المتطلبات الأساسية لتمكين هذه الميزة:
-
تأكد من تثبيت وحدة SU لشهر يناير 2023 أو وحدة SU لاحقة لجميع الخوادم المستندة إلى Exchange في بيئتك. إذا قمت بتمكين هذه الميزة قبل تحديث جميع الخوادم، فقد تحدث حالات فشل إلغاء التسلسل وتشغل مشكلات أخرى.
-
تأكد من تكوين شهادة مصادقة Exchange Server صالحة وإتاحتها على جميع الخوادم المستندة إلى Exchange (باستثناء خوادم Edge Transport) قبل تمكين توقيع الشهادة وبعده.
يمكنك تشغيل البرنامج النصي MonitorExchangeAuthCertificate.ps1 للتحقق من وجود شهادة مصادقة صالحة على خوادم قواعد Exchange في بيئتك. يتحقق البرنامج النصي أيضا مما إذا كانت شهادة المصادقة ستنتهي في أقل من 60 يوما، ويمكن أن تساعدك على تدوير الشهادة. لمزيد من المعلومات حول MonitorExchangeAuthCertificate.ps1، راجع مراقبة مصادقة ExchangeCertificate
للتحقق يدويا من توفر شهادة المصادقة وصلاحيتها، راجع توفر شهادة المصادقة والصلاحية.
نوصي بشدة باستخدام البرنامج النصي MonitorExchangeAuthCertificate.ps1 (أو إنشاء برنامج نصي جديد، إذا لزم الأمر). وذلك لأن البرنامج النصي يمكنه أيضا تجديد شهادة مصادقة منتهية الصلاحية. يتضمن البرنامج النصي وضع تنفيذ يدوي (تحقق من توفر شهادة المصادقة أو تحقق من الأمر واتخذ إجراء، إذا كان ذلك ضروريا). يتضمن البرنامج النصي أيضا وضع التنفيذ التلقائي الذي يعمل باستخدام Windows Task Scheduler.
الدقة
بالنسبة للخوادم التي تعمل Exchange Server 2019 أو Exchange Server 2016 (تم تحديثها إلى وحدة SU لشهر يناير 2023 أو أحدث)
-
قم بتشغيل cmdlet التالي في Exchange Management Shell (EMS) على خادم يعمل Exchange Server في بيئتك:
New-SettingOverride -Name "EnableSigningVerification" -Component Data -Section EnableSerializationDataSigning -Parameters @("Enabled=true") -Reason "Enabling Signing Verification"
يمكن cmdlet هذا جميع الخوادم التي تعمل Exchange Server 2019 أو 2016 أو 2013 في بيئتك لتوقيع شهادة حمولة تسلسل PowerShell. ليس عليك تشغيل cmdlet على كل خادم. -
قم بتحديث وسيطة VariantConfiguration عن طريق تشغيل cmdlet التالي:
Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh -
لتطبيق الإعدادات الجديدة، أعد تشغيل خدمة نشر الويب العالمية وخدمة تنشيط عملية Windows (WAS). للقيام بذلك، قم بتشغيل cmdlet التالي:
Restart-Service -Name W3SVC, WAS -Forceملاحظة: أعد تشغيل هذه الخدمات على الخادم المستند إلى Exchange Server فقط الذي تتجاوز الإعدادات cmdlet عليه.
للخوادم التي تعمل Exchange Server 2013
إذا كانت لديك خوادم تعمل Microsoft Exchange Server 2013 في بيئتك، فيجب عليك تكوين مفتاح تسجيل على كل خادم. حدد الإعدادات التالية.
مفتاح التسجيل:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ExchangeServer\v15\Diagnostics
قيمه:تمكين التسلسلDataSigning
نوع: سلسله
البيانات: 1
لإنشاء قيمة التسجيل على خادم يستند إلى Exchange Server 2013، قم بتشغيل cmdlet التالي:
- New-ItemProperty -Path HKLM:\SOFTWARE\Microsoft\ExchangeServer\v15\Diagnostics -Name "EnableSerializationDataSigning" -Value 1 -Type String
لتطبيق الإعدادات الجديدة، أعد تشغيل خدمة نشر الويب العالمية وخدمة تنشيط عملية Windows (WAS). للقيام بذلك، قم بتشغيل cmdlet التالي:
- Restart-Service -Name W3SVC, WAS -Force
ملاحظة: أعد تشغيل هذه الخدمات على جميع الخوادم المستندة إلى Exchange Server 2013 في بيئتك التي يتم إجراء تغييرات السجل عليها.
المشاكل المعروفة
-
إذا تم تمكين القدرة على توقيع بيانات التسلسل، فإن شهادة المصادقة منتهية الصلاحية تمنع cmdlet Get-ExchangeCertificate من إرجاع تفاصيل الشهادة.
-
بعد تثبيت تحديث الأمان لشهر يناير 2023 أو فبراير 2023 Microsoft Exchange Server 2019 أو 2016 أو 2013، وتمكين توقيع الشهادة لحمولة تسلسل PowerShell، لا يبدأ تشغيل مربع أدوات Exchange وعارض قائمة الانتظار. لمزيد من المعلومات، راجع فشل مربع أدوات Exchange وعارض قائمة الانتظار بعد تمكين توقيع الشهادة لحمولة تسلسل PowerShell (KB5023352).
-
إذا تم تمكين القدرة على توقيع بيانات التسلسل، فلن يقوم الأمر cmdlet Get-ExchangeCertificate بإعادة قيمة مرئية عند تشغيلها على كمبيوتر مثبت عليه Exchange Management Tools ولكن ليس له دور Exchange Server آخر. يحدث هذا بغض النظر عما إذا كانت شهادة المصادقة صالحة أم لا.
-
لا تعمل بعض البرامج النصية المضمنة مع Exchange Server (على سبيل المثال، RedistributeActiveDatabases.ps1) بشكل صحيح إذا كانت الشروط التالية صحيحة:
-
يتم تمكين توقيع ميزة حمولة تسلسل PowerShell.
-
لا تستخدم مجموعات الأمان الافتراضية التي يوفرها Exchange RBAC.
-
المستخدم الذي يقوم بتشغيل البرنامج النصي ليس عضوا في مجموعة أدوار إدارة المؤسسة.
-
