Sertifikatsignering av powershell-serialiseringsnyttelast i Exchange Server

Oppsummering 

Fra og med sikkerhetsoppdateringen for Microsoft Exchange Server i januar 2023 innførte vi en ny funksjon som gjør det mulig for administratorer å konfigurere sertifikatbasert signering av PowerShell-serialiseringsnyttelaster. Denne funksjonen må aktiveres manuelt av en Exchange Server-administrator etter at SU er installert på alle Exchange-baserte servere. Denne artikkelen inneholder fremgangsmåten for å aktivere sertifikatbasert signering av PowerShell-serialiseringsdata i Exchange Server.  

Forutsetninger 

Forutsetninger for å aktivere denne funksjonen: 

• Kontroller at alle Exchange-baserte servere i miljøet har su-en fra januar 2023 eller en nyere SU installert. Hvis du aktiverer denne funksjonen før du oppdaterer alle servere, kan det oppstå deserialiseringsfeil og utløse andre problemer. 

• Kontroller at et gyldig godkjenningssertifikat for Exchange Server er konfigurert og tilgjengelig på alle Exchange-baserte servere (unntatt Edge Transport-servere) før og etter at du har aktivert sertifikatsignering.

Du kan kjøre MonitorExchangeAuthCertificate.ps1 -skriptet for å se etter et gyldig godkjenningssertifikat på Exchange-basisservere i miljøet ditt. Skriptet kontrollerer også om godkjenningssertifikatet utløper om mindre enn 60 dager, og det kan hjelpe deg med å rotere sertifikatet. Hvis du vil ha mer informasjon om MonitorExchangeAuthCertificate.ps1, kan du se Overvåke Exchange AuthCertificate

Hvis du vil kontrollere godkjenningssertifikattilgjengelighet og gyldighet manuelt, kan du se Tilgjengelighet og gyldighet for godkjenningssertifikat.

Vi anbefaler på det sterkeste at du bruker skriptet MonitorExchangeAuthCertificate.ps1 (eller oppretter et nytt hvis det er nødvendig). Dette er fordi skriptet også kan fornye et utløpt godkjenningssertifikat. Skriptet inneholder en manuell utføringsmodus (kontroller tilgjengeligheten til godkjenningssertifikatet, eller bekreft og utfør handling hvis det er nødvendig). Skriptet inneholder også en automatiseringsmodus som fungerer ved hjelp av Windows Oppgaveplanlegging. 

Løsning

Kjente problemer

• Hvis muligheten til å signere serialiseringsdata er aktivert, forhindrer et utløpt godkjenningssertifikat at Get-ExchangeCertificate-cmdleten returnerer sertifikatdetaljer.

• Etter at sikkerhetsoppdateringen for Microsoft Exchange Server 2019, 2013 eller februar 2023 er installert for Microsoft Exchange Server 2019, 2016 eller 2013, og nyttelasten for sertifikatsignering av PowerShell-serialisering er aktivert, starter ikke Exchange-verktøykassen og køvisningsprogrammet. Hvis du vil ha mer informasjon, kan du se Exchange-verktøykassen og køvisningsprogrammet mislykkes etter at sertifikatsignering av nyttelast for PowerShell-serialisering er aktivert (KB5023352).

• Hvis muligheten til å signere serialiseringsdata er aktivert, returnerer ikke Get-ExchangeCertificate-cmdleten en synlig verdi når den kjøres på en datamaskin som har Exchange Management Tools installert, men ikke har noen annen Exchange Server rolle. Dette skjer uavhengig av om godkjenningssertifikatet er gyldig.

• Noen av skriptene som følger med Exchange Server (for eksempel RedistributeActiveDatabases.ps1), fungerer ikke som de skal hvis følgende betingelser er oppfylt:

  • Funksjonen For signering av PowerShell Serialization Payload er aktivert.

  • Du bruker ikke standard sikkerhetsgrupper som leveres av Exchange RBAC.

  • Brukeren som kjører skriptet, er ikke medlem av rollegruppen organisasjonsadministrasjon.