Differences

This shows you the differences between two versions of the page.

--- переиздание_сертификатов_oauth [2023/07/12 11:01] – jp
+++ переиздание_сертификатов_oauth [2026/05/20 10:01] (current) – jp
@@ Line 1: / Line 1: @@
 ===== Проверка и переиздание сертификатов OAuth =====
-В Exchange существует самоподписанный бэкенд-сертификат, который используется внутри Exchange и он же присвоен для сайта ''Exchange Backend''. В случае, если этот сертификат истёк - могут быть некоторые проблемы. В частности, проблема возникла при установке патча безопасности KB5004778 (июль 2021), после установки которого отвалилась OWA и ECP. При этом, сертификат недостаточно было продлить в ECP. Проверить сертификат можно следующим командлетом:
+В Exchange существует самоподписанный бэкенд-сертификат, который используется внутри Exchange и он же присвоен для сайта ''Exchange Backend''. В случае, если этот сертификат истёк - могут быть некоторые проблемы. В частности, проблема возникла при установке патча безопасности //KB5004778// (июль 2021), после установки которого отвалилась //OWA// и //ECP//. При этом, сертификат недостаточно было продлить в //ECP//.
+В //Exchange// с //ADFS// окружением может наблюдаться следующая картина: при попытке открыть //OWA// или //ECP// в браузере увидим такую ошибку:
+  Microsoft.Exchange.Security.Authentication.AdfsConfigurationException: Encryption certificate is absent
+Проверить сертификат можно следующим командлетом:
 <code>
 (Get-AuthConfig).CurrentCertificateThumbprint | Get-ExchangeCertificate | Format-List
 </code>
-Если сертификат просрочен, или команда возвращает ошибку, его следует сначала создать:
+Если сертификат просрочен, или команда возвращает ошибку (либо вообще ПУСТОЙ вывод), его следует сначала создать:
 <WRAP prewrap>
 <code>
@@ Line 13: / Line 18: @@
 </WRAP>
-Затем назначить серверу и опубликовать, используя отпечаток из предыдущего командлета:
+:!: Команда выше создаст auth-сертификат сроком на 5 лет. Есть теоретическая возможность выпуска auth-сертификата сроком более 5 лет, однако, для этого придется использовать свой CA + эта возможность НЕ ДОКУМЕНТИРОВАНА Microsoft и существует риск возникновения нештатных проблем.
+Теперь новый сертификат необходимо назначить серверу и опубликовать, используя отпечаток из предыдущего командлета:
 <code>
 Set-AuthConfig -NewCertificateThumbprint <ThumbprintFromStep1> -NewCertificateEffectiveDate (Get-Date)
@@ Line 20: / Line 27: @@
 </code>
-После этого следует перезагрузить IIS:
+:!: В окружении из нескольких серверов //Exchange// - издаем и публикуем сертификат ОДИН раз, на любом сервере. На остальные серверы данный сертификат распространится автоматически.
+После этого следует перезагрузить службу //MSExchangeServiceHost// и IIS:
 <code>
+Restart-Service "MSExchangeServiceHost"
 IISReset
 </code>
-Либо пулы:
+Если жёсткий рестарт //IIS// не подходит, можо перезапустить пулы:
 <code>
 Restart-WebAppPool MSExchangeOWAAppPool
@@ Line 31: / Line 41: @@
 </code>
-ВАЖНО: публикация сертификата происходит не сразу - в случае с проблемным патчем OWA заработала только через несколько часов (два). Возможно, это связано с расхождением установленной таймзоны с временем UTC.
+:!: ВАЖНО: публикация сертификата происходит не сразу - в случае с проблемным патчем OWA заработала только через несколько часов (два-четыре).
-Возможно, в случае каких-либо проблем стоит также проверить - назначен ли нужный сертификат в привязках сайта Exchange backend.\\
-{{::exch_backend_cert.jpg?200|}}\\
-https://docs.microsoft.com/en-gb/exchange/troubleshoot/administration/cannot-access-owa-or-ecp-if-oauth-expired
-{{tag>Exchange Microsoft WindowsServer Mail PowerShell OAuth}}
+https://docs.microsoft.com/en-gb/exchange/troubleshoot/administration/cannot-access-owa-or-ecp-if-oauth-expired
+{{tag>Exchange Microsoft WindowsServer Mail PowerShell OAuth ADFS Certificates}}