Fragen zu Exchange Zertifikate (laufen bald ab)
-
Montag, 6. August 2012 07:41
Hallo,
habe folgende Meldung vom Exchange 2007 (SBS 2008) bekommen:
Das STARTTLS-Zertifikat läuft in Kürze ab. Betreff: servername.domaine.local, verbleibende Stunden: BE1C89B67081423F6A9C1CB9C1745AC359D8C740. Führen Sie das Cmdlet "New-ExchangeCertificate" aus, um eine neues Zertifikat zu erstellen.
Ich habe dann neue Zertifikate erstellt. Dazu habe ich einige Fragen:
- Kann einem Service mehrere Zertifikate zugewiesen sein? Sollte man das ändern?
- Kann man von den Zertifkaten ein Backup machen bevor man sie löscht?
- Darf man Zertifikate mit Status DateInvalid bzw. Zertifikate denen überhaupt kein Service zugeordnet ist löschen?
Ich habe die neuen Zertifikate erstellt jedoch sind sie noch nicht aktiv. Muss ich dazu die alten Zertifikate löschen? Außerdem sind mir einige Unterschiede aufgefallen. Z.B. ist jetzt "self signed" true, es ist ein anderer "Issuer" eingetragen, tlw. Unterschiede bei "Subject" und es wiederholt sich
"System.Security.AccessControl.CryptoKeyAccessRule" mehere Male. Ist das wichtig für mich? Habe ich bei der Zertifikatserstellung was falsch gemacht?Vielen Dank für eure Hilfe!
Grüße
cachememory
- Bearbeitet cachememory Montag, 6. August 2012 07:42
- Typ geändert Alex PituliceMicrosoft Contingent Staff, Owner Montag, 13. August 2012 07:22 Warten auf Feedback
Alle Antworten
-
Montag, 6. August 2012 09:30Moderator
Hi cachememory,
Ich habe dann neue Zertifikate erstellt. Dazu habe ich einige Fragen:
* Kann einem Service mehrere Zertifikate zugewiesen sein? Sollte man das ändern?Einige schon, andere nicht. Den für dich wohl wichtigsten (IIS) kann man nur 1x zuordnen.
* Kann man von den Zertifkaten ein Backup machen bevor man sie löscht?
Ja, einfach über den lokalen Zertifikatsspeicher gehen oder Export-ExchangeCertificate.
http://technet.microsoft.com/en-us/library/bb310778(v=exchg.80).aspx* Darf man Zertifikate mit Status DateInvalid bzw. Zertifikate denen überhaupt kein Service zugeordnet ist löschen?
Ja du kannst und solltest alte Zertifikate löschen, damit es übersichtlicher bleibt.
Ich habe die neuen Zertifikate erstellt jedoch sind sie noch nicht aktiv. Muss ich dazu die alten Zertifikate löschen? Außerdem sind mir einige Unterschiede aufgefallen. Z.B. ist jetzt "self signed" true, es ist ein anderer "Issuer" eingetragen, tlw. Unterschiede bei "Subject" und es wiederholt sich "System.Security.AccessControl.CryptoKeyAccessRule" mehere Male. Ist das wichtig für mich? Habe ich bei der Zertifikatserstellung was falsch gemacht?
War das alte auch ein SelfSign?
Schau dir mal die Seite an und poste get-exchangecertificat|fl
Viele Grüße
Christian -
Montag, 6. August 2012 16:40
Hallo Christian,
vielen Dank für deine Antwort!
IIS habe ich sogar 2x zugeordnet ... (287B9FE9C313923BFFAB6430DEDE429EE0D575C1, 4E1C89B67081422F6A9C1FB9C1745AC351D8C74D).
