Exchange16 Zertifikats erneuerung klappt nicht

[RealPride]

Hallo zusammen,

 

hab folgendes Problem:

Das Zertifikat eines Kunden läuft am 11.01.2023 aus und ich wurde beauftragt das Zertifikat zu erneuern bzw auszutauschen. Soweit sogut. Früher konnte ich das ganze direkt auf dem Exchange Admin Center machen in dem ich unter Server --> Zertifikate auf dem "+" eine neue CSR requesten konnte. Seit dem neusten CU Update ist das jedoch nicht mehr möglich und das ganze geht quasi nur noch über die Powershell.

Versuch 1: Auf Basis des alten Exchange Zertifikats habe ich dann die CSR erstellt und bei einer CA ein neues Zertifikat bestellt (über SSL-Trust ein Comodo Zertifikat). Diesen habe ich dann importiert (laut Anleitung, normalerweise hätte ich erstmal eine .pfx gebildet). Powershell hat mir dann ein Thumbprint ausgegeben aber hab das Zertifikat nicht in der Liste der Zertifikate gesehen (Get-ExchangeCertificate). Das Zertifikat war nur im MMC im Snap-In Zertifikate Computerkonto zu sehen, dort hab ich es aber wieder entfernt, weil ich nicht mehr weiter kam. Letzten Endes habe ich das Zertifikat wieder storniert.

 

Versuch 2: Per OpenSSL eine neue CSR erzeugt mit private key. Beim CA dann ein neues Zertifikat bestellt. Mit OpenSSL dann das CA Zertifikat mit dem Private Key kombiniert in eine .pfx Datei und entsprechendem Kennwort. Soweit so gut, Problem hierbei war jedoch dass ich das Zertifikat nicht importiert bekommen habe, weder per Powershell, noch über dem IIS und auch nicht über MMC per Zertifikat Snap-In. Jedes mal wurde ausgespuckt, dass das Kennwort falsch ist. Selbstverständlich habe ich dann das ganze 3-4 weitere male mit ganz simplen Kennwörtern probiert (immer wieder das gleiche Problem). Jetzt komme ich auch nicht mehr weiter und bin out of ideas.

Hattet ihr mal ein ähnliches Problem? Woran kann es denn liegen?

[RealPride]

Hab das Problem soeben gelöst.

 

Bin ähnlich wie bei Versuch 1 vorgegangen, nur mit dem Unterschied, dass ich eine komplett neue CSR request gemacht habe explizit im Exchange Server per Exchange Management Shell mit dem Befehl

New-ExchangeCertificate -GenerateRequest -SubjectName "CN=exchange.example.com, O=Example Inc., L=New York, S=New York, C=US" -DomainName exchange.example.com,autodiscover.example.com -PrivateKeyExportable $true

und anschließend die erzeugte CSR im CA eingefügt, private key wurde ja schon in der registry des Exchange Server hinterlegt, daher muss da auch nichts gemacht werden. Das vom CA ausgestellte Zertifikat habe ich dann mit folgendem Befehl importiert:

 

Import-ExchangeCertificate -FileData ([Byte[]]$(Get-Content -Path "C:\certificates\certificate.cer" -Encoding Byte -ReadCount 0))

 

Per Get-ExchangeCertificate war das Zertifikat dann auch zu sehen. Im Exchange Admin Center ebenfalls. Hab dann die nötigen Services vergeben so dass das alte Zertifikat ersetzt wurde und die Bindung quasi geändert wurde.

 

 

[ickevondepinguin]

Beim letzten Mal vor ein paar Wochen hatte ich ein ähnlich gelagertes Problem. Habe folgendes gemacht:

• CSR erstellt, Zertifikat beantragt, heruntergeladen
• Zertifikat im Zertifikatsspeicher hinterlegt, wurde mir im Admincenter aber nicht angezeigt/angeboten
• Dann über den IIS das neue Zertifikat verknüpft, IIS neu gestartet, funktionierte und Zertifikat wurde auch so
  im Admincenter angezeigt

Bearbeitet 5. Januar 2023 von ickevondepinguin