Exchange Server: ACME-automatisering med simple-acme

Steg för steg: Installationen med FairSSL:s simple-acme-version, AutoDNS och ImportExchange.v3.ps1 finns i Microsoft Exchange Server: SSL-certifikat via ACME.

Den här guiden visar hur du konfigurerar automatisk förnyelse av SSL-certifikat på Exchange Server med simple-acme, så att certifikaten förnyas, installeras och aktiveras utan manuellt arbete.

Varför ACME på Exchange?

• Automatisk förnyelse: certifikaten förnyas och installeras utan manuell hantering
• Ingen CSR: ACME-protokollet sköter nyckelgenerering och utfärdande automatiskt
• Inget driftstopp: certifikatet kopplas automatiskt till IIS, SMTP, IMAP och POP
• Färre fel: inga utgångna certifikat som stoppar e-postflödet

Förutsättningar

• Exchange Server 2013, 2016, 2019 eller Subscription Edition
• Windows Server med administratörsbehörighet
• DNS-namn (t.ex. mail.eksempel.dk, autodiscover.eksempel.dk) som pekar på servern
• Ett ACME-konto hos en CA (t.ex. Let's Encrypt eller FairSSL)

Steg 1: Ladda ner och installera simple-acme

Ladda ner simple-acme från simple-acme.com och packa upp filerna till C:\simple-acme eller %ProgramFiles%\simple-acme.

Steg 2: Välj metod för domänvalidering

ACME-protokollet kräver att du visar att du kontrollerar domänen. Det finns två metoder:

HTTP-01-validering

CA:n verifierar domänen genom att hämta en fil från din webbserver via HTTP på port 80.

• Krav: Port 80 måste vara öppen och tillgänglig från internet
• Fördel: Lite att konfigurera, eftersom simple-acme sköter valideringen via IIS
• Nackdel: Fungerar inte med wildcard-certifikat eller för servrar bakom brandvägg eller lastbalanserare

Använd parametern --validation selfhosting i simple-acme-kommandot.

DNS-01-validering

CA:n verifierar domänen genom att kontrollera en TXT-post i DNS.

• Krav: API-åtkomst till din DNS-leverantör (t.ex. Cloudflare, Azure DNS, Route53)
• Fördel: Fungerar bakom brandvägg, med lastbalanserare och med wildcard-certifikat
• Nackdel: Kräver integration med DNS-leverantörens API

Använd parametern --validation dns-01 och det DNS-plugin som hör till din DNS-leverantör.

Steg 3: Installera certifikatet med simple-acme

Öppna Exchange Management Shell som administratör och gå till mappen för simple-acme.

Kör följande kommando (anpassa domännamn och validering till din miljö):

Med Let's Encrypt (gratis DV-certifikat)

wacs.exe --source manual --host "mail.eksempel.dk,autodiscover.eksempel.dk" --csr rsa --validation selfhosting --certificatestore My --acl-fullcontrol "network service,administrators" --installation iis,script --script "./Scripts/ImportExchange.v3.ps1" --scriptparameters "'{CertThumbprint}' 'IIS,SMTP,IMAP,POP' 1 '{CacheFile}' '{CachePassword}' '{CertFriendlyName}'" --friendlyname "mail.eksempel.dk" --accepttos

Ersätt --validation selfhosting med --validation dns-01 --dnsPlugin cloudflare (eller pluginet för din DNS-leverantör) om du använder DNS-validering.

Med FairSSL ACME (OV/DV-certifikat)

wacs.exe --baseuri "https://fairssl.dk/acme" --eab-key-identifier DIN_EAB_KID --eab-key DIN_EAB_HMAC --source manual --host "mail.eksempel.dk,autodiscover.eksempel.dk" --csr rsa --validation none --certificatestore My --acl-fullcontrol "network service,administrators" --installation iis,script --script "./Scripts/ImportExchange.v3.ps1" --scriptparameters "'{CertThumbprint}' 'IIS,SMTP,IMAP,POP' 1 '{CacheFile}' '{CachePassword}' '{CertFriendlyName}'" --friendlyname "mail.eksempel.dk" --accepttos

EAB KID och HMAC-nyckeln hämtar du i din kontrollpanel hos FairSSL när du beställer ett ACME-certifikat.

Parameteröversikt

Steg 4: Kontrollera Exchange-tjänsterna

Kör följande i Exchange Management Shell för att verifiera att certifikatet är aktiverat:

Get-ExchangeCertificate

Det nya certifikatet ska visa IPWS (eller motsvarande) i kolumnen Services, vilket betyder att IMAP, POP, IIS och SMTP är aktiverade.

Get-WebBinding

Bekräfta att Default Web Site använder det nya certifikatet.

Steg 5: Kontrollera IIS-bindningarna

Öppna IIS Manager och kontrollera:

• Default Web Site ska använda det nya ACME-certifikatet
• Exchange Back End ska fortsätta använda det interna Exchange-certifikatet (oftast kallat "Microsoft Exchange")

Varningar

Felsökning

• Certifikatet installeras men tjänsterna fungerar inte: Kontrollera att ImportExchange.v3.ps1-skriptet körs korrekt. Kör Get-ExchangeCertificate för att se om tjänsterna är aktiverade.
• HTTP-01-valideringen misslyckas: Port 80 är sannolikt blockerad i brandväggen. Använd DNS-01 eller FairSSL Auto-DNS istället.
• Förnyelsen misslyckas utan felmeddelande: Kontrollera loggfilerna i mappen för simple-acme. Kör wacs.exe --renew --force manuellt för att testa.

wacs.exe --verbose