Das alte Zertifikat war selbst signiert jedoch ist die Option "IsSelfSigned" auf "False" (z.B. 4E1C89B67081422F6A9C1FB9C1745AC351D8C74D und 287B9FE9C313923BFFAB6430DEDE429EE0D575C1)
Hier der Auszug aus get-exchangecertificate | fl:
<quote>
AccessRules : {System.Security.AccessControl.CryptoKeyAccessRule, System
.Security.AccessControl.CryptoKeyAccessRule, System.Securi
ty.AccessControl.CryptoKeyAccessRule, System.Security.Acce
ssControl.CryptoKeyAccessRule}
CertificateDomains : {Sites, computername.domain.local}
HasPrivateKey : True
IsSelfSigned : True
Issuer : CN=Sites
NotAfter : 30.07.2017 12:41:34
NotBefore : 30.07.2012 12:41:34
PublicKeySize : 2048
RootCAType : None
SerialNumber : A0C494772E6BD58E4AE9812226240927
Services : IIS, SMTP
Status : Valid
Subject : CN=Sites
Thumbprint : 287B9FE9C313923BFFAB6430DEDE429EE0D575C1
AccessRules : {System.Security.AccessControl.CryptoKeyAccessRule, System
.Security.AccessControl.CryptoKeyAccessRule, System.Securi
ty.AccessControl.CryptoKeyAccessRule, System.Security.Acce
ssControl.CryptoKeyAccessRule}
CertificateDomains : {mail.domain.de, mail2.domain.de}
HasPrivateKey : True
IsSelfSigned : True
Issuer : C=DE, L=Köln, O=Organisation, OU=Technik, CN=mail.domain
.de
NotAfter : 30.07.2017 12:17:33
NotBefore : 30.07.2012 12:17:33
PublicKeySize : 2048
RootCAType : None
SerialNumber : FFA4E319D016B296488457C8FB7DF8B9
Services : IMAP, POP, SMTP
Status : Valid
Subject : C=DE, L=Köln, O=Organisation, OU=Technik, CN=mail.domain
.de
Thumbprint : 8DEFBDD484FFFB3F564F2C84A7DA16DC3C05835D
AccessRules : {System.Security.AccessControl.CryptoKeyAccessRule, System
.Security.AccessControl.CryptoKeyAccessRule, System.Securi
ty.AccessControl.CryptoKeyAccessRule, System.Security.Acce
ssControl.CryptoKeyAccessRule}
CertificateDomains : {COMPUTERNAME, computername.domain.local}
HasPrivateKey : True
IsSelfSigned : True
Issuer : CN=COMPUTERNAME
NotAfter : 27.07.2017 09:17:15
NotBefore : 27.07.2012 09:17:15
PublicKeySize : 2048
RootCAType : None
SerialNumber : 1634D3B414C851AD46E06BE4943C46C1
Services : SMTP
Status : Valid
Subject : CN=COMPUTERNAME
Thumbprint : 112C10E63F1E1F91AB810DCDA4066E503DCA7A2B
AccessRules : {System.Security.AccessControl.CryptoKeyAccessRule, System
.Security.AccessControl.CryptoKeyAccessRule}
CertificateDomains : {computername.domain.local}
HasPrivateKey : True
IsSelfSigned : False
Issuer : CN=domain.computername-CA
NotAfter : 26.05.2013 04:41:19
NotBefore : 26.05.2012 04:41:19
PublicKeySize : 2048
RootCAType : Registry
SerialNumber : FF6EDD3F71000000000019
Services : None
Status : Valid
Subject : CN=computername.domain.local
Thumbprint : FD5FC82528FE866955D533C9C27744336C351998
AccessRules : {System.Security.AccessControl.CryptoKeyAccessRule, System
.Security.AccessControl.CryptoKeyAccessRule, System.Securi
ty.AccessControl.CryptoKeyAccessRule}
CertificateDomains : {Sites, computername.domain.local}
HasPrivateKey : True
IsSelfSigned : False
Issuer : CN=domain.computername-CA
NotAfter : 24.08.2012 08:55:23
