Penandatanganan sertifikat payload serialisasi PowerShell di Server Exchange

Berlaku Untuk
Exchange Server 2019 Exchange Server 2016 Exchange Server 2013

Ringkasan

Mulai pembaruan keamanan (SU) Januari 2023 untuk Microsoft Exchange Server, kami memperkenalkan fitur baru yang memungkinkan admin mengonfigurasi penandatanganan berbasis sertifikat dari payload serialisasi PowerShell. Fitur ini harus diaktifkan secara manual oleh admin Server Exchange setelah SU diinstal di semua server berbasis Exchange. Artikel ini menyediakan langkah-langkah untuk mengaktifkan penandatanganan data serialisasi PowerShell berbasis sertifikat di Server Exchange.

Prasyarat

Prasyarat untuk mengaktifkan fitur ini:

  • Pastikan semua server berbasis Exchange di lingkungan Anda menginstal SU Januari 2023 atau yang lebih baru. Jika Anda mengaktifkan fitur ini sebelum memperbarui semua server, kegagalan deserialisasi mungkin terjadi dan memicu masalah lain.
  • Pastikan sertifikat otentikasi Server Exchange yang valid telah dikonfigurasi dan tersedia di semua server berbasis Exchange (kecuali server Edge Transport) sebelum dan sesudah Anda mengaktifkan penandatanganan sertifikat.

Anda dapat menjalankan MonitorExchangeAuthCertificate.ps1 skrip untuk memeriksa sertifikat otentikasi yang valid pada server berbasis Exchange di lingkungan Anda. Skrip juga memeriksa apakah sertifikat otentikasi akan kedaluwarsa dalam waktu kurang dari 60 hari, dan dapat membantu Anda memutar sertifikat. Untuk informasi selengkapnya tentang, MonitorExchangeAuthCertificate.ps1lihat Memantau Exchange AuthCertificate

Untuk memeriksa ketersediaan dan validitas sertifikat autentikasi secara manual, lihat Ketersediaan dan Validitas Sertifikat Otentikasi.

Kami sangat menyarankan Anda menggunakan MonitorExchangeAuthCertificate.ps1 skrip (atau membuat skrip baru, jika perlu). Hal ini karena skrip juga dapat memperpanjang sertifikat autentikasi yang kedaluwarsa. Skrip menyertakan mode eksekusi manual (verifikasi ketersediaan sertifikat otentikasi atau verifikasi dan ambil tindakan, jika perlu). Skrip juga menyertakan mode otomatisasi yang bekerja menggunakan Penjadwal Tugas Windows.

Resolusi

Untuk server yang menjalankan Server Exchange 2019 atau Server Exchange 2016 (diperbarui ke SU Januari 2023 atau yang lebih baru)

  1. Jalankan cmdlet berikut di Exchange Management Shell (EMS) pada server yang menjalankan Server Exchange di lingkungan Anda:

    New-SettingOverride -Name "EnableSigningVerification" -Component Data -Section EnableSerializationDataSigning -Parameters @("Enabled=true") -Reason "Enabling Signing Verification"

    Cmdlet ini memungkinkan semua server yang menjalankan Server Exchange 2019, 2016, atau 2013 di lingkungan Anda untuk penandatanganan sertifikat payload serialisasi PowerShell. Anda tidak perlu menjalankan cmdlet di setiap server.

  2. Refresh argumen VariantConfiguration dengan menjalankan cmdlet berikut:
      
    Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh 

  3. Untuk menerapkan pengaturan baru, mulai ulang layanan World Wide Web Publishing dan Layanan Aktivasi Proses Windows (WAS). Untuk melakukannya, jalankan cmdlet berikut:

    Restart-Service -Name W3SVC, WAS -Force 

    Catatan

    Mulai ulang layanan ini hanya di server berbasis Server Exchange tempat cmdlet penggantian pengaturan dijalankan.

Untuk server yang menjalankan Server Exchange 2013

Jika Anda memiliki server yang menjalankan Microsoft Exchange Server 2013 di lingkungan Anda, Anda harus mengonfigurasi kunci registri di setiap server. Tentukan pengaturan berikut.

Kunci registri:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ExchangeServer\v15\Diagnostics

Nilai: EnableSerializationDataSigning

Jenis: String

Data: 1

Untuk membuat nilai registri di server berbasis Server Exchange 2013, jalankan cmdlet berikut:

  • New-ItemProperty -Path HKLM:\SOFTWARE\Microsoft\ExchangeServer\v15\Diagnostics -name "EnableSerializationDataSigning" -value 1 -type string

Untuk menerapkan pengaturan baru, mulai ulang layanan World Wide Web Publishing dan Layanan Aktivasi Proses Windows (WAS). Untuk melakukannya, jalankan cmdlet berikut:

  • Restart-Service -Nama W3SVC, WAS -Force

Catatan

Mulai ulang layanan ini di semua server berbasis Server Exchange 2013 di lingkungan Anda tempat perubahan registri dibuat.

Masalah umum

  • Jika kemampuan untuk menandatangani data serialisasi diaktifkan, sertifikat otentikasi yang kedaluwarsa mencegah cmdlet Get-ExchangeCertificate mengembalikan detail sertifikat.

  • Setelah Pembaruan Keamanan Januari 2023 atau Februari 2023 untuk Microsoft Exchange Server 2019, 2016, atau 2013 diinstal, dan Penandatanganan Sertifikat Payload Serialisasi PowerShell diaktifkan, kotak alat dan Penampil Antrean Exchange tidak dimulai. Untuk informasi selengkapnya, lihat Kotak Alat Exchange dan Penampil Antrean gagal setelah Penandatanganan Sertifikat Payload Serialisasi PowerShell diaktifkan (KB5023352).

  • Jika kemampuan untuk menandatangani data serialisasi diaktifkan, cmdlet Get-ExchangeCertificate tidak mengembalikan nilai yang terlihat saat dijalankan di komputer yang menginstal Alat Manajemen Exchange tetapi tidak memiliki peran Server Exchange lainnya. Hal ini terjadi terlepas dari apakah sertifikat otentikasi valid atau tidak.

  • Beberapa skrip yang disertakan dengan Server Exchange (misalnya, RedistributeActiveDatabases.ps1) tidak berfungsi dengan benar jika kondisi berikut ini benar:

    • Fitur Penandatanganan Payload Serialisasi PowerShell diaktifkan.
    • Anda tidak menggunakan grup keamanan default yang disediakan oleh RBAC Exchange.
    • Pengguna yang menjalankan skrip bukan anggota grup peran Manajemen Organisasi.