Exchange

Dieses Beispiel aktiviert ein Zertifikat auf einem Exchange-Server für IIS (Outlook im Web, ActiveSync, Autodiscover) und SMTP und hinterlegt es optional fest auf Send Connectors. TLSPilot verwendet die Exchange Management Shell; das Ziel muss ein Exchange-Server mit Exchange Management Shell sein, typischerweise ein Mailbox-Server.

Verbindung und Berechtigungen: Bei einem entfernten Exchange-Server öffnet TLSPilot eine Remote-PowerShell-Sitzung zum Exchange-Endpunkt http://<server FQDN>/PowerShell/ mit Kerberos, genau wie die Exchange Management Shell. Geben Sie den Zielhost als vollqualifizierten Domainnamen ein, da ein Kurzname mit Kerberos scheitert. Das Konto braucht eine Exchange-RBAC-Rolle, die die Zertifikats-Cmdlets erlaubt, zum Beispiel über die Rollengruppe Organization Management oder eine eigene Rollengruppe mit der Rolle Exchange Server Certificates (Least Privilege), dazu lokale Administratorrechte für den Import. Auf dem Exchange-Server selbst wählen Sie Localhost.

1. Öffnen Sie den Tab Deployments des Zertifikats wie in Kapitel Lokaler Zertifikatsspeicher beschrieben und klicken Sie auf Add…
2. Linked service: Wählen Sie Exchange.
3. Target host und Credential: Geben Sie den FQDN des Exchange-Servers ein und wählen Sie das Credential.
4. Öffnen Sie den Tab Discovery. Unter Enable for services listet TLSPilot IIS (OWA, ECP, EWS, ActiveSync, …) und SMTP (receive connectors / transport) auf und unter Send Connectors die Send Connectors der Organisation, jeweils mit dem aktuell auf dem Ziel vorhandenen Zertifikat und seinem Badge.
5. Enable for services: Im Abschnitt Exchange Server setzt TLSPilot die Schalter IIS und SMTP eines neuen Deployments anhand des Ergebnisses: eingeschaltet, wenn der Dienst bereits this certificate verwendet, sonst ausgeschaltet. Öffnen Sie ein gespeichertes Deployment, bleiben Ihre gespeicherten Schalter erhalten. Ein Hinweis neben jedem Schalter zeigt den aktuellen Zustand. Schalten Sie die Dienste ein, die dieses Zertifikat verwenden sollen. Ändert sich ein Schalter, wird Save aktiv.
6. Send connectors (optional): Send Connectors, die dieses Zertifikat bereits verwenden, werden automatisch eingeschaltet. Schalten Sie weitere Connectors ein oder geben Sie ihre Identitäten durch Kommas getrennt oder eine pro Zeile ein. TLSPilot setzt das Zertifikat nur auf diesen Send Connectors als TlsCertificateName. Lassen Sie die Liste leer, um keinen Send Connector zu ändern. Das ist unabhängig vom SMTP-Empfang oben: Mit SMTP setzt TLSPilot das Zertifikat als TlsCertificateName auf den Receive Connectors Default Frontend und Client Frontend dieses Servers; existiert keiner davon, schlägt das Deployment fehl.

7. Klicken Sie auf Test (dry run)…, dann auf OK und Save, und bestätigen Sie das Deployment mit Yes.

TLSPilot importiert das Zertifikat und führt Enable-ExchangeCertificate für die gewählten Dienste aus. Ist SMTP aktiviert, fragt Exchange nicht, ob das Standard-SMTP-Zertifikat überschrieben werden soll. Der Health-Check prüft, ob die Dienste den neuen Thumbprint verwenden.