NotBefore : 25.08.2010 08:55:23
PublicKeySize : 2048
RootCAType : Registry
SerialNumber : 8653D0B6600000000000F
Services : IIS, SMTP
Status : Valid
Subject : CN=Sites
Thumbprint : 4E1C89B67081422F6A9C1FB9C1745AC351D8C74D
AccessRules : {System.Security.AccessControl.CryptoKeyAccessRule, System
.Security.AccessControl.CryptoKeyAccessRule, System.Securi
ty.AccessControl.CryptoKeyAccessRule}
CertificateDomains : {mail.domain.de, mail2.domain.de, COMPUTERNAME}
HasPrivateKey : True
IsSelfSigned : False
Issuer : CN=domain.computername-CA
NotAfter : 17.08.2012 15:37:50
NotBefore : 18.08.2010 15:37:50
PublicKeySize : 2048
RootCAType : Registry
SerialNumber : 5699D6600000000000D
Services : IMAP, POP, SMTP
Status : Valid
Subject : CN=mail.domain.de, OU=Technik, O=Organisation, L=Köln, C
=DE
Thumbprint : BE348A18EB1EED0F182E3C9AF2E7577ADD6EE969
AccessRules : {System.Security.AccessControl.CryptoKeyAccessRule, System
.Security.AccessControl.CryptoKeyAccessRule, System.Securi
ty.AccessControl.CryptoKeyAccessRule}
CertificateDomains : {Sites, computername.domain.local}
HasPrivateKey : True
IsSelfSigned : False
Issuer : CN=domain.computername-CA
NotAfter : 29.12.2010 22:50:04
NotBefore : 29.12.2008 22:50:04
PublicKeySize : 2048
RootCAType : Registry
SerialNumber : 835352A98000000000002
Services : SMTP
Status : DateInvalid
Subject : CN=Sites
Thumbprint : 680F2B62899D0AC1EA1A31A9BDCF8E0789D43A24
AccessRules : {System.Security.AccessControl.CryptoKeyAccessRule, System
.Security.AccessControl.CryptoKeyAccessRule}
CertificateDomains : {domain.computername-CA}
HasPrivateKey : True
IsSelfSigned : True
Issuer : CN=domain.computername-CA
NotAfter : 29.12.2013 22:59:25
NotBefore : 29.12.2008 22:49:27
PublicKeySize : 2048
RootCAType : Registry
SerialNumber : 6C4E1CD34309F7AE4C78F3004AB67CDE
Services : None
Status : Valid
Subject : CN=domain.computername-CA
Thumbprint : D33A25F75616AC8DA65CC1CA6CA8B56C304D8099
AccessRules : {System.Security.AccessControl.CryptoKeyAccessRule, System
.Security.AccessControl.CryptoKeyAccessRule}
CertificateDomains : {WMSvc-WIN-0CEMZG2E5ME}
HasPrivateKey : True
IsSelfSigned : True
Issuer : CN=WMSvc-WIN-0CEMZG2E5ME
NotAfter : 27.12.2018 22:11:00
NotBefore : 29.12.2008 22:11:00
PublicKeySize : 2048
RootCAType : Registry
SerialNumber : FA3C43C37592CB964335D6E042EA92D7
Services : None
Status : Valid
Subject : CN=WMSvc-WIN-0CEMZG2E5ME
Thumbprint : 6EF7CFFD050DCE1EEB3C324F878AB8C0762DBCB3</quote>
- 4E1C89B67081422F6A9C1FB9C1745AC351D8C74D soll durch 287B9FE9C313923BFFAB6430DEDE429EE0D575C1 ersetzt werden.
- BE348A18EB1EED0F182E3C9AF2E7577ADD6EE969 soll durch 8DEFBDD484FFFB3F564F2C84A7DA16DC3C05835D ersetzt werden.
- FD5FC82528FE866955D533C9C27744336C351998, D33A25F75616AC8DA65CC1CA6CA8B56C304D8099, 6EF7CFFD050DCE1EEB3C324F878AB8C0762DBCB3 wären dann zu löschen?
Grüße
cachememory
- Bearbeitet cachememory Mittwoch, 29. August 2012 11:20
-
Dienstag, 7. August 2012 05:11Moderator
Hi cachememory,
Hallo Christian,
vielen Dank für deine Antwort!
