Potpisivanje certifikata za opterećenje serijalizacije ljuske PowerShell u Exchange Server

Sažetak 

Počevši od sigurnosnog ažuriranja iz siječnja 2023. (SU) za Microsoft Exchange Server, uveli smo novu značajku koja administratorima omogućuje konfiguriranje potpisivanja na temelju certifikata za korisnih opterećenja za serijalizaciju ljuske PowerShell. Tu značajku mora ručno omogućiti administrator sustava Exchange Server nakon instalacije su-a na svim poslužiteljima utemeljenima na sustavu Exchange. U ovom su članku navedeni koraci za omogućivanje potpisivanja podataka o serijalizaciji ljuske PowerShell na temelju certifikata u Exchange Server.  

Preduvjeti 

Preduvjeti za omogućivanje ove značajke: 

• Provjerite jesu li svi poslužitelji utemeljeni na sustavu Exchange u vašem okruženju instalirani su za siječanj 2023. ili noviji SU. Ako omogućite tu značajku prije ažuriranja svih poslužitelja, može doći do pogrešaka deserijalizacije i pokrenuti druge probleme. 

• Provjerite je li valjani Exchange Server certifikat provjere autentičnosti konfiguriran i dostupan na svim poslužiteljima utemeljenima na sustavu Exchange (osim na poslužiteljima za prijenos preglednika Edge) prije i nakon omogućivanja potpisivanja certifikata.

Možete pokrenuti skriptu MonitorExchangeAuthCertificate.ps1 da biste provjerili ima li valjanog certifikata za provjeru autentičnosti na poslužiteljima sustava Exchange-bases u vašem okruženju. Skripta provjerava i hoće li certifikat provjere autentičnosti isteći za manje od 60 dana i može vam pomoći da zakrenete certifikat. Dodatne informacije o MonitorExchangeAuthCertificate.ps1potražite u članku Praćenje provjere autentičnosti sustava Exchange

Da biste ručno provjerili dostupnost i valjanost certifikata za provjeru valjanosti, pročitajte članak Dostupnost i valjanost certifikata provjere autentičnosti.

Preporučujemo da koristite skriptu MonitorExchangeAuthCertificate.ps1 (ili stvorite novu, ako je to potrebno). To je zato što skripta može obnoviti i istekli certifikat provjere autentičnosti. Skripta sadrži način ručnog izvršavanja (provjerite dostupnost certifikata provjere autentičnosti ili provjerite i po potrebi učinite nešto). Skripta obuhvaća i način automatizacije koji funkcionira pomoću planera zadataka sustava Windows. 

Rješenje

Poznati problemi

• Ako je omogućena mogućnost potpisivanja podataka o serijalizaciji, istekli certifikat provjere autentičnosti sprječava cmdlet Get-ExchangeCertificate da vrati pojedinosti certifikata.

• Nakon instalacije sigurnosnog ažuriranja za Microsoft Exchange Server 2019, 2016 ili 2013 iz veljače 2023. ili 2013. i omogućeno je potpisivanje certifikata za payload serijalizacije ljuske PowerShell, ne pokreće se preglednik alata sustava Exchange i preglednik reda čekanja. Dodatne informacije potražite u članku Exchange Toolbox and Queue Viewer fails after Certificate Signing of PowerShell Serialization Payload is enabled (KB5023352).

• Ako je omogućena mogućnost potpisivanja podataka o serijalizaciji, cmdlet Get-ExchangeCertificate ne vraća vidljivu vrijednost kada se pokrene na računalu na kojem su instalirani alati za upravljanje sustava Exchange, ali nema drugu Exchange Server ulogu. To se događa bez obzira na to je li certifikat provjere autentičnosti valjan.

• Neke skripte obuhvaćene programom Exchange Server (primjerice, RedistributeActiveDatabases.ps1) ne funkcioniraju ispravno ako su ispunjeni sljedeći uvjeti:

  • Omogućeno je potpisivanje značajke Payload za serijalizaciju ljuske PowerShell.

  • Ne koristite zadane sigurnosne grupe koje nudi Exchange RBAC.

  • Korisnik koji pokreće skriptu nije član grupe uloga upravljanja tvrtkom ili ustanovom.