Certificaatondertekening van PowerShell-nettolading serialisatie in Exchange Server

Overzicht

Vanaf de beveiligingsupdate (SU) van januari 2023 voor Microsoft Exchange Server hebben we een nieuwe functie geïntroduceerd waarmee beheerders op certificaten gebaseerde ondertekening van PowerShell-nettoladingen van serialisatie kunnen configureren. Deze functie moet handmatig worden ingeschakeld door een beheerder van een Exchange Server nadat de SU op alle Exchange-servers is geïnstalleerd. In dit artikel vindt u de stappen voor het inschakelen van op certificaten gebaseerde ondertekening van PowerShell-serialisatiegegevens in Exchange Server.

Vereisten

Vereisten voor het inschakelen van deze functie:

• Zorg ervoor dat op alle Exchange-servers in uw omgeving de SU van januari 2023 of een latere SU is geïnstalleerd. Als u deze functie inschakelt voordat u alle servers bijwerkt, kunnen deserialisatiefouten optreden die andere problemen veroorzaken.
• Zorg ervoor dat er een geldig certificaat voor Exchange Server-verificatie is geconfigureerd en beschikbaar is op alle Exchange-servers (met uitzondering van Edge Transport-servers) voor en na het inschakelen van certificaatondertekening.

U kunt het MonitorExchangeAuthCertificate.ps1 script uitvoeren om te controleren op een geldig verificatiecertificaat op Exchange-basisservers in uw omgeving. Het script controleert ook of het verificatiecertificaat binnen zestig dagen verloopt en kan u helpen het certificaat te draaien. Zie voor meer informatie over MonitorExchangeAuthCertificate.ps1het controleren van Exchange AuthCertificate

Zie Beschikbaarheid en geldigheid van verificatiecertificaat om de beschikbaarheid en geldigheid van verificatiecertificaten handmatig te controleren.

We raden u ten zeerste aan het MonitorExchangeAuthCertificate.ps1 script te gebruiken (of een nieuw script te maken als dit nodig is). Dit komt omdat het script ook een verlopen verificatiecertificaat kan vernieuwen. Het script bevat een handmatige uitvoeringsmodus (controleer de beschikbaarheid van het verificatiecertificaat of verifieer en onderneem actie als dat nodig is). Het script bevat ook een automatiseringsmodus die werkt met behulp van Windows Taakplanner.

Oplossing

Voor servers waarop Exchange Server 2019 of Exchange Server 2016 wordt uitgevoerd (bijgewerkt naar de SU van januari 2023 of hoger)

1. Voer de volgende cmdlet in Exchange-beheershell (EMS) uit op een server waarop Exchange Server in uw omgeving wordt uitgevoerd:

   New-SettingOverride -Name "EnableSigningVerification" -Component Data -Section EnableSerializationDataSigning -Parameters @("Enabled=true") -Reason "Enabling Signing Verification"

   Met deze cmdlet kunnen alle servers waarop Exchange Server 2019, 2016 of 2013 wordt uitgevoerd in uw omgeving gebruikmaken van certificaatondertekening van de PowerShell-nettolading voor serialisatie. U hoeft de cmdlet niet op elke server uit te voeren.

2. Vernieuw het argument VariantConfiguration door de volgende cmdlet uit te voeren:
     
   Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh 

3. Als u de nieuwe instellingen wilt toepassen, start u de World Wide Web-publicatieservice en de Windows Process Activation Service (WAS) opnieuw. Voer hiervoor de volgende cmdlet uit:

   Restart-Service -Name W3SVC, WAS -Force 

   Opmerking

   Start deze services alleen opnieuw op de server op basis van Exchange Server waarop de cmdlet Instellingen overschrijven wordt uitgevoerd.

Voor servers waarop Exchange Server 2013 wordt uitgevoerd

Als uw omgeving servers heeft waarop Microsoft Exchange Server 2013 wordt uitgevoerd, moet u op elke server een registersleutel configureren. Geef de volgende instellingen op.

Registersleutel:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ExchangeServer\v15\Diagnostics

Waarde: EnableSerializationDataSigning

Type: Tekenreeks

Gegevens: 1

Voer de volgende cmdlet uit om de registerwaarde te maken op een Exchange Server 2013-server:

• New-ItemProperty -Path HKLM:\SOFTWARE\Microsoft\ExchangeServer\v15\Diagnostics -Name "EnableSerializationDataSigning" -Value 1 -Type String

Als u de nieuwe instellingen wilt toepassen, start u de World Wide Web-publicatieservice en de Windows Process Activation Service (WAS) opnieuw. Voer hiervoor de volgende cmdlet uit:

• Restart-Service -Name W3SVC, WAS -Force

Bekende problemen

• Als de mogelijkheid om serialisatiegegevens te ondertekenen is ingeschakeld, voorkomt een verlopen verificatiecertificaat dat de cmdlet Get-ExchangeCertificate certificaatdetails retourneert.

• Nadat de beveiligingsupdate van januari 2023 of februari 2023 voor Microsoft Exchange Server 2019, 2016 of 2013 is geïnstalleerd en de certificaatondertekening van de nettolading PowerShell-serialisatie is ingeschakeld, worden de Exchange Toolbox en Wachtrijviewer niet gestart. Zie Exchange Toolbox en Wachtrijviewer mislukt nadat certificaatondertekening van PowerShell-serialisatie-nettolading is ingeschakeld (KB5023352).

• Als de mogelijkheid om serialisatiegegevens te ondertekenen is ingeschakeld, retourneert de cmdlet Get-ExchangeCertificate geen zichtbare waarde wanneer deze wordt uitgevoerd op een computer waarop de Exchange-beheerprogramma's zijn geïnstalleerd, maar waarop geen andere functie voor Exchange Server bestaat. Dit gebeurt ongeacht of het verificatiecertificaat geldig is.

• Een aantal scripts die deel uitmaken van Exchange Server (bijvoorbeeld RedistributeActiveDatabases.ps1) werken niet goed als aan deze voorwaarden wordt voldaan:

  • De functie Ondertekening van PowerShell-nettolading voor serialisatie is ingeschakeld.
  • U gebruikt niet de standaardbeveiligingsgroepen die worden geleverd door Exchange RBAC.
  • De gebruiker die het script uitvoert, is geen lid van de rollengroep Organisatiebeheer.