IIS habe ich sogar 2x zugeordnet ... (287B9FE9C313923BFFAB6430DEDE429EE0D575C1, 4E1C89B67081422F6A9C1FB9C1745AC351D8C74D).Das wundert mich etwas, denn an ein Website kann nur ein IIS-Zertifikat gebunden werden. Du müsstest mal im IIS oder die Website schauen, welches genutzt wird. Da 4E1C89B67081422F6A9C1FB9C1745AC351D8C74D demnächst abläuft, solltest du den Dienst hier entfernen.
Das alte Zertifikat war selbst signiert jedoch ist die Option "IsSelfSigned" auf "False" (z.B. 4E1C89B67081422F6A9C1FB9C1745AC351D8C74D und 287B9FE9C313923BFFAB6430DEDE429EE0D575C1)
Die Zertfikate hast du durch eine lokale CA erstellt, oder? (Issuer: CN=domain.computername-CA) Damit sind es keine selbsterstellten Zertifkate vom Exchange.
Hier der Auszug aus get-exchangecertificate | fl:
<quote>
CertificateDomains : {Sites, computername.domain.local}
HasPrivateKey : True
IsSelfSigned : True
Issuer : CN=Sites
NotAfter : 30.07.2017 12:41:34
NotBefore : 30.07.2012 12:41:34
Services : IIS, SMTP
Status : Valid
Thumbprint : 287B9FE9C313923BFFAB6430DEDE429EE0D575C1CertificateDomains : {Sites, computername.domain.local}
HasPrivateKey : True
IsSelfSigned : False
Issuer : CN=domain.computername-CA
NotAfter : 24.08.2012 08:55:23
NotBefore : 25.08.2010 08:55:23
Services : IIS, SMTP
Status : Valid
Thumbprint : 4E1C89B67081422F6A9C1FB9C1745AC351D8C74DCertificateDomains : {mail.domain.de, mail2.domain.de}
HasPrivateKey : True
IsSelfSigned : True
NotAfter : 30.07.2017 12:17:33
NotBefore : 30.07.2012 12:17:33
Services : IMAP, POP, SMTP
Status : Valid
Thumbprint : 8DEFBDD484FFFB3F564F2C84A7DA16DC3C05835DCertificateDomains : {mail.domain.de, mail2.domain.de, COMPUTERNAME}
HasPrivateKey : True
IsSelfSigned : False
Issuer : CN=domain.computername-CA
NotAfter : 17.08.2012 15:37:50
NotBefore : 18.08.2010 15:37:50
Services : IMAP, POP, SMTP
Status : Valid
Thumbprint : BE348A18EB1EED0F182E3C9AF2E7577ADD6EE969CertificateDomains : {COMPUTERNAME, computername.domain.local}
HasPrivateKey : True
IsSelfSigned : True
NotAfter : 27.07.2017 09:17:15
NotBefore : 27.07.2012 09:17:15
Services : SMTP
Status : Valid
Thumbprint : 112C10E63F1E1F91AB810DCDA4066E503DCA7A2BCertificateDomains : {computername.domain.local}
IsSelfSigned : False
NotAfter : 26.05.2013 04:41:19
NotBefore : 26.05.2012 04:41:19
Services : None
Thumbprint : FD5FC82528FE866955D533C9C27744336C351998CertificateDomains : {Sites, computername.domain.local}
HasPrivateKey : True
IsSelfSigned : False
NotAfter : 29.12.2010 22:50:04
NotBefore : 29.12.2008 22:50:04
Services : SMTP
Status : DateInvalid
Thumbprint : 680F2B62899D0AC1EA1A31A9BDCF8E0789D43A24CertificateDomains : {domain.computername-CA}
IsSelfSigned : True
NotAfter : 29.12.2013 22:59:25
NotBefore : 29.12.2008 22:49:27
Services : None
Thumbprint : D33A25F75616AC8DA65CC1CA6CA8B56C304D8099CertificateDomains : {WMSvc-WIN-0CEMZG2E5ME}
IsSelfSigned : True
Issuer : CN=WMSvc-WIN-0CEMZG2E5ME
NotAfter : 27.12.2018 22:11:00
NotBefore : 29.12.2008 22:11:00
Services : None
Thumbprint : 6EF7CFFD050DCE1EEB3C324F878AB8C0762DBCB3* 4E1C89B67081422F6A9C1FB9C1745AC351D8C74D soll durch 287B9FE9C313923BFFAB6430DEDE429EE0D575C1 ersetzt werden.
