Suvestinė
Nuo 2023 m. sausio mėn. saugos naujinimo (SU), skirto Microsoft Exchange Server", pristatėme naują funkciją, kuri leidžia administratoriams konfigūruoti sertifikatu pagrįstą "PowerShell" nuoseklinimo paketo turinio pasirašymą. Įdiegus SU visuose "Exchange" serveriuose, šią funkciją turi rankiniu būdu įgalinti Exchange Server administratorius. Šiame straipsnyje pateikiami veiksmai, kaip įgalinti sertifikatu pagrįstą "PowerShell" nuoseklinimo duomenų pasirašymą programoje "Exchange Server".
Būtinosios sąlygos
Būtinosios sąlygos norint įgalinti šią funkciją:
-
Įsitikinkite, kad visi "Exchange" pagrindu veikiantys serveriai jūsų aplinkoje turi įdiegtą 2023 m. sausio mėn. SU arba naujesnę SU. Jei šią funkciją įgalinsite prieš atnaujindami visus serverius, gali kilti išdėstymo eilutėmis trikčių ir kilti kitų problemų.
-
Įsitikinkite, kad galiojantis Exchange Server autentifikavimo sertifikatas sukonfigūruotas ir pasiekiamas visuose "Exchange" serveriuose (išskyrus "Edge" transportavimo serverius) prieš ir po to, kai įgalinate sertifikato pasirašymą.
Galite vykdyti MonitorExchangeAuthCertificate.ps1 scenarijų ir patikrinti, ar jūsų aplinkos "Exchange" pagrindu veikiančiuose serveriuose yra galiojantis autentifikavimo sertifikatas. Scenarijus taip pat tikrina, ar autentifikavimo sertifikatas nustos galioti greičiau nei po 60 dienų, ir gali padėti jums pasukti sertifikatą. Daugiau informacijos apie MonitorExchangeAuthCertificate.ps1žr. "Exchange" authCertificate stebėjimas
Norėdami rankiniu būdu patikrinti autentifikavimo sertifikato pasiekiamumą ir galiojimą, žr. Autentifikavimo sertifikato pasiekiamumas ir galiojimas.
Primygtinai rekomenduojame naudoti MonitorExchangeAuthCertificate.ps1 scenarijų (arba, jei reikia, sukurti naują). Taip yra todėl, kad scenarijus taip pat gali atnaujinti nebegaliojantį autentifikavimo sertifikatą. Scenarijuje yra rankinio vykdymo režimas (patikrinkite autentifikavimo sertifikato pasiekiamumą arba patikrinkite ir imkitės veiksmų, jei to reikia). Scenarijuje taip pat yra automatizavimo režimas, kuris veikia naudojant "Windows" užduočių planuoklę.
Sprendimas
Serveriuose, kuriuose veikia Exchange Server 2019" arba "Exchange Server 2016" (atnaujinta į 2023 m. sausio mėn. SU arba naujesnę versiją)
-
Vykdykite šią cmdlet "Exchange" valdymo aplinkoje (EMS) serveryje, kuriame veikia Exchange Server jūsų aplinkoje:
New-SettingOverride -Name "EnableSigningVerification" -Component Data -Section EnableSerializationDataSigning -Parameters @("Enabled=true") -Reason "Enabling Signing Verification"
Ši cmdlet įgalina visus serverius, kuriuose veikia Exchange Server 2019, 2016 arba 2013 jūsų aplinkoje, kad būtų pasirašytas "PowerShell" nuoseklinimo paketo turinys. Jums nereikia vykdyti cmdlet kiekviename serveryje. -
Atnaujinkite argumentą VariantConfiguration vykdydami šią cmdlet:
Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh -
Norėdami taikyti naujus parametrus, iš naujo paleiskite žiniatinklio publikavimo tarnybą ir "Windows" aktyvinimo proceso tarnybą (WAS). Norėdami tai padaryti, vykdykite šią cmdlet:
Restart-Service -Name W3SVC, WAS -ForcePastaba: Iš naujo paleiskite šias tarnybas tik Exchange Server pagrįstame serveryje, kuriame vykdomi cmdlet parametrų nepaisymo parametrai.
Serveriuose, kuriuose veikia Exchange Server 2013"
Jei turite serverių, kuriuose veikia Microsoft Exchange Server 2013" savo aplinkoje, turite sukonfigūruoti registro raktą kiekviename serveryje. Nurodykite šiuos parametrus.
Registro raktas:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ExchangeServer\v15\Diagnostics
Vertė:EnableSerializationDataSigning
Tipas: Eilutės
Duomenys: 1
Norėdami sukurti registro reikšmę Exchange Server 2013 serveryje, vykdykite šią cmdlet:
- New-ItemProperty -Path HKLM:\SOFTWARE\Microsoft\ExchangeServer\v15\Diagnostics -Name "EnableSerializationDataSigning" -Value 1 -Type String
Norėdami taikyti naujus parametrus, iš naujo paleiskite žiniatinklio publikavimo tarnybą ir "Windows" aktyvinimo proceso tarnybą (WAS). Norėdami tai padaryti, vykdykite šią cmdlet:
- Restart-Service -Name W3SVC, WAS -Force
Pastaba: Iš naujo paleiskite šias tarnybas visuose Exchange Server 2013" pagrindu veikiančiuose jūsų aplinkos serveriuose, kuriuose atliekami registro keitimai.
Žinomos problemos
-
Jei įgalinta galimybė pasirašyti nuoseklinimo duomenis, nebegaliojantis autentifikavimo sertifikatas neleidžia "Get-ExchangeCertificate " "cmdlet" grąžinti sertifikato informacijos.
-
Įdiegus 2023 m. sausio mėn. arba 2023 m. vasario mėn. saugos naujinimą, skirtą "Microsoft Exchange Server 2019", "2016" arba "2013" ir įgalintas "PowerShell" nuoseklinimo paketo turinio sertifikatas, nepavyksta paleisti "Exchange" įrankių komplekto ir eilės peržiūros programos. Daugiau informacijos žr. "Exchange" įrankių komplektas ir eilės peržiūros programa nepavyksta, kai įgalintas "PowerShell" nuoseklinimo paketo turinio sertifikato pasirašymas (KB5023352).
-
Jei įgalinta galimybė pasirašyti nuoseklinimo duomenis, Get-ExchangeCertificate cmdlet negrąžina matomos reikšmės, kai ji vykdoma kompiuteryje, kuriame įdiegti "Exchange" valdymo įrankiai, bet nėra kitų Exchange Server vaidmens. Taip nutinka neatsižvelgiant į tai, ar galioja autentifikavimo sertifikatas.
-
Kai kurie scenarijai, įtraukti į Exchange Server (pvz., RedistributeActiveDatabases.ps1) veikia netinkamai, jei tenkinamos šios sąlygos:
-
Įjungta "PowerShell Serialization Payload" paketo turinio pasirašymo funkcija.
-
Nenaudojate numatytųjų saugos grupių, kurias teikia "Exchange" RBAC.
-
Scenarijų atliekantis vartotojas nėra organizacijos valdymo vaidmenų grupės narys.
-
