Microsoft Exchange Auth Sertifikası Yenileme
Microsoft Exchange Authentication (Auth) sertifikası, Exchange Server'da çeşitli güvenlik özelliklerini ve kimlik doğrulama yöntemlerini desteklemek için kullanılan bir sertifikadır.
Microsoft Exchange Server kurulduğunda varsayılan olarak bir
self-signed Authentication (Auth) sertifikası oluşturulur. Bu sertifika 5 yıl sonra expire olur ve yenilenmesi gerekir.
Görevi Nedir?
- OAuth Kullanımı: Exchange Server, OAuth protokolü ile kimlik doğrulama işlemlerini gerçekleştirebilir. Auth sertifikası, Exchange Server'ın OAuth tabanlı kimlik doğrulama süreçlerinde kullanılır. Örneğin, Exchange server ile SFB, ADFS veya SharePoint gibi diğer Microsoft ürünleri arasında güvenli iletişimi sağlamak için kullanılır.
- Hybrid Yapılandırmalar: Eğer Exchange Server, Office 365 ile hibrit ortamda çalışıyorsa, bu sertifika, Exchange Server ile Office 365 arasındaki kimlik doğrulama işlemlerini destekler.
Expire Durumu
- Auth Sertifikası, Exchange server kurulduğunda varsayılan olarak 5 yıl geçerliliğe sahip olacak şekilde ayarlanır. Bu süre yapılan yapılandırmalara bağlı olarak değişebilir.
- Sertifika süresi dolduğunda, Exchange server, OAuth işlemlerini gerçekleştiremez hale gelir ve hibrit yapılandırmalarda kimlik doğrulama sorunları yaşanabilir.
Yaşanabilecek Sorunlar
- Exchange Server'da OAuth protokolüne dayalı kimlik doğrulama işlemleri çalışamaz hale gelir. Bu özellikle ibrit yapılar için kritiktir.
- SFB, SharePoint gibi diğer Microsoft ürünleriyle yapılan entegrasyonlar başarısız olabilir.
- Exchange Server hibrit ortamda çalışıyorsa, Auth sertifikası yenilenmediğinde bu iki ortam arasında güvenli iletişim kesilecektir.
- Bu durumda, kullanıcıların mail kutuları arasında taşıma işlemi, takvim paylaşımları ve diğer hibrit hizmetlerin çalışmaması anlamına gelir.
- Sertifikanın süresi dolduğunda, OWA ve ECP gibi web tabanlı arayüzlere erişim sorunları yaşanabilir. Kullanıcı portale giriş yaparken hata mesajları alabilir.
- Exchange Server içinde bazı servislerin birbirleriyle güvenli iletişim kurması gerekmektedir. Auth sertifikasının süresi dolduğunda, bu servisler arasındaki güvenli iletişim kesintiye uğrar, bu da çeşitli operasyonel sorunlara neden olur.
- Belirli Exchange Management Shell komutları, OAuth veya diğer protokollerine bağlı olarak çalıştığı için, sertifika süresi dolduğunda bu komutlar çalışmayabilir. Hata verebilir.
- Exchange Server'da sertifika süresi dolduğu için ilgili loglarda uyarılar ve hata mesajları görülmeye başlar. Bu durum, Exchange Server'ın genel sağlığı açısından olumsuz etkidir.
Bu nedenlerle, Auth sertifikasının zamanında yenilenmesi Exchange Server'ın sorunsuz çalışmasını sağlamak için hayati öneme sahiptir.
Sorun Tanımı:
Event ID: 1309,24
Google Chrome
The page isn’t working
mail.contoso.com redirected you too many times.
mail.contoso.com redirected you too many times.
Internet Explorer
OWA'ye gitmek isterseniz de aşağıdaki hatayı alırsınız. Server Error in '/owa' Application
Google Chrome
Description: An application error occurred on the server. The current custom error settings for this application prevent the details of the application error from being viewed remotely (for security reasons). It could, however, be viewed by browsers running on the local server machine.
Details: To enable the details of this specific error message to be viewable on remote machines, please create a tag within a "web.config" configuration file located in the root directory of the current web application. This tag should then have its "mode" attribute set to "Off".
Details: To enable the details of this specific error message to be viewable on remote machines, please create a
Çözüm Adımları
Auth sertifikasını yenilemek için, Exchange sunucusundaki sertifikaları görüntülemek ve listelenen Microsoft Exchange Server Auth Sertifikasının gerçekten süresinin dolduğunu doğrulamak amacıyla aşağıdaki cmdleti çalıştırarak başlayın:
Süresi dolan sertifikanın kullanıldığını doğrulamak için Get-AuthConfig cmdlet'ini kullanın ve thumbprint in eşleştiğine emin olun.
Süresi dolan sertifikanın thumbprint'ini almak için aşağıdaki cmdlet'i kullanın:
Get-AuthConfig | fl CurrentCertificateThumbprint
Exchange Auth Sertifikasının Yenilenmesi
Exchange Server'da yeni bir Auth sertifika oluşturmak için aşağıdaki cmdlet'i çalıştırın
New-ExchangeCertificate -KeySize 2048 -PrivateKeyExportable:$true -SubjectName "Cn=Microsoft Exchange Server Auth Certificate" -FriendlyName "Microsoft Exchange Server Auth Certificate" -DomainName test.local
Yeni thumbprint: 7500C4F1906F6D2AAA655BF875788DCDC84E648C
Yukarıdaki işlemler yapıldığında Auth Sertifikasını yenilemiş oluruz. Bu değişikliklerin yansıması 4-5 saat sürebilmektedir. Bu süreyi biraz kısalmak için aşağıdaki komutları deneyebilirsiniz.
Get-ExchangeServer | %{Invoke-Command -ComputerName $_.Name -ScriptBlock {Restart-Service MsExchangeServiceHost}}
Get-ExchangeServer | %{Invoke-Command -ComputerName $_.Name -ScriptBlock {REstart-WebAppPool MsExchangeOwaAppPool}}
Get-ExchangeServer | %{Invoke-Command -ComputerName $_.Name -ScriptBlock {REstart-WebAppPool MsExchangeEcpAppPool}}
Bir sorun olmadığı görüldüğünde Set-AuthConfig -ClearPreviousCertificate komutu çalıştırılarak, önceki sertifika kaldırılır.