* BE348A18EB1EED0F182E3C9AF2E7577ADD6EE969 soll durch 8DEFBDD484FFFB3F564F2C84A7DA16DC3C05835D ersetzt werden.
* FD5FC82528FE866955D533C9C27744336C351998, D33A25F75616AC8DA65CC1CA6CA8B56C304D8099, 6EF7CFFD050DCE1EEB3C324F878AB8C0762DBCB3 wären dann zu löschen?
680F2B62899D0AC1EA1A31A9BDCF8E0789D43A24 und 112C10E63F1E1F91AB810DCDA4066E503DCA7A2B wären auch zu löschen - abgelaufen oder unnötig...
Irgendwie ist das alles sehr chaotisch. Warum erstellst du nicht ein Zertifikat mit alle Namen und ordnest es allen Diensten zu?
Nutz den Wizard, um die Anfrage zu erstellen (https://www.digicert.com/easy-csr/exchange2007.htm), reiches bei deiner CA ein und aktivier es.
(Sites, computername.domain.local, mail.domain.de, mail2.domain.de)Auf meiner Seite findest du das Vorgehen...
Viele Grüße
Christian -
Dienstag, 7. August 2012 08:36
Hallo Christian,
Das wundert mich etwas, denn an ein Website kann nur ein IIS-Zertifikat gebunden werden. Du müsstest mal im IIS oder die Website schauen, welches genutzt wird. Da 4E1C89B67081422F6A9C1FB9C1745AC351D8C74D demnächst abläuft, solltest du den Dienst hier entfernen.
Wo sehe ich das nach? Ich bin jetzt im Internetinformationsdienste-Manager (IIS 7) aber finde im ersten Moment nichts diesbezüglich. Wenn ich Outlook Web Access (OWA) aufrufe dann erscheint dass Zertifikat 4E1C ... Ich habe damals glaub ich die Meldung erhalten dass ein anderes Zertifikat Vorrang hat.
Die Zertfikate hast du durch eine lokale CA erstellt, oder? (Issuer: CN=domain.computername-CA) Damit sind es keine selbsterstellten Zertifkate vom Exchange.
Sorry, dass ich das frage aber wo befindet sich die lokale Certification Authority (Zertifizierungsstelle)? Wenn ich deine Screenshots ansehe, dann müsste die über https://servername/certsrv aufrufbar sein. Wenn ich das mache bekomme ich folgende Meldung:
"404 - Datei oder Verzeichnis wurde nicht gefunden"
Ist hier der Dienst nicht gestartet?
Ich habe das System übernommen und die Sachen sind neu für mich. Die ganzen Zertifikate sind meist alles Altlasten (bis auf die neu erstellten von mir). Aber wenn ich nur ein Zertifikat erstelle und dies für alle Dienste verwenden kann, dann werde ich das heute noch probieren.
Verwende ich für "Common Name" die "CertificateDomains"? Was schreibe ich bei Subject Alternative Names? Common Name kann wahrscheinlich nur einer verwendet werden oder? Was ist mit discouraged bei SAN gemeint?
Viele Grüße
cachememory
- Bearbeitet cachememory Dienstag, 7. August 2012 08:47 weitere Fragen
-
Dienstag, 7. August 2012 10:38Moderator
Hi cachememory,
Wo sehe ich das nach? Ich bin jetzt im Internetinformationsdienste-Manager (IIS 7) aber finde im ersten Moment nichts diesbezüglich. Wenn ich Outlook Web Access (OWA) aufrufe dann erscheint dass Zertifikat 4E1C ... Ich habe damals glaub ich die Meldung erhalten dass ein anderes Zertifikat Vorrang hat.
OWA ist ein guter Ansatz - lösch die Dienste auf 4E1C ... und aktivier das neue Zertifikat.
Sorry, dass ich das frage aber wo befindet sich die lokale Certification Authority (Zertifizierungsstelle)? Wenn ich deine Screenshots ansehe, dann müsste die überhttps://servername/certsrv aufrufbar sein. Wenn ich das mache bekomme ich folgende Meldung:
"404 - Datei oder Verzeichnis wurde nicht gefunden"
Ist hier der Dienst nicht gestartet?Irgendwo muss die CA installiert worden sein:
http://www.msxfaq.de/signcrypt/setupca2008.htmLaut Issuer https://computername-CA/certsrv
Findest du den Server?
Ich habe das System übernommen und die Sachen sind neu für mich. Die ganzen Zertifikate sind meist alles Altlasten (bis auf die neu erstellten von mir). Aber wenn ich nur ein Zertifikat erstelle und dies für alle Dienste verwenden kann, dann werde ich das heute noch probieren.
Bei Fragen melde dich...
Viele Grüße
Christian- Als Antwort vorgeschlagen Alex PituliceMicrosoft Contingent Staff, Owner Freitag, 10. August 2012 06:26
-
Freitag, 10. August 2012 06:26Besitzer
Hallo cachememory,
ist die Situation klargestellt ? Wenn ja - bitte markiere die Beiträge die Dir geholfen haben "als Antwort".
Viele Grüße,
Alex -
Freitag, 10. August 2012 13:31
Hi Alex,
ich bin noch nicht weitergekommen da ich jetzt einige Trojaner beseitigen musste. Sobald ich wieder dazu komme gebe ich euch bescheid.
LG
cachememory -
Freitag, 10. August 2012 14:43Besitzer
Hallo cachememory,
danke für deine Antwort. Dann warten wir auf die Updates.
Gruss,
Alex
-
Mittwoch, 29. August 2012 11:11
Da ich im Urlaub war hat es mittlerweile ein "Profi" erledigt. Ich weiß nicht genau was er gemacht hat, aber es funktioniert nun alles.
https://computername-CA/certsrv ist noch immer nicht erreichbar.
Das neue Zertifikat sieht folgendermaßen aus:
AccessRules : {System.Security.AccessControl.CryptoKeyAccessRule, System
.Security.AccessControl.CryptoKeyAccessRule, System.Securi
ty.AccessControl.CryptoKeyAccessRule}
CertificateDomains : {mail.yourdomain.com, autodiscover.yourdomain.com}
HasPrivateKey : True
IsSelfSigned : False
Issuer : CN=domain-servername-CA
NotAfter : 29.12.2013 22:59:25
NotBefore : 14.08.2012 15:06:58
PublicKeySize : 2048
RootCAType : Registry
SerialNumber : 45671195000000000021
Services : IMAP, POP, IIS, SMTP
Status : Valid
Subject : CN=mail.domain.com, OU=Technik, O=YourDomain, L=YourLocation, C
=DE
Thumbprint : 5B9A7A25C734F49EFCEB244FCFF63510BEE2ED12Es sind noch andere Zertifikate drinnen aber die hat er anscheinend nicht gelöscht. Vielleicht hilft jemand anders die Information. Das thema ist nun abgeschlossen (bis zum 29.12.2013).
- Bearbeitet cachememory Mittwoch, 29. August 2012 11:18
-
Mittwoch, 29. August 2012 14:06Moderator
Hi cachememory,
Da ich im Urlaub war hat es mittlerweile ein "Profi" erledigt. Ich weiß nicht genau was er gemacht hat, aber es funktioniert nun alles.
Das ist immer das einfachste. :-)
https://computername-CA/certsrv ist noch immer nicht erreichbar.
Das neue Zertifikat sieht folgendermaßen aus:
HasPrivateKey : True
IsSelfSigned : False
Issuer : CN=domain-servername-CAEs wurde aber über die Zertifikatsstelle ausgestellt...
Es sind noch andere Zertifikate drinnen aber die hat er anscheinend nicht gelöscht. Vielleicht hilft jemand anders die Information. Das thema ist nun abgeschlossen (bis zum 29.12.2013).
Nagut zum mindest läuft nur es ist leider nicht ganz klar warum... :-)
Viele Grüße
Christian
.png)
.png)
